Identity Feedを作成して、選択したDecoderとLog Decoderに導入することができます。Identity Feedを作成するには、次の要件があります。
- Identity Feedイベント プロセッサを持つLog Collectorサービス
- Windows収集が構成および有効化されているLog Collectorサービス
Identity Feedを作成するには、次の手順を実行します。
- Feedの宛先を追加します。
-
メッセージの生成をテストします。
- テストのために、ドメイン コントローラに適切なログ メッセージを生成するドメイン上のWindowsコンピュータにユーザをログインさせます。
-
Feedファイルにデータが書き込まれることを確認します。構成されている仮想Log Collector、Log Decoder/CollectorにSSHで接続します。/var/netwitness/logcollector/runtime/identity-feedに移動し、Identity_deployファイルにデータが入力されていることを確認します。
-
Webブラウザ(Internet Explorer以外を推奨)を開き、Log CollectorのRESTインタフェースにログインします。ログインするときは、管理者の認証情報を使用します。たとえば、Log CollectorのIPアドレスが192.168.99.66の場合は、URLは次のようになります。
- SSLが有効ではない場合:http://192.168.99.66:50101/event-processors
- SSLが有効な場合:https://192.168.99.66:50101/event-processors
ブラウザ画面は、次のようになります。
画面には、以前に作成したIdentity Feedの名前が含まれていることに注意してください(この例ではinfonetd_domain)。
Identity Feedが正常に機能するためには、ポート50101をLog Collectorでアクティブにする必要があり、SSL暗号化を有効にするかどうかも決定する必要があります。
- [管理]>[サービス]><設定中のLog Collector>
>[表示]>[エクスプローラ]に移動します。
-
左側のペインで、[rest]>[config]と展開します。
RESTをアクティブにするには、[enabled]に1を設定する必要があります。
-
sslの値に注意してください。ご使用の環境でSSLを有効にする必要がある場合は、onに設定する必要があります。
注: enabledまたはsslオプションのいずれかの設定を変更した場合、Log Collectorサービスを再起動してから先に進む必要があります。
-
[構成]>[カスタムFeed]に移動します。
[feed]ダイアログが表示されます。
-
[Feedの構成]ダイアログが表示されます。
-
[Identity Feed]が選択されていることを確認し、[次へ]をクリックします。
[Identity Feedの構成]パネルが開き、[Feedの定義]タブが表示されます。
-
(状況に応じて)オン デマンドまたは繰り返しのFeedを作成できます。
- 1回だけ実行されるオン デマンドIdentity Feedタスクを定義する場合は、[Feedタスク タイプ]フィールドで[アドホック]を選択し、Feedの名前を入力します。次に、Feedファイルを参照して開きます。
-
定期的に実行される繰り返しIdentity Feedタスクを定義するには、[Feedタスク タイプ]フィールドで[繰り返し]を選択します。
[Feedの定義]ダイアログに、繰り返しFeed用のフィールドが表示されます。
注:RSA NetWitness Platformによって、ファイルが格納されている場所が検証されます。これにより、NetWitness Platformは繰り返しの実行が行われる前に最新のファイルを自動的にチェックできるようになります。
-
[URL]フィールドに入力し、確認します。
-
[URL]フィールドに、Feedデータ ファイルのURLを入力し、[検証]をクリックします。これは以前にセットアップしたREST APIインタフェースです。URLを作成するため次の情報を把握する必要があります。
- Identity Feedファイルを作成するために使用されているLog CollectorのIPアドレス。
- Identityキュー名(ステップ2cで設定)。
- Log CollectorのRESTポートでSSLが有効かどうか(ステップ2fで設定)。
この値は次のように作成します。
- SSLが有効:
https://<LogCollector>:50101/event-processors/<ID Event processor name>?msg=getFile&force-content-type=application/octet-stream&expiry=600
- SSLが無効:
http://<LogCollector>:50101/event-processors/<ID Event processor name>?msg=getFile&force-content-type=application/octet-stream&expiry=600
したがって、これまでの例を使用すると、このフィールドに入力する全体の値は、次のようになります。
-
URL検証が正常に動作するには、NetWitness PlatformUIサーバが、Log CollectorのREST APIポート(50101)にアクセスできることが重要です。これは、SSH経由で、NetWitness PlatformUIサーバに移動してテストできます。そこで次のコマンドを実行します。
- SSLが有効:
curl -vk https://<ip of log collector>:50101
- SSLが無効:
curl -v http://<ip of log collector>:50101
curlコマンドが接続しない場合、ネットワーク ファイアウォールまたはルーティングの問題が、NetWitness PlatformUIサーバとLog Collectorの間にある可能性があります。
接続異常の例:
* About to connect() to 192.168.99.66 port 50105 (#0)
* Trying 192.168.99.66... No route to host
* couldn't connect to host
* Closing connection #0
curl: (7) couldn't connect to host
Example of Good connection:
* About to connect() to 192.168.99.66 port 50105 (#0)
* Trying 192.168.99.66... connected
* Connected to 192.168.99.66 (192.168.99.66) port 50105 (#0)
> GET / HTTP/1.1
> User-Agent: curl/7.19.7 (x86_64-redhat-linux-gnu) libcurl/7.19.7 NSS/3.19.1 Basic ECC zlib/1.2.3 libidn/1.18 libssh2/1.4.2
> Host: 192.168.99.66:50105
> Accept: */*
>
< HTTP/1.1 401 Unauthorized
< Content-Length: 71
< Connection: Keep-Alive
< Pragma: no-cache
< Expires: -1
< Cache-Control: no-cache, no-store, must-revalidate
< WWW-Authenticate: Basic realm="NetWitness"
< Content-Type: text/xml; charset=utf-8
<
<?xml version="1.0" encoding="utf-8"?>
<error>401 Unauthorized</error>
* Connection #0 to host 192.168.99.66 left intact
* Closing connection #0
- SSLが有効:
-
-
Log Collectorからidentity_deploy.csvファイルを取得する際、REST APIではユーザ名とパスワードが必要です。サービス自体で利用可能な任意のユーザ名とパスワードです。詳細については、『ホストおよびサービス スタート ガイド』の「サービスのセキュリティ ビュー」のトピックを参照してください。
使用できるアカウントを確認するには、[管理]>[サービス]><設定中のLog Collector>>[アクション]>[表示]>[セキュリティ]に移動します。
[ユーザ]テーブルには、このステップで使用できるすべてのユーザが表示されます。このセットアップ専用に個別のユーザ アカウントを作成し、この環境以外では使用しないことを、セキュリティ強化のためにお勧めします。詳細については、「システム セキュリティとユーザ管理ガイド」の「ユーザの追加とロールの割り当て」を参照してください。(NetWitness Plarform Logs & Network 11.xのすべてのドキュメントの一覧は、「マスター目次」で確認できます。)
-
繰り返しの間隔を定義するには、次のどちらかの操作を行います。
- Feedの繰り返し間隔を分数、時間数、日数で指定します。
- Feedの繰り返し実行の日付範囲を定義するには、開始日と時刻、終了日と時刻を指定します。
-
SSL暗号化を使用する場合は、NetWitness PlatformUIサーバにLog CollectorのREST APIのSSL証明書をインストールする必要があります。SSL証明書の詳細については、「SSL証明書のインポート」を参照してください。
SSL証明書をインポートした後でも、URLの検証がまだ失敗する場合は、「Identity FeedのURLを検証できない」を参照してください。
- [サービスの選択]ダイアログに進む前に、[検証]をクリックしてIdentity Feed構成を検証します。
-
[次へ]をクリックします。
[サービスの選択]ダイアログが表示されます。
- Feedの導入先のサービスを指定するには、1つ以上のDecoderとLog Decoderを選択し、[次へ]をクリックします。
-
[グループ]タブをクリックし、グループを選択して、[次へ]をクリックします。
[レビュー]ダイアログが表示されます。
注:DecoderおよびLog Decoderが搭載されたデバイスのグループを使用して繰り返しFeedまたはカスタムFeedを作成し、このグループを削除した場合は、Feedを編集して、新しいグループをフィードに追加できます。
-
[完了]をクリックする前であれば、次の操作をいつでも実行できます。
- Feed定義を保存せずにウィザードを終了するには、[キャンセル]をクリックします。
- ウィザードのデータをクリアするには、[リセット]をクリックします。
- 次のフォームを表示するには、[次へ]をクリックします(最後のフォームを表示していない場合)。
- 前のフォームを表示するには、[前へ]をクリックします(最初のフォームを表示していない場合)。
- Feed情報を確認し、正しければ[完了]をクリックします。
Feed定義ファイルが正常に作成されると、[Feedの作成]ウィザードが終了し、Feedと対応するトークン ファイルがFeedグリッドに表示され、進行状況を示す進捗バーが表示されます。各Feedは展開したり折りたたんで表示することが可能で、展開すると、Feedに含まれるサービスや正常に処理されたサービスを確認することができます。
SSL証明書のインポート
Identity FeedのLog CollectorでSSLを構成する場合、NetWitness PlatformUIサーバのキー ストアに、Log CollectorのSSL証明書をインポートします。この証明書をインポートしない場合は、NetWitness PlatformUIサーバは、Log CollectorからIdentity Feedファイルを取得することができません。
-
Log CollectorからSSL証明書を取得するには、NetWitness PlatformUIサーバにSSHで接続し、次のコマンドを実行します。
echo -n | openssl s_client -connect <HOST>:<PORT> | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > /tmp/<SERVERNAME>.cert
このコマンドは、SSL証明書を
/tmp/<SERVERNAME>.cert
に保存します。次に例を挙げます。
echo -n | openssl s_client -connect 192.168.99.66:50101 | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > /tmp/logcollector.cert
-
SSL証明書をNetWitness PlatformUIサーバにインポートするには、UIサーバにSSHで接続し、次のコマンドを実行します。
keytool -importcert -alias <name an alias for the cert> -file <the cert file pathname> -keystore /etc/pki/java/cacerts
次に例を挙げます。
keytool -importcert -alias logcollector01 -file /tmp/logcollector.cert -keystore /etc/pki/java/cacerts
- システムは、パスワードを要求します。NetWitness PlatformUIサーバ上のキーストア用(jettyキーストア用ではない)パスワードを入力します。デフォルトのパスワードはchangeitです。
- jettysrvを再起動し、jettyがストアにある新しい証明書を読み取れるようにします。
Identity FeedのURLを検証できない
SSLを使用していて、Identity FeedのURLを検証できない場合、「SSL証明書のインポート」の手順に従っているかどうかを確認します。
問題が引き続きおこる場合は、証明書の内部名とLog Collectorのホスト名が一致していない可能性があります。次の手順で、これを確認します。
- SSHでNetWitness PlatformUIサーバに接続します。
-
SSL証明書のCN名を出力するために次のコマンドを実行します。
echo -n | openssl s_client -connect <log decoder>:50101 | sed -ne '/BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'
例:
echo -n | openssl s_client -connect salogdecoder01:50101 | sed -ne '/BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'
-
SSL証明書のCN名を取得します。
-
/etc/hostsファイルを編集し、このファイルに、IPアドレスとCN名を追加します。
- アプライアンスでネットワーク サービスを再起動します。
- Identity FeedのURLで完全修飾ドメイン名やIPアドレスではなく、/etc/hostsファイルに格納された名前が使用されていることを確認します。
- Identity FeedのURLを再確認します。