DSM のトラブルシューティング

DSM で問題が発生した場合は、以下の問題のトラブルシューティングできます。

構文解析の対象となるイベントが非公式の DSM で収集されるとどうなりますか?

公式の DSM を使用していなくても、イベントが収集されることがあります。 これは、 IBM QRadar によって受信されたイベントが、 QRadarの「ログ・アクティビティー」タブで「不明」として識別される可能性があることを示します。 「不明」 とは、 IBM® QRadar がイベントを収集したが、イベントの形式を解析できず、イベントを分類できなかったことを意味します。 ただし、非公式の DSM 内の一部の固有イベントは、予期されるイベント・フォーマットに従っていない場合、解析することも識別することもできません。 システムがイベントを認識できない場合、そのイベントは、「不明」として分類されます。

不明イベントと保管イベントの違いは何ですか?

イベントは、3 つのカテゴリーに分類されます。
解析済みイベント
QRadar は、イベントを収集し、解析し、適切なログ・ソースに分類します。
不明イベント
イベントを収集および解析しましたが、特定のログ・ソースにマップすることも分類することもできませんでした。 「イベント名」および「下位カテゴリー」は、「不明」として設定されます。 自動的にディスカバーされなかったログ・ソースは、通常、システム内でログ・ソースが手動で作成されるまで、「不明なイベント・ログ」として識別されます。 イベントをログ・ソースに関連付けることができなかった場合、そのイベントは、汎用ログ・ソースに割り当てられます。 これらのイベントを識別するには、 SIM Generic ログ・ソースに関連付けられているイベントを検索するか、 Event is Unparsed フィルターを使用します。
保管されたイベント
QRadarがイベントを理解または解析できません。 QRadar は、イベントを解析できない場合、イベントをディスクに書き込み、イベントを 「保管済み」として分類します。

「ログ・アクティビティー」タブでこれらのイベントを見つけるにはどうすればよいですか?

ご使用のデバイスに固有のイベントを見つけるには、 QRadar でデバイスの送信元 IP アドレスを検索できます。 イベント・ペイロードから固有値を選択して、 Payload Containsを検索することもできます。 これらの検索のいずれかによって、イベントが見つかることがあります。多くの場合、そのイベントは、「不明」または「保管」のいずれかとして分類されています。

不明イベントまたは保管イベントを見つける最も簡単な方法は、 Event in Unparsedの検索フィルターを追加することです。 この検索フィルターは、解析できなかったイベント (保管イベント) またはログ・ソースに関連付けることも自動ディスカバーすることもできなかったイベント (不明なログ・イベント) をすべて見つけます。

公式にサポートされているDSMの詳細については、 QRadar® のサポート対象DSM をご覧ください。

自動的に検出されないログ・ソースからの不明なイベント・ログがある場合はどうすればよいですか?

イベント収集サービス (ECS) には、イベントを自動的に検出して新しいログ・ソースを作成するトラフィック分析プロセスが含まれています。 トラフィック分析は、イベント・ペイロードを分析してログ・ソースを識別しようとします。 ログ・ソースを識別するには、少なくとも 25 件のイベントが必要です。 1,000 件のイベントの後にトラフィック分析でログ・ソースを識別できない場合、 QRadar はオートディスカバリー・プロセスを中止します。 イベント・ペイロードによってログ・ソースを識別できず、トラフィック分析の最大しきい値に達すると、 QRadar は、ログ・ソースの IP アドレスを指定する通知を生成します。 QRadar は、以下の通知を生成します。

Unable to automatically detect the associated log source for IP address <IP>

その後、 QRadar はログ・ソースを SIM 汎用に分類し、イベントに 「不明なイベント・ログ」というラベルを付けます。

QRadar は特定のログ・ソースを自動検出できますが、サポートされている一部のログ・ソースを検出できません。 この通知の一般的な原因は次のとおりです。

  • デバイスは、 QRadar がイベントの解析をサポートする DSM より新しいバージョンです。
  • デバイス・タイプが、自動ログ・ソース検出をサポートしていないこと。 ご使用のDSM の資料を参照して、自動的に検出されるかどうかを確認してください。
  • ログが予期されるフォーマットに従っていないこと。 カスタマイズ可能なイベント・フォーマットまたは必須フィールドが欠落している可能性があります。
  • 構成が正しくないために、デバイスがイベント・フォーマットを作成していること。
  • ログは、 QRadarで正式にサポートされている DSM ではないデバイスからのものです。
不明なイベント・ログを解決するには、以下のようにします。
  • IP アドレスを確認して、未解析イベントを送信しているデバイスを判別します。 デバイスを識別した後、 IBM QRadar Log Source Management アプリケーションを使用してログ・ソースを手動で作成できます。
  • 低レートでイベントを転送するログ・ソースをすべて確認します。 この通知の一般的な原因は、イベント・レートが低いログ・ソースです。
  • QRadar システムのイベントを適切に解析するために、自動更新によって最新の DSM がダウンロードされることを確認してください。
  • 中央のログ・サーバー経由でイベントを発生させるログ・ソースをすべて確認してください。 中央のログ・サーバーまたは管理コンソールから提供されるログのログ・ソースは、手動で作成する必要がある場合があります。
  • 「ログ・アクティビティー」 タブを確認して、通知メッセージの IP アドレスからアプライアンス・タイプを判別し、 QRadarでログ・ソースを手動で作成します。

使用している製品バージョンまたはデバイスが「DSM 構成ガイド」にリストされていない場合はどうすればよいですか?

ベンダー製品の特定のバージョンまたはデバイスが、サポート対象としてリストされていない場合があります。 製品またはデバイスがリストされていない場合は、以下のガイドラインに従ってください。

バージョンがリストされていない
ご使用の製品の DSM が QRadarによって公式にサポートされているが、ご使用の製品バージョンが IBM QRadar DSM Configuration Guideにリストされていない場合は、以下のオプションがあります。
  • DSM を試用して、機能するかどうかを確認する。 ガイドにリストされている製品バージョンは IBMによってテストされていますが、より新しい未テストのバージョンも機能する可能性があります。
  • DSM を試用したが機能しなかった場合は、ログ・ソースの確認のためにサポート・チケットをオープンし、可能性がある問題をトラブルシューティングして排除する。
    ヒント: ほとんどの場合、変更は必要ありません。あるいは、 IBM QRadar Identifier (QID) マップに対する軽微な更新のみが必要な場合もあります。 ベンダーによるソフトウェア更新によってイベント・フォーマットの追加や変更が行われた結果、まれに、DSM が動作しなくなり、新規統合の開発用に RFE が必要になる場合があります。 これは、RFE が必要になる唯一のシナリオです。
デバイスがリストされていない
デバイスが公式にサポートされていない場合、以下のいずれかを行ってください。
  • ご使用のデバイスが公式にサポートされるようにするための Request for Enhancement (RFE) を発行します。
    • QRadar SIEM RFE ページ (https://ibm.biz/BdRPx5) にアクセスします。
    • サポート・ポータル・ページにログインします。
    • 「Submit」タブをクリックし、必要な情報を入力します。
      ヒント: デバイスからのイベント・ログがある場合は、イベント情報を添付し、イベント・ログを生成したデバイスの製品バージョンを含めます。
  • ご使用のデバイスのイベントを解析するためのログ・ソース拡張を記述します。 詳しくは、 ログ・ソース拡張 および DSM エディターを参照してください。
  • 一部のサード・パーティー・ベンダーによって提供されるイベントを QRadar に送信するために、コンテンツ拡張を使用できます。 これらは、 IBM Security App Exchange (https://exchange.xforce.ibmcloud.com/hub/) にあります。 これらのサード・パーティー DSM 統合は、 IBMではなく、ベンダーによってサポートされます。 使用可能なサード・パーティー DSM のリストについては、 サード・パーティー・ベンダーによってサポートされる DSMを参照してください。