Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

パッシブ DNS ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Cloud Storage V2 を使用してパッシブ DNS ログを Google Security Operations に取り込む方法について説明します。

パッシブ DNS は、脅威分析とドメイン調査のために過去の DNS の解決レコードをキャプチャする DNS インテリジェンスデータソースです。データは通常、ファイルとして収集され、保存されるため、これらのファイルを Google Cloud Storage（GCS）バケットにアップロードしてから、Google SecOps フィードを構成して取り込む必要があります。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス。
Cloud Storage API が有効になっている Google Cloud プロジェクト。
GCS バケットを作成および管理する権限。
GCS バケットの IAM ポリシーを管理する権限。
パッシブ DNS データファイル（DNSDB、Farsight、その他のパッシブ DNS プロバイダなど）へのアクセス。
サポートされている形式（JSON や CSV など）でエクスポートされたパッシブ DNS データ。

Google Cloud Storage バケットを作成する

Google Cloud コンソールに移動します。
プロジェクトを選択するか、新しいプロジェクトを作成します。
ナビゲーションメニューで、[Cloud Storage > バケット] に移動します。
[バケットを作成] をクリックします。

次の構成情報を提供してください。

設定	値
バケットに名前を付ける	グローバルに一意の名前（`passive-dns-logs` など）を入力します。
ロケーションタイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
ロケーション	Google SecOps インスタンスに最も近いロケーションを選択します（例: `us-central1`）。
ストレージクラス	Standard（アクセス頻度の高いログにおすすめ）
アクセス制御	均一（推奨）
保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

[作成] をクリックします。

注: バケット名をメモしておきます。この情報は、Google SecOps フィードを構成するときに使用します。

パッシブ DNS データの GCS への自動エクスポートを構成する

通常、パッシブ DNS データは、DNS インテリジェンスプロバイダ（Farsight DNSDB、DomainTools、Cisco Umbrella Investigate など）からエクスポートされたファイルとして入手できます。GCS のデータを最新の状態に保つには、次のいずれかの方法を使用して自動エクスポートパイプラインを構成します。

オプション 1: Cloud Build を使用した Cloud Scheduler（推奨）

Cloud Scheduler によってトリガーされる Cloud Build を使用して、プロバイダからパッシブ DNS データを取得して GCS に書き込むコンテナ化されたジョブを実行します。

エクスポートジョブのサービスアカウントを作成します。
1. GCP コンソールで、[IAM と管理>サービスアカウント] に移動します。
2. [サービスアカウントを作成] をクリックします。
3. 次の構成情報を指定します。
  - サービスアカウント名: 「passive-dns-export-sa」と入力します。
  - サービスアカウントの説明: Service account for automated Passive DNS data export to GCS と入力します。
4. [作成して続行] をクリックします。
5. 次のロールを追加します。
  - Storage オブジェクト管理者（GCS にファイルを書き込むため）
  - Cloud Build 編集者（Cloud Build ジョブを実行するため）
6. [完了] をクリックします。

Cloud Build 構成ファイル（cloudbuild.yaml）を作成します。

steps:
  - name: 'gcr.io/cloud-builders/gcloud'
    entrypoint: 'bash'
    args:
      - '-c'
      - |
        apt-get update && apt-get install -y curl jq
        # Fetch Passive DNS data from your provider
        # Replace with the actual API call for your provider
        # Example for Farsight DNSDB:
        TIMESTAMP=$(date -u +%Y%m%d_%H%M%S)
        curl -s -H "X-API-Key: $${PDNS_API_KEY}" \
          "https://api.dnsdb.info/dnsdb/v2/lookup/rrset/name/*.example.com" \
          -o /workspace/passive_dns_$${TIMESTAMP}.json
        # Upload to GCS
        gcloud storage cp /workspace/passive_dns_$${TIMESTAMP}.json \
          gs://${_BUCKET_NAME}/passive-dns/
substitutions:
  _BUCKET_NAME: 'passive-dns-logs'

API キーを Secret Manager シークレットとして保存します。
1. GCP コンソールで、[セキュリティ> Secret Manager] に移動します。
2. [シークレットの作成] をクリックします。
3. シークレット名として「pdns-api-key」と入力します。
4. Passive DNS プロバイダの API キーをシークレット値として入力します。
5. [作成] をクリックします。

ビルドをトリガーする Cloud Scheduler ジョブを作成します。

GCP Console で、[Cloud Scheduler] に移動します。
[ジョブを作成] をクリックします。

次の構成情報を提供してください。

設定	値
名前	`passive-dns-export-daily`
リージョン	GCS バケットと同じリージョンを選択する
周波数	`0 3 * * *`（毎日午前 3 時（UTC））
タイムゾーン	UTC（推奨）
ターゲットタイプ	HTTP
URL	`https://cloudbuild.googleapis.com/v1/projects/YOUR_PROJECT_ID/builds`
HTTP メソッド	POST
Auth ヘッダー	OAuth トークンを追加
サービスアカウント	`passive-dns-export-sa@YOUR_PROJECT_ID.iam.gserviceaccount.com`

[作成] をクリックします。

オプション 2: Storage Transfer Service（オンプレミスデータストアの場合）

パッシブ DNS データがオンプレミスファイルシステムに保存されている場合は、転送エージェントで Storage Transfer Service を使用します。

GCP Console で、[Storage Transfer Service] に移動します。
[転送ジョブを作成] をクリックします。
転送元として [POSIX ファイルシステム] を選択します。
手順に沿って、パッシブ DNS データファイルにアクセスできるマシンに Storage Transfer Agent をインストールします。

転送ジョブを構成します。

設定	値
ソースディレクトリ	パッシブ DNS データファイルを含むディレクトリへのパス
宛先バケット	`passive-dns-logs`
宛先のパス	`passive-dns/`
スケジュール	定期的なスケジュール（毎日など）を設定する

[作成] をクリックします。

Google SecOps サービスアカウントを取得する

[SIEM 設定] > [フィード] に移動します。
[Add New Feed] をクリックします。
[単一フィードを設定] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: Passive DNS Logs）。
[ソースタイプ] として [Google Cloud Storage V2] を選択します。
[ログタイプ] として [Passive DNS] を選択します。
[サービスアカウントを取得する] をクリックします。
一意のサービスアカウントのメールアドレスが表示されます（例:）。
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
このメールアドレスをコピーして、次のステップで使用します。

注: 各 Google SecOps インスタンスには一意のサービスアカウントがあります。他のドキュメントや例のサービスアカウントは使用しないでください。

Google SecOps サービスアカウントに IAM 権限を付与する

Google SecOps サービスアカウントには、GCS バケットに対する Storage オブジェクト閲覧者のロールが必要です。

[Cloud Storage] > [バケット] に移動します。
バケット名（passive-dns-logs など）をクリックします。
[権限] タブに移動します。
[アクセス権を付与] をクリックします。
次の構成情報を指定します。
- プリンシパルを追加: Google SecOps サービスアカウントのメールアドレス（例: chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com）を貼り付けます。
- ロールを割り当てる: [Storage オブジェクト閲覧者] を選択します。
[保存] をクリックします。

注: 削除オプションの [転送されたファイルを削除] または [転送されたファイルと空のディレクトリを削除] を使用する場合は、Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者ロールを付与します。

Google SecOps フィードを構成する

[SIEM 設定] > [フィード] に移動します。
[Add New Feed] をクリックします。
[単一フィードを設定] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: Passive DNS Logs）。
[ソースタイプ] として [Google Cloud Storage V2] を選択します。
[ログタイプ] として [Passive DNS] を選択します。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- ストレージバケットの URL: GCS バケットの URI を入力します。
```
gs://passive-dns-logs/passive-dns/
```
  - passive-dns-logs は、GCS バケット名に置き換えます。
  - passive-dns は、構成したプレフィックスパスに置き換えます。
注: URI の末尾には常にスラッシュ（/）を含めてください。
- Source deletion option: 必要に応じて削除オプションを選択します。
  - なし: 転送後にファイルを削除しません（テストにおすすめ）。
  - 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
  - 転送されたファイルと空のディレクトリを削除する: 転送が完了した後にファイルと空のディレクトリを削除します。
    
    注: 削除オプションを選択する場合は、Google SecOps サービスアカウントにストレージオブジェクト閲覧者ではなく、ストレージオブジェクト管理者ロールが必要です。必要に応じて IAM 権限を更新します。
- ファイルの最大経過日数: 過去の日数以内に変更されたファイルを含めます（デフォルトは 180 日）。
- アセットの名前空間: アセットの名前空間。
- Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
hostname	intermediary.hostname	値を直接コピーする
timestamp_s	metadata.event_timestamp	UNIX タイムスタンプとして解析
	metadata.event_type	「NETWORK_DNS」に設定
	network.application_protocol	「DNS」に設定
answer	network.dns.answers.data	末尾のドットを削除した後の回答の値
ttl	network.dns.answers.ttl	整数に変換しました
クラス	network.dns.questions.class	数値にマッピングされます（IN は 1、CH は 3、HS は 4）。
クエリ	network.dns.questions.name	末尾のドットを削除した後のクエリの値
type	network.dns.questions.type	DNS タイプマッピングを使用して、タイプ（大文字）から数値にマッピング
クライアント	principal.ip	値を直接コピーする
サーバー	target.ip	値を直接コピーする
	metadata.product_name	「パッシブ DNS」に設定します。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。