Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

ClamAV ログを収集する

パーサーのバージョン: 3.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して ClamAV ログを Google Security Operations に取り込む方法について説明します。

ClamAV は、トロイの木馬、ウイルス、マルウェア、その他の悪意のある脅威を検出するために設計されたオープンソースのウイルス対策エンジンです。コマンドラインスキャン、シグネチャデータベースの自動更新、アーカイブ、実行可能ファイル、ドキュメントなどの複数のファイル形式のサポートを提供します。ClamAV は、Linux、Unix、Windows システム上でローカルデーモン（clamd）またはコマンドラインスキャナ（clamscan）として動作します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows Server 2016 以降、または systemd を使用する Linux ホスト
Bindplane エージェントホストと ClamAV サーバー間のネットワーク接続
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
Linux エンドポイントに ClamAV がインストールされ、実行されている
ClamAV サーバーと Bindplane エージェントホストへの root または sudo アクセス権

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

新規デプロイ: Chronicle API を使用します（オプション 1）。
以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービスアカウントを作成する（推奨）

Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
[IAM と管理] > [サービスアカウント] に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
- サービスアカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
[続行] をクリックして [完了] をクリックします。
作成したサービスアカウントをクリックし、[キー] タブに移動します。
[鍵を追加] > [新しい鍵を作成] の順にクリックします。
[JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
鍵ファイルを ingestion-auth.json として Bindplane コレクタディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
[IAM と管理] > [設定] に移動し、プロジェクト番号をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

Google SecOps コンソールにログインします。
[設定] > [データ管理] > [収集エージェント] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [収集エージェント] に移動します。
取り込み認証ファイルをダウンロードします。
Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[Settings] > [Administration] > [Profile] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

注: Bindplane エージェントエクスポータを構成するには、お客様 ID が必要です。


Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者としてコマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
サービスステータスは RUNNING になります。

Linux へのインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sudo systemctl status observiq-otel-collector
```
サービスステータスは active (running) になっているはずです。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

syslog を取り込んでログを Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

config.yaml の内容全体を次の構成に置き換えます。

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/clamav:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: CLAM_AV
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/clamav_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/clamav

各プレースホルダを次のように置き換えます。
- レシーバーの構成:
  - listen_address: 0.0.0.0:514 に設定して、UDP ポート 514 のすべてのインターフェースをリッスンします。Linux でポート 514 に root 権限が必要な場合は、0.0.0.0:1514 を使用して、ポート 1514 に転送するように rsyslog を構成します。
- エクスポータの構成:
  - creds_file_path: サービスアカウントの JSON キーファイルのフルパス（オプション 1）:
    - Linux: /opt/observiq-otel-collector/ingestion-auth.json
    - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - customer_id: YOUR_CUSTOMER_ID は、以前に取得したお客様 ID に置き換えます。
  - location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の前にこの値を付加します。完全なリストについては、リージョンエンドポイントをご覧ください。
  - project: <PROJECT_NUMBER> を、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
  - endpoint: chronicle.googleapis.com に設定したままにします。
  - log_type: CLAM_AV に設定します（Google SecOps パーサーの完全一致）。
  - ingestion_labels: YAML 形式のオプションのラベル（例: env: production）

以前の Ingestion API エクスポータ

オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョンエンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。
```
exporters:
  chronicle/clamav:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CLAM_AV
    raw_log_field: body
    ingestion_labels:
      env: production
```

構成ファイルを保存する

編集が完了したら、ファイルを保存します。

Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:
1. 次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
2. サービスが実行されていることを確認します。
```
sudo systemctl status observiq-otel-collector
```
3. ログでエラーを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Windows で Bindplane エージェントを再起動するには:
1. 次のいずれかのオプションを選択します。
  - 管理者としてコマンドプロンプトまたは PowerShell を実行します。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - サービスコンソール:
    1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
    2. observIQ OpenTelemetry Collector を見つけます。
    3. 右クリックして [再起動] を選択します。
2. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
3. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

ClamAV syslog 転送を構成する

ClamAV で syslog ロギングを有効にする

root 権限または sudo 権限で ClamAV を実行している Linux システムにログインします。
ClamAV デーモンの構成ファイルを開きます。
```
sudo nano /etc/clamav/clamd.conf
```
注: 構成ファイルの場所は、ディストリビューションによって異なる場合があります。一般的な場所には、/etc/clamav/clamd.conf、/etc/clamd.conf、/usr/local/etc/clamd.conf などがあります。
#LogSyslog yes または #LogSyslog true と記載されている行を探します。
# コメント文字を削除して、syslog ロギングを有効にします。
```
LogSyslog yes
```
省略可: syslog ファシリティを構成します。#LogFacility LOG_LOCAL6 の行を探して、コメント化を解除します。
```
LogFacility LOG_LOCAL6
```
注: デフォルトのファシリティは LOG_LOCAL6 です。必要に応じて、LOG_LOCAL0 から LOG_LOCAL7 などの別のファシリティに変更できます。
省略可: 追加のロギングオプションを有効にして、より詳細なログを取得します。
```
LogTime yes
LogVerbose yes
ExtendedDetectionInfo yes
```
- LogTime: ログメッセージにタイムスタンプを追加します。
- LogVerbose: 詳細なロギングを有効にして、追加の詳細情報を出力します。
- ExtendedDetectionInfo: ファイルサイズとハッシュ、ウイルス検出結果が含まれます。
ファイルを保存して終了します。

Ctrl+O、Enter、Ctrl+X の順に押します。
ClamAV デーモンを再起動して変更を適用します。
```
sudo systemctl restart clamav-daemon
```
注: サービス名はディストリビューションによって異なる場合があります。上記のコマンドが失敗した場合は、clamav-daemon、clamd、または clamd@scan を試します。
ClamAV デーモンが実行されていることを確認します。
```
sudo systemctl status clamav-daemon
```

ClamAV ログを転送するように rsyslog を構成する

ClamAV 転送用の新しい rsyslog 構成ファイルを作成します。
```
sudo nano /etc/rsyslog.d/30-clamav-forward.conf
```
注: ファイル名は 30- で始まります。これは、メインの rsyslog 構成の後、デフォルトルールの前に読み込まれるようにするためです。

次の構成を追加して、ClamAV ログを Bindplane エージェントに転送します。

# Forward ClamAV logs (LOG_LOCAL6 facility) to Bindplane agent
if $syslogfacility-text == 'local6' then {
    action(
        type="omfwd"
        protocol="udp"
        target="BINDPLANE_AGENT_IP"
        port="514"
        queue.type="linkedList"
        queue.size="10000"
        action.resumeRetryCount="100"
    )
    stop
}

BINDPLANE_AGENT_IP は、Bindplane エージェントホストの IP アドレスに置き換えます。
- Bindplane が ClamAV と同じホストにインストールされている場合は、127.0.0.1 を使用します。
- Bindplane が別のホストにある場合は、そのホストの IP アドレス（例: 192.168.1.100）を使用します。
Bindplane が別のポート（1514 など）をリッスンするように構成した場合は、それに応じて port パラメータを更新します。
ファイルを保存して終了します。

Ctrl+O、Enter、Ctrl+X の順に押します。
rsyslog 構成の構文を検証します。
```
sudo rsyslogd -N1
```
注: このコマンドは構文エラーをチェックします。エラーがない場合は、rsyslogd: version X, config validation run (level 1), master config /etc/rsyslog.conf と表示されます。
rsyslog を再起動して変更を適用します。
```
sudo systemctl restart rsyslog
```
rsyslog が実行されていることを確認します。
```
sudo systemctl status rsyslog
```

構成のテスト

EICAR テストファイルを使用して、テストウイルス検出を生成します。

cd /tmp
echo 'X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*' > eicar.com

ClamAV でテストファイルをスキャンします。
```
sudo clamdscan /tmp/eicar.com
```

検出結果が syslog に表示されていることを確認します。

sudo tail -f /var/log/syslog | grep clamd

次のようなログエントリが表示されます。

Jan 15 10:30:45 hostname clamd[1234]: /tmp/eicar.com: Win.Test.EICAR_HDB-1(44d88612fea8a8f36de82e1278abb02f:68) FOUND

Bindplane エージェントログを調べて、ログが転送されていることを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Google SecOps にログが表示されていることを確認します。
1. Google SecOps コンソールにログインします。
2. [Search] > [UDM Search] に移動します。
3. ClamAV ログの検索クエリを実行します。
```
metadata.log_type = "CLAM_AV"
```
テストファイルをクリーンアップします。
```
sudo rm /tmp/eicar.com
```

代替構成: すべての syslog メッセージを Bindplane に転送する

すべての syslog メッセージ（ClamAV だけでなく）を Bindplane に転送する場合は、次のよりシンプルな構成を使用します。

rsyslog 構成を編集します。

sudo nano /etc/rsyslog.d/30-forward-all.conf

次の構成を追加します。

# Forward all logs to Bindplane agent
*.* action(
    type="omfwd"
    protocol="udp"
    target="BINDPLANE_AGENT_IP"
    port="514"
    queue.type="linkedList"
    queue.size="10000"
    action.resumeRetryCount="100"
)

BINDPLANE_AGENT_IP は、適切な IP アドレスに置き換えます。
前の手順で説明したように、rsyslog を保存、検証、再起動します。

注: この構成では、ClamAV ログだけでなく、すべての syslog メッセージが Bindplane に転送されます。他のログソース用に、追加の Bindplane パイプラインと Google SecOps パーサーを構成する必要がある場合があります。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
parsed_msg.resource.labels.instance_id	observer.resource.id	値が直接コピーされる
parsed_msg.labels.compute.googleapis.com/resource_name	observer.resource.name	値が直接コピーされる
parsed_msg.resource.type, parsed_msg.labels.container.googleapis.com/stream	observer.resource.type	parsed_msg.resource.type と parsed_msg.labels.container.googleapis.com/stream を「/」区切り文字で連結したもの
parsed_msg.resource.labels.project_id, parsed_msg.resource.labels.cluster_name, parsed_msg.resource.labels.container_name	observer.hostname	parsed_msg.resource.labels.project_id、parsed_msg.resource.labels.cluster_name、parsed_msg.resource.labels.container_name を「/」区切り文字で連結したもの
parsed_msg.resource.labels.container_name	observer.application	値が直接コピーされる
parsed_msg.labels.container.googleapis.com/namespace_name	observer.namespace	値が直接コピーされる
parsed_msg.resource.labels.zone	observer.location.country_or_region	値が直接コピーされる
parsed_msg.resource.labels.pod_id	observer.labels	parsed_msg.resource.labels.pod_id の値とキー「pod_id」としてマージされます。
parsed_msg.resource.labels.project_id, parsed_msg.resource.labels.cluster_name, parsed_msg.resource.labels.container_name	principal.hostname	parsed_msg.resource.labels.project_id、parsed_msg.resource.labels.cluster_name、parsed_msg.resource.labels.container_name を「/」区切り文字で連結したもの
file, _file_path	target.file.full_path	Grok パターンから抽出された場合はファイルの値。代替 Grok パターンから抽出された場合は _file_path の値。
脅威	security_result.threat_name	値が直接コピーされる
total_files, _outcome, threat	security_result.summary	num_files が抽出された場合は「%{total_files} 個の感染ファイルが見つかりました。」に設定し、それ以外の場合は「ファイルをスキャンしました。（%{_outcome}）」（_outcome が抽出された場合）。それ以外の場合は「脅威 %{threat} のシグネチャが見つかりました」（threat が空でない場合）
category	security_result.category	値が直接コピーされます（脅威が空でない場合は「SOFTWARE_MALICIOUS」に設定されます）。
アクション	security_result.action	値が直接コピーされます（脅威が空でない場合は「BLOCK」に設定され、_outcome が抽出された場合は「ALLOW」に設定されます）。
parsed_msg.insertId	metadata.product_log_id	値が直接コピーされる
parsed_msg.logName	metadata.description	値が直接コピーされる
	metadata.event_type	脅威が検出された場合、またはファイルがスキャンされた場合は「SCAN_FILE」に設定します。それ以外の場合、感染したファイルの数が抽出された場合は「STATUS_UPDATE」に設定します。
	metadata.product_name	「CLAMAV」に設定します。
	metadata.vendor_name	「Cisco Systems」に設定されます。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。