Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Veeam ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Veeam ログを Google Security Operations に取り込む方法について説明します。

Veeam Backup &Replication は、バックアップジョブ、レプリケーションタスク、復元オペレーション、システムイベントの syslog メッセージを生成するデータ保護プラットフォームです。パーサーは、grok パターンを使用して syslog メッセージからフィールドを抽出し、統合データモデル（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows Server 2016 以降、または systemd を使用する Linux ホスト
Bindplane エージェントと Veeam Backup &Replication サーバー間のネットワーク接続
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認する
Veeam への特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

新しいデプロイ: Chronicle API を使用します（オプション 1）。
レガシーデプロイ: Ingestion API が 2027 年 7 月 20 日に廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービスアカウントを作成する（推奨）

Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
[IAM と管理]> [サービスアカウント] に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
- サービスアカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
[**続行**] をクリックして [**完了**] をクリックします。
作成したサービスアカウントをクリックし、[キー] タブに移動します。
「鍵を追加」>「新しい鍵を作成」の順にクリックします。
[JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
キーファイルを Bindplane コレクタディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に ingestion-auth.json として保存するか、保存先のパスに合わせて config.yaml の creds_file_path を更新します。
[IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポート構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

Google SecOps コンソールにログインします。
[SIEM 設定] > [収集エージェント] に移動します。
取り込み認証ファイル をダウンロードします。
Bindplane エージェントをインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

**注:** お客様 ID は、Bindplane エージェントエクスポーターを構成するために必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者としてコマンドプロンプト またはPowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
サービスは [RUNNING] と表示されます。

Linux へのインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sudo systemctl status observiq-otel-collector
```
サービスは [active (running)] と表示されます。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集する

config.yaml の内容全体を次の構成に置き換えます。

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/veeam:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: VEEAM
    raw_log_field: body

service:
  pipelines:
    logs/veeam_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/veeam

構成パラメータ

各プレースホルダを次のように置き換えます。

レシーバーの構成:
- listen_address: リッスンする IP アドレスとポート:
  - すべてのインターフェースでリッスンする場合は 0.0.0.0（推奨）
  - ポート 514 は標準の syslog ポートです（Linux では root が必要です。root 以外の場合は 1514 を使用してください）。
エクスポーターの構成:
- creds_file_path: サービスアカウント JSON キーファイルのフルパス（オプション 1）:
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: Google SecOps コンソールからコピーしたお客様 ID
- location: <LOCATION> を Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、この値で chronicle.googleapis.com に接頭辞を付けます。完全なリストについては、リージョンエンドポイントをご覧ください。
- project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
- endpoint: chronicle.googleapis.com に設定したままにします。

レガシー Ingestion API エクスポーター

オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョンエンドポイント（europe-malachiteingestion-pa.googleapis.com など）に置き換えます。
```
exporters:
  chronicle/veeam:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: VEEAM
    raw_log_field: body
```

構成ファイルを保存する

編集後、ファイルを保存します。
- Linux: Ctrl+O、Enter、Ctrl+X を押します。
- Windows: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart observiq-otel-collector
```
1. サービスが実行されていることを確認します。
```
sudo systemctl status observiq-otel-collector
```
2. ログでエラーを確認します。
```
sudo journalctl -u observiq-otel-collector -f
```
Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。
- 管理者としてコマンドプロンプトまたは PowerShell を開きます。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- サービスコンソール:
  1. Win+R を押して services.msc と入力し、Enter キーを押します。
  2. [observIQ OpenTelemetry Collector] を探します。
  3. 右クリックして [再起動] を選択します。
  4. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
  5. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Veeam の syslog を構成する

Veeam Backup &Replication コンソールにログインします。
[メニュー] > [オプション] > [SIEM インテグレーション] に移動します。
[Syslog サーバー] セクションで、[追加] をクリックします。
次の構成情報を指定します。
- 名前: Bindplane エージェントの IP アドレスとポート番号を入力します（例: 192.168.1.1:514）。
- トランスポート: Bindplane エージェントの構成に応じて、[UDP] または [TCP] を選択します。
[OK] をクリックして保存します。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`application`	`principal.application`	grok パターンで抽出された `application` フィールドから直接マッピングされます。
`CredentialId`	`principal.resource.attribute.labels.[]`	kv フィルタで抽出された `CredentialId` フィールドから直接マッピングされます。キー「CredentialId」のラベルが作成されます。
`date_2`、`time_2`、`year`	`metadata.event_timestamp`	`date_2`、`time_2`、`year` フィールドが連結され、`date` フィルタを使用して解析されて `metadata.event_timestamp` が作成されます。
`date_2`、`time_2`	`metadata.event_timestamp`	`date_2` フィールドと `time_2` フィールドが連結され、`date` フィルタを使用して解析されて `metadata.event_timestamp` が作成されます。
`deviceId`	`principal.resource.product_object_id`	kv フィルタで抽出された `deviceId` フィールドから直接マッピングされます。
`description`	`security_result.description`	grok パターンで抽出された `description` フィールドから直接マッピングされます。
`error_code`	`security_result.detection_fields.[]`	grok パターンで抽出された `error_code` フィールドから直接マッピングされます。キー「error_code」のラベルが作成されます。
`executing_feature`	`principal.hostname`、`principal.asset.hostname`	grok パターンで抽出された `executing_feature` フィールドから直接マッピングされます。
`host`	`principal.hostname`、`principal.asset.hostname`	grok パターンで抽出された `host` フィールドから直接マッピングされます。
`ManagementIP`	`principal.ip`、`principal.asset.ip`	kv フィルタで抽出された `ManagementIP` フィールドから直接マッピングされます。
`pid`	`principal.process.pid`	grok パターンで抽出された `pid` フィールドから直接マッピングされます。
`previousSeverity`	`security_result.severity_details`	grok パターンで抽出された `previousSeverity` フィールドから直接マッピングされます。
`prod_event_type`	`metadata.product_event_type`	grok パターンで抽出された `prod_event_type` フィールドから直接マッピングされます。
`query`	`security_result.detection_fields.[]`	grok パターンで抽出された `query` フィールドから直接マッピングされます。キー「query」のラベルが作成されます。
`reportingAddress`	`principal.ip`、`principal.asset.ip`	grok パターンで抽出された `reportingAddress` フィールドから直接マッピングされます。
`severity`	`security_result.severity`	`severity` フィールドからマッピングされます。値は、`severity` フィールドに基づく条件ロジックによって決定されます（ERROR、MAJOR/WARN、INFO は特定の UDM の重大度値にマッピングされます）。
`src_ip`	`principal.ip`、`principal.asset.ip`	grok パターンで抽出された `src_ip` フィールドから直接マッピングされます。
`summary`	`security_result.summary`	grok パターンで抽出された `summary` フィールドから直接マッピングされます。
`target_ip`	`target.ip`、`target.asset.ip`	grok パターンで抽出された `target_ip` フィールドから直接マッピングされます。
`thread_id`	`security_result.detection_fields.[]`	grok パターンで抽出された `thread_id` フィールドから直接マッピングされます。キー「thread_id」のラベルが作成されます。
（なし）	`event_type`	パーサーのロジックによって決定されます。`principal` と `target` の両方に MID データが存在する場合は、`NETWORK_UNCATEGORIZED` になります。`principal` にのみ MID データがある場合は、`STATUS_UPDATE` になります。それ以外の場合は、`GENERIC_EVENT` になります。
（なし）	`metadata.event_type`	内部で生成された `event_type` フィールドからコピーされます。
（なし）	`metadata.vendor_name`	「VEEAM」にハードコードされています。
（なし）	`metadata.product_name`	「Veeam」にハードコードされています。
（なし）	`event.timestamp`	イベントのタイムスタンプは、ログエントリの `collection_time` フィールドから取得されます。
`enterpriseId`	`additional.fields`	変更履歴からマッピング
`recipient_emailid`	`additional.fields`	変更履歴からマッピング
`description`	`metadata.description`	変更履歴からマッピング
`version`	`additional.fields`	変更履歴からマッピング
`categoryId`	`additional.fields`	変更履歴からマッピング
`instanceId`	`additional.fields`	変更履歴からマッピング
`VbrVersion`	`metadata.product_version`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。