Veridium ID ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して Veridium ID ログを Google Security Operations に取り込む方法について説明します。

Veridium ID は、認証イベント、アカウント管理、デバイス登録、管理アクションの syslog メッセージを生成する生体認証プラットフォームです。パーサーは、grok パターンと Key-Value 解析を使用して syslog メッセージからフィールドを抽出し、統合データモデル（UDM）にマッピングします。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Windows Server 2016 以降、または systemd を使用する Linux ホスト
• Bindplane エージェントと Veridium ID ホスト間のネットワーク接続
• プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
• Veridium ID への特権アクセス

Google SecOps の取り込み認証ファイルを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [収集エージェント] に移動します。
3. 取り込み認証ファイル をダウンロードします。

4. Bindplane をインストールするシステムにファイルを安全に保存します。

   注: この JSON ファイルには、Bindplane エージェントを Google SecOps に対して認証するための認証情報が含まれています。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。

3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

   注: Bindplane エージェント エクスポータを構成するには、顧客 ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. インストールが完了するまで待ちます。

4. 次のコマンドを実行して、インストールの内容を確認します。

   sc query observiq-otel-collector
   

   サービスは RUNNING と表示されます。

Linux のインストール

1. root 権限または sudo 権限でターミナルを開きます。

2. 次のコマンドを実行します。

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. インストールが完了するまで待ちます。

4. 次のコマンドを実行して、インストールの内容を確認します。

   sudo systemctl status observiq-otel-collector
   

   サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

構成ファイルを編集します。

• config.yaml の内容全体を次の構成に置き換えます。

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/veridium_id:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: VERIDIUM_ID
          raw_log_field: body
  
  service:
      pipelines:
          logs/veridium_id_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/veridium_id
  

構成パラメータ

各プレースホルダを次のように置き換えます。

• レシーバーの構成:

  • listen_address: リッスンする IP アドレスとポート:
    • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
    • ポート 514 は標準の syslog ポートです（Linux で root が必要です。root 以外のユーザーは 1514 を使用します）。
    • Veridium ID は TCP（rsyslog の @@）を使用するため、tcplog レシーバが必要です

• エクスポータの構成:

  • creds_file_path: 取り込み認証ファイルのフルパス:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Google SecOps コンソールからコピーしたお客様 ID
  • endpoint: リージョン エンドポイント URL:
    • 米国: malachiteingestion-pa.googleapis.com
    • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
    • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
    • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

• 編集後、ファイルを保存します。
  • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
  • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

• Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

  sudo systemctl restart observiq-otel-collector
  

  1. サービスが実行されていることを確認します。

     sudo systemctl status observiq-otel-collector
     

  2. ログでエラーを確認します。

     sudo journalctl -u observiq-otel-collector -f
     

• Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

  • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • サービス コンソール:

    1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
    2. observIQ OpenTelemetry Collector を見つけます。
    3. 右クリックして [再起動] を選択します。

    4. サービスが実行されていることを確認します。

       sc query observiq-otel-collector
       

    5. ログでエラーを確認します。

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Veridium ID の syslog を構成する

1. SSH または CLI を使用して Veridium ID ホストにログインします。

2. /etc/rsyslog.conf ファイルまたは /etc/rsyslog.d/events.conf ファイルを編集します。

   vi /etc/rsyslog.conf
   

3. 次の構成を追加します。<bindplane-ip> と <bindplane-port> は、実際の Bindplane エージェントの詳細に置き換えます。

   module(load="imfile" PollingInterval="10")
   
   input(type="imfile"
     File="/var/log/veridiumid/websecadmin/events.log"
     Tag="ver-adminevents"
     reopenOnTruncate="on")
   
   input(type="imfile"
     File="/var/log/veridiumid/tomcat/events.log"
     Tag="ver-events"
     reopenOnTruncate="on")
   
   if $programname == 'ver-events' then @@<bindplane-ip>:<bindplane-port>
   if $programname == 'ver-adminevents' then @@<bindplane-ip>:<bindplane-port>
   

   注: これは、各ウェブアプリで構成する必要があります。@@ 接頭辞は TCP 転送を示します。

4. ファイルを保存して終了します。

UDM マッピング テーブル

ログフィールド	UDM マッピング	論理
_caller.accountId	principal.user.userid	_caller.accountId フィールドから直接マッピングされます。
_caller.accountEmailAddressInfo	principal.user.email_addresses	_caller.accountEmailAddressInfo フィールドから直接マッピングされます。
_caller.accountExternalId	principal.user.email_addresses	_caller.accountExternalId フィールドから直接マッピングされます。
_caller.accountStatus	principal.user.attribute.labels[account_status].value	_caller.accountStatus フィールドから直接マッピングされます。
_caller.deviceId	principal.asset.asset_id	「VERIDIUM_ID:」の接頭辞が付いており、_caller.deviceId フィールドからマッピングされます。
_caller.deviceDescription	principal.asset.attribute.labels[device_description].value	_caller.deviceDescription フィールドから直接マッピングされます。
_caller.deviceManufacturer	principal.asset.attribute.labels[device_manufacturer].value	_caller.deviceManufacturer フィールドから直接マッピングされます。
_caller.deviceName	principal.asset.attribute.labels[device_name].value	_caller.deviceName フィールドから直接マッピングされます。
_caller.deviceOs	principal.asset.platform_software.platform	_caller.deviceOs フィールドからマッピングされます。値が「iOS」の場合、「IOS」にマッピングされます。値が「Android」の場合、「ANDROID」にマッピングされます。値が「WIN」または「Windows」の場合、「WINDOWS」にマッピングされます。
_caller.deviceStatus	principal.asset.attribute.labels[device_status].value	_caller.deviceStatus フィールドから直接マッピングされます。
_caller.deviceType	principal.asset.attribute.labels[device_type].value	_caller.deviceType フィールドから直接マッピングされます。
actionDate	additional.fields[action_date].value.string_value	actionDate フィールドから直接マッピングされます。
actionName	metadata.product_event_type	actionName フィールドから直接マッピングされます。
accountEmail	principal.user.email_addresses	accountEmail フィールドから直接マッピングされます。
accountExternalId	principal.user.email_addresses	accountExternalId フィールドから直接マッピングされます。
accountId	principal.user.userid	accountId フィールドから直接マッピングされます。
authenticatorDeviceContext.deviceMake	intermediary.asset.hardware.manufacturer	authenticatorDeviceContext.deviceMake フィールドから直接マッピングされます。
authenticatorDeviceContext.ip	intermediary.ip	authenticatorDeviceContext.ip フィールドから直接マッピングされます。
authenticatorDeviceContext.location.city	intermediary.asset.location.city	authenticatorDeviceContext.location.coordinates.latitude フィールドから直接マッピングされます。
authenticatorDeviceContext.location.coordinates.latitude	intermediary.asset.location.region_latitude	authenticatorDeviceContext.location.coordinates.latitude フィールドから直接マッピングされます。
authenticatorDeviceContext.location.coordinates.longitude	intermediary.asset.location.region_longitude	authenticatorDeviceContext.location.coordinates.longitude フィールドから直接マッピングされます。
authenticatorDeviceContext.location.countryName	intermediary.asset.location.country_or_region	authenticatorDeviceContext.location.countryName フィールドから直接マッピングされます。
authenticatorDeviceContext.location.ip	intermediary.ip	authenticatorDeviceContext.location.ip フィールドから直接マッピングされます。
authenticationDeviceDescription	intermediary.asset.attribute.labels[authentication_device_description].value	authenticationDeviceDescription フィールドから直接マッピングされます。
authenticationDeviceName	intermediary.asset.asset_id	「VERIDIUM_ID:」の接頭辞が付いており、authenticationDeviceName フィールドからマッピングされます。
authenticationDeviceOs	intermediary.asset.platform_software.platform	authenticationDeviceOs フィールドからマッピングされます。値が「iOS」の場合、「IOS」にマッピングされます。値が「Android」の場合、「ANDROID」にマッピングされます。値が「WIN」または「Windows」の場合、「WINDOWS」にマッピングされます。
authenticationDeviceOsVersion	intermediary.asset.platform_software.platform_version	authenticationDeviceOsVersion フィールドから直接マッピングされます。
authenticationDevicePhone	intermediary.asset.attribute.labels[authentication_device_phone].value	authenticationDevicePhone フィールドから直接マッピングされます。
authenticationDevicePhoneModel	intermediary.asset.attribute.labels[authentication_device_phone_model].value	authenticationDevicePhoneModel フィールドから直接マッピングされます。
authenticationDeviceRegistrationTime	intermediary.asset.attribute.labels[authentication_device_registeration_time].value	authenticationDeviceRegistrationTime フィールドから直接マッピングされます。
authenticationDeviceType	intermediary.asset.attribute.labels[authentication_device_type].value	authenticationDeviceType フィールドから直接マッピングされます。
authenticationResult	extensions.auth.auth_details	authenticationResult フィールドから直接マッピングされます。
context.deviceMake	principal.asset.hardware.manufacturer	context.deviceMake フィールドから直接マッピングされます。
context.ip	principal.ip	context.ip フィールドから直接マッピングされます。
context.location.countryName	principal.location.country_or_region	context.location.countryName フィールドから直接マッピングされます。
context.location.ip	principal.ip	context.location.ip フィールドから直接マッピングされます。
context.osVersion	principal.asset.platform_software.platform_version	context.osVersion フィールドから直接マッピングされます。
context.userAgentRaw	network.http.user_agent	context.userAgentRaw フィールドから直接マッピングされます。
exploiterDeviceContext.deviceMake	src.asset.hardware.manufacturer	exploiterDeviceContext.deviceMake フィールドから直接マッピングされます。
exploiterDeviceContext.ip	src.ip	exploiterDeviceContext.ip フィールドから直接マッピングされます。
exploiterDeviceContext.location.city	src.asset.location.city	exploiterDeviceContext.location.city フィールドから直接マッピングされます。
exploiterDeviceContext.location.coordinates.latitude	src.asset.location.region_latitude	exploiterDeviceContext.location.coordinates.latitude フィールドから直接マッピングされます。
exploiterDeviceContext.location.coordinates.longitude	src.asset.location.region_longitude	exploiterDeviceContext.location.coordinates.longitude フィールドから直接マッピングされます。
exploiterDeviceContext.location.countryName	src.asset.location.country_or_region	exploiterDeviceContext.location.countryName フィールドから直接マッピングされます。
exploiterDeviceContext.location.ip	src.ip	exploiterDeviceContext.location.ip フィールドから直接マッピングされます。
exploiterDeviceContext.osName	src.asset.platform_software.platform	exploiterDeviceContext.osName フィールドからマッピングされます。値が「WIN」または「Windows」の場合、「WINDOWS」にマッピングされます。値が「iOS」の場合、「IOS」にマッピングされます。値が「Android」の場合、「ANDROID」にマッピングされます。
exploiterDeviceContext.osVersion	src.asset.platform_software.platform_version	exploiterDeviceContext.osVersion フィールドから直接マッピングされます。
exploiterDeviceName	src.asset.attribute.labels[exploiter_device_name].value	exploiterDeviceName フィールドから直接マッピングされます。
hostname	principal.hostname	hostname フィールドから直接マッピングされます。
ipAddress	principal.ip	ipAddress フィールドから直接マッピングされます。
location	principal.location.city	location フィールドから直接マッピングされます。
location.city	about.location.city	location.city フィールドから直接マッピングされます。
location.coordinates.latitude	about.location.region_latitude	location.coordinates.latitude フィールドから直接マッピングされます。
location.coordinates.longitude	about.location.region_longitude	location.coordinates.longitude フィールドから直接マッピングされます。
location.countryName	about.location.country_or_region	location.countryName フィールドから直接マッピングされます。
location.ip	about.ip	location.ip フィールドから直接マッピングされます。
metadata.collected_timestamp	metadata.collected_timestamp	collected_time フィールドから直接マッピングされます。
metadata.event_timestamp	metadata.event_timestamp	event_time フィールドから直接マッピングされます。
metadata.event_type	metadata.event_type	「USER_UNCATEGORIZED」に設定されます。
metadata.product_event_type	metadata.product_event_type	actionName フィールドから直接マッピングされます。
metadata.product_name	metadata.product_name	「VERIDIUM_ID」に設定します。
namespace	principal.namespace	namespace フィールドから直接マッピングされます。
pid	principal.process.pid	pid フィールドから直接マッピングされます。
request.context.userAgentRaw	network.http.user_agent	request.context.userAgentRaw フィールドから直接マッピングされます。
request.sessionId	network.session_id	request.sessionId フィールドから直接マッピングされます。
requestMethod	network.http.method	requestMethod フィールドから直接マッピングされます。
requestURI	network.http.referral_url	requestURI フィールドから直接マッピングされます。
security_result.severity	security_result.severity	severity フィールドからマッピングされます。値が「INFO」の場合、「INFORMATIONAL」にマッピングされます。
	principal.application	application フィールドから直接マッピングされます。
	principal.asset.hostname	hostname フィールドから直接マッピングされます。

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。