Arpeggio SIFT-IT

SIFT-IT 用の IBM QRadar DSM は、ログ・イベント拡張フォーマット (LEEF) としてフォーマットされた、 IBM i 上で稼働する Arpeggio SIFT-IT からの syslog イベントを受け入れます。

QRadar は、 IBM i バージョン 5 リビジョン 3 (V5R3) 以降にインストールされた Arpeggio SIFT-IT 3.1 以降のイベントをサポートします。

Arpeggio SIFT-IT は、ジャーナル QAUDJRN の syslog イベント (LEEF 形式) をサポートします。

例:

Jan 29 01:33:34 <Server> LEEF:1.0|Arpeggio|SIFT-IT|3.1|PW_U|sev=3 usrName=<Username> src=<Source_IP_address> srcPort=543 jJobNam=QBASE jJobUsr=<Username> jJobNum=1664 jrmtIP=<SourceIP_address> jrmtPort=543 jSeqNo=4755 jPgm=QWTMCMNL jPgmLib=QSYS jMsgId=PWU0000 jType=U jUser=ROOT jDev=QPADEV000F jMsgTxt=Invalid user id <Username>. Device <Device_ID>.

SIFT-IT が QRadar に送信するイベントは、構成ルール・セット・ファイルによって決定されます。 SIFT-IT にはデフォルトの構成ルール・セット・ファイルがあり、セキュリティー要件または監査要件に合わせて編集できます。 ルール・セット・ファイルの構成方法について詳しくは、「SIFT-IT User Guide」を参照してください。