ログソース拡張文書を作成してデータを取得する QRadar®

ログ・ソース拡張を作成する場合

公式な DSM がないログ・ソースの場合は、カスタム・ログ・ソース・タイプを使用してログ・ソースを統合します。 それにより、ログ・ソース拡張 (デバイス拡張とも呼びます) がカスタム・ログ・ソース・タイプに適用されて、ログを構文解析するためのロジックが提供されます。 LSX は、Java™ 正規表現に基づいており、syslog、 JDBC、およびログ・ファイルなどの任意のプロトコル・タイプに対して使用できます。 値をログから抽出し、 IBM QRadar内のすべての共通フィールドにマップすることができます。

ログ・ソース拡張を使用してコンテンツの欠落や誤りを修復する場合は、ログ・ソース拡張によって生成されるすべての新規イベントが、元のペイロードの構文解析に失敗したログ・ソースに関連付けられます。 拡張機能を作成すると、不明またはカテゴリー化されていないイベントが QRadarに不明として保管されなくなります。

ログ・ソース拡張を素早く作成するための DSM エディターの使用

IBM QRadar V7.2.8 以降では、DSM エディターを使用してログ・ソース拡張を作成できます。 DSM エディターには、作成しているログ・ソース拡張に問題があるかどうかを判別するためのリアルタイム・フィードバックが備わっています。 DSM エディターを使用して、フィールドの抽出、カスタム・プロパティーの定義、イベントのカテゴリー化、新規 QID の定義、および独自ログ・ソース・タイプの定義を行います。 DSM エディターについて詳しくは、 IBM QRadar Administration Guideを参照してください。

ログ・ソース拡張を手動で作成するプロセス

代わりの方法として、ログ・ソース拡張を手動で作成するには、以下の手順を実行します。

1. QRadarでログ・ソースが作成されていることを確認します。

   ログ・ソース・タイプが QRadar でサポートされる DSM としてリストされていない場合にソースからイベントを収集するには、カスタム・ログ・ソース・タイプを使用します。

   DSM エディターを使用して新しいログ・ソース・タイプを作成してから、ログ・ソースを手動で作成します。 LSX は、サポートされるログ・ソース・タイプ (Windows、Bluecoat、Cisco など、 QRadar でサポートされる DSM としてリストされているログ・ソース・タイプ) に接続できます。

2. 使用可能なフィールドを判別するには、「ログ・アクティビティー」タブを使用してログをエクスポートした上で評価します。
3. 拡張文書のサンプル・テンプレートを使用して、使用できるフィールドを判別します。

   テンプレートにあるフィールドをすべて使用する必要はありません。 ログ・ソースに存在し、拡張文書テンプレートのフィールドにマップできる値を判別します。

4. 使用していないフィールドとそれに対応するパターン ID をログ・ソース拡張文書から削除します。
5. 拡張文書をアップロードして、拡張をログ・ソースに適用します。
6. イベントを、QIDmap の対応する要素にマップします。

   「ログ・アクティビティー」 タブのこの手動アクションを使用して、不明なログ・ソース・イベントを既知の QRadar イベントにマップし、それらのイベントをカテゴリー化して処理できるようにします。