Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

WinSCP ログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane エージェントを使用して WinSCP ログを Google Security Operations に取り込む方法について説明します。

WinSCP は、Windows 用のオープンソースの SFTP、SCP、FTP クライアントであり、ファイル転送、認証、セッションアクティビティのログを生成します。Bindplane エージェントは、ローカルファイルシステムから WinSCP セッションログファイルを直接収集します。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
observiq-otel-collector サービスをサポートする Windows Server 2016 以降
プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォールポートが開いていることを確認します。
ロギングが有効になっている WinSCP を実行している Windows マシン

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

新規デプロイ: Chronicle API を使用します（オプション 1）。
以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービスアカウントを作成する（推奨）

Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
[IAM と管理] > [サービスアカウント] に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
- サービスアカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
[続行] をクリックして [完了] をクリックします。
作成したサービスアカウントをクリックし、[キー] タブに移動します。
[鍵を追加] > [新しい鍵を作成] の順にクリックします。
[JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
鍵ファイルを ingestion-auth.json として Bindplane コレクタディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
[IAM と管理] > [設定] に移動し、プロジェクト番号をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

Google SecOps コンソールにログインします。
[設定] > [データ管理] > [収集エージェント] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [収集エージェント] に移動します。
取り込み認証ファイルをダウンロードします。
Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[Settings] > [Administration] > [Profile] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

注: Bindplane エージェントエクスポータを構成するには、お客様 ID が必要です。


Bindplane エージェントをインストールする

次の手順に沿って、Windows オペレーティングシステムに Bindplane エージェントをインストールします。

Windows へのインストール

管理者としてコマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

インストールが完了するまで待ちます。
次のコマンドを実行して、インストールの内容を確認します。
```
sc query observiq-otel-collector
```
サービスが RUNNING と表示されます。

その他のインストールリソース

その他のインストールオプションとトラブルシューティングについては、Bindplane エージェントのインストールガイドをご覧ください。

ログを取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

config.yaml の内容全体を次の構成に置き換えます。

receivers:
  filelog:
    include:
      - C:\Logs\WinSCP\*.log
    start_at: beginning

exporters:
  chronicle/winscp:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: WINSCP
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/winscp_to_chronicle:
      receivers:
        - filelog
      exporters:
        - chronicle/winscp

構成パラメータ

各プレースホルダを次のように置き換えます。

レシーバーの構成:
- filelog: ディスクからログファイルを収集するためのレシーバータイプ
- include: 監視するファイルパスのリスト。WinSCP がセッションログを書き込む場所（C:\Logs\WinSCP\*.log など）に設定します。
- start_at: 既存のログを読み取る場合は beginning に設定し、新しいエントリのみを読み取る場合は end に設定します。
エクスポータの構成:
- winscp: エクスポータのわかりやすい名前
- creds_file_path: サービスアカウントの JSON キーファイルのフルパス（オプション 1）:
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- <customer_id>: 前のステップのお客様 ID
- location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の前にこの値を付加します。完全なリストについては、リージョンエンドポイントをご覧ください。
- project: <PROJECT_NUMBER> を、[IAM と管理] > [設定] のプロジェクト番号に置き換えます。
- endpoint: chronicle.googleapis.com に設定したままにします。
- WINSCP: Chronicle に表示されるログタイプ
- ingestion_labels: YAML 形式のオプションのラベル（例: env: production）
パイプライン構成:
- winscp_to_chronicle: パイプラインのわかりやすい名前

以前の Ingestion API エクスポータ

オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョンエンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。
```
exporters:
  chronicle/winscp:
    compression: gzip
    creds_file_path: 'C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: WINSCP
    raw_log_field: body
    ingestion_labels:
      env: production
```

構成ファイルを保存する

編集が完了したら、ファイルを保存します。
- Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

管理者としてコマンドプロンプトまたは PowerShell を実行します。
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
サービスコンソール:
1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
2. observIQ OpenTelemetry Collector を見つけます。
3. 右クリックして [再起動] を選択します。
4. サービスが実行されていることを確認します。
```
sc query observiq-otel-collector
```
5. ログでエラーを確認します。
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

WinSCP ログのエクスポートを構成する

WinSCP は、ユーザーが構成した場所にセッションログを書き込みます。WinSCP でロギングを有効にし、Bindplane エージェントがログディレクトリを参照するように設定する必要があります。

Windows マシンで WinSCP を開きます。
[Options] > [Preferences] > [Logging] に移動します。
セッションロギングを有効にします。
- [Enable session logging on level] をオンにします。
- [Normal] または [Debug 1] のロギングレベルを選択します。
- [ログファイル名] を一元化されたパス（例: C:\Logs\WinSCP\winscp.log）に設定します。
[OK] をクリックして設定を保存します。
ログディレクトリが存在しない場合は作成します。
```
mkdir C:\Logs\WinSCP
```
ファイル転送セッションの実行後に、WinSCP が構成されたディレクトリにログファイルを書き込むことを確認します。
config.yaml の Bindplane エージェントの include パスがログディレクトリと一致していることを確認します。

注: WinSCP は、デフォルトで XML セッションログファイル（.log 拡張子）を生成します。複数のユーザーからログを収集する場合は、Bindplane エージェント構成で C:\Users\*\AppData\Roaming\WinSCP\*.log などのワイルドカードパスを使用できます。Bindplane エージェントのサービスアカウントには、ログディレクトリに対する読み取りアクセス権が必要です。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
directory,console,consoleinstance,public_key,script,hostkey,total_size	additional.fields	イベントの追加のカスタムフィールド
説明	metadata.description	イベントの説明
timestamp	metadata.event_timestamp	イベントが発生したときのタイムスタンプ
	metadata.event_type	イベントのタイプ
src_ip	principal.asset.ip	プリンシパルに関連付けられているアセットの IP アドレス
local_file	principal.file.full_path	プリンシパルに関連付けられているファイルのフルパス
src_ip	principal.ip	プリンシパルの IP アドレス
command_line	principal.process.command_line	プロセスの起動に使用されたコマンドライン
ユーザー名	principal.user.userid	プリンシパルのユーザー ID
transfer_speed,result	security_result.detection_fields	セキュリティ結果の検出に関連するフィールド
file,target_file	target.file.full_path	ターゲットファイルのフルパス
file_type	target.file.mime_type	ターゲットファイルの MIME タイプ
file_size	target.file.size	ターゲットファイルのサイズ（バイト単位）
	metadata.product_name	イベントを生成したサービスの名前
	metadata.vendor_name	プロダクトのベンダーの名前

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。