Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Veeam ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Veeam ログを Google Security Operations に取り込む方法について説明します。

Veeam Backup & Replication は、バックアップジョブ、レプリケーションタスク、復元オペレーション、システムイベントの syslog メッセージを生成するデータ保護プラットフォームです。パーサーは、grok パターンを使用して syslog メッセージからフィールドを抽出し、統合データモデル（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows Server 2016 以降、または systemd を使用する Linux ホスト
Bindplane エージェントと Veeam Backup & Replication サーバー間のネットワーク接続
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
Veeam への特権アクセス

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane をインストールするシステムにファイルを安全に保存します。

注: この JSON ファイルには、Bindplane エージェントを Google SecOps に対して認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

注: Bindplane エージェントエクスポータを構成するには、顧客 ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者としてコマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
サービスは RUNNING と表示されます。

Linux へのインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sudo systemctl status observiq-otel-collector
```
サービスは active (running) と表示されます。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

config.yaml の内容全体を次の構成に置き換えます。

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/veeam:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VEEAM
        raw_log_field: body

service:
    pipelines:
        logs/veeam_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/veeam

構成パラメータ

各プレースホルダを次のように置き換えます。

レシーバーの構成:
- listen_address: リッスンする IP アドレスとポート:
  - 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
  - ポート 514 は標準の syslog ポートです（Linux で root が必要です。root 以外のユーザーは 1514 を使用します）。
エクスポータの構成:
- creds_file_path: 取り込み認証ファイルのフルパス:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Google SecOps コンソールからコピーしたお客様 ID
- endpoint: リージョンエンドポイント URL:
  - 米国: malachiteingestion-pa.googleapis.com
  - ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
  - アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
  - 完全なリストについては、リージョンエンドポイントをご覧ください。

構成ファイルを保存する

編集後、ファイルを保存します。
- Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
- Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
1. サービスが実行されていることを確認します。
```
sudo systemctl status observiq-otel-collector
```
2. ログでエラーを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。
- 管理者としてコマンドプロンプトまたは PowerShell を開きます。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- サービスコンソール:
  1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
  2. observIQ OpenTelemetry Collector を見つけます。
  3. 右クリックして [再起動] を選択します。
  4. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
  5. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Veeam の syslog を構成する

Veeam Backup & Replication コンソールにログインします。
メニュー > オプション > SIEM 統合 に移動します。
[Syslog サーバー] セクションで、[追加] をクリックします。
次の構成情報を指定します。
- 名前: Bindplane エージェントの IP アドレスとポート番号を入力します（例: 192.168.1.1:514）。
- トランスポート: Bindplane エージェントの構成に応じて、[UDP] または [TCP] を選択します。
[OK] をクリックして保存します。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`application`	`principal.application`	Grok パターンによって抽出された `application` フィールドから直接マッピングされます。
`CredentialId`	`principal.resource.attribute.labels.[]`	kv フィルタによって抽出された `CredentialId` フィールドから直接マッピングされます。キー「CredentialId」のラベルが作成されます。
`date_2`、`time_2`、`year`	`metadata.event_timestamp`	`date_2`、`time_2`、`year` フィールドは、`date` フィルタを使用して連結され、解析されて `metadata.event_timestamp` が作成されます。
`date_2`、`time_2`	`metadata.event_timestamp`	`date_2` フィールドと `time_2` フィールドが連結され、`date` フィルタを使用して解析されて `metadata.event_timestamp` が作成されます。
`deviceId`	`principal.resource.product_object_id`	kv フィルタによって抽出された `deviceId` フィールドから直接マッピングされます。
`description`	`security_result.description`	Grok パターンによって抽出された `description` フィールドから直接マッピングされます。
`error_code`	`security_result.detection_fields.[]`	Grok パターンによって抽出された `error_code` フィールドから直接マッピングされます。キー「error_code」を持つラベルが作成されます。
`executing_feature`	`principal.hostname`、`principal.asset.hostname`	Grok パターンによって抽出された `executing_feature` フィールドから直接マッピングされます。
`host`	`principal.hostname`、`principal.asset.hostname`	Grok パターンによって抽出された `host` フィールドから直接マッピングされます。
`ManagementIP`	`principal.ip`、`principal.asset.ip`	kv フィルタによって抽出された `ManagementIP` フィールドから直接マッピングされます。
`pid`	`principal.process.pid`	Grok パターンによって抽出された `pid` フィールドから直接マッピングされます。
`previousSeverity`	`security_result.severity_details`	Grok パターンによって抽出された `previousSeverity` フィールドから直接マッピングされます。
`prod_event_type`	`metadata.product_event_type`	Grok パターンによって抽出された `prod_event_type` フィールドから直接マッピングされます。
`query`	`security_result.detection_fields.[]`	Grok パターンによって抽出された `query` フィールドから直接マッピングされます。キー「query」のラベルが作成されます。
`reportingAddress`	`principal.ip`、`principal.asset.ip`	Grok パターンによって抽出された `reportingAddress` フィールドから直接マッピングされます。
`severity`	`security_result.severity`	`severity` フィールドからマッピングされます。値は、`severity` フィールドに基づく条件ロジックによって決定されます（ERROR、MAJOR/WARN、INFO は特定の UDM 重大度値にマッピングされます）。
`src_ip`	`principal.ip`、`principal.asset.ip`	Grok パターンによって抽出された `src_ip` フィールドから直接マッピングされます。
`summary`	`security_result.summary`	Grok パターンによって抽出された `summary` フィールドから直接マッピングされます。
`target_ip`	`target.ip`、`target.asset.ip`	Grok パターンによって抽出された `target_ip` フィールドから直接マッピングされます。
`thread_id`	`security_result.detection_fields.[]`	Grok パターンによって抽出された `thread_id` フィールドから直接マッピングされます。キー「thread_id」のラベルが作成されます。
（なし）	`event_type`	パーサーのロジックによって決定されます。`principal` と `target` の両方に MID データが存在する場合は、`NETWORK_UNCATEGORIZED` です。`principal` にのみ MID データがある場合は `STATUS_UPDATE` です。それ以外の場合は `GENERIC_EVENT` です。
（なし）	`metadata.event_type`	内部で生成された `event_type` フィールドからコピーされます。
（なし）	`metadata.vendor_name`	「VEEAM」にハードコードされています。
（なし）	`metadata.product_name`	「Veeam」にハードコードされています。
（なし）	`event.timestamp`	イベントのタイムスタンプは、ログエントリの `collection_time` フィールドから取得されます。
`enterpriseId`	`additional.fields`	変更履歴からマッピング
`recipient_emailid`	`additional.fields`	変更履歴からマッピング
`description`	`metadata.description`	変更履歴からマッピング
`version`	`additional.fields`	変更履歴からマッピング
`categoryId`	`additional.fields`	変更履歴からマッピング
`instanceId`	`additional.fields`	変更履歴からマッピング
`VbrVersion`	`metadata.product_version`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。