Kemp Load Balancer のログを収集する

以下でサポートされています。

このドキュメントでは、Google Security Operations フォワーダーを使用して Kemp ロードバランサのログを収集する方法について説明します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、取り込みラベル KEMP_LOADBALANCER が付加されたパーサーに適用されます。

Kemp Load Balancer を構成する

  1. Kemp Load Balancer コンソールにログインします。
  2. [Logging options] > [Syslog options] を選択します。

  3. [Syslog options] セクションで、使用可能なフィールドのいずれかに Google Security Operations フォワーダーの IP アドレスを指定します。

    [Info host] フィールドに IP アドレスを指定することをおすすめします。

  4. [Change syslog parameters] をクリックします。

Kemp Load Balancer のログを取り込むように Google Security Operations フォワーダーを構成する

  1. [SIEM の設定] > [フォワーダー] を選択します。
  2. [新しいフォワーダーの追加] をクリックします。
  3. [Forwarder name] フィールドに、フォワーダーの一意の名前を入力します。
  4. [Submit]、[Confirm] の順にクリックします。フォワーダーが追加され、[コレクタの構成を追加する] ウィンドウが表示されます。
  5. [Collector name] フィールドに、コレクタの一意の名前を入力します。
  6. [Log type] として [Kemp Load Balancer] を選択します。
  7. [Collector type] として [Syslog] を選択します。
  8. 次の必須入力パラメータを構成します。
    • Protocol: コレクタが syslog データをリッスンするために使用する接続プロトコルを指定します。
    • アドレス: コレクタが存在し、Syslog データをリッスンするターゲット IP アドレスまたはホスト名を指定します。
    • ポート: コレクタが存在し、syslog データをリッスンするターゲット ポートを指定します。
  9. [送信] をクリックします。

Google Security Operations フォワーダーの詳細については、Google Security Operations UI を使用してフォワーダー構成を管理するをご覧ください。

フォワーダーの作成時に問題が発生した場合は、Google Security Operations サポートにお問い合わせください。

フィールド マッピング リファレンス

このパーサーは、log_number フィールドに基づいて Kemp Load Balancer の Syslog メッセージからフィールドを抽出し、UDM にマッピングします。grok パターンと条件付きロジックを使用してさまざまなログ形式を処理し、データ型を変換して、イベントタイプ、アプリケーション プロトコル、セキュリティ結果などのメタデータでイベントを拡充します。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
collection_time.seconds metadata.event_timestamp.seconds timestamp が存在しない場合、ログ収集時間がイベント タイムスタンプとして使用されます。ナノ秒は切り捨てられます。
データ metadata.description | network.http.method | principal.ip | principal.port | target.ip | target.port | network.http.response_code | target.user.userid | target.file.full_path | target.file.size | network.ftp.command | metadata.product_event_type | target.url | security_result.summary 未加工のログ メッセージ。ログ番号と解析ロジックに基づいて、このフィールドからさまざまなフィールドが抽出されます。
dstip target.ip 宛先 IP アドレス。
dstport target.port 宛先ポート。
filename target.file.full_path FTP イベントのファイル名。
file_size target.file.size FTP イベントのファイルサイズ。符号なし整数に変換されます。
ftpmethod network.ftp.command FTP コマンド/メソッド。
ホスト名 intermediary.hostname CEF 形式のログから取得したホスト名。
http_method network.http.method HTTP メソッド。
http_response_code network.http.response_code HTTP レスポンス コード整数に変換されます。
kv_data principal.ip | principal.port | target.ip | target.port | metadata.product_event_type | target.url CEF 形式のログから取得した Key-Value ペア。さまざまなフィールドの抽出に使用されます。
log_event metadata.product_event_type CEF 形式のログから取得したイベントタイプ。
log_time metadata.event_timestamp.seconds ログのタイムスタンプ。Chronicle 形式に変換され、イベント タイムスタンプとして使用されます。ナノ秒は切り捨てられます。
msg/message data を表示 メインのログメッセージが含まれます。UDM マッピングの詳細については、data をご覧ください。
pid target.process.pid プロセス ID。
リソース target.url アクセスされたリソース。
srcip principal.ip 送信元 IP アドレス。
src_ip principal.ip 送信元 IP アドレス。
srcport principal.port ソースポート。
src_port principal.port ソースポート。
sshd target.application SSH デーモン名。
概要 security_result.summary セキュリティ結果の概要。
timestamp.seconds events.timestamp.seconds ログエントリのタイムスタンプ。イベント タイムスタンプとして使用されます（存在する場合）。
ユーザー target.user.userid ユーザー名。
対 target.ip | target.port 仮想サーバーの IP とポート。IP は target.ip にマッピングされます。dstport が存在しない場合、ポートは target.port にマッピングされます。
vs_port target.port 仮想サーバーポート。log_number、dest_port、login_status、log_event に基づくロジックによって決定されます。可能な値は GENERIC_EVENT、NETWORK_HTTP、NETWORK_CONNECTION、USER_LOGIN、USER_UNCATEGORIZED です。「KEMP_LOADBALANCER」にハードコードされます。「KEMP_LOADBALANCER」にハードコードされます。「KEMP」にハードコードされます。dest_port によって決定されます。有効な値は HTTP（ポート 80）と HTTPS（ポート 443）です。login_status と audit_msg によって決定されます。有効な値は ALLOW、BLOCK です。audit_msg によって決定されます。有効な値は ERROR です。USER_LOGIN イベントの場合は「AUTHTYPE_UNSPECIFIED」に設定します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。