Sophos Enterprise Console JDBC プロトコルの構成オプション
Sophos Enterprise Console からイベントを受信するには、Sophos Enterprise Console JDBC プロトコルを使用するようにログ・ソースを構成します。
Sophos Enterprise Console JDBC プロトコルはアウトバウンド/アクティブ・プロトコルであり、アプリケーション制御ログ、デバイス制御ログ、データ制御ログ、改ざんからの保護ログ、およびファイアウォール・ログからのペイロード情報を vEventsCommonData 表に結合します。 Sophos Enterprise Console が Sophos Reporting Interface を備えていない場合は、標準の JDBC プロトコルを使用してアンチウィルス・イベントを収集できます。
| パラメーター | 説明 |
|---|---|
| プロトコル構成 | Sophos Enterprise Console JDBC |
| ログ・ソース ID | ログ・ソースの名前を入力します。 名前にスペースを含めることはできません。また、JDBC プロトコルを使用するように構成されているログ・ソース・タイプのすべてのログ・ソースで固有である必要があります。 ログ・ソースが静的 IP アドレスまたはホスト名を持つ単一のアプライアンスからイベントを収集する場合は、「ログ・ソース ID」値のすべて、または一部として、アプライアンスの IP アドレスまたはホスト名を使用します (例: 192.168.1.1 や JDBC192.168.1.1)。 静的 IP アドレスまたはホスト名を持つ単一のアプライアンスからログ・ソースがイベントを収集しない場合は、「ログ・ソース ID」値に任意の固有名を使用できます (例: JDBC1、JDBC2)。 |
| データベース・タイプ | MSDE |
| データベース名 | データベース名は、「ログ・ソース ID」フィールドで指定したデータベース名に一致している必要があります。 |
| ポート | Sophos Enterprise Console での MSDE のデフォルト・ポートは 1168 です。 QRadarと通信するには、 JDBC 構成ポートが Sophos データベースのリスナー・ポートと一致している必要があります。 Sophos データベースでは、着信 TCP 接続を有効にしておく必要があります。 MSDE データベース・タイプの場合に「データベース・インスタンス」を使用するときは、「ポート」パラメーターを空白のままにしておく必要があります。 |
| 認証ドメイン | ネットワークがドメインを使用しない場合は、このフィールドを空白のままにしてください。 |
| データベース・インスタンス | データベース・インスタンス (必要な場合)。 MSDE データベースでは、単一のサーバーに複数の SQL サーバー・インスタンスを含めることができます。 標準以外のポートをデータベースに使用する場合、または管理者が SQL データベース解決のためのポート 1434 へのアクセスをブロックしている場合は、「データベース・インスタンス」パラメーターを空白にする必要があります。 |
| テーブル名 | vEventsCommonData |
| 選択リスト | * |
| 比較フィールド | InsertedAt |
| 準備済みステートメントの使用 (Use Prepared Statements) | 準備済みステートメントを使用すると、プロトコル・ソースで SQL ステートメントをセットアップし、その SQL ステートメントを別のパラメーターで何度でも実行できるようになります。 セキュリティー上およびパフォーマンス上の理由により、ほとんどの構成で準備済みステートメントを使用することができます。 プリコンパイル・ステートメントを使用しない代替照会手法を使用する場合は、このチェック・ボックスをクリアしてください。 |
| 開始日時 | オプション。 プロトコルがデータベースのポーリングを開始できる開始日時。 開始時刻が定義されていない場合、このプロトコルは、ログ・ソース構成が保存されてデプロイされた後にイベントをポーリングしようとします。 |
| ポーリング間隔 (Polling Interval) | ポーリング間隔。データベースに対する照会から次の照会までの時間です。 より長いポーリング間隔を定義するには、H (時間) または M (分) を数値に付加します。 最大ポーリング間隔はどの時刻形式の場合も 1 週間です。 指定子の H および M のない数値の場合は、秒単位のポーリングになります。 |
| EPS スロットル | QRadar が取り込む 1 秒当たりのイベントの最大数。 データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。 |
| 名前付きパイプ通信の使用 (Use Named Pipe Communication) | データベース・タイプとして MSDE を構成した場合、管理者はこのチェック・ボックスを選択して、TCP/IP ポート接続の代替方式を使用することができます。 MSDE データベースの名前付きパイプ接続では、データベースのユーザー名とパスワードではなく、Windows 認証のユーザー名とパスワードを使用するために、ユーザー名とパスワードのフィールドが必要です。 ログ・ソースの構成では、MSDE データベースのデフォルトの名前付きパイプを使用する必要があります。 |
| データベース・クラスター名 (Database Cluster Name) | SQL サーバーをクラスター環境で使用する場合は、クラスター名を定義して、名前付きパイプ通信が確実に正しく機能するようにします。 |
| NTLMv2 の使用 | NTLMv2 認証を必要とする SQL サーバーの場合に、強制的に MSDE 接続で NTLMv2 プロトコルを使用します。 このチェック・ボックスはデフォルトで選択されます。 「NTLMv2 の使用」チェック・ボックスを選択しても、NTLMv2 認証を必要としない MSDE 接続の通信には干渉しません。 |