Ribbon Analytics プラットフォームのログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Ribbon Analytics Platform ログを Google Security Operations に取り込む方法について説明します。

Ribbon Analytics Platform は、音声およびデータ通信のモニタリング用のネットワーク分析およびセッション ボーダー コントローラ プラットフォームです。通話詳細レコード、セッション イベント、システム健全性情報に関する syslog メッセージを生成します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Ribbon Analytics プラットフォーム間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • Ribbon Analytics プラットフォームの管理インターフェースへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイル をダウンロードします。

  4. Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/ribbon_analytics:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: RIBBON_ANALYTICS_PLATFORM
        raw_log_field: body

service:
    pipelines:
        logs/ribbon_analytics_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/ribbon_analytics

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
      • ポート 514 は標準の syslog ポートです（Linux で root が必要です。root 以外のユーザーは 1514 を使用します）。

  • エクスポータの構成:

    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • endpoint: リージョン エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Ribbon Analytics プラットフォームの syslog 転送を構成する

  1. Ribbon 管理インターフェースにログインします。
  2. [設定> リモート ログ サーバー] に移動します。
  3. 次の構成で新しいリモートログ サーバーを追加します。
    • ホスト: Bindplane エージェント ホストの IP アドレスを入力します。
    • ポート: 「514」と入力します。
    • プロトコル: [UDP] を選択します。
  4. [保存] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
type_name about マッピング: SYSCALL → about
type_syscall_props.AUID about.user.user_display_name 直接マッピングされます。
type_syscall_props.auid about.user.userid 直接マッピングされます。
additional_delay_data additional.fields 統合済み
additional_delays_data additional.fields 統合済み
additional_dns_data additional.fields 統合済み
additional_field additional.fields 統合済み
additional_relay_data additional.fields 統合済み
auth_realm_field additional.fields 統合済み
log_details_label additional.fields 統合済み
_mechanism extensions.auth.mechanism 統合済み
audit_message extensions.auth.type マッピング: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
msg2 extensions.auth.type マッピング: login failure → MACHINE
type_name extensions.auth.type マッピング: USER_LOGIN → MACHINE、`"LOGIN", "USER_START", "USER_AUTH", "CRED_ACQ", "CRED_REF...
dvc intermediary.hostname 直接マッピングされます。
dvc intermediary.ip 統合済み
description metadata.description 直接マッピングされます。
error_message metadata.description 直接マッピングされます。
msg2 metadata.description 直接マッピングされます。
event_timestamp metadata.event_timestamp UNIX として解析済み
timestamp metadata.event_timestamp MMM d HH:mm:ss として解析済み
event_type metadata.event_type マッピング: GENERIC_EVENT → STATUS_UPDATE
has_principal metadata.event_type マッピング: true → STATUS_UPDATE
msg2 metadata.event_type マッピング: HTTP → NETWORK_HTTP、login failure → USER_LOGIN
target_user_present metadata.event_type マッピング: true → USER_UNCATEGORIZED
type_name metadata.event_type マッピング: SYSCALL → USER_UNCATEGORIZED
applica metadata.product_event_type 直接マッピングされます。
audit_message metadata.product_event_type マッピングされた値（合計 6 個、例: pam_krb5.*authentication fails for → PAM_KRB5_AUTH_ERROR、...
eventType metadata.product_event_type 直接マッピングされます。
p_event_type metadata.product_event_type 直接マッピングされます。
type metadata.product_event_type 直接マッピングされます。
type_name metadata.product_event_type 直接マッピングされます。
jsonPayload._AUDIT_ID metadata.product_log_id 直接マッピングされます。
product_log_id metadata.product_log_id 直接マッピングされます。
audit_message network.application_protocol マッピング: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → SSH
auth network.application_protocol マッピング: ssh → SSH
message network.application_protocol マッピング: ssh/ssh2 → SSH
tty network.application_protocol マッピング: ssh → SSH
audit_message network.direction マッピング: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → OUTBOUND、`type=(CRYPTO_SESSION/CRYPTO_K...
mailid network.email.mail_id 直接マッピングされます。
to_email network.email.to マッピング: ^.+@.+$ → to_email
response_code network.http.response_code 直接マッピングされます。
audit_message network.ip_protocol マッピング: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → TCP
bytes_sent network.sent_bytes 直接マッピングされます。
type_crypto_props.ksize network.sent_bytes 名前変更済み/マッピング済み
jsonPayload._AUDIT_SESSION network.session_id 直接マッピングされます。
sessionid network.session_id 直接マッピングされます。
type_anom_props.ses network.session_id 名前変更済み/マッピング済み
type_syscall_props.ses network.session_id 直接マッピングされます。
type_crypto_props.cipher network.tls.cipher 直接マッピングされます。
type_crypto_props.pfs network.tls.curve 直接マッピングされます。
applica principal.application 直接マッピングされます。
jsonPayload._COMM principal.application 直接マッピングされます。
type_anom_props.comm principal.application 直接マッピングされます。
type_syscall_props.comm principal.application 直接マッピングされます。
type_syscall_props.terminal principal.application 直接マッピングされます。
%{rhost} principal.asset.hostname 統合済み
rhost principal.asset.hostname kvdata != `` の場合にマッピングされます
princi_ip principal.asset.ip 統合済み
rhost principal.asset.ip 統合済み
srcIp principal.asset.ip マッピング: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}...
%{rhost} principal.hostname 統合済み
jsonPayload._HOSTNAME principal.hostname 直接マッピングされます。
principal_hostname principal.hostname 直接マッピングされます。
rhost principal.hostname kvdata != `` の場合にマッピングされます
audit_message principal.ip マッピング: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
prin_ip principal.ip 統合済み
princi_ip principal.ip 統合済み
rhost principal.ip 統合済み
srcIp principal.ip マッピング: `^(?:(25[0-5]/2[0-4][0-9]/1[0-9]{2}/[1-9]?[0-9]).){3}(25[0-5]/2[0-4][0-9]/1[0-9]{2}...
type_crypto_props.laddr principal.ip 統合済み
srcPort principal.port 名前変更済み/マッピング済み
type_crypto_props.lport principal.port 名前変更済み/マッピング済み
auth principal.process.command_line 直接マッピングされます。
proctitle_value principal.process.command_line 直接マッピングされます。
type_syscall_props.cmd principal.process.command_line 直接マッピングされます。
event.idm.read_only_udm.target.process.file.full_path principal.process.file.full_path 直接マッピングされます。
proctitle_value principal.process.file.full_path 直接マッピングされます。
audit_message principal.process.file.names マッピング: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
filename principal.process.file.names 統合済み
jsonPayload._PPID principal.process.parent_process.pid 直接マッピングされます。
type_syscall_props.ppid principal.process.parent_process.pid 直接マッピングされます。
jsonPayload._PID principal.process.pid 直接マッピングされます。
pi principal.process.pid 直接マッピングされます。
process_pid principal.process.pid 直接マッピングされます。
type_crypto_props.spid principal.process.pid 直接マッピングされます。
type_syscall_props.pid principal.process.pid 直接マッピングされます。
email principal.user.email_addresses マッピング: ^.+@.+$ → email
user_name principal.user.email_addresses マッピング: ^.+@.+$ → user_name
type_syscall_props.UID principal.user.user_display_name 直接マッピングされます。
type_syscall_props.acct principal.user.user_display_name 直接マッピングされます。
jsonPayload._AUDIT_FIELD_SUID principal.user.userid 直接マッピングされます。
principal_user_userid principal.user.userid 直接マッピングされます。
ruser principal.user.userid 直接マッピングされます。
type_crypto_props.suid principal.user.userid 直接マッピングされます。
user_name principal.user.userid 直接マッピングされます。
usr principal.user.userid 直接マッピングされます。
a0_label security_result.about.labels 統合済み
a1_label security_result.about.labels 統合済み
a2_label security_result.about.labels 統合済み
a3_label security_result.about.labels 統合済み
audit_message security_result.about.labels マッピングされた値（合計 7 個、例: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CH...
exit_label security_result.about.labels 統合済み
syscall_label security_result.about.labels 統合済み
tty_label security_result.about.labels 統合済み
jsonPayload._AUDIT_FIELD_ARCH security_result.about.platform_version 直接マッピングされます。
type_syscall_props.arch security_result.about.platform_version 直接マッピングされます。
type_syscall_props.key security_result.about.registry.registry_key 直接マッピングされます。
product_log_id security_result.about.registry.registry_value_data 直接マッピングされます。
action security_result.action 統合済み
action_data security_result.action マッピング: 「authentication failure」、「Authentication failure」、「Failed password」、「Connection ...
audit_message security_result.action マッピング: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
security_action security_result.action 統合済み
action_data security_result.action_details 直接マッピングされます。
auth security_result.action_details マッピング: sshd → FAILURE
status security_result.action_details 直接マッピングされます。
type_crypto_props.res security_result.action_details 名前変更済み/マッピング済み
type_syscall_props.res security_result.action_details 直接マッピングされます。
a0_label security_result.detection_fields 統合済み
a1_label security_result.detection_fields 統合済み
a2_label security_result.detection_fields 統合済み
a3_label security_result.detection_fields 統合済み
audit_message security_result.detection_fields マッピング: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
auid_field security_result.detection_fields 統合済み
auth security_result.detection_fields マッピング: sshd → authentication_protocol_field、sshd → authentication_mechanism_field など
authentication_mechanism_field security_result.detection_fields 統合済み
authentication_protocol_field security_result.detection_fields 統合済み
bootid_label security_result.detection_fields 統合済み
connection_state_field security_result.detection_fields 統合済み
cwd_field security_result.detection_fields 統合済み
exit_label security_result.detection_fields 統合済み
jsonPayload._AUDIT_TYPE_NAME security_result.rule_id 直接マッピングされます。
type_name security_result.rule_id 直接マッピングされます。
msg_desc security_result.summary 直接マッピングされます。
secsummary security_result.summary 直接マッピングされます。
type_anom_props.reason security_result.summary 直接マッピングされます。
type_syscall_props.op security_result.summary 直接マッピングされます。
type_syscall_props.res security_result.summary 直接マッピングされます。
type_syscall_props.success security_result.summary 直接マッピングされます。
type_path1_props.name src.file.full_path 名前変更済み/マッピング済み
type_crypto_props.terminal target.application 名前変更済み/マッピング済み
target_hostname target.asset.hostname 直接マッピングされます。
type_crypto_props.hostname target.asset.hostname 直接マッピングされます。
dst_ip target.asset.ip 統合済み
resource.labels.project_id target.cloud.project.name 直接マッピングされます。
filepath target.file.full_path 直接マッピングされます。
jsonPayload._AUDIT_FIELD_FILE target.file.full_path 直接マッピングされます。
target_file_full_path target.file.full_path 直接マッピングされます。
jsonPayload._AUDIT_FIELD_HASH target.file.sha256 直接マッピングされます。
target_hostname target.hostname 直接マッピングされます。
type_crypto_props.hostname target.hostname 直接マッピングされます。
audit_message target.ip マッピング: type=(CRYPTO_SESSION/CRYPTO_KEY_USER) → tar_ip
dst_ip target.ip 統合済み
tar_ip target.ip 統合済み
resource.labels.location target.location.name 直接マッピングされます。
dst_port target.port 直接マッピングされます。
target_port target.port 直接マッピングされます。
type_crypto_props.rport target.port 名前変更済み/マッピング済み
args target.process.command_line 名前変更済み/マッピング済み
cmnd target.process.command_line 直接マッピングされます。
command_line target.process.command_line 直接マッピングされます。
cwd target.process.file.full_path 直接マッピングされます。
jsonPayload._EXE target.process.file.full_path 直接マッピングされます。
proctitle_value target.process.file.full_path 直接マッピングされます。
type_anom_props.exe target.process.file.full_path 名前変更済み/マッピング済み
type_crypto_props.exe target.process.file.full_path 名前変更済み/マッピング済み
type_syscall_props.exe target.process.file.full_path 直接マッピングされます。
type_anom_props.pid target.process.pid 名前変更済み/マッピング済み
type_crypto_props.pid target.process.pid 名前変更済み/マッピング済み
resource.labels.cluster_name target.resource.name 直接マッピングされます。
audit_message target.resource.type マッピング: `type=(SYSCALL/LOGIN/USER_LOGIN/USER_CMD/USER_ACCT/USER_ROLE_CHANGE/USERSTART/USER...
type_name target.resource.type マッピング: "USER_ACCT", "USER_ROLE_CHANGE","USER_MGMT" → SETTING
target_email target.user.email_addresses マッピング: ^.+@.+$ → target_email
type_syscall_props.ID target.user.user_display_name 直接マッピングされます。
type_syscall_props.acct target.user.user_display_name 直接マッピングされます。
event.idm.read_only_udm.principal.user.userid target.user.userid 名前変更済み/マッピング済み
jsonPayload._UID target.user.userid 直接マッピングされます。
type_crypto_props.uid target.user.userid 直接マッピングされます。
type_syscall_props.acct target.user.userid 直接マッピングされます。
type_syscall_props.id target.user.userid 直接マッピングされます。
type_syscall_props.uid target.user.userid 直接マッピングされます。
user_name target.user.userid 直接マッピングされます。
username target.user.userid 直接マッピングされます。
なし extensions.auth.type 定数: AUTHTYPE_UNSPECIFIED
なし metadata.event_type 定数: STATUS_UPDATE
なし metadata.product_event_type 定数: PAM_KRB5_AUTH_ERROR
なし metadata.product_name 定数: AuditD
なし metadata.vendor_name 定数: Linux
なし network.application_protocol 定数: SSH
なし network.direction 定数: OUTBOUND
なし network.ip_protocol 定数: TCP
なし principal.platform 定数: LINUX
なし principal.user.userid 定数: event.idm.read_only_udm.target.user.userid
なし security_result.action_details 定数: FAILURE
なし target.resource.type 定数: SETTING

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。