文書化されていないプロトコル

ログ・ソースの構成時には、一連の使用可能なプロトコル・タイプのオプションが、選択したログ・ソースのタイプによって制限されます。すべてのログ・ソース・タイプが、すべてのプロトコル・タイプをサポートしているわけではありません。

DSM Configuration Guide では、特定のタイプのログ・ソースを構成する方法と、そのログ・ソース・タイプに対して IBM® が完全にサポートする各プロトコル・タイプについて説明します。特定のログ・ソース・タイプについて構成資料が存在するプロトコル・タイプは、そのログ・ソース・タイプの「文書化された」プロトコルと見なされます。デフォルトでは、これらの文書化されたプロトコルだけが、「ログ・ソース」ウィンドウの「プロトコル構成」リストに表示されます。

オープン・プラットフォームとして、 QRadar は、他の統合方式 (プロトコル・タイプ) を使用してイベント・データを収集および処理します。特定のログ・ソース・タイプに対して構成することはできても、「文書化されていない」プロトコル・タイプとしてマークされるプロトコル・タイプもあります。ただし、文書化されていないプロトコルのイベント・コレクションのセットアップ方法に関する説明は、DSM Configuration Guide には含まれていません。 IBM は、内部でテストおよび文書化されていないため、文書化されていないプロトコルを使用するログ・ソースの構成をサポートしません。イベントデータをQRadarにどのように取り込むかは、ユーザーの責任です。

例えば、JDBC プロトコルは、イベント・データをデータベースに保管するシステムからイベントを取得するための文書化された構成です。ただし、サード・パーティー製品を介して同じイベント・データを収集し、Syslog を介して QRadar に転送することは可能です。この場合は、文書化されていないプロトコル・タイプである「Syslog」を使用するようにログ・ソースを構成します。 QRadar はイベントを受け入れ、適切なログ・ソースに経路指定します。

この構成は文書化された収集方式ではないため、データベースからイベント・データを取得し、このデータを Syslog を介して QRadar に送信するようにサード・パーティー製品を構成する必要があります。

重要: 文書化されていないプロトコルを使用してイベント・データを収集して処理すると、文書化された DSM ログ・ソース・タイプで予期されるものとは異なる形式のデータが生成される可能性があります。その結果、文書化されていないプロトコルからイベントを受信すると、DSM の構文解析が機能しないことがあります。例えば、JDBC プロトコルでは、スペースで区切られた一連のキー/値ペアで構成されるイベント・ペイロードが作成されます。ターゲットのデータベース表では、キーが列名となり、値はそのイベントが表す行の列になります。 JDBC プロトコルを使用するサポート対象のログ・ソース・タイプの DSM では、このイベント・フォーマットが期待されています。 Syslog プロトコルを介してサード・パーティー製品から転送されたイベント・データの形式がこれとは異なる場合、DSM はそのイベント・データを構文解析できません。 DSM エディターを使用して DSM の構文解析を調整し、これらのイベントを処理できるようにすることが必要になる場合があります。