Cisco Wireless LAN Controller（WLC）のログを収集する

パーサーのバージョン: 12.0

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Cisco ワイヤレス LAN コントローラ（WLC）のログを Google Security Operations に取り込む方法について説明します。

パーサーは、grok パターンを使用して Cisco WLC syslog メッセージからフィールドを抽出し、DHCP、認証、ネットワーク イベントなどのさまざまなログ形式を処理します。抽出されたフィールドを統合データモデル（UDM）にマッピングし、mnemonic とメッセージの内容に基づいてイベントタイプを決定します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Cisco WLC 間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • Cisco WLC への特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に ingestion-auth.json として保存するか、config.yaml の creds_file_path を保存先のパスと一致するように更新します。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポーターの構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスが RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探します。

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cisco_wireless:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CISCO_WIRELESS
    raw_log_field: body

service:
  pipelines:
    logs/cisco_wireless_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cisco_wireless

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート。
      • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
      • ポート 514 は標準の syslog ポートです（Linux で root が必要です。root 以外のユーザーは 1514 を使用します）。

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。

以前の Ingestion API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（europe-malachiteingestion-pa.googleapis.com など）に置き換えます。

    exporters:
  chronicle/cisco_wireless:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CISCO_WIRELESS
    raw_log_field: body

構成ファイルを保存する

  • 編集が完了したら、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Cisco WLC で syslog を構成する

  1. WLC ウェブ UI にログインします。
  2. [Management] > [Logs] > [Config] に移動します。
  3. [Syslog Server IP Address] フィールドに、Bindplane エージェントの IP アドレスを入力します。
  4. [追加] をクリックします。
  5. 次の構成情報を指定します。
    • Syslog Severity: [Informational] を選択します。
    • Syslog Facility: [Local Use 0] を選択します。
  6. [適用] をクリックします。

  7. [Save Configuration] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
action_data read_only_udm.security_result.action_details action_data フィールドから直接マッピングされます。
data read_only_udm.metadata.description 一部の処理（タイムスタンプや余分な文字の削除など）の後、data フィールドから直接マッピングされます。ログメッセージの先頭のタイムスタンプから抽出されます。パーサーはさまざまな形式を処理します。cisco_wireless.include ファイル内の複雑なロジックを使用して、mnemonic フィールドと messageToProcess フィールドに基づいて決定されます。「CISCO_WIRELESS」に設定されます。facility、cisco_severity、mnemonic フィールドの連結。利用可能な場合は、ログ メッセージから抽出されます。「CISCO_WIRELESS」に設定されます。利用可能な場合は version フィールドから抽出されます。「CISCO」に設定されます。イベントが DHCP に関連する場合は「DHCP」に設定します。ブロードキャスト ネットワーク イベントの場合は「BROADCAST」に設定されます。UDP ネットワーク イベントの場合は「UDP」に設定されます。説明がある場合は、説明から抽出されます。利用可能な場合は、説明から抽出されます。ログ形式に応じて、wlc_controller フィールドまたは hostname フィールドからマッピングされます。説明または MessageSourceAddress から抽出されます（利用可能な場合）。ログ形式に応じて、wlc_controller フィールドまたは hostname フィールドからマッピングされます。説明または MessageSourceAddress から抽出されます（利用可能な場合）。説明がある場合は、説明から抽出されます。利用可能な場合は、説明から抽出されます。SourceModuleName フィールドと SourceModuleType フィールドから作成されます（利用可能な場合）。userid がメールアドレスのように見える場合は、read_only_udm.principal.user.userid からマッピングされます。利用可能な場合は、説明から抽出されます。説明がある場合は、説明から抽出されます。イベントの種類と説明に基づいて判断されます。イベントタイプと説明に基づいて判断されます。利用可能な場合は、説明内の特定のフィールドから作成されます。利用可能な場合は、説明から抽出されます。複数のフィールドの情報を組み合わせることもあります。cisco_severity フィールドとイベントタイプに基づいて決定されます。read_only_udm.security_result.severity フィールドから取得されます。説明とイベントタイプから導出された、セキュリティ結果の簡潔な要約。説明がある場合は、説明から抽出されます。利用可能な場合は、説明から抽出されます。説明がある場合は、説明から抽出されます。利用可能な場合は、説明から抽出されます。説明がある場合は、説明から抽出されます。説明がある場合は、説明から抽出されます。説明がある場合は、説明から抽出されます。設定変更イベントの場合は「SETTING」に設定されます。説明がある場合は、説明から抽出されます。
event_data read_only_udm.metadata.product_event_type event_data フィールドから直接マッピングされます。
event_id read_only_udm.metadata.product_log_id event_id フィールドから直接マッピングされます。
event_ts read_only_udm.metadata.event_timestamp event_ts フィールドから直接マッピングされます。
facility read_only_udm.metadata.product_event_type facility フィールドから直接マッピングされます。
hostname read_only_udm.principal.hostname hostname フィールドから直接マッピングされます。
hostname read_only_udm.target.hostname hostname フィールドから直接マッピングされます。
inter_mac read_only_udm.intermediary.mac inter_mac フィールドから直接マッピングされます。
intermediary_hostname read_only_udm.intermediary.hostname intermediary_hostname フィールドから直接マッピングされます。
kv_data read_only_udm.principal.resource.attribute.labels Key-Value ペアとして解析され、ラベルの入力に使用されます。
log_message read_only_udm.security_result.description log_message フィールドから直接マッピングされます。
MessageSourceAddress read_only_udm.principal.asset.ip MessageSourceAddress フィールドから直接マッピングされます。
MessageSourceAddress read_only_udm.principal.ip MessageSourceAddress フィールドから直接マッピングされます。
messageToProcess read_only_udm.metadata.description いくつかの処理の後、messageToProcess フィールドから直接マッピングされます。
mnemonic read_only_udm.metadata.event_type 他のフィールドと組み合わせてイベントタイプを特定するために使用されます。
mnemonic read_only_udm.metadata.product_event_type mnemonic フィールドから直接マッピングされます。
severity_data read_only_udm.security_result.severity 列挙値に変換した後、severity_data フィールドからマッピングされます。
SourceModuleName read_only_udm.principal.resource.attribute.labels SourceModuleName フィールドから直接マッピングされます。
SourceModuleType read_only_udm.principal.resource.attribute.labels SourceModuleType フィールドから直接マッピングされます。
timestamp read_only_udm.metadata.event_timestamp timestamp フィールドから直接マッピングされます。
version read_only_udm.metadata.product_version version フィールドから直接マッピングされます。
wlc_controller read_only_udm.principal.hostname wlc_controller フィールドから直接マッピングされます。
wlc_controller read_only_udm.target.hostname wlc_controller フィールドから直接マッピングされます。
mnemonic event.idm.read_only_udm.metadata.product_event_type 変更履歴からマッピング
urlHolder event.idm.read_only_udm.target.url 変更履歴からマッピング
syslog_sequence event.idm.read_only_udm.additional.fields 変更履歴からマッピング
userid event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
principal_mac event.idm.read_only_udm.principal.mac 変更履歴からマッピング
obs_host event.idm.read_only_udm.observer.hostname 変更履歴からマッピング
obs_desc event.idm.read_only_udm.observer.labels 変更履歴からマッピング
addr event.idm.read_only_udm.additional.fields 変更履歴からマッピング
component_status event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ecc event.idm.read_only_udm.additional.fields 変更履歴からマッピング
multipleErrorsDetected event.idm.read_only_udm.additional.fields 変更履歴からマッピング
rep[0] event.idm.read_only_udm.additional.fields 変更履歴からマッピング
rep[1] event.idm.read_only_udm.additional.fields 変更履歴からマッピング
rep[2] event.idm.read_only_udm.additional.fields 変更履歴からマッピング
suppressed_times event.idm.read_only_udm.additional.fields 変更履歴からマッピング
valid event.idm.read_only_udm.additional.fields 変更履歴からマッピング
interface event.idm.read_only_udm.additional.fields 変更履歴からマッピング
event_id event.idm.read_only_udm.metadata.product_log_id 変更履歴からマッピング
principal_hostname event.idm.read_only_udm.principal.hostname と event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
wlc_controller event.idm.read_only_udm.principal.hostname と event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
src_ip_1 event.idm.read_only_udm.principal.ip 変更履歴からマッピング
src_ip_2 event.idm.read_only_udm.principal.ip 変更履歴からマッピング
mac1 event.idm.read_only_udm.principal.mac 変更履歴からマッピング
mac2 event.idm.read_only_udm.principal.mac 変更履歴からマッピング
slot event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
username event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
src_ip event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
ssid event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
SourceModuleName" and "SourceModuleType principal.resource.attribute.labels 変更履歴からマッピング
client_host", and "hostname principal.hostname 変更履歴からマッピング
client_ip principal.ip 変更履歴からマッピング
client_mac principal.mac 変更履歴からマッピング
ap_ip target.ip 変更履歴からマッピング
ap_mac target.mac 変更履歴からマッピング
messageToProcess" and "description metadata.description 変更履歴からマッピング
inter_url intermediary.url 変更履歴からマッピング
inter_ip intermediary.ip 変更履歴からマッピング
sec_desc security_result.description 変更履歴からマッピング
latest_version", "current_version", "certificate", "expiry_date", "clostest_sensor", "ssid", "client", "xid", "failure_reason", "auth_failure_reason", and "interface security_result.detection_fields 変更履歴からマッピング
action_data security_result.acion_details 変更履歴からマッピング
username principal.user.userid 変更履歴からマッピング
vendor", and "RSSI principal.resource.attribute.labels 変更履歴からマッピング
vendor", "security_setting", "channel", "protocol", and "RSSI target.resource.attribute.labels 変更履歴からマッピング
msg1 metadata.description 変更履歴からマッピング
wlc_controller event.idm.read_only_udm.principal.hostname 変更履歴からマッピング
event.idm.read_only_udm.metadata.event_type USER_RESOURCE_ACCESS 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。