SIFT-IT エージェントの構成

Arpeggio SIFT-IT は、SIFT-IT エージェントを使用して、LEEF 形式の syslog イベントを転送できます。

このタスクについて

SIFT-IT エージェント構成は、 IBM QRadar インストール済み環境の場所、イベント・メッセージのプロトコルとフォーマット、および構成ルール・セットを定義します。

手順

IBM iにログインします。
以下のコマンドを入力し、Enter キーを押して SIFT-IT をライブラリー・リストに追加します。

ADDLIBLE SIFTITLIB0
以下のコマンドを入力し、Enter キーを押して SIFT-IT メインメニューにアクセスします。

GO SIFTIT
メインメニューから、以下を選択します。 1. SIFT-IT エージェント定義の処理.
1 と入力して QRadar のエージェント定義を追加し、Enter キーを押します。
「 SIFT-IT エージェント名」フィールドに名前を入力します。

例えば、QRadarなどです。
説明フィールドに、エージェントの説明を入力します。

例えば、 Arpeggio agent for QRadarです。
「サーバー・ホスト名または IP アドレス」フィールドに、 QRadar Console または Event Collectorの場所を入力します。
「接続タイプ」フィールドに、 *TCP、 *UDP、または *SECUREのいずれかを入力します。

*SECURE オプションでは TLS プロトコルが必要です。
「リモート・ポート番号」フィールドに、 514と入力します。

デフォルトでは、 QRadar はポート 514 で TCP と UDP の両方の syslog メッセージをサポートします。
「メッセージ・フォーマット・オプション」フィールドに、*QRadarと入力します。
オプション: QRadar 固有でない属性の追加パラメーターを構成します。

追加の稼働パラメーターについては、「SIFT-IT User Guide」で説明されています。
F3 を押して、 SIFT-IT エージェント記述の処理メニューを終了します。
9 と入力して Enter キーを押し、 QRadarの構成ルール・セットをロードします。
「構成ファイル」フィールドに、 QRadar 構成ルール・セット・ファイルへのパスを入力します。

例:
/sifitit/Qradarconfig.txt
F3 を押して、 SIFT-IT エージェント記述の処理メニューを終了します。
11 と入力して、 QRadar エージェントを開始します。

次に実行するタスク

Arpeggio SIFT-IT によって LEEF 形式で転送された syslog イベントは、 QRadarによって自動的に検出されます。ほとんどの場合、いくつかのイベントが検出されると、ログ・ソースが QRadar で自動的に作成されます。イベント速度が低い場合は、 QRadarで Arpeggio SIFT-IT のログ・ソースを手動で作成することが必要な場合があります。

ログ・ソースが自動的に検出されて識別されるまで、イベント・タイプは QRadarの「ログ・アクティビティー」タブに「不明」と表示されます。