SentinelOne Deep Visibility ログを収集する

このドキュメントでは、ログを Google Cloud Storage にエクスポートする Cloud Funnel を使用して、SentinelOne Deep Visibility ログを Google Security Operations にエクスポートする方法について説明します。パーサーは、未加工の JSON 形式のセキュリティ イベントログを UDM に準拠した構造化形式に変換します。まず、一連の変数を初期化し、イベントタイプを抽出して JSON ペイロードを解析し、関連するフィールドを UDM スキーマにマッピングします。このとき、Windows イベントログは個別に処理します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス
• Google Cloudへの特権アクセス
• 環境に設定された SentinelOne Deep Visibility
• SentinelOne への特権アクセス

Google Cloud Storage バケットを作成する

1. Google Cloud コンソールにログインします。

2. [Cloud Storage バケット] のページに移動します。

   [バケット] に移動

3. [作成] をクリックします。

4. [バケットの作成] ページでユーザーのバケット情報を入力します。以下のステップでは、操作を完了した後に [続行] をクリックして、次のステップに進みます。

   1. [始める] セクションで、次の操作を行います。

      1. バケット名の要件を満たす一意の名前（例: sentinelone-deepvisibility）を入力します。

      2. 階層名前空間を有効にするには、展開矢印をクリックして [Optimize for file oriented and data-intensive workloads] セクションを開き、[このバケットで階層的な名前空間を有効にする] を選択します。

      3. バケットラベルを追加するには、展開矢印をクリックして [ラベル] セクションを開きます。

      4. [ラベルを追加] をクリックし、ラベルのキーと値を指定します。

   2. [データの保存場所の選択] セクションで、次の操作を行います。

      1. ロケーション タイプを選択してください。

      2. ロケーション タイプのメニューを使用して、バケット内のオブジェクト データが永続的に保存されるロケーションを選択します。

      3. クロスバケット レプリケーションを設定するには、[クロスバケット レプリケーションを設定する] セクションを開きます。

   3. [データのストレージ クラスを選択する] セクションで、バケットのデフォルトのストレージ クラスを選択します。あるいは、Autoclass を選択して、バケットデータのストレージ クラスを自動的に管理します。

   4. [オブジェクトへのアクセスを制御する方法を選択する] セクションで、[なし] を選択して公開アクセスの防止を適用し、バケットのオブジェクトの [アクセス制御モデル] を選択します。

   5. [オブジェクト データを保護する方法を選択する] セクションで、次の操作を行います。

      1. [データ保護] で、バケットに設定するオプションを選択します。
      2. オブジェクト データの暗号化方法を選択するには、[データ暗号化] というラベルの付いた展開矢印をクリックし、データの暗号化方法を選択します。

5. [作成] をクリックします。

Google Cloud サービス アカウントを作成する

1. [IAM と管理] > [サービス アカウント] に移動します。
2. 新しいサービス アカウントを作成します。
3. わかりやすい名前を付けます（sentinelone-dv-logs など）。
4. 前の手順で作成した Cloud Storage バケットに対する ストレージ オブジェクト作成者のロールをサービス アカウントに付与します。
5. サービス アカウント用の SSH キーを作成します。
6. サービス アカウント用の JSON キーファイルをダウンロードします。このファイルは安全に保管してください。

SentinelOne DeepVisibility で Cloud ファネルを構成する方法

1. SentinelOne DeepVisibility にログインします。
2. [Configure] > [Policy & Settings] をクリックします。
3. [Singularity Data Lake] セクションで、[Cloud Funnel] をクリックします。
4. 次の構成の詳細を指定します。
   • Cloud Provider: Google Cloudを選択します。
   • バケット名: SentinelOne DeepVisibility ログの取り込み用に作成した Cloud Storage バケットの名前を入力します。
   • テレメトリー ストリーミング: [有効] を選択します。
   • クエリフィルタ: Cloud Storage バケットにデータを送信する必要があるエージェントを含むクエリを作成します。
   • [検証] をクリックします。
   • 含めるフィールド: すべてのフィールドを選択します。
5. [保存] をクリックします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

このプロダクト ファミリー内で異なるログタイプに対して複数のフィードを構成するには、プロダクトごとにフィードを構成するをご覧ください。

1 つのフィードを設定する手順は次のとおりです。

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで、[単一フィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: SentinelOne DV Logs）。
5. [Source type] として [Google Cloud Storage] を選択します。
6. [ログタイプ] として [SentinelOne Deep Visibility] を選択します。
7. Chronicle サービス アカウントとして [サービス アカウントを取得する] をクリックします。
8. [次へ] をクリックします。

9. 次の入力パラメータの値を指定します。

   • Storage Bucket URI: gs://my-bucket/<value> 形式の Google Cloud Storage バケット URL。
   • URI Is A: [サブディレクトリを含むディレクトリ] を選択します。

   • Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

   • アセットの名前空間: アセットの名前空間。

   • Ingestion labels: このフィードのイベントに適用されるラベル。

10. [次へ] をクリックします。

11. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• ストレージ バケット URI: Google Cloud Storage バケットのソース URI。
• URI is a: ログストリームの構成（[単一ファイル] | [ディレクトリ] | [サブディレクトリを含むディレクトリ]）に応じて URI タイプを選択します。
• Source deletion options: 取り込みの設定に応じて削除オプションを選択します。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• Asset Namespace: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。