ForgeRock OpenAM のログを収集する

パーサーのバージョン: 4.0

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して ForgeRock OpenAM ログを Google Security Operations に取り込む方法について説明します。

ForgeRock OpenAM は、認証イベント、アクセス制御の決定、セッション アクティビティ、構成変更の Syslog メッセージを生成するアクセス管理ソリューションです。パーサーは、JSON 形式の監査ログからフィールドを抽出し、Unified Data Model（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと ForgeRock OpenAM サーバー間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認する
  • AM コンソールへの管理者アクセス権（amAdmin など）

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。

  4. Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者としてコマンド プロンプト または PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集する

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/openam:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: OPENAM
        raw_log_field: body

service:
    pipelines:
        logs/openam_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/openam

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • すべてのインターフェースでリッスンする場合は 0.0.0.0（推奨）
      • ポート 514 は標準の Syslog ポートです（Linux では root が必要です。root 以外の場合は 1514 を使用します）。

  • エクスポーターの構成:

    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • endpoint: リージョン エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X を押します。
    • Windows: [File > Save] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を実行します。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押して services.msc と入力し、Enter キーを押します。
      2. [observIQ OpenTelemetry Collector] を探します。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

ForgeRock OpenAM の Syslog ハンドラを構成する

  1. 管理者（amAdmin など）として AM コンソールにログインします。
  2. [グローバル構成] でイベント ハンドラを作成するには、[Configure > Global Services > Audit Logging] に移動します。
    • [レルム] でイベント ハンドラを作成するには、[Realms][>] [Realm Name][>] [Services][>] [Audit Logging] に移動します。
  3. [Add a Secondary Configuration]> [Syslog] をクリックします。
  4. 次の構成情報を提供してください。
    • 名前: イベント ハンドラの名前を入力します（Syslog Event Handler など）。
    • サーバーのホスト名: Bindplane エージェントの IP アドレスを入力します。
    • サーバーポート: Bindplane エージェントのポート番号を入力します（UDP の場合は 514 など）。
    • **転送プロトコル**: [**UDP**] を選択します。
    • 接続タイムアウト: 接続するまでの秒数を入力します（120 など）。
    • 省略可: [バッファリング] オプションを有効にします。
  5. [作成] をクリックします。
  6. [General Handler Configuration] タブで、[Enabled] を選択してイベント ハンドラを有効にします。
  7. 監査ログのトピックを選択します。
    • アクセス
    • アクティビティ
    • 認証
    • 構成
  8. [保存] をクリックします。
  9. [Syslog Configuration] タブで、次の構成情報を入力します。
    • サーバーのホスト名: Bindplane の IP アドレスを入力します。
    • サーバーポート: Bindplane のポート番号を入力します。
    • 接続タイムアウト: 接続するまでの秒数を入力します（120 など）。
    • **転送プロトコル**: [**UDP**] を選択します。
    • ファシリティ: [Local0] を選択します。
    • すべてのトピックで重大度が INFORMATIONAL に設定されます。
  10. [保存] をクリックします。
  11. [Buffering] タブで、[Buffering Enabled] を選択して有効にします。
  12. [保存] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
client.ip principal.ip リクエストを行っているクライアントの IP アドレス。
client.ip principal.asset.ip リクエストを行っているクライアント アセットの IP アドレス。
client.port principal.port リクエストを行っているクライアントが使用するポート。
entries[0].info.authLevel principal.resource.resource_subtype イベントに関連付けられた認証レベル。「authLevel:」の接頭辞が付けられます。
entries[0].info.displayName security_result.description 認証ツリー内のノードのわかりやすい名前。
entries[0].info.ipAddress principal.asset.ip イベント内のプリンシパルに関連付けられた IP アドレス。
entries[0].info.ipAddress principal.ip イベント内のプリンシパルに関連付けられた IP アドレス。
entries[0].info.nodeId principal.resource.id 認証ツリー内のノードの一意の識別子。「nodeId:」の接頭辞が付けられます。
entries[0].info.nodeOutcome principal.resource.attribute.labels.value 認証ツリー内のノードの結果。
entries[0].info.nodeType principal.resource.type 認証ツリー内のノードのタイプ。「nodeType:」の接頭辞が付けられます。
entries[0].info.treeName principal.resource.name 認証ツリーの名前。「treeName:」の接頭辞が付けられます。
eventName metadata.product_event_type OpenAM ログの未加工のイベント名。
http.request.headers.host[0] target.asset.hostname host ヘッダーから抽出されたターゲット サーバーのホスト名。
http.request.headers.host[0] target.hostname host ヘッダーから抽出されたターゲット サーバーのホスト名。
http.request.headers.user-agent[0] network.http.user_agent HTTP リクエストのユーザー エージェント。
http.request.method network.http.method リクエストで使用される HTTP メソッド。
http.request.path target.url HTTP リクエスト URL のパス。
info.failureReason security_result.summary 認証に失敗した理由。「SSO」にハードコードされます。eventName と他のフィールドに基づくロジックによって決定されます。GENERIC_EVENT、USER_LOGIN、USER_LOGOUT、NETWORK_HTTP、STATUS_UPDATE のいずれかになります。「OPENAM」にハードコードされます。「OpenAM」にハードコードされます。「ForgeRock」にハードコードされます。
principal target.user.userid イベントに関与するユーザー ID。userId、principal、runAs のいずれかのフィールドから抽出されます。
result security_result.action_details イベントの結果（「SUCCESSFUL」、「FAILED」など）。
response.detail.reason security_result.summary アクセス結果イベントで失敗した理由。
response.status security_result.action_details アクセス結果イベントでのレスポンスのステータス。
runAs target.user.userid イベントに関与するユーザー ID。userId、principal、runAs のいずれかのフィールドから抽出されます。
security_result.action security_result.action セキュリティ イベントの結果として行われたアクション（「ALLOW」、「BLOCK」など）。
server.ip target.asset.ip ターゲット サーバーの IP アドレス。
server.ip target.ip ターゲット サーバーの IP アドレス。
server.port target.port ターゲット サーバーのポート。
timestamp metadata.event_timestamp イベントのタイムスタンプ。
trackingIds metadata.product_log_id イベントに関連付けられたトラッキング ID。
transactionId metadata.product_deployment_id イベントに関連付けられたトランザクション ID。
userId target.user.userid イベントに関与するユーザー ID。userId、principal、runAs のいずれかのフィールドから抽出されます。
userId target.user.group_identifiers ユーザーに関連付けられたグループ識別子。
am_group target.user.group_identifiers ユーザーに関連付けられたグループ識別子。
am_user target.user.email_addresses am_user フィールドに存在する場合は、ユーザーのメールアドレス。
loginID[0] target.user.userid イベントで使用されるログイン ID。
loginID[0] target.user.email_addresses loginID フィールドに存在する場合は、ログインに使用するメールアドレス。
hostip intermediary.hostname 仲介デバイスのホスト名。
hostip intermediary.ip 仲介デバイスの IP アドレス。
src_ip principal.asset.ip ソース IP アドレス。
src_ip principal.ip ソース IP アドレス。
desc metadata.description イベントの説明です。
payload metadata.description イベントのペイロード。
http.request.headers.host.0 tatget.hostname 変更履歴からマッピング
http.request.headers.user-agent.0 network.http.user_agent 変更履歴からマッピング
extensions.auth.type SSO 変更履歴からマッピング

変更履歴

このパーサーの変更履歴を表示する

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。