Linux Server インテグレーションガイド🔗
接続要件🔗
| ソース | 宛先 | ポート/プロトコル |
|---|---|---|
| Linux server | Taegis™ XDR Collector (mgmt IP) | UDP/514 |
インテグレーションから提供されるデータ🔗
| 正規化されたデータ | 汎用的な検知 | ベンダー固有の検知 | |
|---|---|---|---|
| 非Microsoftベースのサーバー（sudo/su/sshd/namedなどのプロセス） | Management | Auth, DNS |
注意
XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。
ログ設定手順🔗
Linux server は、DNS、SSH、sudo のいずれのログであっても、syslog 経由で XDR Collector に送信するよう設定する必要があります。
購入および設定のガイダンスについては、ベンダーのサイトを参照してください。
ログ設定手順の例:
- BIND Logging
- SSH Logging
- Sudoers Manual — ログ関連の
Defaultsオプションについての sudo プロジェクト独自のリファレンスです。
sudo は、コマンドアクティビティを 2 つの方法でログに記録できます。1 つは syslog に直接記録する方法、もう 1 つはローカルログファイルに記録し、その後別のエージェントがそれを XDR Collector に転送する方法です。どちらも XDR でサポートされています。それぞれが生成する正確な形式については Sample logs を参照し、ログ関連の設定オプションの正式な一覧については上記でリンクした Sudoers Manual を使用してください。
サンプルログ🔗
設定によっては、sudo はサポートされている 2 種類の単一行形式のいずれかを出力します。1 つは syslog に直接出力する形式、もう 1 つはローカルログファイルに出力し、その後別のエージェントがそれを XDR Collector に転送する形式です。
複数行または折り返されたログエントリはサポートされていません
XDR Collector はイベントごとに 1 つの syslog メッセージをパースし、複数のメッセージに分割されて到着したログエントリを再構成しません。一部のログ設定では、単一のイベントを折り返したり、1 行を超えて出力したりするため、そのイベントを正しくパースできなくなります。ログが上記のいずれかの単一行形式に似ていない場合は、お使いのディストリビューションまたはベンダーのログドキュメントを参照してください。
syslog プラグインを使用した sudo コマンドアクティビティ (syslog に直接書き込み) のサンプルログ
ログファイルプラグインのサンプルログ
Jul 30 13:31:01 ABC-123 sudo: Jul 30 13:31:01 2019 : root : HOST=ABC-123 ; PWD=/ ; USER=root ; COMMAND=/sbin/dmidecode --string chassis-type
注意
ログファイルプラグイン (たとえば Defaults logfile=...) は、通常、sudo 自体ではなく別のログ転送エージェントによって XDR Collector に転送されます。この形式には年を含む独自の日付が埋め込まれており、無人スクリプトやエージェントから実行される場合など、コマンドが制御端末なしで実行されるときは TTY= の代わりに HOST= を使用します。