Cloud Object Storage: 所有権の確認

Cloud Object Storage にログを送信する Logpush ジョブを作成した後、所有権を検証する必要があります。

指定した Cloud Object Storage バケット内のファイルにチャレンジトークンを書き込む場合は、以下の手順に従います

• Cloud Object Storage バケットからファイルをダウンロードし、開く。
• ファイルからチャレンジトークンをコピーし、コマンドプロンプトに貼り付けて所有権チャレンジを解決します。

CIS が所有権のチャレンジを検証した後、Logpushのジョブは正常に作成されます。 このジョブは、リクエストログを30秒ごとに、または100,000件のレコードに達した時点で、いずれか早いタイミングで、 Cloud Object Storage のバケットにプッシュします。 30秒間または100,000レコードごとに複数のファイルがプッシュされる可能性があることにご注意ください。

また、バケットパスに {DATE} トークンを使用して、Logpushログを日々のフォルダに整理することもできます。 例えば：cos://mybucket/cislog/{DATE}?region=us-south&instance-id=c84e2a79-ce6d-3c79-a7e4-7e7ab3054cfe

コマンドの例

サポート対象のデスティネーションのCLIの例：

IBM Cloud Logs

例

ibmcloud cis logpush-job-create 601b728b86e630c744c81740f72570c3 --destination "ibmcl://604a309c-585c-4a42-955d-76239ccc1905.ingress.us-south.logs.cloud.ibm.com/logs/v1/singles?ibm_api_key=xxxxxxxx" --name logpushJobGen --enable true --fields RayID --dataset http_requests --frequency high -i 1a9174b6-0106-417a-844b-c8eb43a72f63

Cloud Object Storage

例

ibmcloud cis logpush-job-create 31984fea73a15b45779fa0df4ef62f9b --destination cos://cis-test-bucket/logs?region=us&instance-id=f75e6d90-4212-4026-851c-d572071146cd --name logpushcreate --enable true --fields all --timestamps rfc3339 --dataset http_requests --frequency low -i cis-demo --output JSON

カスタム HTTP

例

ibmcloud cis logpush-job-create 601b728b86e630c744c81740f72570c3 --destination https://logs.example.com?header_Authorization=a64VuywesDu5Aq" --name logpushJobGen --enable true --fields RayID --dataset http_requests --frequency high -i 1a9174b6-0106-417a-844b-c8eb43a72f63

APIでデータセットの使用可能なログフィールドを取得する

ログフィールドは、Logpushジョブの logpull_options で指定し、送信先に送信される内容をカスタマイズすることができます。 Logpush データセットで利用可能なログフィールドを取得するには、以下の手順に従います

1. 正しい変数を使用して API 環境をセットアップします。

2. API コマンドで使用する以下の値を変数に格納します。

   CRN: サービス・インスタンスの URL エンコードされた完全な CRN。

   ZONE_ID: ドメイン ID。

   DATASET: 検査中のLogpushデータセット。 http_requests, range_events, dns_logs, firewall_events のいずれか。

3. すべての変数が開始されたら、Logpush ジョブを作成します。

   curl -X GET https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/datas/$DATASET/fields \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN"'
   

ログを送信先に送信するためのログプッシュジョブの作成

宛先（ IBM Cloud Logs、 Cloud Object Storage、または Splunk ）にLogpushジョブを作成するには、以下の手順に従います

1. 正しい変数を使用して API 環境をセットアップします。

2. API コマンドで使用する以下の値を変数に格納します。

   CRN: サービスインスタンスの完全な URL エンコードされたクラウドリソース名（CRN）。

   ZONE_ID: ドメイン ID。

   --request body: Logpush ジョブ本体を作成するための情報 ( logpush_job_DESTINATION_req ) DESTINATION は以下の値のいずれかです

   IBM Cloud ログの送信先

   IBM Cloud Logs

   ibmcl:データがプッシュされる IBM Cloud Logs インスタンスを識別するための情報。 ibmcl オブジェクト内のフィールドは以下の通りです。 instance_id : IBM Cloud LogsインスタンスのID。 region : IBM Cloud Logsインスタンスの地域（例： us-south ）。 api_key : IBM Cloud Logsインスタンスが設定されているアカウントのAPIキーが必要です。 ユーザーAPIキーまたはサービスID APIキーのいずれかを使用できます。 このキーは、Logpush ジョブ用の無記名トークンを生成するために使用されます。 APIキーは 、Update a Logpush job API を使用してローテーションすることができます。 重要： ユーザーまたはサービスIDには、 IBM Cloud ログサービス上で送信者IAMロールを付与する必要があります。 ibmcl_names ： IBM Cloud のログで使用されるアプリケーション名とサブシステム名をカスタマイズするためのオプションフィールド。 ibmcl_names オブジェクト内のフィールドは次のとおりです。 application_name : ジョブのカスタムアプリケーション名。 subsystem_name : ジョブのカスタムサブシステム名。

   Cloud Object Storage 目的地

   Cloud Object Storage
   cos: データがプッシュされる Cloud Object Storage バケットを識別するための情報。 cos オブジェクト内のフィールドは以下の通りです。 bucket_name ：ログが送信されるお客様のCOSバケットの名前（例： cos-bucket001 ）。 region ： Cloud Object Storage インスタンスの地域（例： us-south ）。 id ：COSインスタンスのID。

   Splunk 目的地

   Splunk
   splunk: データがプッシュされる Splunk HTTP イベントコレクター（HEC）を識別するための情報。 splunk オブジェクト内のフィールドは以下の通りです。 endpoint_url : URL of the Splunk HEC. channel_id : ログプッシュを一意に識別するためのランダムな GUID。 skip_verify : HTTP イベントコレクター証明書の検証をスキップするためのブール値フラグ。 HECが自己署名証明書を使用している場合にのみ、これを true に設定します。 source_type ： Splunk ソースの種類（例： cloudflare:json ）。 auth_token ： Splunk 認証トークン。

   カスタム HTTP 宛先

   カスタム HTTP
   destination_conf: データをプッシュするカスタム HTTP の宛先を設定するための情報。 Logpushで使用するヘッダーは、クエリパラメータの前に header_ を付加して指定することができます（例： header_Authorization=XXXX ）。

   name: Logpush ジョブの名前。

   enabled: ジョブが有効かどうか。 true または false。

   logpull_options: 構成ストリング。 例えば、fields=RayID,ZoneID&timestamps=rfc3339 です。

   dataset: プルされるデータ・セット。 http_requests, dns_logs, range_events, firewall_events のいずれか。

   frequency: CIS がユーザーの宛先にログのバッチを送信する頻度。 high または low。

3. すべての変数が開始されたら、Logpush ジョブを作成します。

   IBM Cloud Logs

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "ibmcl": {
         "instance_id": "f8k3309c-585c-4a42-955d-76239cccf8k3",
         "region": "us-south",
         "api_key": "f8k3NQI22dPwNVCcmS62YFL1tm9vaehY6C9jxdtnf8k3"
      },
      "ibmcl_names": {
         "application_name": "cis-edge-logs",
         "subsystem_name": "stage-firewall-logs"
      }
      "dataset": "http_requests",
      "enabled": true,
      "logpull_options": "fields=RayID,ZoneID&timestamps=rfc3339",
      "name": "CIS-Edge-Requests",
      "frequency": "low"
   }'
   

   Cloud Object Storage

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "cos": {
         "bucket_name": "example_bucket",
         "path": "temp/",
         "id": "cos_instance_id",
         "region": "us-east"
      },
      "dataset": "firewall_events",
      "enabled": false,
      "name": "CIS-Firewall-COS",
      "frequency": "low",
      "logpull_options": "fields=RayID,ZoneID&timestamps=rfc3339",
      "ownership_challenge": "xxxxxxx"
   }'
   

   Splunk

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "splunk": {
         "endpoint_url": "example.splunkcloud.com:8088/services/collector/raw",
         "channel_id": "def3c136-7a01-4655-b17f-8e25a780ef2c",
         "skip_verify": false,
         "source_type": "cloudflare:json",
         "auth_token": "Splunk fake3585-0f38-4d62-8b43-c4b78584fake"
      },
      "dataset": "http_requests",
      "enabled": true,
      "name": "CIS-Splunk-Logpush",
      "frequency": "high",
      "logpull_options": "fields=RayID,CacheResponseBytes,CacheResponseStatus,CacheCacheStatus&timestamps=rfc3339"
   }'
   

   カスタム HTTP

   curl -X POST https://api.cis.cloud.ibm.com/v2/$CRN/zones/$ZONE_ID/logpush/jobs \
   --header "Content-Type: application/json" \
   --header "X-Auth-User-Token: Bearer $IAM_TOKEN" \
   --data '{
      "destination_conf": "https://logs.example.com?header_Authorization=a64VuywesDu5Aq",
      "dataset": "http_requests",
      "enabled": true,
      "name": "CIS-Custom-Logpush",
      "frequency": "high",
      "logpull_options": "fields=RayID,CacheResponseBytes,CacheResponseStatus,CacheCacheStatus&timestamps=rfc3339"
   }'