IBM Security Privileged Identity Manager

IBM® Security Privileged Identity Manager 用の IBM QRadar DSM は、JDBC プロトコルを使用してイベントを収集します。

以下の表は、IBM Security Privileged Identity Manager DSM の仕様を示しています。
表 1. IBM Security Privileged Identity Manager DSM の仕様
仕様 値
製造元 IBM
DSM 名 IBM Security Privileged Identity Manager
RPM ファイル名 DSM-IBMSecurityPrivilegedIdentityManager-QRadar_version-build_number.noarch.rpm
サポートされるバージョン V1.0.0 から V2.1.1
プロトコル JDBC
記録されるイベント・タイプ 監査

認証

システム
自動的に検出? いいえ
ID を含む? いいえ
カスタム・プロパティーを含む? いいえ
詳細情報 IBM Security Privileged Identity Manager Web サイト (https://www.ibm.com/support/knowledgecenter/en/SSRQBP/welcome.html)
IBM Security Privileged Identity Manager からイベントを収集するには、以下の手順を実行します。
  1. 自動更新が有効になっていない場合は、以下に示す RPM の最新バージョンを IBM サポート Web サイト からダウンロードし、QRadar Consoleにインストールしてください。
    • JDBC プロトコル Rational® Portfolio Manager
    • IBM Security Privileged Identity Manager DSM RPM
  2. QRadarと通信するように IBM Security Privileged Identity Manager を構成します。
  3. QRadar Consoleで IBM Security Privileged Identity Manager ログ・ソースを追加します。 以下の表は、イベントの収集用に固有の値を必要とするパラメーターを示しています。
    表 2. IBM Security Privileged Identity Manager JDBC ログ・ソース・パラメーター
    パラメーター 値
    ログ・ソース名 ログ・ソースの固有名を入力します。
    ログ・ソースの説明 (オプション) ログ・ソースの説明を入力します。
    ログ・ソース・タイプ IBM Security Privileged Identity Manager
    プロトコル構成 JDBC
    ログ・ソース ID

    ログ・ソースの名前を入力します。 名前にスペースを含めることはできません。また、JDBC プロトコルを使用するように構成されているログ・ソース・タイプのすべてのログ・ソースで固有である必要があります。

    ログ・ソースが静的 IP アドレスまたはホスト名を持つ単一のアプライアンスからイベントを収集する場合は、「ログ・ソース ID」値のすべて、または一部として、アプライアンスの IP アドレスまたはホスト名を使用します (例: 192.168.1.1 や JDBC192.168.1.1)。 静的 IP アドレスまたはホスト名を持つ単一のアプライアンスからログ・ソースがイベントを収集しない場合は、「ログ・ソース ID」値に任意の固有名を使用できます (例: JDBC1、JDBC2)。
    データベース・タイプ MSDE
    Database Name データベース名は、「ログ・ソース ID」フィールドで指定したデータベース名に一致している必要があります。
    IP またはホスト名 IBM Security Privileged Identity Manager の「ホスト名」フィールドの値に一致する必要があります。
    ポート IBM Security Privileged Identity Manager の「ポート」フィールドの値に一致する必要があります。
    Username IBM Security Privileged Identity Manager の「データベース管理者 ID」フィールドの値に一致する必要があります。
    パスワード データベースへの接続に使用されるパスワード。
    認証ドメイン

    「Microsoft JDBC の使用 (Use Microsoft JDBC)」 を選択しなかった場合、「認証ドメイン」が表示されます。

    Windows ドメインになっている MSDE データベースのドメイン。 ネットワークがドメインを使用しない場合は、このフィールドを空白のままにしてください。
    データベース・インスタンス データベース・インスタンス (必要な場合)。 MSDE データベースでは、単一のサーバーに複数の SQL サーバー・インスタンスを含めることができます。

    標準以外のポートをデータベースに使用する場合、または SQL データベース解決のためのポート 1434 へのアクセスがブロックされる場合は、ログ・ソース構成の「データベース・インスタンス」パラメーターを空白にする必要があります。
    定義済み照会 「なし」を選択します。
    テーブル名 <DB2ADMIN>.V_PIM_AUDIT_EVENT

    DB2ADMIN を、 IBM Security Privileged Identity Managerの 「データベース管理者 ID」 パラメーターで識別される実際のデータベース・スキーマ名に置き換えます。
    選択リスト テーブルまたはビューのすべてのフィールドを選択するには、アスタリスク (*) を入力します。
    比較フィールド 照会から次の照会までの間に表に追加された新しいイベントを識別します。 TIMESTAMPと入力します。
    準備済みステートメントの使用 (Use Prepared Statements) 準備済みステートメントを使用すると、JDBC プロトコル・ソースで SQL ステートメントをセットアップし、その SQL ステートメントを別のパラメーターで何度でも実行できるようになります。 このチェック・ボックスを選択します。
    開始日時 (オプション) データベースのポーリングの開始日時を yyyy-MM-dd HH:mm の形式で入力します (HH は 24 時間形式で指定します)。 開始日または開始時間をクリアした場合は、すぐにポーリングが開始され、指定のポーリング間隔で繰り返されます。
    ポーリング間隔 (Polling Interval) イベント・テーブルに対する照会から次の照会までの間の時間。 デフォルトの 「ポーリング間隔」 値 10を使用します。
    EPS スロットル

    QRadar が取り込む 1 秒当たりのイベントの最大数。

    データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。

    デフォルトは、20,000 です。
    名前付きパイプ通信の使用 (Use Named Pipe Communication)

    「Microsoft JDBC の使用 (Use Microsoft JDBC)」を選択しなかった場合、「名前付きパイプ通信の使用 (Use Named Pipe Communication)」が表示されます。

    MSDE データベースでは、データベースのユーザー名とパスワードではなく、Windows 認証のユーザー名とパスワードを使用するために、ユーザー名とパスワードのフィールドが必要です。 ログ・ソースの構成では、MSDE データベースの名前付きパイプであるデフォルトを使用する必要があります。
    データベース・クラスター名 (Database Cluster Name) 「名前付きパイプ通信の使用 (Use Named Pipe Communication)」を選択した場合、「データベース」パラメーターが表示されます。 SQL サーバーをクラスター環境で実行している場合は、クラスター名を定義して、名前付きパイプ通信が確実に正しく機能するようにしてください。
    NTLMv2 の使用

    「Microsoft JDBC の使用 (Use Microsoft JDBC)」 を選択しなかった場合、「NTLMv2 の使用」が表示されます。

    NTLMv2 認証を必要とする SQL サーバーとの通信時に、MSDE 接続で NTLMv2 プロトコルを使用する場合は、このオプションを選択します。 このオプションは、NTLMv2 認証を必要としない MSDE 接続の通信には干渉しません。

    NTLMv2 認証を必要としない MSDE 接続の通信には干渉しません。
    SSL の使用 (Use SSL) 接続で SSL がサポートされている場合は、このオプションを選択します。
    Microsoft SQL Server ホスト名

    「Microsoft JDBC の使用 (Use Microsoft JDBC)」と「SSL の使用 (Use SSL)」を選択した場合、 「Microsoft SQL Server のホスト名 (Microsoft SQL Server Hostname)」パラメーターが表示されます。

    Microsoft SQL Server のホスト名を入力する必要があります。