McAfee Network Security Platform 8.x から 10.x のアラート・イベントの構成

McAfee Network Security Platform からアラート通知イベントを収集するには、管理者は IBM QRadar にイベントを送信するように syslog フォワーダーを構成する必要があります。

1. McAfee Network Security Platform Manager ユーザー・インターフェースにログインします。
2. 「 責任者 」タブをクリックします。
3. ナビゲーション・メニューから、「 セットアップ > 通知 > IPS イベント > Syslog」を選択します。
4. Syslog 通知を有効にする ペインで、 はい を選択します。
5. 保存をクリックします。
6. Syslog ページで、 新規をクリックします。 バージョン 10.x を使用している場合は「+」記号をクリックします。
7. 「 Syslog 通知プロファイルの追加 」ページで、以下のパラメーターを構成します。

   表 1. McAfee Network Security Platform 8.x から 10.x の syslog 通知プロファイル・パラメーター

   パラメーター	説明
   管理ドメイン	以下のいずれかのオプションを選択します。 「現行 (Current)」 - 現行ドメインのアラートの Syslog 通知を送信します。 このオプションはデフォルトで選択されています。 「Children」 - 現在のドメイン内のすべての子ドメインのアラートを含めます。 (NTBA は適用外です)
   通知プロファイル名	通知の送信元プロファイルの名前。
   ターゲット・サーバー	サーバー・プロファイルを追加します。 「追加」をクリックします。 ターゲット・サーバー・プロファイル名を入力します。 QRadar コンソールまたはイベント・コレクターの IP アドレスを入力します。 「プロトコル」 リストから、 「UDP」を選択します。 「ポート」 フィールドに 514 と入力します。 Saveをクリック。
   ファシリティー (Facility)	リストから syslog ファシリティーの値を選択します。
   重大度マッピング	アラート通知レベル informational、low、medium、および high を Syslog 重大度にマップするための値を選択します。 緊急 (Emergency) - システムが停止しているかまたは使用不可の状態です。 アラート (Alert) - システムはユーザーによる即時の入力または介入を必要としています。 重大 (Critical) - システムの重大な状態を修正する必要があります。 エラー (Error) - 緊急ではない障害がシステムで発生しています。 警告 (Warning) - システムに、エラーが発生する可能性を示す警告メッセージがあります。 注意 (Notice) - システムに通知があります。即時アクションは不要です。 通知 (Informational) - 通常の運用メッセージです。 デバッグ - デバッグ・レベルのメッセージ。
   すべてのアラートについて通知	このオプションを有効にします。
   検疫イベントの通知	このオプションを無効にします。
   メッセージ	アラート通知を正しくフォーマットするため、以下のメッセージ文字列を入力します。 |$IV_ALERT_ID$|$IV_ALERT_TYPE$|$IV_ATTACK_TIME$|"$IV_ATTACK_NAME$"|$IV_ATTACK_ID$|$IV_ATTACK_SEVERITY$|$IV_ATTACK_SIGNATURE$|$IV_ATTACK_CONFIDENCE$|$IV_ADMIN_DOMAIN$|$IV_SENSOR_NAME$|$IV_INTERFACE$|$IV_SOURCE_IP$|$IV_SOURCE_PORT$|$IV_DESTINATION_IP$|$IV_DESTINATION_PORT$|$IV_DIRECTION$|$IV_SUB_CATEGORY$ 注: カスタム・メッセージ・ストリングは、復帰またはスペースを含まない単一行として入力する必要があります。 McAfee Network Security Platform では、各アラート・エレメントの前後に区切り文字としてドル記号 ($) を使用したカスタム・メッセージのフォーマットが必要です。 エレメントのドル記号がないと、アラート・イベントが正しくフォーマットされない可能性があります。 テキスト・エディターで、カスタム・メッセージ文字列を 1 行で入力し、適切にフォーマットする必要があります。

8. 保存をクリックします。
   新しい通知プロファイルが「Syslog」ページに表示されます。 McAfee Network Security Platform によってアラート・イベントが生成されると、指定した Syslog 宛先に転送されます。 十分な数のイベントが McAfee Network Security Platform アプライアンスによって転送されると、ログ・ソースが QRadar で自動的に検出されます。 通常、ログ・ソースの自動検出に必要なイベントの最小数は 25 です。