シナリオ

セキュリティ情報およびイベント管理（SIEM）ツールなどの他の企業ツールに監査イベントを送信するために、 Event Streams トピックを IBM Cloud Activity Tracker Event Routing ターゲットとして定義できます。 データをデータレイクや他の分析ツール、他のSIEMツールにルーティングする場合、 Activity Tracker Event Routing が提供する機能に加えて、さらに機能を追加することができます：

• オンプレミス環境とクラウドベース環境の全体にわたり、エンタープライズ・データを可視化できます。
• 組織に影響を与える可能性のあるセキュリティーの脅威を識別し、優先順位を付けることができます。
• 人工知能 (AI) を使用して脅威とインシデントを調査することによって、脆弱性を検出できます。

前提条件

• Activity Tracker Event Routing について学習する。 詳しくは、製品情報を参照してください。

• IBM Cloud CLI をインストールします。 詳しくは、『IBM CloudCLI のインストール』を参照してください。

• 最新の Activity Tracker Event Routing CLI V2 プラグインをローカルシステムにインストールする。 Activity Tracker Event Routing CLI のインストールを参照してください。

• IBM Cloud アカウントのメンバーまたは所有者であるユーザー ID が必要です。 IBM Cloud 、ユーザーIDを取得してください： アカウント作成.

• アカウント Activity Tracker Event Routing の設定を管理するすべてのユーザーに、アクセスポリシーを割り当てる必要があります。 そのポリシーによって、ユーザーが実行できるアクションが決まります。 許可されるアクションは、サービス上で実行できる操作として、Activity Tracker Event Routing によってカスタマイズされて定義されます。 その後、操作は IAM ユーザー役割にマップされます。 詳細はこちらをご覧ください。

  あなたのユーザーIDは、 IBM Cloud Activity Tracker Event Routing サービスを管理するための管理者プラットフォーム権限が必要です。 アカウント所有者にお問い合わせください。 アカウント所有者は、ユーザー・アクセスの管理とアカウント・リソースの管理を行う目的で、別のユーザーにアカウントへのアクセス権限を付与できます。 詳細はこちら。

Event Streams トピックの構成

アカウントで収集された監査イベントは、 Event Streams トピックにルーティングできます。

Activity Tracker Event Routing を設定すると、地域ごとにターゲットを定義できる。 ターゲットは、その領域内の監査イベントがルーティングされる Event Streams インスタンスおよびトピックを定義します。

以下のステップを実行します。

1. IBM Cloud アカウントにログインします。

2. Event Streams インスタンスを作成します。

   Event Streams サービスプランの制限を確認する。 詳しくは、制限と割り当て量を参照してください。

   a. カタログ で Event Streams サービスにアクセスします。

   b. 「サービス・インスタンス」ページでプランを選択します。

   c. サービスの名前を入力します。 デフォルト値を使用することができます。

   d. 「作成」 をクリックします。 Event Streams **「開始」**ページが開きます。

3. トピックを選択します。

4. **「トピックの作成 (Create a topic)」**をクリックします。

   

5. トピック名を入力し、**「次へ」**をクリックします。

   

6. パーティションの数を入力し、**「次へ」**をクリックします。

   トピックは 1 つ以上のパーティションで構成されます。 パーティションは、メッセージの番号付きリストです。 トピックのスケーラビリティーを高めるために、パーティションは複数のブローカーにわたって分散されます。 また、コンシューマー・グループのメンバー間でメッセージを分散させるためにパーティションを使用することもできます。

   

7. **「メッセージの保存 (Message retention)」を選択して「トピックの作成 (Create Topic)」**をクリックします。

   **「メッセージの保存 (Message retention)」**は、メッセージが削除されるまでの保存期間を定義します。 この期間内にメッセージがコンシューマーによって読み取られない場合、それらは失われます。

Event Streams で認証するための資格情報を作成します

Activity Tracker Event Routing、 Event Streams インスタンスに接続するには以下の情報が必要です：

• API を呼び出すエンドポイント URL
• 認証のための資格情報

Activity Tracker Event Routing が Event Streams インスタンスと通信するために必要なサービス認証情報を作成するには、以下の手順を実行します：

1. IBM Cloud で、メニューアイコン > リソース・リストをクリックします。

2. 使用する予定のEvent Streams・インスタンスを見つけて選択します。

3. Event Streamsのコンソールで**「サービス資格情報」**をクリックします。

4. **「新規資格情報」**を選択します。

5. 名前を入力し、**「ライター」**役割を選択します。

   

6. 追加 をクリックします。

アクセスを 1 つのトピックに制限するには、以下のステップを実行します。

2 つのポリシーを定義する必要があります。1 つはリソース・タイプ topic 用、1 つはリソース・タイプ cluster 用です。 詳しくは、Event Streams リソースへのアクセスの管理を参照してください。

1. Event Streams サービスのポリシーを変更して、トピックへのアクセスを制限します。

   1. メニュー・バーから、「管理」 > **「アクセス (IAM)」をクリックして、「サービス ID」**を選択します。

      

   2. サービス ID を選択します。

   3. 「アクセス・ポリシー」 セクションで、ポリシーを選択し、それを変更してトピックを指定します。

      例えば、以下のイメージでは、トピック ID は demo-streamingです。

      

      

2. リソース・タイプが cluster に設定された Event Streams サービスのアクセス・ポリシーを追加します。

   1. メニュー・バーから、「管理」 > **「アクセス (IAM)」をクリックして、「サービス ID」**を選択します。

      

   2. サービス ID を選択します。

   3. アクセスポリシーセクションで、 アクセスを割り当てるを選択します。

   4. reader 許可を持つ Event Streams サービス (リソース・タイプ クラスター ) のポリシーを追加します。

      

      

IBM Cloud CLI を使用した資格情報の取得して、API キーとブローカー URL の値をメモしておくことができます。

サービス間の許可の構成

暗号化されたデータを Event Streams トピックに書き込むときに API キーを渡す必要がないように、 Event Streams トピックにサービス間認証を設定します。

以下の手順は、 Event Streams トピックが監査イベントが生成されるアカウント異なるアカウント利用可能な場合に、サービス間承認を定義する方法を示しています：

これらの手順は、 Event Streams トピックが利用可能なアカウント完了する必要があります。

1. IBM Cloud Activity Tracker Event Routing ターゲットを構成するアカウント所有者として IBM Cloud アカウントにログインします。

   ユーザー ID とパスワードを使用してログインすると、IBM Cloud ダッシュボードが開きます。

2. 「管理」 > **「アクセス (IAM)」**をクリックします。 アクセスとユーザーの管理 が表示されます。

3. 「許可」 をクリックします。

4. 「作成」 をクリックします。

5. ソース・アカウントを選択します。 その他のアカウントを選択します。 次に、ソース・サービスのアカウント ID を入力します。 アカウント ID は、32 文字で固有のアカウント ID です。

6. ソース・サービスの場合は、Activity Tracker イベント・ルーティングを選択します。**どのようにアクセス権限のスコープを設定しますか?**の場合は、すべてのリソースを選択します。

7. 対象サービス 」で Message Hubアクセス範囲をどのように設定するか] は、[ 選択した属性に基づくリソース ]を選択します。

8. サービスインスタンス 、 文字列イコール Event Streams インスタンス名を選択する。

9. サービスアクセスは ライターを選択。

10. 「許可」 をクリックします。 新しいサービス間許可が「許可の管理」ビューにリストされます。

あるいは、以下のコマンドを実行して、サービス間ポリシーを作成することもできます。

ibmcloud iam authorization-policy-create atracker messagehub Writer --source-service-account sourceAccountID

ターゲットの作成

ターゲットの作成に対して、以下のコマンドを実行します。

ibmcloud atracker target create --name <TARGET_NAME> --type event-streams --endpoint <EVENT_STREAMS_ENDPOINT> --target-crn <EVENT_STREAMS_TARGET_CRN> --topic <TOPIC> --region <REGION>

説明

--region <REGION>

イベントを処理する領域の名前 (例: us-southまたはeu-gb)。 指定しないと、ログインしたリージョン、またはターゲットのリージョンが使用されます。

--name <TARGET_NAME>

ターゲットに付ける名前。

--endpoint <EVENT_STREAMS_ENDPOINT>

トピックに関連付ける Event Streams エンドポイント。

--topic <TOPIC>

ターゲットに関連付ける Event Streams トピックの名前。

--api-key <EVENTSTREAMS_API_KEY> | @EVENTSTREAMS_API_KEY_FILE

Event Streamsサービスのクレデンシャルで見つかったパスワード値。 これはIAM APIキーである

--target-crn <EVENT_STREAMS_TARGET_CRN>

Event Streams インスタンスの CRN。

--service-to-service-enabled <true/false>

IBM Cloud Activity Tracker Event Routingがサービス間認証を有効にしているかどうかを判定します。 service to serviceが有効で、apikeyを提供しない場合、このフラグをtrueに設定する。

例えば、米国南部地域にターゲットを作成するには、以下のコマンドを実行します。

ibmcloud atracker target create --name  "My target" --type event-streams --target-crn "crn:v1:bluemix:public:messagehub:eu-de:a/11111111111111111111111111111111:22222222-2222-2222-2222-222222222222::" --brokers "broker-1:9093,broker-2:9093" --topic "topic-name" --api-key xxxxx

領域内のターゲット定義を確認するには、CLI を使用したターゲットに関する情報の取得を参照してください。

ターゲットが作成されると、ターゲット ID が返されます。 ターゲット ID をメモします。 アカウント内のターゲットにイベントをルーティングするルールを構成するには、ターゲット ID が必要です。

次へ

アカウントに 1 つ以上の経路を定義します。 詳しくは、経路の構成を参照してください。

ルートを構成するとき、ターゲットとルートを関連付け、どのタイプの監査イベントがルーティングされるかを定義します。 この経路は、アカウント内で監査イベントがルーティングされる場所を決定するルールを定義します。 例えば、2つの異なるリージョンからの監査イベントをルーティングし、グローバルイベントもルーティングするルートを定義できます。

グローバル・イベントおよびロケーション・ベースのイベントを収集できます。

• グローバル・イベントは、すべてのリージョンでデータとリソースが広く同期されるようなアクティビティーがアカウント内で行われたことを報告するものです。
• ロケーションベースのイベントは、US-SouthやUS-Eastなどの IBM データセンターのロケーション内でホストされている IBM Cloud サービスによって生成されたお客様のアカウント内のアクティビティについて報告します。