VMware ESXi ログを収集する

概要

このパーサーは、VMware ESXi syslog と JSON 形式のログからフィールドを抽出します。さまざまな ESXi ログ形式を共通の構造に正規化し、抽出された値に基づいて UDM フィールドに入力します。これには、インクルード ファイルを使用して crond、named、sshd などのさまざまな ESXi サービスに固有のケースを処理することも含まれます。

始める前に

• Google SecOps インスタンスがあることを確認します。
• VMWare ESX への特権アクセス権があることを確認します。
• Windows 2012 SP2 以降または systemd を使用する Linux ホストがあることを確認します。
• プロキシの背後で実行している場合は、ファイアウォール ポートが開いていることを確認します。

Google SecOps の取り込み認証ファイルを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM Settings] > [Collection Agents] に移動します。
3. Ingestion Authentication File をダウンロードします。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。
3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

1. Windows へのインストールの場合は、次のスクリプトを実行します。msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet。
2. Linux へのインストールの場合は、次のスクリプトを実行します。sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh。
3. その他のインストール オプションについては、インストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane Agent を構成する

1. Bindplane エージェントがインストールされているマシンにアクセスします。

2. config.yaml ファイルを次のように編集します。

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 次のコマンドを使用して Bindplane Agent を再起動して、変更を適用します。 sudo systemctl bindplane restart

syslog ESXi ファイアウォール ルールを許可する

1. [ネットワーキング] > [ファイアウォール ルール] に移動します。
2. [名前列] で [syslog] を見つけます。
3. [設定を編集] をクリックします。
4. Bindplane で構成した tcp ポートまたは udp ポートを更新します。
5. [保存] をクリックします。
6. syslog 行を選択したままにします。
7. [アクション] > [有効にする] を選択します。

vSphere Client を使用して VMware ESXi から Syslog をエクスポートする

1. vSphere Client を使用して ESXi ホストにログインします。
2. [Manage] > [System] > [Advanced Settings] に移動します。
3. リストで Syslog.global.logHost キーを見つけます。
4. キーを選択して、[編集オプション] をクリックします。
5. <protocol>://<destination_IP>:<port> を入力する
   • <protocol> を tcp に置き換えます（UDP を使用するように Bindplane Agent を構成した場合は、udp を入力します）。
   • <destination_IP> は、Bindplane Agent の IP アドレスに置き換えます。
   • <port> は、Bindplane Agent で以前に設定したポートに置き換えます。
6. [保存] をクリックします。

省略可: SSH を使用して VMware ESXi から Syslog をエクスポートする

1. SSH を使用して ESXi ホストに接続します。
2. esxcli system syslog config set --loghost=<protocol>://<destination_IP>:<port> コマンドを使用します。
   • <protocol> を tcp に置き換えます（UDP を使用するように Bindplane Agent を構成した場合は、udp を入力します）。
   • <destination_IP> は、Bindplane Agent の IP アドレスに置き換えます。
   • <port> は、Bindplane で以前に設定したポートに置き換えます。
3. コマンド /etc/init.d/syslog restart を入力して、syslog サービスを再起動します。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。