Cribl Stream ログを収集する

パーサーのバージョン: 1.0

以下でサポートされています。

このドキュメントでは、組み込みの Google SecOps 宛先を使用して Cribl Stream ログを Google Security Operations に取り込む方法について説明します。Cribl Stream は、ログ、指標、イベントの形式で運用データを生成します。この統合により、これらのログを Google SecOps に送信して分析とモニタリングを行うことができます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Cribl Stream 管理コンソールまたはクラスタへのアクセス。
  • Google Cloud サービス アカウントの認証情報。

Google SecOps の認証情報を取得する

Cribl Stream を Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: cribl-stream-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Cribl Stream log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. Cribl Stream の宛先構成で使用するために、鍵ファイルを安全に保存します。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [設定] > [データ管理] > [収集エージェント] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Cribl Stream の宛先構成で使用するために、ファイルを安全に保存します。

Cribl Stream で Google SecOps の宛先を構成する

  1. Cribl Stream 管理コンソールにログインします。
  2. [Data] > [Destinations] に移動します。
  3. [Add Destination] をクリックします。
  4. [Google Cloud] > [セキュリティ運用（SecOps）] を選択します。
  5. 次の構成情報を指定します。
    • 出力 ID: 一意の名前（google-secops-destination など）を入力します。
    • 説明: この宛先の説明を入力します。
    • イベントの送信形式: [非構造化] を選択します（標準のログ解析に推奨）。
    • API バージョン: [V2] を選択します。
    • デフォルトのログタイプ: リストから [CRIBL_STREAM] を選択します。
    • 省略可: Namespace: このソースからのログを識別する名前空間を入力します（例: cribl-logs）。
  6. [認証] セクションで、次の操作を行います。
    • 認証方法: サービス アカウント（JSON）。
    • サービス アカウント キー: JSON 認証情報ファイルのコンテンツをアップロードまたは貼り付けます。
  7. [処理] セクションで次の操作を行います。
    • ログテキスト フィールド: 必要に応じて「_raw」と入力します。設定しない場合、Cribl はイベント全体の JSON 表現を送信します。このフィールドに未加工のテキストを実際に保存する場合にのみ、_raw を使用します。
  8. [保存] をクリックします。

Cribl Stream ログを送信するルートを作成する

  1. [Data] > [Routes] に移動します。
  2. [ルートを追加] をクリックします。
  3. 次の構成情報を指定します。
    • ルート名: わかりやすい名前を入力します（例: cribl-logs-to-secops）。
    • フィルタ: Cribl の内部ログ（Cribl 自体のオペレーション ログ）をキャプチャするには、「source.match(/cribl.*/)」と入力します。
    • 出力: 前のセクションで作成した Google SecOps の宛先を選択します。
    • パイプライン: [passthru] を選択するか、ログ拡充用のカスタム パイプラインを作成します。
  4. [保存] をクリックします。
  5. 構成を commit してデプロイし、変更を適用します。

ログのフィルタリングと拡充を構成する（省略可）

Google SecOps に送信する前に Cribl Stream ログをフィルタまたは拡充する必要がある場合:

  1. Cribl Stream で [Data] > [Pipelines] に移動します。
  2. [Add Pipeline] をクリックします。
  3. 次の構成情報を指定します。
    • パイプライン ID: わかりやすい名前（cribl-log-processing など）を入力します。
    • 説明: パイプラインの説明を入力します。
  4. 必要に応じて関数を追加します。
    • Eval: メタデータ フィールドを追加するか、既存のフィールドを変更します。
    • 正規表現抽出: ログメッセージから特定の情報を抽出します。
    • ドロップ: 不要なイベントやフィールドを削除します。
    • マスク: 機密情報を秘匿化します。
  5. [保存] をクリックします。
  6. passthru の代わりにこのパイプラインを使用するようにルートを更新します。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。