Microsoft Azure ローカルおよび Microsoft Azure ローカル（切断済み）

これらのイベントは主にSyslog形式で転送されるため、標準のSyslogプロトコルを使用してそれらを取り込むことができます QRadar 。

QRadarMicrosoft Azure Local および Microsoft Azure Local Disconnected を と統合するには、以下の手順を実行してください

1. Microsoft Azure のローカル環境および Microsoft Azure のローカル・ディスコネクト環境において、Syslog転送を設定します。 QRadar これらのイベントの取り込み方式として、Syslogをサポートしています。 詳細については、Microsoft のドキュメントにある 「syslog 転送の管理」 を参照してください。
2. 受信イベントを解析するために、[ ] で QRadar カスタムログソースタイプを作成します。 詳細については、 「イベントを解析するためのカスタムログソースタイプの作成」 を参照してください。
3. DSMエディタを使用して、受信したSyslogイベントから必要なフィールドを抽出し、ユニバーサルDSMを作成します。 以下のステップを実行します。
   1. QRadar 管理者権限でコンソールにログインしてください。
   2. QRadar コンソールで、 [管理] タブをクリックします。
   3. [ データソース ] セクションで、 [DSM エディタ] をクリックします。

      

   4. ログソースタイプを作成するか、既存のログソースタイプを選択してください。 Universal DSM 検索バーの を選択し、 「選択」 をクリックします。

      

   5. 鉛筆アイコンをクリックし、テキストエリアにペイロードを入力してください。

      

      

   6. 正規表現を使用して、ペイロードからイベントID、イベントカテゴリ、ユーザー名などの必須フィールドを解析します。

      

   7. 必要な値をすべて解析したら、「 構成 」タブをクリックし、以下のプロパティを有効にしてください：
      • プロパティーの自動検出を有効にする
      • ログ・ソース自動検出を有効にする

      

   8. セーブをクリック。 Universal DSM では、イベントが自動的に検出されます。
   詳細については、 「DSMエディタの概要」 を参照してください。
4. QRadarイベントマッピングとイベントカテゴリを作成し、その中のイベントを正規化します。 詳細については、 「イベントマップの分類の作成」 を参照してください。

QRadar 監視および相関分析の目的で、 Microsoft Azure Localおよび Microsoft Azure Localのオフラインセキュリティイベントを取り込み、解析、正規化、分類できるようになりました。