ログ・ファイル・プロトコルを使用した Cisco IronPort および Cisco ESA ログ・ソースの構成

Cisco IronPort および Cisco Email Security Appliance (ESA) がログ・ファイル・プロトコルを使用して QRadar と通信できるように、 QRadar Console でログ・ソースを構成することができます。

手順

ログ・ファイル・プロトコルを使用して、 QRadar Console で Cisco IronPort ログ・ソースを構成します。 以下の表で、Cisco IronPort および Cisco ESA からログを取得するために特定の値を必要とするログ・ファイル・ログ・ソース・パラメーターについて説明します。
表 1. ログ・ファイル用の Cisco IronPort ログ・ソース・パラメーター
パラメーター 値
ログ・ソース・タイプ Cisco IronPort
プロトコル構成 ログ・ファイル・プロトコル
ログ・ソース ID 「ログ・ソース ID」には、任意の有効な値 (「ログ・ソース名」パラメーターと同じ値など) を設定でき、特定のサーバーを参照する必要はありません。
サービス・タイプ

リストから、リモート・サーバーからログ・ファイルを取得するときに使用するプロトコルを選択します。 デフォルトは SFTP です。

サービス・タイプ SCP および SFTP のログ・ファイルを取得するために使用される基礎のプロトコルでは、「リモート IP」または「ホスト名」フィールドに指定されているサーバーの SFTP サブシステムが有効になっている必要があります。
リモート IP またはホスト名 イベント・ログ・ファイルを格納するデバイスの IP アドレスまたはホスト名を入力します。
リモート・ポート

リモート・ホストとの通信に使用するポートを入力します。 有効な範囲は、1 から 65535 です。 オプションは、以下のとおりです。

  • FTP - TCP ポート 21
  • SFTP - TCP ポート 22
  • SCP - TCP ポート 22
イベント・ファイルのホストが FTP、SFTP、または SCP に非標準のポート番号を使用する場合は、ポート値を調整する必要があります。
リモート・ユーザー イベント・ファイルが含まれているホストにログインするために必要なユーザー名を入力します。
リモート・パスワード ホストにログインするために必要なパスワードを入力します。
パスワードの確認 ホストにログインするために必要なパスワードを確認します。
SSH 鍵ファイル

システムが鍵認証を使用するように構成されている場合は、SSH 鍵へのパスを入力します。

SSH 鍵ファイルを使用するときは、「リモート・パスワード (Remote Password)」フィールドは無視されます。
リモート・ディレクトリー

ファイルを取得するリモート・ホスト上のディレクトリーの場所を入力します。 ディレクトリー・パスは、ログインに使用されるユーザー・アカウントからの相対パスです。

注:

FTP の場合のみ。 ログ・ファイルがリモート・ユーザーのホーム・ディレクトリー内にある場合は、リモート・ディレクトリーをブランクのままにしておくことができます。 リモート・ディレクトリーのフィールドを空白にすると、作業ディレクトリーの変更 (CWD) コマンドが制限されているシステムがサポートされます。
再帰的 (Recursive)

サブフォルダーを検索するためのファイル・パターンを有効にするには、このチェック・ボックスを選択します。 デフォルトでは、このチェック・ボックスはクリアされています。

このオプションは、SCP ファイル転送では無視されます。
FTP ファイル・パターン 生成されるログ・ファイルに一致する正規表現を使用する必要があります。

指定する FTP ファイル・パターンは、イベント・ファイルに割り当てた名前に一致する必要があります。 例えば、末尾が .log のファイルを収集するには、コマンド .*\.logを入力します。

詳細については、 Oracle Java 資料 (http://docs.oracle.com/javase/tutorial/essential/regex/)を参照してください。
開始時刻

ログ・ソースがファイルのインポートを開始する時刻を入力します。

このパラメーターと「繰り返し (Recurrence)」の値の組み合わせにより、リモート・ディレクトリーでファイルをスキャンするタイミングと頻度が決定されます。
繰り返し (Recurrence)

新しいイベント・ログ・ファイルの有無を調べるためにリモート・ディレクトリーをスキャンする頻度を決定する時間間隔を入力します。 最小値は 15 分です。

時間間隔には時間数 (H)、分数 (M)、または日数 (D) の値を含めることができます。 例えば、繰り返しが 2H の場合は、リモート・ディレクトリーを 2 時間ごとにスキャンします。
保存時に実行

管理者がログ・ソースを保存した後、直ちにログ・ファイルのインポートを開始するには、このチェック・ボックスを選択します。

初回のファイル・インポートの後、ログ・ファイル・プロトコルは、管理者によって定義された開始時刻および繰り返しスケジュールに従います。

このチェック・ボックスを選択すると、以前にダウンロードされて処理されたファイルのリストがクリアされます。
EPS スロットル

QRadar が取り込む 1 秒当たりのイベントの最大数。

データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。

有効な範囲は、100 から 5000 です。
プロセッサー

リストから gzipを選択します。
以前に処理したファイルを無視 (Ignore Previously Processed File(s))

ログ・ファイル・プロトコルによって処理済みのファイルを追跡するには、このチェック・ボックスを選択します。 QRadar は、リモート・ディレクトリー内のログ・ファイルを調べて、ログ・ファイル・プロトコルによって以前にファイルが処理されたかどうかを判別します。 以前に処理されたファイルが検出されると、ログ・ファイル・プロトコルはそのファイルを処理のためにダウンロードすることはしません。 以前に処理されていないすべてのファイルがダウンロードされます。

このオプションは FTP および SFTP のサービス・タイプにのみ適用されます。
ローカル・ディレクトリーの変更

処理中にダウンロードしたファイルを保管するための QRadar Console 上のローカル・ディレクトリーを定義するには、このチェック・ボックスを選択します。

管理者は、構成を続行するためにこのチェック・ボックスをクリアしたままにしてもかまいません。 このチェック・ボックスを選択すると、ファイルの保管に使用するローカル・ディレクトリーを構成できるように、「ローカル・ディレクトリー (Local Directory)」フィールドが表示されます。
イベント・ジェネレーター (Event Generator) W3C. イベント・ジェネレーターは W3C を使用して、Web コンテンツ・フィルター・ログ・ファイルを処理できます。
ファイルのエンコード (File Encoding) リスト・ボックスから、ログ・ファイルのイベントで使用する文字エンコードを選択します。
フォルダー分離文字 (Folder Separator)

オペレーティング・システムのフォルダーを分離するために使用される文字を入力します。 デフォルト値は / です。

ほとんどの構成で、「フォルダーの区切り文字 (Folder Separator)」フィールドのデフォルト値を使用できます。

このフィールドは、別の文字を使用して個別のフォルダーを定義するオペレーティング・システムを対象としています。 例えば、メインフレーム・システムの場合にフォルダーを区切るピリオドが該当します。