Kubernetes 監査

Kubernetes 用の IBM QRadar DSM は、 Kubernetes マスター・ノード Kube-apiserver から監査イベントを収集します。

Kubernetes を QRadarに統合するには、以下の手順を実行します。
  1. 自動更新が有効になっていない場合、RPM は IBM® サポートウェブサイト (http://www.ibm.com/support) からダウンロードできます。 以下に示す RPM の最新バージョンをダウンロードして QRadar Consoleにインストールしてください。
    • DSM 共通 RPM
    • Kubernetes 監査 DSM RPM
  2. イベントを QRadarに送信するように Kubernetes マスター・ノード Kube-apiserver を構成します。
  3. 監査ポリシー・ファイルのコピーを作成します。 詳細については、 Kubernetes資料 (https://kubernetes.io/docs/tasks/debug-application-cluster/audit/#audit-policy)の監査ポリシーを参照してください。
  4. Kubernetes マスター・ホスト Linux® システムで rsyslog を構成します。 rsyslog の構成について詳しくは、 ロギング・サーバーでの rsyslog の構成 (https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/7/html/system_administrators_guide/ch-viewing_and_managing_log_files#s1-configuring_rsyslog_on_a_logging_server) を参照してください。
  5. QRadar でログ・ソースが自動的に検出されなかった場合は、 QRadar Consoleで Kubernetes 監査ログ・ソースを追加します。
注: Kubernetes 監査イベント・ペイロードは 32,000 バイトを超えることができます。 デフォルトの QRadar syslog ペイロード長は 4,096 バイトです。 QRadar Syslog ペイロード・サイズを 32,000 バイトに増やすことができます。 QRadar 最大ペイロードサイズの増加に関する詳細については、QRadar®: TCP Syslog Maximum Payload Message Length for QRadar Appliances (https://www.ibm.com/support/pages/qradar-tcp-syslog-maximum-payload-message-length-qradar-appliances) を参照してください。

Kubernetes 監査イベントが 32,000 バイトより大きい場合、イベントは QRadarによって切り捨てられます。 イベントが切り捨てられないようにするには、Kubernetes 監査ポリシーを調整して返されるデータを減らします。