Lacework Cloud Security のログを収集する

以下でサポートされています。

Google SecOpsSIEM

注: この機能には、Google Security Operations Service 固有の規約のpre-GA サービス規約が適用されます。pre-GA の機能についてはサポートが制限されます。また、pre-GA の機能の変更は pre-GA の他のバージョンと互換性がない可能性があります。 詳細については、Google Security Operations 技術サポート サービス ガイドラインと Google Security Operations サービス固有の規約をご覧ください。

概要

このパーサーは、Lacework Cloud Security JSON ログからフィールドを抽出し、UDM 形式に変換します。未加工のログフィールドを UDM フィールドにマッピングし、さまざまなデータ型を処理して、タグから追加のコンテキストでイベントを拡充し、最終的にプリンシパルとターゲットの情報の有無に基づいてイベントタイプを分類します。

始める前に

• Google SecOps インスタンスがあることを確認します。
• FortiCNAPP Lacework への特権アクセス権があることを確認します。

Lacework ログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [新しく追加] をクリックします。
3. [フィード名] フィールドに、フィードの名前を入力します（例: Lacework Logs）。
4. [ソースタイプ] として [Webhook] を選択します。
5. [Log type] で [Lacework] を選択します。
6. [次へ] をクリックします。
7. 省略可: 次の入力パラメータの値を指定します。
   • 分割区切り文字: ログ行を区切るために使用される区切り文字（\n など）。
   • アセットの名前空間: アセットの名前空間。
   • 取り込みラベル: このフィードのイベントに適用されるラベル。
8. [次へ] をクリックします。
9. [Finalize] 画面でフィードの設定を確認し、[送信] をクリックします。
10. [秘密鍵を生成する] をクリックして、このフィードを認証するためのシークレット キーを生成します。
11. シークレット キーをコピーして保存します。この秘密鍵を再び表示することはできません。必要に応じて、新しい秘密鍵を再生成できますが、この操作により以前の秘密鍵は無効になります。
12. [詳細] タブで、[エンドポイント情報] フィールドから、フィードのエンドポイント URL をコピーします。このエンドポイント URL は、クライアント アプリケーションで指定する必要があります。
13. [完了] をクリックします。

Webhook フィードの API キーを作成する

1. Google Cloud コンソール > [認証情報] に移動します。

   [認証情報] に移動

2. [認証情報を作成] をクリックして [API キー] を選択します。

3. API キーによる Chronicle API へのアクセスを制限します。

エンドポイント URL を指定する

1. クライアント アプリケーションで、Webhook フィードで指定された HTTPS エンドポイント URL を指定します。

2. 次の形式でカスタム ヘッダーの一部として API キーとシークレット キーを指定して、認証を有効にします。

   X-goog-api-key = API_KEY
   X-Webhook-Access-Key = SECRET
   

   推奨事項: API キーは URL ではなくヘッダーとして指定してください。

3. Webhook クライアントがカスタム ヘッダーをサポートしていない場合は、次の形式のクエリ パラメータを使用して API キーとシークレット キーを指定できます。

   ENDPOINT_URL?key=API_KEY&secret=SECRET
   

   次のように置き換えます。

   • ENDPOINT_URL: フィードのエンドポイント URL。
   • API_KEY: Google SecOps に対する認証に使用する API キー。
   • SECRET: フィードの認証用に生成したシークレット キー。

Google SecOps 用に Lacework Webhook を構成する

1. 管理者権限を使用して Lacework FortiCNAPP コンソールにログインします。
2. [設定] > [通知] > [アラート チャンネル] に移動します。
3. [+ 新規追加] をクリックします。
4. [Webhook] を選択します。
5. [次へ] をクリックします。
6. チャンネルに一意の名前を指定します（例: Google SecOps）。
7. Webhook URL: <ENDPOINT_URL> の後に <API_KEY> と <SECRET> を入力します。
8. [保存] をクリックします。
9. [アラートルール] を選択し、必要なアラート ルーティングの詳細を構成します。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
AGENT_VERSION	metadata.product_version	AGENT_VERSION フィールドから直接マッピングされます。
CREATED_TIME	metadata.event_timestamp	CREATED_TIME フィールドから直接マッピングされ、タイムスタンプに変換されます。
FILEDATA_HASH	target.file.sha256	FILEDATA_HASH フィールドから直接マッピングされます。
FILE_PATH	target.file.full_path	FILE_PATH フィールドから直接マッピングされます。
IP_ADDR	principal.ip	IP_ADDR フィールドから直接マッピングされます。
OS	target.platform	OS フィールドからマッピングされます。ロジックは、さまざまな OS 文字列（Linux、Windows、Mac）を UDM 列挙値（LINUX、WINDOWS、MAC）に変換します。一致するものが見つからない場合、デフォルトは UNKNOWN_PLATFORM です。
STATUS	additional.fields[].key:"STATUS", value.string_value	STATUS フィールドから追加フィールドとして直接マッピングされます。
TAGS.Account	metadata.product_deployment_id	TAGS.Account フィールドから直接マッピングされます。
TAGS.AmiId	additional.fields[].key:"AmiId", value.string_value	TAGS.AmiId フィールドから直接追加フィールドとしてマッピングされます。
TAGS.ExternalIp	target.ip	TAGS.ExternalIp フィールドから直接マッピングされます。
TAGS.Hostname	principal.hostname	TAGS.Hostname フィールドから直接マッピングされます。
TAGS.InstanceId	target.asset_id	TAGS.InstanceId フィールドから直接マッピングされ、「Device Instance Id:」という接頭辞が付いています。
TAGS.LwTokenShort	additional.fields[].key:"LwTokenShort", value.string_value	TAGS.LwTokenShort フィールドから直接追加フィールドとしてマッピングされます。
TAGS.MID	additional.fields[].key:"MID", value.string_value	MID フィールドから直接追加フィールドとしてマッピングされます。
TAGS.MODE	additional.fields[].key:"MODE", value.string_value	MODE フィールドから追加フィールドとして直接マッピングされます。
TAGS.Name	additional.fields[].key:"Name", value.string_value	TAGS.Name フィールドから追加フィールドとして直接マッピングされます。
TAGS.QSConfigName-vfzg0	additional.fields[].key:"QSConfigName", value.string_value	TAGS.QSConfigName-vfzg0 フィールドから追加フィールドとして直接マッピングされます。
TAGS.ResourceType	target.resource.resource_subtype	TAGS.ResourceType フィールドから直接マッピングされます。
TAGS.SubnetId	target.resource.attribute.labels[].key:"Subnet Id", value	TAGS.SubnetId フィールドから target.resource.attribute 内のラベルとして直接マッピングされます。
TAGS.VmInstanceType	target.resource.attribute.labels[].key:"VmInstanceType", value	TAGS.VmInstanceType フィールドから target.resource.attribute 内のラベルとして直接マッピングされます。
TAGS.VmProvider	target.resource.attribute.labels[].key:"VmProvider", value	TAGS.VmProvider フィールドから target.resource.attribute 内のラベルとして直接マッピングされます。
TAGS.VpcId	target.resource.product_object_id	TAGS.VpcId フィールドから直接マッピングされます。
TAGS.Zone	target.cloud.availability_zone	TAGS.Zone フィールドから直接マッピングされます。
TAGS.alpha.eksctl.io/nodegroup-name	additional.fields[].key:"eksctl_nodegroup_name", value.string_value	TAGS.alpha.eksctl.io/nodegroup-name フィールドから直接追加フィールドとしてマッピングされます。
TAGS.alpha.eksctl.io/nodegroup-type	additional.fields[].key:"eksctl_nodegroup_type", value.string_value	TAGS.alpha.eksctl.io/nodegroup-type フィールドから追加フィールドとして直接マッピングされます。
TAGS.arch	principal.platform_version	TAGS.arch フィールドから直接マッピングされます。
TAGS.aws:autoscaling:groupName	additional.fields[].key:"autoscaling_groupName", value.string_value	TAGS.aws:autoscaling:groupName フィールドから直接追加フィールドとしてマッピングされます。
TAGS.aws:ec2:fleet-id	additional.fields[].key:"ec2_fleetid", value.string_value	TAGS.aws:ec2:fleet-id フィールドから追加フィールドとして直接マッピングされます。
TAGS.aws:ec2launchtemplate:id	additional.fields[].key:"ec2launchtemplate_id", value.string_value	TAGS.aws:ec2launchtemplate:id フィールドから追加フィールドとして直接マッピングされます。
TAGS.aws:ec2launchtemplate:version	additional.fields[].key:"ec2launchtemplate_ver", value.string_value	TAGS.aws:ec2launchtemplate:version フィールドから直接追加フィールドとしてマッピングされます。
TAGS.aws:eks:cluster-name	additional.fields[].key:"eks_cluster_name", value.string_value	TAGS.aws:eks:cluster-name フィールドから追加フィールドとして直接マッピングされます。
TAGS.enableCrowdStrike	additional.fields[].key:"enableCrowdStrike", value.string_value	TAGS.enableCrowdStrike フィールドから追加フィールドとして直接マッピングされます。
TAGS.falconx.io/application	additional.fields[].key:"io/application", value.string_value	TAGS.falconx.io/application フィールドから追加フィールドとして直接マッピングされます。
TAGS.falconx.io/environment	additional.fields[].key:"io/environment", value.string_value	TAGS.falconx.io/environment フィールドから追加フィールドとして直接マッピングされます。
TAGS.falconx.io/managedBy	additional.fields[].key:"io/managedBy", value.string_value	TAGS.falconx.io/managedBy フィールドから直接追加フィールドとしてマッピングされます。
TAGS.falconx.io/project	additional.fields[].key:"io/project", value.string_value	TAGS.falconx.io/project フィールドから追加フィールドとして直接マッピングされます。
TAGS.falconx.io/proxy-type	additional.fields[].key:"io/proxy_type", value.string_value	TAGS.falconx.io/proxy-type フィールドから追加フィールドとして直接マッピングされます。
TAGS.falconx.io/service	additional.fields[].key:"io/service", value.string_value	TAGS.falconx.io/service フィールドから追加フィールドとして直接マッピングされます。
TAGS.falconx.io/team	additional.fields[].key:"io/team", value.string_value	TAGS.falconx.io/team フィールドから直接追加フィールドとしてマッピングされます。
TAGS.k8s.io/cluster-autoscaler/enabled	additional.fields[].key:"k8s_autoscaler_enabled", value.string_value	TAGS.k8s.io/cluster-autoscaler/enabled フィールドから直接追加フィールドとしてマッピングされます。
TAGS.k8s.io/cluster-autoscaler/falcon	additional.fields[].key:"k8s_cluster_autoscaler", value.string_value	TAGS.k8s.io/cluster-autoscaler/falcon フィールドから追加フィールドとして直接マッピングされます。
TAGS.kubernetes.io/cluster/falcon	additional.fields[].key:"kubernetes_io_cluster", value.string_value	TAGS.kubernetes.io/cluster/falcon フィールドから追加フィールドとして直接マッピングされます。
TAGS.lw_KubernetesCluster	additional.fields[].key:"lw_KubernetesCluster", value.string_value	TAGS.lw_KubernetesCluster フィールドから追加フィールドとして直接マッピングされます。
LAST_UPDATE	additional.fields[].key:"LAST_UPDATE", value.string_value	LAST_UPDATE フィールドから追加フィールドとして直接マッピングされます。「LACEWORK」にハードコードされました。「Lacework Cloud Security」にハードコードされています。
metadata.event_type	metadata.event_type	ロジックによって決定されます。principal.ip と target.ip の両方が存在する場合は「NETWORK_CONNECTION」、principal.ip のみが存在する場合は「STATUS_UPDATE」、それ以外の場合は「GENERIC_EVENT」に設定します。

変更点

2023-11-09

• 新しく作成されたパーサー。