vsftpd のログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して vsftpd ログを Google Security Operations に取り込む方法について説明します。

vsftpd（Very Secure FTP Daemon）は、FTP 接続、ファイル転送、認証イベント、セッション アクティビティの Syslog メッセージを生成する FTP サーバーです。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を搭載した Linux ホスト
  • Bindplane エージェントと vsftpd サーバー間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認する
  • vsftpd サーバーへの root または sudo アクセス権

Google SecOps の取り込み認証ファイルを取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. Ingestion Authentication File をダウンロードします。

  4. Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows にインストールする

  1. 管理者としてコマンド プロンプト または PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux にインストールする

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集する

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/vsftpd:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: VSFTPD
        raw_log_field: body

service:
    pipelines:
        logs/vsftpd_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/vsftpd

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート:
      • すべてのインターフェースでリッスンする場合は 0.0.0.0（推奨）
      • ポート 514 は標準の Syslog ポートです（Linux では root が必要です。root 以外の場合は 1514 を使用します）。

  • エクスポータの構成:

    • creds_file_path: 取り込み認証ファイルのフルパス:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps コンソールからコピーしたお客様 ID
    • endpoint: リージョン エンドポイント URL:
      • 米国: malachiteingestion-pa.googleapis.com
      • ヨーロッパ: europe-malachiteingestion-pa.googleapis.com
      • アジア: asia-southeast1-malachiteingestion-pa.googleapis.com
      • 完全なリストについては、リージョン エンドポイントをご覧ください。

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X を押します。
    • Windows: [File > Save] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログにエラーがないか確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押して services.msc と入力し、Enter キーを押します。
      2. [observIQ OpenTelemetry Collector] を探します。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログにエラーがないか確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

vsftpd の Syslog 転送を構成する

  1. vsftpd 構成ファイルを編集します。

    sudo nano /etc/vsftpd.conf

  2. 次のパラメータを設定します。

    syslog_enable=YES
log_ftp_protocol=YES

  3. vsftpd ログを転送するように rsyslog を構成します。/etc/rsyslog.conf を編集するか、新しいファイル /etc/rsyslog.d/vsftpd.conf を作成します。

    sudo nano /etc/rsyslog.d/vsftpd.conf

  4. 次の転送ルールを追加します（<bindplane-ip> は Bindplane エージェントの IP アドレスに置き換えます）。

    if $programname == 'vsftpd' then @<bindplane-ip>:514

  5. vsftpd と rsyslog を再起動して変更を適用します。

    sudo systemctl restart vsftpd
sudo systemctl restart rsyslog

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
certificate security_result.detection_fields.key: "cert"
security_result.detection_fields.value: certificate の値		 certificate フィールドの値は、キー「cert」を持つ security_result.detection_fields オブジェクトにマッピングされます。
cipher network.tls.cipher cipher フィールドの値は直接マッピングされます。
client_ip principal.ip client_ip フィールドの値は直接マッピングされます。
date metadata.event_timestamp metadata.event_timestamp を構成するために、month、year、time とともに使用されます。形式は、未加工ログの timestamp フィールドから派生し、解析されてタイムスタンプ オブジェクトに変換されます。
day metadata.event_timestamp metadata.event_timestamp を構成するために、month、year、time とともに使用されます。
desc metadata.description desc フィールドの値（type フィールドから抽出）は直接マッピングされます。これは、「MKDIR」、「RMDIR」、「DELETE」オペレーションに適用されます。
description network.ftp.command
security_result.description
target.file.full_path		 type が「FTP command」の場合、値は network.ftp.command にマッピングされます。type が「DEBUG」で、特定の SSL パターンと一致しない場合は、security_result.description にマッピングされます。type が「OK」で始まり、「OK LOGIN」ではなく、ログがファイル オペレーション（MKDIR、RMDIR、DELETE）を表している場合は、target.file.full_path にマッピングされます。
file_name target.file.full_path file_name フィールドの値は直接マッピングされます。
file_size network.received_bytes
network.sent_bytes		 type が「OK DOWNLOAD」または「FAIL DOWNLOAD」の場合、値は符号なし整数に変換され、network.received_bytes にマッピングされます。type が "OK UPLOAD" または "FAIL UPLOAD" の場合、値は符号なし整数に変換され、network.sent_bytes にマッピングされます。type が「OK LOGIN」の場合は、「USER_LOGIN」に設定します。type がファイル オペレーション（「OK UPLOAD」、「OK DOWNLOAD」、「FAIL DOWNLOAD」、「OK MKDIR」、「OK RMDIR」、「OK DELETE」、「FAIL UPLOAD」）に関連する場合は、「FILE_UNCATEGORIZED」に設定します。他のすべての type 値に対して「STATUS_UPDATE」に設定します。常に「VSFTPD」に設定されます。常に「VSFTPD」に設定されます。常に「VSFTPD」に設定されます。
month metadata.event_timestamp metadata.event_timestamp を構成するために、day、year、time とともに使用されます。
pid principal.process.pid pid フィールドの値は直接マッピングされます。
response_code network.http.response_code response_code フィールドの値は整数に変換されてマッピングされます。
reused_status security_result.detection_fields.key: "reused status"
security_result.detection_fields.value: reused_status の値		 reused_status フィールドの値は、キー「reused status」を持つ security_result.detection_fields オブジェクトにマッピングされます。
speed additional.fields.key: "download_speed" または "upload_speed"
additional.fields.value.string_value: speed の値		 type が「OK DOWNLOAD」または「FAIL DOWNLOAD」の場合、値はキー「download_speed」を持つ additional.fields にマッピングされます。type が「OK UPLOAD」または「FAIL UPLOAD」の場合、値はキー「upload_speed」を持つ additional.fields にマッピングされます。
ssl_shutdown_state security_result.detection_fields.key: "SSL Shutdown State"
security_result.detection_fields.value: ssl_shutdown_state の値		 ssl_shutdown_state フィールドの値は、キー「SSL Shutdown State」を持つ security_result.detection_fields オブジェクトにマッピングされます。
ssl_version network.tls.version ssl_version フィールドの値は直接マッピングされます。
time metadata.event_timestamp metadata.event_timestamp を構成するために、day、month、year とともに使用されます。
type metadata.description
security_result.action_details		 type フィールドの値は、「OK LOGIN」の場合を除き、metadata.description にマッピングされます。 許可またはブロック アクションを示す場合（「OK」または「FAIL」で始まる場合）は、security_result.action_details にもマッピングされます。
userid principal.user.userid
target.user.userid		 type が「OK LOGIN」の場合、値は target.user.userid にマッピングされます。それ以外の場合は、principal.user.userid にマッピングされます。
year metadata.event_timestamp metadata.event_timestamp を構成するために、day、month、time とともに使用されます。type が「OK LOGIN」の場合は「NETWORK」に設定します。type が「OK LOGIN」の場合は「MACHINE」に設定します。type が「OK」で始まる場合は「ALLOW」に設定します。type が「FAIL」で始まる場合は「BLOCK」に設定します。

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。