Corelight Sensor ログの収集

このドキュメントでは、Corelight Sensor と Chronicle フォワーダーを構成して Corelight Sensor ログを収集する方法について説明します。このドキュメントでは、サポートされているログタイプとサポートされている Corelight のバージョンについても一覧表示します。

詳細については、Data ingestion to Chronicle をご覧ください。

始める前に

• Corelight Sensor のバージョンを確認してください。Corelight Google SecOps パーサーはバージョン 27.13 以前向けに設計されています。それ以降のバージョンの Corelight Sensor には、パーサーが認識しない追加のログが含まれている場合があり、そのようなログはフィールド解析が制限されるか、まったく行われない可能性があります。ただし、ログコンテンツは、Google SecOps で raw ログ形式のまま引き続き利用できます。
• デプロイメントアーキテクチャ内のすべてのシステムが UTC タイムゾーンで構成されていることを確認します。

デプロイメントとログの取り込み方法

次のデプロイメントアーキテクチャ図は、2 つの異なる取り込みアーキテクチャを使用して Corelight Sensor が Google Security Operations にログを送信するように設定される仕組みを示しています。各顧客のデプロイメントはこの図とは異なる場合があり、より複雑になる可能性があることに注意してください。

取り込みラベルは、raw ログデータを構造化された UDM 形式に正規化するパーサーを識別します。このドキュメントの情報は、CORELIGHT 取り込みラベルが付いたパーサーに適用されます。

Corelight エクスポーターを使用した Google SecOps へのログの取り込み

このアーキテクチャ図は、次のコンポーネントを示しています。

• Corelight Sensor: Corelight Sensor を実行しているシステム。

• Corelight Sensor エクスポーター: Corelight Sensor exporter が Sensor からログデータを収集し、Google Security Operations に転送します。

• Google Security Operations: Google Security Operations は、Corelight Sensor からのログを保持および分析します。

Corelight で Google SecOps エクスポーターを構成する

Sensor または Fleet Manager の Web インターフェースを使用して、Google SecOps エクスポーターを構成します。この構成では、Google SecOps インスタンスの API 認証情報を使用して安全な接続を確立します。

1. 管理者として Corelight Sensor の Fleet Manager または Sensor の Web インターフェースにログインします。

2. エクスポーターの構成領域に移動します。

   • Fleet Manager: [Policies] に移動し、ポリシーを選択して、[Export] タブをクリックします。
   • Standalone Sensor: [Configuration] | [Export] | [Export Configuration] の順に移動します。

3. Create Exporter セクションで、Google SecOps をクリックします。

4. 次の入力パラメータを構成します。

• Name*: このエクスポーターインスタンスの一意の名前（例: SecOps）。
• Google SecOps Customer ID*: Google から提供される一意の顧客 ID。
• Google SecOps Namespace: Google SecOps 内の Sensor ログの論理名前空間。
• Credentials*: Google SecOps サービス アカウントの認証情報（JSON）。（JSON コンテンツ全体を貼り付けます）。
• Google SecOps Labels: データドメインを識別するためのユーザー構成ラベル。
• Region*: Google SecOps で使用される GCP リージョン名。
• Batch Max Events: 最大バッチサイズ。
• Batch Timeout Seconds: バッチの最大経過時間。
• Proxy URL: 必要な場合のネットワークプロキシ URL。
• Exporter Log Filter: このエクスポーターインスタンスに適用するフィルタを選択します。
• Log Type Filter: 特定のログファイルを名前で含めるか除外します。
  • Exclude: 指定されたログを削除します。新しいログタイプ（パッケージからのものなど）は引き続きエクスポートされます。
  • Include: 指定されたログのみをエクスポートします。新しいログタイプは、手動で追加しない限りエクスポートされません。

5. Done をクリックします。

6. Apply Changes をクリックします。

フォワーダーを使用した Google SecOps へのログの取り込み

このアーキテクチャ図は、次のコンポーネントを示しています。

• Corelight Sensor: Corelight Sensor を実行しているシステム。

• Corelight Sensor エクスポーター: Corelight Sensor exporter が Sensor からログデータを収集し、Google Security Operations フォワーダーに転送します。

• Google Security Operations フォワーダー: Google Security Operations フォワーダーは、顧客のネットワークにデプロイされ、syslog をサポートする軽量のソフトウェアコンポーネントです。Google Security Operations フォワーダーは、ログを Google Security Operations に転送します。

• Google Security Operations: Google Security Operations は、Corelight Sensor からのログを保持および分析します。

Google Security Operations フォワーダーを構成する

Google Security Operations フォワーダーを構成するには、次の操作を行います。

1. Google Security Operations フォワーダーをセットアップします。Linux でのフォワーダーのインストールと構成 をご覧ください。

2. Google Security Operations フォワーダーが Google Security Operations にログを送信するよう構成します。 ```none collectors:

   • syslog: common: enabled: true data_type: CORELIGHT data_hint: batch_n_seconds: 10 batch_n_bytes: 1048576 tcp_address: tcp_buffer_size: 524288 udp_address: connection_timeout_sec: 60

### Corelight Sensor エクスポーターの設定 

1. Corelight Sensor に管理者としてログインします。
2. **Export** タブを選択します。
3. **EXPORT TO SYSLOG** オプションを見つけて有効にします。
4. **EXPORT TO SYSLOG** で、以下のフィールドを設定します:
* **SYSLOG SERVER**: Google Security Operations フォワーダーの syslog リスナーの IP アドレスとポートを指定します。
* **Advanced Settings > SYSLOG FORMAT** に移動し、設定を **Legacy** に変更します。

![Corelight Sensor の設定](https://assets.kitploit.com/production/public/readmes/45240/98e9932cefa08d1f288a8a66675a4ae8398ad3d243bd14379054908875b0da03.jpg)

5. **Apply Changes** をクリックします。

## サポートされている Corelight ログタイプ