Wazuh ログを収集する

概要

この Wazuh パーサーは、SYSLOG 形式と JSON 形式のログを取り込み、フィールドを共通形式に正規化し、Wazuh 固有のメタデータで拡充します。次に、event_type フィールドと rule_id フィールドに基づいて一連の条件ステートメントを使用し、未加工のログデータを適切な UDM イベントタイプとフィールドにマッピングして、Wazuh エコシステム内のさまざまなログ形式とエッジケースを処理します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス。
• アクティブな Wazuh インスタンス。
• Wazuh 構成ファイルへの特権アクセス。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード]
• [Content Hub] > [Content Packs]

[SIEM 設定] > [フィード] でフィードを設定する

フィードを構成する手順は次のとおりです。

1. [SIEM Settings] > [Feeds] に移動します。
2. [Add New Feed] をクリックします。
3. 次のページで [単一のフィードを設定] をクリックします。
4. [フィード名] フィールドに、フィードの名前を入力します（例: Wazuh Logs）。
5. [Source type] として [Webhook] を選択します。
6. [ログタイプ] として [Wazuh] を選択します。
7. [次へ] をクリックします。
8. 省略可: 次の入力パラメータの値を指定します。
   • Split delimiter: ログ行を区切るために使用される区切り文字（\n など）。
9. [次へ] をクリックします。
10. [Finalize] 画面でフィードの設定を確認し、[Submit] をクリックします。
11. [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。
12. 秘密鍵をコピーして保存します。この秘密鍵を再び表示することはできません。必要に応じて、新しい秘密鍵を再生成できますが、この操作により以前の秘密鍵は無効になります。
13. [詳細] タブで、[エンドポイント情報] フィールドから、フィードのエンドポイント URL をコピーします。このエンドポイント URL をクライアント アプリケーション内で指定する必要があります。
14. [完了] をクリックします。

コンテンツ ハブからフィードを設定する

次のフィールドに値を指定します。

• Split delimiter: ログ行を区切るために使用される区切り文字（\n など）。

  詳細オプション

• フィード名: フィードを識別する事前入力された値。

• ソースタイプ: Google SecOps にログを収集するために使用される方法。

• アセットの名前空間: フィードに関連付けられた名前空間。

• Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

• [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。

• 秘密鍵をコピーして保存します。この秘密鍵を再び表示することはできません。必要に応じて、新しい秘密鍵を再生成できますが、この操作により以前の秘密鍵は無効になります。

• [詳細] タブで、[エンドポイント情報] フィールドから、フィードのエンドポイント URL をコピーします。このエンドポイント URL をクライアント アプリケーション内で指定する必要があります。

Webhook フィード用の API キーを作成する

1. **Google Cloud コンソール > [認証情報] に移動します。

   [認証情報] に移動

2. [認証情報を作成] をクリックして [API キー] を選択します。

3. API キーのアクセスを Google Security Operations API に制限します。

エンドポイント URL を指定する

1. クライアント アプリケーション内で、Webhook フィードで提供される HTTPS エンドポイント URL を指定します。

2. 次の形式でカスタム ヘッダーの一部として API キーと秘密鍵を指定して、認証を有効にします。

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   推奨事項: API キーは URL 内ではなくヘッダーとして指定してください。Webhook クライアントがカスタム ヘッダーをサポートしていない場合は、次の形式のクエリ パラメータを使用して API キーと秘密鍵を指定できます。

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

以下を置き換えます。

• ENDPOINT_URL: フィード エンドポイントの URL。
• API_KEY: Google Security Operations に対する認証に使用する API キー。
• SECRET: フィードの認証用に生成した秘密鍵。

Wazuh Cloud Webhook を構成する

Wazuh Cloud Webhook を構成するには、次の手順を行います。

1. Wazuh Cloud にログインします。
2. 左側のペインのメニューにある [サーバー管理] の下の [設定] に移動します。
3. [構成を編集] をクリックします。

4. 構成の <integration> セクション内に次の統合ブロックを追加します。

   • セクションが存在しない場合は、<integration> を使用してブロック全体をコピーして作成します。
   • プレースホルダの値を実際の Google SecOps の詳細に置き換えます。

<integration>
  <name>google-chronicle</name>
  <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
  <alert_format>json</alert_format>
  <level>0</level>  <!-- Adjust the level as needed -->
</integration>

• CHRONICLE_REGION: Google SecOps リージョン（us、europe-west1 など）。
• GOOGLE_PROJECT_NUMBER: Google Cloud プロジェクト番号。
• LOCATION: Google SecOps リージョン（us、europe-west1 など）。
• CUSTOMER_ID: Google SecOps のお客様 ID。
• FEED_ID: Google SecOps フィードの ID。
• API_KEY: Google SecOps をホストする Google Cloud の API キー。
• SECRET: Google SecOps フィードのシークレット。
• alert_format: Google SecOps との互換性のために json に設定します。
• level: 転送する最小アラートレベルを指定します。0 はすべてのアラートを送信します。

1. [保存] ボタンをクリックします。
2. [wazuh-manager を再起動] をクリックします。

Wazuh On-Premise Webhook を構成する

Wazuh On-Premise Webhook を構成する手順は次のとおりです。

1. オンプレミスの Wazuh マネージャーにアクセスします。
2. /var/ossec/etc/ ディレクトリに移動します。
3. テキスト エディタ（nano、vim など）を使用して ossec.conf ファイルを開きます。

4. 構成の <integration> セクション内に次の統合ブロックを追加します。

   • セクションが存在しない場合は、<integration> を使用してブロック全体をコピーして作成します。
   • プレースホルダの値を実際の Google SecOps の詳細に置き換えます。

   <integration>
      <name>google-chronicle</name>
      <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
      <alert_format>json</alert_format>
      <level>0</level>  <!-- Adjust the level as needed -->
   </integration>
   

   • CHRONICLE_REGION: Google SecOps リージョン（us、europe-west1 など）。
   • GOOGLE_PROJECT_NUMBER: Google Cloud プロジェクト番号。
   • LOCATION: Google SecOps リージョン（us、europe-west1 など）。
   • CUSTOMER_ID: Google SecOps のお客様 ID。
   • FEED_ID: Google SecOps フィードの ID。
   • API_KEY: Google SecOps をホストする Google Cloud の API キー。
   • SECRET: Google SecOps フィードのシークレット。
   • alert_format: Google SecOps との互換性のために json に設定します。
   • level: 転送する最小アラートレベルを指定します。0 はすべてのアラートを送信します。

5. Wazuh マネージャーを再起動して変更を適用します。

   sudo systemctl restart wazuh-manager
   

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。