Cribl Stream ログを収集する

パーサーのバージョン: 1.0

以下でサポートされています。

このドキュメントでは、組み込みの Google SecOps の送信先を使用して、Cribl Stream ログを Google Security Operations に取り込む方法について説明します。Cribl Stream は、ログ、指標、イベントの形式で運用データを生成します。この統合により、これらのログを Google SecOps に送信して分析とモニタリングを行うことができます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Cribl Stream 管理コンソールまたはクラスタへのアクセス。
  • Google Cloud サービス アカウントの認証情報。

Google SecOps の認証情報を取得する

Cribl Stream を Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新しいデプロイ: Chronicle API を使用します（オプション 1）。
  • レガシー デプロイ: Ingestion API が 2027 年 7 月 20 日に廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理]> [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: cribl-stream-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Cribl Stream log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [**続行**] をクリックして [**完了**] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. 鍵を追加 > 新しい鍵を作成 の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. Cribl Stream の送信先構成で使用するために、鍵ファイルを安全な場所に保存します。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイル をダウンロードします。
  4. Cribl Stream の送信先構成で使用するために、ファイルを安全な場所に保存します。

Cribl Stream で Google SecOps の送信先を構成する

  1. Cribl Stream 管理コンソール にログインします。
  2. [Data] > [Destinations] に移動します。
  3. [Add Destination] をクリックします。
  4. [Google Cloud] > [セキュリティ運用（SecOps）] を選択します。
  5. 次の構成情報を指定します。
    • 出力 ID: 一意の名前を入力します（例: google-secops-destination）。
    • 説明: この送信先の説明を入力します。
    • Send events as: Select [Unstructured] (recommended for standard log parsing).
    • API version: [V2] を選択します。
    • Default log type: リストから [CRIBL_STREAM] を選択します。
    • 省略可: Namespace: このソースからのログを識別する Namespace を入力します（例: cribl-logs）。
  6. [Authentication] セクションで、次の操作を行います。
    • 認証方法: サービス アカウント（JSON）。
    • サービスアカウントキー: JSON 認証情報ファイルの内容をアップロードまたは貼り付けます。
  7. [Processing] セクションで、次の操作を行います。
    • ログテキストフィールド: 必要に応じて_rawと入力します。設定しない場合、Cribl はイベント全体の JSON 表現を送信します。このフィールドに生のテキストを実際に保存する場合にのみ _raw を使用してください。
  8. [保存] をクリックします。

Cribl Stream ログを送信するルートを作成する

  1. [Data] > [Routes] に移動します。
  2. [ルートを追加] をクリックします。
  3. 次の構成情報を指定します。
    • ルート名: わかりやすい名前を入力します（例: cribl-logs-to-secops）。
    • フィルター: source.match(/cribl.*/) と入力して、Cribl の内部ログ （Cribl 自体からの運用ログ）をキャプチャします。
    • 出力: 前のセクションで作成した Google SecOps の送信先を選択します。
    • [Pipeline]: [passthru] を選択するか、ログのエンリッチメント用のカスタム パイプラインを作成します。
  4. [保存] をクリックします。
  5. 構成をコミットしてデプロイ し、変更を適用します。

ログのフィルタリングとエンリッチメントを構成する（省略可）

Cribl Stream ログを Google SecOps に送信する前にフィルタリングまたはエンリッチメントする必要がある場合は、次の操作を行います。

  1. Cribl Stream で [Data] > [Pipelines] に移動します。
  2. [Add Pipeline] をクリックします。
  3. 次の構成情報を指定します。
    • パイプライン ID: わかりやすい名前を入力します（例: cribl-log-processing）。
    • 説明: パイプラインの説明を入力します。
  4. 必要に応じて関数を追加します。
    • Eval: メタデータ フィールドを追加するか、既存のフィールドを変更します。
    • Regex Extract: ログメッセージから特定の情報を抽出します。
    • ドロップ：不要なイベントまたはフィールドを削除します。
    • Mask: 機密情報を秘匿化します。
  5. [保存] をクリックします。
  6. ルートを更新して、[passthru] の代わりにこのパイプラインを使用します。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。