Syslog 用のポリシーの作成

この手順では、ログ・イベント拡張フォーマット (LEEF) メッセージ形式の syslog 通知ルールを使用して Alarm Tool ポリシーを構成する方法について説明します。

このタスクについて

LEEF は、通知レートが高いときまたは IPv6 アドレスが表示されているときに通知を Dragon Network Defense に送信するための推奨メッセージ・フォーマットです。 LEEF 形式の syslog 通知を使用しない場合は、詳細について Extreme Dragon の資料を参照してください。

syslog 通知ルールを使用して Alarm Tool ポリシーで Extreme Dragon を構成するには、以下の手順に従います。

手順

Extreme Dragon EMS にログインします。
「Alarm Tool」アイコンをクリックします。
以下のように、Alarm Tool ポリシーを構成します。

アラーム・ツール・ポリシー・ビュー > 「カスタム・ポリシー」メニュー・ツリーで、以下を実行します。右クリックして、「Alarm Tool ポリシーの追加」を選択します。
「Alarm Tool ポリシーの追加」フィールドに、ポリシー名を入力します。

例:

QRadar
「OK」をクリックします。
メニュー・ツリーで、「 QRadar」を選択します。
以下のように、イベント・グループを構成します。

「イベント・グループ」タブをクリックします。
「新規」をクリックします。

「イベント・グループ・エディター」が表示されます。
モニターするイベント・グループまたは個別のイベントを選択します。
「追加」をクリックします。

プロンプトが表示されます。
「はい」をクリックします。
「イベント・グループ・エディター」の右側の列に、 Dragon-Eventsと入力します。
「OK」をクリックします。
以下のように、Syslog 通知ルールを構成します。

「通知ルール」タブをクリックします。
「新規」をクリックします。
「名前」フィールドに、 QRadar-RuleSysと入力します。
「OK」をクリックします。
通知規則ペインで、新しく作成したQRadar-RuleSysアイテムを選択します。
「Syslog」タブをクリックします。
「新規」をクリックします。

Syslog エディターが表示されます。
以下の値を更新します。
- ファシリティー - 「ファシリティー」リストを使用して、ファシリティーを選択します。
- レベル - 「レベル」リストを使用して、「通知」を選択します。
- メッセージ - 「タイプ」リストを使用して、「LEEF」を選択します。
```
LEEF:Version=1.0|Vendor|Product|ProductVersion|eventID|devTime| 
```
```
proto|src|sensor|dst|srcPort|dstPort|direction|eventData|
```
LEEF メッセージ・フォーマットでは、各キーワード間にパイプ区切り文字を使用してフィールドを区切ります。
「OK」をクリックします。
以下のように、通知イベントが別個のイベントとしてログに記録されていることを確認します。

「グローバル・オプション」タブをクリックします。
「メイン」タブをクリックします。
「イベントの連結」が選択されていないことを確認します。
以下のように、アラーム情報を構成します。

「アラーム」タブをクリックします。
「新規」をクリックします。
以下のように、パラメーターの値を入力します。
- 名前 - QRadar-Alarmと入力します。
- タイプ - 「リアルタイム」を選択します。
- イベント・グループ - 「ドラゴン-イベント」を選択します。
- 通知ルール - QRadar-RuleSys チェックボックスを選択します。
「OK」をクリックします。
「コミット (Commit)」をクリックします。
エンタープライズ・ビューにナビゲートします。
「Alarm Tool」を右クリックして、「Alarm Tool ポリシーの関連付け」を選択します。
新しく作成した QRadar ポリシーを選択します。「OK」をクリックします。
「エンタープライズ」メニューで、ポリシーを右クリックして「デプロイ」を選択します。

これで、 QRadarで syslog ログ・ソースを構成する準備ができました。