ジュニパーネットワークスIDP（非推奨）

IBM QRadar 用の Juniper IDP DSM は syslog を使用してイベントを受け入れます。 QRadar は、関連するすべての Juniper IDP イベントを記録します。

このタスクについて

Syslog サーバーにログを送信するように Juniper IDP 上のセンサーを構成できます。

手順

  1. Juniper NSM のユーザー・インターフェースにログインします。
  2. NSM で、 デバイス・マネージャーで 「センサー」 をダブルクリックします。
  3. 「グローバル設定」を選択します。
  4. 「Syslog を有効にする」を選択します。
  5. イベントを QRadarに転送する Syslog サーバーの IP アドレスを入力します。
  6. 「OK」をクリックします。
  7. 「デバイスの更新 (Update Device)」 を使用して、新しい設定を IDP センサーにロードします。

    IDP センサーにより送信される Syslog メッセージのフォーマットを次に示します。

    <day id>, <record id>, <timeReceived>, <timeGenerated>, <domain>, <domainVersion>, <deviceName>, <deviceIpAddress>, <category>, <subcategory>,<src zone>, <src intface>, <src addr>, <src port>, <nat src addr>, <nat src port>, <dstzone>, <dst intface>, <dst addr>, <dst port>, <nat dst addr>, <nat dst port>,<protocol>, <rule domain>, <rule domainVersion>, <policyname>, <rulebase>, <rulenumber>, <action>, <severity>, <is alert>, <elapsed>, <bytes in>, <bytes out>, <bytestotal>, <packet in>, <packet out>, <packet total>, <repeatCount>, <hasPacketData>, <varData Enum>, <misc-str>, <user str>, <application str>, <uri str>

    以下の Syslog の例を参照してください。

    [syslog@juniper.net dayId="20061012" recordId="0" timeRecv="2006/10/12 21:52:21" timeGen="2006/10/12 21:52:21" domain="" devDomVer2="0" device_ip="<IP_address>" cat="Predefined" attack="TROJAN:SUBSEVEN:SCAN" srcZn="NULL" srcIntf="NULL" srcAddr="<Source_IP_address>" srcPort="63396" natSrcAddr="NULL" natSrcPort="0" dstZn="NULL" dstIntf="NULL" dstAddr="<Destination_IP_address>" dstPort="27374" natDstAddr="NULL" natDstPort="0" protocol="TCP" ruleDomain="" ruleVer="5" policy="Policy2" rulebase="IDS" ruleNo="4" action="NONE" severity="LOW" alert="no" elaspedTime="0" inbytes="0" outbytes="0" totBytes="0" inPak="0" outPak="0" totPak="0" repCount="0" packetData="no" varEnum="31" misc="<017>'interface=eth2" user="NULL" app="NULL" uri="NULL"]