Zeek（旧 Bro）TSV ログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Zeek（旧称 Bro）TSV ログを Google Security Operations に取り込む方法について説明します。

Zeek（旧称 Bro）は、ネットワーク トラフィックを受動的に分析し、接続、DNS クエリ、HTTP トランザクション、SSL/TLS セッション、ファイル分析をカバーする詳細なタブ区切りのログファイルを生成するネットワーク セキュリティ モニタリング プラットフォームです。Zeek センサーは、デフォルトで /opt/zeek/logs/ または /usr/local/zeek/logs/ の下に TSV ログファイルを生成します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Zeek センサーホスト間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • ログファイルの読み取り権限を持つ Zeek センサーホストへの特権アクセス
  • センサー ファイル システム（通常は /opt/zeek/logs/ または /usr/local/zeek/logs/ の下）の Zeek TSV ログファイルへのアクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、プロジェクト番号をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [設定] > [データ管理] > [収集エージェント] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [Settings] > [Administration] > [Profile] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスが RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスが active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/bro_tsv:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: BRO_TSV
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/bro_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/bro_tsv

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • udplog: プロトコルに基づくレシーバー タイプ。
      • udplog（UDP syslog の場合）
      • tcplog（TCP syslog の場合）
    • 0.0.0.0: リッスンする IP アドレス。
      • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
      • 1 つのインターフェースでリッスンする特定の IP アドレス
    • 514: リッスンするポート番号（例: 514、1514、6514）

  • エクスポータの構成:

    • bro_tsv: エクスポータのわかりやすい名前
    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>: 前のステップのお客様 ID
    • location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の前にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。
    • BRO_TSV: Chronicle に表示されるログタイプ
    • ingestion_labels: YAML 形式のオプションのラベル（例: env: production）

  • パイプライン構成:

    • bro_to_chronicle: パイプラインのわかりやすい名前

以前の Ingestion API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/bro_tsv:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: BRO_TSV
    raw_log_field: body
    ingestion_labels:
      env: production

構成ファイルを保存する

  • 編集が完了したら、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を実行します。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Zeek syslog 転送を構成する

Zeek は TSV ログファイルをローカルに生成します。これらのログを syslog を使用して Bindplane エージェントに転送するには、Zeek センサーホストで syslog デーモンを構成します。

  1. root 権限または sudo 権限で Zeek センサーホストにログインします。
  2. rsyslog または syslog-ng がまだインストールされていない場合は、インストールして構成します。

  3. Zeek ログを転送する rsyslog 構成ファイルを作成します。

    sudo nano /etc/rsyslog.d/zeek-forward.conf

  4. Zeek ログを Bindplane エージェントに転送するには、次の構成を追加します。

    module(load="imfile")
input(type="imfile"
    File="/opt/zeek/logs/current/*.log"
    Tag="zeek:"
    Severity="info"
    Facility="local6")
local6.* @<BINDPLANE_AGENT_IP>:514
    • <BINDPLANE_AGENT_IP> は、Bindplane エージェント ホストの IP アドレスに置き換えます。
    • /opt/zeek/logs/current/*.log は、Zeek ログファイルの実際のパスに置き換えます（異なる場合）。
    • TCP 転送には @ ではなく @@ を使用します（Bindplane エージェントのレシーバー タイプと一致する必要があります）。

  5. rsyslog を再起動して変更を適用します。

    sudo systemctl restart rsyslog

  6. Bindplane エージェントのログをチェックして、syslog メッセージが受信されていることを確認します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
rtt, operation, tunnel_type, action, cmd, arg, rows additional.fields additional_rtt、additional_op、additional_tt、additional_action、additional_cmd、additional_arg、additional_rows から統合
extensions.auth.type 「AUTHTYPE_UNSPECIFIED」に設定します。
conn_state, action, error, desc metadata.description bro_conn の conn_state の説明、bro_smb_files のアクション、bro_kerberos の「KERBEROS: %{error}」、AsymPayloadFlow の説明、その他は定数に設定
bro_type, qerror, next_protocol, protocol metadata.event_type デフォルトは GENERIC_EVENT に設定されます。dns の場合は NETWORK_DNS、conn/ntlm/smb_mapping/dce_rpc/tunnel/mysql/ssh/udp/tcp の場合は NETWORK_CONNECTION、dhcp の場合は NETWORK_DHCP、http/ssl の場合は NETWORK_HTTP（next_protocol が http の場合）、smb_files/files/x509 の場合は NETWORK_UNCATEGORIZED、radius の場合は USER_LOGIN、ftp の場合は NETWORK_FTP、qerror が query_not_present の場合は NETWORK_UNCATEGORIZED に設定されます。
bro_type, prod_event metadata.product_event_type 空でない場合は bro_type の値、それ以外の場合は prod_event の値
uid、id metadata.product_log_id uid の値（使用可能な場合）。それ以外の場合は id の値
metadata.product_name 「Bro」に設定
metadata.vendor_name 「Zeek」に設定します。
service_proto、source network.application_protocol conn の場合は service_proto からマッピング、ファイルの場合は source からマッピング、それ以外の場合は定数
hostname network.dhcp.client_hostname 値が直接コピーされる
lease_time network.dhcp.lease_time_seconds uinteger に変換
dhcp_info network.dhcp.type =~ "ACK" の場合は「ACK」、=~ "RELEASE" の場合は「RELEASE」、=~ "INFORM" の場合は「INFORM」、=~ "DISCOVER" の場合は「DISCOVER」、=~ "OFFER" の場合は「OFFER」、=~ "REQUEST" の場合は「REQUEST」に設定します。
assigned_ip network.dhcp.yiaddr 値が直接コピーされる
direction network.direction 値が直接コピーされる
answer_list network.dns.answers 値が直接コピーされる
trans_id network.dns.id uinteger に変換
q network.dns.questions q から統合
rcode network.dns.response_code 「-」でない場合、符号なし整数に変換されます。
コマンド network.ftp.command 値が直接コピーされる
method network.http.method 値が直接コピーされる
referrer network.http.referral_url 値が直接コピーされる
status_code network.http.response_code 整数に変換
user_agent network.http.user_agent 値が直接コピーされる
proto、protocol network.ip_protocol conn の proto の値、udp の場合は「UDP」、tcp の場合は「TCP」
id_resp_bytes, received_bytes network.received_bytes conn の id_resp_bytes、files の received_bytes から uinteger に変換
id_orig_bytes network.sent_bytes uinteger に変換
uid network.session_id 値が直接コピーされる
暗号 network.tls.cipher 値が直接コピーされる
client_issuer network.tls.client.certificate.issuer 値が直接コピーされる
client_subject network.tls.client.certificate.subject 値が直接コピーされる
クライアント network.tls.client.certificate.version 値が直接コピーされる
ja3 network.tls.client.ja3 値が直接コピーされる
曲線 network.tls.curve 値が直接コピーされる
確立済み network.tls.established 値が直接コピーされる
next_protocol network.tls.next_protocol 値が直接コピーされる
再開 network.tls.resumed 値が直接コピーされる
issuer、certificate.issuer network.tls.server.certificate.issuer SSL の発行元の値、x509 の certificate.issuer
certificate.not_valid_after network.tls.server.certificate.not_after 日付フィルタを使用して変換
certificate.not_valid_before network.tls.server.certificate.not_before 日付フィルタを使用して変換
certificate.serial network.tls.server.certificate.serial 値が直接コピーされる
subject、certificate.subject network.tls.server.certificate.subject SSL の subject の値、x509 の certificate.subject
certificate.version network.tls.server.certificate.version 文字列に変換
ja3s network.tls.server.ja3s 値が直接コピーされる
version network.tls.version 値が直接コピーされる
ドメイン principal.administrative_domain 値が直接コピーされる
file_size principal.file.size uinteger に変換
client_host, _system_name, _HostName principal.hostname kerberos の場合は client_host の値、x509 の場合は _system_name の値、抽出された場合は _HostName の値
id.orig_h principal.ip id.orig_h から統合
mac principal.mac 値が直接コピーされる
id.orig_p principal.port 整数に変換されます。値は id.orig_p から取得されます。local_orig でない場合は、conn のために反転されます。
user_email principal.user.email_addresses user_email から統合
user、username、user_name principal.user.userid ftp の場合はユーザーの値、radius の場合はユーザー名、kerberos の場合はユーザー名
qclass q.class uinteger に変換
qname, q.name q.name qname または q.name の値
qtype q.type uinteger に変換
result, auth_success security_result radius のアクション BLOCK、ssh の ALLOW/BLOCK/UNKNOWN で security_result からマージされました
uri target.administrative_domain grok を使用して URI から抽出
full_file_path, fuid target.file.full_path smb_files の full_file_path の値、files の fuid
md5 target.file.md5 値が直接コピーされる
mime_type target.file.mime_type 値が直接コピーされる
sha1 target.file.sha1 値が直接コピーされる
size, file_size target.file.size smb_files の size、files の file_size から uinteger に変換
server_host、host、CN、server target.hostname kerberos の場合は server_host、http の場合は host、x509 の場合は CN、ssh の場合は server の値
id.resp_h target.ip id.resp_h から統合
host_key、host_key_alg、kex_alg、mac_alg、compression_alg、cipher_alg、auth_attempts target.labels さまざまなラベル オブジェクトから統合
id.resp_p target.port 整数に変換されます。id.resp_p の値、または local_orig でない場合は conn の逆の値です。
path、named_pipe target.resource.name smb_mapping のパスの値、dce_rpc の named_pipe
share_type target.resource.type smb_mapping の share_type の値、dce_rpc の「PIPE」
URL target.url ホストと URI から連結

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。