Workday 監査ログを収集する

このドキュメントでは、AWS S3 を使用して Workday 監査ログを Google Security Operations に取り込む方法について説明します。パーサーは、まず CSV データのパターン分析に基づいて、ログから特定のイベントタイプを特定します。次に、特定されたタイプに従って関連するフィールドを抽出して構造化し、一貫したセキュリティ分析のために統合データモデル（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• AWS への特権アクセス
• Workday への特権アクセス

Google SecOps 用に AWS S3 バケットと IAM を構成する

1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
2. 後で参照できるように、バケットの名前とリージョンを保存します（例: workday-audit-logs）。
3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
4. 作成したユーザーを選択します。
5. [セキュリティ認証情報] タブを選択します。
6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。
7. [ユースケース] で [サードパーティ サービス] を選択します。
8. [次へ] をクリックします。
9. 省略可: 説明タグを追加します。
10. [アクセスキーを作成] をクリックします。
11. [CSV ファイルをダウンロード] をクリックし、[アクセスキー] と [シークレット アクセスキー] を保存して、今後の参照に備えます。
12. [完了] をクリックします。
13. [権限] タブを選択します。
14. [権限ポリシー] セクションで [権限を追加] をクリックします。
15. [権限を追加] を選択します。
16. [ポリシーを直接アタッチする] を選択します。
17. AmazonS3FullAccess ポリシーを検索して選択します。
18. [次へ] をクリックします。
19. [権限を追加] をクリックします。

Workday 統合システム ユーザー（ISU）を作成する

1. Workday で、[Create Integration System User] を検索 > [OK] をクリックします。
2. [ユーザー名]（例: audit_s3_user）を入力します。
3. [OK] をクリックします。
4. [Related Actions] > [Security] > [Reset Password] に移動して、パスワードをリセットします。
5. [パスワード ルールの維持] を選択して、パスワードの有効期限が切れないようにします。
6. [Create Security Group] > [Integration System Security Group (Unconstrained)] を検索します。
7. 名前（例: ISU_Audit_S3）を指定し、ISU を [Integration System Users] に追加します。
8. 機能領域 > システムのドメイン セキュリティ ポリシーを検索します。
9. [監査証跡] で、[アクション>権限を編集] を選択します。
10. [Get Only] で、ISU_Audit_S3 グループを追加します。
11. [OK > Activate Pending Security Policy Changes] をクリックします。

Workday カスタム レポートを構成する

1. Workday で「Create Custom Report」を検索します。
2. 次の構成の詳細を入力します。
   • 名前: 一意の名前を入力します（例: Audit_Trail_BP_JSON）。
   • Type: [Advanced] を選択します。
   • データソース: [監査証跡 - ビジネス プロセス] を選択します。
   • [OK] をクリックします。
   • 省略可: [ビジネス プロセス タイプ] または [有効日] にフィルタを追加します。
3. [出力] タブに移動します。
4. [Enable as Web Service]、[Optimized for Performance] を選択し、[JSON Format] を選択します。
5. [OK>完了] をクリックします。
6. レポートを開き、[共有> 閲覧権限を持つ ISU_Audit_S3 を追加> OK] をクリックします。
7. [Related Actions] > [Web Service] > [View URLs] に移動します。
8. JSON URL（例: https://wd-services1.workday.com/ccx/service/customreport2/<tenant>/<user>/Audit_Trail_BP_JSON?format=json）をコピーします。

S3 アップロードの IAM ポリシーとロールを構成する

1. ポリシー JSON（別のバケット名を入力した場合は workday-audit-logs を置き換えます）:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutWorkdayObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::workday-audit-logs/*"
       }
     ]
   }
   

2. AWS コンソール > IAM > ポリシー > ポリシーの作成 > [JSON] タブ に移動します。

3. ポリシーをコピーして貼り付けます。

4. [次へ> ポリシーを作成] をクリックします。

5. [IAM] > [ロール] > [ロールの作成] > [AWS サービス] > [Lambda] に移動します。

6. 新しく作成したポリシーを関連付けます。

7. ロールに「WriteWorkdayToS3Role」という名前を付けて、[ロールを作成] をクリックします。

Lambda 関数を作成する

1. 関数を作成したら、[コード] タブを開き、スタブを削除して、次のコード（workday_audit_to_s3.py）を貼り付けます。

   #!/usr/bin/env python3
   
   import os, json, gzip, io, uuid, base64, datetime as dt, urllib.request, urllib.error
   import boto3
   
   WD_USER   = os.environ["WD_USER"]
   WD_PASS   = os.environ["WD_PASS"]
   WD_URL    = os.environ["WD_URL"]
   S3_BUCKET = os.environ["S3_BUCKET_NAME"]
   
   def fetch_report() -> bytes:
       credentials = f"{WD_USER}:{WD_PASS}".encode()
       auth_header = b"Basic " + base64.b64encode(credentials)
       req = urllib.request.Request(WD_URL, headers={"Authorization": auth_header.decode()})
       with urllib.request.urlopen(req, timeout=30) as r:
           return r.read()  # raw JSON bytes
   
   def upload(payload: bytes, ts: dt.datetime) -> None:
       key = f"{ts:%Y/%m/%d}/workday-audit-{uuid.uuid4()}.json.gz"
       buf = io.BytesIO()
       with gzip.GzipFile(fileobj=buf, mode="w") as gz:
           gz.write(payload)
       buf.seek(0)
       boto3.client("s3").upload_fileobj(buf, S3_BUCKET, key)
   
   def lambda_handler(event=None, context=None):
       now = dt.datetime.utcnow().replace(microsecond=0)
       data = fetch_report()
       upload(data, now)
       print(f"Uploaded Workday audit report ({len(data)} bytes raw)")
   
   if __name__ == "__main__":
       lambda_handler()
   

2. [構成> 環境変数> 編集> 新しい環境変数を追加] に移動します。

3. 次の環境変数を入力し、値を置き換えます。

   環境変数

   キー	値の例
   WD_USER	audit_s3_user
   WD_PASS	Wrokday-Password
   WD_URL	https://.../Audit_Trail_BP_JSON?format=json
   S3_BUCKET_NAME	workday-audit-logs

4. 関数が作成されたら、そのページにとどまるか、[Lambda] > [関数] > [your‑function] を開きます。

5. [CONFIGURATION] タブを選択します。

6. [全般設定] パネルで、[編集] をクリックします。

7. [Timeout] を [5 minutes (300 seconds)] に変更し、[Save] をクリックします。

Lambda 関数をスケジュールする（EventBridge Scheduler）

1. [構成> トリガー> トリガーを追加> EventBridge Scheduler > ルールを作成] に移動します。
2. 次の構成の詳細を入力します。
   • 名前: daily-workday-audit export。
   • スケジュール パターン: Cron 式。
   • 式: 20 2 * * ? *（毎日 02:20 UTC に実行）。
3. 残りの設定はデフォルトのままにして、[作成] をクリックします。

Workday 監査ログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [+ 新しいフィードを追加] をクリックします。
3. [フィード名] フィールドに、フィードの名前を入力します（例: Workday Audit Logs）。
4. [ソースタイプ] として [Amazon S3 V2] を選択します。
5. [ログタイプ] として [Workday Audit] を選択します。
6. [サービス アカウントを取得する] をクリックします。
7. [次へ] をクリックします。
8. 次の入力パラメータの値を指定します。
   • S3 URI: バケット URI
     • s3://workday-audit-logs/。
       • workday-audit-logs は、バケットの実際の名前に置き換えます。
   • Source deletion options: 必要に応じて削除オプションを選択します。
   • ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
   • アクセスキー ID: s3 バケットにアクセスできるユーザー アクセスキー。
   • シークレット アクセスキー: s3 バケットにアクセスできるユーザーのシークレット キー。
   • アセットの名前空間: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
9. [次へ] をクリックします。
10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。