Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Commvault ログを収集する

パーサーのバージョン: 3.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Commvault ログを Google Security Operations に取り込む方法について説明します。

Commvault は、バックアップオペレーション、アラート、イベント、システムアクティビティの syslog メッセージを生成します。パーサーは、ログメッセージからフィールドを抽出し、統合データモデル（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows Server 2016 以降、または systemd を使用する Linux ホスト
Bindplane エージェントと Commvault システム間のネットワーク接続
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
Commvault 管理コンソールへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

注: この JSON ファイルには、Bindplane エージェントを Google SecOps に認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

注: Bindplane エージェントエクスポータを構成するには、顧客 ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者として コマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi&quot; /quiet

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
サービスは RUNNING と表示されます。

Linux のインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sudo systemctl status observiq-otel-collector
```
サービスは active (running) と表示されます。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

config.yaml の内容全体を次の構成に置き換えます。

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/commvault:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    <    custome>r_id: 'customer_id'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: COMMVAULT
        raw_log_field: body

service:
    pipelines:
        logs/commvault_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/commvault

構成パラメータ

各プレースホルダを次のように置き換えます。

レシーバーの構成:
- listen_address: リッスンする IP アドレスとポート:
  - 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
  - ポート 514 は標準の syslog ポートです（Linux では root が必要です。root 以外の場合は 1514 を使用します）。
エクスポータの構成:
- creds_file_path: 取り込み認証ファイルのフルパス:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Google SecOps コンソールからコピーしたお客様 ID
- endpoint: リージョンエンドポイント URL:
  - 米国: malachiteingestion-pa.googleapis.com
  - ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
  - アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
  - 完全なリストについては、リージョンエンドポイントをご覧ください。

構成ファイルを保存する

編集後、ファイルを保存します。
- Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
- Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
1. サービスが実行されていることを確認します。
```
sudo systemctl status observiq-otel-collector
```
2. ログでエラーを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。
- 管理者としてコマンドプロンプトまたは PowerShell を開きます。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- サービスコンソール:
  1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
  2. observIQ OpenTelemetry Collector を見つけます。
  3. 右クリックして [再起動] を選択します。
  4. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
  5. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Commvault Cloud で syslog を構成する

Commvault 管理コンソールにログインします。
[Manage> System] に移動します。
[SIEM] コネクタタイルをクリックします。
[コネクタを追加] をクリックします。
[全般] タブで、次の詳細を入力します。
- コネクタ名: コネクタの名前を入力します。
- コネクタタイプ: [Syslog] を選択します。
- ストリーミングデータ: エクスポートするデータを選択します。
[次へ] をクリックします。
[コネクタ定義] タブで、[syslog サーバーを追加] をクリックします。
次の構成情報を指定します。
- Syslog サーバー: Bindplane エージェントの IP アドレスを入力します。
- ポート番号: Bindplane エージェントのポート番号を入力します。
[送信] をクリックします。

注: セキュリティ上の制限により、GUI でカスタムポートは許可されていません。インターフェースでは任意のポートを入力できますが、デフォルトのポート（UDP Port: 514 と TCP Port: 6514）のみが許可されます。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
AgentType	event.idm.read_only_udm.observer.application	ログメッセージの `AgentType` フィールドから取得された値。
Alertid	event.idm.read_only_udm.security_result.detection_fields.value	ログメッセージの `Alertid` フィールドから取得された値。このフィールドは `alert_id` キーにマッピングされます。
alertname	event.idm.read_only_udm.security_result.detection_fields.value	ログメッセージの `Alertname` フィールドから取得された値。このフィールドは `alert_name` キーにマッピングされます。
Alertseverity	event.idm.read_only_udm.security_result.severity	このフィールドは、その値に基づいて `security_result.severity` フィールドに入力するために使用されます。
Alerttime	event.idm.read_only_udm.metadata.event_timestamp	ログメッセージの `Alerttime` フィールドから取得された値がタイムスタンプに変換されます。
BackupLevel	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `BackupLevel` フィールドから取得された値。このフィールドは `backup_level` キーにマッピングされます。
BackupSet	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `BackupSet` フィールドから取得された値。このフィールドは `backup_set` キーにマッピングされます。
クライアント	event.idm.read_only_udm.principal.hostname	ログメッセージの `Client` フィールドから取得された値。
CommCell	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `CommCell` フィールドから取得された値。このフィールドは `comcell_field` キーにマッピングされます。
パソコン	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `Computer` フィールドから取得された値。このフィールドは `computer_field` キーにマッピングされます。
説明	event.idm.read_only_udm.metadata.description	処理とクリーンアップの後に、ログメッセージの `Description` フィールドから取得された値。
DetectedCriteria	event.idm.read_only_udm.security_result.detection_fields.value	ログメッセージの `DetectedCriteria` フィールドから取得された値。このフィールドは `detected_criteria` キーにマッピングされます。
DetectedTime	event.idm.read_only_udm.security_result.detection_fields.value	ログメッセージの `DetectedTime` フィールドから取得された値。このフィールドは `detected_time` キーにマッピングされます。
詳細	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `Details` フィールドから取得された値。このフィールドは `details_field` キーにマッピングされます。
Eventid	event.idm.read_only_udm.metadata.product_log_id	ログメッセージの `Eventid` フィールドから取得された値。
Eventseverity	event.idm.read_only_udm.security_result.severity	このフィールドは、その値に基づいて `security_result.severity` フィールドに入力するために使用されます。
失敗	event.idm.read_only_udm.security_result.detection_fields.value	ログメッセージの `Failure` フィールドから取得された値。このフィールドは `failure_filed` キーにマッピングされます。
インスタンス	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `Instance` フィールドから取得された値。このフィールドは `instance_field` キーにマッピングされます。
Jobid	event.idm.read_only_udm.principal.process.pid	ログメッセージの `Jobid` フィールドから取得された値。
MonitoringCriteria	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `MonitoringCriteria` フィールドから取得された値。このフィールドは `monitoring_criteria` キーにマッピングされます。
Occurencetime	event.idm.read_only_udm.metadata.event_timestamp	ログメッセージの `Occurencetime` フィールドから取得された値がタイムスタンプに変換されます。
Opid	event.idm.read_only_udm.security_result.detection_fields.value	ログメッセージの `Opid` フィールドから取得された値。このフィールドは `op_id` キーにマッピングされます。
プログラム	event.idm.read_only_udm.principal.application	ログメッセージの `Program` フィールドから取得された値。
Severitylevel	event.idm.read_only_udm.security_result.severity	ログメッセージの `Severitylevel` フィールドから取得された値。事前定義されたマッピングに基づいてマッピングされます。
StoragePoliciesUsed	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `StoragePoliciesUsed` フィールドから取得された値。このフィールドは `storage_policies_used` キーにマッピングされます。
サブクライアント	event.idm.read_only_udm.additional.fields.value.string_value	ログメッセージの `Subclient` フィールドから取得された値。このフィールドは `subclient_field` キーにマッピングされます。
種類	event.idm.read_only_udm.security_result.detection_fields.value	ログメッセージの `Type` フィールドから取得された値。このフィールドは `alert_type` キーにマッピングされます。
ユーザー名	event.idm.read_only_udm.principal.user.userid	ログメッセージの `Username` フィールドから取得された値。
anomaly_type	event.idm.read_only_udm.security_result.detection_fields.value	Grok パターンを使用して `Description` フィールドから抽出された値。このフィールドは `detected_anomaly_type` キーにマッピングされます。
エラー	event.idm.read_only_udm.security_result.detection_fields.value	Grok パターンを使用して `Description` フィールドから抽出された値。このフィールドは `errors_field` キーにマッピングされます。
file_name	event.idm.read_only_udm.security_result.detection_fields.value	Grok パターンを使用して `Description` フィールドから抽出された値。このフィールドは `detected_malicious_file` キーにマッピングされます。
media_agent	event.idm.read_only_udm.security_result.detection_fields.value	grok パターンを使用して `Description` フィールドから抽出された値。このフィールドは `detected_media_agent` キーにマッピングされます。
no_of_files_created	event.idm.read_only_udm.security_result.detection_fields.value	grok パターンを使用して `Description` フィールドから抽出された値。このフィールドは `no_of_files_created_field` キーにマッピングされます。
no_of_files_deleted	event.idm.read_only_udm.security_result.detection_fields.value	Grok パターンを使用して `Description` フィールドから抽出された値。このフィールドは `no_of_files_deleted_field` キーにマッピングされます。
no_of_files_modified	event.idm.read_only_udm.security_result.detection_fields.value	grok パターンを使用して `Description` フィールドから抽出された値。このフィールドは `no_of_files_modified_field` キーにマッピングされます。
no_of_files_renamed	event.idm.read_only_udm.security_result.detection_fields.value	grok パターンを使用して `Description` フィールドから抽出された値。このフィールドは `no_of_files_renamed_field` キーにマッピングされます。
URL	event.idm.read_only_udm.network.http.referral_url	Grok パターンを使用して `Description` フィールドから抽出された値。
	event.idm.read_only_udm.metadata.event_type	`Client` フィールドが存在する場合は `STATUS_UPDATE` に設定され、存在しない場合は `GENERIC_EVENT` に設定されます。
	event.idm.read_only_udm.metadata.product_name	このフィールドは `COMMVAULT` に設定されています。
	event.idm.read_only_udm.metadata.vendor_name	このフィールドは `COMMVAULT` に設定されています。
	event.idm.read_only_udm.principal.user.user_role	`User` フィールドが `Administrator` の場合、このフィールドは `ADMINISTRATOR` に設定されます。
`Commcellname`	`additional.fields`	変更履歴からマッピング
`Operation`	`metadata.description`	変更履歴からマッピング
`Companyname`	`principal.user.company_name`	変更履歴からマッピング
`machine_name`	`principal.hostname`	変更履歴からマッピング
`locale`	`additional.fields`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。