エンタープライズのセキュリティ運用では、WAAP、ADC、AAM、ヘルスチェック、管理者アクション、GTMイベントはプロダクトコンソール内に閉じ込められるべきではありません。SOCチームはこれらのイベントを自社SIEM、ログ分析、コンプライアンスシステムで見たいと考えます。ベンダーがログを独自のまたは変換が困難な形式で保持する場合、インシデント調査が断片化されます。
異なるSIEMプラットフォームは異なる形式の期待を持ちます。一部のチームは検索とインデックスのためにJSONを望み、一部はCEFの既製パーサーを利用し、一部はプレーンなplainText syslogストリームを好みます。単一の形式を押し付ける製品は統合タイムラインを延長し、ログの正規化を組織に押し付けます。
マルチテナントまたはネームスペース分離環境では、ログストリーミングはさらに繊細になります。各テナントのログは自社のSIEMに到達する必要があり、異なるネームスペースからのイベントは混在してはいけません。単一のグローバルsyslog出力はこのようなアーキテクチャでは分離性と監査性の両面で不十分です。
ログ量も課題です。高頻度のヘルスチェックやセキュリティイベントシナリオでは、すべての細かいイベントをSIEMへ送信するとコストとノイズが発生します。ソースレベルのフィルタリング、ヘルスチェックverboseコントロール、複数プロファイル、適切な場合のサンプリングはすべてログ運用モデルの一部でなければなりません。
TR7 SIEMログストリーミングはネームスペーススコープのトランスポートプロファイル、UDP/TCP syslog、RFC3164/RFC5424サポート、JSON/CEF/plainTextメッセージ形式、ソースレベルのフィルタリングを通じてこれらすべてに対処し、プラットフォームイベントを組織自身のSIEMパイプラインへ運びます。
TR7はログ転送を単一のグローバル出力としてではなく、ネームスペース、形式、ソース、宛先ごとに管理されるプロファイルモデルとして扱います。
各ネットワークネームスペースに専用のログトランスポートプロセスを実行できます。このモデルはマルチテナント環境で異なるテナントのログストリームが混在するのを防ぎ、各テナントのログが自社のSIEMターゲットに到達することを保証します。
ログメッセージはJSON、CEF、またはplainTextとして生成できます。JSONは検索とインデックスワークフローに、CEFは既製のSIEMパーサーを可能にし、plainTextは一般的なsyslog互換性をカバーします。
各トランスポートプロファイルはどのログソースを転送するかを選択します。管理者のアクション、ヘルスチェックイベント、通知、GTMイベント、セキュリティイベントはそれぞれ必要に応じて別々のプロファイルで管理できます。
ログトランスポートプロファイルは管理データから同期されます。プロファイルが追加、変更、または削除されると、完全なシステムを再起動することなく関連するネームスペースプロセスが更新されます。
SIEMログストリーミングはTR7プラットフォームイベントを標準syslogトランスポートとSIEM対応メッセージ形式を通じて外部ログインフラへ運びます。
UDPトランスポートは従来のsyslogトポロジーと互換性のある直接的な出力モデルです。デフォルトのsyslogポート514を使用でき、プロファイルレベルで異なるポートを選択できます。信頼性の高いLAN環境で低オーバーヘッドのログ転送を実現します。UDPは設計上配信保証を提供しないため、重要な環境ではTCPが望ましいです。
TCPトランスポートはSIEMターゲットへの接続型ログストリームを望むチームが使用します。ターゲットホスト、ポート、タイムアウトはプロファイルで定義できます。典型的なTCPタイムアウトは10000 msです。TCPはUDPより制御された配信を提供しますが、ターゲットシステムが低速な場合は接続動作を監視する必要があります。
RFC3164は従来のBSD syslog形式を使用するシステムとの統合でサポートされています。syslogAppNameプロファイルフィールドはメッセージプレフィックスとして使用でき、デフォルト値はTR7_syslog_clientにできます。古いSIEMまたはsyslogレシーバーに対して幅広い互換性を提供します。この形式はモダンな構造化データを必要としない環境で実用的な選択です。
RFC5424はより現代的なsyslog標準で、構造化データフィールドをサポートします。TR7ログプロファイルはこの標準を選択して、より整理されたマシンで処理可能なsyslogメッセージを生成できます。SIEM側でのフィールド解析とイベント分類がより一貫性のあるものになります。JSONまたはCEFペイロードと組み合わせると、強力な統合モデルを形成します。
JSON形式ではタイムスタンプ、ソース、severity、メッセージ、metaなどのフィールドが簡単にマシンで処理できます。ログ分析、インデックス、クエリシステムのフィールドベースの検索が簡略化されます。SOCチームはイベントを生のテキスト行としてではなく、解析されたフィールドとして調べることができます。この形式はモダンなログプラットフォームとの統合で優先されます。
CEFメッセージはCEF:0|TR7|LogTransport|1.0|...|の構造で生成されます。severity値は0〜10のスケールにマッピングされます。info 3、warning 5、error 7、critical 10などのレベルが使用されます。キーバリューフィールドはSIEM側の既製パーサーで処理できます。この形式はイベント分類と相関のための標準CEFストリームを望むSOCチームに適しています。
plainText形式はISOタイムスタンプ、severity、ソース、メッセージフィールドを人間が読める形式で生成します。複雑なパーサーのない環境や一時的な統合のために素早く導入できます。人間の可読性が高く、JSONやCEFが不要なシンプルなログターゲットに適しています。
userLogsは管理者のアクション、hcLogsはヘルスチェックイベント、notificationLogsはシステム通知、gtmLogsはGTMイベントをカバーします。各プロファイルは必要なソースのみを送信するよう定義できるため、関連するログクラスのみがSIEMに到達します。WAAPセキュリティイベントも同一のトランスポートパイプラインを通じて組織のログインフラへ転送できます。
ヘルスチェックログは高負荷システムで大量を生成する可能性があります。hcLogsVerboseがfalseの場合、stateChange条件を持つヘルスチェックイベントのみが送信されます。このアプローチはSIEMノイズを削減し、意味のあるサービス状態の遷移のみを浮かび上がらせます。verboseモードはトラブルシューティング期間中に一時的に有効にできます。
同一ネームスペース内で複数のトランスポートプロファイルをアクティブにできます。1つのプロファイルがSOC SIEMへCEF形式で送信する一方、別のプロファイルがログ分析システムへJSON形式で転送できます。この構造は同じログストリームを異なるチームのニーズに合わせてファンアウトします。マルチターゲットシナリオは独立した外部ログルーターを導入する必要を削減します。
SIEMログストリーミングはフォーマッティング、プロファイル同期、検証、エラー分離、メッセージサニタイゼーションの動作と合わせて運用されます。
CEFのvendorとproductフィールドはTR7 / LogTransport / 1.0として生成されます。Severityは0〜10のスケールにマッピングされます。メッセージフィールドはSIEMパーサーが読み取れるキーバリューペアとして構造化されます。
syslogAppNameプロファイルフィールドはsyslogメッセージでのアプリケーション名として使用されます。デフォルト値はTR7_syslog_clientにできます。このフィールドはSIEM側でのソース識別とフィルタリングに重要です。
プロファイル変更はネームスペースごとにグループ化され、関連するトランスポートプロセスに適用されます。古いプロファイルが削除された場合、関連するプロセスは終了されます。新しいまたは変更されたプロファイルはリスタートなしでアクティブなログストリームに取り込まれます。
transportType値がsyslogでない場合、プロファイルは現在のsyslogトランスポートパイプラインに受け入れられません。この構造は将来的に異なるトランスポートタイプへの拡張の余地を残します。現在のサポートはUDPとTCP syslogに限定されます。
syslogクライアントの接続とエラーイベントは内部ロガーを通じて記録されます。ターゲットSIEMの接続エラーはメインの管理プロセスをダウンさせません。オペレーターはログとプロファイル状態を通じて接続の問題を監視できます。
UIソースのメッセージにHTMLコンテンツが含まれる場合、syslogへ送信される前にテキストコンテンツが抽出されます。これはCEF形式でのフィールドの安全性とパーサーの一貫性に特に重要です。ログメッセージはよりクリーンで安全な形式でSIEMへ配信されます。
セキュリティチームはWAAPイベントをCEF形式でSIEMへ送信できます。ルール、severity、ソース、metaフィールドはSIEMパーサーで処理されます。SOCチームはTR7インターフェースに入ることなく自社の相関画面でイベントを確認します。
運用チームはJSON形式を選択してログをフィールドインデックス化された形式で外部ログプラットフォームへ転送できます。タイムスタンプ、ソース、severity、metaフィールドがクエリ可能になります。エラー分析とトレンド抽出が簡略化されます。
マネージドサービスプロバイダーは各テナントに対して独立したネームスペースと独立したログトランスポートプロファイルを定義できます。各テナントのログは自社のSIEMターゲットへ転送されます。テナントデータが同一ログストリームで混在することを防ぎます。
コンプライアンスチームはuserLogs、notificationLogs、ヘルスチェックstate-changeイベントを中央SIEMへミラーリングできます。ローカルログが削除またはローテーションされても、重要なイベントは外部システムに保持されます。監査時に管理者のアクションとシステムイベントを遡って調査できます。
ネームスペーススコープのプロファイル、JSON/CEF/plainText形式、ソースレベルのフィルタリング — お客様自身の環境でライブセットアップをご案内します。