Symantec Event Export ログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Symantec Event Export のログを収集する方法について説明します。

詳細については、Google Security Operations　へのデータの取り込みの概要をご覧ください。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。 このドキュメントの情報は、取り込みラベル SYMANTEC_EVENT_EXPORT と SEP が付加されたパーサーに適用されます。

Symantec Event Export を構成する

1. SEP 15/14.2 コンソールにログインします。
2. [統合] を選択します。
3. [Client Application] をクリックし、Customer ID と Domain ID をコピーします。これらは、Google Security Operations フィードを作成する際に使用します。
4. [+ 追加] をクリックして、アプリケーション名を入力します。
5. [追加] をクリックします。
6. [詳細] ページに移動し、次の操作を行います。
   • [デバイス グループの管理] セクションで、[表示] を選択します。
   • [Alerts & Events Rule Management] セクションで、[View] を選択します。
   • [調査インシデント] セクションで、[表示] を選択します。
7. [保存] をクリックします。
8. アプリケーション名の末尾にあるメニュー（縦三点リーダー）をクリックし、[クライアント シークレット] をクリックします。
9. Google Security Operations フィードを構成する際に必要となるクライアント ID とクライアント シークレットをコピーします。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Symantec Event Export Logs）。
5. [ソースタイプ] として [Google Cloud Storage] を選択します。
6. [Log Type] として [Symantec Event export] を選択します。
7. [サービス アカウントを取得する] をクリックします。Google Security Operations は、Google Security Operations がデータの取り込みに使用する一意のサービス アカウントを提供します。
8. Cloud Storage オブジェクトにアクセスするためのサービス アカウントのアクセス権を構成します。詳細については、Google Security Operations サービス アカウントへのアクセス権を付与するをご覧ください。
9. [次へ] をクリックします。
10. 次の必須入力パラメータを構成します。
    • ストレージ バケット URI: ストレージ バケット URI を指定します。
    • URI is a: URI を指定します。
    • ソース削除オプション: ソース削除オプションを指定します。
11. [次へ] をクリックしてから、[送信] をクリックします。

Google Security Operations　フィードの詳細については、Google Security Operations　フィードのドキュメントをご覧ください。

各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。

フィードの作成時に問題が発生した場合は、Google Security Operations　サポートにお問い合わせください。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• ストレージ バケット URI: ストレージ バケット URI を指定します。
• URI is a: URI を指定します。
• ソース削除オプション: ソース削除オプションを指定します。

詳細オプション

• フィード名: フィードを識別する事前入力された値。
• ソースタイプ: Google SecOps にログを収集するために使用される方法。
• アセットの名前空間: フィードに関連付けられた名前空間。
• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

フィールド マッピング リファレンス

このパーサーは、JSON または SYSLOG 形式の Symantec Event Export ログからフィールドを抽出し、正規化して UDM にマッピングします。さまざまなログ構造を処理し、SYSLOG には grok パターンを使用し、JSON 形式のログには JSON 解析を使用して、フィールドを principal、target、network、security_result などの UDM エンティティにマッピングします。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。