IBM CICS のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して IBM CICS ログを Google Security Operations に取り込む方法について説明します。

IBM CICS（Customer Information Control System）は、メインフレーム アプリケーション用のトランザクション処理プラットフォームです。トランザクションの実行、リソース アクセス、セキュリティ違反、システム イベントの監査ログを生成します。ログは LEEF 形式で、ユーザー ID、取引明細、送信元ネットワーク属性をキャプチャします。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと CICS ログ フォワーダー ホスト間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • SMF 記録とログ エクスポートを構成する権限を持つ IBM CICS リージョンまたはメインフレーム システムへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイル をダウンロードします。

  4. Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/ibm_cics:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: IBM_CICS
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/cics_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/ibm_cics

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • tcplog: プロトコルに基づく受信者のタイプ:
      • UDP Syslog の udplog
      • TCP Syslog の tcplog
    • 0.0.0.0: リッスンする IP アドレス:
      • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
      • 1 つのインターフェースでリッスンする特定の IP アドレス
    • 514: リッスンするポート番号（514、1514、6514 など）

  • エクスポータの構成:

    • ibm_cics: エクスポータのわかりやすい名前
    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • <customer_id>: 前のステップの顧客 ID
    • endpoint: リージョン エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。
    • IBM_CICS: Chronicle に表示されるログタイプ
    • ingestion_labels: YAML 形式の省略可能なラベル（例: env: production）

  • パイプラインの構成:

    • cics_to_chronicle: パイプラインのわかりやすい名前

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

IBM CICS syslog 転送を構成する

IBM CICS は、監査データとトランザクション データをメインフレームの SMF（System Management Facilities）レコードに書き込みます。これらのログを syslog を使用して Bindplane エージェントに転送するには、ミドルウェア ホストで syslog 転送ツールを使用します。

  1. CICS データを含む SMF レコード タイプ（通常は SMF タイプ 110）を特定します。
  2. DFHSTUP（CICS 統計情報ユーティリティ プログラム）や SMF ダンプ プログラムなどのメインフレーム ユーティリティを使用して、関連するレコードを抽出します。
  3. 抽出した SMF レコードを IBM CICS Performance Analyzer、カスタム REXX スクリプト、またはサードパーティの ETL ソリューションを使用して LEEF 形式に変換します。
  4. 変換されたログを Bindplane エージェントに送信するように、ミドルウェア ホストで syslog フォワーダーを構成します。
    • Syslog サーバー: Bindplane エージェント ホストの IP アドレス（192.168.1.100 など）を入力します。
    • ポート: 514 を入力します（Bindplane エージェント レシーバー ポートと一致する必要があります）。
    • プロトコル: [TCP] を選択します（メインフレーム ログの信頼性の高い配信におすすめ）。
    • 形式: LEEF 形式が使用されていることを確認します。

  5. Bindplane エージェントのログを調べて、syslog メッセージが受信されていることを確認します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
kv.sum metadata.description 名前変更済み/マッピング済み
kv.devTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSSZ として解析済み
event_type metadata.product_event_type 名前変更済み/マッピング済み
version metadata.product_version 名前変更済み/マッピング済み
kv.terminal principal.hostname 直接マッピングされます。
kv.src principal.ip 統合済み
firstname principal.user.first_name 名前変更済み/マッピング済み
lastname principal.user.last_name 名前変更済み/マッピング済み
kv.name principal.user.user_display_name 名前変更済み/マッピング済み
kv.usrName principal.user.userid 名前変更済み/マッピング済み
kv.appl target.application 名前変更済み/マッピング済み
kv.tran target.process.product_specific_process_id 直接マッピングされます。
なし metadata.event_type 定数: PROCESS_UNCATEGORIZED
なし metadata.product_name 定数: CICS
なし metadata.vendor_name 定数: IBM

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。