Cilasoft QJRN/400 の構成

イベントを収集するには、CilasoftQJRN/400でsyslogイベントを'IBM QRadarに転送するようにクエリを設定する必要があります。

手順

  1. Cilasoft Security Suite を開始するには、以下のコマンドを入力します。

    IJRN/QJRN

    構成変更を行うために使用されるアカウントには、 Extended Access パラメーターを使用して特定の照会にアクセスするための ADM 特権または USR 特権が必要です。

  2. 出力タイプを構成するには、以下のいずれかのオプションを選択します。

    選択したいくつかの照会を編集するには、2EV と入力して実行環境にアクセスし、「出力タイプ (Output Type)」フィールドを変更して SEM と入力します。

  3. 多数の照会を編集するには、コマンド CHGQJQRYA を入力し、 「出力タイプ」 フィールドを変更して、 SEMと入力します。
  4. 「追加パラメーター (Additional Parameters)」画面で、以下のパラメーターを構成します。
    表 1. Cilasoft QJRN/400 出力パラメーター

    パラメーター

    説明
    フォーマット

    *LEEF と入力し、ログ拡張イベント・フォーマット (LEEF) でイベントを書き込むように syslog 出力を構成します。

    LEEF は、 IBM QRadar用に設計された特殊なイベント・フォーマットです。
    出力

    出力タイプを構成するために、以下のいずれかのパラメーターを使用して出力タイプを選択します。

    *SYSLOG - syslog プロトコルでイベントを転送する場合は、このパラメーターを入力します。 このオプションは、リアルタイムのイベントを提供します。

    *IFS - 統合ファイル・システムを使用してイベントをファイルに書き込む場合は、このパラメーターを入力します。 このオプションを使用する場合、管理者がログ・ファイル・プロトコルを使用してログ・ソースを構成する必要があります。 このオプションでは、イベントをファイルに書き込みます。ファイルは、15 分の間隔でのみ読み取ることができます。
    IP アドレス

    IBM QRadar システムの IP アドレスを入力します。

    IBM QRadar の IP アドレスが WRKQJVAL コマンドで特殊値として定義されている場合は、 *CFGと入力できます。

    イベントは、 QRadar Console、 Event Collector、 Event Processor、または IBM QRadar オールインワン・アプライアンスのいずれかに転送できます。
    ポート

    syslog イベントのポートとして 514 または *CFG と入力します。

    デフォルトでは、*CFG によってポート 514 が自動的に選択されます。
    タグ

    このフィールドは IBM QRadarでは使用されません。
    ファシリティー (Facility)

    このフィールドは IBM QRadarでは使用されません。
    重大度

    イベント重大度の値を選択します。

    *QRY 宛先に割り当てられている重大度について詳しくは、 Cilasoft の資料でコマンド WRKQJFVAL を参照してください。

    Cilasoft 構成パラメーターについて詳しくは、「 Cilasoft QJRN/400 ユーザーズ・ガイド」を参照してください。

    IBM QRadar に転送された syslog イベントは、 「ログ・アクティビティー」 タブに表示できます。