このページは Cloud Translation API によって翻訳されました。

Suricata Eve ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Security Operations で SURICATA_EVE ログを表示する方法について説明します。

次のデプロイアーキテクチャ図は、Google Security Operations にログを送信するように SURICATA_EVE と Logstash を構成する方法を示しています。

デプロイアーキテクチャ

Suricata はデータを eve.json ファイルに保存します。
Logstash は eve.json ファイルを監視し、新しいログを syslog サーバーに転送します。syslog サーバーは、同じ VM または別の VM のフォワーダーにすることができます。
syslog サーバーは、Google Security Operations フォワーダーを使用して、特定のポートで新しいログをリッスンします。
Google Security Operations フォワーダーは、ログを Google Security Operations インスタンスに転送します。

始める前に

Identity and Access Management（IAM）を使用して、組織とリソースのアクセス制御が設定されていることを確認します。アクセス制御の詳細については、IAM を使用した組織のアクセス制御をご覧ください。
デプロイアーキテクチャ内のすべてのシステムが、UTC タイムゾーンに構成されていることを確認します。

内部ネットワークロードバランサを作成します。
パケットミラーリングを設定します。
Suricata をインストールし、アラートが eve.json ファイルに保存されていることを確認します。eve.json ファイルの場所をメモします。
Suricata サーバーに Logstash をインストールします。
Logstash 構成ファイル（/etc/logstash/conf.d/logstash.conf）を編集します。

a. 以下のコードを追加:
- SYSLOG_SERVER は、Syslog サーバーの場所に置き換えます。
- ポート番号（この例では 10520）が Google Security Operations フォワーダー構成のポート番号と一致していることを確認します。
```
input {
  file {
      path => "/var/log/suricata/eve.json"
       start_position => "end"
       sincedb_path => "/dev/null"
   }
}
output {
   udp {
       host => "SYSLOG_SERVER"
       port => 10520
       codec => line { format => "%{message}"}
   }
}
```
b. output.udp.host IP アドレスを変更します。
- Google Security Operations 転送ツールが syslog サーバーとは異なるシステムにある場合は、syslog サーバーの IP アドレスを使用します。
- Google Security Operations フォワーダーが syslog サーバーと同じシステムにある場合は、内部 IP アドレスを使用します。

syslog ヘッダーを削除する構成で、rsyslog などの別のログフォワーダーソリューションを使用できます。

SURICATA_EVE ログの取り込み時に問題が発生した場合は、Google Security Operations サポートにお問い合わせください。

Google Security Operations でデータを取得する方法については、Google Security Operations へのデータの取り込みの概要をご覧ください。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。