OpenCanary のログを収集する

概要

このパーサーは、OpenCanary SYSLOG ログと JSON ログからフィールドを抽出し、UDM 形式に正規化して、metadata.event_type や security_result.severity などの派生フィールドでデータを拡充します。さまざまなログ形式を処理し、IP アドレスの検証を行い、フィールドを principal、target、network などの適切な UDM オブジェクトにマッピングします。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス。
• OpenCanary への特権アクセス。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: OpenCanary Logs）。
5. [Source type] として [Webhook] を選択します。
6. [Log type] として [OpenCanary] を選択します。
7. [次へ] をクリックします。
8. 省略可: 次の入力パラメータの値を指定します。
   • Split delimiter: ログ行を区切るために使用される区切り文字（\n など）。
9. [次へ] をクリックします。
10. [Finalize] 画面でフィードの設定を確認し、[Submit] をクリックします。
11. [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。
12. 秘密鍵をコピーして保存します。この秘密鍵を再び表示することはできません。必要に応じて、新しい秘密鍵を再生成できますが、その場合以前の秘密鍵は無効になります。
13. [詳細] タブで、[エンドポイント情報] フィールドから、フィードのエンドポイント URL をコピーします。 このエンドポイント URL をクライアント アプリケーション内で指定する必要があります。
14. [完了] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• Split delimiter: ログ行を区切るために使用される区切り文字（\n など）。

詳細オプション

• フィード名: フィードを識別する値が事前入力されています。
• ソースタイプ: ログを Google SecOps に収集するために使用される方法。
• アセット Namespace: フィードに関連付けられた Namespace。

• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

• [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。

• 秘密鍵をコピーして保存します。この秘密鍵を再び表示することはできません。必要に応じて、新しい秘密鍵を再生成できますが、その場合以前の秘密鍵は無効になります。

• [詳細] タブで、[エンドポイント情報] フィールドから、フィードのエンドポイント URL をコピーします。 このエンドポイント URL をクライアント アプリケーション内で指定する必要があります。

Webhook フィード用の API キーを作成する

1. Google Cloud コンソール > [認証情報] に移動します。

   [認証情報] に移動

2. [認証情報を作成] をクリックして [API キー] を選択します。

3. API キーのアクセスを Google Security Operations API に制限します。

エンドポイント URL を指定する

1. クライアント アプリケーション内で、Webhook フィードで提供される HTTPS エンドポイント URL を指定します。

2. 次の形式でカスタム ヘッダーの一部として API キーと秘密鍵を指定して、認証を有効にします。

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   推奨事項: API キーは URL 内で指定するのではなくヘッダーとして指定してください。

3. Webhook クライアントがカスタム ヘッダーをサポートしていない場合は、次の形式のクエリ パラメータを使用して API キーと秘密鍵を指定できます。

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   以下を置き換えます。

   • ENDPOINT_URL: フィード エンドポイントの URL。
   • API_KEY: Google Security Operations に対する認証に使用する API キー。
   • SECRET: フィードの認証用に生成した秘密鍵。

Google SecOps 用の OpenCanary Webhook を設定する

1. OpenCanary 構成ファイル config.json を見つけます。

2. テキスト エディタで config.json ファイルを開きます。

3. 構成ファイル内で alerters というラベルの付いたセクションを見つけます。

4. webhook アラートがすでに存在する場合は、それを変更します。それ以外の場合は、webhook アラートの新しいエントリを追加します。

5. 次の構成を使用します（ENDPOINT_URL、SECRET、API_KEY は実際の値に置き換えてください）。

"handlers": {
    "Webhook": {
        "class": "opencanary.logger.WebhookHandler",
        "url": "<ENDPOINT_URL>",
        "method": "POST",
        "data": {"message": "%(message)s"},
        "status_code": 200,
        "headers": {
            "X-Webhook-Access-Key": "<SECRET>",
            "X-goog-api-key": "<API_KEY>"
         }
    }
}

1. config.json ファイルを保存します。
2. OpenCanary サービスを再起動して変更を適用します（例: sudo systemctl restart opencanary）。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。