IBM AIX システムログを収集する

パーサーのバージョン: 15.0

以下でサポートされています。

このドキュメントでは、Bindplane を使用して IBM AIX システムログを Google Security Operations に取り込む方法について説明します。

IBM AIX は、IBM Power Systems ハードウェア上のエンタープライズ ワークロード向けに設計された Unix ベースのオペレーティング システムです。AIX システムログには、システム イベント、認証アクティビティ、カーネル メッセージ、デーモン オペレーション、syslog デーモンによって生成されたセキュリティ関連のイベントに関する情報が含まれています。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Bindplane エージェントを実行するための Windows Server 2016 以降、または systemd を使用する Linux ホスト。
  • Bindplane エージェント ホストと AIX システム間のネットワーク接続（UDP ポート 514）。
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • AIX システムへのルートアクセスまたは特権アクセス。
  • IBM AIX 7.1 以降のオペレーティング システム。

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. [ダウンロード] をクリックして、取り込み認証ファイル をダウンロードします。

  4. Bindplane エージェントがインストールされるシステムに、ファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

サービスは RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

サービスが [アクティブ（実行中）] と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /status observiq-otel-collector/config.yaml/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/aix_system:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: <REGION_ENDPOINT>
    log_type: AIX_SYSTEM
    raw_log_field: body
    ingestion_labels:
      source: aix

service:
  pipelines:
    logs/aix_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/aix_system

構成パラメータ

各プレースホルダを次のように置き換えます。

エクスポータの構成:

  • <CREDS_FILE_PATH>: 取り込み認証ファイルのフルパス:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <CUSTOMER_ID>: 前の手順の顧客 ID
  • <REGION_ENDPOINT>: リージョナル エンドポイント URL:
    • 米国: malachiteingestion-pa.googleapis.com
    • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
    • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
    • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

編集が完了したら、ファイルを保存します。

  • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
  • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:

  1. 次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. サービスが実行されていることを確認します。

    sudo systemctl status observiq-otel-collector

  3. ログでエラーを確認します。

    sudo journalctl -u observiq-otel-collector -f

Windows で Bindplane エージェントを再起動するには:

  1. 次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。
    net stop observiq-otel-collector && net start observiq-otel-collector
    • サービス コンソール:
      1. Win+R キーを押して「services.msc」と入力し、Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

  2. サービスが実行されていることを確認します。

    sc query observiq-otel-collector

  3. ログでエラーを確認します。

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

AIX で syslog 転送を構成する

  1. root または特権アクセスで AIX システムにログインします。

  2. テキスト エディタ（vi など）を使用して /etc/syslog.conf ファイルを編集します。

    vi /etc/syslog.conf

  3. 次の行を追加して、ログを Bindplane エージェントに転送します。

    *.info  @<BINDPLANE_AGENT_IP>
    • <BINDPLANE_AGENT_IP> は、Bindplane エージェント ホストの IP アドレスに置き換えます。
    • セレクタ（*.info）とアクション（@<BINDPLANE_AGENT_IP>）の間の区切り文字は、タブ文字にする必要があります。
    • セレクタ *.info は、すべてのファシリティから info 以上の優先度のすべてのメッセージを転送します。必要に応じて、要件に合わせてファシリティと優先度を調整します。

  4. ファイルを保存し、エディタを終了します。

  5. syslogd デーモンを更新して変更を適用します。

    refresh -s syslogd

    stopsrc -s syslogd
startsrc -s syslogd

  6. syslogd デーモンが実行されていることを確認します。

    lssrc -s syslogd

    出力には、ステータスが active の syslogd が表示されます。

  7. AIX ホストと Bindplane エージェントの間で UDP ポート 514 が開いていることを確認します。

ログ転送を確認する

ログが Bindplane エージェントに転送されていることをテストします。

  1. AIX システムで、テスト ログメッセージを生成します。

    logger -p user.info "Test syslog message from AIX"

  2. Bindplane エージェント ホストで、エージェント ログを調べてメッセージが受信されたことを確認します。

    Linux:

    sudo journalctl -u observiq-otel-collector -n 50

    Windows:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. 5 ～ 10 分以内にログが Google SecOps コンソールに表示されることを確認します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
application target.application Grok パターンを使用してメッセージ フィールドから抽出された値。
cmddata target.process.command_line Grok パターンを使用してメッセージ フィールドから抽出された値。
command_line principal.process.command_line Grok パターンを使用して説明フィールドから抽出された値。
description metadata.description Grok パターンを使用してメッセージ フィールドから抽出された値。
folder target.process.file.full_path Grok パターンを使用してメッセージ フィールドから抽出された値。
hostname principal.hostname Grok パターンを使用してメッセージ フィールドから抽出された値。
intermediary_hostip intermediary.ip Grok パターンを使用してメッセージ フィールドから抽出された値。
sc_summary security_result.summary Grok パターンを使用して説明フィールドから抽出された値。
severity security_result.severity 重大度が「info」の場合は「INFORMATIONAL」に設定します（大文字と小文字を区別しない）。重大度が「Err」の場合は「ERROR」に設定します（大文字と小文字を区別しない）。
src_ip principal.ip Grok パターンを使用してメッセージ フィールドまたは説明フィールドから抽出された値。
src_port principal.port Grok パターンを使用して説明フィールドから抽出された値。
sys_log_host intermediary.hostname Grok パターンを使用してメッセージ フィールドから抽出された値。
syslog_priority security_result.priority_details Grok パターンを使用してメッセージ フィールドから抽出された値。
ts metadata.event_timestamp Grok と日付フィルタを使用して、ログ メッセージの ts フィールドから変換されます。
user principal.user.userid Grok パターンを使用してメッセージ フィールドまたは説明フィールドから抽出された値。
該当なし metadata.event_type src_ip または hostname が存在する場合は「STATUS_UPDATE」に設定されます。ユーザーは存在するが、他は存在しない場合は、「USER_UNCATEGORIZED」に設定されます。それ以外の場合は、「GENERIC_EVENT」に設定されます。
該当なし metadata.vendor_name 「AIX_SYSTEM」に設定します。
該当なし metadata.product_name 「AIX_SYSTEM」に設定します。
該当なし metadata.log_type 「AIX_SYSTEM」に設定します。

変更履歴

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。