Splunk から転送された Windows イベントの収集

イベントを収集するために、イベントを QRadar Console および Splunk インデクサーに転送するように Windows エンドポイントを構成できます。

Splunk デプロイメントで集約ノードから Windows イベントを転送することは推奨されません。 Splunk forwarder を使用して、Windows イベント・データを IBM QRadarに送信します。複数の Windows エンドポイントから QRadar にイベントを転送する Splunk インデクサーは、 Splunk インデクサーの IP アドレスを使用してイベントの真のソースを覆い隠すことができます。誤った IP アドレスの関連付けがログ・ソースで発生しないようにするために、Windows エンドポイント・システムを更新して、インデクサーと QRadar Consoleの両方に転送することができます。

Splunk イベントは、TCP 複数行 Syslog プロトコルで Microsoft Windows セキュリティー・イベント・ログ DSM を使用して解析されます。プロトコルで構成された正規表現によって、イベント・ペイロードでの Splunk イベントの開始位置および終了位置が定義されます。イベント・パターンにより、 QRadar は、 QRadarで読み取り可能な単一行イベントとして未加工の Windows イベント・ペイロードをアセンブルできます。 Windows イベントを収集するために必要な正規表現については、ログ・ソース構成で説明されています。

Splunk syslog イベントのイベント収集を構成するには、以下の作業を行う必要があります。

QRadar アプライアンスで、 Microsoft Windows セキュリティー・イベント・ログ DSM を使用するようにログ・ソースを構成します。
注: Splunk イベント用に 1 つのログ・ソースを構成する必要があります。 QRadar は、最初のログ・ソースを使用して、より多くの Windows エンドポイントを自動検出できます。
Splunk アプライアンスで、Windows インスタンス上の各 Splunk Forwarder を、Windows イベント・データを QRadar Console または Event Collectorに送信するように構成します。
Splunk Forwarder を構成するには、props.conf、transforms.conf、および output.conf の各構成ファイルを編集する必要があります。イベントの転送について詳しくは、Splunk の資料を参照してください。
Splunk アプライアンスと、イベントの取得を担当する QRadar Console または管理対象ホストとの間の通信がファイアウォール・ルールによってブロックされていないことを確認してください。
QRadar アプライアンスで、「ログ・アクティビティー」タブを確認して、 Splunk イベントが QRadarに転送されていることを確認します。