Ivanti Connect Secure（Pulse Secure）のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Ivanti Connect Secure（Pulse Secure）ログを Google Security Operations に取り込む方法について説明します。

Ivanti Connect Secure（旧称 Pulse Secure）は、企業アプリケーション、リソース、ネットワークへの安全なリモート アクセスを提供する SSL VPN ソリューションです。多要素認証、エンドポイント コンプライアンス チェック、リモート ワーカーやパートナー向けのきめ細かいアクセス ポリシーをサポートしています。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • Ivanti Connect Secure（Pulse Secure）管理コンソールへの特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、プロジェクト番号をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [設定] > [データ管理] > [収集エージェント] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [Settings] > [Administration] > [Profile] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスが RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスが active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'PULSE_SECURE_VPN'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • udplog: UDP syslog の場合は udplog、TCP syslog の場合は tcplog を使用します。
    • 0.0.0.0: リッスンする IP アドレス（すべてのインターフェースでリッスンする場合は 0.0.0.0）
    • 514: リッスンするポート番号（標準の syslog ポート）

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: 「お客様 ID を取得する」セクションのお客様 ID
    • location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の前にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。
    • log_type: Chronicle に表示されるログタイプ（PULSE_SECURE_VPN）

以前の Ingestion API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'PULSE_SECURE_VPN'
    raw_log_field: body
    ingestion_labels:

構成ファイルを保存する

  • 編集が完了したら、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を実行します。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Ivanti Connect Secure（Pulse Secure）で syslog 転送を構成する

  1. Ivanti Connect Secure（旧称 Pulse Secure）の管理コンソールにログインします。
  2. [System] > [Log/Monitoring] に移動します。
  3. [Settings] タブをクリックします。
  4. syslog サーバーの構成セクションで、次の詳細を入力します。
    • サーバー名 / IP: Bindplane エージェント ホストの IP アドレスまたは FQDN を入力します。
    • Facility: LOCAL0（または LOCAL0 から LOCAL7 の中から希望するファシリティ）を選択します。
    • タイプ: [UDP] を選択します。
    • フィルタ: [標準] を選択します。
    • ソース インターフェース: [グローバル]（または Bindplane エージェントにアクセスできる特定のインターフェース）を選択します。
  5. [追加] をクリックします。
  6. [変更を保存] をクリックします。

  7. 各ローカルログタブで次の操作を行い、ログカテゴリごとに syslog レポートを有効にします。

    1. [イベント] タブをクリックし、syslog サーバーのチェックボックスをオンにして、[変更を保存] をクリックします。
    2. [User Access] タブをクリックし、syslog サーバーのチェックボックスをオンにして、[Save Changes] をクリックします。
    3. [管理者権限] タブをクリックし、Syslog サーバーのチェックボックスをオンにして、[Save Changes] をクリックします。

  8. Bindplane エージェント ログをチェックして、syslog メッセージが送信されていることを確認します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
アクション security_result.action_details action フィールドから直接マッピングされます。
アプリケーション principal.application application フィールドから直接マッピングされます。
bytes_read network.received_bytes bytes_read フィールドから直接マッピングされ、符号なし整数に変換されます。
bytes_written network.sent_bytes bytes_written フィールドから直接マッピングされ、符号なし整数に変換されます。
client_host principal.hostname、principal.asset.hostname client_host フィールドから直接マッピングされます。
cmd principal.process.command_line cmd フィールドから直接マッピングされます。
connection_status security_result.detection_fields.value.string_value connection_status フィールドから直接マッピングされます。
data_time metadata.event_timestamp.seconds さまざまなタイムスタンプ形式（MM-dd-yyyy HH:mm:ss Z、RFC 3339、ISO8601、MMM d HH:mm:ss、MMM d HH:mm:ss）を使用して、data_time フィールドから解析されます。
devname principal.hostname、principal.asset.hostname devname フィールドから直接マッピングされます。
dstip target.ip、target.asset.ip dstip フィールドから直接マッピングされます。
dstport target.port dstport フィールドから直接マッピングされ、整数に変換されます。
dstcountry target.location.country_or_region 「Reserved」または空でない場合、dstcountry フィールドから直接マッピングされます。
期間 network.session_duration.seconds duration フィールドから直接マッピングされ、整数に変換されます。
dvc intermediary.hostname または intermediary.ip dvc フィールドを IP アドレスに変換できる場合は、intermediary.ip にマッピングされます。それ以外の場合は、intermediary.hostname にマッピングされます。
dvc_hostname intermediary.hostname、principal.hostname、principal.asset.hostname、または intermediary.ip、principal.ip、principal.asset.ip dvc_hostname フィールドを IP アドレスに変換できる場合は、それぞれの IP フィールドにマッピングされます。それ以外の場合は、それぞれのホスト名フィールドにマッピングされます。
event_type metadata.product_event_type event_type フィールドから直接マッピングされます。
failure_reason security_result.description failure_reason フィールドから直接マッピングされます。メッセージに「because host」が含まれている場合、失敗理由の先頭に「host」というテキストが追加されます。
has_principal event.idm.read_only_udm.principal (presence) プリンシパル フィールドが入力されている場合は「true」に設定し、それ以外の場合は「false」に設定します。パーサー ロジックによって取得されます。
has_target event.idm.read_only_udm.target（存在） ターゲット フィールドが入力されている場合は「true」に設定し、それ以外の場合は「false」に設定します。パーサー ロジックによって取得されます。
has_target_user event.idm.read_only_udm.target.user.userid（存在） target.user.userid が入力されている場合は「true」に設定し、それ以外の場合は「false」に設定します。パーサー ロジックによって取得されます。
host_ip principal.ip, principal.asset.ip host_ip フィールドから直接マッピングされます。
host_mac principal.mac host_mac フィールドから直接マッピングされ、ハイフンがコロンに置き換えられます。
http_method network.http.method http_method フィールドから直接マッピングされます。
http_response network.http.response_code http_response フィールドから直接マッピングされ、整数に変換されます。
info_desc about.labels.value info_desc フィールドから直接マッピングされます。
ip_new target.ip、target.asset.ip ip_new フィールドから直接マッピングされます。
レベル security_result.severity、security_result.severity_details security_result.severity は、level フィールド（「error」/「warning」-> HIGH、「notice」-> MEDIUM、「information」/「info」-> LOW）から取得されます。level の未加工の値は、security_result.severity_details にもマッピングされます。
logid metadata.product_log_id logid フィールドから直接マッピングされます。
locip principal.ip, principal.asset.ip locip フィールドから直接マッピングされます。
メッセージ metadata.description grok フィルタと kv フィルタを使用してさまざまなフィールドを抽出するために使用されます。メッセージに「EventID」が含まれている場合、Windows イベントログとして処理されます。
message_info metadata.description より具体的な grok パターンで使用されていない場合は、metadata.description に直接マッピングされます。
msg metadata.product_event_type、metadata.description msg フィールドが存在する場合、商品タイプが抽出されて metadata.product_event_type にマッピングされ、残りのメッセージが metadata.description にマッピングされます。
msg_hostname principal.hostname、principal.asset.hostname msg_hostname フィールドから直接マッピングされます。
msg_ip principal.ip, principal.asset.ip msg_ip フィールドから直接マッピングされます。
msg_user_agent network.http.user_agent、network.http.parsed_user_agent、metadata.product_version ユーザー エージェント文字列は network.http.user_agent にマッピングされ、解析されたユーザー エージェントは network.http.parsed_user_agent にマッピングされ、プロダクト バージョン（存在する場合）は metadata.product_version にマッピングされます。
network_duration network.session_duration.seconds network_duration フィールドから直接マッピングされ、整数に変換されます。
policyid security_result.rule_id policyid フィールドから直接マッピングされます。
policyname security_result.rule_name policyname フィールドから直接マッピングされます。
policytype security_result.rule_type policytype フィールドから直接マッピングされます。
priority_code about.labels.value priority_code フィールドから直接マッピングされ、「Severity」キーの about.labels.value の導出にも使用されます（ロジックを参照）。
prod_name metadata.product_name prod_name フィールドから直接マッピングされます。
product_type metadata.product_event_type product_type フィールドから直接マッピングされます。
product_version metadata.product_version product_version フィールドから直接マッピングされます。
proto network.ip_protocol ルックアップを使用して IP プロトコル名に変換された後、network.ip_protocol にマッピングされます。
pwd principal.process.file.full_path pwd フィールドから直接マッピングされます。
レルム principal.group.attribute.labels.value realm フィールドから直接マッピングされます。
rcvdbyte network.received_bytes rcvdbyte フィールドから直接マッピングされ、符号なし整数に変換されます。
remip target.ip remip フィールドから直接マッピングされます。
resource_name target.resource.name 先頭と末尾の空白文字とハイフンを削除した後、resource_name フィールドから直接マッピングされます。
resource_status security_result.description resource_status フィールドから直接マッピングされます。
resource_user_group principal.user.group_identifiers resource_user_group フィールドから直接マッピングされます。
resource_user_name principal.user.userid resource_user_name フィールドから直接マッピングされます。
ロール principal.user.group_identifiers roles フィールドから直接マッピングされます。
sentbyte network.sent_bytes sentbyte フィールドから直接マッピングされ、符号なし整数に変換されます。
session_id network.session_id session_id フィールドから直接マッピングされます。
sessionid network.session_id sessionid フィールドから直接マッピングされます。
srcip principal.ip, principal.asset.ip srcip フィールドから直接マッピングされます。
srcport principal.port srcport フィールドから直接マッピングされ、整数に変換されます。
srccountry principal.location.country_or_region 「Reserved」でも空でもない場合、srccountry フィールドから直接マッピングされます。
subtype metadata.product_event_type type と組み合わせて metadata.product_event_type を形成するために使用されます。
target_file target.file.full_path target_file フィールドから直接マッピングされます。
target_host target.hostname、target.asset.hostname target_host フィールドから直接マッピングされます。
target_ip target.ip、target.asset.ip target_ip フィールドから直接マッピングされます。
target_port target.port target_port フィールドから直接マッピングされ、整数に変換されます。
target_url target.url target_url フィールドから直接マッピングされます。
時間 metadata.event_timestamp.seconds 「yyyy-MM-dd HH:mm:ss」形式を使用して、time フィールドから解析されます。
type metadata.product_event_type subtype と組み合わせて使用され、metadata.product_event_type を形成します。
u_event_source_ip principal.ip、principal.asset.ip、target.ip target_ip または target_host が存在する場合、u_event_source_ip は principal.ip と principal.asset.ip にマッピングされます。それ以外の場合、target_ip、target_host、target_url がすべて空であれば、u_event_source_ip は target.ip にマッピングされます。
u_observer_ip observer.ip u_observer_ip フィールドから直接マッピングされます。
u_prin_ip principal.ip, principal.asset.ip u_prin_ip フィールドから直接マッピングされます。
ユーザー target.user.userid ユーザー フィールドから直接マッピングされます。
user_agent network.http.user_agent、network.http.parsed_user_agent ユーザー エージェント文字列は network.http.user_agent にマッピングされ、解析されたユーザー エージェントは network.http.parsed_user_agent にマッピングされます。
user_group_identifier target.user.group_identifiers または principal.user.group_identifiers ほとんどの場合、target.user.group_identifiers にマッピングされます。IP 変更（USER_UNCATEGORIZED）イベントとレルム制限イベントの principal.user.group_identifiers にマッピングされます。
user_ip principal.ip, principal.asset.ip user_ip フィールドから直接マッピングされます。空で、u_event_source_ip が空でない場合は、u_event_source_ip の値が使用されます。
ユーザー名 principal.user.userid または target.user.userid ほとんどの場合、principal.user.userid にマッピングされます。特定のシナリオ（detect_user_logout_failed が false で、detect_policy_change_failed が false の場合など）で target.user.userid にマッピングされます。
username_removed target.user.userid username_removed フィールドから直接マッピングされます。
vd principal.administrative_domain vd フィールドから直接マッピングされます。
client_ip event.idm.read_only_udm.principal.ip 変更履歴からマッピング
client_ip event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
req_host event.idm.read_only_udm.target.hostname 変更履歴からマッピング
req_host event.idm.read_only_udm.target.asset.hostname 変更履歴からマッピング
target_url event.idm.read_only_udm.target.url 変更履歴からマッピング
http_method event.idm.read_only_udm.network.http.method 変更履歴からマッピング
referrer_url event.idm.read_only_udm.network.http.referral_url 変更履歴からマッピング
sr_action event.idm.read_only_udm.security_result.action 変更履歴からマッピング
http_version event.idm.read_only_udm.network.application_protocol_version 変更履歴からマッピング
server_name event.idm.read_only_udm.intermediary.hostname 変更履歴からマッピング
server_name event.idm.read_only_udm.intermediary.asset.hostname 変更履歴からマッピング
BLOCK security_result.action 変更履歴からマッピング
Pulse Secure VPN metadatda.product_name 変更履歴からマッピング
observer_hostname observer.hostname 変更履歴からマッピング
priority_code", "Syslog_version", and "info_desc about.labels 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。