差分

このページの2つのバージョン間の差分を表示します。

--- ja:documentation:pandorafms:cybersecurity:21_siem [2025/09/06 22:27] – [SIEM alerts] junichi
+++ ja:documentation:pandorafms:cybersecurity:21_siem [2026/09/11 22:37] (現在) – [ルール管理] junichi
@@ 行 79: / 行 79: @@
 ===== コンソール設定 =====
+<WRAP center round info 90%>
+If [[:en:documentation:pandorafms:command_center:01_introduction|Command Center]] is enabled, Pandora SIEM will only be available in the nodes.
+</WRAP>
+<WRAP center round info 90%>
+[[:ja:documentation:pandorafms:command_center:01_introduction|コマンドセンター]] が有効になっている場合、Pandora SIEM はノードでのみ使用可能になります。
+</WRAP>
 To use SIEM event monitoring, it must first be activated from the main configuration.
@@ 行 84: / 行 96: @@
 SIEM イベント監視を使用するには、まずメイン設定から有効化する必要があります。
-Go to menu <wrap :en>**Management → Settings → System Settings → SIEM → Activate SIEM**</wrap>, fill in the form completely and click <wrap :en>**Update**</wrap> to save the changes.
+Go to menu <wrap :en>**Management → {{:wiki:pfms-menu-management-settings-icon-804_version.svg?nolink&21x21}} Settings → System Settings → SIEM → Activate SIEM**</wrap>, fill in the form completely and click <wrap :en>**Update**</wrap> to save the changes.
-メニュー <wrap :ja>**管理(Management) → セッティング(Settings) → システム設定(System Settings) → SIEM → SIEM の有効化(Activate SIEM)**</wrap> に移動し、フォームをすべて入力して <wrap :ja>**更新(Update)**</wrap> をクリックして変更を保存します。
+メニュー <wrap :ja>**管理(Management) → {{:wiki:pfms-menu-management-settings-icon-804_version.svg?nolink&21x21}} セッティング(Settings) → システム設定(System Settings) → SIEM → SIEM の有効化(Activate SIEM)**</wrap> に移動し、フォームをすべて入力して <wrap :ja>**更新(Update)**</wrap> をクリックして変更を保存します。
 This will create the necessary templates on the OpenSearch server specified for log normalization and SIEM event generation.
@@ 行 95: / 行 107: @@
 また、''siemserver'' および ''siemevents'' が開始された Pandora FMS サーバでもこのタイプの監視が有効になります。
-<WRAP center round info 90%>
-If [[:en:documentation:pandorafms:command_center:01_introduction|Command Center]] is enabled, Pandora SIEM will only be available in the nodes.
-</WRAP>
-<WRAP center round info 90%>
-[[:ja:documentation:pandorafms:command_center:01_introduction|コマンドセンター]] が有効になっている場合、Pandora SIEM はノードでのみ使用可能になります。
-</WRAP>
 <wrap #ks4 />
@@ 行 188: / 行 188: @@
 <wrap #ks5_1 />
-==== Linux エージェント ====
+==== Linux® エージェント ====
 Log collection on Linux systems is mainly done by reading log files. This can be achieved by using module configurations with this minimal structure:
@@ 行 220: / 行 220: @@
 </code>
-Entries collected from a log like the above would be normalized by <wrap :en> decoders</wrap> such as ''web-accesslog'', ''web-accesslog-ip''  or ''web-accesslog-domain''  among others.
+Entries collected from a log like the above would be normalized by, among others:
+上記のようなログから収集されたエントリは、次のような <wrap :ja> デコーダー</wrap> で正規化されます。
+  * <wrap :en> decoders</wrap> such as ''web-accesslog'',
+  * ''web-accesslog-ip'' or,
+  * ''web-accesslog-domain''.
+  * ''web-accesslog''
+  * ''web-accesslog-ip''
+  * ''web-accesslog-domain''
+The decoded logs of such a log could generate events such as (among others):
-上記のようなログから収集されたエントリは、''web-accesslog''、''web-accesslog-ip''、''web-accesslog-domain'' などの <wrap :ja> デコーダー</wrap> によって正規化されます。
+このようなログのデコードされたログでは、次のようなイベントが生成されます。
-The decoded logs of such a log could generate events such as ''Common\_web\_attack'', ''XSS\_(Cross\_Site\_Scripting)\_attempt''  or ''SQL\_injection\_attempt'' among others.
+  * ''Common web attack'',
+  * ''XSS (Cross Site Scripting) attempt'' or,
+  * ''SQL injection attempt''.
-このようなログのデコードされたログでは、''Common\_web\_attack''、''XSS\_(Cross\_Site\_Scripting)\_attempt''、''SQL\_injection\_attempt'' などのイベントが生成される場合があります。
+  * ''Common web attack''
+  * ''XSS (Cross Site Scripting) attempt''
+  * ''SQL injection attempt''
 <wrap #ks5_2 />
@@ 行 297: / 行 313: @@
 上記のようなイベントから収集された入力は、<wrap :ja>デコーダー</wrap> によって ''windows_eventchannel'' として正規化されます。
-The decoded logs of events such as the above could generate events such as ''Windows\_error\_event'', ''Short-time\_multiple\_Windows\_Defender\_warning\_events'' or ''Multiple\_Windows\_Defender\_error\_events'' among others.
+The decoded logs of events such as the above could generate events such as, among others:
-上記のようなイベントのデコードされたログでは、''Windows\_error\_event''、''Short-time\_multiple\_Windows\_Defender\_warning\_events''、''Multiple\_Windows\_Defender\_error\_events'' などのイベントが生成される場合があります。
+上記のようなイベントのデコードされたログでは、次のようなイベントが生成されます。
+  * ''Windows error event'',
+  * ''Short-time multiple Windows Defender warning events'' or,
+  * ''Multiple Windows Defender error events''.
+  * ''Windows error event''
+  * ''Short-time multiple Windows Defender warning events''
+  * ''Multiple Windows Defender error events''
 Using log file monitoring, the configuration is identical to that of Linux systems. A minimal configuration like this is required:
@@ 行 335: / 行 359: @@
 ===== SIEM イベント =====
-With SIEM monitoring enabled and configured, a preview of the monitoring status may be accessed in the <wrap :en>**Operation → SIEM → Dashboard**</wrap> menu.
+With SIEM monitoring enabled and configured, a preview of the monitoring status may be accessed in the <wrap :en>**Operation → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → Dashboard**</wrap> menu.
-SIEM 監視を有効にして設定すると、<wrap :ja>**操作(Operation) → SIEM → ダッシュボード(Dashboard)**</wrap> メニューで監視ステータスのプレビューにアクセスできるようになります。
+SIEM 監視を有効にして設定すると、<wrap :ja>**操作(Operation) → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → ダッシュボード(Dashboard)**</wrap> メニューで監視ステータスのプレビューにアクセスできるようになります。
 {{  :wiki:siem_dashboard.png  }}
-Generated SIEM events can be fuly displayed in menu <wrap :en>**Operation → SIEM → Events**</wrap>.
+Generated SIEM events can be fuly displayed in menu <wrap :en>**Operation → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → Events**</wrap>.
-生成された SIEM イベントは、メニュー <wrap :ja>**操作(Operation) → SIEM → イベント(Events)**</wrap> ですべて表示できます。
+生成された SIEM イベントは、メニュー <wrap :ja>**操作(Operation) → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → イベント(Events)**</wrap> ですべて表示できます。
 {{  :wiki:siem_events.png  }}
@@ 行 403: / 行 427: @@
 <wrap :ja>デコーダー</wrap>がロードされると、その設定がデータベースに保存され、各 ''siemserver'' はログ収集を通じて取得されたエントリに対してそれらを処理します。
-From Pandora FMS Console, it will be possible to view the loaded <wrap :en>decoders</wrap> with their complete configuration from menu <wrap :en>**Operation → SIEM → Decoders**</wrap>.
+From Pandora FMS Console, it will be possible to view the loaded <wrap :en>decoders</wrap> with their complete configuration from menu <wrap :en>**Operation → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → Decoders**</wrap>.
-Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → SIEM → デコーダー(Decoders)**</wrap> から、ロードされた <wrap :ja>デコーダー</wrap> とその完全な設定を表示できます。
+Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → デコーダー(Decoders)**</wrap> から、ロードされた <wrap :ja>デコーダー</wrap> とその完全な設定を表示できます。
 It is also possible to disable <wrap :en>decoders</wrap> from this view, so that ''siemserver''  does not take them into account when normalizing log entries.
@@ 行 664: / 行 688: @@
 <wrap #ks8_1 />
-==== 管理 ====
+==== ルール管理 ====
 To include new <wrap :en>rules</wrap>, first add or edit an XML file in the path indicated to Pandora FMS server in its configuration parameter ''siem_rules''.
@@ 行 678: / 行 702: @@
 <wrap :ja>ルール</wrap>がロードされると、その設定がデータベースに保存され、各 ''siemevents'' サーバはそれを SIEM 監視の正規化されたエントリとして処理します。
-From Pandora FMS console, it will be possible to see loaded <wrap :en>rules</wrap> with their full configuration fom menu <wrap :en>**Operation → SIEM → Rules**</wrap>.
+From Pandora FMS console, it will be possible to see loaded <wrap :en>rules</wrap> with their full configuration from menu <wrap :en>**Operation → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → Rules**</wrap>.
-Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → SIEM → ルール(Rules)**</wrap> から、読み込まれた <wrap :ja>ルール</wrap> とその完全な設定を確認できます。
+Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → {{:wiki:pfms-menu-operation-siem-icon-804_version.svg?nolink&21x21}} SIEM → ルール(Rules)**</wrap> から、読み込まれた <wrap :ja>ルール</wrap> とその完全な設定を確認できます。
 It is also possible to disable <wrap :en>rules</wrap> from this view, so that ''siemevents''  does not take them into account when processing normalized logs.
@@ 行 701: / 行 725: @@
 XMLファイルから読み取れなかった<wrap :ja>ルール</wrap>は、コンソールで「無効」とマークされ、SIEM イベントの生成時に考慮されません。管理者によって手動で無効化された<wrap :ja>ルール</wrap>も考慮されません。したがって、<wrap :ja>ルール</wrap>を評価するには、ルールがアクティブかつ有効化されている必要があります。
+<WRAP center round info 90%>
+Once rules are active and enabled, if one rule needs to depend on the evaluation and result of another, **the first rule must have a lower numerical identifier than the second**  (i.e., they are executed in ascending numerical order, see [[#ks9_1|corresponding case study]]).
+</WRAP>
+<WRAP center round info 90%>
+ルールを有効にし、あるルールが別のルールの評価と結果に依存する必要がある場合、**最初のルールの数値識別子は 2 番目のルールの数値識別子よりも小さくする必要があります** (つまり、数値の昇順で実行されます。[[#ks9_1|対応するケーススタディ]] を参照してください)。
+</WRAP>
 <wrap #ks8_2 />
@@ 行 1280: / 行 1316: @@
 </decoder>
 </code>
+<wrap #ks9_1 />
+==== ルール評価順序 ====
+The following case study **with a negative result**  illustrates when a rule "queries" other rules to check whether they found a match and then evaluates the match itself to generate an event.
+次のケーススタディ (**否定的な結果**) は、ルールが他のルールを「照会」して一致が見つかったかどうかを確認し、一致自体を評価してイベントを生成する場合を示しています。
+There is a series of rules used to detect failed logins on a hardware firewall, in order to then create the corresponding alerts:
+ハードウェアファイアウォールで失敗したログインを検出し、対応するアラートを作成するために使用される一連のルールがあります。
+<code xml>
+<rule id="81641" level="1">
+    <decoded_as>fortigate-firewall-v6</decoded_as>
+    <description>Fortigate v6 messages grouped.</description>
+</rule>
+</code>
+  * ⍐ Rule 81641 matches decoded log to start retrieving data.
+  * ⍐ ルール 81641 はデコードされたログと一致し、データの取得を開始します。
+----
+<code xml>
+<rule id="81603" level="0">
+    <if_sid>81600,81601,81602,81641</if_sid>
+    <description>Fortigate messages grouped.</description>
+</rule>
+</code>
+  * ⍐ Rule ID 81603 in turn depends on several rules, including the previous 81641. Since the latter 81641 is higher than 81603, **81603 is not executed**.
+  * ⍐ ルール ID 81603 は、前の 81641 を含む複数のルールに依存します。後者の 81641 は 81603 より大きいため、**81603 は実行されません**。
+----
+<code xml>
+<rule id="81614" level="4">
+    <if_sid>81603</if_sid>
+    <match>ssl-login-fail</match>
+    <description>Fortigate: SSL VPN user failed login attempt.</description>
+    <group>authentication_failed,
+gdpr_IV_32.2,
+gdpr_IV_35.7.d,
+gpg13_7.1,
+hipaa_164.312.b,
+invalid_login,
+nist_800_53_AC.7,
+nist_800_53_AU.14,
+pci_dss_10.2.4,
+pci_dss_10.2.5,
+tsc_CC6.1,
+tsc_CC6.8,
+tsc_CC7.2,
+tsc_CC7.3,</group>
+</rule>
+</code>
+  * ⍐ A rule with ID 100700 checks for a match in a rule with ID 81641, which in turn depends on rule ID 81603 (81614 is higher than 81603, so it is executed).
+  * ⍐ ID 100700 のルールは、ID 81641 のルールとの一致をチェックします。このルールは、ルール ID 81603 に依存します (81614 は 81603 より大きいため、実行されます)。
+<WRAP center round info 90%>
+The problem in this case study is that 81614 does not return a result to 100700 **because 81603 was not executed due to the numerical order by ID**.
+</WRAP>
+<WRAP center round info 90%>
+このケーススタディの問題は、**ID による番号順で 81603 が実行されなかったため**、81614 が 100700 に結果を返さないことです。
+</WRAP>
 <wrap #ks10 />
@@ 行 1494: / 行 1609: @@
 <wrap #ks12 />
-===== SIEM reports =====
+===== SIEM レポート =====
 See the topic [[:en:documentation:pandorafms:technical_annexes:22_pfms_report_types#ks18|SIEM events reports]].
+トピック[[:ja:documentation:pandorafms:technical_annexes:22_pfms_report_types#ks18|SIEM イベントレポート]]を参照してください。
 [[ja:documentation:start|Pandora FMS ドキュメント一覧に戻る]]