サード・パーティー・デバイスからのイベント収集

サード・パーティー・デバイスからのイベント収集を構成するには、サード・パーティー・デバイス、および QRadar Console、イベント・コレクター、またはイベント・プロセッサーで構成タスクを実行する必要があります。 サード・パーティー・デバイスからイベントを収集するために連携するキー・コンポーネントは、ログ・ソース、DSM、および自動更新です。

ログ・ソース

ログ・ソース とは、 IBM QRadar システムにイベントを送信するように構成されているか、 QRadar システムによって収集されるように構成されている外部のデバイス、システム、またはクラウド・サービスのことです。 QRadar の 「ログ・アクティビティー」 タブには、ログ・ソースからのイベントが表示されます。

ログ・ソースからロー・イベントを受信するために、 QRadar は、OS、アプリケーション、ファイアウォール、IPS/IDS、SNMP、SOAP、データベース表およびビューからのデータ用の JDBC など、いくつかのプロトコルをサポートしています。 QRadar は、Checkpoint の OPSEC/LEA など、ベンダー固有の専有プロトコルもサポートします。

DSM

デバイス・サポート・モジュール (DSM) は、複数のログ・ソースから受信したイベントを解析し、出力として表示できる標準の分類形式にそれらを変換するコード・モジュールです。 ログ・ソースのタイプごとに、対応する DSM があります。 例えば、IBM Fiberlink MaaS360 DSM は、IBM Fiberlink MaaS360 ログ・ソースからのイベントを解析して正規化します。

自動更新

QRadar は、日次および週次の自動更新を繰り返しスケジュールで提供します。 週次の自動更新には、新規 DSM リリース、解析問題の修正、およびプロトコル更新が含まれます。 自動更新について詳しくは、 IBM QRadar Administration Guideを参照してください。

サード・パーティー・デバイスのインストール・プロセス

サード・パーティー・デバイスからイベントを収集するには、ログ・ソース・デバイスと QRadar システムの両方でインストールと構成のステップを実行する必要があります。 一部のサード・パーティー・デバイスでは、追加の構成ステップ (そのデバイスと QRadarの間の通信を可能にする証明書の構成など) が必要になります。

以下のステップは、典型的なインストール・プロセスです。
  1. デバイスを統合する方法について、サード・パーティー・デバイスに固有の説明を読みます。
  2. サード・パーティー・デバイスの RPM をダウンロードしてインストールします。 RPM は、 IBM サポート Web サイト (http://www.ibm.com/support) からダウンロードできます。
    ヒント: ご使用の QRadar システムが自動更新を受け入れるように構成されている場合、このステップは必要ない場合があります。
  3. イベントを QRadarに送信するようにサード・パーティー・デバイスを構成します。

    一部のイベントを受信すると、 QRadar は自動的にいくつかのサード・パーティー・デバイスを検出し、ログ・ソース構成を作成します。 ログ・ソースは、「ログ・ソース」リストにリストされます。ログ・ソースにはデフォルトの情報が含まれています。 この情報は、カスタマイズすることができます。

  4. QRadar でログ・ソースが自動的に検出されなかった場合は、ログ・ソースを手動で追加します。 サポートされている DSM のリストおよびデバイス固有のトピックに、自動的に検出されないサード・パーティー・デバイスが示されています。
  5. 構成の変更をデプロイして、Web サービスを再始動します。

サポートされないサード・パーティー・ログ・ソースのカスタム・ログ・ソース・タイプ

イベントが収集された後、デバイスからの個々のイベントが適切に正規化されるまでは、相関を開始できません。 正規化 とは、情報を共通フィールド名 (イベント名、IP アドレス、プロトコル、ポートなど) にマップすることを意味します。 エンタープライズ・ネットワークに、 QRadar が対応する DSM を提供しないネットワーク・デバイスまたはセキュリティー・デバイスが 1 つ以上ある場合は、カスタム・ログ・ソース・タイプを使用できます。 QRadar は、カスタム・ログ・ソース・タイプを使用して、ほとんどのデバイスおよび一般的なプロトコル・ソースと統合できます。

詳しくは、 IBM QRadar Administration Guideを参照してください。