osquery

osquery 用の IBM QRadar DSM は、 Linux® オペレーティング・システムを使用するデバイスから JSON 形式のイベントを受信します。 osquery DSM は、 QRadar V7.3.0 以降で使用可能です。
osquery DSM では、osquery V3.3.2 の qradar.pack.conf ファイルに含まれている以下の照会および rsyslog がサポートされます。
  • container_processes
  • docker_container_mounts
  • docker_containers
  • listening_ports
  • process_open_sockets
  • sudoers
  • ユーザー
  • file_events
重要: サポートされる osquery 照会は 10 秒間隔で実行され、その時点で使用可能なデータのみをキャプチャーします。 例えば、container_processes の照会が終わってから次の照会が開始されるまでの間に、新しいプロセスが開始して終了した場合、その情報は osquery によってキャプチャーされません。 osquery 差分ログについては、 osquery の資料 (https://osquery.readthedocs.io/en/stable/deployment/logging/#results-logs) を参照してください。
以下のサポートされる照会では、10 秒の照会間隔で使用可能なデータのみがキャプチャーされます。
  • container_processes
  • docker_container_mounts
  • docker_containers
  • listening_ports
  • process_open_sockets
  • sudoers
  • ユーザー
osquery とQRadarを統合するには、以下のステップを実行します。
  1. 自動更新が有効になっていない場合、RPM は IBM® サポートウェブサイト (http://www.ibm.com/support) からダウンロードできます。 以下に示す RPM の最新バージョンをダウンロードして QRadar Consoleにインストールしてください。
    • DSM 共通 RPM
    • osquery DSM RPM
    • TCP 複数行 Syslog プロトコル RPM
    • プロトコル共通 RPM
  2. イベントを受信するために QRadar Console で使用する TCP ポートが開いていることを確認します。 詳細については、QRadar®を参照してください：ユーザーインターフェイスを使用したIPtablesファイアウォール・ポートの管理を参照してください。 (https://www.ibm.com/support/pages/qradar-managing-iptables-firewall-ports-using-user-interface)
  3. Linux システムで rsyslog を構成します。 rsyslog の構成について詳しくは、 Linux システムでの rsyslog の構成を参照してください。
  4. Linux システムで osquery を構成します。 osquery の構成について詳しくは、 Linux システムでの osquery の構成を参照してください。
  5. TCP 複数行 Syslog プロトコルを使用するには、 QRadar Console で osquery ログ・ソースを追加します。 osquery ログ・ソース・パラメーターについて詳しくは、 osquery ログ・ソース・パラメーターを参照してください。