OPNsense ファイアウォール ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して OPNsense ファイアウォール ログを Google Security Operations に取り込む方法について説明します。

OPNsense は、ファイアウォール ルールの照合、ネットワーク接続、システム イベントの syslog メッセージを生成するオープンソースのファイアウォールとルーティング プラットフォームです。パーサーは、grok と CSV 解析を使用して CSV 形式の filterlog メッセージからフィールドを抽出し、統合データモデル（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Windows Server 2016 以降、または systemd を使用する Linux ホスト
• Bindplane エージェントと OPNsense ファイアウォール間のネットワーク接続
• プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
• OPNsense ウェブ インターフェースへの管理者権限

Google SecOps の取り込み認証ファイルを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [コレクション エージェント] に移動します。

3. 取り込み認証ファイル をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

   注: この JSON ファイルには、Bindplane エージェントを Google SecOps に対して認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。

3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

   注: Bindplane エージェント エクスポータを構成するには、顧客 ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. インストールが完了するまで待ちます。

4. 次のコマンドを実行して、インストールの内容を確認します。

   sc query observiq-otel-collector
   

   サービスは RUNNING と表示されます。

Linux のインストール

1. root 権限または sudo 権限でターミナルを開きます。

2. 次のコマンドを実行します。

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. インストールが完了するまで待ちます。

4. 次のコマンドを実行して、インストールの内容を確認します。

   sudo systemctl status observiq-otel-collector
   

   サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

構成ファイルを編集します。

• config.yaml の内容全体を次の構成に置き換えます。

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/opnsense:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: OPNSENSE
          raw_log_field: body
  
  service:
      pipelines:
          logs/opnsense_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/opnsense
  

構成パラメータ

各プレースホルダを次のように置き換えます。

• レシーバーの構成:

  • listen_address: リッスンする IP アドレスとポート:
    • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
    • ポート 514 は標準の syslog ポートです（Linux で root が必要です。root 以外のユーザーは 1514 を使用します）。

• エクスポータの構成:

  • creds_file_path: 取り込み認証ファイルのフルパス:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Google SecOps コンソールからコピーしたお客様 ID
  • endpoint: リージョン エンドポイント URL:
    • 米国: malachiteingestion-pa.googleapis.com
    • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
    • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
    • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

• 編集後、ファイルを保存します。
  • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
  • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

• Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

  sudo systemctl restart observiq-otel-collector
  

  1. サービスが実行されていることを確認します。

     sudo systemctl status observiq-otel-collector
     

  2. ログでエラーを確認します。

     sudo journalctl -u observiq-otel-collector -f
     

• Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

  • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • サービス コンソール:

    1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
    2. observIQ OpenTelemetry Collector を見つけます。
    3. 右クリックして [再起動] を選択します。

    4. サービスが実行されていることを確認します。

       sc query observiq-otel-collector
       

    5. ログでエラーを確認します。

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

OPNsense に syslog サーバー構成を追加する

1. OPNsense ウェブ インターフェースにログインします。
2. [System] > [Settings] > [Logging] に移動します。
3. [リモート ロギング] セクションで、チェックボックスをオンにして [ログをリモート Syslog サーバーに送信する] を有効にします。
4. [リモート Syslog サーバー] フィールドに、ポートを含む Syslog サーバーの IP アドレスを入力します（例: 10.10.10.10:514）。
5. syslog 機能として Local0 を選択します。
6. syslog レベルを [アラート] に設定します。
7. [保存] をクリックして変更を適用します。

UDM マッピング テーブル

ログフィールド	UDM マッピング	論理
column1	security_result.rule_id	column1 から直接マッピングされます。
column10	additional.fields[].key: "tos" additional.fields[].value.string_value: column10 の値	column10 から直接マッピングされ、additional.fields の下にネストされ、キーは「tos」になります。
column12	additional.fields[].key: 「ttl」 additional.fields[].value.string_value: column12 の値	column12 から直接マッピングされ、additional.fields の下に「ttl」キーでネストされます。
column13	additional.fields[].key: 「Id」 additional.fields[].value.string_value: column13 の値	column13 から直接マッピングされ、additional.fields の下に「Id」キーでネストされます。
column14	additional.fields[].key: 「offset」 additional.fields[].value.string_value: column14 の値	column14 から直接マッピングされ、additional.fields の下にネストされます（キーは「offset」）。
column15	additional.fields[].key: 「flags」 additional.fields[].value.string_value: column15 の値	column15 から直接マッピングされ、additional.fields の下に「flags」キーでネストされます。
column17	network.ip_protocol	大文字に変換された後、column17 から直接マッピングされます。
column18	network.received_bytes	符号なし整数に変換された後、column18 から直接マッピングされます。
column19	principal.ip	column19 から直接マッピングされます。
column20	target.ip	column20 から直接マッピングされます。
column21	principal.port（column17 が TCP または UDP の場合） additional.fields[].key: 「data_length」 additional.fields[].value.string_value: 抽出された値（column17 が ICMP、GRE、ESP、IGMP の場合）	column17 が TCP/UDP の場合、column21 から直接マッピングされ、整数に変換されます。それ以外の場合、「datalength」の値は grok を使用して抽出され、キー「data_length」とともに additional.fields に配置されます。
column22	target.port	column17 が TCP または UDP の場合、column22 から直接マッピングされ、整数に変換されます。
column24	additional.fields[].key: 「tcp_flags」 additional.fields[].value.string_value: column24 の値	column17 が TCP の場合、column24 から直接マッピングされ、additional.fields の下に「tcp_flags」キーでネストされます。
column29	additional.fields[].key:「tcp_options」 additional.fields[].value.string_value: column29 の値	column17 が TCP の場合、column29 から直接マッピングされ、キー「tcp_options」で additional.fields の下にネストされます。
column4	additional.fields[].key: "tracker" additional.fields[].value.string_value: column4 の値	column4 から直接マッピングされ、additional.fields の下に「tracker」キーでネストされます。
column5	additional.fields[].key: 「interface」 additional.fields[].value.string_value: column5 の値	column5 から直接マッピングされ、additional.fields の下に「interface」キーでネストされます。
column6	security_result.rule_type	column6 から直接マッピングされます。
column7	security_result.action	column7 からマッピングされます。「block」の場合、大文字の「BLOCK」に変換されます。「pass」の場合は、「ALLOW」に設定します。
column8	network.direction	column8 からマッピングされます。「in」の場合は、「INBOUND」に設定します。「out」の場合は、「OUTBOUND」に設定します。
domain	principal.administrative_domain	grok で抽出された domain から直接マッピングされます。プリンシパルとターゲットの両方の IP アドレスが存在する場合は「NETWORK_CONNECTION」、それ以外の場合は「GENERIC_EVENT」に設定されます。「OPNSENSE」にハードコードされています。「OPNSENSE」にハードコードされています。
message	各種フィールド	grok フィルタと csv フィルタを使用して解析し、さまざまなフィールドを抽出します。特定のマッピングについては、他の行をご覧ください。
ts	metadata.event_timestamp.seconds、timestamp.seconds	Grok を使用してメッセージ フィールドから解析され、タイムスタンプに変換されます。秒の値は、metadata.event_timestamp.seconds と timestamp.seconds の両方を入力するために使用されます。
application	principal.application	grok で抽出された application から直接マッピングされます。
column27	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
column2	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
column3	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
column11	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
column26	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
column28	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
column25	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
column16	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
column9	event.idm.read_only_udm.additional.fields	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。