QRadar と通信するための Raz-Lee iSecurity の構成

セキュリティー・イベント、コンプライアンス・イベント、および監査イベントを収集するには、ログ・イベント拡張フォーマット (LEEF) syslog イベントを IBM QRadarに転送するように Raz-Lee iSecurity インストール済み環境を構成します。

手順

  1. IBM i コマンド・ライン・インターフェースにログインします。
  2. コマンド行から STRAUD と入力して、 「監査」 メニュー・オプションにアクセスします。
  3. 監査 メニューから、以下を選択します。 81. システム構成.
  4. iSecurity/Base System Configuration メニューから、32. SIEM 1 (E).
  5. 32.SIEM 1 パラメーター値を構成します。
    32 の詳細をご覧ください。 SIEM 1 パラメーター値:
    表 1. 32.SIEM 1 個のパラメーター値
    パラメーター 値
    SIEM 1 名 QRadarと入力します。
    ポート Syslog メッセージの送信に使用するポートを入力します。 デフォルトのポートは 514 (Syslog 標準) です。
    SYSLOG タイプ UDP の場合は 1 と入力します。
    宛先アドレス QRadarの IP アドレスを入力します。
    自動送信の重大度範囲 (Severity range to auto send)

    メッセージの重大度レベルを 0 から 7 までの範囲で入力します。 例えば、すべての Syslog メッセージを送信する場合、7 と入力します。
    使用するファシリティー (Facility to use) Syslog のファシリティー・レベルを 0 から 23 までの範囲で入力します。
    メッセージ構造 (Message structure) *LEEFと入力します。
    データを CCSID に変換 (Convert data to CCSID)

    「データを CCSID に変換」 フィールドに 0 と入力します。 これは、デフォルトの文字変換です。
    最大長 (Maximum Length) 1024と入力します。
  6. iSecurity/Base System Configuration メニューから、31. メイン・コントロール.
  7. 以下を構成します 31. メイン・コントロール パラメーター値。
    31 の詳細をご覧ください。 メイン制御パラメーター値:
    表 2. 31. メイン・コントロール パラメーター値
    パラメーター 値
    送信前にルールを実行 (Run rules before sending)

    送信するイベントを処理するには、Y と入力します。

    すべてのイベントを送信するには、N と入力します。
    SIEM 1: QRadar® Yと入力します。
    JSON メッセージの送信 (DAM の場合) (Send JSON messages (for DAM)) Nと入力します。
    操作のみとして (As only operation) Nと入力します。
  8. コマンド・ラインから、 「ファイアウォール」 オプションを構成するために、 STRFW と入力してメニュー・オプションにアクセスします。
  9. ファイアウォール メニューから、以下を選択します。 81. システム構成.
  10. 「 iSecurity (パート 1) グローバル・パラメーター: 」メニューから、 72 を選択します。 SIEM 1 (E).
  11. 72.SIEM 1 パラメーター値を構成します。
    72の詳細をご覧ください。 SIEM 1 パラメーター値:
    表 3. 72.SIEM 1 パラメーター値
    パラメーター 値
    SIEM 1 名 QRadarと入力します。
    ポート Syslog メッセージの送信に使用するポートを入力します。 デフォルトのポートは 514 (Syslog 標準) です。
    SYSLOG タイプ UDP Syslog タイプの場合、1 と入力します。
    FYI モードで送信 (Send in FYI mode) Nと入力します。
    宛先アドレス QRadar コンソールの IP アドレスを入力します。
    自動送信の重大度範囲 (Severity range to auto send)

    重大度レベルを 0 から 7 までの範囲で入力します。
    使用するファシリティー (Facility to use) ファシリティー・レベルを入力します。
    メッセージ構造 (Message structure) *LEEFと入力します。
    データを CCSID に変換 (Convert data to CCSID) 0と入力します。
    最大長 (Maximum Length) 1024と入力します。
  12. 「 iSecurity (パート 1) グローバル・パラメーター: 」メニューから、 71 を選択します。 メイン・コントロール.
  13. 以下を構成します 71. メイン・コントロール パラメーター値。
    71についての詳細をご覧ください。 メイン制御パラメーター値:
    表 4. 71. メイン・コントロール パラメーター値
    パラメーター 値
    SIEM 1: QRadar 2と入力します。
    JSON メッセージの送信 (DAM の場合) (Send JSON messages (for DAM)) 0と入力します。

結果

Raz-Lee iSecurity によって転送された Syslog LEEF イベントは、 IBM i用の QRadar DSM によって自動的に検出されます。 ほとんどの場合、いくつかのイベントが検出されると、ログ・ソースが QRadar で自動的に作成されます。

イベント速度が低い場合は、 QRadarで Raz-Lee iSecurity のログ・ソースを手動で構成できます。 ログ・ソースが自動的に検出されて識別されるまで、イベント・タイプは次のように表示されます。Unknownログ・アクティビティー タブに表示されます。