ObserveIT JDBC

ObserveIT JDBC 用の IBM QRadar DSM は、 ObserveITから JDBC イベントを収集します。

以下の表は、ObserveIT JDBC DSM の仕様を示しています。
表 1. ObserveIT JDBC DSM の仕様
仕様 値
製造元 ObserveIT
製品 ObserveIT JDBC
DSM RPM 名 DSM-ObserveIT-QRadar_Version-Build_Number.noarch.rpm
サポートされるバージョン V5.7
プロトコル

ObserveIT JDBC

ログ・ファイル・プロトコル
QRadar記録されたイベント
以下のイベント・タイプが ObserveIT JDBC によってサポートされています。
  • アラート
  • ユーザー・アクティビティー
  • システム・イベント
  • セッション・アクティビティー
  • DBA アクティビティー

Log File Protocol は、LEEF ログでのユーザー・アクティビティーをサポートします。
自動的に検出? いいえ
ID を含む? はい
カスタム・プロパティーを含む? いいえ
詳細情報 ObserveIT Web サイト (http://www.observeit-sys.com)
ObserveIT JDBC イベントを収集するには、以下の手順を実行します。
  1. 自動アップデートが有効になっていない場合は、IBM® サポート Web サイトから以下の RPM の最新バージョンをダウンロードし、QRadar Console にインストールしてください：
    • ObserveIT JDBC DSM RPM
    • DSMCommon DSM RPM
    • ObserveIT JDBC PROTOCOL RPM
    • JDBC PROTOCOL RPM
  2. ObserveIT システムがインストールされていて、SQL Server データベースがネットワーク経由でアクセス可能であることを確認してください。
  3. 統合する ObserveIT サーバーごとに、 QRadar Consoleでログ・ソースを作成します。 すべての必須パラメーターを構成します。 ObserveIT 固有のパラメーターを構成する際には、以下の表を使用してください。
    表 2. ObserveIT JDBC ログ・ソースのパラメーター
    パラメーター 説明
    ログ・ソース・タイプ ObserveIT
    プロトコル構成 ObserveIT JDBC
    ログ・ソース ID

    ログ・ソースの名前を入力します。 名前にスペースを含めることはできません。また、JDBC プロトコルを使用するように構成されているログ・ソース・タイプのすべてのログ・ソースで固有である必要があります。

    ログ・ソースが静的 IP アドレスまたはホスト名を持つ単一のアプライアンスからイベントを収集する場合は、「ログ・ソース ID」値のすべて、または一部として、アプライアンスの IP アドレスまたはホスト名を使用します (例: 192.168.1.1 や JDBC192.168.1.1)。 静的 IP アドレスまたはホスト名を持つ単一のアプライアンスからログ・ソースがイベントを収集しない場合は、「ログ・ソース ID」値に任意の固有名を使用できます (例: JDBC1、JDBC2)。
    データベース名 ObserveIT
    IP またはホスト名 ObserveIT システムの IP アドレスまたはホスト名。
    ポート ObserveIT ホスト上のポート。 デフォルトは 1433 です。
    ユーザー名 ObserveIT MS SQL データベースに接続するために必要なユーザー名。
    パスワード ObserveIT MS SQL データベースに接続するために必要なパスワード。
    開始日時 yyyy-MM-dd HH: mm 形式を使用します。
    ポーリング間隔 (Polling Interval) データベースをポーリングする頻度。
    EPS スロットル

    QRadar が取り込む 1 秒当たりのイベントの最大数。

    データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。
    表 3. ログ・ファイル・プロトコルのパラメーター
    パラメーター 説明
    プロトコル構成 ログ・ファイル
    ログ・ソース ID ログ・ソースの IP アドレス。 この値は、「リモート IP またはホスト名」パラメーターで構成した値と一致している必要があります。 「ログ・ソース ID」の値は、ログ・ソース・タイプに対して固有でなければなりません。
    サービス・タイプ

    リストから、リモート・サーバーからログ・ファイルを取得するときに使用するプロトコルを選択します。 デフォルトは SFTP です。

    SFTP - SSH ファイル転送プロトコル

    FTP - ファイル転送プロトコル

    SCP - セキュア・コピー

    サービス・タイプ SCP および SFTP のログ・ファイルを取得する基礎のプロトコルでは、「リモート IP またはホスト名」フィールドに指定されているサーバーの SFTP サブシステムが有効になっている必要があります。
    リモート IP またはホスト名 イベント・ログ・ファイルを保管するデバイスの IP アドレスまたはホスト名。
    リモート・ポート リモート・ホストが標準以外のポート番号を使用する場合は、ポートの値を調整してイベントを取得する必要があります。
    リモート・ユーザー イベント・ファイルが含まれているホストにログインするために必要なユーザー名。 ユーザー名の長さは最大で 255 文字までです。
    リモート・パスワード ホストにログインするために必要なパスワード。
    パスワードの確認 ホストにログインするために必要なパスワードの確認。
    SSH 鍵ファイル SSH 鍵へのパス (鍵認証を使用するようにシステムが構成されている場合)。 SSH 鍵ファイルを使用するときは、「リモート・パスワード (Remote Password)」フィールドは無視されます。
    リモート・ディレクトリー FTP の場合に、ログ・ファイルがリモート・ユーザーのホーム・ディレクトリーにある場合は、リモート・ディレクトリーを空白のままにしておくことができます。 ブランクの「リモート・ディレクトリー (remote directory)」フィールドにより、作業ディレクトリーの変更 (CWD) コマンドが制限されるシステムがサポートされます。
    SCP リモート・ファイル SCP をサービス・タイプとして選択した場合は、リモート・ファイルのファイル名を入力する必要があります。
    再帰的 (Recursive) このオプションは、SCP ファイル転送では無視されます。
    FTP ファイル・パターン リモート・ホストからダウンロードするファイルを特定するために必要な正規表現 (regex)。
    FTP 転送モード FTP 経由の ASCII 転送については、「プロセッサー」フィールドに「なし」を、「イベント・ジェネレーター (Event Generator)」フィールドに「LINEBYLINE」を選択する必要があります。
    開始時刻 処理を開始する時刻。 例えば、午前 0 時にイベント・ファイルを収集するようにログ・ファイル・プロトコルをスケジュールするには、12:00 AM と入力します。 このパラメーターは、「繰り返し (Recurrence)」の値と連携して、リモート・ディレクトリーのファイルをスキャンするタイミングと頻度を設定します。 12 時間クロックに基づいて、 開始時刻を HH:MM <AM/PM>という形式で入力します。
    繰り返し (Recurrence) 新しいイベント・ログ・ファイルがあるかどうかリモート・ディレクトリーをスキャンする頻度を決定する時間間隔。 時間間隔には時間数 (H)、分数 (M)、または日数 (D) の値を含めることができます。 例えば、繰り返しが 2H の場合は、リモート・ディレクトリーを 2 時間ごとにスキャンします。
    保存時に実行 ログ・ソース構成を保存した後、直ちにログ・ファイルのインポートを開始します。 このチェック・ボックスを選択すると、以前にダウンロードされて処理されたファイルのリストがクリアされます。 初回のファイル・インポートの後、ログ・ファイル・プロトコルは、管理者によって定義された開始時刻および繰り返しスケジュールに従います。
    EPS スロットル

    QRadar が取り込む 1 秒当たりのイベントの最大数。

    データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。
    プロセッサー プロセッサーにより、 QRadar はイベント・ファイル・アーカイブを拡張し、イベントの内容を処理することができます。 QRadar は、ファイルがダウンロードされた後にのみファイルを処理します。 QRadar は、 zip、 gzip、 tar、または tar+gzip アーカイブ形式のファイルを処理できます。
    以前に処理したファイルを無視 (Ignore Previously Processed File(s)) ログ・ファイル・プロトコルによって処理されたファイルを追跡および無視します。 QRadar は、リモート・ディレクトリー内のログ・ファイルを調べて、ログ・ファイル・プロトコルによって以前にファイルが処理されたかどうかを判別します。 以前に処理されたファイルが検出されると、ログ・ファイル・プロトコルはそのファイルを処理のためにダウンロードすることはしません。 前に処理されなかったすべてのファイルがダウンロードされます。 このオプションは FTP および SFTP のサービス・タイプにのみ適用されます。
    ローカル・ディレクトリーの変更 イベント・ログの処理前にそれらを格納するターゲット・イベント・コレクターのローカル・ディレクトリーを変更します。
    ローカル・ディレクトリー (Local Directory) ターゲット・イベント・コレクターのローカル・ディレクトリー。 このディレクトリーは、ログ・ファイル・プロトコルがイベントを取得しようとする前に存在する必要があります。
    ファイルのエンコード (File Encoding) ログ・ファイルのイベントで使用する文字エンコード。
    フォルダー分離文字 (Folder Separator) ご使用のオペレーティング・システムでフォルダーの区切りに使用する文字。 ほとんどの構成で、「フォルダーの区切り文字 (Folder Separator)」フィールドのデフォルト値を使用できます。 このフィールドは、別の文字を使用して個別のフォルダーを定義するオペレーティング・システムを対象としています。 例えば、メインフレーム・システムの場合にフォルダーを区切るピリオドが該当します。