高度なログコレクター管理

クラウドディスカバリーログコレクタの高度なオプションを設定する

この記事では、クラウド検出ログコレクターの詳細オプションDefender for Cloud Apps構成する方法について説明します。

Defender for Cloud Appsクラウド検出は、引き続き基本ファイアウォール形式に焦点を当てています。ファイアウォールレベルで転送されるログに対する変更が引き続き機能しない場合や、解析に問題が発生する可能性があります。ファイアウォールログ形式の変更による解析エラーが発生した場合は、基本ファイアウォール形式の使用を続けるか、カスタムログコレクタのオプションを使うことをお勧めします。詳細については、「カスタムログパーサーの使用」を参照してください。

この記事では、Defender for Cloud Apps クラウド検出 Docker の構成を変更する方法について説明します。

ログコレクターの FTP 構成を変更する

ログコレクターのバージョンの確認、FTP パスワードの変更、証明書ファイルの追加に関するページの手順を使用して、Defender for Cloud Apps cloud discovery Docker の構成を変更します。

ログコレクターのバージョンを確認する

システムに現在インストールされているログコレクターのバージョンを確認するには、ログコレクターホストに接続し、次のコマンドを実行して、インストールされているコレクターコンポーネントのバージョンを確認します。

cat /var/adallom/versions | grep columbus-

FTP パスワードを変更する

この手順では、ログコレクターファイルへのアクセスに使用するパスワードを変更する方法について説明します。

ログコレクターホストに接続し、次を実行します。
```
docker exec -it <collector name> pure-pw passwd <ftp user>
```
新しいパスワードを入力し、もう一度入力して確認します。
次のコマンドを実行して変更を適用します。
```
docker exec -it <collector name> pure-pw mkdb
```

ログコレクターの FTP ルートディレクトリで、次の内容を表示できる必要があります。

run_logs
ssl_update
config.json

証明書ファイルを追加する

この手順では、クラウド検出 Docker インスタンスへのセキュリティで保護された接続に使用する必要な証明書ファイルを追加する方法について説明します。

FTP クライアントを開き、ログコレクターホストに接続します。

ssl_update ディレクトリに移動し、次のファイルを含む新しい証明書ファイルをアップロードします。

受信側の種類	必要なファイル
FTP	- pure-ftpd.pem: キーと証明書のデータが含まれます
Syslog	- ca.pem: クライアントの証明書の署名に使用された証明機関の証明書。 - server-key.pem と server-cert.pem: ログコレクターの証明書とキー Syslog メッセージは TLS 経由でログコレクターに送信されます。これには、クライアント証明書とサーバー証明書の両方の認証を含む、相互 TLS 認証が必要です。

受信側の種類

必要なファイル

FTP

- pure-ftpd.pem: キーと証明書のデータが含まれます

Syslog

- ca.pem: クライアントの証明書の署名に使用された証明機関の証明書。
- server-key.pem と server-cert.pem: ログコレクターの証明書とキー

Syslog メッセージは TLS 経由でログコレクターに送信されます。これには、クライアント証明書とサーバー証明書の両方の認証を含む、相互 TLS 認証が必要です。

ファイルは必須です。受信側の種類のファイルのいずれかが見つからない場合、更新は失敗します。

ターミナルウィンドウで、次のコマンドを実行します。

docker exec -t <collector name> update_certs

出力は次のコードのようになります。

root@DockerPlayground:~# docker exec -t columbus update_certs
rsyslog: stopped
rsyslog: started
ftpd: stopped
ftpd: started
root@DockerPlayground:~#

ターミナルウィンドウで、次のコマンドを実行します。
```
docker exec <collector name> chmod -R 700 /etc/ssl/private/
```

プロキシの背後でログコレクターを有効にする

プロキシの背後で実行している場合、ログコレクターがDefender for Cloud Appsにデータを送信するときに問題が発生する可能性があります。たとえば、ログコレクターがプロキシのルート証明機関を信頼せず、Microsoft Defender for Cloud Appsに接続して構成を取得したり、受信したログをアップロードしたりできないため、接続エラーが発生する可能性があります。

プロキシの背後でログコレクターを有効にするには、プロキシの背後でログコレクターを設定し、 Docker ログコレクターコンテナーの作成を検証し、プロキシルート CA 証明書をコンテナーにコピーして、 CA 証明書を操作するように構成を設定します。

ヒント

また、Syslog または FTP のログコレクターで使用される証明書を変更したり、ファイアウォールとプロキシからログコレクターへの接続の問題を解決したりすることもできます。詳細については、「ログコレクターの FTP 構成を変更する」を参照してください。

プロキシの背後にログコレクターを設定する

Windows または Linux マシンで Docker を実行するために必要な手順を実行し、Defender for Cloud Apps Docker イメージをホストコンピューターに正常にダウンロードしたことを確認します。

設定の前提条件やデプロイ手順については、「連続レポートのための自動ログアップロードの設定」を参照してください。

Docker ログコレクターコンテナーの作成を検証する

コンテナーが作成され、実行中であることを確認します。シェルで、次を実行します。

docker ps

次のような出力が表示されます。

プロキシルート CA 証明書をコンテナーにコピーする

仮想マシンから、CA 証明書を Defender for Cloud Apps コンテナーにコピーします。次の例では、コンテナーの名前は Ubuntu-LogCollector 、CA 証明書の名前は Proxy-CA.crt です。

次のコマンドは、ログコレクターがプロキシを信頼できるように、実行中のコンテナーの探索フォルダーにプロキシ CA 証明書をコピーします。 Ubuntu ホストでコマンドを実行します。

docker cp Proxy-CA.crt Ubuntu-LogCollector:/var/adallom/ftp/discovery

CA 証明書で動作するように構成を設定する

次の手順を実行して、ログコレクターがプロキシを信頼できるように、コンテナーの Java KeyStore にプロキシ CA 証明書をインポートします。

コンテナーに移動します。次のコマンドを実行して、ログコレクターコンテナーで bash を開きます。
```
docker exec -it Ubuntu-LogCollector /bin/bash
```
コンテナー内の bash ウィンドウから、Java jre フォルダーに移動します。バージョン関連のパスエラーを回避するには、次のコマンドを使用します。
```
cd "$(find /opt/jdk/*/jre -name "bin" -printf '%h' -quit)"
cd bin
```
前にコピーしたルート証明書を検出フォルダーから Java KeyStore にインポートし、パスワードを定義します。

既定のパスワードは changeitです。既定のパスワードを変更するには、「Java KeyStore パスワードを変更する」を参照してください。
```
./keytool --import --noprompt --trustcacerts --alias SelfSignedCert --file /var/adallom/ftp/discovery/Proxy-CA.crt --keystore ../lib/security/cacerts --storepass <password>
```
証明書が CA キーストアに正しくインポートされたことを確認します。次のコマンドを実行して、インポート時に指定したエイリアス (SelfSignedCert) を検索します。
```
./keytool --list --keystore ../lib/security/cacerts | grep self
```
インポートしたプロキシ CA 証明書が表示されます。

Linux 上のログコレクターに syslog メッセージを送信する IP アドレスを制限する

Docker イメージをセキュリティで保護し、syslog メッセージをログコレクターに送信できる IP アドレスが 1 つだけであることを確認するには、ホストマシンに IP テーブルルールを作成して、入力トラフィックを許可し、TCP/601 や UDP/514 などの特定のポート経由のトラフィックをドロップします。

次のコマンドは、ホストコンピューターに追加できる IP テーブルルールを作成する方法の例を示しています。このテーブルルールを使用すると、IP アドレス 1.2.3.4 は TCP ポート 601 経由でログコレクターコンテナーに接続し、他の IP アドレスから送信される他のすべての接続を同じポート経由で削除できます。

iptables -I DOCKER-USER \! --src 1.2.3.4 -m tcp -p tcp --dport 601 -j DROP

新しい構成で実行するようにログコレクターを設定する

これでコンテナーの準備ができました。

ログコレクターの作成中に使用した API トークンを使用して、 collector_config コマンドを実行します。以下に例を示します。

[ログコレクターの作成] ダイアログのスクリーンショット。

コマンドを実行するときは、次のような独自の API トークンを指定します。 collector_config abcd1234abcd1234abcd1234abcd1234 ${CONSOLE} ${COLLECTOR}

以下に例を示します。

ログコレクターは、Defender for Cloud Appsと通信できるようになりました。 Defender for Cloud Appsにデータを送信すると、ログコレクターの状態が [正常] から [接続済み] に変わります。以下に例を示します。

データのアップロード後にログコレクターの状態が [正常] から [接続済み] に変わるスクリーンショット。

注:

たとえば、ログコレクターの構成を更新する必要がある場合、データソースを追加または削除するには、通常、コンテナーを削除し、「新しい構成で実行するようにログコレクターを設定する」を使用して、プロキシの背後にあるログコレクターを設定する手順を繰り返す必要があります。

コンテナを削除して再作成しないように、Defender for Cloud Appsで生成された新しいAPIトークンでcollector_configツールを再実行できます。

Java KeyStore パスワードを変更する

ログコレクターによって使用される Java KeyStore パスワードを変更するには、次の手順を実行します。

Java KeyStore サーバーを停止します。
コンテナー内で bash シェルを開き、 appdata/conf フォルダーに移動します。
サーバーの KeyStore パスワードを変更するには、次を実行します。
```
keytool -storepasswd -new newStorePassword -keystore server.keystore
-storepass changeit
```
既定のサーバーパスワードは changeit。
証明書のパスワードを変更するには、次を実行します。
```
keytool -keypasswd -alias server -keypass changeit -new newKeyPassword -keystore server.keystore -storepass newStorePassword
```
既定のサーバーエイリアスは サーバーです。
テキストエディターで、 server-install\conf\server\secured-installed.properties ファイルを 開きます。次のコード行を追加し、変更を保存します。
1. サーバーの新しい Java KeyStore パスワードを指定します。 server.keystore.password=newStorePassword
2. サーバーの新しい証明書パスワードを指定します。 server.key.password=newKeyPassword
サーバーを起動します。

Linux 上の別のデータパーティションにログコレクターを移動する

多くの企業では、データを別のパーティションに移動する必要があります。この手順では、Defender for Cloud Apps Docker ログコレクターイメージを Linux ホスト上のデータパーティションに移動する方法について説明します。

この手順では、 データストア と呼ばれるパーティションへのデータの移動について説明し、パーティションを既にマウントしていることを前提としています。以下に例を示します。

ログコレクターデータ用にマウントされたデータストアパーティションを示す Linux ディスクパーティションのスクリーンショット。

Linux ホストに新しいパーティションを追加して構成することは、このガイドの範囲外です。

ログコレクターを別のパーティションに移動するには:

Docker サービスを停止します。実行:
```
service docker stop
```
ログコレクターデータを新しいパーティションに移動します。実行:
```
mv /var/lib/docker /datastore/docker
```
古い Docker ストレージディレクトリ (/var/lib/docker) を削除し、新しいディレクトリ (/データストア/docker) へのシンボリックリンクを作成します。実行:
```
rm -rf /var/lib/docker && ln -s /datastore/docker /var/lib/
```
Docker サービスを開始します。実行:
```
service docker start
```
必要に応じて、アクティブな Docker コンテナーを一覧表示して、ログコレクターコンテナーが実行されていることを確認します。実行:
```
docker ps
```

Linux 上のログコレクターディスクの使用状況を調べる

この手順では、ログコレクターのディスクの使用状況と場所を確認する方法について説明します。

ログコレクターデータが格納されているディレクトリへのパスを特定します。実行:
```
docker inspect <collector_name> | grep WorkDir
```
以下に例を示します。
"/work" サフィックスなしで識別されたパスを使用して、ログコレクターのディスク上のサイズを取得します。実行:
```
du -sh /var/lib/docker/overlay2/<log_collector_id>/
```
注:

ディスク上のサイズのみを把握する必要がある場合は、代わりに次のコマンドを使用できます。 docker ps -s

アクセス可能なホストにログコレクターを移動する

規制された環境では、ログコレクターイメージがホストされている Docker Hubs へのアクセスがブロックされる可能性があります。これにより、Defender for Cloud Appsがログコレクターからデータをインポートできなくなり、アクセス可能なホストへのログコレクターイメージの移動を解決できます。

この手順では、Docker Hubにアクセスできるコンピューターを使用してログコレクターイメージをダウンロードし、移行先ホストにインポートする方法について説明します。

ダウンロードしたイメージは、プライベートリポジトリまたはホストに直接インポートできます。この手順では、ログコレクターイメージを Windows コンピューターにダウンロードし、WinSCP を使用してログコレクターを宛先ホストに移動する方法について説明します。

前提条件

開始する前に、次の前提条件が満たされていることを確認します。

ホストに Docker がインストールされていることを確認します。たとえば、次のいずれかのダウンロードを使用します。
- https://download.docker.com/linux/ubuntu
- https://download.docker.com/linux/centos/
ダウンロード後、Docker のオフラインインストールガイドを使用してオペレーティングシステムをインストールします。

ログコレクターイメージをエクスポートし、そのイメージを宛先ホストにインポートして、オフライン転送ワークフローを開始します。

Docker Hubからログコレクターイメージをエクスポートする

ログコレクターイメージをエクスポートするには、オペレーティングシステムに応じて、Linux でイメージをエクスポートするか、Windowsでイメージをエクスポートします。

Linux でイメージをエクスポートする

Linux マシンからログコレクターイメージをエクスポートするには、次の手順に従います。

Docker Hubにアクセスできる Linux コンピューターで、次のコマンドを実行して Docker をインストールし、ログコレクターイメージをダウンロードします。
```
curl -o /tmp/MCASInstallDocker.sh https://discoveryresources-cdn-prod.cloudappsecurity.com/prod1/public-files/MCASInstallDocker.sh && chmod +x /tmp/MCASInstallDocker.sh; /tmp/MCASInstallDocker.sh 
```
ログコレクターイメージをエクスポートします。実行:
```
docker save --output /tmp/mcasLC.targ mcr.microsoft.com/mcas/logcollector
chmod +r /tmp/mcasLC.tar
```
重要

STDOUT の代わりに出力パラメーターを使用してファイルに書き込みます。
WinSCP を使用して、 C:\mcasLogCollector\ の下の Windows コンピューターにログコレクターイメージをダウンロードします。以下に例を示します。

Windows でイメージをエクスポートする

Windows コンピューターからログコレクターイメージをエクスポートするには、次の手順に従います。

Docker HubにアクセスできるWindows 10 コンピューターに、Docker Desktop をインストールします。

ログコレクターイメージをダウンロードします。実行:

docker login -u caslogcollector -p C0llector3nthusiast
docker pull mcr.microsoft.com/mcas/logcollector

ログコレクターイメージをエクスポートします。実行:
```
docker save --output C:\mcasLogCollector\mcasLC.targ mcr.microsoft.com/mcas/logcollector
```
重要

STDOUT の代わりに出力パラメーターを使用してファイルに書き込みます。

ログコレクターイメージをインポートして宛先ホストに読み込む

この手順では、エクスポートしたイメージを宛先ホストに転送する方法について説明します。

[ /tmp/] で、ログコレクターイメージを宛先ホストにアップロードします。以下に例を示します。
宛先ホストで、ログコレクターイメージを Docker イメージリポジトリにインポートします。実行:
```
docker load --input /tmp/mcasLC.tar
```
以下に例を示します。
必要に応じて、インポートが正常に完了したことを確認します。実行:
```
docker image ls
```
以下に例を示します。

移行先ホストのイメージを使用して、ログコレクターの作成に進むことができます。

Linux 上のログコレクターの Syslog および FTP レシーバーのカスタムポートを定義する

一部の組織では、Syslog および FTP サービスのカスタムポートを定義する必要があります。

データソースを追加すると、Defender for Cloud Appsログコレクターは特定のポート番号を使用して、1 つ以上のデータソースからのトラフィックログをリッスンします。

次の表に、受信側の既定のリッスンポートの一覧を示します。

受信側の種類	ポート
Syslog	* UDP/514 - UDP/51x * TCP/601 - TCP/60x
FTP	* TCP/21

カスタムポートを定義するには、次の手順に従います。

Microsoft Defender ポータルで、[設定] を選択します。次に、[ Cloud Apps] を選択します。
[ Cloud Discovery]$クラウド検出$ で、[ 自動ログアップロード] を選択します。次に、[ ログコレクター ] タブを選択します。
[ ログコレクター ] タブで、ログコレクターを追加または編集し、データソースを更新した後、ダイアログから run コマンドをコピーします。以下に例を示します。

指定したとおりに使用する場合、ウィザードが提供するコマンドは、ポート 514/udp と 515/udp を使用するようにログコレクターを構成します。以下に例を示します。
```
(echo <credentials>) | docker run --name LogCollector1 -p 514:514/udp -p 515:515/udp -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.0.0.100'" -e "PROXY=" -e "SYSLOG=true" -e "CONSOLE=machine.us2.portal.cloudappsecurity.com" -e "COLLECTOR=LogCollector1" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
```
以下に例を示します。
ホストコンピューターでコマンドを使用する前に、カスタムポートを使用するようにコマンドを変更します。たとえば、UDP ポート 414 と 415 を使用するようにログコレクターを構成するには、コマンドを次のように変更します。
```
(echo <credentials>) | docker run --name LogCollector1 -p 414:514/udp -p 415:515/udp -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='10.0.0.100'" -e "PROXY=" -e "SYSLOG=true" -e "CONSOLE=machine.us2.portal.cloudappsecurity.com" -e "COLLECTOR=LogCollector1" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter
```
以下に例を示します。

注:

Docker マッピングのみが変更されます。内部的に割り当てられたポートは変更されず、ホスト上のリッスンポートを選択できます。

Linux 上のログコレクターによって受信されたトラフィックとログ形式を検証する

場合によっては、次のような問題を調査する必要があります。

ログコレクターがデータを受信している: ログコレクターがアプライアンスから Syslog メッセージを受信しており、ファイアウォールによってブロックされていないことを検証します。
受信したデータが正しいログ形式である: Defender for Cloud Appsで予想されるログ形式と、アプライアンスによって送信されたログ形式を比較することで、解析エラーのトラブルシューティングに役立つログ形式を検証します。

次の手順を使用して、トラフィックがログコレクターによって受信されることを確認します。

Docker コンテナーをホストしているサーバーにサインインします。
ログコレクターが次のいずれかの方法を使用して Syslog メッセージを受信していることを検証します。
- tcpdump または同様のコマンドを使用して、ポート 514 のネットワークトラフィックを分析します。
```
tcpdump -Als0 port 514
```
  すべてが正しく構成されている場合は、アプライアンスからのネットワークトラフィックが表示されます。以下に例を示します。
- netcat または同様のコマンドを使用して、ホストコンピューター上のネットワークトラフィックを分析します。
  1. netcat と wget をインストールします。
  2. Defenderポータルからサンプルログファイルをダウンロードしてください。必要に応じて、ログファイルを解凍します。
    1. Defender ポータルで、Cloud Apps の下の Cloud Discovery>Actions>Cloud Discovery スナップショットレポートの作成 を選択します。
    2. ログファイルをアップロードする データソース を選択します。
    3. [ 表示して確認 ] を選択し、[ サンプルログのダウンロード ] を右クリックし、[URL アドレス] リンクをコピーします。
    4. [ 閉じる>Cancel] を選択します。
  3. 実行:
```
wget <URL_address_to_sample_log>
```
  4. netcatを実行して、ログコレクターにデータをストリーミングします。
```
cat <path_to_downloaded_sample_log>.log | nc -w 0 localhost <datasource_port>
```
  コレクターが正しく構成されている場合、ログデータはメッセージファイルに存在し、書き込まれた直後にDefender for Cloud Appsにアップロードされます。
- Defender for Cloud Apps Docker コンテナー内の関連ファイルを検査します。
  1. コンテナーにサインインします。実行:
```
docker exec -it <Container Name> bash
```
  2. Syslog メッセージがメッセージファイルに書き込まれているかどうかを判断します。実行:
```
cat /var/adallom/syslog/<your_log_collector_port>/messages
```
  すべてが正しく構成されている場合は、アプライアンスからのネットワークトラフィックが表示されます。以下に例を示します。
  
  注:
  
  このファイルは、サイズが 40 KB に達するまで引き続きに書き込まれます。以下に例を示します。
/var/adallom/discoverylogsbackup ディレクトリのDefender for Cloud Appsにアップロードされたログを確認します。以下に例を示します。
ログコレクターが受信したログ形式を検証するには、/var/adallom/discoverylogsbackupに格納されているメッセージと、Defender for Cloud Appsログコレクターの作成ウィザードで提供されるサンプルログ形式を比較します。

メッセージファイルの出力をローカルファイルに書き込む

独自のサンプルログを使用するが、アプライアンスにアクセスできない場合は、トラブルシューティングのために特定のデータソースポートからローカルファイルに受信 Syslog メッセージをキャプチャできます。

以下のコマンドを実行して、特定のデータソースポートに対するコレクタのSyslogメッセージをホスト上のローカルファイルにストリーミングし、ログの取り込みの検証や接続性のトラブルシューティングを行います。

docker exec CustomerLogCollectorName tail -f -q /var/adallom/syslog/<datasource_port>/messages > /tmp/log.log

出力ファイル (/tmp/log.log) を、 /var/adallom/discoverylogsbackup ディレクトリに格納されているメッセージと比較します。

ログコレクターのバージョンを更新する

ログコレクターを更新する場合:

新しいバージョンをインストールする前に、ログコレクターを停止し、現在のイメージを削除してください。
新しいバージョンをインストールしたら、証明書ファイルを更新します。

次の手順

クラウド検出をデプロイする

ユーザーアクティビティポリシー

問題が発生した場合は、こちらにお問い合わせください。製品の問題に関するサポートを受ける場合は、サポートチケットを開いてください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-03

高度なログ コレクター管理

クラウドディスカバリーログコレクタの高度なオプションを設定する

ログ コレクターの FTP 構成を変更する

ログ コレクターのバージョンを確認する

FTP パスワードを変更する

証明書ファイルを追加する

プロキシの背後でログ コレクターを有効にする

プロキシの背後にログ コレクターを設定する

Docker ログ コレクター コンテナーの作成を検証する

プロキシ ルート CA 証明書をコンテナーにコピーする

CA 証明書で動作するように構成を設定する

Linux 上のログ コレクターに syslog メッセージを送信する IP アドレスを制限する

新しい構成で実行するようにログ コレクターを設定する