VMware Workspace ONE UEM ログを収集する

以下でサポートされています。

Google SecOpsSIEM

注: この機能には、Google Security Operations Service 固有の規約のpre-GA サービス規約が適用されます。pre-GA の機能についてはサポートが制限されます。また、pre-GA の機能の変更は pre-GA の他のバージョンと互換性がない可能性があります。 詳細については、Google Security Operations 技術サポート サービス ガイドラインと Google Security Operations サービス固有の規約をご覧ください。

このパーサーは、VMware Workspace ONE UEM（旧称 VMware AirWatch）から Syslog、CEF、または Key-Value ペアの形式でログを抽出します。ユーザー名、タイムスタンプ、イベントの詳細などのフィールドを正規化し、UDM にマッピングします。パーサーは、さまざまな Workspace ONE UEM イベントタイプを処理し、特定のイベントデータとさまざまなログ形式のロジックに基づいてプリンシパル、ターゲット、その他の UDM フィールドにデータを入力します。

始める前に

• Google Security Operations インスタンスがあることを確認します。
• VMware Workspace ONE コンソールに特権アクセス権があることを確認します。
• systemd を搭載した Windows または Linux ホストがあることを確認します。
• プロキシの背後で実行している場合は、ファイアウォールのポートが開いていることを確認します。

Google SecOps 取り込み認証ファイルを取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [収集エージェント] に移動します。
3. 取り込み認証ファイルをダウンロードします。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。
3. [組織の詳細] セクションからお客様 ID をコピーして保存します。

BindPlane Agent をインストールする

1. Windows へのインストールの場合は、次のスクリプトを実行します。
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. Linux へのインストールの場合は、次のスクリプトを実行します。
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. その他のインストール オプションについては、こちらのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように BindPlane エージェントを構成する

1. BindPlane がインストールされているマシンにアクセスします。

2. config.yaml ファイルを次のように編集します。

   receivers:
     tcplog:
       # Replace the below port <54525> and IP (0.0.0.0) with your specific values
       listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: 
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - tcplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. 次のコマンドを使用して BindPlane エージェントを再起動して、変更を適用します。sudo systemctl bindplane restart

VMware Workspace ONE UEM で Syslog を構成する

1. Workspace ONE UEM コンソールにログインします。
2. [設定] > [システム] > [詳細設定] > [Syslog] に移動します。
3. [Syslog を有効にする] オプションをオンにします。
4. 次の入力パラメータの値を指定します。
   • IP Address/Hostname: BindPlane Agent のアドレスを入力します。
   • ポート: 指定したポートを入力します（デフォルト: 514）。
   • プロトコル: BindPlane エージェントの構成に応じて、UDP または TCP を選択します。
   • ログの種類を選択: Google SecOps に送信するログを選択します。デバイス管理ログ、コンソール アクティビティ ログ、コンプライアンス ログ、イベントログ
   • ログレベルを設定します（例: 情報、警告、エラー）。
5. [保存] をクリックして設定を適用します。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
AdminAccount	principal.user.userid	元のログの AdminAccount は principal.user.userid フィールドにマッピングされます。
Application	target.application	元のログの Application フィールドは target.application フィールドにマッピングされます。
ApplicationUUID	additional.fields	元のログの ApplicationUUID フィールドは、UDM の additional.fields 配列に Key-Value ペアとして追加されます。キーは「ApplicationUUID」です。
BytesReceived	network.received_bytes	元のログの BytesReceived フィールドは network.received_bytes フィールドにマッピングされます。
Device	target.hostname	元のログの Device フィールドは target.hostname フィールドにマッピングされます。
FriendlyName	target.hostname	Device が使用できない場合、元のログの FriendlyName フィールドは target.hostname フィールドにマッピングされます。
GroupManagementData	security_result.description	元のログの GroupManagementData フィールドは security_result.description フィールドにマッピングされます。
Hmac	additional.fields	元のログの Hmac フィールドは、UDM の additional.fields 配列に Key-Value ペアとして追加されます。キーは「Hmac」です。
LoginSessionID	network.session_id	元のログの LoginSessionID フィールドは network.session_id フィールドにマッピングされます。
LogDescription	metadata.description	元のログの LogDescription フィールドは metadata.description フィールドにマッピングされます。
MessageText	metadata.description	元のログの MessageText フィールドは metadata.description フィールドにマッピングされます。
OriginatingOrganizationGroup	principal.user.group_identifiers	元のログの OriginatingOrganizationGroup フィールドは principal.user.group_identifiers フィールドにマッピングされます。
OwnershipType	additional.fields	元のログの OwnershipType フィールドは、UDM の additional.fields 配列に Key-Value ペアとして追加されます。キーは「OwnershipType」です。
Profile	target.resource.name	ProfileName が使用できない場合、元のログの Profile フィールドは target.resource.name フィールドにマッピングされます。
ProfileName	target.resource.name	元のログの ProfileName フィールドは target.resource.name フィールドにマッピングされます。
Request Url	target.url	元のログの Request Url フィールドは target.url フィールドにマッピングされます。
SmartGroupName	target.group.group_display_name	元のログの SmartGroupName フィールドは target.group.group_display_name フィールドにマッピングされます。
Tags	additional.fields	元のログの Tags フィールドは、UDM の additional.fields 配列に Key-Value ペアとして追加されます。キーは「Tags」です。
User	target.user.userid	元のログの User フィールドは target.user.userid フィールドにマッピングされます。元のログの Event Category は、UDM の additional.fields 配列に Key-Value ペアとして追加されます。キーは「イベント カテゴリ」です。元のログの Event Module は、UDM の additional.fields 配列に Key-Value ペアとして追加されます。キーは「Event Module」です。元のログの Event Source は、UDM の additional.fields 配列に Key-Value ペアとして追加されます。キーは「イベントソース」です。特定のイベントでは、パーサーによって「SSO」に設定されます。元のログのタイムスタンプから派生した値。パーサーは、未加工ログから日時を抽出し、UDM タイムスタンプに変換します。event_name フィールドと他のフィールドに基づいてパーサーによって決定されます。マッピング ロジックについては、パーサーコードをご覧ください。パーサーによって「AIRWATCH」に設定されます。元のログの event_name は metadata.product_event_type フィールドにマッピングされます。パーサーによって「AirWatch」に設定されます。パーサーによって「VMWare」に設定されます。元のログの domain は principal.administrative_domain フィールドにマッピングされます。hostname は、元のログの device_name フィールドから抽出されるか、Device フィールドまたは FriendlyName フィールドからマッピングされます。元のログの sys_ip は principal.ip フィールドにマッピングされます。特定のイベントタイプについて、元のログから抽出されます。特定のイベントタイプについて、元のログから抽出されます。元のログの user_name は principal.user.userid フィールドにマッピングされます。特定のイベントタイプについて、元のログから抽出されます。特定のイベントに対してパーサーによって設定されます。特定のイベントに対してパーサーによって設定されます。元のログの event_category は security_result.category_details フィールドにマッピングされます。特定のイベントタイプについて、元のログから抽出されます。特定のイベントタイプについて、元のログから抽出されます。元のログの domain は target.administrative_domain フィールドにマッピングされます。「DeleteDeviceRequested」イベントの元のログから DeviceSerialNumber と DeviceUdid を組み合わせて作成されます。特定のイベントタイプについて、元のログから抽出されます。特定のイベントタイプについて、元のログから抽出されます。元のログの sys_ip または他の IP アドレスは、target.ip フィールドにマッピングされます。特定のイベントタイプについて、元のログから抽出されます。特定のイベントタイプについて、元のログから抽出されます。特定のイベントに対してパーサーによって設定されます。特定のイベントタイプについて、元のログから抽出されます。特定のイベントタイプについて、元のログから抽出されます。特定のイベントタイプについて、元のログから抽出されます。

変更点

2024-11-15

• 機能強化:
• 新しいタイプのログ用の Grok パターンを追加しました。

2024-10-17

• 機能強化:
• 新しいタイプのログのサポートを追加しました。

2024-10-07

• 機能強化:
• 新しいタイプのログのサポートを追加しました。

2024-09-23

• 機能強化:
• 解析されていないログの解析のサポートを追加しました。

2024-06-25

• 機能強化:
• 「username」を「principal.user.user_display_name」にマッピングするように Grok パターンを修正しました。
• 「device_type」を「additional.fields」にマッピングしました。
• 新しいタイプのログ用の Grok パターンを追加しました。

2023-09-05

• バグの修正:
• ドロップされたログを解析するための Grok パターンを追加しました。

2023-05-05

• バグの修正:
• ドロップされたログを解析するように Grok パターンを変更しました。

2023-04-26

• バグの修正:
• さまざまなタイプの syslog 形式のログのサポートを追加しました。

2022-12-27

• バグの修正:
• さまざまなタイプの Syslog 形式のログのサポートを追加しました。
• 複数の「event_name」を処理するための特定の条件チェックを追加しました。

2022-09-02

• 機能強化:
• 解析されていない ccf 形式のログを解析する Grok を作成しました。

2022-06-29

• 機能強化:
• event_name が「MergeGroupCompletedEvent」のログを解析しました
• 「GroupManagementData」を「security_result.description」にマッピングしました。
• 「EventSource」、「EventModule」を「event.idm.read_only_udm.additional.fields」にマッピングしました。
• 「cat」を「security_result.category_details」にマッピングしました。
• 「principal.user.userid」または「target.user.userid」のいずれかが存在する場合に、「event.idm.read_only_udm.metadata.event_type」を「GENERIC_EVENT」から「USER_UNCATEGORIZED」に変更しました。

2022-06-20

• 機能強化:
• イベント カテゴリが _udm.additional.fields(event_category) にマッピングされている
• 解析不能なログを処理するための、SecurityInformation、SecurityInformationConfirmed（event_name）のイベントタイプ GENERIC_EVENT を追加しました