汎用ファイアウォール・イベントのイベント・プロパティーの構成

着信汎用ファイアウォール・イベントを解釈するには、IBM QRadar を手動で構成する必要があります。

手順

  1. すべてのファイアウォール・ログを QRadarに転送します。

    汎用ファイアウォールから QRadarにファイアウォール・ログを転送する方法については、ご使用のファイアウォール・イベントに関するベンダーの資料を参照してください。

  2. 以下のファイルを開きます。

    /opt/QRadar/conf/genericFirewall.conf

    このファイルは、必ず Event Collector および QRadar Consoleをホストするシステムにコピーしてください。

  3. 以下のように、Tomcat サーバーを再始動します。

    service tomcat restart

    Tomcat サーバーが再始動されたことを示すメッセージが表示されます。

  4. regex_enabled プロパティーを設定して、パターン内の正規表現を有効または無効にします。 デフォルトでは、正規表現は無効になっています。

    例:

    regex_enabled=false

    regex_enabled プロパティーを false に設定すると、システムは、ログから対応するデータ値を取得しようとする際に、入力したタグに基づいて、正規表現を生成します。

    regex_enabled プロパティーを true に設定した場合、パターンを制御するためのカスタム正規表現を定義できます。 この正規表現構成は、ログに直接適用され、最初にキャプチャーされたグループが返されます。 カスタム正規表現パターンを定義する場合は、Java™ プログラミング言語で定義されている正規表現ルールに従う必要があります。 詳しくは、「 http://download.oracle.com/javase/tutorial/essential/regex/」を参照してください。

    汎用ファイアウォールを QRadarと統合するには、事前定義クラスを使用する代わりに、必ずクラスを必ず指定してください。 例えば、ディジット・クラス (/\d/) は /[0-9]/になります。 数値修飾子を使用するのではなく、プリミティブ修飾子 (/?/,/*/ and /+/) を使用するように式を書き直してください。

  5. 以下の行を genericFirewall.conf ファイルに追加します。
    accept_pattern=<accept pattern>
deny_pattern=<deny pattern>
source_ip_pattern=<source ip pattern>
source_port_pattern=<source port pattern>
destination_ip_pattern=<destination ip pattern>

    次の表に、パターンごとに使用できる値の例を示します。

    パターン 値 例
    accept pattern=<accept pattern> パケット受け入れ済み

    以下のログ・メッセージは、 accept pattern=Packet acceptedを示しています。

    Aug. 5, 2005 08:30:00 Packet accepted. Source IP: <Source_IP_address> Source Port: 80 Destination IP: <Destination_IP_address> Destination Port: 80 Protocol: tcp
    deny_pattern=<deny pattern> 拒否されたパケット

    以下のログ・メッセージは、 deny_pattern=Packet deniedを示しています。

    Aug. 5, 2005 08:30:00 Packet denied. Source IP: <Source_IP_address> Source Port: 21 Destination IP: <Destination_IP_address> Destination Port: 21 Protocol: tcp
    source_ip_pattern=<source IP pattern> from

    以下のログ・メッセージは、 source_ip_pattern=Source IPを示しています。

    Aug. 5, 2005 08:30:00 Packet accepted. Source IP: <Source_IP_address> Source Port: 80 Destination IP: <Destination_IP_address> Destination Port: 80 Protocol: tcp
    source_port_pattern=<source port pattern> ポート

    以下のログ・メッセージは、 source_port_pattern=Source Portを示しています。

    Aug. 5, 2005 08:30:00 Packet accepted. Source IP: <Source_IP_address> Source Port: 80 Destination IP: <Destination_IP_address> Destination Port: 80 Protocol: tcp
    destination_ip_pattern=<destination IP pattern> from

    以下のログ・メッセージは、 destination_ip_pattern=Destination IPを示しています。

    Aug. 5, 2005 08:30:00 Packet accepted. Source IP: <Source_IP_address> Source Port: 80 Destination IP: <Destination_IP_address> Destination Port: 80 Protocol: tcp
    destination_port_pattern=<destination port pattern> ポート

    以下のログ・メッセージは、 destination_port_pattern=Destination Portを示しています。

    Aug. 5, 2005 08:30:00 Packet accepted. Source IP: <Source_IP_address> Source Port: 80 Destination IP: <Destination_IP_address> Destination Port: 80 Protocol: tcp
    protocol_pattern=<protocol pattern> プロトコル

    以下のログ・メッセージは、 protocol_pattern=Protocolを示しています。

    Aug. 5, 2005 08:30:00 Packet accepted. Source IP: <Source_IP_address> Source Port: 80 Destination IP: <Destination_IP_address> Destination Port: 80 Protocol: tcp
    ヒント: パターンは大/小文字を区別せず、複数のパターンを追加できます。 複数のパターンを使用する場合は、# 記号を使用して区切ってください。
  6. ファイルを保存して終了します。

次に実行するタスク

これで、 QRadarでログ・ソースを構成する準備ができました。