チェック・ポイントから LEEF イベントを受信するための QRadar® の設定

デフォルトでは、Check Point LEEF イベントは、レガシー OPSEC LEA イベント・マッピング・スキーマにマップされます。 IBM QRadar がイベントをマップする方法を変更する場合は、DSM エディターを使用してレガシー・イベント・マッピングを無効にすることができます。

手順

  1. 「管理」 タブをクリックします。
  2. 「データ・ソース」 セクションで、 「DSM エディター」をクリックします。
  3. 「ログ・ソース・タイプの選択」 ウィンドウで、リストから 「チェックポイント」 を選択し、 「選択」をクリックします。
  4. 「構成」 タブで、 「DSM パラメーター構成の表示 (Display DSM Parameters Configuration)」 を onに設定します。
  5. 「イベント・コレクター」 リストから、ログ・ソースのイベント・コレクターを選択します。
  6. レガシー・イベント・マッピングを無効にする を オンに設定します。
  7. SmartDefense 署名イベント ID を有効にする を オンに設定します。
    signature フィールドの値は、 SmartDefenseのイベント ID として使用されます。 デフォルトでは、Check Point SmartDefense のイベントは、解析のために attack フィールドの値を使用します。
  8. 「保存」 をクリックして、DSM エディターを閉じます。