Name Value Pair

「名前と値のペア DSM (Name Value Pair DSM)」には、通常は syslog ログを送信しない可能性があるデバイスと IBM QRadar を統合するオプションがあります。

Name Value Pair DSM は、ログを QRadarに送信するオプションを提供するログ・フォーマットを提供します。 例えば、syslog を使用してログをネイティブでエクスポートしないデバイスの場合、 QRadar がサポートしないデバイスからログをエクスポートし、「名前と値のペア」ログ形式でログをフォーマットし、syslog を使用してログを QRadar に送信するスクリプトを作成できます。

その後、 QRadar で構成された名前と値のペア DSM ログ・ソースがログを受信し、ログが名前と値のペアのログ・フォーマットで受信されるため、データを解析できます。

ヒント: 「名前と値のペア」DSM のイベントは、 QRadarによって自動的に検出されません。

Name Value Pair DSM は、syslog を使用してイベントを受け取ります。 QRadar は、関連するすべてのイベントを記録します。 Name Value Pair DSM のログ・フォーマットは、タブ区切りの、Name=Parameter の単一行のリストでなければなりません。 Name Value Pair DSM では、有効な syslog ヘッダーは必要ありません。

注: 「名前と値のペア」DSM は、カスタム・スクリプトを作成する機能、または「名前と値のペア」形式で syslog を使用して QRadar にログを送信するデバイス機能に関する十分な知識を前提としています。

Name Value Pair DSM が解析できるタグを以下に示します。

表 1. Name Value Pair ログ・フォーマット・タグ

タグ

説明
DeviceType

DeviceTypeとして NVP を入力します。 これにより、ログのフォーマットが名前と値のペアのログ・メッセージとして識別されます。

これは必須パラメーターであり、DeviceType=NVP はリストの 1 番目のペアとして指定する必要があります。
EventName

イベント・マッピング機能を使用する場合に、Events インターフェースでイベントを識別するために使用するイベント名を入力します。 イベントのマッピングについて詳しくは、 IBM QRadar User Guideを参照してください。

これは必須パラメーターです。
EventCategory

「イベント」インターフェースでイベントを識別するために使用するイベント・カテゴリーを入力します。 この値がログ・メッセージに含まれていない場合、 NameValuePair 値が使用されます。
SourceIp

メッセージの送信元 IP アドレスを入力します。
SourcePort

メッセージの送信元ポートを入力します。
SourceIpPreNAT

ネットワーク・アドレス変換 (NAT) の実行前のメッセージの送信元 IP アドレスを入力します。
SourceIpPostNAT

NAT 実行後のメッセージの送信元 IP アドレスを入力します。
SourceMAC

メッセージの送信元 MAC アドレスを入力します。
SourcePortPreNAT

NAT 実行前のメッセージの送信元ポートを入力します。
SourcePortPostNAT

NAT 実行後のメッセージの送信元ポートを入力します。
DestinationIp

メッセージの宛先 IP アドレスを入力します。
DestinationPort

メッセージの宛先ポートを入力します。
DestinationIpPreNAT

NAT 実行前のメッセージの宛先 IP アドレスを入力します。
DestinationIpPostNAT

NAT 実行後のメッセージの宛先 IP アドレスを入力します。
DestinationPortPreNAT

NAT 実行前のメッセージの宛先ポートタイプを入力します。
DestinationPortPostNAT

NAT 実行後のメッセージの宛先ポートを入力します。
DestinationMAC

メッセージの宛先 MAC アドレスを入力します。
DeviceTime

デバイスに基づいて、イベントの送信時刻を入力します。 フォーマットは YY/MM/DD hh:mm:ss です。 特定の時刻が指定されない場合は、Syslog ヘッダーまたは DeviceType パラメーターが適用されます。
UserName

イベントに関連付けられているユーザー名を入力します。
HostName

イベントに関連付けられているホスト名を入力します。 一般に、このパラメーターはアイデンティティー・イベントにのみ関連付けられています。
GroupName

イベントに関連付けられているグループ名を入力します。 一般に、このパラメーターはアイデンティティー・イベントにのみ関連付けられています。
NetBIOSName

イベントに関連付けられている NetBIOS 名を入力します。 一般に、このパラメーターはアイデンティティー・イベントにのみ関連付けられています。
アイデンティティー

このイベントでアイデンティティー・イベントを生成するかどうかを示すため、TRUE または FALSE を入力します。

ログ・メッセージに、SourceIp (IdentityUseSrcIp パラメーターが TRUE に設定されている) または DestinationIp (IdentityUseSrcIp パラメーターが FALSE に設定されている) のいずれかと、UserName、SourceMAC、HostName、NetBIOSName、GroupName パラメーターのいずれか 1 つが含まれている場合に、アイデンティティー・イベントが生成されます。
IdentityUseSrcIp

TRUE または FALSE (デフォルト) を入力します。

TRUE は、アイデンティティーに送信元 IP アドレスを使用することを指定します。 FALSE は、アイデンティティーに宛先 IP アドレスを使用することを指定します。 このパラメーターを使用するのは、Identity パラメーターが TRUE に設定されている場合だけです。

これらのサンプル・イベント・メッセージを使用して、 QRadarとの統合が正常に行われたことを確認します。

重要: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。

例 1

以下の例では、すべてのフィールドを構文解析します。

DeviceType=NVP EventName=Test DestinationIpPostNAT=<IP_address> DeviceTime=2007/12/14 09:53:49 SourcePort=1111 Identity=FALSE SourcePortPostNAT=3333 DestinationPortPostNAT=6666 HostName=testhost DestinationIpPreNAT=<IP_address> SourcePortPreNAT=2222 DestinationPortPreNAT=5555 SourceMAC=<MAC_address> SourceIp=<IP_address> SourceIpPostNAT=<IP_address> NetBIOSName=<BIOS_name> DestinationMAC=<MAC_address> EventCategory=Accept DestinationPort=4444 GroupName=testgroup SourceIpPreNAT=<IP_address> UserName=<Username> DestinationIp=<IP_address>

例 2

以下の例では、宛先 IP アドレスを使用してアイデンティティーを提供します。

<133>Apr 16 12:41:00 192.0.2.1 namevaluepair: DeviceType=NVP EventName=Test EventCategory=Accept Identity=TRUE SourceMAC=<MAC_address> SourceIp=<Source_IP_address> DestinationIp=<Destination_IP_address> UserName=<Username>

例 3

以下の例では、送信元 IP アドレスを使用してアイデンティティーを提供します。

DeviceType=NVP EventName=Test EventCategory=Accept DeviceTime=2007/12/14 09:53:49 SourcePort=5014 Identity=TRUE IdentityUseSrcIp=TRUE SourceMAC=<MAC_address> SourceIp=<Source_IP_address> DestinationIp=<Destination_IP_address> DestinationMAC=<MAC_address> UserName=<Username>

例 4

以下は、アイデンティティーを提供しない項目の例です。

DeviceType=NVP EventName=Test 
EventCategory=Accept DeviceTime=2007/12/14 09:53:49 
SourcePort=5014 Identity=FALSE 
SourceMAC=<MAC_address> 
SourceIp=<Source_IP_address> 
DestinationIp=<Destination_IP_address> 
DestinationMAC=<MAC_address> 
UserName=<Username>