IBM Security Access Manager のログを収集する
以下でサポートされています。
Google SecOps
SIEM
このドキュメントでは、Bindplane を使用して IBM Security Access Manager のログを Google Security Operations に取り込む方法について説明します。
IBM Verify Identity Access（旧称 IBM Security Access Manager / IBM Security Verify Access）は、アクセス管理、ウェブ セキュリティ、認証サービスを提供するネットワーク アプライアンス ベースのセキュリティ ソリューションです。リバース プロキシ アーキテクチャ（WebSEAL）を使用してウェブベースのリソースにセキュリティ ポリシーを適用し、セキュリティ モニタリングに不可欠な監査、認証、認可、システムログを生成します。
始める前に
次の前提条件を満たしていることを確認してください。
- Google SecOps インスタンス
- Windows Server 2016 以降、または
systemdを使用する Linux ホスト - Bindplane エージェントと IBM Verify Identity Access アプライアンス間のネットワーク接続
- プロキシの背後で実行している場合は、ファイアウォール ポートが開いていることを確認する
- IBM Verify Identity Access ローカル管理インターフェース（LMI）への特権アクセス
Bindplane エージェントの Google SecOps 認証情報を取得する
Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。
- 新しいデプロイ: Chronicle API（オプション 1）を使用します。
- 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
オプション 1: Chronicle API のサービス アカウントを作成する（推奨）
- Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
- [IAM と管理] > [サービス アカウント] に移動します。
- [サービス アカウントを作成] をクリックします。
- 次の構成情報を指定します。
- サービス アカウント名: アカウントの名前を入力します（例:
bindplane-ingest）。 - サービス アカウントの説明: 説明を入力します（例:
Bindplane agent log ingestion）。
- サービス アカウント名: アカウントの名前を入力します（例:
- [作成して続行] をクリックします。
- [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
- [続行] をクリックして [完了] をクリックします。
- 作成したサービス アカウントをクリックし、[キー] タブに移動します。
- [鍵を追加] > [新しい鍵を作成] の順にクリックします。
- [JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
- 鍵ファイルを Bindplane コレクタ ディレクトリ（Linux の場合は
/opt/observiq-otel-collector/ingestion-auth.json、Windows の場合はC:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）にingestion-auth.jsonとして保存するか、config.yamlのcreds_file_pathを保存先のパスと一致するように更新します。 - [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。
オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）
- Google SecOps コンソールにログインします。
- [SIEM 設定] > [収集エージェント] に移動します。
- 取り込み認証ファイルをダウンロードします。
- Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。
Google SecOps のお客様 ID を取得する
- Google SecOps コンソールにログインします。
- [SIEM 設定] > [プロファイル] に移動します。
- [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。
Bindplane エージェントをインストールする
次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。
Windows のインストール
- 管理者として コマンド プロンプトまたは PowerShell を開きます。
次のコマンドを実行します。
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quietインストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
sc query observiq-otel-collectorサービスは RUNNING と表示されます。
Linux のインストール
- root 権限または sudo 権限でターミナルを開きます。
次のコマンドを実行します。
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.shインストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
sudo systemctl status observiq-otel-collectorサービスが active (running) と表示されます。
その他のインストール リソース
その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。
Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する
構成ファイルを探します。
Linux:
sudo nano /opt/observiq-otel-collector/config.yamlWindows:
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
構成ファイルを編集します。
config.yamlの内容全体を次の構成に置き換えます。receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: '<customer_id>' endpoint: chronicle.googleapis.com log_type: 'IBM_SAM' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels
構成パラメータ
各プレースホルダを次のように置き換えます。
レシーバーの構成:
listen_address: Bindplane エージェントが受信 syslog メッセージをリッスンする IP アドレスとポート。0.0.0.0:514を使用して、ポート514のすべてのインターフェースをリッスンします。514がすでに使用されている場合や、1514などの非特権ポートを使用する場合は、ポートを変更します。- UDP の代わりに TCP を使用するには、
receiversセクションとpipelinesセクションの両方でudplogをtcplogに置き換えます。
エクスポータの構成:
creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:- Linux:
/opt/observiq-otel-collector/ingestion-auth.json - Windows:
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux:
customer_id: 先ほどコピーした Google SecOps お客様 ID。location:<LOCATION>を Google SecOps インスタンスのリージョン（us、europe、asia-southeast1など）に置き換えます。エクスポートでは、この値がchronicle.googleapis.comの前に付加されます。完全なリストについては、リージョン エンドポイントをご覧ください。project:<PROJECT_NUMBER>を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。endpoint:chronicle.googleapis.comに設定したままにします。log_type:IBM_SAMに設定する必要があります。
以前の Ingestion API エクスポータ
オプション 2 の取り込み認証ファイルを使用する場合は、
exportersブロックを次のように置き換えます。creds_file_pathを取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.comをリージョン エンドポイント（例:europe-malachiteingestion-pa.googleapis.com）に置き換えます。exporters: chronicle/chronicle_w_labels: compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: 'IBM_SAM' raw_log_field: body ingestion_labels:
構成ファイルを保存する
編集が完了したら、ファイルを保存します。
- Linux:
Ctrl+O、Enter、Ctrl+Xの順に押します。 - Windows の場合: [ファイル] > [保存] をクリックします。
Bindplane エージェントを再起動して変更を適用する
Linux で Bindplane エージェントを再起動する手順は次のとおりです。
次のコマンドを実行します。
sudo systemctl restart observiq-otel-collectorサービスが実行されていることを確認します。
sudo systemctl status observiq-otel-collectorログでエラーを確認します。
sudo journalctl -u observiq-otel-collector -f
Windows で Bindplane エージェントを再起動する手順は次のとおりです。
次のいずれかのオプションを選択します。
管理者としてコマンド プロンプトまたは PowerShell を開きます。
net stop observiq-otel-collector && net start observiq-otel-collectorサービス コンソール:
Win+Rを押し、「services.msc」と入力して Enter キーを押します。- observIQ OpenTelemetry Collector を見つけます。
- 右クリックして [再起動] を選択します。
サービスが実行されていることを確認します。
sc query observiq-otel-collectorログでエラーを確認します。
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
IBM Verify Identity Access で syslog 転送を構成する
リモート syslog サーバー定義を追加する
- IBM Verify Identity Access の Local Management Interface（LMI）にログインします。
- [Monitor] > [Logs] > [Remote Syslog Forwarding] に移動します。
- [Remote Syslog Forwarding] ページで、[Add] をクリックします。
- 次の構成情報を指定します。
- サーバー: Bindplane エージェント ホストの IP アドレスまたはホスト名を入力します（例:
192.168.1.100）。 - ポート: Bindplane エージェントがリッスンしているポート番号を入力します（例:
514）。 - プロトコル: Bindplane エージェント構成の
udplogレシーバーと一致するように [UDP] を選択します。Bindplane エージェントをtcplogで構成した場合は、[TCP] を選択します。 - 形式: syslog メッセージの形式を選択します。
- BSD Syslog プロトコル - RFC 3164 形式（幅広い互換性を確保するため推奨）。
- Syslog Protocol - RFC 5424 形式。
- Debug: トラブルシューティングが必要な場合を除き、オフのままにします。有効にすると、追加のデバッグ情報が
rsyslog_forwarderログファイルに書き込まれます。このファイルには、アプリケーション ログファイルの表示ページからアクセスできます。
- サーバー: Bindplane エージェント ホストの IP アドレスまたはホスト名を入力します（例:
- [保存] をクリックします。
リモート syslog サーバーのログソースを構成する
- [リモート Syslog 転送] ページで、作成したリモート Syslog サーバー エントリを選択します。
- [ソース] をクリックします。
- [追加] をクリックしてログソースを追加します。
- 次の構成情報を指定します。
- 名前: プルダウン リストからログソースを選択します。使用可能なログソースは次のとおりです。
- LMI メッセージ - LMI アプリケーション メッセージ
- LMI トレース - LMI トレースとデバッグログ
- LMI Access - LMI HTTP アクセスログ
- ランタイム メッセージ - ランタイム環境メッセージ
- ランタイム トレース - ランタイム トレースとデバッグログ
- ランタイム監査 - ランタイム監査イベント（認証、認可）
- ランタイム ログ - ランタイム アプリケーション ログ
- WebSEAL - Web リバース プロキシログ（インスタンス名とログファイルの選択が必要）
- Authorization Server - 認可サーバーのログ（[Instance Name] と [Log File] を選択する必要があります）
- Policy Server - ポリシー サーバーのログ（[Log File] を選択する必要があります）
- Embedded User Registry - 組み込み LDAP ユーザー レジストリのログ
- Cluster - クラスタ管理ログ
- システム - オペレーティング システム レベルのログ
- DSC - 分散セッション キャッシュ ログ
- FELB - フロントエンド ロードバランサのログ
- インスタンス名: このフィールドは、[名前] フィールドで [WebSEAL] または [Authorization Server] が選択されている場合にのみ使用できます。プルダウン リストからインスタンス名（例:
default）を選択します。 - ログファイル: このフィールドは、[名前] フィールドで [WebSEAL]、[認証サーバー]、[ポリシー サーバー]、[ランタイム ログ] のいずれかを選択した場合に使用できます。プルダウン リストから特定のログファイルを選択します。
- タグ: このログソースの一意のタグ名を入力します。タグにスペースを含めることはできません（例:
WebSEAL_Audit、RuntimeAudit）。 - ファシリティ: 転送されたログエントリの syslog ファシリティ カテゴリを選択します（
local0、local1、auth、userなど）。 - 重大度: すべてのログエントリをキャプチャするには、[情報] を選択します。
- 名前: プルダウン リストからログソースを選択します。使用可能なログソースは次のとおりです。
- [OK] をクリックします。
ログソースを追加するには、転送するソースごとに手順 3 ～ 5 を繰り返します。
[保存] をクリックして、ログソースの構成を適用します。
変更を有効にするには、ページの上部に移動して [保留中の候補をデプロイ] をクリックします。syslog 転送構成は、デプロイされるまで有効になりません。
UDM マッピング テーブル
| ログフィールド | UDM マッピング | ロジック |
|---|---|---|
| sha256_value | additional.fields | マップ {key: "sha256_value", value: {string_value: sha256_value}} とマップ {key: "connection_type", value: {string_value: connection_type}} と統合 |
| connection_type | additional.fields | |
| dvc_ip | intermediary.hostname | dvc_ip が有効な IP でない場合、値は直接コピーされます。 |
| dvc_ip | intermediary.ip | 有効な IP の場合は dvc_ip に設定します。src_ip または dst_ip と等しくなく、空ではなく、"-" ではない、ip_address からの追加の有効な IP を統合します。 |
| ip_address | intermediary.ip | |
| ts | metadata.collected_timestamp | ts2 が存在する場合は yyyy-MM-ddTHH:mm:ss を使用して ts2 から解析され、存在しない場合は ISO8601、MMM dd HH:mm:ss、MMM d HH:mm:ss を使用して ts から解析されます。 |
| ts2 | metadata.collected_timestamp | |
| 説明 | metadata.description | 値を直接コピーする |
| timestamp | metadata.event_timestamp | 日付形式 dd/MMM/yyyy:HH:mm:ss Z または yyyy-MM-dd-HH:mm:ss.SSSZZI を使用して解析されます。 |
| src_ip | metadata.event_type | プリンシパル（src_ip または src_host）、ターゲット（dst_ip または target_hostname）、http（method または response_code）が存在する場合は「NETWORK_HTTP」に設定します。プリンシパルとターゲットが存在する場合は「NETWORK_CONNECTION」に設定します。プリンシパルが存在する場合は「STATUS_UPDATE」に設定します。それ以外の場合は「GENERIC_EVENT」に設定します。 |
| src_host | metadata.event_type | |
| dst_ip | metadata.event_type | |
| target_hostname | metadata.event_type | |
| method | metadata.event_type | |
| response_code | metadata.event_type | |
| product_event_type | metadata.product_event_type | 値が直接コピーされる |
| metadata.product_name | metadata.product_name | 「IBM_SAM」に設定 |
| metadata.vendor_name | metadata.vendor_name | 「IBM」に設定 |
| proto | network.application_protocol | HTTP、HTTPS の場合は値が直接コピーされます。 |
| version | network.application_protocol_version | 値が直接コピーされる |
| method | network.http.method | 空でない場合は method_value の値、それ以外の場合は method |
| method_value | network.http.method | |
| response_code | network.http.response_code | 整数に変換 |
| ip_protocol_value | network.ip_protocol | TCP、UDP、ICMP の場合は値を直接コピー |
| rcv_bytes | network.received_bytes | uinteger に変換済み |
| sent_bytes | network.sent_bytes | uinteger に変換済み |
| request_id | network.session_id | 値が直接コピーされる |
| src_application | principal.application | 値が直接コピーされる |
| src_host | principal.asset.hostname | 値を直接コピーする |
| src_ip | principal.asset.ip | 空、スペース、null、N/A、- のいずれでもない場合、値は直接コピーされます。 |
| file_name | principal.file.full_path | 値を直接コピーする |
| src_host | principal.hostname | 値が直接コピーされる |
| src_ip | principal.ip | 空、スペース、null、なし、- でない場合、値は直接コピーされます。 |
| src_port | principal.port | 整数に変換 |
| pid | principal.process.pid | 値が直接コピーされる |
| src_resource | principal.resource.name | 値が直接コピーされる |
| user_name | principal.user.userid | 認証されていない場合や空でない場合は、値が直接コピーされます |
| 説明 | security_result.action | 説明に「could not establish a secure connection」、「could not be determined」、「have expired」のいずれかが含まれている場合は「BLOCK」に設定します。 |
| 重要度 | security_result.severity | 値が直接コピーされ、WARNING が MEDIUM にマッピングされます。 |
| user_name | security_result.summary | user_name == "unauthenticated" の場合は「unauthenticated」に設定 |
| target_hostname | target.asset.hostname | 値が直接コピーされる |
| dst_ip | target.asset.ip | 空、スペース、null、なし、- でない場合、値は直接コピーされます。 |
| target_hostname | target.hostname | 値を直接コピーする |
| dst_ip | target.ip | 空、スペース、null、なし、- でない場合、値は直接コピーされます。 |
| URL | target.url | url と url1 から連結 |
| url1 | target.url | |
ip_protocol_value |
event.idm.read_only_udm.network.ip_protocol |
変更履歴からマッピング |
method_value |
event.idm.read_only_udm.network.http.method |
変更履歴からマッピング |
sha256_value |
event.idm.read_only_udm.additional.fields |
変更履歴からマッピング |
変更ログ
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。