Fidelis XPS の構成

Fidelis XPS アプライアンスからのアラートの syslog 転送を構成できます。

手順

  1. CommandPost にログインして、Fidelis XPS アプライアンスを管理します。
  2. ナビゲーション・メニューから、 「システム」 > 「エクスポート」を選択します。

    使用可能なエクスポートのリストが表示されます。 エクスポート機能の初回使用時には、リストは空です。

  3. 次のオプションのいずれかを選択します。
    • 「新規 (New)」をクリックして、Fidelis XPS アプライアンス用の新規エクスポートを作成します。
    • エクスポート名の横にある「編集 (Edit)」をクリックして、Fidelis XPS アプライアンス上の既存のエクスポートを編集します。
    「エクスポート・エディター」 が表示されます。
  4. 「エクスポート方式」 リストから、 「Syslog LEEF」を選択します。
  5. 「宛先」 フィールドに、 IBM QRadarの IP アドレスまたはホスト名を入力します。

    例えば、192.0.2.1:::514

    「宛先 (Destination)」フィールドでは、非 ASCII 文字はサポートされません。

  6. 「アラートのエクスポート」から、以下のいずれかのオプションを選択します。
    • すべてのアラート -すべてのアラートを QRadarにエクスポートするには、このオプションを選択します。 このオプションはリソースを多く消費し、すべてのアラートをエクスポートするのに時間がかかることがあります。
    • 条件によるアラート (Alerts by Criteria) -特定のアラートを QRadarにエクスポートするには、このオプションを選択します。 このオプションでは、アラート条件を定義できる新規フィールドが表示されます。
  7. 「マルウェア・イベントのエクスポート」から、 「なし」を選択します。
  8. 「エクスポート頻度」から、 「すべてのアラート/マルウェア」を選択します。
  9. 「名前を付けて保存」 フィールドに、 エクスポートの名前を入力します。
  10. 「保存」をクリックします。
  11. オプション: イベントが QRadarに転送されたことを確認するには、 「今すぐ実行」をクリックします。

    「今すぐ実行する (Run Now)」は、条件で選択されたアラートが Fidelis アプライアンスからエクスポートされていることを確認するためのテスト・ツールとして設計されています。 Fidelis XPS の構成ですべてのイベントをエクスポートすることを選択した場合、このオプションは使用できません。

    構成は完了です。 Fidelis XPS syslog イベントが自動的に検出されると、ログ・ソースが QRadar に追加されます。 Fidelis XPS によって QRadar に転送されたイベントは、 QRadarの 「ログ・アクティビティー」 タブに表示されます。