Micro Focus NetIQ Access Manager のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Micro Focus NetIQ Access Manager ログを Google Security Operations に収集する方法について説明します。Micro Focus NetIQ Access Manager は、一元化された認証、認可、シングル サインオン（SSO）機能を提供することで、アプリケーションとデータを保護するように設計された Identity and Access Management（IAM）ソリューションです。

始める前に

  • Google Security Operations インスタンスがあることを確認します。
  • Windows 2016 以降、または systemd を使用する Linux ホストを使用していることを確認します。
  • プロキシの背後で実行している場合は、ファイアウォール ポートが開いていることを確認します。
  • NetIQ Access Manager への特権アクセス権があることを確認します。

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [コレクション エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストール リソース

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。

    1. config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストール ディレクトリにあります。
    2. テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:5252"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: SYSLOG
            namespace: netiq_access
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

  3. 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。

  4. <customer_id> は、実際の顧客 ID に置き換えます。

  5. /path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したパスに更新します。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart bindplane-agent

  • Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

    net stop BindPlaneAgent && net start BindPlaneAgent

NetIQ Access Manager で Identity Server の監査イベントを構成する

  1. NetIQ 管理コンソールにログインします。
  2. [デバイス] > [ID サーバー] > [サーバー] > [編集] > [監査とロギング] を選択します。
  3. [監査ロギング] で [有効] を選択します。
  4. すべてのイベントを監査するには、[すべて選択] を選択します。
  5. [適用> OK] をクリックします。
  6. [Servers>Update servers] をクリックします。

NetIQ Access Manager で Access Gateway の監査イベントを構成する

  1. NetIQ 管理コンソールにログインします。
  2. [デバイス> アクセス ゲートウェイ> 編集> 監査] に移動します。
  3. [すべて選択] をクリックします。
  4. [OK> OK] をクリックします。
  5. [アクセス ゲートウェイ] ページで、[更新] をクリックします。

NetIQ Access Manager でロギング サーバーを構成する

  1. NetIQ 管理コンソールにログインします。
  2. [監査] をクリックします。

  3. 次の詳細を指定します。

    • syslog を使用してメッセージを監査する: 監査イベントを監査サーバーに送信するには、このオプションを選択します。
    • 監査サーバーの障害時にサービスを停止する: 空白のままにします。
    • サーバー リスニング アドレス: Bindplane の IP アドレスを入力します。
    • ポート: Bindplane への接続に使用する Syslog ポートを指定します。
    • 形式: [CSV] を選択します。
    • 管理コンソールの監査イベント: [すべて] を選択します。

  4. 監査用に syslog が選択されている場合は、次の操作を行います。

    1. nam.conf で、SYSLOG_DAEMON の値を rsyslog に変更します。これにより、デフォルトの syslog デーモンが rsyslog に変更されます。

    2. Auditlogging.cfg ファイルを編集して SERVERIP マクロと SERVERPORT マクロの両方を空に設定するには、次のコマンドを実行します。

      LOGDEST=syslog
FORMAT=JSON
SERVERIP=
SERVERPORT=

  5. UDP を構成するには、次のコマンドを実行します。

      #$ModLoad imtcp # load TCP listener
  $InputTCPServerRun 1290
  $template ForwardFormat,"<%PRI%>%TIMESTAMP:::date-rfc3164% %HOSTNAME% %syslogtag:1:32%%msg:::sp-if-no-1st-sp%%msg%\n"
  $ModLoad imudp
  local0.* @FORWARDERIP:PORT_NUMBER;ForwardFormat

  6. rsyslog サービスを再起動します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。