Trellix IPSの障害通知イベントを設定する 11.x
障害通知をTrellix IPSと統合するには、障害通知イベントを転送するようにTrellix IPSを設定する必要があります。
手順
- Trellix IPS Manager ユーザーインターフェースにログインします。
- Manager タブをクリックする。
- ナビゲーション・メニューから、 Setup（設定 ）> Notification（通知 ）> Faults（障害 ）> Syslog（シスログ ）を選択します。
- Syslog ページで、以下のパラメータを設定して、障害通知イベントを転送します：
表 1. Trellix IPS 11.x 障害通知パラメータ パラメーター
説明
シスログ通知を有効にする Trellix IPSのsyslog通知を有効にするには、 Yesを選択します。 QRadar にイベントを転送するには、このオプションを有効にする必要があります。
管理ドメイン 以下のいずれかのオプションを選択します。
- 「現行 (Current)」 - 現行ドメインのアラートの Syslog 通知を送信するには、このチェック・ボックスを選択します。 このオプションはデフォルトで選択されています。
- 「子 (Children)」 - 現行ドメイン内の子ドメインのアラートの Syslog 通知を送信するには、このチェック・ボックスを選択します。
サーバー名または IP アドレス QRadar Console または Event Collector のIPアドレスを入力する。 このフィールドでは、IPv4 アドレスと IPv6 アドレスの両方がサポートされています。
ポート Syslog イベントのポートとして 514 を入力します。
施設 Syslog ファシリティー値を選択します。
深刻度マッピング アラート通知レベル informational、low、medium、および high を Syslog 重大度にマップするための値を選択します。
このオプションには次のレベルがあります。
- 緊急 - システムが使用不可の状態です。
- アラート (Alert) - システムはユーザーによる即時の入力または介入を必要としています。
- 重大 (Critical) - システムの重大な状態を修正する必要があります。
- エラー (Error) - 緊急ではない障害がシステムで発生しています。
- 警告 - システムに、エラーが発生する可能性を示す警告メッセージが表示されています。
- 注意 (Notice) - システムに通知があります。即時アクションは不要です。
- 通知 (Informational) - 通常の運用メッセージです。
- デバッグ - デバッグ・レベルのメッセージ
フォワード・フォールト 情報提供以降を選択。
- Message Preference フィールドから、 Editをクリックしてカスタムメッセージフィルターを追加します。
- 障害通知を正しくフォーマットするため、以下のメッセージ・ストリングを入力します。
|%INTRUSHIELD-FAULT|$IV_FAULT_NAME$|$IV_FAULT_TIME$|注： カスタム・メッセージ文字列は、キャリッジ・リターンを入れずに1行で入力しなければならない。 McAfee Network Security Platform では、各エレメントの前後にドル記号 ($) の区切り文字を使用したカスタム・メッセージ・フォーマットが必要です。 エレメントのドル記号がないと、イベントが正しく解析されない可能性があります。 - 保存をクリックする。
McAfee Network Security Platform により生成された障害イベントは、指定した Syslog 宛先に転送されます。