Cisco Firepower eStreamer プロトコルの構成オプション
Cisco Firepower eStreamer (イベント・ストリーマー) サービスから IBM QRadar のイベントを収集するには、Cisco Firepower eStreamer プロトコルを使用するようにログ・ソースを構成します。
Cisco Firepower eStreamer プロトコルは、以前は Sourcefire Defense Center eStreamer プロトコルと呼ばれていました。
Cisco Firepower eStreamer プロトコルは、パッシブ・アウトバウンド・プロトコルです。 このプロトコルがイベントをストリーミングする方法について詳しくは、eStreamer アプリケーション・プロトコルについて (https://www.cisco.com/c/en/us/td/docs/security/firepower/670/api/eStreamer/EventStreamerIntegrationGuide/Protocol.html) を参照してください。
イベントは QRadar にストリーミングされ、Cisco Firepower Management Center DSM が構成された後に処理されます。
| パラメーター | 説明 |
|---|---|
| プロトコル構成 | Cisco Firepower eStreamer |
| ログ・ソース ID | ログ・ソースの固有名を入力します。 「ログ・ソース ID」には、任意の有効な値を使用でき、特定のサーバーを参照する必要はありません。 また、 「ログ・ソース名」と同じ値にすることもできます。 複数の Cisco Firepower eStreamer ログ・ソースが構成されている場合は、それぞれに固有の名前を付けてください。 |
| サーバー・ポート | Cisco Firepower eStreamer サービスが接続要求を受け入れるように構成されているポート番号。 QRadar が Cisco Firepower eStreamer に使用するデフォルト・ポートは 8302 です。 |
| 鍵ストア・ファイル名 | 鍵ストアの秘密鍵と関連証明書のディレクトリー・パスおよびファイル名。 デフォルトで、インポート・スクリプトが鍵ストア・ファイルを作成するディレクトリーは /opt/qradar/conf/estreamer.keystore です。 |
| トラストストア・ファイル名 | トラストストア・ファイルのディレクトリー・パスおよびファイル名。 トラストストア・ファイルは、クライアントから信頼されている証明書を保持します。 デフォルトで、インポート・スクリプトがトラストストア・ファイルを作成するディレクトリーは /opt/qradar/conf/estreamer.truststore です。 |
| 追加データの要求 (Request Extra Data) | Cisco Firepower Management Center からの侵入イベント追加データを要求するには、このオプションを選択します。 例えば、追加データには、イベントの元の IP アドレスなどがあります。 |
| ドメイン | 重要: ドメイン・ストリーミング要求は、 eStreamer バージョン 6.x 以降でサポートされます。 eStreamer バージョン 5.x の場合は「ドメイン」フィールドをブランクのままにします。
イベントのストリーム元となるドメイン。 「ドメイン」フィールドの値は完全修飾ドメインである必要があります。 したがって、必要なドメインのすべての祖先が、最上位ドメインで始まり、イベントを要求するリーフ・ドメインで終わるようにリストされている必要があります。 例: グローバルは最上位ドメイン、B はグローバルのサブドメインである第 2 レベル・ドメイン、C は第 3 レベル・ドメイン、および B のサブドメインであるリーフ・ドメインです。 C からのイベントを要求するには、Domain パラメーターに以下の値を入力します。 Global \ B \ C |