Syslogの統合 (SIEM)

Vulnerability ProtectionDeep Securityでは、syslogサーバに次の形式でイベントを転送できます。

• Common Event Format 1.0: ArcSight (www.arcsight.com) が提供している形式。
• Log Event Extended Format (LEEF) 2.0: IBM QRadarとの統合に使用される形式。
• Basic Syslog形式: 一部のモジュールではBasic Syslog形式がサポートされますが、これはあくまで旧環境用の対応であり、新しいSyslog統合プロジェクトには使用しないでください。

syslogメッセージは、[システムイベント] タブで選択したイベントについてのみ送信されます。それ以外のイベントタイプのsyslog通知については、ポリシーエディタまたはコンピュータエディタで設定できます。

Red Hat Enterprise Linux 6または7でSyslogを設定する

次の手順は、Vulnerability ProtectionDeep Securityからログを受信するための、Red Hat Enterprise Linux 6または7でのrsyslogの設定方法を示しています。

1. rootでログインします。
2. 次のコマンドを実行します。
   vi /etc/rsyslog.conf
3. rsyslog.confの先頭付近にある次の行をコメント解除します。変更前のコードは、次のとおりです。
   
   #$ModLoad imudp
#$UDPServerRun 514

#$ModLoad imtcp
#$InputTCPServerRun 514

変更後のコードは、次のとおりです。
   
   $ModLoad imudp
$UDPServerRun 514

$ModLoad imtcp
$InputTCPServerRun 514


4. rsyslog.confの末尾に、次の2行を追加します。
   • #Save Vulnerability ProtectionDeep Security Manager logs to VPM.logDSM.log
   • Local4.* /var/log/VPM.logDSM.log
   Managerの設定内容によっては、Local4を別の値に置き換える必要があります。
5. ファイルを保存して、終了します。
6. 「touch /var/log/VPM.logDSM.log」と入力して、/var/log/VPM.logDSM.logファイルを作成します。
7. Syslogが書き込めるよう、VPM/var/log/DSM.logログに権限を設定します。
8. ファイルを保存して、終了します。
9. Syslogを再起動します。
   • Red Hat Enterprise Linux 6で次のコマンドを実行します。
     service rsyslog restart
   • Red Hat Enterprise Linux 7で次のコマンドを実行します。
     systemctl restart rsyslog

Syslogが機能すると、/var/log/VPM.logDSM.log にログが記録されます。

Red Hat Enterprise Linux 5でSyslogを設定する

次の手順は、Vulnerability ProtectionDeep Securityからログを受信するための、Red Hat Enterprise LinuxでのSyslogの設定方法を示しています。

1. rootでログインします。
2. 次のコマンドを実行します。
   vi /etc/syslog.conf
3. syslog.confの末尾に、次の2行を追加します。
   • #Save Vulnerability ProtectionDeep Security Manager logs to VPM.logDSM.log
   • Local4.* /var/log/VPM.logDSM.log
   Managerの設定内容によっては、Local4を別の値に置き換える必要があります。
4. ファイルを保存して、終了します。
5. 「touch /var/log/VPM.logDSM.log」と入力して、/var/log/VPM.logDSM.logファイルを作成します。
6. Syslogが書き込めるよう、VPM/var/log/DSM.logログに権限を設定します。
7. 次のコマンドを実行します。
   vi /etc/sysconfig/syslog
8. 「SYSLOGD_OPTIONS」の行を編集して、オプションに「-r」を追加します。
9. ファイルを保存して、終了します。
10. Syslogを再起動します。
    /etc/init.d/syslog restart

Syslogが機能すると、 /var/log/VPM.logDSM.log にログが記録されます。

Manager設定

すべての管理下のコンピュータからSyslogコンピュータにログが送信されるようにVulnerability ProtectionDeep Security Managerを設定したり、個々のコンピュータを別々に設定したりできます。

すべての管理下のコンピュータでSyslogが使用されるようにManagerを設定するには、次の手順を実行します。

1. [管理]→[システム設定]→[SIEM] タブに進みます。
2. [システムイベント通知 (Managerから)] エリアで、[リモートコンピュータにシステムイベントを転送する (Syslog経由)] オプションを設定します。
3. Syslogコンピュータのホスト名またはIPアドレスを入力します。
4. 使用するUDPポートを入力します (通常は514)。
5. 使用するSyslogファシリティを選択します (前述のRed Hatの例ではLocal4)。
6. 使用するSyslog形式を選択します。

これで、すべての既存および新規のコンピュータが初期設定でリモートSyslogを使用するようにVulnerability ProtectionDeep Security Managerを設定しました。

Syslogメッセージの送信元には、2つのオプションがあります。1つ目のオプション ([直接転送する]) は、AgentまたはVirtual Applianceからメッセージをリアルタイムで直接送信します。2つ目のオプション ([Manager経由でリレーする]) は、ハートビートでイベントを収集した後、Managerからsyslogメッセージを送信します。送信元の数に基づいて送信先がライセンス許可する場合は、Managerから送信するオプションを選択することが望ましいです。

SyslogメッセージがManagerから送信される場合は、いくつかの違いがあります。元のホスト名 (イベントのソース) を維持するため、新しい拡張 (「dvc」または「dvchost」) が使われます。「dvc」はホスト名がIPv4アドレスの場合、「dvchost」はホスト名がIPv6アドレスの場合に使用されます。また、イベントがタグ付けされている場合は、拡張「TrendMicroDsTags」が使用されます (これは、自動タグ付けが実行されている場合にのみ適用されます。Managerによって収集された場合にのみイベントがsyslog経由で転送されるためです)。Managerを通じてリレーされるログには、製品名が「Vulnerability ProtectionDeep Security Agent」と表示されますが、バージョンはManagerのバージョンになっています。

すべてのCEFイベントには、イベントの元のソースを判断するためのdvc=IPv4アドレスまたはdvchost=ホスト名 (またはIPv6アドレス) が含まれています。この拡張はVirtual ApplianceやManagerから送信されるイベントに重要なものです。ここでは、Syslogメッセージの送信者はイベントの発信元ではないためです。

この初期設定は、特定のポリシーに対して、および個々のコンピュータでオーバーライドできます。個々のコンピュータで初期設定をオーバーライドするには、設定するコンピュータを見つけ、[詳細]→[設定] に進んで [SIEM] タブをクリックします。この設定は、コンピュータ上の他の多くの設定と同様に、初期設定を継承するように設定することも、オーバーライドすることもできます。このコンピュータで継承可能な初期設定をオーバーライドするよう設定するには、[イベントの転送先] オプションを選択して別のsyslogサーバの詳細を入力するか、ログを一切転送しないようにします。ポリシーの設定をオーバーライドする場合も、同じ手順に従います。

Syslogメッセージを解析する (CEF)

CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)

Vulnerability ProtectionDeep Security ManagerとVulnerability ProtectionDeep Security Agentのどちらからのログエントリかを判断するには、「デバイス製品 (Device Product)」フィールドを確認します。

CEFログエントリのサンプル: Jan 18 11:07:53 vpmhostdsmhost CEF:0|Trend Micro|Vulnerability ProtectionDeep Security Manager|<DSM version>2.0|600|Administrator Signed In|4|suser=Master...

イベントをトリガしたルールの種類を判断するには、「署名ID (Signature ID)」フィールドと「名前 (Name)」フィールドを確認します。

ログエントリのサンプル: Mar 19 15:19:15 chrisds7 CEF:0|Trend Micro|Vulnerability ProtectionDeep Security Agent|<DSA version>2.0|123|Out Of Allowed Policy|5|cn1=1...

次の「署名ID (Signature ID)」の値は、トリガされたイベントの種類を示します。

署名ID	説明
10	カスタム侵入防御ルール
20	ログのみのファイアウォールルール
21	拒否のファイアウォールルール
30	カスタム変更監視ルール
40	カスタムセキュリティログ監視ルール
100-7499	システムイベント
100-199	ポリシーで未許可のファイアウォールルール
200-299	侵入防御システム (IPS) の内部エラー
300-399	SSLイベント
500-899	侵入防御の正規化イベント
1,000,000-1,999,999	トレンドマイクロが提供する侵入防御ルール。署名ID (Signature ID) は、侵入防御ルールIDと同一です。
2,000,000-2,999,999	トレンドマイクロが提供する変更監視ルール。署名ID (Signature ID) は、変更監視ルールID + 1,000,000です。
3,000,000-3,999,999	トレンドマイクロが提供するセキュリティログ監視ルール。署名ID (Signature ID) は、セキュリティログ監視ルールID + 2,000,000です。
4,000,000-4,999,999	トレンドマイクロの不正プログラム対策イベント用に予約済み。現在は、以下の署名IDのみが使用されています。 4,000,000 4,000,001 4,000,002 4,000,003 4,000,010 4,000,011 4,000,012 4,000,013
5,000,000-5,999,999	トレンドマイクロのWebレピュテーションイベント用に予約済み。現在は、以下の署名IDのみが使用されています。 5,000,000 5,000,001

Syslogメッセージを解析する (LEEF 2.0)

LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)

LEEF 2.0ログエントリのサンプル (DSMシステムイベントログのサンプル): LEEF:2.0|Trend Micro|Vulnerability ProtectionDeep Security Manager|9.6.2007|192|cat=System name=Alert Ended desc=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning sev=3 src=10.201.114.164 usrName=System msg=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning TrendMicroDsTenant=Primary

Managerで発生するイベント

システムイベントログの形式

CEFの基本形式: CEF:バージョン (Version)|デバイスベンダ (Device Vendor)|デバイス製品 (Device Product)|デバイスバージョン (Device Version)|署名ID (Signature ID)|名前 (Name)|重要度 (Severity)|拡張 (Extension)

CEFログエントリのサンプル: CEF:0|Trend Micro|Vulnerability ProtectionDeep Security Manager|<DSM version>2.0|600|User Signed In|3|src=10.52.116.160 suser=admin target=admin msg=User signed in from fe80:0:0:0:2d02:9870:beaa:fd41

LEEF 2.0の基本形式: LEEF:2.0|ベンダ (Vendor)|製品 (Product)|バージョン (Version)|イベントID (EventID)|(区切り文字、タブの場合は省略可能)|拡張 (Extension)

LEEF 2.0ログエントリのサンプル: LEEF:2.0|Trend Micro|Vulnerability ProtectionDeep Security Manager|9.6.2007|192|cat=System name=Alert Ended desc=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning sev=3 src=10.201.114.164 usrName=System msg=Alert: CPU Warning Threshold Exceeded\nSubject: 10.201.114.164\nSeverity: Warning TrendMicroDsTenant=Primary

CEF拡張フィールド	LEEF拡張フィールド	名前	説明	例
src	src	Source IP Address	送信元のVulnerability ProtectionDeep Security ManagerのIPアドレス。	src=10.52.116.23
suser	usrName	Source User	送信元のVulnerability ProtectionDeep Security Managerのユーザアカウント。	suser=MasterAdmin
target	target	Target Entity	イベントの対象のエンティティ。イベントの対象は、Vulnerability ProtectionDeep Security Managerまたはコンピュータにログインした管理者アカウントである可能性があります。	target=MasterAdmin target=server01
targetID	targetID	Target Entity ID	Managerで追加される識別子。	targetID=1
targetType	targetType	Target Entity Type	イベントの対象のエンティティの種類。	targetType=Host
msg	msg	Details	システムイベントの詳細。イベントの詳細な説明が含まれる場合があります。	msg=User password incorrect for username MasterAdmin on an attempt to sign in from 127.0.0.1 msg=A Scan for Recommendations on computer (localhost) has completed...
TrendMicroDsTags	TrendMicroDsTags	Event Tags	イベントに割り当てられたDeep Securityのイベントタグ	TrendMicroDsTags=suspicious
TrendMicroDsTenant	TrendMicroDsTenant	Tenant Name	Deep Securityのテナント	TrendMicroDsTenant=Primary
TrendMicroDsTenantId	TrendMicroDsTenantId	Tenant ID	Deep SecurityのテナントID	TrendMicroDsTenantId=0
なし	sev	Severity	イベントの重要度。最も低い重要度は1、高い重要度は10です。	sev=3
なし	cat	Category	イベントのカテゴリ	cat=System
なし	name	Name	イベント名	name=Alert Ended
なし	desc	Description	イベントの説明	desc:Alert: CPU Warning Threshold Exceeded

Agentで発生するイベント

関連項目:

• ポリシー、継承、およびオーバーライド