Microsoft Endpoint Protection

IBM QRadar 用の Microsoft Endpoint Protection DSM は、マルウェア検出イベントを収集します。

QRadar は、 JDBC プロトコルを使用してマルウェア検出イベントを収集します。 QRadar にマルウェア検出イベントを追加すると、デプロイメント内のマルウェアに感染したコンピューターをモニターおよび検出する機能が提供されます。

マルウェア検出イベントには、次のイベント・タイプがあります。

  • マルウェアが検出されたサイト名と送信元。
  • 脅威名、脅威 ID、および重大度。
  • 脅威に関連付けられたユーザー ID。
  • イベント・タイプ、タイム・スタンプ、およびマルウェアに対して実行したクリーンアップ・アクション。

構成の概要

Microsoft Endpoint Protection DSM は、 JDBC を使用して、マルウェア検出イベント・データの SQL データベースをポーリングします。 この DSM は、自動検出は行いません。 Microsoft Endpoint Protection を QRadarに統合するには、以下の手順を実行します。

  1. データベースが Predefined Query で構成されていない場合は、マルウェア検出イベント データを含む QRadar® 用の SQL データベース ビューを作成します。
  2. Microsoft Endpoint Protection データベースからイベントをポーリングするように JDBC ログ・ソースを構成します。 Microsoft Endpoint Protection の JDBC ログ・ソース・パラメーターの構成については、 事前定義データベース照会の Microsoft Endpoint Protection JDBC ログ・ソース・パラメーターを参照してください。
  3. QRadar と Microsoft Endpoint Protection に関連付けられたデータベースとの間の通信をブロックしているファイアウォール・ルールがないことを確認します。