ログフィールド	UDM マッピング	ロジック
	extensions.auth.mechanism	使用される認証メカニズム。
	extensions.auth.type	認証のタイプ。
sum	metadata.description	イベントの説明。
	metadata.event_type	イベントタイプ。
event_type, cat	metadata.product_event_type	プロダクト固有のイベントタイプ。
product_version	metadata.product_version	プロダクトのバージョン。
ターミナル	principal.hostname	プリンシパルに関連付けられたホスト名。
name	principal.user.user_display_name	ユーザーの表示名。
usrName	principal.user.userid	ユーザー ID。
	security_result.action	セキュリティシステムによって実行されたアクション。
	security_result.category	セキュリティ結果のカテゴリ。
クラス	security_result.category_details	セキュリティ結果のカテゴリに関する追加の詳細。
reason	security_result.severity	セキュリティ結果の重大度。
reason	security_result.severity_details	重大度の詳細情報。
logstr	security_result.summary	セキュリティ結果の概要。
job_id	target.application	ターゲットアプリケーション。
job_group	target.group.group_display_name	グループの表示名。
	target.namespace	ターゲットの名前空間。
dsn	target.resource.name	リソースの名前。
vol	target.resource.parent	親リソース。
res、dsn	target.resource.product_object_id	商品固有のオブジェクト ID。
	target.resource.resource_type	リソースのタイプ。
name	target.user.user_display_name	対象ユーザーの表示名。
usrName	target.user.userid	ターゲットユーザーのユーザー ID。
product_name	metadata.product_name	イベントを生成するプロダクトの名前。
vendor_name	metadata.vendor_name	ベンダーの名前。

CA ACF2 ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して CA ACF2 ログを Google Security Operations に取り込む方法について説明します。

Broadcom ACF2（Access Control Facility 2）for z/OS は、IBM z/OS システムのアクセス制御、認証、監査を提供するメインフレームセキュリティプロダクトです。ACF2 は、認証試行、データセットアクセス違反、リソースアクセスイベント、TSO コマンドロギング、データベース変更など、セキュリティイベントを IBM System Management Facility（SMF）レコード（デフォルトタイプ 230）に記録します。これらの SMF レコードは、BMC AMI Defender for z/OS などのサードパーティエージェントを使用して Chronicle に転送する必要があります。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows Server 2016 以降、または systemd を使用する Linux ホスト
Bindplane エージェントと BMC AMI Defender for z/OS エージェント間のネットワーク接続
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
ACF2 がアクティブな z/OS LPAR に BMC AMI Defender for z/OS がインストールされ、実行されている
amihlq.CZAGENT.PARM データセット内の BMC AMI Defender パラメータファイルを変更するアクセス権
z/OS で CZAGENT 開始タスクを開始または変更する権限

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [コレクションエージェント] に移動します。
Ingestion Authentication File をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

注: この JSON ファイルには、Bindplane エージェントを Google SecOps に対して認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

注: Bindplane エージェントエクスポータを構成するには、customer ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows のインストール
1. 管理者としてコマンドプロンプトまたは PowerShell を開きます。
2. 次のコマンドを実行します。
```
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
```
3. インストールが完了するまで待ちます。
4. 次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
  サービスは RUNNING と表示されます。
Linux のインストール
1. root 権限または sudo 権限でターミナルを開きます。
2. 次のコマンドを実行します。
```
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
```
3. インストールが完了するまで待ちます。
4. 次のコマンドを実行して、インストールの内容を確認します。
```
sudo systemctl status observiq-otel-collector
```
  サービスが [アクティブ（実行中）] と表示されます。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを見つける

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

config.yaml の内容全体を次の構成に置き換えます。

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/acf2_logs:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CA_ACF2
    raw_log_field: body
    ingestion_labels:
      env: production
      source: acf2

service:
  pipelines:
    logs/acf2_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/acf2_logs

各プレースホルダを次のように置き換えます。
- レシーバーの構成:
  - listen_address: 0.0.0.0:514 に設定して、UDP ポート 514 のすべてのインターフェースでリッスンします。
    - 非 root として実行されている Linux システムの場合は、ポート 1514 以降を使用します。
    - このポートを BMC AMI Defender SERVER ステートメントの構成と一致させます
- エクスポータの構成:
  - creds_file_path: 取り込み認証ファイルのフルパス:
    - Linux: /etc/bindplane-agent/ingestion-auth.json
    - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - customer_id: YOUR_CUSTOMER_ID を customer ID に置き換えます。詳細については、Google SecOps の顧客 ID を取得するをご覧ください。
  - endpoint: リージョンエンドポイント URL:
    - 米国: malachiteingestion-pa.googleapis.com
    - ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
    - アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
    - 完全なリストについては、リージョンエンドポイントをご覧ください。
  - log_type: CA_ACF2（ACF2 ログの Chronicle 取り込みラベル）に設定します。
  - ingestion_labels: ログを分類するためのオプションのラベル（必要に応じてカスタマイズ）

構成ファイルを保存する

編集が完了したら、ファイルを保存します。

Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
Windows: [ファイル>保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:
1. 次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
2. サービスが実行されていることを確認します。
```
sudo systemctl status observiq-otel-collector
```
3. ログでエラーを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Windows で Bindplane エージェントを再起動するには:
1. 次のいずれかのオプションを選択します。
  - 管理者としてコマンドプロンプトまたは PowerShell を開きます。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - サービスコンソール:
    1. Win+R キーを押して「services.msc」と入力し、Enter キーを押します。
    2. observIQ OpenTelemetry Collector を見つけます。
    3. 右クリックして [再起動] を選択します。
2. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
3. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

ACF2 SMF レコードを転送するように BMC AMI Defender for z/OS を構成する

$$$SERVR parameter member

Sign in to the z/OS system using TSO/ISPF or a 3270 emulator.
Navigate to the BMC AMI Defender parameter library:
1. Enter ISPF at the TSO READY prompt.
2. Select option 2 (Edit).
3. In the ISPF Library field, enter the data set name: amihlq.CZAGENT.PARM (replace amihlq with your installation high-level qualifier).
4. Press Enter.
Edit the $$$SERVR メンバーを編集します。

$$$SERVR member.

Press Enter.

Locate the SERVER statement section (approximately line 40-60).

Uncomment one of the SERVER statements by removing the leading semicolon (;).

Configure the SERVER statement with the Bindplane agent IP address and port:

SERVER bindplane-host-ip:514 TRANS(UDP) MAXMSG(2000)

Replace bindplane-host-ip with the IP address of the Bindplane agent host (for example, 192.168.1.100).

If using a non-standard port (for example, 1514), specify: bindplane-host-ip:1514.

TRANS(UDP) specifies UDP transport protocol (recommended for syslog).

MAXMSG(2000) sets the maximum message length to 2000 bytes (ACF2 records may require larger sizes).

Verify the OPTIONS statement for syslog format:

Scroll up to locate the OPTIONS statements (approximately line 10-30).

Ensure one of the following OPTIONS statements is uncommented based on your preferred format:

OPTIONS IF(RFC3164) SIEM(RFC3164) TIMESTAMP INSTNAME(SIEM.Agent)

RFC3164: Standard syslog format (recommended for Chronicle)

CEF: Common Event Format (alternative)

LEEF: Log Event Extended Format (alternative)

JSON: JSON format (alternative)

Save the changes:

Press F3 to exit the editor.

Type SAVE when prompted.

Press Enter.

Edit the $$$CONFG パラメータメンバーの横に E と入力して、ACF2 SMF レコード収集を有効にします

amihlq.CZAGENT.PARM データセットメンバーリストで、$$$CONFG member:

Type E next to the $$$CONFG メンバーを編集します。

Enter キーを押します。

ACF2 SMF レコード選択スイッチを見つけます（ACF2 または SMF 230 を検索します）。

ACF2 の SELECT ステートメントのコメントを解除します。

SELECT IF(ACF2) SMF(ACF2)

これにより、ACF2 SMF レコード（デフォルトタイプ 230）の収集が有効になります。

サイトで ACF2 に別の SMF レコードタイプを使用している場合は、TSO で ACF SHOW SYSTEMS コマンドを使用してタイプを確認します。

変更を保存します。

F3 キーを押してエディタを終了します。

プロンプトが表示されたら、「SAVE」と入力します。

Enter キーを押します。

SMF ACF2 ステートメントパラメータメンバーを作成または編集する

amihlq.CZAGENT.PARM データセットのメンバーリストで、$$$ACF2 or SMFACF2 exists.

If the member does not exist, create it:

Type C (Create) on the command line.

Enter the member name: $$$ACF2. という名前のメンバーがあるかどうかを確認します。
Enter キーを押します。
メンバーを編集して、次の SMF ACF2 ステートメントを追加します。
SMF ACF2(230) FACILITY(SECURITY4) SEVERITY(INFORMATIONAL) ACF2(230): ACF2 の SMF レコードタイプを指定します（デフォルトは 230。ACF SHOW SYSTEMS で確認してください）。 FACILITY(SECURITY4): syslog ファシリティを Security（4）に設定します。 SEVERITY(INFORMATIONAL): デフォルトの重大度を [Informational] に設定します。無効なパスワードまたは権限違反は、重大度 ERROR で自動的に送信されます。リソース違反は、重大度 ERROR で自動的に送信されます。
必要に応じて、特定の ACF2 サブタイプと重大度を構成します。 SMF ACF2(230) + FACILITY(SECURITY4) + SEVERITY(INFORMATIONAL) + SUBTYPES(P SEV(ERROR)) + SUBTYPES(V SEV(ERROR)) + SUBTYPES(D SEV(ERROR)) サブタイプ P: 無効なパスワードまたは権限イベント（重大度: エラー）サブタイプ V: リソースの違反（重大度: エラー）サブタイプ D: データセットアクセス違反（重大度: エラー）変更を保存します。 F3 キーを押してエディタを終了します。プロンプトが表示されたら、「SAVE」と入力します。 Enter キーを押します。 BMC AMI Defender パラメータファイルを更新する ISPF を終了して、TSO READY プロンプトに戻ります。 MODIFY コマンドを発行して、パラメータファイルを再読み込みします。 F CZAGENT,PARMS 異なる場合は、CZAGENT を BMC AMI Defender の開始タスク名に置き換えます。このコマンドは、エージェントを停止せずにパラメータファイルを再読み込みします。 CZAPRINT 出力を確認して、構成を検証します。 ISPF で、オプション 3.4（DSLIST）を選択します。データセット名のパターン（CZAGENT.CZAPRINT またはサイト固有の命名規則）を入力します。 Enter キーを押します。最新の CZAPRINT データセットの横に B（参照）と入力します。 Enter キーを押します。 syslog サーバーへの接続が成功したことを示すメッセージを検索します。 CZA0070I Connected to server bindplane-host-ip:514 CZA0100I SMF ACF2 statement processed CZAGENT 開始タスクが実行されていない場合は、開始します。 S CZAGENT ACF2 ログ転送を確認するテスト ACF2 セキュリティイベントを生成します。 TSO で、アクセス権のないデータセットにアクセスしようとします。無効なパスワードでログオンを試みます（テストアカウントを使用します）。 ACF2 によってロギングされた TSO コマンドを実行します。 Bindplane エージェントのログを調べて、ACF2 syslog メッセージが受信されたことを確認します。 Linux: sudo journalctl -u observiq-otel-collector -f | grep ACF2 Windows: type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr ACF2 Google SecOps コンソールにログインし、ACF2 ログが取り込まれていることを確認します。 [検索] > [UDM 検索] に移動します。次のクエリを入力します。 metadata.log_type = "CA_ACF2" ACF2 セキュリティイベントが検索結果に表示されることを確認します。 UDM マッピングテーブルログフィールド UDM マッピングロジック extensions.auth.mechanism 使用される認証メカニズム。 extensions.auth.type 認証のタイプ。 sum metadata.description イベントの説明。 metadata.event_type イベントタイプ。 event_type, cat metadata.product_event_type プロダクト固有のイベントタイプ。 product_version metadata.product_version プロダクトのバージョン。ターミナル principal.hostname プリンシパルに関連付けられたホスト名。 name principal.user.user_display_name ユーザーの表示名。 usrName principal.user.userid ユーザー ID。 security_result.action セキュリティシステムによって実行されたアクション。 security_result.category セキュリティ結果のカテゴリ。クラス security_result.category_details セキュリティ結果のカテゴリに関する追加の詳細。 reason security_result.severity セキュリティ結果の重大度。 reason security_result.severity_details 重大度の詳細情報。 logstr security_result.summary セキュリティ結果の概要。 job_id target.application ターゲットアプリケーション。 job_group target.group.group_display_name グループの表示名。 target.namespace ターゲットの名前空間。 dsn target.resource.name リソースの名前。 vol target.resource.parent 親リソース。 res、dsn target.resource.product_object_id 商品固有のオブジェクト ID。 target.resource.resource_type リソースのタイプ。 name target.user.user_display_name 対象ユーザーの表示名。 usrName target.user.userid ターゲットユーザーのユーザー ID。 product_name metadata.product_name イベントを生成するプロダクトの名前。 vendor_name metadata.vendor_name ベンダーの名前。さらにサポートが必要な場合コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。

CA ACF2 ログを収集する

始める前に

Google SecOps の取り込み認証ファイルを取得する

Google SecOps のお客様 ID を取得する

Bindplane エージェントをインストールする

その他のインストール リソース

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを見つける

構成ファイルを編集します。

構成ファイルを保存する

Bindplane エージェントを再起動して変更を適用する

ACF2 SMF レコードを転送するように BMC AMI Defender for z/OS を構成する

$$$SERVR parameter member

Edit the $$$CONFG パラメータ メンバーの横に E と入力して、ACF2 SMF レコード収集を有効にします

SMF ACF2 ステートメント パラメータ メンバーを作成または編集する

BMC AMI Defender パラメータ ファイルを更新する

ACF2 ログ転送を確認する

UDM マッピング テーブル

その他のインストールリソース

Edit the $$$CONFG パラメータメンバーの横に `E` と入力して、ACF2 SMF レコード収集を有効にします

SMF ACF2 ステートメントパラメータメンバーを作成または編集する

BMC AMI Defender パラメータファイルを更新する

UDM マッピングテーブル