Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

CyberArk Privilege Cloud のログを収集する

パーサーのバージョン: 14.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane を使用して CyberArk Privilege Cloud ログを Google Security Operations に取り込む方法について説明します。CyberArk Privilege Cloud は、クラウド内の特権認証情報を保護、管理、モニタリングする SaaS ベースの特権アクセス管理ソリューションです。ハイブリッド環境とマルチクラウド環境全体で、特権アカウントアクティビティの認証情報のローテーション、セッションの分離と記録、ジャストインタイムアクセスプロビジョニング、包括的な監査ロギングを自動で提供します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス。
Windows 2016 以降または systemd を使用する Linux ホスト。
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
Vault 管理者権限を持つ CyberArk Privilege Cloud 管理ポータルへの特権アクセス。
Bindplane エージェントホストの有効な TLS 証明書（ポート 6514 の TLS 経由の syslog に必要）。

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM Settings] > [Collection Agent] に移動します。
取り込み認証ファイル をダウンロードします。
- Bindplane がインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows のインストール

管理者として コマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストールリソース

その他のインストールオプションについては、こちらのインストールガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルにアクセスします。
- config.yaml ファイルを見つけます。通常、Linux では /opt/observiq-otel-collector/ ディレクトリに、Windows ではインストールディレクトリにあります。
- テキストエディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

config.yaml ファイルを次のように編集します。

receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:6514"
        tls:
            cert_file: '/path/to/server.crt'
            key_file: '/path/to/server.key'

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <PLACEHOLDER_CUSTOMER_ID>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        log_type: 'CYBERARK_PRIVILEGE_CLOUD'
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
<PLACEHOLDER_CUSTOMER_ID> は、実際のお客様 ID に置き換えます。
/path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したファイルパスに更新します。
/path/to/server.crt と /path/to/server.key を、TLS 証明書ファイルと鍵ファイルの実際のパスに置き換えます。

注: CyberArk Privilege Cloud では、syslog 接続に TLS が必要です。Bindplane エージェントは、有効な TLS 証明書を使用して構成する必要があります。自己署名証明書を使用する場合は、CA 証明書を CyberArk Privilege Cloud にインポートする必要があります。

TLS なしの構成（TCP のみ）

ネットワークアーキテクチャに CyberArk Privilege Cloud と Bindplane エージェントの間に TLS 終端プロキシが含まれている場合は、プレーン TCP を使用できます。
```
receivers:
    tcplog:
        listen_address: "0.0.0.0:514"
```

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```

CyberArk Privilege Cloud の syslog 転送を構成する

Privilege Cloud で SIEM 統合を構成する

CyberArk Privilege Cloud 管理ポータルにログインします。
[Administration] > [Configuration Options] > [Options] > [SIEM Integration] に移動します。
[SIEM 統合を有効にする] を選択して、syslog 転送を有効にします。
次の構成情報を提供してください。
- SIEM Type: [Syslog] を選択します。
- Syslog サーバーアドレス: Bindplane エージェントホストの IP アドレスまたは FQDN を入力します（例: syslog.example.com）。
- Syslog サーバーポート: 「6514」と入力します。
- Protocol: [TLS] を選択します。
- 形式: [CEF]（Common Event Format）を選択します。
注: CyberArk Privilege Cloud は UDP をサポートしていません。Syslog 転送に使用できるのは、TCP プロトコルと TLS プロトコルのみです。
[イベントタイプ] セクションで、転送するイベントカテゴリを選択します。
- Vault 監査: Vault へのアクセスと認証情報の取得イベント。
- セッション監査: 特権セッションのモニタリングイベント。
- Safe Management: Safe の作成、変更、削除のイベント。
- ユーザー管理: ユーザーのプロビジョニングと権限の変更。
- ポリシーの変更: プラットフォームとポリシーの変更イベント。
[保存] をクリックします。

TLS 接続を確認する

Bindplane エージェントがポート 6514 でリッスンしていることを確認します。
```
sudo ss -tlnp | grep 6514
```
Bindplane エージェントログを調べて、ログが受信されていることを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
ログが受信されない場合は、次の点を確認します。
- Bindplane エージェントホストはインターネットからアクセスできます（CyberArk Privilege Cloud は SaaS サービスです）。
- ファイアウォールルールで、ポート 6514 でのインバウンド TCP 接続が許可されています。
- TLS 証明書が有効で期限切れになっていない。
- TLS 証明書の CN または SAN が、CyberArk Privilege Cloud で構成されたホスト名と一致している。

CyberArk Privilege Cloud SIEM 統合の詳細については、CyberArk Privilege Cloud のドキュメントをご覧ください。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`Header.deviceVendor`	`metadata.vendor_name`	CEF ヘッダーのベンダーフィールドからマッピングされます。「CyberArk」に設定します。
`Header.deviceProduct`	`metadata.product_name`	CEF ヘッダーの product フィールドからマッピングされます。「Privilege Cloud」に設定します。
`Header.deviceVersion`	`metadata.product_version`	CEF ヘッダーバージョンフィールドからマッピングされます。
`Header.signatureId`	`metadata.product_event_type`	CEF シグネチャ ID からの監査アクションコード。
`Header.name`	`metadata.description`	CEF ヘッダーのイベント名。
`Header.severity`	`security_result.severity`	CEF の重大度からマッピングされます（0 ～ 3=LOW、4 ～ 6=MEDIUM、7 ～ 8=HIGH、9 ～ 10=CRITICAL）。
`suser`	`principal.user.userid`	アクションを実行したユーザー。
`src`	`principal.ip`	セッションの送信元 IP アドレス。
`shost`	`principal.hostname`	ソースのホスト名。
`duser`	`target.user.userid`	移行先の特権アカウント。
`dhost`	`target.hostname`	ターゲットシステムのホスト名。
`dst`	`target.ip`	ターゲットシステムの IP アドレス。
`cs1`	`security_result.detection_fields`	安全な名前（キー: cs1Label 値）。
`cs2`	`security_result.detection_fields`	アカウント名または追加のコンテキスト（キー: cs2Label 値）。
`cs3`	`security_result.detection_fields`	プラットフォーム ID またはポリシー情報（キー: cs3Label 値）。
`act`	`security_result.action_details`	実行されたアクション（Retrieve、Connect、Update など）。
`reason`	`security_result.description`	特権アクセスについて提供された理由。
`rt`	`metadata.event_timestamp`	イベントの受信時刻。
`app`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`Otherinfo`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`AffectedUserName`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`RequestId`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`SafeName`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`Database`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング
`MessageID", "Version", "Safe", "PolicyID", "DeviceType", and "Address`	`additional.fields`	変更履歴からマッピング
`GatewayStation`	`target.ip`	変更履歴からマッピング
`UserName`	`principal.user.user_display_name`	変更履歴からマッピング
`Station`	`principal.ip`	変更履歴からマッピング
`Message`	`security_result.summary`	変更履歴からマッピング
`Issuer`	`principal.user.userid`	変更履歴からマッピング
`File`	`principal.file.full_path`	変更履歴からマッピング
`Severity`	`security_result.severity`	変更履歴からマッピング
`CPMStatus`	`security_result.action`	変更履歴からマッピング
`device_version`	`metadata.product_version`	変更履歴からマッピング
`device_event_class_id" and "event_name`	`metadata.product_event_type`	変更履歴からマッピング
`msg`	`metadata.description`	変更履歴からマッピング
`duser`	`target.user.user_display_name`	変更履歴からマッピング
`suser`	`principal.user.user_display_name`	変更履歴からマッピング
`cn1", "cn1Label", "cn2", "cn2Label", "cs1", "cs1Label", "cs2", "cs2Label", "cs3", "cs3Label", "cs4", "cs4Label", "cs5", "cs5Label", and "fname`	`additional.fields`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。