Check Point Harmony のログを収集する

パーサーのバージョン: 3.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane を使用して Check Point Harmony Email and Collaboration（HEC）ログを Google Security Operations に取り込む方法について説明します。このパーサーコードは、Check Point Harmony syslog メッセージからキーと値のペアを抽出し、統合データモデル（UDM）にマッピングします。まず、メッセージ形式を正規化します。次に、フィールドを principal、target、network、security_result などの UDM カテゴリに繰り返し解析してマッピングし、セキュリティ分析用のデータを拡充します。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Windows 2016 以降、または systemd を使用する Linux ホスト
• プロキシの背後で実行している場合、ファイアウォール ポートが開いている
• Check Point Harmony HEC（Infinity Portal）への特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

• 新しいデプロイ: Chronicle API（オプション 1）を使用します。
• 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービス アカウントを作成する（推奨）

1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
2. [IAM と管理> サービス アカウント] に移動します。
3. [サービス アカウントを作成] をクリックします。
4. 次の構成情報を指定します。
   • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
   • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
5. [作成して続行] をクリックします。
6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
7. [続行] をクリックして [完了] をクリックします。
8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
10. [JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。

注: JSON キーは認証情報です。Bindplane ホスト上のファイルへのアクセスを制限し、組織のポリシーに従って鍵をローテーションします。

オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [収集エージェント] に移動します。
3. 取り込み認証ファイルをダウンロードします。
4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

注: このファイルは、エージェントを以前の Ingestion API（malachiteingestion-pa.googleapis.com）に対して認証します。この API は、2027 年 7 月 20 日にサポート終了が予定されています。その日までにオプション 1 に移行するよう計画してください。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。
3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux へのインストール

1. root 権限または sudo 権限でターミナルを開きます。

2. 次のコマンドを実行します。

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

その他のインストール リソース

その他のインストール オプションについては、インストール ガイドをご覧ください。

注: Chronicle API エクスポータの構成には、Bindplane コレクタ v1.106.0 以降が必要です。上記のコマンドを実行すると、最新リリースがインストールされます。既存のインストールを更新する場合は、構成を変更する前にコレクタをアップグレードします。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

1. 構成ファイルにアクセスします。
   • config.yaml ファイルを見つけます。通常、Linux の場合は /opt/observiq-otel-collector/ ディレクトリ、Windows の場合はインストール ディレクトリにあります。
   • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

2. config.yaml ファイルを次のように編集します。

   receivers:
       udplog:
           # Replace the port and IP address as required
           listen_address: "0.0.0.0:514"
   
   exporters:
       chronicle/chronicle_w_labels:
           protocol: https
           # Region of your instance, for example us, europe, asia-southeast1
           location: <LOCATION>
           # Project number of the Google Cloud project linked to the instance
           project: '<PROJECT_NUMBER>'
           compression: gzip
           # Adjust the path to the credentials file you downloaded in Step 1
           creds_file_path: '/path/to/ingestion-authentication-file.json'
           # Replace with your actual customer ID from Step 2
           customer_id: <customer_id>
           endpoint: chronicle.googleapis.com
           # Add optional ingestion labels for better organization
           log_type: 'CHECKPOINT_HARMONY'
           raw_log_field: body
           ingestion_labels:
   
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

   • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
   • <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポータは、chronicle.googleapis.com の先頭にこの値を付加します。
   • <PROJECT_NUMBER> は、[IAM と管理>設定] のプロジェクト番号に置き換えます。
   • <customer_id> は、実際のお客様 ID に置き換えます。
   • /path/to/ingestion-authentication-file.json の値を、Bindplane エージェントの Google SecOps 認証情報を取得するでサービス アカウント キーファイル（オプション 1）を保存したパスに更新します。

以前の Ingestion API エクスポータ

• オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（europe-malachiteingestion-pa.googleapis.com など）に置き換えます。

  exporters:
      chronicle/chronicle_w_labels:
          compression: gzip
          # Adjust the path to the credentials file you downloaded in Step 1
          creds_file_path: '/path/to/ingestion-authentication-file.json'
          # Replace with your actual customer ID from Step 2
          customer_id: <customer_id>
          endpoint: malachiteingestion-pa.googleapis.com
          # Add optional ingestion labels for better organization
          log_type: 'CHECKPOINT_HARMONY'
          raw_log_field: body
          ingestion_labels:
  

注: このエクスポータは、2027 年 7 月 20 日に Ingestion API が廃止されると機能しなくなります。

Bindplane エージェントを再起動して変更を適用する

• Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

  sudo systemctl restart bindplane-agent
  

• Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Check Point Harmony HEC の Syslog を構成する

1. Infinity Portal > Harmony Email & Collaboration ウェブ UI にログインします。
2. [設定] > [モニタリング] > [SIEM] に移動します。
3. [Add SIEM Server] をクリックします。
4. 次の構成情報を指定します。
   • ホスト: Bindplane エージェントの IP アドレスを入力します。
   • ポート: Bindplane エージェントのポート番号を入力します。
   • [プロトコル]: [UDP] を選択します。
   • （省略可）トークン: ログにオプションのタグを入力します。
5. [保存] をクリックします。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
アクション	security_result.action_details	直接マッピングされます。
	security_result.action	action フィールドの値に基づいて、ALLOW、BLOCK、ALLOW_WITH_MODIFICATION、QUARANTINE にマッピングされます。
additional_info	additional.fields.value.string_value	キー = additional_info で直接マッピングされます。
analyzed_on	security_result.detection_fields.value	キー = analyzed_on で直接マッピングされます。
client_name	additional.fields.value.string_value	キー = client_name で直接マッピングされます。
client_version	intermediary.platform_version	直接マッピングされます。
confidence_level	security_result.detection_fields.value	キー = confidence_level で直接マッピングされます。
	security_result.confidence	confidence_level フィールドの値に基づいて、UNKNOWN_CONFIDENCE、LOW_CONFIDENCE、MEDIUM_CONFIDENCE、HIGH_CONFIDENCE にマッピングされます。
説明	security_result.description	直接マッピングされます。
dst	target.ip	直接マッピングされます。
dst_dns_name	security_result.detection_fields.value	キー = dst_dns_name で直接マッピングされます。
dst_machine_name	security_result.detection_fields.value	キー = dst_machine_name で直接マッピングされます。
	target.asset.hostname	直接マッピングされます。
	target.hostname	直接マッピングされます。
dst_user_dn	security_result.detection_fields.value	key = dst_user_dn で直接マッピングされます。
dst_user_name	target.user.userid	直接マッピングされます。
ep_rule_id	security_result.rule_id	rule_uid が空の場合、直接マッピングされます。
エラー	security_result.summary	直接マッピングされます。
event_type	metadata.product_event_type	直接マッピングされます。
file_md5	target.process.file.md5	値が有効な MD5 ハッシュで、すべてゼロでない場合、直接マッピングされます。
	target.file.md5	値が有効な MD5 ハッシュで、すべてゼロでない場合は、直接マッピングされます。
file_name	target.process.file.full_path	直接マッピングされます。
file_sha1	target.process.file.sha1	値が有効な SHA-1 ハッシュで、すべてゼロでない場合は、直接マッピングされます。
	target.file.sha1	値が有効な SHA-1 ハッシュで、すべてゼロでない場合は、直接マッピングされます。
file_sha256	target.process.file.sha256	値が有効な SHA256 ハッシュであり、すべてゼロでない場合は、直接マッピングされます。
	target.file.sha256	値が有効な SHA256 ハッシュであり、すべてゼロでない場合は、直接マッピングされます。
file_size	target.file.size	直接マッピングされます。
file_type	target.file.file_type	file_type フィールドの値に基づいて、FILE_TYPE_ZIP、FILE_TYPE_DOS_EXE、FILE_TYPE_PDF、FILE_TYPE_XLSX のいずれかにマッピングされます。
flags	additional.fields.value.string_value	key = flags で直接マッピングされます。
fw_subproduct	additional.fields.value.string_value	商品が空の場合、key = fw_subproduct で直接マッピングされます。
	metadata.product_name	商品が空の場合、直接マッピングされます。
host_type	security_result.detection_fields.value	key = host_type で直接マッピングされます。
ifdir	network.direction	大文字に変換された後、直接マッピングされます。
ifname	security_result.detection_fields.value	key = ifname で直接マッピングされます。
installed_products	security_result.detection_fields.value	key = installed_products で直接マッピングされます。
is_scanned	security_result.detection_fields.value	キー = is_scanned で直接マッピングされます。
layer_name	security_result.detection_fields.value	キー = layer_name で直接マッピングされます。
	security_result.rule_set_display_name	直接マッピングされます。
layer_uuid	security_result.detection_fields.value	キー = layer_uuid で直接マッピングされます。
	security_result.rule_set	直接マッピングされます。
loguid	metadata.product_log_id	直接マッピングされます。
machine_guid	principal.asset.attribute.labels.value	キー = machine_guid で直接マッピングされます。
malware_action	security_result.detection_fields.value	key = malware_action で直接マッピングされます。
malware_family	security_result.detection_fields.value	key = malware_family で直接マッピングされます。
media_authorized	security_result.detection_fields.value	キー = media_authorized で直接マッピングされます。
media_class_id	security_result.detection_fields.value	キー = media_class_id で直接マッピングされます。
media_description	security_result.detection_fields.value	キー = media_description で直接マッピングされます。
media_encrypted	security_result.detection_fields.value	キー = media_encrypted で直接マッピングされます。
media_manufacturer	security_result.detection_fields.value	key = media_manufacturer で直接マッピングされます。
media_type	security_result.detection_fields.value	key = media_type で直接マッピングされます。
メソッド	security_result.detection_fields.value	key = methods で直接マッピングされます。
originsicname	security_result.detection_fields.value	キー = originsicname で直接マッピングされます。
origin	intermediary.ip	直接マッピングされます。
os_version	principal.asset.platform_software.platform_patch_level	直接マッピングされます。
outzone	security_result.detection_fields.value	キー = outzone で直接マッピングされます。
parent_rule	security_result.detection_fields.value	key = parent_rule で直接マッピングされます。
peer_gateway	intermediary.ip	直接マッピングされます。
policy_guid	security_result.detection_fields.value	key = policy_guid で直接マッピングされます。
policy_name	security_result.detection_fields.value	キー = policy_name で直接マッピングされます。
policy_number	security_result.detection_fields.value	キー = policy_number で直接マッピングされます。
policy_type	security_result.detection_fields.value	key = policy_type で直接マッピングされます。
product	additional.fields.value.string_value	key = product で直接マッピングされます。
	metadata.product_name	直接マッピングされます。
product_family	additional.fields.value.string_value	キー = product_family で直接マッピングされます。
program_name	additional.fields.value.string_value	キー = program_name で直接マッピングされます。
protection_name	security_result.detection_fields.value	key = protection_name で直接マッピングされます。
protection_type	security_result.detection_fields.value	キー = protection_type で直接マッピングされます。
reading_data_access	security_result.detection_fields.value	key = reading_data_access で直接マッピングされます。
rule_action	security_result.detection_fields.value	key = rule_action で直接マッピングされます。
rule_name	security_result.rule_name	直接マッピングされます。
rule_uid	security_result.rule_id	ep_rule_id が空の場合、直接マッピングされます。
s_port	principal.port	直接マッピングされます。
scheme	security_result.detection_fields.value	key = scheme で直接マッピングされます。
sequencenum	additional.fields.value.string_value	キー = sequencenum で直接マッピングされます。
サービス	target.port	直接マッピングされます。
service_id	security_result.detection_fields.value	key = service_id で直接マッピングされます。
session_uid	network.session_id	直接マッピングされます。
src	principal.ip	直接マッピングされます。
src_dns_name	security_result.detection_fields.value	key = src_dns_name で直接マッピングされます。
src_machine_name	security_result.detection_fields.value	key = src_machine_name で直接マッピングされます。
	principal.asset.hostname	直接マッピングされます。
	principal.hostname	直接マッピングされます。
src_user_dn	security_result.detection_fields.value	キー = src_user_dn で直接マッピングされます。
src_user_name	principal.user.userid	直接マッピングされます。
	principal.user.email_addresses	メールアドレスは、src_user_name フィールドが存在し、userid (email) 形式の場合に抽出されます。
te_verdict_determined_by	security_result.detection_fields.value	key = te_verdict_determined_by で直接マッピングされます。
timestamp	metadata.event_timestamp	直接マッピングされます。
trusted_domain	security_result.detection_fields.value	キー = trusted_domain で直接マッピングされます。
ユーザー	principal.user.userid	src_user_name が空の場合、直接マッピングされます。
	principal.user.email_addresses	メールアドレスは、存在する場合はユーザー フィールドから抽出され、userid (email) 形式になります。
user_name	principal.user.email_addresses	値が有効なメールアドレスの場合、直接マッピングされます。
user_sid	principal.user.windows_sid	直接マッピングされます。
判断	security_result.detection_fields.value	キー = verdict で直接マッピングされます。
version	additional.fields.value.string_value	キー = version で直接マッピングされます。
vpn_feature_name	security_result.detection_fields.value	キー = vpn_feature_name で直接マッピングされます。
web_client_type	security_result.detection_fields.value	キー = web_client_type で直接マッピングされます。
	metadata.log_type	このフィールドは CHECKPOINT_HARMONY にハードコードされています。
	metadata.vendor_name	このフィールドは CHECKPOINT_HARMONY にハードコードされています。
	principal.asset.platform_software.platform	os_name フィールドの値に基づいて WINDOWS、MAC、LINUX にマッピングされます。
	network.ip_protocol	proto フィールドの値と、service や service_id などの他のフィールドに基づいて、TCP、UDP、ICMP、IP6IN4、GRE にマッピングされます。
	security_result.severity	severity フィールドの値に基づいて、LOW、MEDIUM、HIGH、CRITICAL にマッピングされます。
	metadata.event_type	このフィールドは、プリンシパルとターゲットの両方が存在する場合は NETWORK_CONNECTION、プリンシパルのみが存在する場合は STATUS_UNCATEGORIZED、それ以外の場合は GENERIC_EVENT に設定されます。
label	event.idm.read_only_udm.network.email.to	変更履歴からマッピング
entityLink	event.idm.read_only_udm.metadata.url_back_to_product	変更履歴からマッピング
actionType	event.idm.read_only_udm.security_result.action_details	変更履歴からマッピング
eventId	event.idm.read_only_udm.metadata.product_log_id	変更履歴からマッピング
eventCreated	event.idm.read_only_udm.metadata.event_timestamp	変更履歴からマッピング
type	event.idm.read_only_udm.metadata.product_event_type	変更履歴からマッピング
act.createTime	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
act.relatedEntityId	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
customerId	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
saas	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
state	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
entityId	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
connectivity_state	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
actions.actionType	event.idm.read_only_udm.security_result.action	変更履歴からマッピング
senderAddress	event.idm.read_only_udm.network.email.from	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。