syslog イベントを QRadar に転送するための Starent Networks デバイスの構成

IBM QRadar 用の Starent Networks DSM は、イベント、トレース、アクティブ、およびモニターの各イベントを受け入れます。

1. Starent Networks デバイスにログインします。
2. syslog サーバーを構成します。

   logging syslog <IP address> [facility <facilities>] [<rate value>] [pdu-verbosity <pdu_level>] [pdu-data <format>] [event-verbosity <event_level>]

   以下の表は必要なパラメーターを記載しています。

   表 1. Syslog サーバーのパラメーター

   パラメーター	説明
   syslog <IP address>	QRadar の IP アドレスを入力します。
   facility <facilities>	ロギング・オプションが適用されるローカル・ファシリティーを入力します。 オプションは、以下のとおりです。 local0 local1 local2 local3 local4 local5 local6 local7 デフォルトは local7 です。
   rate value	ログ項目をシステムのログ・サーバーに送信する速度を入力します。 この値は 0 から 100000 までの整数値にする必要があります。 デフォルトは 1 秒あたり 1000 個のイベントです。
   pdu-verbosity <pdu-level>	プロトコル・データ単位 (PDU) のロギングで使用する詳細レベルを入力します。 範囲は、1 から 5 までです。5 が最も詳細度が高くなります。 このパラメーターはプロトコル・ログのみに影響します。
   pdu-data <format>	ロギング時の PDU の出力フォーマットを、以下のいずれかで入力します。 none - 未加工または未フォーマットのテキストとして結果を表示します。 hex - 16 進数形式で結果を表示します。 hex-ascii - メインフレーム・ダンプと類似した 16 進数および ASCII フォーマットで結果を表示します。
   event-verbosity <event_level>	イベントのロギングで使用する詳細レベルを入力します。以下のレベルがあります。 min - イベント名、ファシリティー、イベント ID、重大度レベル、データ、時刻など、イベントに関する最小限の情報を提供します。 concise - イベントに関する詳細な情報を提供しますが、イベント・ソースは提供しません。 full - イベントに関する詳細情報を提供し、イベントが生成されたタスクまたはサブシステムを識別するソース情報が含まれます。

3. Exec モードのルート・プロンプトから、トレース・ログが生成されるセッションを識別します。

   logging trace {callid <call_id> | ipaddr <IP address> | msid <ms_id> | name <username>}

   以下の表は必要なパラメーターを記載しています。

   表 2. トレース・ログのパラメーター

   パラメーター	説明
   callid <call_id>	セッションにトレース・ログが生成されたことを示し、このセッションは呼び出し ID 番号で識別されます。 この値は 4 バイトの 16 進数です。
   ipaddr <IP address>	セッションにトレース・ログが生成されたことを示し、このセッションは指定された IP アドレスで識別されます。
   msid <ms_id>	セッションにトレース・ログが生成されたことを示し、このセッションはモバイル・ステーション ID (MSID) 番号で識別されます。 この値は 7 桁から 16 桁で、IMSI、MIN、または RMI として指定されます。
   name <username>	セッションにトレース・ログが生成されたことを示し、このセッションはユーザー名によって識別されます。 この値は、あらかじめ構成されている加入者の名前です。

4. config モードでアクティブ・メモリー・バッファーにアクティブ・ログを書き込むには、以下を実行します。

   logging runtime buffer store all-events

5. アクティブ・ログのフィルターを構成します。

   logging filter active facility <facility> level <report_level> [critical-info | no-critical-info]

   以下の表は必要なパラメーターを記載しています。

   表 3. アクティブ・ログのパラメーター

   パラメーター	説明
   facility <facility>	ファシリティーのメッセージ・レベルを入力します。 ファシリティーはシステムで使用中のプロトコルまたはタスクです。 ローカル・ファシリティーによって、ローカルで実行されるプロセスに適用されるロギング・オプションが定義されます。 オプションは、以下のとおりです。 local0 local1 local2 local3 local4 local5 local6 local7 デフォルトは local7 です。
   level <report_level>	以下のログ重大度レベルのいずれかを入力します。 critical - 重大なエラーの発生を示すイベント、およびシステムまたはシステム・コンポーネントの機能停止の原因になるイベントのみをログに記録します。 「critical」が最も高いレベルの重大度です。 error - システムまたはシステム・コンポーネントの動作が低下状態になるエラーが発生していることを示すイベントをログに記録します。 このレベルでは、重大度がこのレベルより高いイベントも記録されます。 warning - 問題が発生する可能性があることを示すイベントをログに記録します。 このレベルでは、重大度がこのレベルより高いイベントも記録されます。 unusual - 異常であり、調査が必要になる可能性があるイベントをログに記録します。 このレベルでは、重大度がこのレベルより高いイベントも記録されます。 info - 情報イベント、および重大度がこのレベルより高いイベントがログに記録されます。 debug - 重大度に関係なく、すべてのイベントがログに記録されます。 ログに記録される情報の価値を最大化し、生成されるログの量を少なく抑えるように error または critical のレベルを構成できることが示されています。
   critical-info	critical-info パラメーターは、重大な情報のカテゴリー属性があるイベントを識別して表示します。 このイベント・タイプの例は、システム・プロセスまたはタスクの開始時に見ることができます。
   no-critical-info	no-critical-info パラメーターは、重大な情報のカテゴリー属性のあるイベントが表示されないようにすることを指定します。

6. モニター・ログのターゲットを構成します。

   logging monitor {msid <ms_id>|username <username>}

   以下の表は必要なパラメーターを記載しています。

   表 4. モニター・ログ・パラメーター

   パラメーター	説明
   msid <md_id>	msid を入力して、モバイル・ステーション ID (MSID) 番号を使用して識別されるセッションにモニター・ログが生成されることを定義します。 この値は 7 桁から 16 桁で、IMSI、MIN、または RMI として指定されます。
   username <username>	ユーザー名を入力して、セッションに生成されたモニター・ログをユーザー名によって識別します。 このユーザー名は、あらかじめ構成されている加入者の名前です。

7. これで、 QRadarでログ・ソースを構成する準備ができました。

   Startent デバイスからイベントを受信するように QRadar を構成するには、以下のようにします。

   1. 「ログ・ソース・タイプ」 リストから、 「Starent Networks Home Agent (HA)」 オプションを選択します。

      デバイスについて詳しくは、ベンダーの資料を参照してください。