TA-dmarc add-on for Splunk でDKIM認証結果を表示する

  TA-dmarc add-on for Splunk | Splunkbase を使ってDKIM認証結果を表示する


DMARCレポートにはDKIM認証の結果は載っているけど、なぜかTA-dmarcではフィールドとして扱っていないんですよね。(なんでだろう?)
なので、ひと手間かけないと検索は出来るけど値としては使えないです。

sourcetype="dmarc:json"
| eval dkim = spath ( _raw, "feedback{}.record.auth_results.dkim.result")
| stats count by dkim

TA-dmarcで取り込んだデータを読み込みます。
sourcetype="dmarc:json"

dkim認証結果をjsonから抽出します。
spath(X,Y)でXのxmlまたはjsonからYで指定した値を取得できる
| eval dkim = spath ( _raw, "feedback{}.record.auth_results.dkim.result")

円グラフで表現したい場合は stats を使用すると良いです。
| stats count by dkim

折れ線グラフなら timechart を使います。
| timechart count by dkim

SPF認証についても"dkim"を"spf"に置き換えることで取得できます。







TA-dmarc add-on for Splunk でDMARC合否を表示する

 TA-dmarc add-on for Splunk | Splunkbase を使ってDMARCレポートから合否を表示する。

DMARCレポートってSPFとDKIMの結果は載っているけどDMARCは載ってないんですよね。
なので、二つの結果のどちらかがPassすればPassという式が必要で次の検索コマンドを使うことで求めることが出来ます。

sourcetype="dmarc:json"
| rename "feedback{}.record.row.policy_evaluated.dkim" AS dkim
| rename "feedback{}.record.row.policy_evaluated.spf" AS spf
| eval dmarc = if(like(dkim, "pass") OR like(spf, "pass"), "pass", "fail")
| table dkim, spf, dmarc

TA-dmarcで取り込んだデータを読み込みます。
sourcetype="dmarc:json"
フィールド名が長いので短い名前に変更します。
| rename "feedback{}.record.row.policy_evaluated.dkim" AS dkim
| rename "feedback{}.record.row.policy_evaluated.spf" AS spf
dkimの値を求めます
dkim 又は spf もしくは両方が"pass"だったら"pass"を"dmarc"に代入します。
文字列比較なので like(TEXT, PATTERN) を使います。
| eval dmarc = if(like(dkim, "pass") OR like(spf, "pass"), "pass", "fail")
結果を表として表示します。
| table dkim, spf, dmarc
円グラフで表現したい場合は stats を使用すると良いです。
| stats count by dmarc
折れ線グラフなら timechart を使います。
| timechart count by dmarc





Outlook On the Webに挑戦してみた。


Microsoft365界隈ではWindows版Outlookを使わず、ブラウザ版のみを使っている人がいる。
私はというと、所属組織のメールシステムを去年Exchange Onlineに統一するまでは、Exchange Serverを社内向け、SMTP/POP3 Serverを社外送受信と使い分けていたため、Windows版Outlook+Thunderbirdなどを使っていた関係で、いまだにWindows版を利用している。
Exchange Onlineの利便性をフルに活用する為にはブラウザ版が適しているのは知っているので上のツイートをきっかけにブラウザ版だけで過ごしてみようとチャレンジしてみた感想をお伝えしたい。

Microsoft EdgeサイドバーのOutlookが使いやすい

クリック一つでメールやスケジュールなどを利用できる点についてはWindows版が優れている。常に起動しておけばよいからだ。メモリーを消費するという声が聞こえるけど、TeamsやEdge、Chromeに比べればかわいいものだ。
ブラウザ版でも常に開いておけばよいという思うが、ウインドウを閉じてしまうと閉じてしまう。タブで切り替えながら使ってはいるけどやっぱり閉じてしまうのでクリック一つで開くことはできない。
その中で便利と感じたのが先月一般リリースされたサイドバーのOutlook。どのウィンドウでもクリック一つで受信トレイが表示できる。タブの切り替えなどにも影響しないのでとても便利だ。受信トレイを使った送受信ならこれで十分だし、ブラウザ版を開きたければその中にある”全画面で開く”をクリックすればすべての機能が使える点がとても良い。

通知が来ない

ブラウザ版にも通知という機能はあるが、ブラウザを開いていなければ通知が表示されない。私の環境が悪いのかブラウザ版を開いていなければ通知は受けられなかった。
Windows版を常に起動し通知を受けていた人間からすると通知が来ないというのは非常に不安な状態。まるで携帯電話を家に忘れてきたときの様だ。
一番困ったのは会議予定の事前通知がなくなった事。予定の15分前に通知が来るのでトイレに行ったり資料を確認したりしていたのが出来なくなった。時間になっても通知がないので微妙に遅刻。安定して通知を受けることは重要だ。

アドレス帳の組織階層がない

情シスという立場上、社員情報や組織図を確認する機会が多く、Windows版の組織は重宝していたのでちょっと困った。これに関してはブラウザ版のみは耐えられそうにない。

ウイジェットは役立たず

外が見えない部屋で外の天気が分かるというのは非常に良いことだ。
ここにOutlookのカレンダーが表示されているがあまり使った記憶がない。
表示されているんだから通知はここからしてくれよ!!って思ったりする

スマートフォンは優秀

着信通知に関してはiPhoneのOutlookアプリはパソコンより早く優秀。
常に持ち歩いているしアプリの起動とか意識不要な点も優秀
ただ、長文はつらいし、添付もつらい。何より他人の予定表を見るとかグループウェア利用としては機能不足、あくまで個人に特化している

共有メールはWindows版の圧勝

ブラウザ版は他のメールボックスを開く操作をしないと表示されないんだよね。
意識せずに使える点はとても重要

検索はブラウザ版

Windows版はキャッシュ期間の設定にもよるけど、6か月に設定した場合、7か月からオンラインアーカイブへ移動する2年までのメッセージが表示されなくなる。
検索しても一発では表示されないので探す手間が多い。
ブラウザ版はオンラインアーカイブも含めた検索結果が得られるのでとても便利。


こんな感じで一長一短あるな~という感じですね。近い将来UIが統一されると聞いているのでWindows版の機能不足や操作の慣れという問題は解決されると思うけど、グループウェアとしての使い方を重視するとWindows版がおすすめって感じがします。

それよりも今回気が付いたのがEdgeのサイドバーは優秀という事、おそらくEdgeの拡張機能のOutlookを統合したものだと思うのだけど、常に開けるという状態と、タブ切替の影響を受けない、並べて表示がふつうにできるなど、個人的に非常に使い勝手がハマってよかった。Webを見ながらメールを書いたりブラウザとの連携はよく使うシーンなので便利だ!!と感じました。


通知に関してはWindows標準のメールアプリを使えば受けることが出来るので登録すれば解決できるけど、なんか今設定すると負けな感じがしたので踏みとどまっている。以前は予定表のみ同期を設定していたのだけど、「情シス以外の普通の使い方」という体験の為に今は使っていないんですよね。



そろそろ企業向けにIPv6本格導入考える時期が来たんじゃない?

各企業において様々な働き方に対応できるインフラ構築も落ち着いた時期じゃないかと思いますが、IPv6だけは相変わらず導入できそうな気配を感じませんね。

やろうと思えばできるのですが、企業インターネット黎明期あった、グローバルアドレスを社内IPとして利用してしまう失敗が脳裏をよぎって躊躇してしまいますよね。「OCNエコノミーで安定高速インターネット接続環境を!!」みたいなことを言ってた時代に現地調査はいると「170.0.0.1/24」とかが設定されているネットワークに出会うことがたま~にありました。社内ネットワークで利用できるのは3種類のプライベートアドレスは今では当たり前ですが、Windows3.1時代にネットワークを構築した企業にとっては当たり前というとかわいそうですね。RFCの公開が1994年ですし。

インターネット接続環境はインフラ環境が単純な家庭用サービスが先行して普及するのは自然のことで、IPv6もその一つですね。フレッツ光プレミアム以降のサービスを契約すると気にすることなくIPv6対応ルーターが設置され利用できる準備が整いますので、利用者は意識してなくてもIPv6通信の普及は進むし、PPPoE遅い問題を目にした方はIPv6の積極的な導入に動いたのではないでしょうか?

そういう流れで会社のインターネット遅い!!IPv6対応して高速化しろよ!!って意見がちらほら聞こえているのです。企業ネットワークを変化させることって難しいのです。トップダウン型で取り組み始めても費用を提示するとNGってこともあるし、そもそも製品の選択肢が無かったり、性能不足、ノウハウ不足、パートナー不在と費用提示の前にとん挫することもあります。うまくいっても利用者側から変更を拒否されたり、利用システムが未対応だったりと課題もたくさんあり「今は変化できない」がず~っと続いてしまいます。

新規小規模拠点なら導入課題は少ないですが、既存小規模拠点の場合は予算的に不可というケースが多いのでは?一般家庭用機器ネットワーク拠点なら設定変更程度で済みますけど、VPN装置があったりすると対応機器に買換えが必要だったりしますが”壊れていない” ”今問題なく業務出来ている”という状況と”見えない効果”がブレーキを掛けます。だって「高速化した分、売り上げも上がるよね?」って現場が言われると無理、いらないって答えるよね。

そんな感じで変化はとても難しいのですが、インフラ担当としては何年も先を見据えて機器選定をしているので買換えタイミングでは高速化、もちろんIPv6対応も考慮しているわけです。機器に関しては予算が付けば解決できるし、利用システムも対応が徐々に増えているので何とかなるかな~という感じではあるのですけどね。

そんな中、絶対に無理だな~と感じているのが”定番設計が存在しない”という問題。

IPv4には”インターネット接続ゲートウェイでNATとLAN側はプライベートアドレスを使う”が最低限の定番設計で、拠点間で異なるサブネットを使っていれば統廃合に対して部分的な変更だけで対応できる。

この定番設計で構築されたネットワークをIPv4/IPv6デュアルスタック化しようとするといくつかの問題が解決できない。「あ、無理だ~」というのが私の感想。

何が無理って「プロバイダー変更のインパクト」「IPv4と同じセグメント分けが出来ない」って話だけでも、結構無理~って感じる。

プロバイダー変更のインパクト

IPv4はゲートウェイでグローバルアドレスに変換して、内部はプライベートアドレスを使用するので、プロバイダーを変更した際にグローバルアドレスが当然変わるけど、ゲートウェイの設定変更だけで利用者に影響でない。

これが、IPv6の場合、内部もグローバルアドレスを使うので、プロバイダー変更ですべてのIPアドレス設定に影響が発生する。自動設定だから問題ない?いや、端末への反映時間やDNSやサーバーの設定変更などを考慮すると「ISP障害だから別のISPに切り替えて対応しよう」ってのがIPv4のように気軽に出来ない。常に利用できる状態にするという設計になるのだろうか?

または、IPv4と同じようにユニークローカルアドレス使えばよいじゃないって話になるんだけど、NAT6対応のゲートウェイが必要になる。すべての機器が対応していれば話は簡単なんですけどね。

IPv4と同じセグメント分けが出来ない

IPv6はグローバルアドレスを使う前提なので、プロバイダーから割り当てられるIPアドレスを分割できる/56や/48だと良いのですが、/64だと無理ってなります。だって分割の最小が/64だから・・・これ以上分割できない。

PPPoEや専用線契約なら/48など潤沢なアドレス範囲を使えるので分割できるけど、IPoEだとひかり電話契約ありで/56、ひかり電話契約なしだと/64になるので必要セグメント数にもよるけど1:1に出来なければIPv4のセグメント統合が必要になる。

2022年現在はIPv6に変更する目的は「輻輳状態にあるPPPoEを迂回する」だと思うので、輻輳していないかもしれないIPv6のPPPoEは避けたいと考えるし、専用線費用なんて割に合わない。1Gbpsの専用線って月額いくらなんだ?100万位?


デュアルスタックへの準備は本格的に考えているけど、課題はたくさんありそうだし、何より定番設計が無さそう。ってのが一番痛いよね~。まだまだ企業内ネットワークのIPv6対応は先の話になりそう。

世の中のネットワーク技術者の皆さんお買い物どうやってる?

 パソコンの購入はすでに落ち着き、円安による値上げが気になってる時期ですけど、ネットワーク機器って皆さん調達できているんですかね?

春ごろに注文した無線LANアクセスポイントはやっと届くとリセラーから連絡がありました。

24Port LANスイッチの納期照会したら”未定”という回答。

4月発表の新製品はいまだ商品登録されておらず見積もり出てこず。

L3スイッチは半年以上待ち

ファイアウォールは2ヶ月待ちと。

基本海外製品であるNW機器は納期1か月は標準ですけど、未定とか辛すぎ

もちろんメーカー、製品を選ばなければ調達できるけど計画的な設計は不可能。

壊れたらどうする?

追加購入が必要になったら・・・

拠点が増えたら・・・

コロナ騒ぎも落ち着きを見せ、出勤率も徐々に高くなっている段階で入手不可という状況はつらいですね。

promtailを使ってiisのW3Cログを取得する

Grafana Lokiのpromtailをつかってiisのログを収集する際、timestampはログの取得日時が標準の動きで、新しいログの取得では大きな問題にはならないと思うけど、今までの記録やpromtailの実行直後のログは正しい時間が記録されないので困った場面に遭遇するかもしれない。これに備えてログに記録された日時を採用するように設定することは非常に重要なことだと思う。

ポイントは、W3Cログの日付はUTCで記録されている点です。

というわけでscrape_configs部分をYAMLで紹介。

scrape_configs:
  - job_name: system
    static_configs:
    - targets:
        - localhost
      labels:
        job: iis
        __path__: c:\inetpub\logs\LogFiles\*\*.log
    pipeline_stages:
    - match: 
        selector: '{job="iis"}'
        stages:
        - regex: 
            expression: ^(?P<datetime>\d{4}-\d{2}-\d{2} \d{2}:\d{2}:\d{2})
        - timestamp: 
            source: datetime
            format: 2006-01-02 15:04:05
            location: Etc/UTC

スペースの数はYAMLではとても重要なので書写する際は注意しましょう。

iisのログはstatic_configsで取得しjob名を"iis"と設定しています。
__path__:は利用環境に合わせて修正してください。

取得したログからtimestampを取得するための設定はpipeline_stagesのmatchで指定します。

job名"iis"に対し正規表現で行頭から日付部分を抽出し、timestampの書式を指定します。
format: の日時はドキュメントにも定義されている定数なので変更するとうまく動作しません。初めて設定した時はなんで2006年なんだ?と悩んだのと「2006-01-02 03:04:05」に設定していてうまく動作しなかったのですが、03は12時間、15は24時間になるので正しく認識しないよね。

後はlocation:で正しいTimezoneを指定してこのログはUTCで記録されていることを明示します。

この設定を行っていれば、過去のログは当時の日付で記録されるので安心です。


楽天モバイルさんよ~

 今までありがとう。2~3か月後には旅立ちます。


微妙なエリア住民だけど価格的にメリットがあったけど、価格が同じなら当然エリアの広いサービスを選ぶよね。パートナー回線エリアも縮小しているようだし。


ということで、キャリア変更しますのでよろしく。


次のキャリアですが、

OCNモバイル、IIJmio、Yモバイル、LINEMOあたりを狙っています。
データ少な目でDかY回線。
個人的な思いもあってDDI系列とKDD系列とはお付き合いしたくないんだ。


eSIMにしてRakuten Handを継続することも可能だけど、
せっかくのMNPなので、できれば安価にiPhoneに変えたい。
でも便器より汚いらしい受話器の中古はちょっと嫌なので新品。

手始めに散髪屋の隣にあったYモバイルに突撃してみた。
もちろんiPhone SE3 1円という看板が出ていたから。

店員さんに1円について詳しく聞きたいというお願いをして説明を聞いたのですが、看板にあった24ヶ月のキーワードが一切出てこない。キャンペーンは土日に実施していて、金曜日に内容が確定して、内容は毎週異なり機種も微妙に異なる。
iPhone希望ならソフトバンクモバイルを契約する必要がある。半年後にYモバイルに変更すると短期解約ペナルティーもなく差額を考慮してもお得だと。

ちょっとパニックだ。入店前の情報と一致せず騙されている気分だ。

iPhone miniを希望するなら2年が区切りでそれ以降の分割は機種変で不要になる。(やっと知っている情報が出てきた)でも、iPhoneSEをキャンペーンで購入して予備として持ってた方が壊したときに使えるのでキャンペーン利用はお勧めだと。ここでキャンペーンは買取ということを理解した。

私にとってはかなり裏技のように感じたけど、店員さんにとっては当たり前の契約方法らしい。今まで量販店とキャリア系のショップしか経験なかったので価格面を中心に話をしてくれてとてもありがたかった。

いやぁ~勉強になった。

SharePoint アイテム保管ライブラリをのぞいてみよう(2025年12月改訂)

※2025年コンテンツ検索等の機能がリニューアルされましたので修正しました。 ※2023年アカウント移行に失敗し画像を失ったので再度取得し改訂しました。 Office 365 Advent Calendar 2021  の12月16日投稿です。 警告: 個人的な理解に基づく内容、...