NetApp ONTAP SAN ログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して NetApp ONTAP SAN ログを Google Security Operations に取り込む方法について説明します。NetApp ONTAP は、ストレージ システム向けのデータ マネジメント ソフトウェア プラットフォームです。iSCSI、ファイバー チャネル、NVMe over Fabrics プロトコルを使用したブロックレベルのストレージなど、SAN（ストレージ エリア ネットワーク）サービスを提供します。ONTAP SAN ログには、LUN オペレーション、イニシエーター グループ管理、ポート ステータスの変更、ストレージ アクセス アクティビティに関連するイベントが記録されます。

詳細については、NetApp SAN ログを収集するをご覧ください。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Windows 2016 以降、または systemd を使用する Linux ホスト。
  • ネットワーク接続: プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • NetApp ONTAP クラスタ管理インターフェース（ONTAP System Manager または CLI）への特権アクセス。
  • ストレージ システムで実行されている ONTAP 9.x 以降。

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、プロジェクト番号をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [設定] > [データ管理] > [収集エージェント] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [Settings] > [Administration] > [Profile] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

その他のインストール リソース

その他のインストール オプションについては、こちらのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。

    • config.yaml ファイルを見つけます。通常は、Linux の /opt/observiq-otel-collector/ ディレクトリまたは Windows のインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/netapp_san:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: NETAPP_SAN
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/netapp_san_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/netapp_san
  • 自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
  • <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。
  • <PROJECT_NUMBER> は、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
  • <CUSTOMER_ID> は、実際のお客様 ID に置き換えます。
  • /path/to/ingestion-authentication-file.json を、サービス アカウント キー ファイル（オプション 1）が保存されたパスに更新します。

以前の Ingestion API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/netapp_san:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: NETAPP_SAN
    raw_log_field: body
    ingestion_labels:

Bindplane エージェントを再起動して変更を適用する

  1. Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

    net stop observiq-otel-collector && net start observiq-otel-collector

NetApp ONTAP で syslog 転送を構成する

ONTAP CLI を使用して syslog を構成する

  1. SSH を使用して NetApp ONTAP クラスタ管理 LIF に接続します。

  2. 次のコマンドを入力して、現在のアクティビティ通知の送信先を表示します。

    cluster1::> event notification destination show

  3. Bindplane エージェントを指す syslog 通知の宛先を作成します。

    cluster1::> event notification destination create -name bindplane-syslog -syslog <BINDPLANE_IP_ADDRESS> -syslog-port 514 -syslog-transport udp-unencrypted
    • <BINDPLANE_IP_ADDRESS> は、Bindplane エージェント ホストの IP アドレスに置き換えます。

  4. EMS イベントを syslog 宛先に転送するイベント通知を作成します。

    cluster1::> event notification create -filter-name default-trap-events -destinations bindplane-syslog

  5. （省略可）すべてのイベントを含めるカスタム フィルタを作成します。

    cluster1::> event filter create -filter-name all-events
cluster1::> event filter rule add -filter-name all-events -type include -message-name * -severity <=NOTICE
cluster1::> event notification create -filter-name all-events -destinations bindplane-syslog

  6. 構成を確認します。

    cluster1::> event notification destination show
cluster1::> event notification show

ONTAP System Manager を使用して syslog を構成する

  1. ONTAP System Manager にログインします。
  2. [Events & Jobs] > [Events] > [EMS Event Notifications] に移動します。
  3. [追加] をクリックして、通知の宛先を作成します。
  4. 次の構成情報を指定します。
    • 名前: 「bindplane-syslog」と入力します。
    • Type: [Syslog] を選択します。
    • Syslog サーバー: Bindplane エージェント ホストの IP アドレスを入力します。
    • ポート: 「514」と入力します。
    • Transport Protocol: [UDP] を選択します。
  5. [保存] をクリックします。
  6. アクティビティ通知ルールを作成し、bindplane-syslog 宛先に関連付けます。
  7. イベント フィルタ（default-trap-events やカスタム フィルタなど）を選択します。
  8. [保存] をクリックします。

詳細については、NetApp ONTAP EMS の構成に関するドキュメントをご覧ください。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
desc metadata.description 直接マッピングされます。
datetime metadata.event_timestamp MMM d HH:mm:ss として解析
ip principal.ip 統合済み
port principal.port 直接マッピングされます。
userid principal.user.userid 直接マッピングされます。
sr security_result 統合済み
なし metadata.event_type 定数: STATUS_UPDATE
なし metadata.product_name 定数: Storage Area Network
なし metadata.vendor_name 定数: NetApp

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。