Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Absolute Secure Endpoint のログを収集する

パーサーのバージョン: 2.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Absolute Secure Endpoint（旧 Absolute Data &Device Security）のログを Google Security Operations に取り込む方法について説明します。パーサーは、SYSLOG + または KV（CEF）形式の SIEM コネクタログからフィールドを抽出します。grok パターンを使用してフィールドを識別して抽出し、kv_pair データまたは cef データの有無に基づいて条件付きロジックを使用して、抽出されたフィールドを UDM スキーマにマッピングします。識別されたフィールドとその値に応じて特定のマッピングと変換が適用され、ステータスハートビートとセキュリティイベントの両方のイベントデータが処理されます。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Bindplane エージェントを実行する Windows 2016 以降または systemd を使用する Linux ホスト
Absolute SIEM Connector サービスをホストする Windows Server（2012 以降）
SIEM Connector をホストする Windows Server に Microsoft .NET Framework 4.0 以降がインストールされている
SIEM 統合が有効になっている Absolute Secure Endpoint コンソールへの特権アクセス
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認する

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

新しいデプロイ: Chronicle API を使用します（オプション 1）。
従来のデプロイ: Ingestion API が 2027 年 7 月 20 日に廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービスアカウントを作成する（推奨）

Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
[IAM と管理]> [サービスアカウント] に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
- サービスアカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
[**続行**] をクリックして [**完了**] をクリックします。
作成したサービスアカウントをクリックし、[キー] タブに移動します。
「鍵を追加」>「新しい鍵を作成」の順にクリックします。
[JSON] を選択して [作成] をクリックします。キーファイルがパソコンにダウンロードされます。
キーファイルを Bindplane コレクタディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に ingestion-auth.json として保存するか、保存したパスに合わせて config.yaml の creds_file_path を更新します。
[IAM と管理][>][設定] に移動し、[プロジェクト番号] をコピーします。エクスポート構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane エージェントをインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから お客様 ID をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者として コマンドプロンプト または PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux へのインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストールリソース

その他のインストールオプションについては、Bindplane エージェントのインストールガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルに次のようにアクセスします。
- config.yaml ファイルを開きます。Linux の場合は /opt/observiq-otel-collector/config.yaml、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\config.yaml です。
- テキストエディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

config.yaml ファイルを次のように編集します。

receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    endpoint: chronicle.googleapis.com
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    # Replace with your actual customer ID
    customer_id: '<CUSTOMER_ID>'
    # Adjust the path to the service account key file you saved in Option 1
    creds_file_path: '/path/to/secops-key.json'
    compression: gzip
    log_type: 'ABSOLUTE'
    raw_log_field: body
    # Add optional ingestion labels for better organization
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
<LOCATION> は、Google SecOps インスタンスのリージョンに置き換えます。エクスポーターは、この値で chronicle.googleapis.com に接頭辞を付けます。
<PROJECT_NUMBER> は、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
<CUSTOMER_ID> は、実際の顧客 ID に置き換えます。
/path/to/secops-key.json を、サービスアカウントキーファイル（オプション 1）が保存されたファイルパスに更新します。

従来の Ingestion API エクスポーター

オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョンエンドポイント（europe-malachiteingestion-pa.googleapis.com など）に置き換えます。
```
exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the ingestion authentication file you downloaded in Option 2
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'ABSOLUTE'
    raw_log_field: body
    ingestion_labels:
```

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

Windows Server に Absolute SIEM Connector をインストールする

Absolute SIEM Connector は、Absolute Monitoring Center からアラートイベントデータを取得し、CEF 形式で syslog を介して転送する Windows サービスです。SIEM Connector は MSI インストーラとして提供され、Absolute Customer Center から Absolute Data &Device Security（DDS）Professional および Premium のお客様に無料でダウンロードしていただけます。

https://cc.absolute.com/ で Absolute Secure Endpoint コンソール にログインします。
[Customer Center] または [Downloads] セクションに移動します。
Absolute SIEM Connector MSI インストーラをダウンロードします。
インストーラを Windows Server に転送します。
Windows Server で管理者としてインストーラを実行します。
インストールウィザードに沿ってインストールを完了します。
インストールディレクトリ（通常は C:\Program Files\Absolute Software\Absolute SIEM Connector）をメモします。

Absolute Secure Endpoint コンソールで SIEM 統合を有効にする

SIEM Connector がイベントを取得するには、Absolute Secure Endpoint コンソールで SIEM 統合を有効にする必要があります。

https://cc.absolute.com/ で Absolute Secure Endpoint コンソール にログインします。
[Settings] または [Administration] セクションに移動します。
[SIEM Integration] 設定に移動します。
[Enable SIEM Integration] をクリックするか、SIEM 統合設定を [On] に切り替えます。
SIEM に転送するイベントの種類を選択します。
- [All event types] を選択して、利用可能なすべてのログを転送することもできます。
[Save] または [Apply] をクリックして構成を保存します。

Absolute SIEM Connector を構成する

SIEM Connector をインストールし、コンソールで SIEM 統合を有効にしたら、次のようにコネクタを構成してイベントを Bindplane エージェントに送信します。

Absolute SIEM Connector がインストールされている Windows Server で、Absolute SIEM Connector Configuration Tool を開きます。
- これは、[スタートメニュー] の [Absolute Software] またはインストールディレクトリにあります。
次の構成情報を指定します。
- Syslog サーバーホスト: Bindplane エージェントホストの IP アドレスまたはホスト名を入力します。
- Syslog サーバーポート: 514（または Bindplane で構成されたポート）を入力します。
- [Protocol]: Bindplane の構成に応じて、[UDP] または [TCP] を選択します。
- Format: [**CEF**]（Common Event Format）が選択されていることを確認します。
- 更新間隔: コネクタが Absolute からイベントを取得する頻度を設定します。最小値は 2 分、最大値は 1,440 分または 24 時間です。デフォルトは 60 分です。
- タイムゾーン: システム間で一貫性を保つため、イベントは UTC タイムゾーンで送信されます。
[Save] をクリックします。
Absolute SIEM Connector サービスを開始または再起動します。
- Services （services.msc）を開きます。
- Absolute SIEM Connector サービスを選択します。
- [Start] または [Restart] をクリックします。

UDM マッピングテーブル

ログフィールド	UDM マッピング	論理
`pid`	`about.process.pid`	直接マッピングされます。
`hostname`	`intermediary.hostname`	直接マッピングされます。
`dvc_ip`	`intermediary.ip`	統合済み
`Alert Time`	`metadata.event_timestamp`	`RFC3339` として解析されます。
`date`	`metadata.event_timestamp`	`yyyy-MM-dd HH:mm:ss UTC` として解析されます。
`event_type`	`metadata.event_type`	直接マッピングされます。
`eventType`	`metadata.product_event_type`	直接マッピングされます。
`event_class`	`metadata.product_event_type`	直接マッピングされます。
`device_version`	`metadata.product_version`	直接マッピングされます。
`Serial Number`	`principal.asset.asset_id`	直接マッピングされます。
`Computer Name`	`principal.hostname`	直接マッピングされます。
`actorName`	`principal.hostname`	直接マッピングされます。
`objectName`	`principal.hostname`	直接マッピングされます。
`objectID`	`principal.resource.product_object_id`	直接マッピングされます。
`objectType`	`principal.resource.resource_type`	直接マッピングされます。
`roles`	`principal.user.attribute.roles`	統合済み
`actorID`	`principal.user.product_object_id`	直接マッピングされます。
`actorName`	`principal.user.userid`	直接マッピングされます。
`Condition`	`security_result.description`	直接マッピングされます。
`esn_label`	`security_result.detection_fields`	統合済み
`kv_pair`	`security_result.detection_fields`	マッピング: `ESN` → `esn_label`
`verb`	`security_result.summary`	直接マッピングされます。
`Alert ID`	`security_result.threat_id`	直接マッピングされます。
`Alert Name`	`security_result.threat_name`	直接マッピングされます。
`field_`	`target.resource.attribute.labels`	統合済み
なし	`metadata.event_type`	定数: `GENERIC_EVENT`
なし	`metadata.product_name`	定数: `ABSOLUTE_PLATFORM`
なし	`metadata.vendor_name`	定数: `ABSOLUTE`

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。