オープンソース

  1. サーバ構築のデージーネットTOP
  2. OSS情報
  3. OSS紹介
  4. Graylog～ログ管理の課題を解決するOSS～
  5. Graylog Content Packs「windows_authentication_for_sidecar」
一覧へ

2. Graylog Content Packs「windows_authentication_for_sidecar」セットアップ

2.1. 前提・事前準備

Graylog Content Packs「windows_authentication_for_sidecar」は、Graylog専用のため、基本的なGraylogシステムが構築済みであることが前提です。なお、本ドキュメントの対象となるソフトウェア にて記載されているバージョン以上のGraylogでないとインストールできません。
なお、このContent Packsの内容は、Graylogが提供している「Sidecar」というログ収集エージェント管理ツールを使用して、WindowsのログをGraylogに送る想定で作成されています。そのため、Graylog・WindowsそれぞれでSidecar用の設定を行う必要があります。
また、使用にあたっては以下の条件を満たす必要があるため、設定が不足している場合は別途設定をしてください。
  • GraylogのSMTP設定がされている
  • GraylogのIndex Setsの設定がされている

なお、Index Setsのサンプルは次の通りです。
_images/sample_indexset.png

2.2. Graylog Content Packs「windows_authentication_for_sidecar」をインストールする

2.2.1. windows_authentication.jsonをダウンロードする

以下の「ダウンロード」をクリックし、windows_authentication_for_sidecar.jsonをダウンロードします。

ダウンロード

2.2.2. Graylog上にwindows_authentication_for_sidecar.jsonをアップロードする

Graylogの「System」メニュー内の「Content Packs」をクリックします。
_images/move_to_contentpacks_display.png

「Content Packs」の画面の「Upload」をクリックします。
_images/contentpacks_display.png

アップロード画面が表示されるので、ダウンロードしたwindows_authentication_for_sidecar.jsonを選択し、「Upload」をクリックします。
_images/upload_contentpacks.png

アップロードに成功した場合、「Content Packs」の画面に「Windows Authentication Failure Monitoring」が表示されます。（すぐ表示されない場合は、一度別画面を表示してから、再度「Content Packs」の画面を表示してください）
_images/after_upload_contentpacks.png

2.2.3. アップロードされたContent Packをインストールする

「Windows Authentication Failure Monitoring」の「Install」をクリックします。
_images/move_to_install_contentpacks.png

インストール画面が表示されるので、必要に応じて以下の項目を入力します。
  • Input bind address
    • ログを受信するIPアドレスを指定します。デフォルトは「0.0.0.0」です
  • Input port
    • ログを受信するポート番号を指定します。デフォルトは「5044」です。なお、対応しているのはTCP通信のみです。
  • Privileged account query
    • アラート検知対象のうち、「管理者ユーザでイベントが発生」の対象の管理者ユーザを検索するクエリを指定します。「TargetUserName:管理者ユーザ名」の形式で指定します。複数ある場合は「 OR 」で繋げます。デフォルトは「winlogbeat_winlog_event_data_TargetUserName:Administrator OR winlogbeat_winlog_event_data_TargetUserName:admin」です。
_images/edit_install_contentpacks.png

入力後、画面下部の「Install」をクリックします。
_images/install_contentpacks.png

インストールに成功した場合、「Windows Authentication Failure Monitoring」に「installed」と表示されます。
_images/success_install_contentpacks.png

2.2.4. ログの受信設定（Inputs）を確認する

Graylogの「System」メニュー内の「Inputs」をクリックします。
_images/move_to_inputs_display.png

「Windows_client」が表示されているかを確認します。この時、「bind_address」と「port」が、インストール時に指定した内容になっているかを確認します。
_images/inputs_display.png

2.2.5. ログの振り分け設定（Streams）を確認・設定する

Graylogの「Streams」をクリックし、「Streams」の画面に「Windows - Authentication Failures」が表示されているかを確認します。
_images/move_to_streams_display.png

「Windows - Authentication Failures」の「More」→「Edit stream」をクリックします。
_images/move_to_edit_streams.png

編集画面が表示されるので、「Index Set」に事前に設定しておいたIndex Setsを指定し、「Update stream」をクリックします。
_images/edit_streams.png

この時点では、「Windows - Authentication Failures」はまだ動いておらず、振り分けがされない状態です。「Paused」と表示されている部分をクリックすると、このstreamが動き始めます。「Running」と表示されていれば問題ありません。
_images/exec_run_streams.png _images/runnnig_streams.png

2.2.6. ダッシュボード（Dashboards）を確認する

Graylogの「Dashboards」をクリックし、「Dashboards」の画面に「 Windows Authentication Failures Overview」が表示されているかを確認します。
_images/move_to_dashboard.png

クリックすると、以下のようなダッシュボードが表示されます。ログの受信・振り分けがまだされていない場合（もしくは該当のイベントログが出ていない場合）は、表やグラフに何も表示されていない状態となります。
各表やグラフについては、後の章にて説明します。
_images/dashboard.png

2.2.7. アラート通知設定（Alerts の Notifications）を確認・設定する

Graylogの「Alerts」をクリックし、「Alerts」画面内の「Notifications」をクリックします。
_images/move_to_alert_notifications_display.png

「Notifications」の画面に「Notify - Windows Auth Failure - Email」が表示されているかを確認します。
_images/alert_notifications_display.png

「Notify - Windows Auth Failure - Email」の「More」→「Edit」をクリックします。
_images/move_to_edit_alert_notifications.png

編集画面が表示されるので、「Email recipient(s)」を実際にアラート通知メールを送信するメールアドレスに変更します。
_images/edit_alert_notifications.png

変更後、画面下部の「Update notification」をクリックします。
_images/update_alert_notifications.png

2.2.8. アラート検知設定（Alerts の Event Definitions）を確認する

Graylogの「Alerts」をクリックし、「Alerts」画面内の「Event Definitions」をクリックします。
_images/move_to_alert_eventdefinitions_display.png

「Notifications」の画面に、以下が表示されているかを確認します。
  • Windows Auth Failures - Volume Threshold
  • Windows Auth Failures - Repeated Failures From Same IP
  • Windows Auth Failures - Privileged Account Failure
_images/alert_eventdefinitions_display.png

「Windows Auth Failures - Privileged Account Failure」をクリックすると詳細画面が表示されます。その中の「Search Query」が、インストール時に指定した内容になっているかを確認します。
_images/detail_eventdefinisions.png

2.3. Sidecarをインストール・Graylogと連携する

2.3.1. Graylog側でAPIキーを発行する

GraylogとWindowsでSidecar連携を行う上で、APIキーを発行する必要があります。まず、Graylogの「System」メニュー内の「Sidecars」をクリックします。
_images/move_to_sidecar_display.png

「Sidecars」の画面内の「Create or reuse a token for the graylog-sidecar user」をクリックします。
_images/move_to_create_token_display.png

APIキー（Token）の作成・管理画面が表示されるので、以下を入力して「Create Token」をクリックします。
  • Token Name
    • 作成するAPIキー（Token）の名前を指定します。あくまでも管理用の表示名です。
  • Token TTL
    • APIキー（Token）の有効期限を指定します。
_images/create_token.png

作成に成功した場合、画面中央にAPIキー（Token）が表示されます。別画面に遷移すると以後二度と表示されないので、APIキー（Token）の内容をコピーして必ず保管してください。なお、画面下部には作成したAPIキー（Token）の情報が表示されます。
_images/success_create_token.png

2.3.2. Windows側でSidecarをインストール・設定する

続いて、対象のWindowsにSidecarをインストールします。以下のURLから、SidecarのWindows用インストーラーをダウンロードします。ダウンロード対象のファイルは「graylog_sidecar_installer_XXX.exe」です。（XXXは任意のバージョンに読み替えてください）

https://github.com/Graylog2/collector-sidecar/releases


ダウンロード後、インストーラーを起動します。以下の画面が表示されるので、「Next>」をクリックします。
_images/sidecar_install_windows_1.png

利用規約に関する画面が表示されるので、確認後「I Agree」をクリックします。
_images/sidecar_install_windows_2.png

セットアップ画面が表示されます。以下の内容を入力して「Install」をクリックするとインストールが開始されます。
  • Enter the URL to your Graylog API
    • GraylogのAPIエンドポイントを入力します。基本的にはIPアドレスを変更するだけです。
  • The name of this instance
    • Sidecarのインスタンス名を入力します。
  • Enter the server API token
_images/sidecar_install_windows_3.png

インストールに成功すると以下の画面が表示されるので、「Finish」をクリックして終了します。
_images/sidecar_install_windows_4.png

インストールされたファイル類は、基本的に「C:\Program Files\Graylog\sidecar\」にあります。そのファイル類の中にある「sidecar.yml」を開いて、以下の項目（インストール時に入力した内容）が正しいことを確認します。
:
<略>
:
server_url: "http://192.168.XXX.XXX:9000/api"
:
<略>
:
server_api_token: "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"
:
<略>
:
node_name: "Windows11-01"
:
<略>
:

次に、Graylogと連携するために必要なタグの設定を行います。以下が設定例です。このContent Packsでは「windows」と「winlogbeat」の2種類のタグを使う想定の内容となっているため、特に問題なければその2つのタグを設定します。
:
<略>
:
# Default: []
#tags: [ default ]
# Example:
#    tags:
#    - apache-logs
#    - dns-logs
tags:
  - windows
  - winlogbeat
:
<略>
:

2.3.3. Graylog側でSidecar連携設定をする

続いて、GraylogにてSidecarとの連携設定を行います。Graylogの「System」メニュー内の「Sidecars」をクリックします。
_images/move_to_sidecar_display.png

「Sidecars」の画面内の「Configuration」をクリックします。
_images/move_to_sidecar_configuration_display.png

「Configurations」に表示されている「Sidecar-for-Windows-client」の「Edit」をクリックします。
_images/move_to_edit_sidecar_configuration.png

該当のConfigurationの編集画面が表示されます。まず、「Configuration Assignment Tags」に、 Windows側でSidecarをインストール・設定する にて「sidecar.yml」に設定したタグを追加します。
_images/edit_sidecar_configuration_1.png

次に、「Configuration」の「output.logstash」の「hosts」を設定します。GraylogのIPアドレス（ Windows側でSidecarをインストール・設定する にて設定した「sidecar.yml」の「server_url」のIPアドレス）、ならびに アップロードされたContent Packをインストールする にて設定したポート番号を指定します。
_images/edit_sidecar_configuration_2.png

設定後、画面下部の「Update configuration」をクリックします。
_images/update_sidecar_configuration.png

2.3.4. Windows側でSidecarを再起動する

最後に、Windowsにて「Windows Powershell」を管理者権限で起動し、以下のコマンドでSidecarを再起動します。
> Restart-service graylog-sidecar

まだ起動していない場合は、Sidecarのインストールディレクトリにて、以下のコマンドを実行します。
> .\graylog-sidecar.exe -service install
> .\graylog-sidecar.exe -service start

再起動（起動）した場合、Sidecarのインストールディレクトリ内に「generated」というディレクトリが作成され、その中に連携データやログが配置されます。

また、Graylogの「Sidecars」画面にて、 Windows側でSidecarをインストール・設定する で設定したインスタンス名が表示され、「Status」が「Running」になっていることを確認します。
_images/sidecar_overview.png
実際にログが収集できているかは、同画面の「Show messages」で確認できます。もし収集されていない場合は、WindowsのSidecarのログを確認するなどして原因特定と改善を行います。


以上でセットアップは完了です。
一覧へ