Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Fortinet Web Proxy のログを収集する

パーサーのバージョン: 3.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Fortinet ウェブプロキシのログを Google Security Operations に取り込む方法について説明します。

Fortinet FortiGate ウェブプロキシは、明示的プロキシセッションと透過的プロキシセッションのログを生成し、HTTP/HTTPS トラフィック、URL フィルタリングの決定、ウェブアクセスイベントをキャプチャします。ログは syslog キーと値の形式を使用し、ネットワークメタデータ、セキュリティアクション、ユーザー ID 情報が含まれます。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows Server 2016 以降、または systemd を使用する Linux ホスト
Bindplane エージェントと FortiGate アプライアンス間のネットワーク接続
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
管理者権限を持つ FortiGate アプライアンスへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane をインストールするシステムにファイルを安全に保存します。

注: この JSON ファイルには、Bindplane エージェントを Google SecOps に対して認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

注: Bindplane エージェントエクスポータを構成するには、お客様 ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows のインストール

管理者として コマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
サービスは RUNNING と表示されます。

Linux のインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sudo systemctl status observiq-otel-collector
```
サービスが active (running) と表示されます。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

config.yaml の内容全体を次の構成に置き換えます。

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/fortinet_webproxy:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: FORTINET_WEBPROXY
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/webproxy_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/fortinet_webproxy

構成パラメータ

各プレースホルダを次のように置き換えます。

レシーバーの構成:
- udplog: プロトコルに基づく受信者のタイプ:
  - UDP Syslog の udplog
  - TCP Syslog の tcplog
- 0.0.0.0: リッスンする IP アドレス:
  - 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
  - 1 つのインターフェースでリッスンする特定の IP アドレス
- 514: リッスンするポート番号（514、1514、6514 など）
エクスポータの構成:
- fortinet_webproxy: エクスポータのわかりやすい名前
- creds_file_path: 取り込み認証ファイルのフルパス。
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>: 前のステップで取得したお客様 ID
- endpoint: リージョンエンドポイント URL:
  - 米国: malachiteingestion-pa.googleapis.com
  - ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
  - アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
  - 完全なリストについては、リージョンエンドポイントをご覧ください。
- FORTINET_WEBPROXY: Chronicle に表示されるログタイプ
- ingestion_labels: YAML 形式の省略可能なラベル（例: env: production）
パイプラインの構成:
- webproxy_to_chronicle: パイプラインのわかりやすい名前

構成ファイルを保存する

編集後、ファイルを保存します。
- Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
- Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
1. サービスが実行されていることを確認します。
```
sudo systemctl status observiq-otel-collector
```
2. ログでエラーを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。
- 管理者としてコマンドプロンプトまたは PowerShell を開きます。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- サービスコンソール:
  1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
  2. observIQ OpenTelemetry Collector を見つけます。
  3. 右クリックして [再起動] を選択します。
  4. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
  5. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Fortinet FortiGate ウェブプロキシの syslog 転送を構成する

FortiGate ウェブインターフェースにログインします。
[Log & Report] > [Log Settings] に移動します。
[リモートロギングとアーカイブ] セクションまで下にスクロールします。
[Syslog] で [追加] をクリックします。
次の構成情報を指定します。
- [名前]: わかりやすい名前を入力します（例: Chronicle-Bindplane）。
- IP アドレス/FQDN: Bindplane エージェントホストの IP アドレスを入力します（例: 192.168.1.100）。
- ポート: 514 を入力します（Bindplane エージェントレシーバーポートと一致する必要があります）。
- プロトコル: [UDP] を選択します。
- 最小レベル: [情報] または [通知] を選択します。
Web Proxy ログカテゴリが有効になっていることを確認します。または、CLI を使用して syslog フィルタを構成します。
```
config log syslogd setting
    set status enable
    set server <BINDPLANE_AGENT_IP>
    set port 514
end
config log syslogd filter
    set filter "logid(0300)"
    set filter-type include
end
```
- 0300 ログ ID の範囲は、ウェブプロキシイベントを対象としています。環境に合わせてフィルタを調整します。
- <BINDPLANE_AGENT_IP> は、Bindplane エージェントホストの IP アドレスに置き換えます。
[OK] をクリックして保存します。
右上の [適用] をクリックして、設定を適用します。
Bindplane エージェントのログを調べて、syslog メッセージが受信されていることを確認します。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
group、profile、agent、subtype、catdesc、reqtype	additional.fields	各フィールドから作成されたラベルと統合
action、has_network、has_principal、has_target	metadata.event_type	アクションが auth-logon の場合は USER_LOGIN、has_network が true の場合は NETWORK_HTTP、has_principal と has_target が true の場合は NETWORK_CONNECTION、has_principal が true の場合は STATUS_UPDATE、それ以外の場合は GENERIC_EVENT に設定します。
eventtype	metadata.product_event_type	値を直接コピーする
logid	metadata.product_log_id	値が直接コピーされる
	metadata.product_name	「FORTINET_WEBPROXY」に設定
	metadata.vendor_name	「FORTINET_WEBPROXY」に設定
サービス	network.application_protocol	サービスが HTTP、HTTPS の場合は値が直接コピーされます
direction	network.direction	方向が受信、インバウンド、レスポンスの場合は INBOUND に設定し、送信、アウトバウンドの場合は OUTBOUND に設定します。
httpmethod	network.http.method	GET、POST の httpmethod の場合、値を直接コピー
referralurl	network.http.referral_url	値が直接コピーされる
proto、subtype、service	network.ip_protocol	proto=17 の場合は UDP、proto=6 または subtype=wad の場合は TCP、proto=41 の場合は IP6IN4、service=PING または proto=1 または service が ICMP と一致する場合は ICMP に設定
rcvdbyte	network.received_bytes	符号なし整数に変換されました
sentbyte	network.sent_bytes	符号なし整数に変換
sessionid	network.session_id	値を直接コピーする
devname	principal.asset.hostname	値を直接コピーする
srcip	principal.asset.ip	値が直接コピーされる
devname	principal.hostname	値を直接コピーする
srcip	principal.ip	値を直接コピーする
srccountry	principal.location.country_or_region	Reserved でなく、空でない場合、値は直接コピーされます。
srcport	principal.port	整数に変換しました
srcuuid	principal.user.product_object_id	値が直接コピーされる
vd	principal.user.user_display_name	値が直接コピーされる
ユーザー	principal.user.userid	値を直接コピーする
filtername	security_result.about.resource.attribute.labels	空ではなく、- でない場合は、filtername から作成されたラベルと統合されます。
アクション	security_result.action	action=blocked の場合は BLOCK、action が accept または passthrough の場合は ALLOW に設定します。
devid, policyid, srcintf, srcintfrole, ratemethod, cat	security_result.detection_fields	各フィールドから作成されたラベルと統合
msg	security_result.description	値が直接コピーされる
poluuid	security_result.rule_id	値を直接コピーする
policytype	security_result.rule_type	値が直接コピーされる
レベル	security_result.severity	level=warning の場合は HIGH、level=notice の場合は MEDIUM に設定
type	security_result.summary	値を直接コピーする
dstip	target.asset.ip	値を直接コピーする
filename	target.file.full_path	値が直接コピーされる
filetype	target.file.mime_type	値を直接コピーする
filesize	target.file.size	符号なし整数に変換
hostname	target.hostname	値を直接コピーする
dstip	target.ip	値を直接コピーする
dstcountry	target.location.country_or_region	値が直接コピーされる
dstport	target.port	整数に変換
dstintf、dstintfrole	target.resource.attribute.labels	各フィールドから作成されたラベルと統合
dstuuid	target.resource.product_object_id	値を直接コピーする
URL	target.url	値を直接コピーする
`eventtime`	`event.idm.read_only_udm.metadata.event_timestamp`	変更履歴からマッピング
`ts`	`event.idm.read_only_udm.metadata.collected_timestamp`	変更履歴からマッピング
`transid`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`method`	`event.idm.read_only_udm.security_result.detection_fields`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。