データ・エクスポートの構成

データ・エクスポートには、Verdasys Digital Guardian が IBM QRadarに転送するイベントを構成するオプションがあります。

手順

  1. Digital Guardian 管理コンソールにログインします。
  2. ワークスペース > データ・エクスポート > エクスポートの作成を選択します。
  3. データ・ソース リストから、データ・ソースとして アラート または イベント を選択します。
  4. 「エクスポート・タイプ」 リストから、 QRadar 「 LEEF」を選択します。

    ご使用の Verdasys Digital Guardian が v6.0.x の場合は、「エクスポート・タイプ (Export Type)」として「Syslog」を選択できます。 QRadar LEEF は、 v6.1.1 以降のすべての Verdasys Digital Guardian アプライアンスに推奨されるエクスポート・タイプ・フォーマットです。

  5. タイプ リストから、トランスポート・プロトコルとして 「UDP」 または TCP とは を選択します。

    QRadar は、いずれのトランスポート・プロトコルからも syslog イベントを受け入れることができます。 通常、アラート・イベントの長さが 1024 バイトを超える場合は、「TCP」を選択して、イベントが切り捨てられないようにすることができます。

  6. 「サーバー」 フィールドに、 QRadar Console または Event Collectorの IP アドレスを入力します。
  7. 「ポート」 フィールドに、 514と入力します。
  8. 重大度レベル リストから、重大度レベルを選択します。
  9. アクティブ チェック・ボックスを選択します。
  10. 「次へ」をクリックします。
  11. 選択可能なフィールドのリストから、以下のアラート・フィールドおよびイベント・フィールドをデータ・エクスポートに追加します。
    • エージェントの現地時間
    • アプリケーション
    • コンピューター名
    • 詳細ファイル・サイズ
    • IP アドレス
    • ローカル・ポート
    • 操作 (必須)
    • ポリシー
    • リモート・ポート
    • ルール
    • 重大度
    • 送信元 IP アドレス (Source IP Address)
    • ユーザー名
    • Was Blocked (ブロックされた)
    • 分類済み
  12. データ・エクスポートのフィールドの基準を選択し、 次へをクリックします。

    デフォルトでは、基準はブランクになっています。

  13. 基準のグループを選択して、 次へをクリックします。

    デフォルトでは、グループはブランクになっています。

  14. 照会のテストをクリックします。

    テスト照会により、データベースが正しく稼動していることを確認します。

  15. 「次へ」をクリックします。
  16. データ・エクスポートを保存します。

    構成は完了です。

次に実行するタスク

Verdasys Digital Guardian からのデータ・エクスポートは 5 分間隔で実行されます。 このタイミングは、必要に応じて Verdasys Digital Guardian の ジョブ・スケジューラーで調整できます。 Verdasys Digital Guardian により QRadar にエクスポートされたイベントは、 「ログ・アクティビティー」 タブに表示されます。