LEEF イベントを転送するためのチェック・ポイントの構成 QRadar

LEEF イベントを IBM QRadarに転送するには、Check Point Log Exporter を使用し、ログの新規ターゲットを構成します。

始める前に

Log Exporter は、いくつかのバージョンの Check Point にインストールできます。 LEEF 形式のイベントを QRadarに送信する前に、ご使用の環境に正しいバージョンの Check Point および Log Exporter がインストールされていることを確認してください。

以下の表では、LEEF イベントがサポートされる場合について説明しています。

表 1. LEEF がサポートされる Check Point バージョン
Check Point バージョン コメント
R81.10 Log Exporter は、このバージョンに含まれています。
R80.20 Log Exporter は、このバージョンに含まれています。
R80.10 Log Exporter をインストールしてから、その後にホット・フィックスをインストールします。
R77.30 Log Exporter をインストールしてから、その後にホット・フィックスをインストールします。
Check Point R80.20
Check Point R80.20にアップグレードする前に Log Exporter 構成を保持する場合は、 Check Point Web サイトにあるバックアップおよびリストアのログ・エクスポーターの指示に従ってください。 (https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk127653).
Check Point R80.10
Check Point バージョン R80.10 が以下のサーバーにインストールされていることを確認します。
  • R80.10 Multi-Domain Log Server
  • Security Management Server
  • Log Server
  • SmartEvent Server
Log Exporter は、バージョン R80.10 Jumbo Hotfix Take 56 以降にインストールできます。 このホット・フィックスは、Jumbo をインストールした後でインストールする必要があります。 Jumbo をアップグレードする場合は、ホット・フィックスをアンインストールし、Jumbo をアップグレードしてから、ホット・フィックスを再インストールします。 詳細については、 「 Check Point 」 Web サイトのインストール・トピック (https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk122323#Installation) を参照してください。
Check Point R77.30
Check Point バージョン R77.30 が以下のサーバーにインストールされていることを確認します。
  • Multi-Domain Server
  • Multi-Domain Log Server
  • Log Server
  • SmartEvent Server
Log Exporter は、バージョン R77.30 Jumbo Hotfix Take 292 以降にインストールできます。 このホット・フィックスは、Jumbo をインストールした後でインストールする必要があります。 Jumbo をアップグレードする場合は、ホット・フィックスをアンインストールし、Jumbo をアップグレードしてから、ホット・フィックスを再インストールします。 詳細については、 「 Check Point 」 Web サイトのインストール・トピック (https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk122323#Installation) を参照してください。

手順

  1. コマンド・ライン・インターフェースを使用して Check Point Log Exporter コンソールのエキスパート・モードにアクセスするには、 expertと入力し、Return キーを押します。
  2. expert パスワードを入力して、Enter キーを押します。
  3. 以下のコマンドを入力します。
    cp_log_export add name <name> [domain-server <domain-server> target-server <target-server IP address> target-port <target-port>protocol <(udp|tcp)> format <(syslog)|(cef)|(leef)> [optional arguments]
    ヒント: サーバーがドメインの一部でない場合は、セットアップ・コマンドに domain-server フィールドを含めないでください。

    新しいターゲット・ディレクトリーおよびデフォルト・ファイルは、$EXPORTERDIR/targets/<deployment_name> ディレクトリー内に作成されます。

    次の表では、サンプル・パラメーターとその値を示しています。
    表 2. サンプル・ターゲット構成
    パラメーター 値
    Name < サービス名>
    Enabled はい
    Target-server < QRadar_IP_address>
    Target-port 514
    Protocol TCP
    Format LEEF
    Read-mode Semi-unified

    読み取りモード・パラメーターのデフォルト値は次のとおりです。Semi-unifiedこれにより、完全なデータが確実に収集されます。

    その他のコマンドについて詳しくは、「 チェックポイント Web サイト 」 (https://supportcenter.checkpoint.com/supportcenter/portal?eventSubmit_doGoviewsolutiondetails=&solutionid=sk122323#Deployment Script Additional Commands) にアクセスしてください。

  4. 構成を変更するには、 cp_log_export setと入力します。
  5. 既存のデプロイメント内の構成を検証するには、 cp_log_export showと入力します。
  6. Log Exporter を自動的に開始するには、コマンド cp_log_export restartを入力します。
    デフォルトでは、Log Exporter は自動的に開始しません。

結果

QRadar が Check Point からイベントを受信していない場合は、以下のトラブルシューティングのヒントを試してください。
  • $EXPORTERDIR/targets/<deployment_name>/conf/LeefFieldsMapping.xml ファイルで属性マッピングの問題がないかを確認します。
  • $EXPORTERDIR/targets/<deployment_name>/conf/LeefFormatDefinition.xml ファイルで、LEEF ヘッダー・マッピングの問題を確認します。
  • ファイル・パスを確認します。 ファイル・パスは、Check Point の更新に伴って変更されることがあります。 構成ファイルが見つからない場合は、Check Point の管理者にお問い合わせください。
トラブルシューティング情報について詳しくは、「 Log Exporter (cp_log_export) Utility 技術情報からの Check Point Syslog LEEF イベントのトラブルシューティング 」(https://www.ibm.com/support/docview.wss?uid=ibm10876650) を参照してください。