SIEM 監視 [wiki.pandorafms.jp]

この文書は読取専用です。文書のソースを閲覧することは可能ですが、変更はできません。もし変更したい場合は管理者に連絡してください。
====== SIEM 監視 ======

{{indexmenu_n>10}}

[[ja:documentation:start|Pandora FMS ドキュメント一覧に戻る]]

<wrap #ks1 />
===== 概要 =====

The acronym **SIEM** stands for <wrap :en>Security Information and Event Management</wrap>. [[https://pandorafms.com/en/it-topics/siem/|SIEM]] describes [[:en:documentation:pandorafms:cybersecurity:40_security_monitoring|security monitoring]] features by collecting, filtering, normalizing, correlating and visualizing security events. It combines security information management (**SIM**) with security event management (**SEM**).

**SIEM** は <wrap :en>Security Information and Event Management</wrap> の略です。[[https://pandorafms.com/en/it-topics/siem/|SIEM]] は、セキュリティイベントの収集、フィルタリング、正規化、相関分析、可視化といった [[:ja:documentation:pandorafms:cybersecurity:40_security_monitoring|セキュリティ監視]] 機能を表します。SIEM は、セキュリティ情報管理 (**SIM**) とセキュリティイベント管理 (**SEM**) を組み合わせたものです。

SIEM manages security events, which may come from an ordinary log (e.g. Apache logs), from the log of a specific security tool (logs of a firewall, IDS, honeypot, EDR, et cetera) or enriched events from another tool (another SIEM).

SIEM は、通常のログ (Apache ログなど)、特定のセキュリティツールのログ (ファイアウォール、IDS、ハニーポット、EDR などのログ)、または別のツール (別の SIEM) からの強化されたイベントから取得されるセキュリティイベントを管理します。

<WRAP center round info 90%>

To take full advantage of all SIEM PFMS features, it is **recommended** to have at least version 783 installed in the [[:en:documentation:pandorafms:monitoring:02_operations|EndPoints]].

</WRAP>

<WRAP center round info 90%>

すべての SIEM PFMS 機能を最大限に活用するには、[[:ja:documentation:pandorafms:monitoring:02_operations|エンドポイント]] に少なくともバージョン 783 をインストールすることを **推奨** します。

</WRAP>

<wrap #ks2 />

===== 動作の仕組み =====

<WRAP center round info 90%>

**Pandora FMS SIEM** is responsible for processing log entries obtained through [[:en:documentation:pandorafms:monitoring:09_log_monitoring|your collection]], normalizing the data and generating security events based on these entries.

</WRAP>

<WRAP center round info 90%>

**Pandora FMS SIEM** は、[[:ja:documentation:pandorafms:monitoring:09_log_monitoring|コレクション]] から取得したログエントリを処理し、データを正規化し、これらのエントリに基づいてセキュリティイベントを生成する役割を担います。

</WRAP>

As with log collection, the **generated SIEM** events are stored in OpenSearch®, so the first requirement to make this monitoring work is to have an [[:en:documentation:pandorafms:technical_annexes:38_opensearch_installation|OpenSearch installation]].

ログ収集と同様に、**生成された SIEM** イベントは OpenSearch® に保存されるため、この監視を機能させるための最初の要件は [[:ja:documentation:pandorafms:technical_annexes:38_opensearch_installation|OpenSearch インストール]] です。

Pandora FMS SIEM generates security events using two components in the server, so events are also generated in two steps:

Pandora FMS SIEM は、サーバ内の 2 つのコンポーネントを使用してセキュリティイベントを生成するため、イベントも 2 つのステップで生成されます。

  * **Data standardization**: All log collection entries are decoded, generating new normalized log entries that are stored temporarily.
  * **Event generation**: Normalized logs are checked for compliance with a set of rules, in which case a SIEM event is generated with all the rule information and the normalized log that generated the event.

  * **データ標準化**: すべてのログ収集エントリがデコードされ、新しい正規化されたログエントリが生成され、一時的に保存されます。
  * **イベント生成**: 正規化されたログは、一連のルールに準拠しているかどうかがチェックされます。準拠している場合は、すべてのルール情報とイベントを生成した正規化されたログを含む SIEM イベントが生成されます。

Thus the complete flow for SIEM monitoring is:

したがって、SIEM 監視の完全なフローは次のようになります。

  * Agents, plugins and other sources of information monitor or generate logs that are sent to the ''dataserver''  or ''syslogserver''.
  * ''dataserver''  and ''syslogserver''  take care of processing these log entries and store them on the OpenSearch server configured for log collection.
  * ''siemserver''  decodes all logs obtained through log collection to generate normalized logs on the OpenSearch server configured for SIEM monitoring. These normalized logs are stored temporarily.
  * ''siemevents''  processes each of the normalized logs and if they meet a set of predefined rules, SIEM events are generated and stored on the OpenSearch server configured for SIEM monitoring.

  * エージェント、プラグイン、その他の情報ソースは、ログを監視または生成し、「dataserver」または「syslogserver」に送信されます。
  * ''dataserver'' と ''syslogserver'' はこれらのログエントリを処理し、ログ収集用に設定された OpenSearch サーバに保存します。
  * ''siemserver'' は、ログ収集で取得したすべてのログをデコードし、SIEM 監視用に設定された OpenSearch サーバ上に正規化されたログを生成します。これらの正規化されたログは一時的に保存されます。
  * ''siemevents'' は、正規化された各ログを処理し、事前定義された一連のルールを満たす場合、SIEM イベントを生成して、SIEM 監視用に設定された OpenSearch サーバに保存します。

With the events generated, it is possible to check them for their operation from Pandora FMS Console.

生成されたイベントは、Pandora FMS コンソールから操作を確認できます。

<wrap #ks3 />

===== コンソール設定 =====

To use SIEM event monitoring, it must first be activated from the main configuration.

SIEM イベント監視を使用するには、まずメイン設定から有効化する必要があります。

Go to menu <wrap :en>**Management → Settings → System Settings → SIEM → Activate SIEM**</wrap>, fill in the form completely and click <wrap :en>**Update**</wrap> to save the changes.

メニュー <wrap :ja>**管理(Management) → セッティング(Settings) → システム設定(System Settings) → SIEM → SIEM の有効化(Activate SIEM)**</wrap> に移動し、フォームをすべて入力して <wrap :ja>**更新(Update)**</wrap> をクリックして変更を保存します。

This will create the necessary templates on the OpenSearch server specified for log normalization and SIEM event generation.

これにより、ログの正規化と SIEM イベント生成用に指定された OpenSearch サーバに必要なテンプレートが作成されます。

It will also activate this type of monitoring in Pandora FMS servers where ''siemserver''  and ''siemevents''  were started.

また、''siemserver'' および ''siemevents'' が開始された Pandora FMS サーバでもこのタイプの監視が有効になります。

<WRAP center round info 90%>

If [[:en:documentation:pandorafms:command_center:01_introduction|Command Center]] is enabled, Pandora SIEM will only be available in the nodes.

</WRAP>

<WRAP center round info 90%>

[[:ja:documentation:pandorafms:command_center:01_introduction|コマンドセンター]] が有効になっている場合、Pandora SIEM はノードでのみ使用可能になります。

</WRAP>

<wrap #ks4 />

===== サーバ設定 =====

To perform SIEM event monitoring, activate ''siemserver''  and ''siemevents''  servers in [[:en:documentation:pandorafms:installation:04_configuration#siemserver|server configuration]].

SIEM イベント監視を実行するには、[[:ja:documentation:pandorafms:installation:04_configuration#siemserver|サーバ設定]] で ''siemserver'' および ''siemevents'' サーバを有効にします。

In order to decode and normalize log collection entries, it will be necessary to have decoding XML files that establish the way to obtain the necessary information in each case (hereinafter, <wrap :en>"decoders"</wrap>). These XML files will be located in the path indicated by the ''siem_decoders''  parameter of the server configuration, by default in:

ログ収集エントリをデコードおよび正規化するには、各ケースで必要な情報を取得する方法を確立するデコード XML ファイル（以下、<wrap :ja>「デコーダー」</wrap>）が必要です。これらの XML ファイルは、サーバ設定の ''siem_decoders'' パラメータで指定されたパスに配置されます。デフォルトでは以下のパスです。

<file>
/usr/share/pandora_server/util/siem/decoders

</file>

In order to generate SIEM events, it will be necessary to have rules XML files that set the conditions to generate an event based on the information obtained in normalized logs (hereinafter, <wrap :en>"rules"</wrap>). These XML files will be located in the path indicated by the ''siem_events_rules''  parameter of the server configuration, by default in:

SIEM イベントを生成するには、正規化されたログから取得した情報に基づいてイベントを生成する条件を設定したルール XML ファイル（以下、<wrap :ja>「ルール」</wrap>）が必要です。これらの XML ファイルは、サーバ設定の ''siem_events_rules'' パラメータで指定されたパスに配置されます。デフォルトでは以下の場所にあります。

<file>
/usr/share/pandora_server/util/siem/rules

</file>

<WRAP center round info 90%>

The XML files of Wazuh® <wrap :en>decoders</wrap> and <wrap :en>rules</wrap> are supported by Pandora FMS SIEM monitoring.

</WRAP>

<WRAP center round info 90%>

Wazuh® の <wrap :ja>デコーダー</wrap> と <wrap :ja>ルール</wrap> の XML ファイルは、Pandora FMS SIEM 監視でサポートされています。

</WRAP>

<wrap #ks5 />

===== エージェント設定 =====

Most of the log collection is done through Pandora FMS EndPoints. These agents, both in GNU/Linux® and MS Windows® systems, have specific types of modules to perform this task.

ログ収集の大部分は Pandora FMS エンドポイントを通じて行われます。GNU/Linux® と MS Windows® の両方のシステムで動作するこれらのエージェントには、このタスクを実行するための特定の種類のモジュールが搭載されています。

<WRAP center round info 90%>

To take full advantage of all SIEM PFMS features, it is **recommended** to have at least version 783 installed in the [[:en:documentation:pandorafms:monitoring:02_operations|EndPoints]].

</WRAP>

<WRAP center round info 90%>

すべての SIEM PFMS 機能を最大限に活用するには、[[:ja:documentation:pandorafms:monitoring:02_operations|エンドポイント]] に少なくともバージョン 783 をインストールすることを **推奨** します。

</WRAP>

SIEM monitoring relies heavily on the type of log collected, so it will be necessary to specify ''module_source_type''  in log collection modules to indicate that type.

SIEM 監視は収集されたログの種類に大きく依存するため、その種類を示すにはログ収集モジュールで ''module_source_type'' を指定する必要があります。

The type is used by <wrap :en>decoders</wrap> and <wrap :en>rules</wrap>, so the active <wrap :en>decoders</wrap> and <wrap :en>rules</wrap> must be checked to know the type to be indicated in each log.

タイプは <wrap :ja>デコーダー</wrap> と <wrap :ja>ルール</wrap> によって使用されるため、各ログに示されるタイプを確認するには、アクティブな <wrap :ja>デコーダー</wrap> と <wrap :ja>ルール</wrap> をチェックする必要があります。

The most commonly used types of logs are:

最も一般的に使用されるログの種類は次のとおりです。

  * <wrap :en>syslog</wrap>
  * <wrap :en>ids</wrap>
  * <wrap :en>web-log</wrap>
  * <wrap :en>squid</wrap>
  * <wrap :en>windows</wrap>
  * <wrap :en>host-information</wrap>
  * <wrap :en>ossec</wrap>

<wrap #ks5_1 />

==== Linux エージェント ====

Log collection on Linux systems is mainly done by reading log files. This can be achieved by using module configurations with this minimal structure:

Linux システムにおけるログ収集は、主にログファイルの読み取りによって行われます。これは、以下の最小限の構造を持つモジュール設定を使用することで実現できます。

<code>
module_begin
module_name <program_name>
module_type log
module_regexp <path_to_log_file>
module_pattern <capture_regexp>
module_source_type <log_type>
module_end

</code>

For example, to collect all access log entries from an Apache server:

たとえば、Apache サーバからすべてのアクセスログエントリを収集するには、次のようにします。

<code>
module_begin
module_name apache
module_type log
module_regexp /var/log/httpd/access_log
module_pattern .*
module_source_type web-log
module_end

</code>

Entries collected from a log like the above would be normalized by <wrap :en> decoders</wrap> such as ''web-accesslog'', ''web-accesslog-ip''  or ''web-accesslog-domain''  among others.

上記のようなログから収集されたエントリは、''web-accesslog''、''web-accesslog-ip''、''web-accesslog-domain'' などの <wrap :ja> デコーダー</wrap> によって正規化されます。

The decoded logs of such a log could generate events such as ''Common\_web\_attack'', ''XSS\_(Cross\_Site\_Scripting)\_attempt''  or ''SQL\_injection\_attempt'' among others.

このようなログのデコードされたログでは、''Common\_web\_attack''、''XSS\_(Cross\_Site\_Scripting)\_attempt''、''SQL\_injection\_attempt'' などのイベントが生成される場合があります。

<wrap #ks5_2 />

==== MS Windows® エージェント ====

Log collection in MS Windows® is mainly done by monitoring system events, although it can also be done by reading log files as in Linux systems.

MS Windows® でのログ収集は主にシステムイベントの監視によって行われますが、Linux システムのようにログファイルを読み取ることによっても行うことができます。

Using the Windows event system, these logs may be collected by using module configurations with one of these two minimum configurations.

Windows イベントシステムを使用すると、これらの 2 つの最小構成のいずれかを含むモジュール設定を使用して、これらのログを収集できます。

If the events are either <wrap :en>**Application**</wrap>, <wrap :en>**System**</wrap> or <wrap :en>**Security**</wrap>:

イベントが <wrap :en>**Application**</wrap>、<wrap :en>**System**</wrap>、または <wrap :en>**Security**</wrap> のいずれかの場合:

<code>
module_begin
module_name <module_name>
module_type log
module_logchannel
module_source <Application|System|Security>
module_source_type <log_type>
module_end

</code>

Or if they are events belonging to a different channel:

または、別のチャネルに属するイベントの場合:

<code>
module_begin
module_name <module_name>
module_type log
module_logchannel
module_source <log_channel_path>
module_source_type <log_type>
module_end

</code>

For example, to collect all <wrap :en>**Security**</wrap> and <wrap :en>**Windows Defender**</wrap> event entries:

たとえば、すべての <wrap :en>**Security**</wrap> および <wrap :en>**Windows Defender**</wrap> イベントエントリを収集するには、次のようにします。

<code>
module_begin
module_name Windows_LogEvents_System
module_type log
module_logchannel
module_source Security
module_source_type ossec
module_end

module_begin
module_name Windows_LogchannelEvents_WindowsDefender
module_type log
module_logchannel
module_source Microsoft-Windows-Windows Defender/Operational
module_source_type ossec
module_end

</code>

Inputs collected from events such as the above would be normalized by <wrap :en>decoders</wrap> as ''windows_eventchannel''.

上記のようなイベントから収集された入力は、<wrap :ja>デコーダー</wrap> によって ''windows_eventchannel'' として正規化されます。

The decoded logs of events such as the above could generate events such as ''Windows\_error\_event'', ''Short-time\_multiple\_Windows\_Defender\_warning\_events'' or ''Multiple\_Windows\_Defender\_error\_events'' among others.

上記のようなイベントのデコードされたログでは、''Windows\_error\_event''、''Short-time\_multiple\_Windows\_Defender\_warning\_events''、''Multiple\_Windows\_Defender\_error\_events'' などのイベントが生成される場合があります。

Using log file monitoring, the configuration is identical to that of Linux systems. A minimal configuration like this is required:

ログファイル監視を使用する場合、設定は Linux システムと同じです。次のような最小限の設定が必要です。

<code>
module_begin
module_name <program_name>
module_type log
module_regexp <path_to_log_file>
module_pattern <capture_regexp>
module_source_type <log_type>
module_end

</code>

For example, to collect all log entries of an X server:

たとえば、X サーバのすべてのログ エントリを収集するには、次のようにします。

<code>
module_begin
module_name xserver
module_type log
module_regexp C:\server\logs\xserver.log
module_pattern .*
module_source_type xserver
module_end

</code>

<wrap #ks6 />

===== SIEM イベント =====

With SIEM monitoring enabled and configured, a preview of the monitoring status may be accessed in the <wrap :en>**Operation → SIEM → Dashboard**</wrap> menu.

SIEM 監視を有効にして設定すると、<wrap :ja>**操作(Operation) → SIEM → ダッシュボード(Dashboard)**</wrap> メニューで監視ステータスのプレビューにアクセスできるようになります。

{{  :wiki:siem_dashboard.png  }}

Generated SIEM events can be fuly displayed in menu <wrap :en>**Operation → SIEM → Events**</wrap>.

生成された SIEM イベントは、メニュー <wrap :ja>**操作(Operation) → SIEM → イベント(Events)**</wrap> ですべて表示できます。

{{  :wiki:siem_events.png  }}

Each SIEM event will have a window with the event details, showing information of the normalized log and the rule that generated the event.

各 SIEM イベントにはイベントの詳細を示すウィンドウがあり、正規化されたログの情報とイベントを生成したルールが表示されます。

{{  :wiki:siem_event_details.png  }}

Depending on the <wrap :en>decoders</wrap> that normalized the log, the event will have <wrap :en>**Dynamic fields**</wrap> tab with useful log information.

ログを正規化した <wrap :ja>デコーダー</wrap> に応じて、イベントには、役立つログ情報を含む <wrap :ja>**動的フィールド(Dynamic fields)**</wrap> タブが表示されます。

{{  :wiki:siem_event_fields.png  }}

Depending on the rule that generated the event, there will be **MITRE ATT&CKS®**  and <wrap :en>**SIEM groups**</wrap> tabs with useful information on the impact of the event.

イベントを生成したルールに応じて、**MITRE ATT&CKS®** および <wrap :ja>**SIEM グループ(SIEM groups)**</wrap> タブが表示され、イベントの影響に関する有用な情報が表示されます。

{{  :wiki:siem_mitre_event.png  }}

{{  :wiki:siem_event_groups.png  }}

<WRAP center round info 90%>

The information shown both in the general Dashboard and in the events table may be included in [[:en:documentation:pandorafms:management_and_operation:09_dashboard|Pandora FMS Dashboards]] by means of the included SIEM widgets.

</WRAP>

<WRAP center round info 90%>

一般的なダッシュボードとイベントテーブルの両方に表示される情報は、付属の SIEM ウィジェットを使用して [[:ja:documentation:pandorafms:management_and_operation:09_dashboard|Pandora FMS ダッシュボード]] に含めることができます。

</WRAP>

<wrap #ks7 />

===== デコーダー =====

Pandora FMS includes a series of <wrap :en>decoders</wrap> by default for SIEM monitoring, but any administrator may include their own.

Pandora FMS には、SIEM 監視用の一連の <wrap :ja>デコーダー</wrap> がデフォルトで含まれていますが、管理者は独自のデコーダーを追加できます。

<wrap #ks7_1 />

==== 管理 ====

To include new <wrap :en>decoders</wrap>, first add or edit an XML file in the path indicated to **Pandora FMS server**  in its configuration parameter ''siem_decoders''.

新しい <wrap :ja>デコーダー</wrap> を追加するには、まず **Pandora FMS サーバ** の設定パラメータ ''siem_decoders'' に指定されたパスにある XML ファイルを追加または編集します。

<wrap :en>Decoders</wrap> are loaded into the environment via XML files that **Pandora FMS master**  server reads at each service startup.

<wrap :ja>デコーダー</wrap>は、**Pandora FMS マスター** サーバが各サービスの起動時に読み取る XML ファイルを介して環境にロードされます。

Once <wrap :en>decoders</wrap> are loaded, their configuration is stored in the database, and each ''siemserver''  processes them for entries obtained through log collection.

<wrap :ja>デコーダー</wrap>がロードされると、その設定がデータベースに保存され、各 ''siemserver'' はログ収集を通じて取得されたエントリに対してそれらを処理します。

From Pandora FMS Console, it will be possible to view the loaded <wrap :en>decoders</wrap> with their complete configuration from menu <wrap :en>**Operation → SIEM → Decoders**</wrap>.

Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → SIEM → デコーダー(Decoders)**</wrap> から、ロードされた <wrap :ja>デコーダー</wrap> とその完全な設定を表示できます。

It is also possible to disable <wrap :en>decoders</wrap> from this view, so that ''siemserver''  does not take them into account when normalizing log entries.

このビューから <wrap :ja>デコーダー</wrap> を無効にすることもできます。これにより、''siemserver'' はログ エントリを正規化するときにデコーダーを考慮しなくなります。

<WRAP center round info 90%>

All <wrap :en>decoders</wrap> are fully loaded at each restart. This means that <wrap :en>decoders</wrap> that could not be read from XML files will not be available (even if they were at some point), and <wrap :en>decoders</wrap> that were disabled from the Console will be re-enabled again (if they exist).

</WRAP>

<WRAP center round info 90%>

すべての<wrap :ja>デコーダー</wrap>は、再起動のたびに完全に読み込まれます。つまり、XML ファイルから読み込めなかった<wrap :ja>デコーダー</wrap>は（たとえある時点で読み込めていたとしても）使用できなくなります。また、コンソールから無効化された<wrap :ja>デコーダー</wrap>は（存在する場合）再び有効化されます。

</WRAP>

<wrap #ks7_2 />

==== 書式 ====

<wrap :en>Decoders</wrap> are configured and loaded in Pandora FMS with XML files. These files may have the following valid syntax:

<wrap :ja>デコーダー</wrap>は、Pandora FMS で XML ファイルを使用して設定およびロードされます。これらのファイルの有効な書式は次のとおりです。

<code xml>
<var name="VarName">VarValue</var>

<decoder name="DecoderName" discard="yes|no">
    <parent>DecoderName</parent>
    <program_name>REGEXP</program_name>
    <type>EventType</type>
    <prematch type="pcre2">REGEXP</prematch>
    <prematch offset="after_parent">REGEXP</prematch>
    <prematch offset="after_prematch">REGEXP</prematch>
    <regex type="pcre2">REGEXP</regex>
    <regex offset="after_parent">REGEXP</regex>
    <regex offset="after_regex">REGEXP</regex>
    <order>Field1, Field2.Sub1, Field2.Sub2</order>
    <json_null_field>string|discard</json_null_field>
</decoder>
</code>

<wrap #ks7_2_1 />

=== var ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

Used to indicate variables with their values, and use them later in XML (''$VarName'').

変数とその値を示すために使用され、後で XML で使用されます (''$VarName'')。

<code xml>
<var name="VarName">VarValue</var>
</code>

<wrap #ks7_2_2 />

=== decoder ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

It is the <wrap :en>decoder</wrap> information, with its name. The XML file itself may contain several.

これは<wrap :ja>デコーダー</wrap>情報とその名前です。XMLファイル自体に複数のデコーダーが含まれる場合があります。

  * ''name'': It is the name of the <wrap :en>decoder</wrap>. Several <wrap :en>decoders</wrap> may have the same name, and they are all evaluated.
  * ''discard'': With a ''yes''  or ''no''  value, it allows to discard logs from the <wrap :en>decoder</wrap> evaluation if they match this one. <wrap :en>Decoders</wrap> with ''discard="yes"''  are evaluated before the rest (as long as they do not have a parent <wrap :en>decoder</wrap>).

  * ''name'': <wrap :ja>デコーダー</wrap> の名前です。複数の <wrap :ja>デコーダー</wrap> が同じ名前を持つ場合、それらはすべて評価されます。
  * ''discard'': ''yes'' または ''no'' の値を指定すると、この値に一致するログを <wrap :ja>デコーダー</wrap> の評価から破棄するかどうかを指定します。''discard="yes"'' が指定された <wrap :ja>デコーダー</wrap> は、他のものより先に評価されます (親 <wrap :ja>デコーダー</wrap> がない限り)。

<code xml>
<decoder name="DecoderName" discard="yes|no">
  …
  …
  …
</decoder>
</code>

<wrap #ks7_2_3 />

=== parent ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

It specifies the name of the parent <wrap :en>decoder</wrap> to generate a hierarchical structure.

階層構造を生成するために親 <wrap :ja>デコーダー</wrap> の名前を指定します。

<code xml>
    <parent>DecoderName</parent>
</code>

<wrap #ks7_2_4 />
=== program_name ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

The name of the program to be found in the log headers or in the ''source_id'' of the log.

ログヘッダーまたはログの ''source_id'' で見つかるプログラムの名前。

  * ''type'': It allows you to specify the type of regular expression. If not specified, [[#ks10_1|OS Regex]] is used.

  * ''type'': 正規表現の種類を指定します。指定がない場合は、[[#ks10_1|OS Regex]] が使用されます。

<code xml>
    <program_name>REGEXP</program_name>
</code>

As the case may be, it is specified for [[#ks10_2|PCRE2]]:

場合によっては、[[#ks10_2|PCRE2]] で次のように指定されます。

<code xml>
    <program_name type="pcre2">REGEXP</program_name>
</code>

<wrap #ks7_2_5 />

=== type ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

The type of logs for which the <wrap :en>decoder</wrap> will be compared. It must match the log ''type''.

<wrap :ja>デコーダー</wrap>が比較するログの種類。ログの ''type'' と一致する必要があります。

<code xml>
    <type>EventType</type>
</code>

<wrap #ks7_2_6 />

=== prematch ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

If the contents of the log match this, it generates a normalized log.

ログの内容がこれに一致する場合、正規化されたログが生成されます。

  * ''type'': It allows you to specify the type of regular expression. If not specified, [[#ks10_1|OS Regex]] is used.
  * See [[#ks7_2_10|offset]].

  * ''type'': 正規表現の種類を指定します。指定がない場合は、[[#ks10_1|OS Regex]] が使用されます。
  * [[#ks7_2_10|offset]] を参照してください。

<code xml>
    <prematch type="pcre2">REGEXP</prematch>
    <prematch offset="after_parent">REGEXP</prematch>
    <prematch offset="after_prematch">REGEXP</prematch>
</code>

<wrap #ks7_2_7 />

=== regex ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

Groups captured with this regular expression are normalized information for the log.

この正規表現でキャプチャされたグループは、ログの正規化された情報です。

  * ''type'': It alows you to specify the type of regular expression. If not specified, [[#ks10_1|OS Regex]] is used.
  * See [[#ks7_2_10|offset]].

  * ''type'': 正規表現の種類を指定します。指定がない場合は、[[#ks10_1|OS Regex]] が使用されます。
  * [[#ks7_2_10|offset]] を参照してください。

<code xml>
    <regex type="pcre2">REGEXP</regex>
    <regex offset="after_parent">REGEXP</regex>
    <regex offset="after_regex">REGEXP</regex>
</code>

<wrap #ks7_2_8 />

=== order ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

Values captured by [[#ks7_2_7|regex]] are stored in these field names, sorted by capture groups.

[[#ks7_2_7|regex]] によってキャプチャされた値は、キャプチャグループによってソートされてこれらのフィールド名に格納されます。

<code xml>
    <order>Field1, Field2.Sub1, Field2.Sub2</order>
</code>

<wrap #ks7_2_9 />

=== json_null_field ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

Null values of the capture groups will be stored as empty strings or discarded.

キャプチャグループの null 値は空の文字列として保存されるか、破棄されます。

<code xml>
    <json_null_field>string|discard</json_null_field>
</code>

<wrap #ks7_2_10 />

=== offset ===

[[#ks7_2|↑Full syntax]]

[[#ks7_2|↑書式]]

It is used to indicate the order in which checks are performed and to discard from the log content for the following checks the text that matches the regular expression: ''after_parent'', ''after_regex'', ''after_prematch''. For example:

これは、チェックの実行順序を示すために使用され、以下のチェックにおいて正規表現 ''after_parent''、''after_regex''、''after_prematch'' に一致するテキストをログコンテンツから削除します。例：

<code xml>
<decoder name="my_decoder">
  <prematch type="pcre2">^\d\d\d\d/\d\d/\d\d \d\d:\d\d:\d\d </prematch>
  <regex type="pcre2" offset="after_prematch">(\w):(\d+)</regex>
  <order>srcip,srcport</order>
</decoder>
</code>

It will check that the text in the log matches the regular expression ''^\d\d\d\d/\d\d/\d\d \d\d:\d\d:\d\d '', will discard that content of the text and when evaluating the ''regex'', it will capture accordingly. In the example, it would remove a date from the text when evaluating to simplify the capture groups.

ログ内のテキストが正規表現 ''^\d\d\d\d/\d\d/\d\d \d\d:\d\d:\d\d'' に一致するかどうかを確認し、テキストの該当部分を破棄して、''regex'' を評価する際にそれに応じたキャプチャ処理を行います。この例では、キャプチャグループを簡素化するために、評価時にテキストから日付を削除します。

<wrap #ks8 />

===== ルール =====

Pandora FMS includes a set of default <wrap :en>rules</wrap> for SIEM monitoring, but any administrator may include their own.

Pandora FMS には SIEM 監視用のデフォルトの <wrap :ja>ルール</wrap> セットが含まれていますが、管理者は独自のルールを追加できます。

<wrap #ks8_1 />

==== 管理 ====

To include new <wrap :en>rules</wrap>, first add or edit an XML file in the path indicated to Pandora FMS server in its configuration parameter ''siem_rules''.

新しい <wrap :ja>ルール</wrap> を含めるには、まず、設定パラメータ ''siem_rules'' で Pandora FMS サーバに指定されたパスにある XML ファイルを追加または編集します。

<wrap :en>Rules</wrap> are loaded into the environment by means of XML files that **Pandora FMS master**  server reads at each service start.

<wrap :ja>ルール</wrap>は、**Pandora FMS マスター** サーバが各サービスの起動時に読み込む XML ファイルによって環境にロードされます。

Once <wrap :en>rules</wrap> are loaded, their configuration is stored in the database, and each ''siemevents''  server processes them for normalized entries in SIEM monitoring.

<wrap :ja>ルール</wrap>がロードされると、その設定がデータベースに保存され、各 ''siemevents'' サーバはそれを SIEM 監視の正規化されたエントリとして処理します。

From Pandora FMS console, it will be possible to see loaded <wrap :en>rules</wrap> with their full configuration fom menu <wrap :en>**Operation → SIEM → Rules**</wrap>.

Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → SIEM → ルール(Rules)**</wrap> から、読み込まれた <wrap :ja>ルール</wrap> とその完全な設定を確認できます。

It is also possible to disable <wrap :en>rules</wrap> from this view, so that ''siemevents''  does not take them into account when processing normalized logs.

このビューから <wrap :ja>ルール</wrap> を無効にして、正規化されたログを処理するときに ''siemevents'' がそれらを考慮しないようにすることもできます。

<WRAP center round info 90%>

All <wrap :en>rules</wrap> are fully loaded at each restart. This means that the <wrap :en>rules</wrap> that could not be read from the XML files will not be available (even if they were at some point). Unlike <wrap :en>decoders</wrap>, <wrap :en>rules</wrap> have an ID that allows to keep them disabled at each reload.

</WRAP>

<WRAP center round info 90%>

すべての<wrap :ja>ルール</wrap>は、再起動のたびにすべて読み込まれます。つまり、XMLファイルから読み込めなかった<wrap :ja>ルール</wrap>は、たとえある時点で読み込めたとしても、利用できなくなります。<wrap :ja>デコーダー</wrap>とは異なり、<wrap :ja>ルール</wrap>には ID があり、これにより再起動のたびに無効にすることができます。

</WRAP>

<wrap :en>Rules</wrap> that could not be read from the XML files will be marked in the Console as "not active" and will not be taken into account when generating SIEM events. <wrap :en>Rules</wrap> that were manually disabled by an administrator will not be taken into account either. Therefore, for <wrap :en>rules</wrap> to be evaluated, they must be active and enabled.

XMLファイルから読み取れなかった<wrap :ja>ルール</wrap>は、コンソールで「無効」とマークされ、SIEM イベントの生成時に考慮されません。管理者によって手動で無効化された<wrap :ja>ルール</wrap>も考慮されません。したがって、<wrap :ja>ルール</wrap>を評価するには、ルールがアクティブかつ有効化されている必要があります。

<wrap #ks8_2 />

==== ソート ====

<wrap :en>//Rules//</wrap> are classified in several levels, ranging from the lowest (''0'') to the highest (''15''). The following table describes each level, providing information on the severity of each event generated by SIEM monitoring.

<wrap :ja>//ルール//</wrap>は、最低レベル（''0''）から最高レベル（''15''）まで、複数のレベルに分類されます。以下の表は各レベルについて説明し、SIEM 監視によって生成される各イベントの重要度に関する情報を提供します。

^Level  ^Title  ^Description|
|0  |Ignored.  |No action was taken. Used to avoid false positives. These rules are scanned before all other rules, including events with no security relevance, and do not appear in the security events panel.|
|2  |Notification of low system priority.  |System notifications or status messages. They have no security relevance and do not appear in the security event panel.|
|3  |Successful/authorized events.  |These include successful login attempts, events allowed by the firewall, and so on.|
|4  |Low system priority error.  |Errors related to bad configurations or unused devices/applications. These have no security relevance and are usually caused by default installations or software testing.|
|5  |User-generated error.  |These include forgotten passwords, denied actions, and so on. By themselves, they have no security relevance.|
|6  |Low relevance attack.  |These indicate a worm or virus that has no effect on the system (such as code red for Apache servers, etc.). This also includes frequent <wrap :en>Intrusion Detection System</wrap> (**IDS**) events and frequent errors.|
|7  |Coincidence of "bad words".  |These include words such as "bad", "error", etc. Most of these events are not classified and may have some relevance from a security point of view.|
|8  |First time seen.  |Include events seen for the first time. The first time an **IDS** event is triggered or the first time a user logs in. It also includes security-relevant actions, such as the activation of a sniffer or similar activities.|
|9  |Invalid source error.  |It includes attempts to log in as an unknown user or from an invalid source. It may have security relevance (especially if repeated). This also includes errors related to the "admin" account (root).|
|10  |Multiple user-generated errors.  |These include multiple incorrect passwords, multiple failed logins, etc. These may indicate an attack or just signal that a user forgot their credentials.|
|11  |Integrity check warning.  |These include messages about binary modification or the presence of rootkits (by Rootcheck). These may indicate a successful attack. They also include **IDS** events that will be ignored (large number of repetitions).|
|12  |Event of high importance.  |These include error or warning messages from the system, kernel, and so on. These may indicate an attack against a specific application.|
|13  |Unusual error (high importance).  |It matches a common attack pattern most of the time.|
|14  |Security event of high importance.  |It is most often triggered by correlation and indicates an attack.|
|15  |Severe attack.  |There is no possibility of false positives. Immediate attention is necessary.|

^レベル ^タイトル ^説明|
|0  |Ignored.  |アクションは実行されませんでした。誤検知を回避するために使用されます。これらのルールは、セキュリティとの関連性がないイベントを含む他のすべてのルールよりも先にスキャンされ、セキュリティイベントパネルには表示されません。|
|2  |Notification of low system priority.  |システム通知またはステータスメッセージ。セキュリティとの関連性がないため、セキュリティイベントパネルには表示されません。|
|3  |Successful/authorized events.  |これには、成功したログイン試行、ファイアウォールによって許可されたイベントなどが含まれます。|
|4  |Low system priority error.  |不適切な構成または未使用のデバイス/アプリケーションに関連するエラー。これらはセキュリティとの関連性がなく、通常はデフォルトのインストールまたはソフトウェアテストによって発生します。|
|5  |User-generated error.  |これには、パスワードの忘れ、アクションの拒否などが含まれます。これら自体にはセキュリティとの関連性はありません。|
|6  |Low relevance attack.  |これらは、システムに影響を与えないワームまたはウイルス（Apacheサーバーのコードレッドなど）を示します。また、頻繁な<wrap :ja>侵入検知システム</wrap>（**IDS**）イベントや頻繁なエラーも含まれます。|
|7  |Coincidence of "bad words".  |これらには、「bad」「error」などの単語が含まれます。これらのイベントのほとんどは分類されておらず、セキュリティの観点から何らかの関連性がある可能性があります。|
|8  |First time seen.  |初めて発生したイベントが含まれます。**IDS**イベントが初めてトリガーされたとき、またはユーザーが初めてログインしたときです。スニファーの起動などのセキュリティ関連のアクションも含まれます。|
|9  |Invalid source error.  |未知のユーザーまたは無効なソースからのログイン試行が含まれます。セキュリティに関連する可能性があります（特に繰り返し発生する場合）。これには、「admin」アカウント（root）に関連するエラーも含まれます。|
|10  |Multiple user-generated errors.  |複数の間違ったパスワード、複数のログイン失敗などが含まれます。これらは攻撃を示している場合もあれば、ユーザーが認証情報を忘れただけの場合もあります。|
|11  |Integrity check warning.  |バイナリの変更やルートキットの存在（Rootcheckによる）に関するメッセージが含まれます。これらは攻撃が成功したことを示している可能性があります。また、無視される**IDS**イベント（繰り返し回数が多い）も含まれます。|
|12  |Event of high importance.  |システム、カーネルなどからのエラーまたは警告メッセージが含まれます。特定のアプリケーションに対する攻撃を示している可能性があります。|
|13  |Unusual error (high importance).  |ほとんどの場合、一般的な攻撃パターンと一致します。|
|14  |Security event of high importance.  |ほとんどの場合、相関関係によってトリガーされ、攻撃を示しています。|
|15  |Severe attack.  |誤検知の可能性はありません。早急な対応が必要です。|

Based on these levels, events will have a specific severity that will be displayed on the console:

これらのレベルに基づいて、イベントには特定の重要度が与えられ、コンソールに表示されます。

  * <wrap :en>**Informational**</wrap>: Levels from 0 to 6.
  * <wrap :en>**Normal**</wrap>: Levels from 7 to 8.
  * <wrap :en>**Warning**</wrap>: Levels from 9 to 11.
  * <wrap :en>**Critical**</wrap>: Levels from 12 to 15.

  * <wrap :ja>**情報(Informational)**</wrap>: レベル 0 から 6。
  * <wrap :ja>**正常(Normal)**</wrap>: レベル 7 から 8。
  * <wrap :ja>**警告(Warning)**</wrap>: レベル 9 から 11。
  * <wrap :ja>**障害(Critical)**</wrap>: レベル 12 から 15。

<wrap #ks8_3 />

==== 書式 ====

[[#ks8_3_1|Detailed syntax elements]]

[[#ks8_3_1|詳細書式要素]]

<code xml>
<var name="VarName">VarValue</var>

<group name="GROUP1,GROUP2,">
    <rule id="N" level="N" frequency="N" timeframe="N" ignore="N" overwrite="yes|no">
        <if_matched_sid>N</if_matched_sid>
        <if_matched_group>GROUP</if_matched_group>
        <same_id />
        <different_id />
        <same_field>Field1</same_field>
        <same_field>Field2.Sub1</same_field>
        <different_field>Field1</different_field>
        <different_field>Field2.Sub1</different_field>
        <description>TEXT</description>
        <match type="pcre2">RREGEXP</match>
        <match negate="yes|no">RREGEXP</match>
        <regex type="pcre2">RREGEXP</regex>
        <regex negate="yes|no">RREGEXP</regex>
        <decoded_as>DecoderName</decoded_as>
        <category>EventType</category>
        <field name="Field1">REGEXP</field>
        <field name="Field2.Sub1" negate="yes|no">REGEXP</field>
        <program_name negate="yes|no">REGEXP</program_name>
        <time>TIME-RANGE</time>
        <weekday>DAYS</weekday>
        <if_sid>PARENT1, PARENT2</if_sid>
        <if_group>GROUP</if_group>
        <if_level>N</if_level>
        <info type="text|link|cve">TEXT|LINK|CVE</info>
        <group>GROUP1,GROUP2,</group>
        <mitre>
            <id>MITRE_ID</id>
            <id>MITRE_ID</id>
        </mitre>
    </rule>
</group>

</code>

See also [[#ks9|Case study]].

[[#ks9|ケーススタディ]]も参照してください。

<wrap #ks8_3_1 />

=== var ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
<var name="VarName">VarValue</var>
</code>

Used to indicate variables with their values, and use them later in XML (''$VarName'').

変数とその値を示すために使用され、後で XML で使用されます (''$VarName'')。

<wrap #ks8_3_2 />

=== group ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]].

<code xml>
<group name="GROUP1,GROUP2,">
…
</group>
</code>

It allows [[#rule|rule]] grouping. It is also used for conditions of the same rules.

[[#rule|rule]] によるグループ化が可能です。また、同じルールの条件にも使用されます。

<wrap #ks8_3_3 />

=== rule ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
    <rule id="N" level="N" frequency="N" timeframe="N" ignore="N" overwrite="yes|no">
    …
    </rule>
</code>

It is the information in the rule:

ルール内の情報は次のとおりです。

  - ''id'': Rule identifier. It must be unique (unless another rule is overwritten).
  - ''level'': Level of the event when generated (''0''  to ''15''). Rules with level ''0''  do not generate an event.
  - ''frequency'': Times that a concurrence must take place to generate an event. Rule frequency is checked for logs of the agent itself, not for any log.
  - ''timeframe'': Time window in which concurrences must be given (seconds).
  - ''ignore'': This rule restarts your ''frequency''  counters after these seconds.
  - ''overwrite'': With ''yes''  or ''no''  values, it allows to overwrite the configuration of a rule with the same ID. If together with ''overwrite="yes"''  the rule has ''level="0"'', it is evaluated before any other and in case of a log match, it discards the evaluation of the rest of the rules for that log.

  - ''id'': ルール識別子。他のルールが上書きされない限り、一意である必要があります。
  - ''level'': イベント生成時のレベル（''0''～''15''）。レベルが ''0'' のルールはイベントを生成しません。
  - ''frequenity'': イベントを生成するために同時発生する必要がある回数。ルールの頻度は、エージェント自身のログに対してチェックされ、他のログに対してはチェックされません。
  - ''timeframe'': 同時発生が許容される時間枠（秒）。
  - ''ignore'': このルールは、ここで指定した秒数後に ''frequenity'' カウンターをリスタートします。
  - ''overwrite'': ''yes'' または ''no'' の値を指定することで、同じ ID を持つルールの設定を上書きできます。 ''overwrite="yes"'' と同時に ''level="0"'' のルールが設定されている場合、他のルールよりも先に評価され、ログが一致した場合は、そのログの残りのルールの評価は破棄されます。

<wrap #ks8_3_4 />

=== if_matched_sid ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_matched_sid>N</if_matched_sid>
</code>

The rule is satisfied if another [[#rule|rule]] with the indicated ID triggered an alert the times indicated by ''frequency''  within the ''timeframe'' time.

指定された ID を持つ別の [[#rule|rule]] が ''timeframe'' 時間内に ''frequency'' で指定された回数アラートを発報した場合、ルールは満たされます。

<wrap #ks8_3_5 />

=== if_matched_group ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_matched_group>GROUP</if_matched_group>
</code>

Like ''[[#if_matched_sid|if_matched_sid]]'' but for groups.

''[[#if_matched_sid|if_matched_sid]]'' と似ていますが、グループ用です。

<wrap #ks8_3_6 />

=== same_id ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <same_id />
</code>

Concurrences with the same ID must be given.

同じ ID による同意を与える必要があります。

<wrap #ks8_3_7 />

=== different_id ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <different_id />
</code>

Concurrences with different IDs must be given.

異なる ID による一致を指定する必要があります。

<wrap #ks8_3_8 />

=== same_field ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <same_field>Field1</same_field>
        <same_field>Field2.Sub1</same_field>
</code>

Concurrences with the same values in the field must take place.

フィールド内が同じ値で一致する必要があります。

<wrap #ks8_3_9 />

=== different_field ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <different_field>Field1</different_field>
        <different_field>Field2.Sub1</different_field>
</code>

Concurrences with different values in the field must take place.

フィールド内の異なる値との一致が行われる必要があります。

<wrap #ks8_3_10 />

=== description ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <description>TEXT</description>
</code>

The text for the event to be generated.((Variables can be used in the description and in ''info'' with the values of the custom fields, e.g.: ''$(Field1)'', ''$(Field2.Sub1)'', ''$(Field2.Sub2)''.))

生成されるイベントのテキスト。(変数は、説明と ''info'' でカスタムフィールドの値とともに使用できます。例: ''$(Field1)''、''$(Field2.Sub1)''、''$(Field2.Sub2)''))

<wrap #ks8_3_11 />

=== match ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <match type="pcre2">RREGEXP</match>
        <match negate="yes|no">RREGEXP</match>
</code>

If the contents of the log match this, it generates a SIEM event.
  - ''type'': It allows you to specify the type of regular expression. If not specified, [[#ks10_1|OS Regex]] is used.
  - ''negate'': With a ''yes'' value you may deny the match.

ログの内容がこれに一致する場合、SIEM イベントが生成されます。
  - ''type'': 正規表現の種類を指定できます。指定しない場合は、[[#ks10_1|OS Regex]] が使用されます。
  - ''negate'': ''yes'' を指定すると、一致を否定できます。

<wrap #ks8_3_12 />

=== regex ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <regex type="pcre2">RREGEXP</regex>
        <regex negate="yes|no">RREGEXP</regex>
</code>

Same as "[[#match|match]]".
  - ''type'': It allows you to specify the type of regular expression. If not specified, [[#ks10_1|OS Regex]] is used.
  - ''negate'': With a ''yes'' value you may deny the regular expression.

"[[#match|match]]" と同じです。
  - ''type'': 正規表現の種類を指定できます。指定しない場合は、[[#ks10_1|OS Regex]] が使用されます。
  - ''negate'': ''yes'' を指定すると、正規表現を拒否できます。

<wrap #ks8_3_13 />

=== decoded_as ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <decoded_as>DecoderName</decoded_as>
</code>

The rule is satisfied if the log was decoded by the indicated <wrap :en>decoder</wrap>.

指定された <wrap :ja>デコーダー</wrap> によってログがデコードされた場合、ルールは満たされます。

<wrap #ks8_3_14 />

=== category ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <category>EventType</category>
</code>

The rule is satisfied if the type of the <wrap :en>decoder</wrap> matches.

<wrap :ja>デコーダー</wrap> のタイプが一致する場合、ルールは満たされます。

<wrap #ks8_3_15 />

=== field ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <field name="Field1">REGEXP</field>
        <field name="Field2.Sub1" negate="yes|no">REGEXP</field>
</code>

If the indicated field matches the value, it complies with the rule.
  - ''negate'': With a ''yes'' value, it allows to deny the match with the field.

指定されたフィールドが値と一致する場合、ルールに準拠します。
  - ''negate'': ''yes'' 値を指定すると、フィールドとの一致を拒否できます。

<wrap #ks8_3_16 />

=== program_name ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <program_name negate="yes|no">REGEXP</program_name>
</code>

If the source of the log matches, the rule is met.
  - ''negate'': With a ''yes'' value, it allows to deny matches with the source log.

ログのソースが一致する場合、ルールは満たされます。
  - ''negate'': ''yes'' の値を指定すると、ソースログとの一致を拒否できます。

<wrap #ks8_3_17 />

=== time ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <time>TIME-RANGE</time>
</code>

If the event is generated in the indicated time range, the rule matches.

指定された時間範囲内にイベントが生成された場合、ルールは一致します。

<wrap #ks8_3_18 />

=== weekday ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <weekday>DAYS</weekday>
</code>

If the event is generated the days the rule complies with (''monday - sunday'', ''weekdays'', ''weekends'').

イベントが生成された場合、ルールが日 (''monday - sunday'', ''weekdays'', ''weekends'') に準拠します。

<wrap #ks8_3_19 />

=== if_sid ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_sid>PARENT1, PARENT2</if_sid>
</code>

The rule is met if any of the parent rules are met.

親ルールのいずれかが満たされると、ルールは満たされます。

<wrap #ks8_3_20 />

=== if_group ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_group>GROUP</if_group>
</code>

The rule is met if the log meets any other rule in the specified group.

ログが指定されたグループ内の他のルールを満たす場合、ルールは満たされます。

<wrap #ks8_3_21 />

=== if_level ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_level>N</if_level>
</code>

The rule is met if another rule with the same level has been met.

同じレベルの別のルールが満たされている場合、そのルールは満たされます。

<wrap #ks8_3_22 />

=== info ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <info type="text|link|cve">TEXT|LINK|CVE</info>
</code>

Additional information for the generated event.((Variables can be used in the description and in ''info'' with the values of the custom fields, e.g.: ''$(Field1)'', ''$(Field2.Sub1)'', ''$(Field2.Sub2)''.))

生成されたイベントの追加情報。((変数は、説明と ''info'' でカスタムフィールドの値とともに使用できます。例: ''$(Field1)''、''$(Field2.Sub1)''、''$(Field2.Sub2)''。))

<wrap #ks8_3_23 />

=== group ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <group>GROUP1,GROUP2,</group>
</code>

List of rule groups.

ルールグループのリスト。

<wrap #ks8_3_24 />

=== mitre ===

[[#ks8_3|↑Complete syntax]].

[[#ks8_3|↑完全な書式]]

<code xml>
        <mitre>
            <id>MITRE_ID</id>
            <id>MITRE_ID</id>
        </mitre>
</code>

List of the MITRE IDs of the rule.

ルールの MITRE ID のリスト。

<wrap #ks9 />

===== ケーススタディ =====

The following code describes a rule for PHP-related [[:en:documentation:pandorafms:cybersecurity:09_selinux_configuration|SELinux]] logs. This rule creates events for any attempt to connect to ports other than the usual ones on a web server.

以下のコードは、PHP 関連の [[:ja:documentation:pandorafms:cybersecurity:09_selinux_configuration|SELinux]] ログのルールを記述しています。このルールは、Web サーバ上の通常のポート以外のポートへの接続試行に対してイベントを作成します。

<code xml>
<rule id="100201" level="6">
        <decoded_as>setroubleshoot_program</decoded_as>
        <match>/usr/sbin/php-fpm</match>
        <field name="object_target" type="pcre2">^(?!.*\b(9200|3306|80|443)$).*$</field>
        <field name="object_target" type="pcre2">^(?!.*(directory|file) (conf|data_in|cron.lock)).*$</field>
        <description>SELinux prevented /usr/sbin/php-fpm execution on: $(action) access on the $(object_target)</description>
        <mitre>
            <id>T1071.002</id>
        </mitre>
        <group>exec,threat,PHP</group>
</rule>
</code>

Thus, connections to ports ''9200'', ''3306'', ''80'' and ''443'' will not create events. **Neither will events of type //directory// or //file//**.

したがって、ポート ''9200''、''3306''、''80''、および ''443'' への接続ではイベントは作成されません。**//directory// または //file// タイプのイベントも作成されません**。

General [[#ks7|decoder]] decoder used for SELinux:

SELinux で使用される一般的な [[#ks7|デコーダー]] :

<code xml>
<decoder name="setroubleshoot">
    <program_name>^setroubleshoot$</program_name>
</decoder>

<decoder name="setroubleshoot_program">
    <parent>setroubleshoot</parent>
    <prematch type="pcre2">(SELinux is preventing|SELinux está negando a)</prematch>
    <regex type="pcre2">(\S+) (?:from|de) (\S+) (?:access on the|el acceso a) (.+?)\. (?:For complete SELinux messages run: sealert -l|Si quiere los mensajes de SELinux completos, ejecute sealert -l) (\S+)$</regex>
    <order>binary,action,object_target,sealert_id</order>
</decoder>

<decoder name="setroubleshoot_program">
    <parent>setroubleshoot</parent>
    <prematch type="pcre2">failed to retrieve rpm info for path</prematch>
    <regex type="pcre2">failed to retrieve rpm info for path (\S+)</regex>
    <order>path</order>
</decoder>
</code>

<wrap #ks10 />

===== 正規表現 =====

Regular expressions are sequences of characters that define a pattern.

正規表現はパターンを定義する文字のシーケンスです。

There are two types of regular expressions valid for <wrap :en>decoders</wrap> and <wrap :en>rules</wrap>: [[#ks10_1|OS Regex]] and [[#ks10_2|PCRE2]].

<wrap :ja>デコーダー</wrap>と <wrap :ja>ルール</wrap>に有効な正規表現には、[[#ks10_1|OS Regex]] と [[#ks10_2|PCRE2]] の 2 種類があります。

<wrap #ks10_1 />

==== OS Regex ====

They are simple regular expressions based on a library made in C language. It is designed to be simple and at the same time support the most common regular expressions.

C言語で作成されたライブラリをベースにしたシンプルな正規表現です。シンプルでありながら、最も一般的な正規表現をサポートするように設計されています。

<wrap #ks10_1_1 />

=== 許容される表現 ===

^Expression^Valid characters|
|''\w''   |A-Z, a-z, 0-9, '-', '@', '_'|
|''\d''   |0-9|
|''\s''   |Spaces " "|
|''\t''   |Tabulation|
|''\p''   |<nowiki>()*+,-.:;<=>?[]!"'#$%&|{}</nowiki>|
|''\W''   |Anything other than \w|
|''\D''   |Anything other than \d|
|''\S''   |Anything other than \s|
|''\.''   |Anything other|

^式^有効な文字|
|''\w'' |A-Z、a-z、0-9、'-'、'@'、'_'|
|''\d'' |0-9|
|''\s'' |スペース " "|
|''\t'' |タブ|
|''\p'' |<nowiki>()*+,-.:;<=>?[]!"'#$%&|{}</nowiki>|
|''\W'' |\w 以外の文字|
|''\D'' |\d 以外の文字|
|''\S'' |\s 以外の文字|
|''\.'' |その他|

<wrap #ks10_1_2 />

=== 修飾子 ===

^Expression^Behavior|
|''+''   |To match one or more times|
|''*''   |To match zero or more times|

^式^動作|
|''+'' |1回以上の繰り返しに一致|
|''*'' |0回以上の繰り返しに一致|

<wrap #ks10_1_3 />

=== 特殊文字 ===

^Expression^Behavior|
|''<nowiki>^</nowiki>''   |To specify the beginning of the text|
|''<nowiki>$</nowiki>''   |To specify the end of the text|
|''<nowiki>|</nowiki>''   |To create a logical pattern "or" among multiple patterns|

^式^動作|
|''<nowiki>^</nowiki>'' |テキストの先頭を指定する|
|''<nowiki>$</nowiki>'' |テキストの末尾を指定する|
|''<nowiki>|</nowiki>'' |複数のパターン間で論理パターン「or」を作成する|

<wrap #ks10_1_4 />

=== エスケープ文字 ===

To use the following characters you must escape them with ''\'':

次の文字を使用するには、''\'' でエスケープする必要があります。

^  $  ^  (  ^  )  ^  <nowiki>\</nowiki>  ^  <nowiki>|</nowiki>  ^  <  |
|\$  |\(  |\)  |  <nowiki>\</nowiki>|  <nowiki>\|</nowiki>  |\<  |

<wrap #ks10_1_5 />

=== 制限事項 ===

  * The ''*''  and ''+''  modifiers may only be applied to backslash expressions, not to single characters (e.g. ''\d+'' is supported, ''0+''  is not supported).
  * Alternation cannot be used in a group, e.g. ''(foo|bar)''  is not allowed.
  * Complex backtracking is not supported, e.g., ''\p*\d*\s*\w*:'', it does not match only colon because ''\p*''  consumes the colon.
  * ''.''  matches a literal period, while ''\.''  matches any character.
  * ''\s''  matches only an ASCII space (32), not other blanks such as tabs.
  * There is no syntax to match a caret, asterisk or more literal (although ''\p'' will match an asterisk or more, along with some other characters).

  * 修飾子 ''*'' および ''+'' はバックスラッシュ式にのみ適用でき、単一文字には適用できません（例：''\d+'' はサポートされていますが、''0+'' はサポートされていません）。
  * 選択はグループ内では使用できません。例：''(foo|bar)'' は許可されていません。
  * 複雑なバックトラックはサポートされていません。例：''\p*\d*\s*\w*:'' はコロンのみに一致しません。''\p*'' がコロンを包含するためです。
  * ''.'' はピリオドに一致しますが、''\.'' は任意の文字に一致します。
  * ''\s'' はASCIIスペース（32）にのみ一致し、タブなどの他の空白には一致しません。
  * キャレット、アスタリスク、またはそれ以上のリテラルに一致する構文はありません（ただし、''\p'' は1つ以上のアスタリスクと他のいくつかの文字に一致します）。

<wrap #ks10_2 />

==== PCRE2 ====

<wrap :en>Perl Compatible Regular Expression</wrap> (**PCRE2**) provides features such as recursive patterns, look-ahead and look-back assertions, non-capture groups, non-voracious quantifiers, extended syntax for characters and character classes, among others.

<wrap :ja>Perl 互換正規表現</wrap> (**PCRE2**) は、再帰パターン、先読みアサーションと後読みアサーション、非キャプチャグループ、非貪欲な量指定子、文字と文字クラスの拡張書式などの機能を提供します。

For more details, see the [[https://www.pcre.org/current/doc/html/pcre2syntax.html|PCRE2 syntax documentation]].

詳細については、[[https://www.pcre.org/current/doc/html/pcre2syntax.html|PCRE2 書式のドキュメント]] を参照してください。

<wrap #ks10_2_1 />

=== 許容される表現 ===

^Expression^Valid characters|
|''.''   |Any character except new line|
|''\d''   |Any decimal digit, equal to ''[0-9]'' |
|''\D''   |Any character other than a decimal digit, equal to ''[^0-9]'' |
|''\h''   |Any horizontal white space character|
|''\H''   |Any character that is not a horizontal blank space|
|''\s''   |Any white space character, equal to ''[\t\r\n\f]'' |
|''\S''   |Any character that is not a blank space, equal to ''[^\t\r\n\f]'' |
|''\w''   |Any "word" character|
|''\W''   |Any "non-word" character|

^式^有効な文字|
|''.'' |改行以外の任意の文字|
|''\d'' |任意の10進数。''[0-9]'' に相当します。|
|''\D'' |10進数以外の任意の文字。''[^0-9]'' に相当します。|
|''\h'' |任意の水平空白文字|
|''\H'' |水平空白以外の任意の文字|
|''\s'' |任意の空白文字。''[\t\r\n\f]'' に相当します。|
|''\S'' |空白以外の任意の文字。''[^\t\r\n\f]'' に相当します。|
|''\w'' |任意の単語文字|
|''\W'' |任意の非単語文字|

<wrap #ks10_2_2 />

=== 修飾子 ===

^Expression  ^Behavior|
|''?''   |0 or 1, greedy|
|''?+''   |0 or 1, possessive|
|''??''   |0 or 1, lazy|
|''*''   |0 or more, greedy|
|''*+''   |0 or more, possessive|
|''*?''   |0 or more, lazy|
|''+''   |1 or more, greedy|
|''++''   |1 or more, possessive|
|''+?''   |1 or more, lazy|
|''{n}''   |Exactly n|
|''{n,m}''   |At least n, no more than m, greedy|
|''{n,m}+''   |At least n, no more than m, possessive|
|''{n,m}?''   |At least n, no more than m, lazy|
|''{n,}''   |n or more, greedy|
|''{n,}+''   |n or more, possessive|
|''{n,}?''   |n or more, lazy|

^式 ^動作|
|''?'' |0 または 1、greedy|
|''?+'' |0 または 1、possessive|
|''??'' |0 または 1、lazy|
|''*'' |0 以上、greedy|
|''*+'' |0 以上、possessive|
|''*?'' |0 以上、lazy|
|''+'' |1 以上、greedy|
|''++'' |1 以上、possessive|
|''+?'' |1 以上、lazy|
|''{n}'' |ちょうど n|
|''{n,m}'' |n 以上、m 以下、greedy|
|''{n,m}+'' |n 以上、m 以下、possessive|
|''{n,m}?'' |n 以上、m 以下、lazy|
|''{n,}'' |n 以上、greedy|
|''{n,}+'' |n 以上、possessive|
|''{n,}?'' |n 以上、lazy|

<wrap #ks10_2_3 />

=== エスケープ文字 ===

^Expression  ^Behavior|
|''\f''   |Next page (hexadecimal ''0C'')|
|''\n''   |New line (hexadecimal ''0A'')|
|''\r''   |Carriage return (hexadecimal ''0D'')|
|''\t''   |Tabulation (hexadecimal ''09'')|
|''\0dd''   |Character with octal code ''0dd'' |
|''\o{ddd..}''   |Character with octal code ''ddd..'' |
|''\xhh''   |Character with hexadecimal code ''hh'' |
|''v\x{hhh…}''   |Character with hexadecimal code ''hh..'' |

^式 ^動作|
|''\f'' |次のページ (16進数 ''0C'')|
|''\n'' |改行 (16進数 ''0A'')|
|''\r'' |キャリッジリターン (16進数 ''0D'')|
|''\t'' |タブ (16進数 ''09'')|
|''\0dd'' |8進コード ''0dd'' の文字 |
|''\o{ddd..}'' |8進コード ''ddd..'' の文字 |
|''\xhh'' |16進コード ''hh'' の文字 |
|''v\x{hhh…}'' |16進コード ''hh..'' の文字 |

<wrap #ks11 />

===== SIEM アラート =====

See the topic [[:en:documentation:pandorafms:management_and_operation:01_alerts#ks13|SIEM alert system]].

トピック[[:ja:documentation:pandorafms:management_and_operation:01_alerts#ks13|SIEM アラートシステム]]を参照してください。

<wrap #ks12 />

===== SIEM レポート =====

See the topic [[:en:documentation:pandorafms:technical_annexes:22_pfms_report_types#ks18|SIEM events reports]].

トピック[[:ja:documentation:pandorafms:technical_annexes:22_pfms_report_types#ks18|SIEM イベントレポート]]を参照してください。

[[ja:documentation:start|Pandora FMS ドキュメント一覧に戻る]]