NetApp ONTAP SAN ログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して NetApp ONTAP SAN ログを Google Security Operations に取り込む方法について説明します。NetApp ONTAP は、ストレージ システム向けのデータ マネジメント ソフトウェア プラットフォームです。iSCSI、Fibre Channel、NVMe over Fabrics プロトコルを使用したブロックレベル ストレージなどの SAN（Storage Area Network）サービスを提供します。ONTAP SAN ログは、LUN オペレーション、イニシエータ グループ管理、ポート ステータスの変更、ストレージ アクセス アクティビティに関連するイベントをキャプチャします。

詳細については、NetApp SAN ログを収集するをご覧ください。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Windows 2016 以降または systemd を使用する Linux ホスト。
  • ネットワーク接続: プロキシの背後で実行する場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • NetApp ONTAP クラスタ管理インターフェース（ONTAP System Manager または CLI）への特権アクセス権。
  • ストレージ システムで実行されている ONTAP 9.x 以降。

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新しいデプロイ: Chronicle API を使用します（オプション 1）。
  • レガシー デプロイ: Ingestion API が 2027 年 7 月 20 日に廃止されるまで、取り込み認証ファイル（オプション 2）の使用を続けます。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理]> [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [**続行**] をクリックして [**完了**] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [**鍵を追加 > 新しい鍵を作成**] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
  11. キーファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、保存先のパスに合わせて creds_file_path の config.yaml を更新します。
  12. [IAM と管理][>][設定] に移動し、[プロジェクト番号] をコピーします。エクスポートの構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイル をダウンロードします。
  4. Bindplane エージェントをインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソール にログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者としてコマンド プロンプト または PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

その他のインストール リソース

その他のインストール オプションについては、こちらのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

  1. 構成ファイルにアクセスします。

    • config.yaml ファイルを見つけます。通常、Linux の場合は /opt/observiq-otel-collector/ ディレクトリ、Windows の場合はインストール ディレクトリにあります。
    • テキスト エディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

  2. config.yaml ファイルを次のように編集します。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/netapp_san:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: NETAPP_SAN
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/netapp_san_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/netapp_san
  • 自社のインフラストラクチャでの必要性に応じて、ポート と IP アドレス を置き換えます。
  • <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、この値で chronicle.googleapis.com に接頭辞を付けます。
  • <PROJECT_NUMBER> は、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
  • <CUSTOMER_ID> は、実際のお客様 ID に置き換えます。
  • /path/to/ingestion-authentication-file.json は、サービス アカウント キーファイル（オプション 1）が保存されたパスに更新します。

レガシー Ingestion API エクスポーター

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com を リージョン エンドポイント（europe-malachiteingestion-pa.googleapis.com など）に置き換えます。

    exporters:
  chronicle/netapp_san:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: NETAPP_SAN
    raw_log_field: body
    ingestion_labels:

Bindplane エージェントを再起動して変更を適用する

  1. Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. Windows で Bindplane エージェントを再起動するには、Services コンソールを使用するか、次のコマンドを入力します。

    net stop observiq-otel-collector && net start observiq-otel-collector

NetApp ONTAP で syslog 転送を構成する

ONTAP CLI を使用して syslog を構成する

  1. SSH を使用して NetApp ONTAP クラスタ管理 LIF に接続します。

  2. 次のコマンドを入力して、現在のイベント通知の宛先を表示します。

    cluster1::> event notification destination show

  3. Bindplane エージェントを指す syslog 通知の宛先を作成します。

    cluster1::> event notification destination create -name bindplane-syslog -syslog <BINDPLANE_IP_ADDRESS> -syslog-port 514 -syslog-transport udp-unencrypted
    • <BINDPLANE_IP_ADDRESS> は、Bindplane エージェント ホストの IP アドレスに置き換えます。

  4. EMS イベントを syslog の宛先に転送するイベント通知を作成します。

    cluster1::> event notification create -filter-name default-trap-events -destinations bindplane-syslog

  5. （省略可） すべてのイベントを含めるカスタム フィルタを作成します。

    cluster1::> event filter create -filter-name all-events
cluster1::> event filter rule add -filter-name all-events -type include -message-name * -severity <=NOTICE
cluster1::> event notification create -filter-name all-events -destinations bindplane-syslog

  6. 構成を確認します。

    cluster1::> event notification destination show
cluster1::> event notification show

ONTAP System Manager を使用して syslog を構成する

  1. ONTAP System Manager にログインします。
  2. [Events & Jobs] [>] [Events] [>] [EMS Event Notifications] に移動します。
  3. [追加] をクリックして、通知の宛先を作成します。
  4. 次の構成情報を指定します。
    • 名前: bindplane-syslogと入力します。
    • Type: [Syslog] を選択します。
    • Syslog Server: Bindplane エージェント ホストの IP アドレスを入力します。
    • ポート: 514と入力します。
    • Transport Protocol: [UDP] を選択します。
  5. [保存] をクリックします。
  6. アクティビティ通知ルールを作成し、bindplane-syslog の宛先に関連付けます。
  7. イベント フィルタ（default-trap-events やカスタム フィルタなど）を選択します。
  8. [保存] をクリックします。

詳細については、NetApp ONTAP EMS 構成のドキュメントをご覧ください。

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
desc metadata.description 直接マッピングされます。
datetime metadata.event_timestamp MMM d HH:mm:ss として解析されます。
ip principal.ip 統合済み
port principal.port 直接マッピングされます。
userid principal.user.userid 直接マッピングされます。
sr security_result 統合済み
なし metadata.event_type 定数: STATUS_UPDATE
なし metadata.product_name 定数: Storage Area Network
なし metadata.vendor_name 定数: NetApp

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。