Palo Alto Endpoint Security Manager

Palo Alto Endpoint Security Manager (トラップ) 用の IBM QRadar DSM は、Palo Alto Endpoint Security Manager (トラップ) デバイスからイベントを収集します。

以下の表は、Palo Alto Endpoint Security Manager DSM の仕様を示しています。
表 1. Palo Alto Endpoint Security Manager DSM の仕様
仕様 値
製造元 Palo Alto Networks
DSM 名 Palo Alto Endpoint Security Manager
RPM ファイル名 DSM-PaloAltoEndpointSecurityManager-QRadar_version-build_number.noarch.rpm
サポートされるバージョン 3.4.2.17401
プロトコル Syslog
イベント・フォーマット ログ・イベント拡張フォーマット (LEEF)

共通イベント・フォーマット (CEF)。 CEF:0 がサポートされます。
記録されるイベント・タイプ エージェント

構成

ポリシー

システム

脅威
自動的に検出? はい
ID を含む? いいえ
カスタム・プロパティーを含む? いいえ
詳細情報 Palo Alto Networks Web サイト (https://www.paloaltonetworks.com)
Palo Alto Endpoint Security Manager を QRadarに統合するには、以下のステップを実行します。
  1. 自動更新が有効になっていない場合は、IBM® サポート Web サイト (http://www.ibm.com/support) から最新バージョンの RPM をダウンロードしてください。
    • DSMCommon RPM
    • Palo Alto Endpoint Security Manager DSM RPM
  2. Syslog イベントを QRadarに送信するように Palo Alto Endpoint Security Manager デバイスを構成します。
  3. QRadar でログ・ソースが自動的に検出されなかった場合は、 QRadar Consoleで Palo Alto Endpoint Security Manager ログ・ソースを追加します。 以下の表は、Palo Alto Endpoint Security Manager イベントの収集用に固有の値を必要とするパラメーターを示しています。
    表 2. Palo Alto Endpoint Security Manager ログ・ソース・パラメーター
    パラメーター 値
    ログ・ソース・タイプ Palo Alto Endpoint Security Manager
    プロトコル構成 Syslog
    ログ・ソース ID ログ・ソースの固有 ID。
  4. QRadar が正しく構成されていることを確認するには、以下の表を参照して、解析済みイベント・メッセージの例を確認してください。
    以下の表は、 Palo Alto Endpoint Security Managerのイベント・メッセージのサンプルをリストしています。
    表 3. Palo Alto Endpoint Security Manager サンプル・メッセージ
    イベント名 下位カテゴリー サンプル・ログ・メッセージ
    新規ハッシュの追加 (New Hash Added) 成功した構成の変更 
    LEEF:1.0|Palo Alto Networks|Traps ESM|3.4.2.17401|New Hash Added|cat=Policysubtype=New HashAdded	devTimeFormat=MMM dd yyyy HH:mm:ss	devTime=Nov 03 2016 18:43:57	src=<Source_IP_address>	shost=hostname	suser= fileHashxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx	NewVerdict=Benign	msg=New hash added	sev=6