NGINX ログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して NGINX ログを Google Security Operations に取り込む方法について説明します。

NGINX は、HTTP アクセス イベント、エラー イベント、認証アクティビティ、プロセス情報に関する syslog メッセージを生成するウェブサーバーとリバース プロキシです。パーサーは、grok パターンを使用して複数のログ形式（syslog、JSON、アクセスログ）からフィールドを抽出し、統合データモデル（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと NGINX サーバー間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します
  • NGINX ホストに対する管理者権限

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。

  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスが [active (running)] と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを見つける

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/nginx:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: NGINX
        raw_log_field: body

service:
    pipelines:
        logs/nginx_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/nginx

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • すべてのインターフェースでリッスンする 0.0.0.0（推奨）
      • ポート 514 は標準の syslog ポートです（Linux で root が必要。root 以外の場合は 1514 を使用）

  • エクスポータの構成:

    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • endpoint: リージョナル エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル>保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R キーを押して「services.msc」と入力し、Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

ログを Bindplane に転送するように NGINX を構成する

  1. NGINX 構成ファイル（/etc/nginx/nginx.conf など）を開きます。

    sudo vi /etc/nginx/nginx.conf

  2. 構成を編集し、<BINDPLANE_SERVER> と <BINDPLANE_PORT> を実際の値に置き換えます。

    http {
    access_log syslog:server=<BINDPLANE_SERVER>:<BINDPLANE_PORT>,facility=local7,tag=nginx_access;
    error_log syslog:server=<BINDPLANE_SERVER>:<BINDPLANE_PORT>,facility=local7,tag=nginx_error;
}

  3. NGINX を再起動して変更を適用します。

    sudo systemctl reload nginx

UDM マッピング テーブル

ログフィールド UDM マッピング 論理
_Internal_WorkspaceResourceId target.resource.product_object_id 直接マッピングされます。
Computer principal.asset.hostname 直接マッピングされます。
Facility additional.fields[施設] 直接マッピングされます。
HostName principal.asset.hostname src_ip が存在しない場合、直接マッピングされます。
ProcessName principal.application 直接マッピングされます。
SeverityLevel security_result.severity 値が info の場合、INFORMATIONAL にマッピングされます。
SourceSystem principal.asset.platform 値が Linux と一致する場合、LINUX にマッピングされます。
SyslogMessage 複数フィールド grok を使用してパースし、time、method、target_path、protocol、response_code、referral_url、user_agent、target_ip、target_host、cache を抽出します。
TenantId additional.fields[TenantId] 直接マッピングされます。
acct principal.user.user_id 空でないか ? でない場合、直接マッピングされます。
addr principal.asset.ip 直接マッピングされます。
audit_epoch metadata.event_timestamp UNIX 形式を使用してタイムスタンプに変換されます。ナノ秒は元のログメッセージから抽出されます。
cache additional.fields[cache] 直接マッピングされます。
collection_time.nanos metadata.event_timestamp.nanos イベント タイムスタンプのナノ秒に使用（利用可能な場合）
collection_time.seconds metadata.event_timestamp.seconds イベント タイムスタンプの秒に使用されます（利用可能な場合）
data 複数フィールド データの主なソース。ログ形式（Syslog、JSON など）に基づいて異なる方法で解析されます。
exe target.process.command_line バックスラッシュと引用符を削除した後、直接マッピングされます
hostname principal.asset.hostname または principal.asset.ip IP アドレスの場合は、principal.asset.ip にマッピングされます。それ以外の場合は principal.asset.hostname にマッピングされます。
msg metadata.description 説明として直接マッピングされます。
node target.asset.hostname 直接マッピングされます。
pid target.process.pid 直接マッピングされます。
protocol network.application_protocol 値が HTTP と一致する場合は HTTP にマッピングされます。
referral_url network.http.referral_url 空でないか - でない場合、直接マッピングされます。
res security_result.action_details 直接マッピングされます。
response_code network.http.response_code 直接マッピングされ、整数に変換されます。
ses network.session_id 直接マッピングされます。
src_ip principal.asset.ip 直接マッピングされます。
target_host target.asset.hostname 直接マッピングされます。
target_ip target.asset.ip 文字列表現を JSON 配列に変換してから個々の IP を抽出した後、直接マッピングされます。
target_path target.url 直接マッピングされます。
time metadata.event_timestamp dd/MMM/yyyy:HH:mm:ss Z 形式を使用してタイムスタンプを抽出するために解析されます
user_agent network.http.user_agent 空でないか - でない場合、直接マッピングされます。
metadata.event_type 最初は GENERIC_EVENT に設定されますが、terminal や protocol などの他のフィールドに基づいて上書きされる可能性があります。メインの grok パターンが一致しない場合、デフォルトは USER_UNCATEGORIZED です。protocol が HTTP で target_ip が存在する場合は NETWORK_HTTP に設定し、protocol が HTTP で target_ip が存在しない場合は STATUS_UPDATE に設定します。
metadata.log_type NGINX に設定します。
metadata.product_name NGINX に設定します。
metadata.vendor_name NGINX に設定します。
network.ip_protocol terminal が sshd または ssh の場合、またはメインの grok パターンが一致しない場合は、TCP に設定します。
principal.asset_id terminal が sshd または ssh の場合、GCP.GCE:0001 に設定します。メインの grok パターンが一致しない場合は GCP.GCE:0002 に設定します
extensions.auth.type terminal が sshd または ssh の場合、MACHINE に設定します

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。