Security Command Center のデータを IBM QRadar に送信する

このページでは、Security Command Center の検出結果、アセット、監査ログ、セキュリティソースを IBM QRadar に自動的に送信する方法について説明します。また、エクスポートされたデータの管理方法についても説明します。QRadar は、1 つ以上のソースからセキュリティデータを取り込み、セキュリティチームがインシデントへの対応を管理してリアルタイム分析を行えるセキュリティ情報イベント管理（SIEM）プラットフォームです。

このガイドでは、必要な Security Command Center と Google Cloud サービスが適切に構成されていることを確認し、QRadar が Security Command Center 環境の検出結果、監査ログ、アセットにアクセスできるようにします。

始める前に

このガイドでは、QRadar（v7.4.1 Fix Pack 2 以降）を使用していることを前提としています。QRadar を使用するには、QRadar に登録するをご覧ください。

認証と認可を構成する

QRadar に接続する前に、接続する Google Cloud 組織ごとに Identity and Access Management（IAM）サービスアカウントを作成し、Google SCC App for QRadar に必要な組織レベルとプロジェクトレベルの両方の IAM ロールをアカウントに付与する必要があります。

サービスアカウントの作成と IAM ロールの付与

次の手順では、Google Cloud コンソールを使用します。その他の方法については、このセクションの最後にあるリンクをご覧ください。

Security Command Center データをインポートする Google Cloud 組織ごとに、次の操作を行います。

Pub/Sub トピックを作成するプロジェクトと同じプロジェクトで、Google Cloud コンソールの [サービスアカウント] ページを使用してサービスアカウントを作成します。手順については、サービスアカウントの作成と管理をご覧ください。
サービスアカウントに次のロールを付与します。
- Pub/Sub 編集者（roles/pubsub.editor）
作成したサービスアカウントの名前をコピーします。
Google Cloud コンソールのプロジェクトセレクタを使用して、組織レベルに切り替えます。
組織の [IAM] ページを開きます。

[IAM] に移動
[IAM] ページで、[アクセスを許可] をクリックします。[アクセスを許可] パネルが開きます。
[アクセスを許可] パネルで、次の手順を完了します。
1. [プリンシパルの追加] セクションの [新しいプリンシパル] フィールドに、サービスアカウントの名前を貼り付けます。
2. [ロールの割り当てる] セクションの [ロール] フィールドで、サービスアカウントに次の IAM ロールを付与します。
  - セキュリティセンター管理編集者（roles/securitycenter.adminEditor）
  - セキュリティセンター通知構成編集者（roles/securitycenter.notificationConfigEditor）
  - 組織閲覧者（roles/resourcemanager.organizationViewer）
  - Cloud Asset 閲覧者（roles/cloudasset.viewer）
3. [保存] をクリックします。セキュリティアカウントは、[IAM] ページの [権限] タブにある [プリンシパル別に表示] に表示されます。
  
  また、継承により、サービスアカウントは組織のすべての子プロジェクトのプリンシパルにもなり、プロジェクトレベルで適用されるロールが、継承されたロールとしてリストされます。

サービスアカウントの作成とロールの付与の詳細については、次のトピックをご覧ください。

認証情報を QRadar に提供する

QRadar をホストする場所に応じて、IAM 認証情報を QRadar に指定する方法は異なります。

Google Cloud で QRadar のデプロイメントをホストしている場合、作成したサービスアカウントとそれに付与した組織レベルのロールは、親組織から継承することで自動的に使用できるようになります。複数の Google Cloud 組織を使用している場合は、このサービスアカウントを他の組織に追加し、サービスアカウントを作成して IAM のロールを付与するの手順 5～7 で説明されている IAM のロールを付与します。
オンプレミス環境または IBM Cloud で QRadar をホストしている場合は、Google Cloud 組織ごとにサービスアカウントキーを作成します。このガイドを完了するには、JSON 形式のサービスアカウントキーが必要です。

サービスアカウントキーを安全に保存するためのベストプラクティスについては、サービスアカウントキーの管理のベストプラクティスをご覧ください。
Microsoft Azure またはアマゾンウェブサービス（AWS）で QRadar をホストしている場合は、Workload Identity 連携を構成して、認証情報の構成ファイルをダウンロードします。複数の Google Cloud 組織を使用している場合は、このサービスアカウントを他の組織に追加し、サービスアカウントを作成して IAM のロールを付与するの手順 5～7 で説明されている IAM のロールを付与します。

通知を構成する

Security Command Center データをインポートする Google Cloud 組織ごとに、次の操作を行います。

次のように検出結果の通知を設定します。
1. Security Command Center API を有効にします。
2. 目的の検出結果とアセットをエクスポートするフィルタを作成します。
3. 3 つの Pub/Sub トピックを作成します。検出結果、監査ログ、アセットに 1 つずつ作成します。NotificationConfig では、検出用に作成した Pub/Sub トピックを使用する必要があります。
組織レベルのログを照合してサポートされている宛先に転送するの説明に従って、監査ログのシンクを作成します。シンクは、監査ログ用に作成した Pub/Sub トピックを使用する必要があります。次に例を示します。
```
gcloud logging sinks create SINK_NAME  /SINK_DESTINATION
  --include-children /
  --organization=ORGANIZTION_ID /
  --log-filter=FILTER
```
次のように置き換えます。
- SINK_NAME は、監査ログシンクの名前に置き換えます。
- SINK_DESTINATION は pubsub.googleapis.com/projects/PROJECT_ID/topic/TOPIC_ID に置き換えます。
- ORGANIZATION_ID は、組織の ID に置き換えます。
- FILTER は logName:activity、logName:data_access、logName:system_event、または logName:policy に置き換えます。
シンクのサービスアカウントに Pub/Sub パブリッシャー（roles/pubsub.publisher）ロールを付与します。
プロジェクトで Cloud Asset API を有効にします。
アセットにフィードを作成します。同じ Pub/Sub トピックに、リソース用と Identity and Access Management（IAM）ポリシー用の 2 つのフィードを作成する必要があります。
- アセットの Pub/Sub トピックは、検出結果に使用するものとは別にする必要があります。
- リソースのフィードに content-type=resource フィルタを使用します。
- IAM ポリシーフィードの場合は、content-type=iam-policy --asset-types="cloudresourcemanager.googleapis.com/Project" フィルタを使用します。

QRadar を構成するには、組織 ID と Pub/Sub サブスクリプション名が必要になります。

Google SCC App for QRadar（QRadar v7.4.1FP2+）をインストールする

このセクションでは、Google SCC App for QRadar（QRadar v7.4.1FP2+）v3.0.0 をインストールします。このアプリは Security Command Center によって管理されています。Security Command Center API 呼び出しのスケジュールプロセスを自動化し、QRadar で使用する Security Command Center のデータを定期的に取得します。

アプリをインストールするには、ウェブインターフェースから QRadar コンソールマシンにアクセスする必要があります。

インストールを完了する手順は次のとおりです。

IBM App Exchange から Google SCC App for QRadar をダウンロードします。
QRadar コンソール（https://QRadar_Console_IP）にログインします。
コンソールメニューで [Admin] をクリックし、[Extension Management] を選択します。
ダウンロード用の zip ファイルを選択するには、[Add] をクリックします。表示されるメッセージに従って、インストールを準備します。
[Start a default instance for each app] を選択します。
[Install] をクリックします。インストールが正常に完了すると、アプリケーションコンポーネントのリストが表示されます。
[Admin] タブをクリックし、[Deploy changes] をクリックします。
ブラウザのキャッシュを削除して、ブラウザウィンドウを更新します。
[Extension Management] に移動します。Google SCC App For QRadar のステータスが「Installed」と表示されます。

Google SCC アプリを構成する

このセクションでは、Google SCC アプリを構成します。手順は次のとおりです。

QRadar で [Admin] タブに移動します。
[Google SCC App Settings] をクリックします。
[Add Google SCC Organization] をクリックします。
必要に応じて、次の変数を入力します。
- Service Account JSON: サービスアカウントキーを含む JSON ファイル
  
  Google Cloud で QRadar デプロイをホストしている場合、このフィールドは使用できません。VM にリンクされているサービスアカウントに、各 Google Cloud 組織の IAM 権限が付与されていることを確認します。詳細については、QRadar に認証情報を提供するをご覧ください。
- Credential Configuration: Workload Identity 連携の設定時にダウンロードした認証情報の構成ファイル
- Organization ID: 組織の ID
- Findings Subscription Name: 検出結果の通知の Pub/Sub サブスクリプション名
- Assets Subscription Name: アセットフィードの Pub/Sub サブスクリプション名
- Enable Audit Logs Collection: 監査ログを QRadar インスタンスに送信する場合に選択します。
  - Audit Logs Subscription Name: 監査ログシンクの Pub/Sub サブスクリプション名
- Interval: リアルタイムのデータ収集中の Pub/Sub 呼び出しの間隔（秒）
- QRadar 認証トークン: QRadar インスタンス用のトークン。トークンを取得するには、次の手順を行います。
  1. QRadar で [Admin] タブに移動します。
  2. [User Management] で [Authorized Service] をクリックします。
  3. ユーザーロールとして Admin、セキュリティプロファイルとして Admin を含む認証トークンをコピーします。トークンがない場合は、[Add Authorized Service] をクリックしてトークンを作成します。
  4. [Deploy changes] をクリックして、ブラウザウィンドウを更新します。
オプションのプロキシ構成の詳細を入力するには、[Enable/Disable Proxy] の切り替えをクリックして、プロキシ設定を入力します。
- IP / Hostname: プロキシサーバーの IP アドレスまたはホスト名（HTTP/HTTPS 接頭辞は含めないでください）
- Port: プロキシサーバーのポート
- ユーザー名: 認証プロキシに使用されるユーザー名
- パスワード: 認証プロキシに使用されるパスワード
[Save] をクリックします。
統合する Google Cloud 組織ごとに、この手順を繰り返します。

アプリの構成が保存され、組織がアプリの構成ページに追加されます。以降のセクションでは、サービスの Security Command Center のデータを表示して管理する方法について説明します。

Google SCC アプリをアップグレードする

このセクションでは、既存の Google SCC App for QRadar を最新バージョンにアップグレードします。

アップグレードの手順は次のとおりです。

IBM App Exchange から最新バージョンの Google SCC App をダウンロードします。
QRadar コンソール（https://QRadar_Console_IP）にログインします。
コンソールメニューで [Admin] をクリックし、[Extension Management] を選択します。
ダウンロード用の zip ファイルを選択するには、[Add] をクリックします。表示されたメッセージに従ってインストールを準備します。
[Replace Existing Items] と [Start a default instance for each app] を選択します。
[Install] をクリックします。アップグレードプロセスが正常に完了すると、アプリケーションコンポーネントのリストが表示されます。
[Admin] タブをクリックし、[Deploy changes] をクリックします。
ブラウザのキャッシュを削除して、ブラウザウィンドウを更新します。
[Extension Management] に移動します。Google SCC App For QRadar のステータスが「Installed」と表示されます。
SSH 経由で QRadar からアプリケーションにアクセスするユーザーからアプリケーションログを削除します。
1. IBM App Exchange からリファレンスデータ管理アプリの最新バージョンをダウンロードします。
2. QRadar コンソール（https://QRadar_Console_IP）にログインします。
3. コンソールメニューで [Admin] をクリックし、[Extension Management] を選択します。
4. ダウンロード用の ZIP ファイルを選択するには、[Add] をクリックします。表示された手順に沿ってアプリケーションをインストールします。
5. コンソールで、Reference Data Management ダッシュボードに移動します。
6. [Reference Map] をクリックします。
7. [asset_owners] を選択し、[Clear Data] をクリックします。

エクスポートしたデータを QRadar で表示する

このセクションでは、QRadar で使用できる関連機能（検出結果、監査ログ、アセットの検索、IAM ポリシーの表示、カスタムダッシュボードの表示など）について説明します。

データを検索する

QRadar で Security Command Center のデータを検索するには、[Log Activity] パネルを使用します。取り込まれた検出結果、アセット、監査ログ、セキュリティソースを確認して、SQL スタイルのフィルタを適用してデータを絞り込むことができます。

IAM ポリシーデータを表示する

アセットの IAM ポリシーデータを表示する方法は次のとおりです。

IBM App Exchange ポータルから Reference Data Management アプリケーションをダウンロードしてインストールします。
QRadar の [Reference Data Management] ダッシュボードをクリックします。
ナビゲーションパネルで [Reference Map] をクリックします。
[asset_owners] を選択します。ダッシュボードには IAM ポリシーデータが入力されています。

カスタムダッシュボード

QRadar でカスタムダッシュボードを使用すると、検出結果、アセット、セキュリティソースを可視化して分析できます。

概要

[Overview] ダッシュボードには、Google Cloud 組織の検出結果、脅威、脆弱性の合計数が表示されます。検出結果は、Security Command Center の組み込みサービス（Security Health Analytics、Web Security Scanner、Event Threat Detection、Container Threat Detection）と、有効にした統合サービスから編集されます。

データをフィルタして可視化を更新し、Google Cloud 組織を指定して新しいデータをオンデマンドで取得できます。

アセット

[Assets] タブに、Google Cloud アセットのテーブルが表示されます。テーブルデータには、アセット名、アセットタイプ、リソースオーナー、最終更新日時、Google Cloud コンソールの Security Command Center の [アセット] ページへのリンクが含まれます。

アセットデータを組織、期間、アセットタイプで検索およびフィルタし、特定のアセットの検出結果にドリルダウンできます。

ソース

[Sources] タブには、ソース名、ソース表示名、説明などのセキュリティソースのテーブルが表示されます。ソース名をクリックすると、そのソースの検出結果を表示できます。

検出結果

[Findings] タブに、組織の検出結果のテーブルが表示されます。テーブルを検索して、期間、カテゴリ、重大度、セキュリティソース、アセット、プロジェクト名でリストをフィルタリングできます。

テーブルの列には、検出結果名、カテゴリ、アセット名、セキュリティソース名、セキュリティマーク、重大度、プロジェクト名、イベント時間、イベント時間、検出クラス、更新ステータスが含まれます。検出結果の名前をクリックすると、Google Cloud コンソールの Security Command Center の [検出結果] ページにリダイレクトされ、選択した検出結果の詳細が表示されます。

[Update Status] 列で、検出結果の状態を更新できます。検出結果を積極的に確認していることを示すには、[Mark as ACTIVE] をクリックします。検出結果を積極的に確認していない場合は、[Mark as INACTIVE] をクリックします。

監査ログ

[Audit logs] ダッシュボードには、監査ログ情報を示す一連のグラフとテーブルが表示されます。ダッシュボードに含まれる監査ログは、管理者のアクティビティ、データアクセス、システムイベント、ポリシーで拒否された監査ログです。テーブルには、時間、ログ名、重大度、サービス名、リソース名、リソースタイプが含まれます。

アプリケーションログを確認する

SSH 経由で QRadar にログインします。

インストールされているすべてのアプリケーションとその App-ID 値を一覧表示します。

/opt/qradar/support/recon ps

出力は次のようになります。Google SCC アプリの App-ID をメモします。

App-ID  Name                                    Managed Host ID Workload ID             Service Name    AB       Container Name          CDEGH          Port          IJKL
1101    QRadar Log Source Management            53              apps                    qapp-1101       ++           qapp-1101           +++++          5000          ++++
1104    QRadar Assistant                        53              apps                    qapp-1104       ++           qapp-1104           +++++          5000          ++++
1105    QRadar Use Case Manager                 53              apps                    qapp-1105       ++           qapp-1105           +++++          5000          ++++
1163    IBM QRadar Pre-Validation App Service   53              apps                    qapp-1163       ++           qapp-1163           +++++          5000          ++++
1164    IBM QRadar Pre-Validation App UI        53              apps                    qapp-1164       ++           qapp-1164           +++++          5000          ++++
1170    Google SCC                              53              apps                    qapp-1170       ++           qapp-1170           +++++          5000          ++++

Google SCC アプリコンテナに接続します。
```
/opt/qradar/support/recon connect APP_ID
```
APP_ID は、Google SCC アプリの App-ID に置き換えます。
ログディレクトリに移動します。
```
cd /opt/app-root/store/log
```
ディレクトリ内のすべてのファイルを一覧表示します。
```
ls
```
ファイルの内容を表示します。
```
cat FILENAME
```
FILENAME は、ファイル名に置き換えます。

Google SCC をアンインストールする

Google SCC アプリをアンインストールするには、次の操作を行います。

[Admin] タブに移動します。
[Extension Management] を選択します。
[Google SCC App For QRadar - QRadar v7.4.1FP2+] を選択します。
[Uninstall] をクリックします。

アプリケーションをアンインストールすると、Google SCC アプリで提供されるカスタムイベントのプロパティ、リファレンスマップ、ダッシュボード、ログソースが削除されます。

既知の問題

このセクションでは、Google SCC App と QRadar ダッシュボードの既知の問題について説明します。

v1.0.0

[Overview] ダッシュボードの [Findings By Severity Over Time] パネルに、25 万件を超えるデータに関する技術的なエラーの検出結果が表示され、ダッシュボードにデータを挿入する flask プロセスがバックエンドで再起動します。この問題を回避するには、ダッシュボードにより短い期間を選択します。

この問題は v2.0.0 で解決されました。
GROUP BY AQL 関数の予期しない動作のため、削除されたアセットが [Assets] ダッシュボードに表示されることがあります。

v2.0.0

GROUP BY AQL 関数の予期しない動作のため、削除されたアセットが [Assets] ダッシュボードに表示されることがあります。
GROUP BY AQL 関数の予期しない動作により、[Findings] ダッシュボードに Google SCC アプリの更新後に最新の検出結果データが表示されないことがあります。

v3.0.0

GROUP BY AQL 関数の予期しない動作のため、同じ一意のキーで複数のイベントが利用できる場合、ダッシュボードに最新のイベントが表示されないことがあります。
v2 を使用してすでに取り込まれているデータには、[組織 ID] フィルタは適用されません。データを表示するには、[組織 ID] フィルタで [すべて] を選択します。

トラブルシューティング

このセクションでは、よくある問題の解決方法について説明します。

Google SCC イベントが Google SCC メッセージとして表示される

問題: Security Command Center イベントが、正しい QRadar カテゴリとして識別されるのではなく、Security Command Center のメッセージとして表示されます。ユーザーが Google Cloud ログソースからイベントを検索すると、QRadar の [Log Activity] タブにメッセージが表示されます。

未加工のフィールドイベントに必須フィールドがない場合、またはイベントのペイロードサイズがデフォルトの 4,096 バイトを超えてイベントが切り捨てられる場合に、この問題が発生します。

解決策: ペイロードが切り捨てられた場合は、次の手順で最大ペイロードサイズを増やします。

[Admin] タブに移動し、[System settings] を選択します。
[Switch to] で [Advanced] をクリックします。
設定リストで、次の操作を行います。
1. [Max TCP Syslog Payload Length] を選択して値を大きくします。推奨値は 32,000 です。
2. [Max UDP Syslog Payload Length] を選択して値を大きくします。推奨値は 32,000 です。
[Deploy changes] をクリックして、[Full Deploy] オプションを使用します。

Google SCC イベントが不明なイベントとして表示される

問題: Security Command Center のイベントが「Unknown」と表示されます。この問題は、ペイロードのイベント ID とカテゴリが QRadar にマッピングされていない場合に発生します。

解決策: この問題を解決するには、次の手順を行います。

[Log Activity] に移動し、[Add Filter] をクリックします。
[Parameter] を選択して、[Log Source Type (Indexed)] を選択します。
[Operator]、[Equals] の順に選択します。
[Log Source Type]、[Google SCC] の順に選択します。
[Views] フィルタのプルダウンメニューで、[Last 7 days] を選択します。
イベントが「Unknown」と表示されている場合は、次の手順を行います。
1. イベントを右クリックして、[View in DSM editor] を選択します。
2. [Log Activity Preview] で、[Event ID] と [Event Category] の値を確認します。
3. 値が不明な場合は、Cloud サポートにお問い合わせください。

アプリの構成が失敗し、エラーメッセージが表示される

アプリの構成エラーが発生した場合は、次の手順で問題を解決してください。

エラー	説明	解決策
「Please enter valid Service Account JSON.」	このエラーは、正しい形式の JSON が指定されたにもかかわらず、構成を保存しようとしたときに認証が失敗する場合に発生します。	正しいアカウント認証情報を使用して有効な JSON を入力してください。
「Service Account JSON should be JSON string.」	このエラーは、不適切な形式の JSON が指定されているか、ファイルが JSON 以外の形式である場合に発生します。	有効な JSON ファイルを入力してください。
「Please enter valid Organization ID.」	このエラーは、誤った組織 ID、または不完全な組織 ID が入力された場合に発生します。	組織 ID を確認して再入力してください。
「Please enter valid Project ID or Findings Subscription ID.」	このエラーは、誤った、または無効なプロジェクト ID またはサブスクリプション ID が入力された場合に発生します。	プロジェクト ID と組織 ID を確認し、再入力してください。
「Please enter valid Assets Subscription ID.」	このエラーは、正しくない、または無効なアセットサブスクリプション ID が入力されている場合に発生します。	アセットのサブスクリプション ID を確認して再入力してください。
「Error while validating authorization token.」	このエラーは、誤った、または無効な QRadar 認証トークンが指定された場合に発生します。	QRadar 認証トークンを確認して再入力します。ユーザーロールとセキュリティプロファイルには Admin が必要です。トークンの有効期限が切れていないことも必要です。

QRadar でソケット接続を開始する際にエラーが発生した

問題: データ収集ログファイルに「Error when in socket connection with IBM QRadar」というエラーメッセージが表示されます。この問題は、QRadar v2 アプリフレームワーク（< v7.4.2 P2）で発生している可能性があります。

解決策: この問題を解決するには、次の手順を行います。

QRadar デプロイの変更に関するサポートメモを確認します。
QRadar をアップグレードします。

インターフェースに関する問題

問題: ダッシュボードパネルまたは構成ページにエラーまたは意図しない動作が表示されています。

解決策: この問題を解決するには、次の手順を行います。

ブラウザのキャッシュを削除して、ウェブページを再度読み込みます。
フィルタの期間を短くします。レスポンスの数が多すぎると、QRadar クエリが期限切れになる可能性があります。
問題が解決しない場合は、Cloud サポートにお問い合わせください。

ダッシュボードのパネルが読み込まれず、flask プロセスが停止する

問題: flask プロセスがタイムアウトし、一部のダッシュボードパネルを読み込めません。

解決策: この問題を解決するには、次の手順を行います。

ブラウザのキャッシュを削除して、ウェブページを再度読み込みます。
フィルタの期間を短くします。レスポンスの数が多すぎると、QRadar クエリが期限切れになる可能性があります。
問題が解決しない場合は、Cloud サポートにお問い合わせください。

その他のパフォーマンスの問題

このガイドの手順に沿って問題を解決できない場合は、次の手順を行います。

[Admin] タブに移動し、[System and License Management] をクリックします。
Google SCC App For QRadar - QRadar v7.4.1FP2+ がインストールされているホストを選択します。
[Action] をクリックし、[Collect Log Files] を選択します。
ダイアログで [Advance Options] をクリックします。
[Include Debug Logs]、[Application Extensions Logs]、[Setup Logs (Current Version)] の横にあるチェックボックスをオンにします。
データ入力として 2 日を選択し、[Collect Log Files] をクリックします。
[Click here to download files] を選択します。

ログファイルは zip ファイルでダウンロードされます。Cloud サポートに連絡し、ログファイルを共有してください。

次のステップ

Security Command Center での検出結果の通知の設定について確認する。
Security Command Center での検出通知のフィルタリングについて確認する。

Security Command Center のデータを IBM QRadar に送信する

始める前に

認証と認可を構成する

サービス アカウントの作成と IAM ロールの付与

認証情報を QRadar に提供する

通知を構成する

Google SCC App for QRadar（QRadar v7.4.1FP2+）をインストールする

Google SCC アプリを構成する

Google SCC アプリをアップグレードする

エクスポートしたデータを QRadar で表示する

データを検索する

IAM ポリシーデータを表示する

カスタム ダッシュボード

概要

アセット

ソース

検出結果

監査ログ

アプリケーション ログを確認する

Google SCC をアンインストールする

既知の問題

v1.0.0

v2.0.0

v3.0.0

トラブルシューティング

Google SCC イベントが Google SCC メッセージとして表示される

Google SCC イベントが不明なイベントとして表示される

アプリの構成が失敗し、エラー メッセージが表示される

QRadar でソケット接続を開始する際にエラーが発生した

インターフェースに関する問題

ダッシュボードのパネルが読み込まれず、flask プロセスが停止する

その他のパフォーマンスの問題

次のステップ

サービスアカウントの作成と IAM ロールの付与

カスタムダッシュボード

アプリケーションログを確認する

アプリの構成が失敗し、エラーメッセージが表示される