QRadar との通信のための CloudPassage Halo の構成

CloudPassage Halo イベントを収集するには、 CloudPassage Halo Event Connector スクリプトをダウンロードして、syslog イベントを QRadarに送信するように構成します。

始める前に

Event Connector を構成する前に、読み取り専用の CloudPassage API 鍵を作成する必要があります。 読み取り専用キーを作成するには、 CloudPassage ポータルにログインし、 「サイト管理」 ウィンドウで 「新規キーの追加」 をクリックします。

このタスクについて

Event Connector スクリプトを実行するには、Event Connector スクリプトを実行するホストに Python 2.6 以降がインストールされている必要があります。 Event Connector は、CloudPassage Events API (すべての Halo サブスクライバーが使用可能) の呼び出しを行います。
注: CloudPassage Halo Event Collect を構成して、 QRadar がログ・ファイル・プロトコルを使用して取得できるようにイベントをファイルに書き込むことができますが、この方法は推奨されません。

手順

  1. CloudPassage ポータルにログインします。
  2. 「設定」>「サイト管理」に移動します。
  3. 「API キー」 タブをクリックします。
  4. 使用するキーの 「表示」 をクリックします。
  5. 鍵 ID と秘密鍵をテキスト・ファイルにコピーします。

    鍵 ID と秘密鍵が縦線/パイプ (|) で区切られた 1 行のみがファイルに含まれていることを確認します (例: your_key_id|your_secret_key)。 複数の Halo アカウントからイベントを取得する場合は、アカウントごとに行を追加してください。

  6. ファイルを haloEvents.authとして保存します。
  7. Event Connector スクリプトおよび関連ファイルを https://github.com/cloudpassage/halo-event-connector-pythonからダウンロードします。
  8. 以下のファイルを、 Python 2.6 (またはそれ以降) がインストールされている Linux® または Windows システムにコピーします。
    • haloEvents.py
    • cpapi.py
    • cputils.py
    • remote_syslog.py (このスクリプトは、Event Connector を Windows にデプロイし、syslog を介してイベントを送信する場合にのみ使用します)
    • haloEvents.auth
  9. Linux または Windows システムで環境変数を設定します。
    • Linuxの場合、PATH 環境変数に Python インタープリターへの絶対パスを含めます。
    • Windows では、以下の変数を設定します。
      • haloEvents.py と Python インタープリターの場所を含めるには、PATH 変数を設定します。
      • PYTHONPATH 変数を、Python ライブラリーと Python インタープリターの場所を含めるように設定します。
  10. Event Connector が Windows システムにデプロイされている場合に syslog を使用してイベントを送信するには、 --leefsyslog=<QRadar IP> スイッチを指定して haloEvents.py スクリプトを実行します。

    haloEvents.py --leefsyslog=192.0.2.1

    デフォルトでは、Event Connector は初回接続時に既存のイベントを受信します。それ以降は、新しいイベントだけを受信します。 起動時にすべての履歴イベントを受信するのではなく、特定の日付を開始日として指定してそれ以降のイベントを取得するには、以下のように --starting=<date> スイッチを使用します。日付は YYYY-MM-DD の形式で指定します。

    haloEvents.py --leefsyslog=192.0.2.1 --starting=2014-04-02

  11. syslog を介してイベントを送信し、Event Connector を Linux システムにデプロイするには、ローカル・ロガー・デーモンを構成します。
    1. システムで使用されるロガーを確認するには、以下のコマンドを入力します。

      ls -d /etc/*syslog*

      使用している Linux ディストリビューションによっては、以下のファイルがリストされる場合があります。
        • rsyslog.conf
        • syslog-ng.conf
        • syslog.conf
    2. ご使用の環境に関連する情報を使用して、該当する .conf ファイルを編集します。
      syslog-ng の構成例を以下に示します。
      source s_src {                                 
      file("/var/log/leefEvents.txt");
};            
destination d_qradar {        
     udp("qradar_hostname" port(514));        
};        
log {        
     source(s_src); destination(d_qradar);        
};
    3. leeffile=<filepath> スイッチを指定して haloEvents.py スクリプトを実行するには、次のコマンドを入力します。

      haloEvents.py --leeffile=/var/log/leefEvents.txt

      --starting=YYYY-MM-DD スイッチを使用すると、初回起動時におけるイベント収集の開始日を指定することができます。
      注: syslog を使用する代わりに、 QRadar がログ・ファイル・プロトコルを使用して取得できるように、イベントをファイルに書き込むことができます。 Windows または Linux の場合、代わりにイベントをファイルに書き込むには、 --leeffile=<filename> スイッチを使用して、書き込み先のファイルを指定します。