Sumo Logic

Keeper SIEMのプッシュをSumo Logicに統合

概要

KeeperはSumo Logicへのイベントストリーミングに対応しています。外部へのログ出力はリアルタイムで行われ、新しいイベントは数分以内に表示されます。設定手順は以下のとおりです。

Sumo Logic連携では、単一の sync URL が必要です。

HTTPログとメトリクスのソースを設定する

HTTP Logs and Metrics Sourceを構成する手順は以下のとおりです。

1. Sumo Logicで、[Manage Data] > [Collection] > [Collection] を選択します。
2. [Collectors] ページで、[Hosted Collector] の横にある [Add Source] をクリックします。
3. [HTTP Logs & Metrics] を選択します。
4. Sumo WebアプリケーションでSourceに表示する名前を入力します。任意でDescriptionを入力します。
5. (オプション) [Source Host] と [Source Category] には、ソースから収集された出力にタグ付けするための任意の文字列を入力します (カテゴリメタデータは、「_sourceCategory」という検索可能なフィールドに保存されます)。
6. Cloud SIEM Enterprise (CSE) が有効な場合に [SIEM Processing] のオプションが表示されます。ソースが収集したログをCSEに送信するには、チェックボックスをクリックします。
7. [+ Add Field] のリンクをクリックし、関連付けたいフィールドを定義します。

   • フィールドがFieldsテーブルスキーマに存在する場合は、 (チェックマーク付きの緑の円) が表示されます。
   • フィールドがFieldsテーブルスキーマに存在しない場合は、 (感嘆符の付いたオレンジ色の三角形) が表示されます。この場合、存在しないフィールドをFieldsテーブルスキーマに自動的に追加するオプションが選択できます。Fieldsスキーマに存在しないフィールドがSumoに送信された場合はドロップと呼ばれ、無視されます。
8. ソースに関連するURLが表示されたら、そのURLをコピーしてKeeperでのイベントストリーミング設定に使用します。
9. ソースの構成が完了した後、[Save] をクリックします。
10. Processing Ruleについては、allowlist、denylist、hash、maskなど、必要なフィルタをCreate a Processing Ruleの記載どおりに設定します。Processing Ruleはログデータに適用されますが、メトリックデータには適用されません。

KeeperでのSIEMセットアップで使用するHTTPソースアドレス