認証イベント用のイベント・プロパティーの構成

着信汎用認証イベントを解釈するには、 IBM QRadar を手動で構成する必要があります。

1. すべての認証サーバー・ログを QRadar システムに転送します。

   認証サーバーのログを QRadarに転送する方法については、ご使用の許可サーバーのベンダーの資料を参照してください。

2. 以下のファイルを開きます。

   /opt/QRadar/conf/genericAuthServer.conf

   このファイルは、必ず Event Collector および QRadar Consoleをホストするシステムにコピーしてください。

3. 以下のように、Tomcat サーバーを再始動します。

   service tomcat restart

   Tomcat サーバーが再始動されたことを示すメッセージが表示されます。

4. regex_enabled プロパティーを設定して、パターン内の正規表現を有効または無効にします。 デフォルトでは、正規表現は無効になっています。
   例:

   regex_enabled=false

   regex_enabled プロパティーを false に設定すると、システムは、ログから対応するデータ値を取得しようとする際に、入力したタグに基づいて、正規表現 (regex) を生成します。

   regex_enabled プロパティーを true に設定した場合、パターンを制御するためのカスタム正規表現を定義できます。 この正規表現構成は、ログに直接適用され、最初にキャプチャーされたグループが返されます。 カスタム正規表現パターンを定義する場合は、Java™ プログラミング言語で定義されている正規表現ルールに従う必要があります。 詳しくは、「 http://download.oracle.com/javase/tutorial/essential/regex/」を参照してください。

   汎用認証サーバーを QRadarと統合するには、事前定義クラスを使用するのではなく、必ずクラスを直接指定するようにしてください。 例えば、ディジット・クラス (/\d/) は /[0-9]/になります。 数値修飾子を使用するのではなく、プリミティブ修飾子 (/?/,/*/ and /+/) を使用するように式を書き直してください。

5. 以下の行を genericAuthServer.conf ファイルに追加します。

   login_success_pattern=<login success pattern>
   login_failed_pattern=<login failure pattern>
   logout_pattern=<logout pattern>
   source_ip_pattern=<source IP pattern>
   source_port_pattern=<source port pattern>
   user_name_pattern=<for pattern>

   次の表に、パターンごとに使用できる値の例を示します。

   パターン	値	例
   login_success=<login success pattern>	承認されたパスワード	以下のログ・メッセージは、 login_success_pattern=Accepted passwordを示しています。 Jun 27 12:11:21 expo sshd[19926]: Accepted password for root from <IP_address> port 1727 ssh2
   login_failed_pattern=<login failure pattern>	失敗したパスワード (Failed Password)	以下のログ・メッセージは、 login_failed_pattern=Failed passwordを示しています。 Jun 27 12:58:33 expo sshd[20627]: Failed password for root from <IP_address> port 1849 ssh2
   logout_pattern=<logout pattern>	クローズしたセッション (Session Closed)	以下のログ・メッセージは、 logout_pattern=session closedを示しています。 Jun 27 13:00:01 expo su(<Username>)[22723]: session closed for user genuser
   source_ip_pattern=<source IP pattern>	from	以下のログ・メッセージは、 source_ip_pattern=fromを示しています。 Jun 27 12:11:21 expo sshd[19926]: Accepted password for root from <IP_address> port 1727 ssh2
   source_port_pattern=<source port pattern>	ポート	以下のログ・メッセージは、 source_port_pattern=portを示しています。 Jun 27 12:11:21 expo sshd[19926]: Accepted password for root from <IP_address> port 1727 ssh2
   user_name_pattern=<for pattern>	の場合	以下のログ・メッセージは、 user_name_pattern=forを示しています。 Jun 27 12:11:21 expo sshd[19926]: Accepted password for root from <IP_address> port 1727 ssh2

   ヒント: すべての項目で大/小文字は区別されません。