Elastic Auditbeat ログを収集する

このドキュメントでは、Amazon S3 を使用して Elastic Auditbeat ログを Google Security Operations に取り込む方法について説明します。パーサーは JSON ログからフィールドを抽出し、統合データモデル（UDM）に正規化して、ホスト情報、ネットワークの詳細、セキュリティ結果の分類などの追加コンテキストでデータを拡充します。event1.action などのフィールドを特定の UDM メタデータ イベントタイプにマッピングすることで、さまざまなイベントタイプを処理します。可能な場合は、デフォルトで GENERIC_EVENT またはより具体的なカテゴリが使用されます。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス。
• Elastic Auditbeat サーバーへの特権アクセス。
• Logstash サーバーへの特権アクセス。
• AWS（S3、Identity and Access Management（IAM））への特権アクセス。

Elastic Auditbeat の前提条件を取得する

1. Elastic Auditbeat がサーバーにインストールされ、構成されていることを確認します。
2. 専用サーバーまたは Auditbeat とともに Logstash をインストールします。
3. Auditbeat 構成ファイルの場所（通常は /etc/auditbeat/auditbeat.yml）をメモします。

Google SecOps 用に AWS S3 バケットと IAM を構成する

1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
2. 後で参照できるように、バケットの名前とリージョンを保存します（例: elastic-auditbeat-logs）。
3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
4. 作成したユーザーを選択します。
5. [セキュリティ認証情報] タブを選択します。
6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。
7. [ユースケース] として [サードパーティ サービス] を選択します。
8. [次へ] をクリックします。
9. 省略可: 説明タグを追加します。
10. [アクセスキーを作成] をクリックします。
11. [.csv ファイルをダウンロード] をクリックし、[アクセスキー] と [シークレット アクセスキー] を保存して、今後の参照に備えます。
12. [完了] をクリックします。
13. [権限] タブを選択します。
14. [権限ポリシー] セクションの [権限を追加] をクリックします。
15. [権限を追加] を選択します。
16. [ポリシーを直接アタッチする] を選択します。
17. AmazonS3FullAccess ポリシーを検索します。
18. ポリシーを選択します。
19. [次へ] をクリックします。
20. [権限を追加] をクリックします。

Logstash に送信するように Auditbeat を構成する

1. Auditbeat 構成ファイル /etc/auditbeat/auditbeat.yml を編集します。
2. 既存の出力構成（Elasticsearch など）をコメントアウトします。

3. Logstash 出力構成を追加します。

   # ==================== Outputs ====================
   output.logstash:
     hosts: ["localhost:5044"]
     # If Logstash is on a different server, use its IP/hostname
     # hosts: ["logstash-server:5044"]
   
     # Optional: Enable load balancing if using multiple Logstash instances
     loadbalance: true
   
     # Optional: Configure bulk settings (default is 2048)
     bulk_max_size: 2048
   
     # Optional: Configure SSL if needed
     # ssl.enabled: true
     # ssl.certificate_authorities: ["/path/to/ca.crt"]
   

4. Auditbeat を再起動して変更を適用します。

   sudo systemctl restart auditbeat
   

Logstash パイプラインを構成する

1. 新しい Logstash パイプライン構成ファイル /etc/logstash/conf.d/auditbeat-to-s3.conf を作成します。

   input {
     beats {
       port => 5044
       # Optional: Configure SSL
       # ssl => true
       # ssl_certificate => "/path/to/server.crt"
       # ssl_key => "/path/to/server.key"
     }
   }
   
   filter {
     # Add any necessary transformations here
     # The data should remain in raw JSON format for Chronicle parsing
   
     # Optional: Add metadata for debugging
     mutate {
       add_field => { "[@metadata][pipeline]" => "auditbeat-to-s3" }
     }
   }
   
   output {
     s3 {
       # AWS credentials
       access_key_id => "YOUR_AWS_ACCESS_KEY_ID"
       secret_access_key => "YOUR_AWS_SECRET_ACCESS_KEY"
   
       # S3 bucket configuration
       region => "us-east-1"  # Replace with your bucket region
       bucket => "elastic-auditbeat-logs"  # Replace with your bucket name
   
       # Organize logs by date using Logstash timestamp interpolation
       prefix => "auditbeat/%{+YYYY}/%{+MM}/%{+dd}/"
   
       # File rotation settings
       size_file => 10485760  # 10MB files
       time_file => 5  # Rotate every 5 minutes
   
       # Compression for cost optimization
       encoding => "gzip"
   
       # Output format - keep as JSON for Chronicle
       codec => "json_lines"
   
       # Optional: Server-side encryption
       # server_side_encryption => true
       # server_side_encryption_algorithm => "AES256"
     }
   
     # Optional: Keep a local copy for debugging
     # stdout { 
     #   codec => rubydebug 
     # }
   }
   

   • YOUR_AWS_ACCESS_KEY_ID と YOUR_AWS_SECRET_ACCESS_KEY は、実際の AWS 認証情報に置き換えます。
   • S3 構成に合わせて region と bucket の値を更新します。
   • Logstash を起動または再起動します。

   sudo systemctl restart logstash
   

（省略可）Google SecOps 用の読み取り専用の IAM ユーザーと鍵を作成する

1. AWS コンソール > IAM > ユーザーに移動します。
2. [ユーザーを追加] をクリックします。
3. 次の構成の詳細を入力します。
   • ユーザー: 「secops-reader」と入力します。
   • アクセスの種類: [アクセスキー - プログラムによるアクセス] を選択します。
4. [ユーザーを作成] をクリックします。
5. 最小限の読み取りポリシー（カスタム）を関連付ける: [ユーザー] > [secops-reader] > [権限] > [権限を追加] > [ポリシーを直接関連付ける] > [ポリシーを作成]。

6. JSON:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::elastic-auditbeat-logs/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::elastic-auditbeat-logs"
       }
     ]
   }
   

7. 名前 = secops-reader-policy。

8. [ポリシーを作成> 検索/選択> 次へ> 権限を追加] をクリックします。

9. secops-reader のアクセスキーを作成します。[セキュリティ認証情報] > [アクセスキー] に移動します。

10. [アクセスキーを作成] をクリックします。

11. .CSV をダウンロードします。（これらの値はフィードに貼り付けます）。

Elastic Auditbeat のログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [+ 新しいフィードを追加] をクリックします。
3. [フィード名] フィールドに、フィードの名前を入力します（例: Elastic Auditbeat Logs）。
4. [ソースタイプ] として [Amazon S3 V2] を選択します。
5. [ログタイプ] として [Elastic Audit Beats] を選択します。
6. [次へ] をクリックします。
7. 次の入力パラメータの値を指定します。
   • S3 URI: s3://elastic-auditbeat-logs/auditbeat/
   • Source deletion options: 必要に応じて削除オプションを選択します。
   • ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
   • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー。
   • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー。
   • アセットの名前空間: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
8. [次へ] をクリックします。
9. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。