Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

静的 IP アセットコンテキストデータログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Cloud Storage V2 を使用して、静的 IP アセットコンテキストデータを Google Security Operations に取り込む方法について説明します。

静的 IP は、静的 IP アドレスをホスト名とアセットのメタデータにマッピングするアセットコンテキストデータタイプです。このデータを取り込むことで、Google SecOps のイベントにネットワークアセットに関する追加のコンテキストが付加され、より正確な相関、調査、アラートが可能になります。このデータは通常、オンプレミスシステムで管理されるか、フラットファイルとしてエクスポートされるため、ファイルを Google Cloud Storage（GCS）バケットにアップロードしてから、Google SecOps フィードを構成して取り込む必要があります。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Cloud Storage API が有効になっている Google Cloud プロジェクト
GCS バケットを作成、管理する権限
GCS バケットの IAM ポリシーを管理する権限
構造化ファイル（CSV や JSON など）としてエクスポートされた静的 IP アセットデータ
静的 IP データファイルが保存されているシステムまたはディレクトリへのアクセス

Google Cloud Storage バケットを作成する

Google Cloud コンソールに移動します。
プロジェクトを選択するか、新しいプロジェクトを作成します。
ナビゲーションメニューで、[Cloud Storage] > [バケット] に移動します。
[バケットを作成] をクリックします。

次の構成情報を提供してください。

設定	値
バケットに名前を付ける	グローバルに一意の名前（`asset-static-ip-data` など）を入力します。
ロケーションタイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
ロケーション	Google SecOps インスタンスに最も近いロケーション（`us-central1` など）を選択します。
ストレージクラス	Standard（頻繁にアクセスするデータにおすすめ）
アクセス制御	均一（推奨）
保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

[作成] をクリックします。

注: バケット名をメモしておきます。この情報は、Google SecOps フィードを構成するときに使用します。

静的 IP データが GCS に自動的にエクスポートされるように構成する

静的 IP アセットのコンテキストデータは通常、IP アドレス管理（IPAM）プラットフォーム、CMDB、ネットワークインベントリデータベースなどの内部システムにフラットファイル（CSV、JSON）として保持されます。GCS のデータを最新の状態に保つには、次のいずれかの方法で自動エクスポートパイプラインを構成します。

オプション 1: Cloud Build を使用した Cloud Scheduler（推奨）

Cloud Scheduler によってトリガーされる Cloud Build を使用して、コンテナ化されたエクスポートジョブをスケジュールに従って実行します。このアプローチでは、永続的な VM は必要なく、Google が管理するインフラストラクチャを使用します。

エクスポートジョブのサービスアカウントを作成します。
1. GCP コンソールで、[IAM と管理] > [サービスアカウント] に移動します。
2. [サービスアカウントを作成] をクリックします。
3. 次の構成情報を指定します。
  - サービスアカウント名: 「static-ip-export-sa」と入力します。
  - サービスアカウントの説明: 「Service account for automated Static IP data export to GCS」と入力します。
4. [作成して続行] をクリックします。
5. 次のロールを追加します。
  - ストレージオブジェクト管理者（GCS にファイルを書き込むため）
  - Cloud Build 編集者（Cloud Build ジョブを実行するため）
6. [完了] をクリックします。

Cloud Build 構成ファイル（cloudbuild.yaml）を作成します。

steps:
  - name: 'gcr.io/cloud-builders/gcloud'
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        apt-get update && apt-get install -y curl jq
        # Export Static IP data from your source system
        # Replace with the actual command for your environment
        # Example: query IPAM API, export from CMDB, or generate from network scan
        curl -s -H "Authorization: Bearer $${API_TOKEN}" \
          "https://your-ipam-system.example.com/api/v1/static-ips" \
          -o /workspace/static_ip_data.json
        # Upload to GCS
        gcloud storage cp /workspace/static_ip_data.json \
          gs://${_BUCKET_NAME}/static-ip/static_ip_$(date -u +%Y%m%d_%H%M%S).json
substitutions:
  _BUCKET_NAME: 'asset-static-ip-data'

ビルドをトリガーする Cloud Scheduler ジョブを作成します。

GCP Console で、[Cloud Scheduler] に移動します。
[ジョブを作成] をクリックします。

次の構成情報を提供してください。

設定	値
名前	`static-ip-export-daily`
リージョン	GCS バケットと同じリージョンを選択します。
周波数	`0 2 * * *`（毎日午前 2 時（UTC））
タイムゾーン	UTC（推奨）
ターゲットタイプ	HTTP
URL	`https://cloudbuild.googleapis.com/v1/projects/YOUR_PROJECT_ID/builds`
HTTP メソッド	POST
Auth ヘッダー	OAuth トークンを追加
サービスアカウント	`static-ip-export-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com`

[作成] をクリックします。

オプション 2: Storage Transfer Service（オンプレミスファイルシステム用）

静的 IP データがオンプレミスのファイルシステムに保存されている場合は、Google Cloud Storage Transfer Service と Transfer Agent を使用します。

GCP Console で、[Storage Transfer Service] に移動します。
[転送ジョブを作成] をクリックします。
転送元として [POSIX ファイルシステム] を選択します。
手順に沿って、静的 IP データファイルにアクセスできるマシンに Storage Transfer Agent をインストールします。

転送ジョブを構成します。

設定	値
ソースディレクトリ	静的 IP データファイルを含むディレクトリへのパス
宛先バケット	`asset-static-ip-data`
宛先パス	`static-ip/`
スケジュール	定期的なスケジュールを設定する（例: 毎日）

[作成] をクリックします。

Google SecOps サービスアカウントを取得する

[設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
[Add New Feed] をクリックします。
[単一フィードを設定] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: Static IP Asset Data）。
[Source type] として [Google Cloud Storage V2] を選択します。
[ログタイプ] として [静的 IP] を選択します。
[サービスアカウントを取得する] をクリックします。
一意のサービスアカウントのメールアドレスが表示されます。例:
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
次のステップで使用するためにメールアドレスをコピーします。

注: Google SecOps インスタンスごとに一意のサービスアカウントがあります。他のドキュメントや例のサービスアカウントは使用しないでください。

Google SecOps サービスアカウントに IAM 権限を付与する

Google SecOps サービスアカウントには、GCS バケットに対する Storage オブジェクト閲覧者のロールが必要です。

[Cloud Storage] > [バケット] に移動します。
バケット名（asset-static-ip-data など）をクリックします。
[権限] タブに移動します。
[アクセス権を付与] をクリックします。
次の構成情報を指定します。
- プリンシパルを追加: Google SecOps サービスアカウントのメールアドレス（例: chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com）を貼り付けます。
- ロールを割り当てる: [Storage オブジェクト閲覧者] を選択します。
[保存] をクリックします。

注: 削除オプション「転送されたファイルを削除する」または「転送されたファイルと空のディレクトリを削除する」を使用する場合は、Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者ロールを付与します。

Google SecOps フィードを構成する

[設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
[Add New Feed] をクリックします。
[単一フィードを設定] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: Static IP Asset Data）。
[Source type] として [Google Cloud Storage V2] を選択します。
[ログタイプ] として [静的 IP] を選択します。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- ストレージバケットの URL: GCS バケットの URI を入力します。
```
gs://asset-static-ip-data/static-ip/
```
  - asset-static-ip-data は、GCS バケット名に置き換えます。
  - static-ip は、構成済みのプレフィックスパスに置き換えます。
注: URI の末尾には必ずスラッシュ（/）を付けてください。
- Source deletion option: 必要に応じて削除オプションを選択します。
  - なし: 転送後にファイルを削除しません（テストに推奨）。
  - 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
  - 転送されたファイルと空のディレクトリを削除する: 転送が成功した後にファイルと空のディレクトリを削除します。
    
    注: 削除オプションを選択した場合、Google SecOps サービスアカウントには、Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者のロールが必要です。それに応じて IAM 権限を更新します。
- ファイルの最長存続期間: 過去数日間に変更されたファイルを含めます（デフォルトは 180 日）。
- Asset namespace: アセットの名前空間。
- Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`date`	`metadata.event_timestamp`	`RFC 3339` として解析
`client_mac`	`network.dhcp.chaddr`	直接マッピングされます。
`client_hostname`	`network.dhcp.client_hostname`	直接マッピングされます。
`client_ip`	`network.dhcp.yiaddr`	直接マッピングされます。
`client_hostname`	`principal.hostname`	直接マッピングされます。
`client_ip`	`principal.ip`	統合済み
`client_mac`	`principal.mac`	統合済み
なし	`metadata.event_type`	定数: `NETWORK_DHCP`
なし	`metadata.product_name`	定数: `PCAP DHCP`
なし	`network.application_protocol`	定数: `DHCP`
なし	`network.dhcp.type`	定数: `ACK`

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。