Teradata Database のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Teradata Database ログを Google Security Operations に取り込む方法について説明します。

Teradata Database は、クエリ、アクセス、セキュリティ監査、システム イベントのログを生成するエンタープライズ データ ウェアハウス プラットフォームです。大規模なオンプレミス環境向けに、高パフォーマンスの分析とデータ管理を提供します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Teradata Database サーバー間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • 管理者権限を持つ Teradata Database システムへの特権アクセス

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [コレクション エージェント] に移動します。

  3. 取り込み認証ファイル をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

サービスは RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/teradata_db:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: TERADATA_DB
        raw_log_field: body

service:
    pipelines:
        logs/teradata_db_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/teradata_db

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
      • ポート 514 は標準の syslog ポートです（Linux で root が必要です。root 以外のユーザーは 1514 を使用します）。

  • エクスポータの構成:

    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • endpoint: リージョン エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:

  1. 次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. サービスが実行されていることを確認します。

    sudo systemctl status observiq-otel-collector

  3. ログでエラーを確認します。

    sudo journalctl -u observiq-otel-collector -f

Windows で Bindplane エージェントを再起動するには:

  1. 次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。
    net stop observiq-otel-collector && net start observiq-otel-collector
    • サービス コンソール:
      1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

  2. サービスが実行されていることを確認します。

    sc query observiq-otel-collector

  3. ログでエラーを確認します。

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Teradata Database の syslog 転送を構成する

  1. 管理者として Teradata Database サーバーにログインします。

  2. Teradata Database Gateway ロギング機能を使用して Syslog 転送を構成します。rsyslog 構成ファイルを編集します。

    sudo nano /etc/rsyslog.d/teradata.conf

  3. 次の行を追加して、Teradata ログを Bindplane エージェントに転送します。

    # Forward Teradata Database logs to Bindplane agent
if $programname == 'teradata' then @@<bindplane-ip>:514
    • <bindplane-ip> は、Bindplane エージェント ホストの IP アドレスに置き換えます。

  4. rsyslog サービスを再起動します。

    sudo systemctl restart rsyslog

  5. Bindplane エージェントのログを調べて、ログが送信されていることを確認します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
additional.fields collect_timestamp_label、logon_date_time_label、logon_source_label、protocol_label、remote_hostname_label、logon_details_label、port_label、connection_id_label、cid_label、jdbc_driver_info_label、request_mode_label、statement_group_label、statement_type_label などのさまざまなラベルから統合されました
app_id target.asset.product_object_id 値を直接コピーする
client_addr principal.asset.hostname、principal.asset.ip、principal.hostname、principal.ip 値をすべてに直接コピーしました
client_id target.asset.asset_id CLIENT_ID:%{client_id} として連結されます
collect_timestamp metadata.collected_timestamp RFC 3339、UNIX_MS、UNIX、ISO8601、yyyy-MM-dd HH:mm:ss の形式で日付照合を使用して変換
default_database target.resource.name、target.resource.resource_type 値が名前に直接コピーされ、resource_type が DATABASE に設定される
error_code network.http.response_code、additional.fields response_code を整数に変換し、error_code_label にコピーして additional.fields に統合
error_text security_result.summary 値を直接コピーする
host_name principal.asset.hostname、principal.hostname 値が両方に直接コピーされる
logon_date_time metadata.event_timestamp 日付照合を使用して変換（形式: ISO8601、yyyy-MM-dd HH:mm:ss）
logon_source target.resource.parent 値を直接コピーする
logon_source additional.fields grok を使用して logonSource を抽出し、logon_source_label の %{logonSource}LSS として設定して additional.fields にマージ
logon_source additional.fields grok を使用してプロトコル、remote_hostname、ポート、logon_details、connection_id、cid、jdbc_driver_info を抽出し、それぞれのラベルに設定して additional.fields にマージ
proc_id target.resource.id 値を直接コピーする
profile_name target.resource.attribute.labels profile_name_label に設定され、attribute.labels に統合されます
query_text target.process.command_line 値を直接コピーする
request_mode target.resource.resource_subtype, additional.fields resource_subtype に直接コピーされる値。request_mode_label で設定され、additional.fields に統合される
session_id network.session_id 値を直接コピーする
statement_group principal.user.groupid、additional.fields 値が groupid に直接コピーされ、statement_group_label で設定された値が additional.fields に統合される
statement_type security_result.about.labels、additional.fields statementtype_value_label に設定され、about.labels に統合されます。statement_type_label に設定され、additional.fields に統合されます。
ts metadata.event_timestamp MMM d HH:mm:ss、MMM dd HH:mm:ss、SYSLOGTIMESTAMP、RFC 3339、UNIX、ISO8601、UNIX_MS の形式で日付を照合して変換されます。
tt_granularity target.resource.product_object_id 値を直接コピーする
user_id principal.user.userid 値を直接コピーする
user_name principal.user.user_display_name 値を直接コピーする
metadata.event_type has_principal、has_principal_user、has_target_resource が true の場合は USER_RESOURCE_ACCESS に設定します。それ以外で has_principal が true の場合は STATUS_UPDATE に設定します。それ以外の場合は GENERIC_EVENT に設定します。
metadata.product_name 「TERADATA_DB」に設定します。
metadata.vendor_name 「TERADATA」に設定
profile_name event.idm.read_only_udm.target.resource.attribute.labels 変更履歴からマッピング
proc_id event.idm.read_only_udm.target.resource.id 変更履歴からマッピング
user_id event.idm.read_only_udm.principal.user.userid 変更履歴からマッピング
collect_timestamp event.idm.read_only_udm.metadata.collected_timestamp 変更履歴からマッピング
logon_date_time event.idm.read_only_udm.metadata.event_timestamp 変更履歴からマッピング
user_name event.idm.read_only_udm.principal.user.user_display_name 変更履歴からマッピング
logon_source event.idm.read_only_udm.target.resource.parent 変更履歴からマッピング
app_id event.idm.read_only_udm.target.asset.product_object_id 変更履歴からマッピング
client_id event.idm.read_only_udm.target.asset.asset_id 変更履歴からマッピング
error_code event.idm.read_only_udm.network.http.response_code 変更履歴からマッピング
statement_type event.idm.read_only_udm.security_result.about.labels 変更履歴からマッピング
statement_group event.idm.read_only_udm.principal.user.groupid 変更履歴からマッピング
request_mode event.idm.read_only_udm.target.resource.resource_subtype 変更履歴からマッピング
tt_granularity event.idm.read_only_udm.target.resource.product_object_id 変更履歴からマッピング
protocol event.idm.read_only_udm.additional.fields 変更履歴からマッピング
remote_hostname event.idm.read_only_udm.additional.fields 変更履歴からマッピング
logon_details event.idm.read_only_udm.additional.fields 変更履歴からマッピング
connection_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
port event.idm.read_only_udm.additional.fields 変更履歴からマッピング
cid event.idm.read_only_udm.additional.fields 変更履歴からマッピング
jdbc_driver_info event.idm.read_only_udm.additional.fields 変更履歴からマッピング
app_id principal.application 変更履歴からマッピング
collect_timestamp event.idm.read_only_udm.additional.fields 変更履歴からマッピング
error_code security_result.detection_fields 変更履歴からマッピング
logon_date_time event.idm.read_only_udm.additional.fields 変更履歴からマッピング
logon_source event.idm.read_only_udm.additional.fields 変更履歴からマッピング
proc_id principal.process.pid 変更履歴からマッピング
request_mode event.idm.read_only_udm.additional.fields 変更履歴からマッピング
statement_group event.idm.read_only_udm.additional.fields 変更履歴からマッピング
statement_type event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_id target.user.userid 変更履歴からマッピング
user_name target.user.user_display_name 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。