Aruba Wireless Controller とアクセス ポイントのログを収集する

パーサーのバージョン: 12.0

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Aruba ワイヤレス コントローラとアクセス ポイントのログを Google Security Operations に取り込む方法について説明します。

Aruba ワイヤレス コントローラとアクセス ポイントは、ワイヤレス イベント、クライアント関連付け、認証、アクセス制御、システム オペレーションの syslog メッセージを生成します。パーサーは syslog メッセージを処理し、オブザーバー、仲介者、アクセス ポイントの詳細に関連するフィールドを抽出します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Aruba Wireless Controller 間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • Aruba ワイヤレス コントローラへの特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新しいデプロイ: Chronicle API（オプション 1）を使用します。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポーターの構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスが RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探します。

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/aruba_wireless:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: ARUBA_WIRELESS
    raw_log_field: body

service:
  pipelines:
    logs/aruba_wireless_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/aruba_wireless

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
      • ポート 514 は標準の syslog ポートです（Linux では root が必要です。root 以外の場合は 1514 を使用します）。

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • location: <LOCATION> を Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポートでは、この値が chronicle.googleapis.com の前に付加されます。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。

以前の取り込み API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/aruba_wireless:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ARUBA_WIRELESS
    raw_log_field: body

構成ファイルを保存する

  • 編集が完了したら、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Aruba ワイヤレス コントローラとアクセス ポイントを構成する

  1. Aruba コントローラのウェブ UI にログインします。
  2. 上部のメニューに移動し、[構成> システム] を選択します。
  3. [ロギング] を選択して、ロギング構成ページを開きます。
  4. [Syslog servers] セクションで、[+ Add] をクリックして新しい Syslog サーバーを追加します。
  5. 次の詳細情報を入力します。
    • 名前: syslog サーバーの一意の名前を入力します（例: Google SecOps Syslog）。
    • IP アドレス: Bindplane の IP アドレスを入力します。
    • Port: Bindplane のポート番号を入力します（通常、UDP の場合は 514）。
    • ロギング ファシリティ: [local 6]（ネットワーク デバイスで一般的に使用される）を選択します。
    • ロギングレベル: 情報ログをキャプチャするには、[情報] を選択します。
    • 形式: [bsd-standard] 形式を選択します（これは、Aruba コントローラで使用されるデフォルトの syslog 形式です）。
  6. [送信] をクリックして設定を保存します。
  7. [保留中の変更] をクリックします。

  8. [Deploy Changes] をクリックして、新しい syslog サーバー構成を適用します。

  9. [Logging Level] 設定に移動し、次の各カテゴリの [Logging Level] を [Informational] に設定します。

    • ネットワーク
    • すべて
    • クラスタ
    • DHCP
    • GP
    • モビリティ
    • Packet-Dump
    • SDN

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
Additional Info read_only_udm.security_result.description 未加工ログの Additional Info の値は、UDM フィールド security_result.description にマッピングされます。
AP read_only_udm.target.hostname 未加工ログに存在する場合、AP: の後の値が抽出され、UDM フィールド target.hostname にマッピングされます。
BSSID read_only_udm.target.mac、read_only_udm.principal.resource.name（リソースタイプが BSSID の場合） 未加工ログの BSSID 値は target.mac にマッピングされます。principal.resource.type が BSSID の場合、リソース名としても使用されます。
COMMAND read_only_udm.principal.process.command_line 未加工ログのコマンド値は、UDM フィールド principal.process.command_line にマッピングされます。
Dst-MAC read_only_udm.target.mac 存在する場合、未加工ログの Dst-MAC 値は UDM フィールド target.mac にマッピングされます。
SERVER read_only_udm.target.hostname 存在する場合、未加工ログのサーバー名は UDM フィールド target.hostname にマッピングされます。
SERVER-IP read_only_udm.target.ip 存在する場合、未加工ログのサーバー IP は UDM フィールド target.ip にマッピングされます。
Src-MAC read_only_udm.principal.mac 存在する場合、未加工ログの Src-MAC 値は UDM フィールド principal.mac にマッピングされます。
SSID read_only_udm.target.resource.name（リソースタイプが SSID の場合） target.resource.type が SSID の場合、未加工ログの SSID 値がリソース名として使用されます。
USER read_only_udm.target.user.userid 存在する場合、未加工ログのユーザー ID は UDM フィールド target.user.userid にマッピングされます。
USERIP read_only_udm.principal.ip、read_only_udm.observer.ip 未加工ログにユーザー IP が存在する場合、UDM フィールド principal.ip と observer.ip にマッピングされます。
USERMAC read_only_udm.principal.mac 未加工ログのユーザー MAC が存在する場合、UDM フィールド principal.mac にマッピングされます。
USERNAME read_only_udm.principal.user.userid 未加工ログのユーザー名が存在する場合、UDM フィールド principal.user.userid にマッピングされます。
action read_only_udm.security_result.action 未加工ログのアクション値（permit、deny など）は、UDM フィールド security_result.action にマッピングされます。
apname read_only_udm.target.hostname 未加工ログの AP 名が存在する場合、UDM フィールド target.hostname にマッピングされます。
bssid read_only_udm.target.mac 存在する場合、未加工ログの BSSID 値は UDM フィールド target.mac にマッピングされます。
collection_time.seconds read_only_udm.metadata.event_timestamp.seconds 未加工ログの収集時間の秒値は、UDM フィールド metadata.event_timestamp.seconds にマッピングされます。
device_ip read_only_udm.intermediary.ip 未加工ログまたは logstash のデバイス IP は、UDM フィールド intermediary.ip にマッピングされます。
dstip read_only_udm.target.ip 存在する場合、未加工ログの宛先 IP は UDM フィールド target.ip にマッピングされます。
dstport read_only_udm.target.port 未加工ログの宛先ポートが存在する場合、UDM フィールド target.port にマッピングされます。
event_id read_only_udm.metadata.product_event_type 未加工ログのイベント ID は、UDM の metadata.product_event_type フィールドの作成に使用され、接頭辞 Event ID: が付加されます。
event_message read_only_udm.security_result.summary 未加工ログのイベント メッセージは、UDM フィールド security_result.summary にマッピングされます。
log.source.address read_only_udm.observer.ip ログソース アドレスは UDM フィールド observer.ip にマッピングされます。
log_type read_only_udm.metadata.log_type 未加工ログのログタイプは、UDM フィールド metadata.log_type にマッピングされます。
logstash.collect.host read_only_udm.observer.ip または read_only_udm.observer.hostname Logstash 収集ホストは、IP アドレスの場合は observer.ip に、ホスト名の場合は observer.hostname にマッピングされます。
logstash.ingest.host read_only_udm.intermediary.hostname logstash 取り込みホストは UDM フィールド intermediary.hostname にマッピングされます。
logstash.process.host read_only_udm.intermediary.hostname Logstash プロセスホストは UDM フィールド intermediary.hostname にマッピングされます。
program read_only_udm.target.application 未加工ログのプログラム名は、UDM フィールド target.application にマッピングされます。
serverip read_only_udm.target.ip 存在する場合、未加工ログのサーバー IP は UDM フィールド target.ip にマッピングされます。
servername read_only_udm.target.hostname 存在する場合、未加工ログのサーバー名は UDM フィールド target.hostname にマッピングされます。
srcip read_only_udm.principal.ip 未加工ログの送信元 IP が存在する場合、UDM フィールド principal.ip にマッピングされます。
srcport read_only_udm.principal.port 存在する場合、未加工ログの送信元ポートは UDM フィールド principal.port にマッピングされます。
syslog_host read_only_udm.intermediary.hostname 未加工ログの syslog ホストは、UDM フィールド intermediary.hostname にマッピングされます。
timestamp read_only_udm.metadata.event_timestamp 未加工ログのタイムスタンプが解析され、UDM フィールド metadata.event_timestamp にマッピングされます。
userip read_only_udm.principal.ip、read_only_udm.observer.ip 未加工ログにユーザー IP が存在する場合、UDM フィールド principal.ip と observer.ip にマッピングされます。
usermac read_only_udm.principal.mac 未加工ログのユーザー MAC が存在する場合、UDM フィールド principal.mac にマッピングされます。
username read_only_udm.principal.user.userid 未加工ログのユーザー名が存在する場合、UDM フィールド principal.user.userid にマッピングされます。event_id とパーサー内のロジックから取得されます。イベント ID とログ メッセージの内容に基づいてパーサーによって決定されます。Wireless にハードコードされています。Aruba にハードコードされます。イベント ID とログ メッセージの内容に基づいてパーサーによって決定されます。イベント ID とログ メッセージの内容に基づいてパーサーによって決定されます。正規表現を使用して未加工ログのメッセージから抽出されます。イベント ID とログ メッセージの内容に基づいてパーサーによって決定されます。event_type が USER_LOGIN または関連する認証イベントの場合、空のオブジェクトが追加されます。イベントで使用されるネットワーキング プロトコル（TCP、UDP、ICMP、IGMP など）に基づいて、パーサーによって決定されます。特定の条件に基づいて未加工ログから抽出された追加のフィールドが含まれます。たとえば、ap_name が存在する場合は Key-Value ペアとして追加されます。プリンシパルのコンテキストに BSSID が存在する場合は BSSID に設定します。ターゲットのコンテキストに SSID が存在する場合は SSID に設定します。BSSID や SSID など、未加工のログから抽出された関連する検出情報の Key-Value ペアが含まれます。
event_code event.idm.read_only_udm.additional.fields 変更履歴からマッピング
function_name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
thread_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
station_macaddress event.idm.read_only_udm.principal.mac 変更履歴からマッピング
station_macaddress event.idm.read_only_udm.principal.asset.mac 変更履歴からマッピング
event_details event.idm.read_only_udm.security_result.summary 変更履歴からマッピング
application event.idm.read_only_udm.principal.application 変更履歴からマッピング
version event.idm.read_only_udm.additional.fields 変更履歴からマッピング
priority event.idm.read_only_udm.additional.fields 変更履歴からマッピング
module event.idm.read_only_udm.additional.fields 変更履歴からマッピング
instance event.idm.read_only_udm.additional.fields 変更履歴からマッピング
role event.idm.read_only_udm.principal.user.attribute.roles.name 変更履歴からマッピング
policy event.idm.read_only_udm.security_result.rule_name 変更履歴からマッピング
command_status event.idm.read_only_udm.target.resource.attribute.labels 変更履歴からマッピング
p_host event.idm.read_only_udm.principal.ip 変更履歴からマッピング
p_host event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
p_host event.idm.read_only_udm.principal.hostname 変更履歴からマッピング
p_host event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
t_user event.idm.read_only_udm.target.user.userid 変更履歴からマッピング
p_ip event.idm.read_only_udm.principal.ip 変更履歴からマッピング
p_ip event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
cmd event.idm.read_only_udm.target.process.command_line 変更履歴からマッピング
node event.idm.read_only_udm.target.resource.name 変更履歴からマッピング
principal_ip_value event.idm.read_only_udm.principal.ip 変更履歴からマッピング
p_port event.idm.read_only_udm.principal.port 変更履歴からマッピング
t_hostname event.idm.read_only_udm.intermediary.hostname 変更履歴からマッピング
details metadata.description 変更履歴からマッピング
ap_name additional.fields 変更履歴からマッピング
logstash.irm_site", "logstash.irm_environment", "logstash.irm_region additional.fields 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。