McAfee Network Security Platform 6.x から 7.x の障害通知イベントの構成

McAfee Network Security Platform に障害通知を統合するには、障害通知イベントを転送するように McAfee Network Security Platform を構成する必要があります。

1. McAfee Network Security Platform Manager ユーザー・インターフェースにログインします。
2. Network Security Manager ダッシュボードで、 「構成」をクリックします。
3. 「リソース・ツリー」を展開し、 「IPS 設定」 ノードをクリックします。
4. 「障害通知」 タブをクリックします。
5. Alert Notification メニューから、 「Syslog」 タブをクリックします。
6. 障害通知イベントを転送するため、以下のパラメーターを構成します。

   表 1. McAfee Network Security Platform 6.x および 7.x の障害通知パラメーター

   パラメーター	説明
   Syslog 通知の有効化 (Enable Syslog Notification)	McAfee Network Security Platform の Syslog 通知を有効にするには「はい (Yes)」を選択します。 イベントを QRadarに転送するには、このオプションを有効にする必要があります。
   管理ドメイン	以下のいずれかのオプションを選択します。 「現行 (Current)」 - 現行ドメインのアラートの Syslog 通知を送信するには、このチェック・ボックスを選択します。 このオプションはデフォルトで選択されています。 「子 (Children)」 - 現行ドメイン内の子ドメインのアラートの Syslog 通知を送信するには、このチェック・ボックスを選択します。
   サーバー名または IP アドレス	QRadar Console または Event Collectorの IP アドレスを入力します。 このフィールドでは、IPv4 アドレスと IPv6 アドレスの両方がサポートされています。
   ポート	Syslog イベントのポートとして 514 を入力します。
   施設	Syslog ファシリティー値を選択します。
   重大度マッピング	アラート通知レベル informational、low、medium、および high を Syslog 重大度にマップするための値を選択します。 このオプションには次のレベルがあります。 緊急 (Emergency) - システムが停止しているかまたは使用不可の状態です。 アラート (Alert) - システムはユーザーによる即時の入力または介入を必要としています。 重大 (Critical) - システムの重大な状態を修正する必要があります。 エラー (Error) - 緊急ではない障害がシステムで発生しています。 警告 (Warning) - システムに、エラーが発生する可能性を示す警告メッセージがあります。 注意 (Notice) - システムに通知があります。即時アクションは不要です。 通知 (Informational) - 通常の運用メッセージです。
   障害を転送する重大度レベル (Forward Faults with severity level)	「 Informational and later」を選択します。

7. 「メッセージ設定」 フィールドから、 「編集」 をクリックしてカスタム・メッセージ・フィルターを追加します。
8. 障害通知を正しくフォーマットするため、以下のメッセージ・ストリングを入力します。

   |%INTRUSHIELD-FAULT|$IV_FAULT_NAME$|$IV_FAULT_TIME$|

   注: カスタム・メッセージ・ストリングは、復帰なしの単一行として入力する必要があります。 McAfee Network Security Platform では、各エレメントの前後にドル記号 ($) の区切り文字を使用したカスタム・メッセージ・フォーマットが必要です。 エレメントのドル記号がないと、イベントが正しく解析されない可能性があります。
9. 「保存」をクリックします。
   McAfee Network Security Platform により生成された障害イベントは、指定した Syslog 宛先に転送されます。