====== SIEM 監視 ======

{{indexmenu_n>10}}

[[ja:documentation:start|Pandora FMS ドキュメント一覧に戻る]]

<wrap #ks1 />

===== 概要 =====

**SIEM** は <wrap :en>Security Information and Event Management</wrap> の略です。[[https://pandorafms.com/en/it-topics/siem/|SIEM]] は、セキュリティイベントの収集、フィルタリング、正規化、相関分析、可視化といった [[:ja:documentation:pandorafms:cybersecurity:40_security_monitoring|セキュリティ監視]] 機能を表します。SIEM は、セキュリティ情報管理 (**SIM**) とセキュリティイベント管理 (**SEM**) を組み合わせたものです。

SIEM は、通常のログ (Apache ログなど)、特定のセキュリティツールのログ (ファイアウォール、IDS、ハニーポット、EDR などのログ)、または別のツール (別の SIEM) からの強化されたイベントから取得されるセキュリティイベントを管理します。

<WRAP center round info 90%>

すべての SIEM PFMS 機能を最大限に活用するには、[[:ja:documentation:pandorafms:monitoring:02_operations|エンドポイント]] に少なくともバージョン 783 をインストールすることを **推奨** します。

</WRAP>

<wrap #ks2 />

===== 動作の仕組み =====

<WRAP center round info 90%>

**Pandora FMS SIEM** は、[[:ja:documentation:pandorafms:monitoring:09_log_monitoring|コレクション]] から取得したログエントリを処理し、データを正規化し、これらのエントリに基づいてセキュリティイベントを生成する役割を担います。

</WRAP>

ログ収集と同様に、**生成された SIEM** イベントは OpenSearch® に保存されるため、この監視を機能させるための最初の要件は [[:ja:documentation:pandorafms:technical_annexes:38_opensearch_installation|OpenSearch インストール]] です。

Pandora FMS SIEM は、サーバ内の 2 つのコンポーネントを使用してセキュリティイベントを生成するため、イベントも 2 つのステップで生成されます。

  * **データ標準化**: すべてのログ収集エントリがデコードされ、新しい正規化されたログエントリが生成され、一時的に保存されます。
  * **イベント生成**: 正規化されたログは、一連のルールに準拠しているかどうかがチェックされます。準拠している場合は、すべてのルール情報とイベントを生成した正規化されたログを含む SIEM イベントが生成されます。

したがって、SIEM 監視の完全なフローは次のようになります。

  * エージェント、プラグイン、その他の情報ソースは、ログを監視または生成し、「dataserver」または「syslogserver」に送信されます。
  * ''dataserver'' と ''syslogserver'' はこれらのログエントリを処理し、ログ収集用に設定された OpenSearch サーバに保存します。
  * ''siemserver'' は、ログ収集で取得したすべてのログをデコードし、SIEM 監視用に設定された OpenSearch サーバ上に正規化されたログを生成します。これらの正規化されたログは一時的に保存されます。
  * ''siemevents'' は、正規化された各ログを処理し、事前定義された一連のルールを満たす場合、SIEM イベントを生成して、SIEM 監視用に設定された OpenSearch サーバに保存します。

生成されたイベントは、Pandora FMS コンソールから操作を確認できます。

<wrap #ks3 />

===== コンソール設定 =====

<WRAP center round info 90%>

[[:ja:documentation:pandorafms:command_center:01_introduction|コマンドセンター]] が有効になっている場合、Pandora SIEM はノードでのみ使用可能になります。

</WRAP>

SIEM イベント監視を使用するには、まずメイン設定から有効化する必要があります。

メニュー <wrap :ja>**管理(Management) → セッティング(Settings) → システム設定(System Settings) → SIEM → SIEM の有効化(Activate SIEM)**</wrap> に移動し、フォームをすべて入力して <wrap :ja>**更新(Update)**</wrap> をクリックして変更を保存します。

これにより、ログの正規化と SIEM イベント生成用に指定された OpenSearch サーバに必要なテンプレートが作成されます。

また、''siemserver'' および ''siemevents'' が開始された Pandora FMS サーバでもこのタイプの監視が有効になります。

<wrap #ks4 />

===== サーバ設定 =====

SIEM イベント監視を実行するには、[[:ja:documentation:pandorafms:installation:04_configuration#siemserver|サーバ設定]] で ''siemserver'' および ''siemevents'' サーバを有効にします。

ログ収集エントリをデコードおよび正規化するには、各ケースで必要な情報を取得する方法を確立するデコード XML ファイル（以下、<wrap :ja>「デコーダー」</wrap>）が必要です。これらの XML ファイルは、サーバ設定の ''siem_decoders'' パラメータで指定されたパスに配置されます。デフォルトでは以下のパスです。

<file>
/usr/share/pandora_server/util/siem/decoders

</file>

SIEM イベントを生成するには、正規化されたログから取得した情報に基づいてイベントを生成する条件を設定したルール XML ファイル（以下、<wrap :ja>「ルール」</wrap>）が必要です。これらの XML ファイルは、サーバ設定の ''siem_events_rules'' パラメータで指定されたパスに配置されます。デフォルトでは以下の場所にあります。

<file>
/usr/share/pandora_server/util/siem/rules

</file>

<WRAP center round info 90%>

Wazuh® の <wrap :ja>デコーダー</wrap> と <wrap :ja>ルール</wrap> の XML ファイルは、Pandora FMS SIEM 監視でサポートされています。

</WRAP>

<wrap #ks5 />

===== エージェント設定 =====

ログ収集の大部分は Pandora FMS エンドポイントを通じて行われます。GNU/Linux® と MS Windows® の両方のシステムで動作するこれらのエージェントには、このタスクを実行するための特定の種類のモジュールが搭載されています。

<WRAP center round info 90%>

すべての SIEM PFMS 機能を最大限に活用するには、[[:ja:documentation:pandorafms:monitoring:02_operations|エンドポイント]] に少なくともバージョン 783 をインストールすることを **推奨** します。

</WRAP>

SIEM 監視は収集されたログの種類に大きく依存するため、その種類を示すにはログ収集モジュールで ''module_source_type'' を指定する必要があります。

タイプは <wrap :ja>デコーダー</wrap> と <wrap :ja>ルール</wrap> によって使用されるため、各ログに示されるタイプを確認するには、アクティブな <wrap :ja>デコーダー</wrap> と <wrap :ja>ルール</wrap> をチェックする必要があります。

最も一般的に使用されるログの種類は次のとおりです。

  * <wrap :en>syslog</wrap>
  * <wrap :en>ids</wrap>
  * <wrap :en>web-log</wrap>
  * <wrap :en>squid</wrap>
  * <wrap :en>windows</wrap>
  * <wrap :en>host-information</wrap>
  * <wrap :en>ossec</wrap>

<wrap #ks5_1 />

==== Linux® エージェント ====

Linux システムにおけるログ収集は、主にログファイルの読み取りによって行われます。これは、以下の最小限の構造を持つモジュール設定を使用することで実現できます。

<code>
module_begin
module_name <program_name>
module_type log
module_regexp <path_to_log_file>
module_pattern <capture_regexp>
module_source_type <log_type>
module_end

</code>

たとえば、Apache サーバからすべてのアクセスログエントリを収集するには、次のようにします。

<code>
module_begin
module_name apache
module_type log
module_regexp /var/log/httpd/access_log
module_pattern .*
module_source_type web-log
module_end

</code>

上記のようなログから収集されたエントリは、次のような <wrap :ja> デコーダー</wrap> で正規化されます。

  * ''web-accesslog''
  * ''web-accesslog-ip''
  * ''web-accesslog-domain''

このようなログのデコードされたログでは、次のようなイベントが生成されます。

  * ''Common web attack''
  * ''XSS (Cross Site Scripting) attempt''
  * ''SQL injection attempt''

<wrap #ks5_2 />

==== MS Windows® エージェント ====

MS Windows® でのログ収集は主にシステムイベントの監視によって行われますが、Linux システムのようにログファイルを読み取ることによっても行うことができます。

Windows イベントシステムを使用すると、これらの 2 つの最小構成のいずれかを含むモジュール設定を使用して、これらのログを収集できます。

イベントが <wrap :en>**Application**</wrap>、<wrap :en>**System**</wrap>、または <wrap :en>**Security**</wrap> のいずれかの場合:

<code>
module_begin
module_name <module_name>
module_type log
module_logchannel
module_source <Application|System|Security>
module_source_type <log_type>
module_end

</code>

または、別のチャネルに属するイベントの場合:

<code>
module_begin
module_name <module_name>
module_type log
module_logchannel
module_source <log_channel_path>
module_source_type <log_type>
module_end

</code>

たとえば、すべての <wrap :en>**Security**</wrap> および <wrap :en>**Windows Defender**</wrap> イベントエントリを収集するには、次のようにします。

<code>
module_begin
module_name Windows_LogEvents_System
module_type log
module_logchannel
module_source Security
module_source_type ossec
module_end

module_begin
module_name Windows_LogchannelEvents_WindowsDefender
module_type log
module_logchannel
module_source Microsoft-Windows-Windows Defender/Operational
module_source_type ossec
module_end

</code>

上記のようなイベントから収集された入力は、<wrap :ja>デコーダー</wrap> によって ''windows_eventchannel'' として正規化されます。

上記のようなイベントのデコードされたログでは、次のようなイベントが生成されます。

  * ''Windows error event''
  * ''Short-time multiple Windows Defender warning events''
  * ''Multiple Windows Defender error events''

ログファイル監視を使用する場合、設定は Linux システムと同じです。次のような最小限の設定が必要です。

<code>
module_begin
module_name <program_name>
module_type log
module_regexp <path_to_log_file>
module_pattern <capture_regexp>
module_source_type <log_type>
module_end

</code>

たとえば、X サーバのすべてのログ エントリを収集するには、次のようにします。

<code>
module_begin
module_name xserver
module_type log
module_regexp C:\server\logs\xserver.log
module_pattern .*
module_source_type xserver
module_end

</code>

<wrap #ks6 />

===== SIEM イベント =====

SIEM 監視を有効にして設定すると、<wrap :ja>**操作(Operation) → SIEM → ダッシュボード(Dashboard)**</wrap> メニューで監視ステータスのプレビューにアクセスできるようになります。

{{  :wiki:siem_dashboard.png  }}

生成された SIEM イベントは、メニュー <wrap :ja>**操作(Operation) → SIEM → イベント(Events)**</wrap> ですべて表示できます。

{{  :wiki:siem_events.png  }}

各 SIEM イベントにはイベントの詳細を示すウィンドウがあり、正規化されたログの情報とイベントを生成したルールが表示されます。

{{  :wiki:siem_event_details.png  }}

ログを正規化した <wrap :ja>デコーダー</wrap> に応じて、イベントには、役立つログ情報を含む <wrap :ja>**動的フィールド(Dynamic fields)**</wrap> タブが表示されます。

{{  :wiki:siem_event_fields.png  }}

イベントを生成したルールに応じて、**MITRE ATT&CKS®** および <wrap :ja>**SIEM グループ(SIEM groups)**</wrap> タブが表示され、イベントの影響に関する有用な情報が表示されます。

{{  :wiki:siem_mitre_event.png  }}

{{  :wiki:siem_event_groups.png  }}

<WRAP center round info 90%>

一般的なダッシュボードとイベントテーブルの両方に表示される情報は、付属の SIEM ウィジェットを使用して [[:ja:documentation:pandorafms:management_and_operation:09_dashboard|Pandora FMS ダッシュボード]] に含めることができます。

</WRAP>

<wrap #ks7 />

===== デコーダー =====

Pandora FMS には、SIEM 監視用の一連の <wrap :ja>デコーダー</wrap> がデフォルトで含まれていますが、管理者は独自のデコーダーを追加できます。

<wrap #ks7_1 />

==== 管理 ====

新しい <wrap :ja>デコーダー</wrap> を追加するには、まず **Pandora FMS サーバ** の設定パラメータ ''siem_decoders'' に指定されたパスにある XML ファイルを追加または編集します。

<wrap :ja>デコーダー</wrap>は、**Pandora FMS マスター** サーバが各サービスの起動時に読み取る XML ファイルを介して環境にロードされます。

<wrap :ja>デコーダー</wrap>がロードされると、その設定がデータベースに保存され、各 ''siemserver'' はログ収集を通じて取得されたエントリに対してそれらを処理します。

Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → SIEM → デコーダー(Decoders)**</wrap> から、ロードされた <wrap :ja>デコーダー</wrap> とその完全な設定を表示できます。

このビューから <wrap :ja>デコーダー</wrap> を無効にすることもできます。これにより、''siemserver'' はログ エントリを正規化するときにデコーダーを考慮しなくなります。

<WRAP center round info 90%>

すべての<wrap :ja>デコーダー</wrap>は、再起動のたびに完全に読み込まれます。つまり、XML ファイルから読み込めなかった<wrap :ja>デコーダー</wrap>は（たとえある時点で読み込めていたとしても）使用できなくなります。また、コンソールから無効化された<wrap :ja>デコーダー</wrap>は（存在する場合）再び有効化されます。

</WRAP>

<wrap #ks7_2 />

==== 書式 ====

<wrap :ja>デコーダー</wrap>は、Pandora FMS で XML ファイルを使用して設定およびロードされます。これらのファイルの有効な書式は次のとおりです。

<code xml>
<var name="VarName">VarValue</var>

<decoder name="DecoderName" discard="yes|no">
    <parent>DecoderName</parent>
    <program_name>REGEXP</program_name>
    <type>EventType</type>
    <prematch type="pcre2">REGEXP</prematch>
    <prematch offset="after_parent">REGEXP</prematch>
    <prematch offset="after_prematch">REGEXP</prematch>
    <regex type="pcre2">REGEXP</regex>
    <regex offset="after_parent">REGEXP</regex>
    <regex offset="after_regex">REGEXP</regex>
    <order>Field1, Field2.Sub1, Field2.Sub2</order>
    <json_null_field>string|discard</json_null_field>
</decoder>
</code>

<wrap #ks7_2_1 />

=== var ===

[[#ks7_2|↑書式]]

変数とその値を示すために使用され、後で XML で使用されます (''$VarName'')。

<code xml>
<var name="VarName">VarValue</var>
</code>

<wrap #ks7_2_2 />

=== decoder ===

[[#ks7_2|↑書式]]

これは<wrap :ja>デコーダー</wrap>情報とその名前です。XMLファイル自体に複数のデコーダーが含まれる場合があります。

  * ''name'': <wrap :ja>デコーダー</wrap> の名前です。複数の <wrap :ja>デコーダー</wrap> が同じ名前を持つ場合、それらはすべて評価されます。
  * ''discard'': ''yes'' または ''no'' の値を指定すると、この値に一致するログを <wrap :ja>デコーダー</wrap> の評価から破棄するかどうかを指定します。''discard="yes"'' が指定された <wrap :ja>デコーダー</wrap> は、他のものより先に評価されます (親 <wrap :ja>デコーダー</wrap> がない限り)。

<code xml>
<decoder name="DecoderName" discard="yes|no">
  …
  …
  …
</decoder>
</code>

<wrap #ks7_2_3 />

=== parent ===

[[#ks7_2|↑書式]]

階層構造を生成するために親 <wrap :ja>デコーダー</wrap> の名前を指定します。

<code xml>
    <parent>DecoderName</parent>
</code>

<wrap #ks7_2_4 />
=== program_name ===

[[#ks7_2|↑書式]]

ログヘッダーまたはログの ''source_id'' で見つかるプログラムの名前。

  * ''type'': 正規表現の種類を指定します。指定がない場合は、[[#ks10_1|OS Regex]] が使用されます。

<code xml>
    <program_name>REGEXP</program_name>
</code>

場合によっては、[[#ks10_2|PCRE2]] で次のように指定されます。

<code xml>
    <program_name type="pcre2">REGEXP</program_name>
</code>

<wrap #ks7_2_5 />

=== type ===

[[#ks7_2|↑書式]]

<wrap :ja>デコーダー</wrap>が比較するログの種類。ログの ''type'' と一致する必要があります。

<code xml>
    <type>EventType</type>
</code>

<wrap #ks7_2_6 />

=== prematch ===

[[#ks7_2|↑書式]]

ログの内容がこれに一致する場合、正規化されたログが生成されます。

  * ''type'': 正規表現の種類を指定します。指定がない場合は、[[#ks10_1|OS Regex]] が使用されます。
  * [[#ks7_2_10|offset]] を参照してください。

<code xml>
    <prematch type="pcre2">REGEXP</prematch>
    <prematch offset="after_parent">REGEXP</prematch>
    <prematch offset="after_prematch">REGEXP</prematch>
</code>

<wrap #ks7_2_7 />

=== regex ===

[[#ks7_2|↑書式]]

この正規表現でキャプチャされたグループは、ログの正規化された情報です。

  * ''type'': 正規表現の種類を指定します。指定がない場合は、[[#ks10_1|OS Regex]] が使用されます。
  * [[#ks7_2_10|offset]] を参照してください。

<code xml>
    <regex type="pcre2">REGEXP</regex>
    <regex offset="after_parent">REGEXP</regex>
    <regex offset="after_regex">REGEXP</regex>
</code>

<wrap #ks7_2_8 />

=== order ===

[[#ks7_2|↑書式]]

[[#ks7_2_7|regex]] によってキャプチャされた値は、キャプチャグループによってソートされてこれらのフィールド名に格納されます。

<code xml>
    <order>Field1, Field2.Sub1, Field2.Sub2</order>
</code>

<wrap #ks7_2_9 />

=== json_null_field ===

[[#ks7_2|↑書式]]

キャプチャグループの null 値は空の文字列として保存されるか、破棄されます。

<code xml>
    <json_null_field>string|discard</json_null_field>
</code>

<wrap #ks7_2_10 />

=== offset ===

[[#ks7_2|↑書式]]

これは、チェックの実行順序を示すために使用され、以下のチェックにおいて正規表現 ''after_parent''、''after_regex''、''after_prematch'' に一致するテキストをログコンテンツから削除します。例：

<code xml>
<decoder name="my_decoder">
  <prematch type="pcre2">^\d\d\d\d/\d\d/\d\d \d\d:\d\d:\d\d </prematch>
  <regex type="pcre2" offset="after_prematch">(\w):(\d+)</regex>
  <order>srcip,srcport</order>
</decoder>
</code>

ログ内のテキストが正規表現 ''^\d\d\d\d/\d\d/\d\d \d\d​​:\d\d:\d\d'' に一致するかどうかを確認し、テキストの該当部分を破棄して、''regex'' を評価する際にそれに応じたキャプチャ処理を行います。この例では、キャプチャグループを簡素化するために、評価時にテキストから日付を削除します。

<wrap #ks8 />

===== ルール =====

Pandora FMS には SIEM 監視用のデフォルトの <wrap :ja>ルール</wrap> セットが含まれていますが、管理者は独自のルールを追加できます。

<wrap #ks8_1 />

==== ルール管理 ====

新しい <wrap :ja>ルール</wrap> を含めるには、まず、設定パラメータ ''siem_rules'' で Pandora FMS サーバに指定されたパスにある XML ファイルを追加または編集します。

<wrap :ja>ルール</wrap>は、**Pandora FMS マスター** サーバが各サービスの起動時に読み込む XML ファイルによって環境にロードされます。

<wrap :ja>ルール</wrap>がロードされると、その設定がデータベースに保存され、各 ''siemevents'' サーバはそれを SIEM 監視の正規化されたエントリとして処理します。

Pandora FMS コンソールでは、メニュー <wrap :ja>**操作(Operation) → SIEM → ルール(Rules)**</wrap> から、読み込まれた <wrap :ja>ルール</wrap> とその完全な設定を確認できます。

このビューから <wrap :ja>ルール</wrap> を無効にして、正規化されたログを処理するときに ''siemevents'' がそれらを考慮しないようにすることもできます。

<WRAP center round info 90%>

すべての<wrap :ja>ルール</wrap>は、再起動のたびにすべて読み込まれます。つまり、XMLファイルから読み込めなかった<wrap :ja>ルール</wrap>は、たとえある時点で読み込めたとしても、利用できなくなります。<wrap :ja>デコーダー</wrap>とは異なり、<wrap :ja>ルール</wrap>には ID があり、これにより再起動のたびに無効にすることができます。

</WRAP>

XMLファイルから読み取れなかった<wrap :ja>ルール</wrap>は、コンソールで「無効」とマークされ、SIEM イベントの生成時に考慮されません。管理者によって手動で無効化された<wrap :ja>ルール</wrap>も考慮されません。したがって、<wrap :ja>ルール</wrap>を評価するには、ルールがアクティブかつ有効化されている必要があります。

<WRAP center round info 90%>

ルールを有効にし、あるルールが別のルールの評価と結果に依存する必要がある場合、**最初のルールの数値識別子は 2 番目のルールの数値識別子よりも小さくする必要があります** (つまり、数値の昇順で実行されます。[[#ks9_1|対応するケーススタディ]] を参照してください)。

</WRAP>

<wrap #ks8_2 />

==== ソート ====

<wrap :ja>//ルール//</wrap>は、最低レベル（''0''）から最高レベル（''15''）まで、複数のレベルに分類されます。以下の表は各レベルについて説明し、SIEM 監視によって生成される各イベントの重要度に関する情報を提供します。

^レベル ^タイトル ^説明|
|0  |Ignored.  |アクションは実行されませんでした。誤検知を回避するために使用されます。これらのルールは、セキュリティとの関連性がないイベントを含む他のすべてのルールよりも先にスキャンされ、セキュリティイベントパネルには表示されません。|
|2  |Notification of low system priority.  |システム通知またはステータスメッセージ。セキュリティとの関連性がないため、セキュリティイベントパネルには表示されません。|
|3  |Successful/authorized events.  |これには、成功したログイン試行、ファイアウォールによって許可されたイベントなどが含まれます。|
|4  |Low system priority error.  |不適切な構成または未使用のデバイス/アプリケーションに関連するエラー。これらはセキュリティとの関連性がなく、通常はデフォルトのインストールまたはソフトウェアテストによって発生します。|
|5  |User-generated error.  |これには、パスワードの忘れ、アクションの拒否などが含まれます。これら自体にはセキュリティとの関連性はありません。|
|6  |Low relevance attack.  |これらは、システムに影響を与えないワームまたはウイルス（Apacheサーバーのコードレッドなど）を示します。また、頻繁な<wrap :ja>侵入検知システム</wrap>（**IDS**）イベントや頻繁なエラーも含まれます。|
|7  |Coincidence of "bad words".  |これらには、「bad」「error」などの単語が含まれます。これらのイベントのほとんどは分類されておらず、セキュリティの観点から何らかの関連性がある可能性があります。|
|8  |First time seen.  |初めて発生したイベントが含まれます。**IDS**イベントが初めてトリガーされたとき、またはユーザーが初めてログインしたときです。スニファーの起動などのセキュリティ関連のアクションも含まれます。|
|9  |Invalid source error.  |未知のユーザーまたは無効なソースからのログイン試行が含まれます。セキュリティに関連する可能性があります（特に繰り返し発生する場合）。これには、「admin」アカウント（root）に関連するエラーも含まれます。|
|10  |Multiple user-generated errors.  |複数の間違ったパスワード、複数のログイン失敗などが含まれます。これらは攻撃を示している場合もあれば、ユーザーが認証情報を忘れただけの場合もあります。|
|11  |Integrity check warning.  |バイナリの変更やルートキットの存在（Rootcheckによる）に関するメッセージが含まれます。これらは攻撃が成功したことを示している可能性があります。また、無視される**IDS**イベント（繰り返し回数が多い）も含まれます。|
|12  |Event of high importance.  |システム、カーネルなどからのエラーまたは警告メッセージが含まれます。特定のアプリケーションに対する攻撃を示している可能性があります。|
|13  |Unusual error (high importance).  |ほとんどの場合、一般的な攻撃パターンと一致します。|
|14  |Security event of high importance.  |ほとんどの場合、相関関係によってトリガーされ、攻撃を示しています。|
|15  |Severe attack.  |誤検知の可能性はありません。早急な対応が必要です。|

これらのレベルに基づいて、イベントには特定の重要度が与えられ、コンソールに表示されます。

  * <wrap :ja>**情報(Informational)**</wrap>: レベル 0 から 6。
  * <wrap :ja>**正常(Normal)**</wrap>: レベル 7 から 8。
  * <wrap :ja>**警告(Warning)**</wrap>: レベル 9 から 11。
  * <wrap :ja>**障害(Critical)**</wrap>: レベル 12 から 15。

<wrap #ks8_3 />

==== 書式 ====

[[#ks8_3_1|詳細書式要素]]

<code xml>
<var name="VarName">VarValue</var>

<group name="GROUP1,GROUP2,">
    <rule id="N" level="N" frequency="N" timeframe="N" ignore="N" overwrite="yes|no">
        <if_matched_sid>N</if_matched_sid>
        <if_matched_group>GROUP</if_matched_group>
        <same_id />
        <different_id />
        <same_field>Field1</same_field>
        <same_field>Field2.Sub1</same_field>
        <different_field>Field1</different_field>
        <different_field>Field2.Sub1</different_field>
        <description>TEXT</description>
        <match type="pcre2">RREGEXP</match>
        <match negate="yes|no">RREGEXP</match>
        <regex type="pcre2">RREGEXP</regex>
        <regex negate="yes|no">RREGEXP</regex>
        <decoded_as>DecoderName</decoded_as>
        <category>EventType</category>
        <field name="Field1">REGEXP</field>
        <field name="Field2.Sub1" negate="yes|no">REGEXP</field>
        <program_name negate="yes|no">REGEXP</program_name>
        <time>TIME-RANGE</time>
        <weekday>DAYS</weekday>
        <if_sid>PARENT1, PARENT2</if_sid>
        <if_group>GROUP</if_group>
        <if_level>N</if_level>
        <info type="text|link|cve">TEXT|LINK|CVE</info>
        <group>GROUP1,GROUP2,</group>
        <mitre>
            <id>MITRE_ID</id>
            <id>MITRE_ID</id>
        </mitre>
    </rule>
</group>

</code>

[[#ks9|ケーススタディ]]も参照してください。

<wrap #ks8_3_1 />

=== var ===

[[#ks8_3|↑完全な書式]]

<code xml>
<var name="VarName">VarValue</var>
</code>

変数とその値を示すために使用され、後で XML で使用されます (''$VarName'')。

<wrap #ks8_3_2 />

=== group ===

[[#ks8_3|↑完全な書式]].

<code xml>
<group name="GROUP1,GROUP2,">
…
</group>
</code>

[[#rule|rule]] によるグループ化が可能です。また、同じルールの条件にも使用されます。

<wrap #ks8_3_3 />

=== rule ===

[[#ks8_3|↑完全な書式]]

<code xml>
    <rule id="N" level="N" frequency="N" timeframe="N" ignore="N" overwrite="yes|no">
    …
    </rule>
</code>

ルール内の情報は次のとおりです。

  - ''id'': ルール識別子。他のルールが上書きされない限り、一意である必要があります。
  - ''level'': イベント生成時のレベル（''0''～''15''）。レベルが ''0'' のルールはイベントを生成しません。
  - ''frequenity'': イベントを生成するために同時発生する必要がある回数。ルールの頻度は、エージェント自身のログに対してチェックされ、他のログに対してはチェックされません。
  - ''timeframe'': 同時発生が許容される時間枠（秒）。
  - ''ignore'': このルールは、ここで指定した秒数後に ''frequenity'' カウンターをリスタートします。
  - ''overwrite'': ''yes'' または ''no'' の値を指定することで、同じ ID を持つルールの設定を上書きできます。 ''overwrite="yes"'' と同時に ''level="0"'' のルールが設定されている場合、他のルールよりも先に評価され、ログが一致した場合は、そのログの残りのルールの評価は破棄されます。

<wrap #ks8_3_4 />

=== if_matched_sid ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_matched_sid>N</if_matched_sid>
</code>

指定された ID を持つ別の [[#rule|rule]] が ''timeframe'' 時間内に ''frequency'' で指定された回数アラートを発報した場合、ルールは満たされます。

<wrap #ks8_3_5 />

=== if_matched_group ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_matched_group>GROUP</if_matched_group>
</code>

''[[#if_matched_sid|if_matched_sid]]'' と似ていますが、グループ用です。

<wrap #ks8_3_6 />

=== same_id ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <same_id />
</code>

同じ ID による同意を与える必要があります。

<wrap #ks8_3_7 />

=== different_id ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <different_id />
</code>

異なる ID による一致を指定する必要があります。

<wrap #ks8_3_8 />

=== same_field ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <same_field>Field1</same_field>
        <same_field>Field2.Sub1</same_field>
</code>

フィールド内が同じ値で一致する必要があります。

<wrap #ks8_3_9 />

=== different_field ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <different_field>Field1</different_field>
        <different_field>Field2.Sub1</different_field>
</code>

フィールド内の異なる値との一致が行われる必要があります。

<wrap #ks8_3_10 />

=== description ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <description>TEXT</description>
</code>

生成されるイベントのテキスト。(変数は、説明と ''info'' でカスタムフィールドの値とともに使用できます。例: ''$(Field1)''、''$(Field2.Sub1)''、''$(Field2.Sub2)''))

<wrap #ks8_3_11 />

=== match ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <match type="pcre2">RREGEXP</match>
        <match negate="yes|no">RREGEXP</match>
</code>

ログの内容がこれに一致する場合、SIEM イベントが生成されます。
  - ''type'': 正規表現の種類を指定できます。指定しない場合は、[[#ks10_1|OS Regex]] が使用されます。
  - ''negate'': ''yes'' を指定すると、一致を否定できます。

<wrap #ks8_3_12 />

=== regex ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <regex type="pcre2">RREGEXP</regex>
        <regex negate="yes|no">RREGEXP</regex>
</code>

"[[#match|match]]" と同じです。
  - ''type'': 正規表現の種類を指定できます。指定しない場合は、[[#ks10_1|OS Regex]] が使用されます。
  - ''negate'': ''yes'' を指定すると、正規表現を拒否できます。

<wrap #ks8_3_13 />

=== decoded_as ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <decoded_as>DecoderName</decoded_as>
</code>

指定された <wrap :ja>デコーダー</wrap> によってログがデコードされた場合、ルールは満たされます。

<wrap #ks8_3_14 />

=== category ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <category>EventType</category>
</code>

<wrap :ja>デコーダー</wrap> のタイプが一致する場合、ルールは満たされます。

<wrap #ks8_3_15 />

=== field ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <field name="Field1">REGEXP</field>
        <field name="Field2.Sub1" negate="yes|no">REGEXP</field>
</code>

指定されたフィールドが値と一致する場合、ルールに準拠します。
  - ''negate'': ''yes'' 値を指定すると、フィールドとの一致を拒否できます。

<wrap #ks8_3_16 />

=== program_name ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <program_name negate="yes|no">REGEXP</program_name>
</code>

ログのソースが一致する場合、ルールは満たされます。
  - ''negate'': ''yes'' の値を指定すると、ソースログとの一致を拒否できます。

<wrap #ks8_3_17 />

=== time ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <time>TIME-RANGE</time>
</code>

指定された時間範囲内にイベントが生成された場合、ルールは一致します。

<wrap #ks8_3_18 />

=== weekday ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <weekday>DAYS</weekday>
</code>

イベントが生成された場合、ルールが日 (''monday - sunday'', ''weekdays'', ''weekends'') に準拠します。

<wrap #ks8_3_19 />

=== if_sid ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_sid>PARENT1, PARENT2</if_sid>
</code>

親ルールのいずれかが満たされると、ルールは満たされます。

<wrap #ks8_3_20 />

=== if_group ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_group>GROUP</if_group>
</code>

ログが指定されたグループ内の他のルールを満たす場合、ルールは満たされます。

<wrap #ks8_3_21 />

=== if_level ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <if_level>N</if_level>
</code>

同じレベルの別のルールが満たされている場合、そのルールは満たされます。

<wrap #ks8_3_22 />

=== info ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <info type="text|link|cve">TEXT|LINK|CVE</info>
</code>

生成されたイベントの追加情報。((変数は、説明と ''info'' でカスタムフィールドの値とともに使用できます。例: ''$(Field1)''、''$(Field2.Sub1)''、''$(Field2.Sub2)''。))

<wrap #ks8_3_23 />

=== group ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <group>GROUP1,GROUP2,</group>
</code>

ルールグループのリスト。

<wrap #ks8_3_24 />

=== mitre ===

[[#ks8_3|↑完全な書式]]

<code xml>
        <mitre>
            <id>MITRE_ID</id>
            <id>MITRE_ID</id>
        </mitre>
</code>

ルールの MITRE ID のリスト。

<wrap #ks9 />

===== ケーススタディ =====

以下のコードは、PHP 関連の [[:ja:documentation:pandorafms:cybersecurity:09_selinux_configuration|SELinux]] ログのルールを記述しています。このルールは、Web サーバ上の通常のポート以外のポートへの接続試行に対してイベントを作成します。

<code xml>
<rule id="100201" level="6">
        <decoded_as>setroubleshoot_program</decoded_as>
        <match>/usr/sbin/php-fpm</match>
        <field name="object_target" type="pcre2">^(?!.*\b(9200|3306|80|443)$).*$</field>
        <field name="object_target" type="pcre2">^(?!.*(directory|file) (conf|data_in|cron.lock)).*$</field>
        <description>SELinux prevented /usr/sbin/php-fpm execution on: $(action) access on the $(object_target)</description>
        <mitre>
            <id>T1071.002</id>
        </mitre>
        <group>exec,threat,PHP</group>
</rule>
</code>

したがって、ポート ''9200''、''3306''、''80''、および ''443'' への接続ではイベントは作成されません。**//directory// または //file// タイプのイベントも作成されません**。

SELinux で使用される一般的な [[#ks7|デコーダー]] :

<code xml>
<decoder name="setroubleshoot">
    <program_name>^setroubleshoot$</program_name>
</decoder>

<decoder name="setroubleshoot_program">
    <parent>setroubleshoot</parent>
    <prematch type="pcre2">(SELinux is preventing|SELinux está negando a)</prematch>
    <regex type="pcre2">(\S+) (?:from|de) (\S+) (?:access on the|el acceso a) (.+?)\. (?:For complete SELinux messages run: sealert -l|Si quiere los mensajes de SELinux completos, ejecute sealert -l) (\S+)$</regex>
    <order>binary,action,object_target,sealert_id</order>
</decoder>

<decoder name="setroubleshoot_program">
    <parent>setroubleshoot</parent>
    <prematch type="pcre2">failed to retrieve rpm info for path</prematch>
    <regex type="pcre2">failed to retrieve rpm info for path (\S+)</regex>
    <order>path</order>
</decoder>
</code>

==== ルール評価順序 ====

次のケーススタディ (**否定的な結果**) は、ルールが他のルールを「照会」して一致が見つかったかどうかを確認し、一致自体を評価してイベントを生成する場合を示しています。

ハードウェアファイアウォールで失敗したログインを検出し、対応するアラートを作成するために使用される一連のルールがあります。

<code xml>
<rule id="81641" level="1">
    <decoded_as>fortigate-firewall-v6</decoded_as>
    <description>Fortigate v6 messages grouped.</description>
</rule>

</code>

  * ⍐ ルール 81641 はデコードされたログと一致し、データの取得を開始します。

----

<code xml>
<rule id="81603" level="0">
    <if_sid>81600,81601,81602,81641</if_sid>
    <description>Fortigate messages grouped.</description>
</rule>

</code>

  * ⍐ ルール ID 81603 は、前の 81641 を含む複数のルールに依存します。後者の 81641 は 81603 より大きいため、**81603 は実行されません**。

----

<code xml>
<rule id="81614" level="4">
    <if_sid>81603</if_sid>
    <match>ssl-login-fail</match>
    <description>Fortigate: SSL VPN user failed login attempt.</description>
    <group>authentication_failed,
gdpr_IV_32.2,
gdpr_IV_35.7.d,
gpg13_7.1,
hipaa_164.312.b,
invalid_login,
nist_800_53_AC.7,
nist_800_53_AU.14,
pci_dss_10.2.4,
pci_dss_10.2.5,
tsc_CC6.1,
tsc_CC6.8,
tsc_CC7.2,
tsc_CC7.3,</group>
</rule>

</code>

  * ⍐ ID 100700 のルールは、ID 81641 のルールとの一致をチェックします。このルールは、ルール ID 81603 に依存します (81614 は 81603 より大きいため、実行されます)。

<WRAP center round info 90%>

このケーススタディの問題は、**ID による番号順で 81603 が実行されなかったため**、81614 が 100700 に結果を返さないことです。

</WRAP>

<wrap #ks10 />

===== 正規表現 =====

正規表現はパターンを定義する文字のシーケンスです。

<wrap :ja>デコーダー</wrap>と <wrap :ja>ルール</wrap>に有効な正規表現には、[[#ks10_1|OS Regex]] と [[#ks10_2|PCRE2]] の 2 種類があります。

<wrap #ks10_1 />

==== OS Regex ====

C言語で作成されたライブラリをベースにしたシンプルな正規表現です。シンプルでありながら、最も一般的な正規表現をサポートするように設計されています。

<wrap #ks10_1_1 />

=== 許容される表現 ===

^式^有効な文字|
|''\w'' |A-Z、a-z、0-9、'-'、'@'、'_'|
|''\d'' |0-9|
|''\s'' |スペース " "|
|''\t'' |タブ|
|''\p'' |<nowiki>()*+,-.:;<=>?[]!"'#$%&|{}</nowiki>|
|''\W'' |\w 以外の文字|
|''\D'' |\d 以外の文字|
|''\S'' |\s 以外の文字|
|''\.'' |その他|

<wrap #ks10_1_2 />

=== 修飾子 ===

^式^動作|
|''+'' |1回以上の繰り返しに一致|
|''*'' |0回以上の繰り返しに一致|

<wrap #ks10_1_3 />

=== 特殊文字 ===

^式^動作|
|''<nowiki>^</nowiki>'' |テキストの先頭を指定する|
|''<nowiki>$</nowiki>'' |テキストの末尾を指定する|
|''<nowiki>|</nowiki>'' |複数のパターン間で論理パターン「or」を作成する|

<wrap #ks10_1_4 />

=== エスケープ文字 ===

次の文字を使用するには、''\'' でエスケープする必要があります。

^  $  ^  (  ^  )  ^  <nowiki>\</nowiki>  ^  <nowiki>|</nowiki>  ^  <  |
|\$  |\(  |\)  |  <nowiki>\</nowiki>|  <nowiki>\|</nowiki>  |\<  |

<wrap #ks10_1_5 />

=== 制限事項 ===

  * 修飾子 ''*'' および ''+'' はバックスラッシュ式にのみ適用でき、単一文字には適用できません（例：''\d+'' はサポートされていますが、''0+'' はサポートされていません）。
  * 選択はグループ内では使用できません。例：''(foo|bar)'' は許可されていません。
  * 複雑なバックトラックはサポートされていません。例：''\p*\d*\s*\w*:'' はコロンのみに一致しません。''\p*'' がコロンを包含するためです。
  * ''.'' はピリオドに一致しますが、''\.'' は任意の文字に一致します。
  * ''\s'' はASCIIスペース（32）にのみ一致し、タブなどの他の空白には一致しません。
  * キャレット、アスタリスク、またはそれ以上のリテラルに一致する構文はありません（ただし、''\p'' は1つ以上のアスタリスクと他のいくつかの文字に一致します）。

<wrap #ks10_2 />

==== PCRE2 ====

<wrap :ja>Perl 互換正規表現</wrap> (**PCRE2**) は、再帰パターン、先読みアサーションと後読みアサーション、非キャプチャグループ、非貪欲な量指定子、文字と文字クラスの拡張書式などの機能を提供します。

詳細については、[[https://www.pcre.org/current/doc/html/pcre2syntax.html|PCRE2 書式のドキュメント]] を参照してください。

<wrap #ks10_2_1 />

=== 許容される表現 ===

^式^有効な文字|
|''.'' |改行以外の任意の文字|
|''\d'' |任意の10進数。''[0-9]'' に相当します。|
|''\D'' |10進数以外の任意の文字。''[^0-9]'' に相当します。|
|''\h'' |任意の水平空白文字|
|''\H'' |水平空白以外の任意の文字|
|''\s'' |任意の空白文字。''[\t\r\n\f]'' に相当します。|
|''\S'' |空白以外の任意の文字。''[^\t\r\n\f]'' に相当します。|
|''\w'' |任意の単語文字|
|''\W'' |任意の非単語文字|

<wrap #ks10_2_2 />

=== 修飾子 ===

^式 ^動作|
|''?'' |0 または 1、greedy|
|''?+'' |0 または 1、possessive|
|''??'' |0 または 1、lazy|
|''*'' |0 以上、greedy|
|''*+'' |0 以上、possessive|
|''*?'' |0 以上、lazy|
|''+'' |1 以上、greedy|
|''++'' |1 以上、possessive|
|''+?'' |1 以上、lazy|
|''{n}'' |ちょうど n|
|''{n,m}'' |n 以上、m 以下、greedy|
|''{n,m}+'' |n 以上、m 以下、possessive|
|''{n,m}?'' |n 以上、m 以下、lazy|
|''{n,}'' |n 以上、greedy|
|''{n,}+'' |n 以上、possessive|
|''{n,}?'' |n 以上、lazy|

<wrap #ks10_2_3 />

=== エスケープ文字 ===

^式 ^動作|
|''\f'' |次のページ (16進数 ''0C'')|
|''\n'' |改行 (16進数 ''0A'')|
|''\r'' |キャリッジリターン (16進数 ''0D'')|
|''\t'' |タブ (16進数 ''09'')|
|''\0dd'' |8進コード ''0dd'' の文字 |
|''\o{ddd..}'' |8進コード ''ddd..'' の文字 |
|''\xhh'' |16進コード ''hh'' の文字 |
|''v\x{hhh…}'' |16進コード ''hh..'' の文字 |

<wrap #ks11 />

===== SIEM アラート =====

トピック[[:ja:documentation:pandorafms:management_and_operation:01_alerts#ks13|SIEM アラートシステム]]を参照してください。

<wrap #ks12 />

===== SIEM レポート =====

トピック[[:ja:documentation:pandorafms:technical_annexes:22_pfms_report_types#ks18|SIEM イベントレポート]]を参照してください。

[[ja:documentation:start|Pandora FMS ドキュメント一覧に戻る]]