このページは Cloud Translation API によって翻訳されました。

ForgeRock OpenAM のログを収集する

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane を使用して ForgeRock OpenAM ログを Google Security Operations に取り込む方法について説明します。パーサーは、CSV、Syslog + KV、JSON 形式のログからフィールドを抽出し、正規化して、統合データモデル（UDM）にマッピングします。ログイン/ログアウト、アクセス結果、一般的なログなど、さまざまな OpenAM イベントタイプを処理し、ユーザー、グループ、ネットワーク情報でデータを拡充します。また、さまざまなログ形式とイベントタイプに対して特定の変換も実行します。パーサーは JSON 解析を優先し、Syslog+KV、CSV の順にフォールバックします。サポートされていない形式のログは破棄されます。

始める前に

次の前提条件を満たしていることを確認してください。

Google SecOps インスタンス
Windows 2016 以降、または systemd を使用する Linux ホスト
プロキシの背後で実行されている場合、ファイアウォールポートが開いている
Forgerock OpenAM への特権アクセス（amAdmin など）

Google SecOps の取り込み認証ファイルを取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [コレクションエージェント] に移動します。
Ingestion Authentication File をダウンロードします。Bindplane をインストールするシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

Google SecOps コンソールにログインします。
[SIEM 設定] > [プロファイル] に移動します。
[組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティングシステムに Bindplane エージェントをインストールします。

Windows のインストール

管理者として コマンドプロンプトまたは PowerShell を開きます。

次のコマンドを実行します。

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux のインストール

root 権限または sudo 権限でターミナルを開きます。

次のコマンドを実行します。

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

その他のインストールリソース

その他のインストールオプションについては、インストールガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルにアクセスします。
- config.yaml ファイルを見つけます。通常、Linux では /etc/bindplane-agent/ ディレクトリに、Windows ではインストールディレクトリにあります。
- テキストエディタ（nano、vi、メモ帳など）を使用してファイルを開きます。

config.yaml ファイルを次のように編集します。

receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds_file_path: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'OPENAM'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

自社のインフラストラクチャでの必要性に応じて、ポートと IP アドレスを置き換えます。
<customer_id> は、実際の顧客 ID に置き換えます。
/path/to/ingestion-authentication-file.json の値を、Google SecOps の取り込み認証ファイルを取得するで認証ファイルを保存したパスに更新します。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。
```
sudo systemctl restart bindplane-agent
```
Windows で Bindplane エージェントを再起動するには、サービス コンソールを使用するか、次のコマンドを入力します。
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Forgerock OpenAM で監査ロギングを構成する

AM コンソールにログインします。
[構成] > [グローバルサービス] > [監査ロギング] に移動します。
監査ロギングを有効にして、監査ロギング機能を開始します。
[フィールド許可リストフィルタ] リストと [フィールドブロックリストフィルタ] リストに、監査イベントログに含める（許可リスト）または除外する（ブロックリスト）値を入力します。
[保存] をクリックします。

Forgerock OpenAM の Syslog ハンドラを構成する

管理者（例: amAdmin）として AM コンソールにログインします。
グローバル構成でイベントハンドラを作成するには、[構成> グローバルサービス> 監査ロギング] に移動します。
レルムでイベントハンドラを作成するには、[レルム> レルム名 > サービス > 監査ロギング] に移動します。
[Add a Secondary Configuration > Syslog] をクリックします。
次の構成の詳細を指定します。
- 名前: イベントハンドラの名前を入力します（例: Google SecOps Syslog Event Handler）。
- サーバーのホスト名: Bindplane エージェントの IP アドレスを入力します。
- サーバーポート: Bindplane エージェントのポート番号を入力します（UDP の場合は 514 など）。
- Transport Protocol: [UDP] を選択します。
- 接続タイムアウト: 接続する秒数を入力します（例: 120）。
- 省略可: [バッファリング] オプションを有効にします。
[作成] をクリックします。
syslog 監査イベントハンドラを作成すると、いくつかの構成タブが表示されます。
[General Handler Configuration] タブで、[Enabled] を選択して、イベントハンドラを有効にします（無効になっている場合）。
監査ログのトピックを選択します。
- アクセス
- アクティビティ
- 認証
- 構成
[保存] をクリックします。
[Syslog Configuration] タブで、次の構成の詳細を指定します。
- サーバーのホスト名: Bindplane エージェントの IP アドレスを入力します。
- サーバーポート: Bindplane エージェントのポート番号を入力します。
- 接続タイムアウト: 接続する秒数を入力します（例: 120）。
- [Transport Protocol]: [UDP] を選択します。
- Facility: [Local0] を選択します。
- すべてのトピックで重大度が INFORMATIONAL に設定されます。
[保存] をクリックします。
[バッファリング] タブで [バッファリングを有効にする] を選択して有効にします。

注: バッファリングが有効になっている場合、生成されたすべての監査イベントは syslog メッセージとしてフォーマットされ、キューに配置されます。専用のスレッドが、キューからイベントをバッチで継続的に pull し、syslog サーバーに送信します。キューが空になると、新しいアイテムが追加されるまで専用スレッドはスリープ状態になります。デフォルトのキューサイズは 5,000 です。
[保存] をクリックします。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`client.ip`	`principal.ip`	リクエストを行っているクライアントの IP アドレス。
`client.ip`	`principal.asset.ip`	リクエストを行っているクライアントアセットの IP アドレス。
`client.port`	`principal.port`	リクエストを行うクライアントが使用するポート。
`entries[0].info.authLevel`	`principal.resource.resource_subtype`	イベントに関連付けられている認証レベル。「authLevel:」の接頭辞が付いています。
`entries[0].info.displayName`	`security_result.description`	認証ツリー内のノードのわかりやすい名前。
`entries[0].info.ipAddress`	`principal.asset.ip`	イベントのプリンシパルに関連付けられた IP アドレス。
`entries[0].info.ipAddress`	`principal.ip`	イベントのプリンシパルに関連付けられた IP アドレス。
`entries[0].info.nodeId`	`principal.resource.id`	認証ツリー内のノードの一意の識別子。「nodeId:」の接頭辞が付いています。
`entries[0].info.nodeOutcome`	`principal.resource.attribute.labels.value`	認証ツリー内のノードの結果。
`entries[0].info.nodeType`	`principal.resource.type`	認証ツリー内のノードのタイプ。「nodeType:」の接頭辞が付いています。
`entries[0].info.treeName`	`principal.resource.name`	認証ツリーの名前。「treeName:」の接頭辞が付いています。
`eventName`	`metadata.product_event_type`	OpenAM ログの未加工のイベント名。
`http.request.headers.host[0]`	`target.asset.hostname`	`host` ヘッダーから抽出されたターゲットサーバーのホスト名。
`http.request.headers.host[0]`	`target.hostname`	`host` ヘッダーから抽出されたターゲットサーバーのホスト名。
`http.request.headers.user-agent[0]`	`network.http.user_agent`	HTTP リクエストのユーザーエージェント。
`http.request.method`	`network.http.method`	リクエストで使用される HTTP メソッド。
`http.request.path`	`target.url`	HTTP リクエスト URL のパス。
`info.failureReason`	`security_result.summary`	認証エラーの理由。「SSO」にハードコードされます。`eventName` などのフィールドに基づくロジックによって決定されます。`GENERIC_EVENT`、`USER_LOGIN`、`USER_LOGOUT`、`NETWORK_HTTP`、または `STATUS_UPDATE` のいずれかです。「OPENAM」にハードコードされます。「OpenAM」にハードコードされています。「ForgeRock」にハードコードされています。
`principal`	`target.user.userid`	イベントに関与したユーザー ID。`userId`、`principal`、`runAs` フィールドのいずれかから抽出されます。
`result`	`security_result.action_details`	イベントの結果（例: "SUCCESSFUL", "FAILED"）。
`response.detail.reason`	`security_result.summary`	アクセス結果イベントの失敗の理由。
`response.status`	`security_result.action_details`	アクセス結果イベントのレスポンスのステータス。
`runAs`	`target.user.userid`	イベントに関与したユーザー ID。`userId`、`principal`、`runAs` フィールドのいずれかから抽出されます。
`security_result.action`	`security_result.action`	セキュリティイベントの結果として実行されたアクション（例: 「ALLOW」、「BLOCK」）。
`server.ip`	`target.asset.ip`	ターゲットサーバーの IP アドレス。
`server.ip`	`target.ip`	ターゲットサーバーの IP アドレス。
`server.port`	`target.port`	ターゲットサーバーのポート。
`timestamp`	`metadata.event_timestamp`	イベントのタイムスタンプ。
`trackingIds`	`metadata.product_log_id`	イベントに関連付けられたトラッキング ID。
`transactionId`	`metadata.product_deployment_id`	イベントに関連付けられたトランザクション ID。
`userId`	`target.user.userid`	イベントに関与したユーザー ID。`userId`、`principal`、`runAs` フィールドのいずれかから抽出されます。
`userId`	`target.user.group_identifiers`	ユーザーに関連付けられたグループ識別子。
`am_group`	`target.user.group_identifiers`	ユーザーに関連付けられたグループ識別子。
`am_user`	`target.user.email_addresses`	`am_user` フィールドにユーザーのメールアドレスが入力されている場合。
`loginID[0]`	`target.user.userid`	イベントで使用されたログイン ID。
`loginID[0]`	`target.user.email_addresses`	ログインに使用されたメールアドレス（`loginID` フィールドに存在する場合）。
`hostip`	`intermediary.hostname`	仲介デバイスのホスト名。
`hostip`	`intermediary.ip`	仲介デバイスの IP アドレス。
`src_ip`	`principal.asset.ip`	ソース IP アドレス。
`src_ip`	`principal.ip`	ソース IP アドレス。
`desc`	`metadata.description`	イベントの説明。
`payload`	`metadata.description`	イベントのペイロード。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。