CyberArk Privileged Threat Analytics のログを収集する

パーサーのバージョン: 18.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane を使用して CyberArk Privileged Threat Analytics ログを Google Security Operations に取り込む方法について説明します。CyberArk Privileged Threat Analytics（PTA）は、特権アカウントに関連する悪意のあるアクティビティを検出して対応するセキュリティ ソリューションです。高度な分析と ML を使用して、潜在的な内部脅威や認証情報の侵害を示す可能性のある異常な動作をモニタリング、分析、フラグ付けします。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス。
• Windows 2016 以降、または systemd を使用する Linux ホスト。
• プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
• CyberArk Privileged Threat Analytics サーバーへの特権アクセス。

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

• 新規デプロイ: Chronicle API を使用します（オプション 1）。
• 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービス アカウントを作成する（推奨）

1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
2. [IAM と管理] > [サービス アカウント] に移動します。
3. [サービス アカウントを作成] をクリックします。
4. 次の構成情報を指定します。
   • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
   • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
5. [作成して続行] をクリックします。
6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
7. [続行] をクリックして [完了] をクリックします。
8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
12. [IAM と管理] > [設定] に移動し、プロジェクト番号をコピーします。これはエクスポータの構成に必要です。

注: JSON キーは認証情報です。Bindplane ホスト上のファイルへのアクセスを制限し、組織のポリシーに従って鍵をローテーションします。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

1. Google SecOps コンソールにログインします。
2. [設定] > [データ管理] > [収集エージェント] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [収集エージェント] に移動します。
3. 取り込み認証ファイルをダウンロードします。
4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

注: このファイルは、以前の Ingestion API（malachiteingestion-pa.googleapis.com）に対してエージェントを認証します。この API は、2027 年 7 月 20 日にサポートを終了する予定です。その日までにオプション 1 に移行するよう計画してください。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [Settings] > [Administration] > [Profile] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [プロファイル] に移動します。
3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux へのインストール

1. root 権限または sudo 権限でターミナルを開きます。

2. 次のコマンドを実行します。

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

その他のインストール リソース

その他のインストール オプションについては、こちらのインストール ガイドをご覧ください。

注: Chronicle API エクスポータの構成には、Bindplane コレクタ v1.106.0 以降が必要です。上記のコマンドを実行すると、最新リリースがインストールされます。既存のインストールを更新する場合は、構成を変更する前にコレクタをアップグレードします。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

1. 構成ファイルにアクセスします。

   • config.yaml ファイルを見つけます。通常、Linux の場合は /opt/observiq-otel-collector/ ディレクトリ、Windows の場合はインストール ディレクトリにあります。
   • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

2. config.yaml ファイルを次のように編集します。

   receivers:
     tcplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/cyberark_pta:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: '<CUSTOMER_ID>'
       endpoint: chronicle.googleapis.com
       log_type: 'CYBERARK_PTA'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/cyberark_pta_to_chronicle:
         receivers:
           - tcplog
         exporters:
           - chronicle/cyberark_pta
   

• 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
• <CUSTOMER_ID> は、実際のお客様 ID に置き換えます。
• <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。

• <PROJECT_NUMBER> は、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。

• /path/to/ingestion-authentication-file.json を、サービス アカウント キー ファイル（オプション 1）が保存されたファイルパスに更新します。

以前の Ingestion API エクスポータ

• オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

  exporters:
    chronicle/cyberark_pta:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'CYBERARK_PTA'
      raw_log_field: body
      ingestion_labels:
  

注: このエクスポータは、2027 年 7 月 20 日に Ingestion API が廃止されると機能しなくなります。

Bindplane エージェントを再起動して変更を適用する

1. Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

   sudo systemctl restart observiq-otel-collector
   

2. Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

   net stop observiq-otel-collector && net start observiq-otel-collector
   

CyberArk Privileged Threat Analytics の syslog 転送を構成する

1. Privileged Threat Analytics サーバーにログインします。
2. DEFAULTPARM コマンドを実行して、デフォルトの systemparm.properties ファイルを開きます。
3. syslog_outbound プロパティを含む行をコピーして、systemparm.properties ファイルを終了します。
4. LOCALPARM コマンドを実行して、ローカルの systemparm.properties ファイルを開きます。
5. キーボードの i を押してファイルを編集します。
6. systemparm.properties ファイルで、syslog_outbound プロパティのコメント化を解除します。

7. コピーした行を貼り付け、次の例に従ってパラメータを編集します。

   syslog_outbound=[{"siem": "Chronicle", "format": "CEF", "host": "BINDPLANE_IP", "port": BINDPLANE_PORT, "protocol": "TCP"}]
   

   • BINDPLANE_IP は、Bindplane エージェント ホストの IP アドレスに置き換えます。
   • BINDPLANE_PORT は、Bindplane エージェントで構成されたポート番号（514 など）に置き換えます。

8. 構成ファイルを保存して閉じます。

9. Privileged Threat Analytics サーバーを再起動して変更を適用します。

詳細については、CyberArk Privileged Threat Analytics のドキュメントをご覧ください。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
src	principal.ip	src フィールドから直接マッピングされます。
dst	target.ip	dst フィールドから直接マッピングされます。
suser	principal.user.userid	suser フィールドから直接マッピングされます。
duser	target.user.userid	duser フィールドから直接マッピングされます。
cs1	security_result.description	cs1 フィールド（理由）から直接マッピングされます。
cs2	additional.fields	cs2 フィールド（ステーション）から直接マッピングされます。
act	security_result.action_details	act フィールド（実行されたアクション）から直接マッピングされます。
cat	metadata.product_event_type	cat フィールド（イベント カテゴリ）から直接マッピングされます。
severity	security_result.severity	CEF の重大度値からマッピングされます。
deviceCustomDate1	metadata.event_timestamp	deviceCustomDate1 フィールドから解析されます。
	metadata.vendor_name	CyberArk に設定します。
	metadata.product_name	Privileged Threat Analytics に設定します。
	metadata.log_type	CYBERARK_PTA に設定します。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。