ログ・ファイル・ログ・ソース・パラメーター

QRadar が自動的にログ・ソースを検知しない場合は、ログ・ファイル・プロトコルを利用してQRadar Console上に、 IBM z/OS、 IBM CICS、 IBM RACF、IBM DB2、 Broadcom CA Top Secret あるいは Broadcom CA ACF2ログ・ソースを追加します。

ログ・ファイル・プロトコルを使用する場合は、特定のパラメーターを使用する必要があります。

以下の表には、IBM z/OS、IBM CICS、IBM RACF、IBM DB2、CA Top Secret、または CA ACF2 からログ・ファイル・イベントを収集するために固有の値を必要とするパラメーターの説明が示されています。

表 1. ログ・ファイル・ログ・ソース・パラメーター
パラメーター	値
Log Source name	ログ・ソースの名前を入力します。
Log Source description	ログ・ソースの説明を入力します。
Log Source type	DSM 名を選択します。
Protocol Configuration	ログ・ファイル
Log Source Identifier	イベント・ソースを識別するための IP アドレス、ホスト名、または名前を入力します。 QRadar が固有のイベント・ソースに対してログ・ファイルを識別できるようにするため、IP アドレスまたはホスト名が推奨されます。例えば、ネットワークに複数のデバイス (複数の z/OS® イメージや、すべてのイベント・ログを含むファイル・リポジトリーなど) が含まれている場合は、DSM ログ・ソースのイベントを一意的に識別するイメージまたはロケーションの名前、IP アドレス、またはホスト名を指定する必要があります。この指定により、ユーザーが識別可能なネットワークのイメージ・レベルまたは場所のレベルで、イベントを識別できるようになります。
Service Type	「サービス・タイプ」リストから、リモート・サーバーからログ・ファイルを取得するときに使用するプロトコルを選択します。デフォルトは SFTP です。 SFTP - SSH ファイル転送プロトコル FTP - ファイル転送プロトコル SCP - セキュア・コピーサービス・タイプ SCP および SFTP のログ・ファイルを取得するために使用される基礎のプロトコルでは、「リモート IP/ホスト名」フィールドに指定されているサーバーの SFTP サブシステムが有効になっている必要があります。
Remote IP or Hostname	イベント・ログ・ファイルを保管するデバイスの IP アドレスまたはホスト名を入力します。
Remote Port	選択されたサービス・タイプを実行するリモート・ホスト上の TCP ポートを入力します。有効な範囲は、1 から 65535 です。オプションには、以下のポートがあります。 FTP - TCP ポート 21 SFTP - TCP ポート 22 SCP - TCP ポート 22 イベント・ファイルのホストが FTP、SFTP、または SCP に非標準のポート番号を使用する場合は、ポート値を調整する必要があります。
Remote User	イベント・ファイルが含まれているシステムにログインするために必要なユーザー名またはユーザー ID を入力します。ログファイルが IBM z/OS イメージ上にある場合、 IBM z/OS にログインするために必要なユーザーIDを入力してください。ユーザー ID の長さは 8 文字まで可能です。ログ・ファイルがファイル・リポジトリー上にある場合は、ファイル・リポジトリーにログインするために必要なユーザー名を入力します。ユーザー名の長さは最大で 255 文字までです。
Remote Password	ホストにログインするために必要なパスワードを入力します。
Confirm Password	ホストにログインするために必要なパスワードを確認します。
SSH Key File	「サービス・タイプ」として「SCP」または「SFTP」を選択した場合、このパラメーターにより、SSH 秘密鍵ファイルを定義できます。 SSH 鍵ファイルを指定すると、「リモート・パスワード」フィールドは無視されます。
Remote Directory	ログインに使用しているユーザー・アカウントに関連した、ファイルを取得するリモート・ホスト上のディレクトリーの場所を入力します。
Recursive	ファイル・パターンでリモート・ディレクトリーのサブフォルダーを検索するようにしたい場合は、このチェック・ボックスを選択します。デフォルトでは、このチェック・ボックスはクリアされています。 SCP をサービス・タイプとして構成する場合は、「再帰的 (Recursive)」オプションは無視されます。
FTP File Pattern	「サービス・タイプ」として「SFTP」または「FTP」を選択した場合、「リモート・ディレクトリー」で指定したファイルのリストをフィルタリングするために必要な正規表現 (regex) を構成できます。一致するすべてのファイルは処理に組み込まれます。 IBM® を使用する IBM z/OS メインフレームは、 Security zSecure Auditがイベントファイルを以下のパターンで書き込みます： `<product_name>.<timestamp>.gz` 指定する FTP ファイル・パターンは、イベント・ファイルに割り当てた名前に一致する必要があります。例えば、先頭が zOS で末尾が .gz のファイルを収集するには、以下のコードを入力します。 `zOS.*\.gz` このパラメーターの使用には、正規表現 (regex) の知識が必要です。正規表現について詳しくは、レッスン: 正規表現 (https://docs.oracle.com/javase/tutorial/essential/regex/) を参照してください。
FTP Transfer Mode	このオプションは、「サービス・タイプ」として「FTP」を選択した場合にのみ表示されます。リストから「バイナリー」を選択します。バイナリー転送モードは、zip、gzip、tar、tar+gzip アーカイブ・ファイルなど、バイナリー (圧縮) フォーマットで保管されたイベント・ファイルの場合に必要です。
SCP Remote File	SCP をサービス・タイプとして選択する場合は、リモート・ファイルのファイル名を入力する必要があります。
Start Time	処理を開始する時刻を入力します。例えば、午前 0 時にイベント・ファイルを収集するようにログ・ファイル・プロトコルをスケジュールするには、`00:00` と入力します。このパラメーターと「繰り返し (Recurrence)」の値の組み合わせにより、リモート・ディレクトリーでファイルをスキャンするタイミングと頻度が決定されます。「HH:MM」の形式で、24 時間クロックに基づいて開始時刻を入力します。
Recurrence	開始時刻に始まる、リモート・ディレクトリーのスキャンの頻度を入力します。この値は、時間数 (H)、分数 (M)、または日数 (D) で入力します。例えば、リモート・ディレクトリーを開始時刻から 2 時間おきにスキャンする場合は、`2H` と入力します。デフォルトは 1H です。
Run On Save	「保存」をクリックした後にログ・ファイル・プロトコルを即時に実行するには、このチェック・ボックスを選択します。「保存時に実行」が完了した後には、ログ・ファイル・プロトコルは構成済みの開始時刻と反復スケジュールに従います。「保存時に実行」を選択すると、「以前に処理したファイルを無視 (Ignore Previously Processed File)」パラメーターの、以前に処理したファイルのリストはクリアされます。
EPS Throttle	QRadar が取り込む 1 秒当たりのイベントの最大数。データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。有効な範囲は、100 から 5000 です。
Processor	リストから「gzip」を選択します。プロセッサーにより、イベント・ファイル・アーカイブを解凍でき、内容がイベント用に処理されます。ファイルは、 QRadarにダウンロードされた後に処理されます。 QRadar は、 zip、 gzip、 tar、または tar+gzip アーカイブ形式のファイルを処理できます。
Ignore Previously Processed File(s)	ログ・ファイル・プロトコルによって既に処理済みのファイルを追跡および無視するには、このチェック・ボックスを選択します。 QRadar は、リモート・ディレクトリー内のログ・ファイルを調べて、ファイルがログ・ファイル・プロトコルによって以前に処理されているかどうかを判別します。以前に処理されたファイルが検出されると、ログ・ファイル・プロトコルはそのファイルを処理のためにダウンロードすることはしません。以前に処理されていないすべてのファイルがダウンロードされます。このオプションは FTP および SFTP のサービス・タイプにのみ適用されます。
Change Local Directory?	処理中にダウンロードしたファイルを保管するための QRadar 上のローカル・ディレクトリーを定義するには、このチェック・ボックスを選択します。このチェック・ボックスはクリアしたままにしておくことをお勧めします。このチェック・ボックスを選択すると、「ローカル・ディレクトリー (Local Directory)」フィールドが表示されます。これによりファイルの保管に使用するローカル・ディレクトリーを構成できます。
Event Generator	Event Generatorリストから、LineByLineを選択します。イベント・ジェネレーターは、取得されたイベント・ファイルに複数の処理を適用します。各行が、単一イベントです。例えば、ファイルに 10 行のテキストがある場合、10 件の個別のイベントが生成されます。