Zscaler Nanolog Streaming Service

Zscaler Nanolog Streaming Service (Zscaler NSS) 用の IBM QRadar DSM は、Web ログまたはファイアウォール・ログから Syslog イベントを収集します。

Zscaler Streaming Service を QRadarに統合するには、以下のステップを実行します。
  1. 自動更新が有効になっていない場合、RPM は IBM® サポートウェブサイト (http://www.ibm.com/support) からダウンロードできます。 以下に示す RPM の最新バージョンをダウンロードして QRadar Consoleにインストールしてください。
    • DSM 共通 RPM
    • Zscaler NSS DSM RPM
  2. イベントを QRadarに送信するように Zscaler NSS デバイスを構成します。 Zscaler NSSの設定の詳細については、Zscaler and IBM QRadar® Deployment Guide (https:/help.zscaler.com/zia/zscaler-ibm-qradar-deployment-guide) を参照してください。
    重要: Zscaler NSS デバイスを構成すると、 QRadar は以下のフィードをサポートします。
    Zscaler NSS で Syslog フィードを構成するとき、Web ログの場合は以下の LEEF 出力フィード・フォーマットを使用します。
    %s{mon} %02d{dd} %02d{hh}:%02d{mm}:%02d{ss} zscaler-nss:  LEEF:1.0|Zscaler|NSS|4.1|%s{reason}|cat=%s{action}\tdevTime=%s{mon} %02d{dd} %d{yy} %02d{hh}:%02d{mm}:%02d{ss} %s{tz}\tdevTimeFormat=MMM dd yyyy HH:mm:ss z\tsrc=%s{cip}\tdst=%s{sip}\tsrcPostNAT=%s{cintip}\trealm=%s{location}\tusrName=%s{login}\tsrcBytes=%d{reqsize}\tdstBytes=%d{respsize}\trole=%s{dept}\tpolicy=%s{reason}\trecordid=%d{recordid}\tbwthrottle=%s{bwthrottle}\tuseragent=%s{ua}\treferer=%s{ereferer}\thostname=%s{ehost}\tappproto=%s{proto}\turlcategory=%s{urlcat}\turlsupercategory=%s{urlsupercat}\turlclass=%s{urlclass}\tappclass=%s{appclass}\tappname=%s{appname}\tmalwaretype=%s{malwarecat}\tmalwareclass=%s{malwareclass}\tthreatname=%s{threatname}\triskscore=%d{riskscore}\tdlpdict=%s{dlpdict}\tdlpeng=%s{dlpeng}\tfileclass=%s{fileclass}\tfiletype=%s{filetype}\treqmethod=%s{reqmethod}\trespcode=%s{respcode}\tbamd5=%s{bamd5}\turl=%s{eurl}
    Zscaler NSS で Syslog フィードを構成するとき、ファイアウォール・ログの場合は以下の LEEF 出力フィード・フォーマットを使用します。
    %s{mon} %02d{dd} %02d{hh}:%02d{mm}:%02d{ss} zscaler-nss: LEEF:1.0|Zscaler|NSS-FW|6.0|%s{action}|usrName=%s{login}\trole=%s{dept}\trealm=%s{location}\tsrc=%s{csip}\tdst=%s{cdip}\tsrcPort=%d{csport}\tdstPort=%d{cdport}\tdstPreNATPort=%d{cdport}\tsrcPreNATPort=%d{csport}\tdstPostNATPort=%d{sdport}\tsrcPostNATPort=%d{ssport}\tsrcPreNAT=%s{csip}\tdstPreNAT=%s{cdip}\tsrcPostNAT=%s{ssip}\tdstPostNAT=%s{sdip}\ttsip=%s{tsip}\ttsport=%d{tsport}\tttype=%s{ttype}\tcat=nss-fw\tdnat=%s{dnat}\tstateful=%s{stateful}\taggregate=%s{aggregate}\tnwsvc=%s{nwsvc}\tnwapp=%s{nwapp}\tproto=%s{ipproto}\tipcat=%s{ipcat}\tdestcountry=%s{destcountry}\tavgduration=%ld{avgduration}\trulelabel=%s{rulelabel}\tdstBytes=%ld{inbytes}\tsrcBytes=%ld{outbytes}\tduration=%d{duration}\tdurationms=%d{durationms}\tnumsessions=%d{numsessions}\n
  3. QRadar でログ・ソースが自動的に検出されなかった場合は、 QRadar Consoleで Zscaler NSS ログ・ソースを追加します。 Sysog ログ・ソースの追加について詳しくは、 Zscaler NSS の Syslog ログ・ソース・パラメーターを参照してください。
  4. オプション：Zscaler NSS デバイスを構成して HTTP レシーバーイベントを QRadar に送信するように設定します。
    重要: 認証局 (CA) によって発行された証明書が必要です。 CA によって検証される必要があるため、自己署名証明書にすることはできません。 証明書および HTTPのログソースパラメータの設定に関する詳細は HTTP プロトコルの設定オプション 」を参照してください。