QRadar と通信するための Aruba ClearPass Policy Manager の構成

Aruba ClearPass ポリシー・マネージャーから syslog イベントを収集するには、 IBM QRadar ホスト用に外部 syslog サーバーを追加してから、syslog サーバー用に 1 つ以上の syslog フィルターを作成する必要があります。

このタスクについて

Session イベントおよび Insight ® イベントの場合、完全なイベント解析は、Aruba ClearPass ポリシー・マネージャーによって提供されるデフォルト・フィールドに対してのみ機能します。 ユーザーによって作成された、フィールドの組み合わせが異なるセッション・イベントおよび Insight イベントは、「不明なセッション・ログ (Unknown Session Log)」または「不明な Insight ログ (Unknown Insight Log)」と表示される場合があります。

以下の表に、使用可能なフィールド・カテゴリーとデフォルト・フィールドを示します。

表 1. Aruba ClearPass Policy Manager によって提供される Session イベントおよび Insight イベントのデフォルトのカテゴリーとフィールド
エクスポート・テンプレート 事前定義フィールド・グループ デフォルトで選択された列
インサイト・ログ Radius Authentications

Auth.Username (必須)

Auth.Host-MAC-Address

Auth.Protocol = RADIUS（必須）

Auth.NAS-IP-Address

CppmNode.CPPM-Node

Auth.Login-Status

Auth.Service

Auth.Roles

Auth.Enforcement-Profiles
インサイト・ログ Radius Failed Authentications

Auth.Username (必須)

Auth.Host-MAC-Address

Auth.NAS-IP-Address

CppmNode.CPPM-Node

Auth.Service

CppmErrorCode.Error-Code-Details (必須)

CppmAlert.Alerts
インサイト・ログ RADIUS Accounting

Radius.Username (必須)

Radius.Calling-Station-Id

Radius.Framed-IP-Address

Radius.NAS-IP-Address

Radius.Start-Time (必須)

Radius.End-Time

Radius.Duration (必須)

Radius.Input-bytes

Radius.Output-bytes
インサイト・ログ tacacs Authentication

tacacs.Username (必須)

tacacs.Remote-Address

tacacs.Request-Type

tacacs.NAS-IP-Address

tacacs.Service

tacacs.Auth-Source

tacacs.Roles

tacacs.Enforcement-Profiles

tacacs.Privilege-Level
インサイト・ログ TACAS認証が成功しました

tacacs.Username (必須)

TACACS.Error-code (必須)

Comma.Login-Status

Tacacs.Roles
インサイト・ログ tacacs Failed Authentication

tacacs.Username (必須)

tacacs.Remote-Address

tacacs.Request-Type

tacacs.NAS-IP-Address

tacacs.Service

CppmErrorCode.Error-Code-Details

TACACS.Error-code (必須)

CppmAlert.Alerts
インサイト・ログ Application Authentication

Auth.Username (必須)

Auth.Host-IP-Address (必須)

Auth.Protocol (必須)

CppmNode.CPPM-Node

Auth.Login-Status

Auth.Service

Auth.Source

Auth.Roles

Auth.Enforcement-Profiles
インサイト・ログ Failed Application Authentication

Auth.Username (必須)

Auth.Host-IP-Address (必須)

Auth.Protocol (必須)

CppmNode.CPPM-Node

Auth.Login-Status

Auth.Service

CppmErrorCode.Error-Code-Details (必須)

CppmAlert.Alerts
インサイト・ログ Endpoints

Endpoint.MAC-Address (必須)

Endpoint.MAC-Vendor

Endpoint.IP-Address

Endpoint.Username

Endpoint.Device-Category

Endpoint.Device-Family

Endpoint.Device-Name

Endpoint.Conflict

Endpoint.Status

Endpoint.Added-At

Endpoint.Updated-At
インサイト・ログ Clearpass Guest

Guest.Username (必須)

Guest.MAC-Address

Guest.Visitor-Name

Guest.Visitor-Company

Guest.Role-Name

Guest.Enabled

Guest.Created-At

Guest.Starts-At

Guest.Expires-At
インサイト・ログ Onboard Enrollment

OnboardEnrollment.Username (必須)

OnboardEnrollment.Device-Name

OnboardEnrollment.MAC-Address

OnboardEnrollment.Device-Product

OnboardEnrollment.Device-Version

OnboardEnrollment.Added-At

OnboardEnrollment.Updated-At
インサイト・ログ Onboard Certificate

OnboardCert.Username (必須)

OnboardCert.Mac-Address

OnboardCert.Subject

OnboardCert.Issuer

OnboardCert.Valid-From

OnboardCert.Valid-To

OnboardCert.Revoked-At
インサイト・ログ Onboard OCSP

OnboardOCSP.Remote-Address (必須)

OnboardOCSP.Response-Status-Name

OnboardOCSP.Timestamp
インサイト・ログ Clearpass System Events

CppmNode.CPPM-Node

CppmSystemEvent.Source (必須)

CppmSystemEvent.Level

CppmSystemEvent.Category

CppmSystemEvent.Action

CppmSystemEvent.Timestamp
インサイト・ログ Clearpass Configuration Audit

CppmConfigAudit.Name (必須)

CppmConfigAudit.Action

CppmConfigAudit.Category

CppmConfigAudit.Updated-By

CppmConfigAudit.Updated-At
インサイト・ログ Posture Summary

Endpoint.MAC-Address

Endpoint.IP-Address

Endpoint.Hostname

Endpoint.Usermame

Endpoint.System-Agent-Type

Endpoint.System-Agent-Version

Endpoint.System-Client-OS

Endpoint.System-Posture-Token (必須)

Endpoint.Posture-Healthy

Endpoint.Posture-Unhealthy
インサイト・ログ Posture Firewall Summary

Endpoint.MAC-Address (必須)

Endpoint.IP-Address

Endpoint.Hostname

Endpoint.Usermame

Endpoint.System-Agent-Type

Endpoint.System-Agent-Version

Endpoint.System-Client-OS

Endpoint.System-Posture-Token

Endpoint.Firewall-APT (必須)

Endpoint.Firewall-Input

Endpoint.Firewall-Output
インサイト・ログ Posture Antivirus Summary

Endpoint.MAC-Address (必須)

Endpoint.IP-Address

Endpoint.Hostname

Endpoint.Usermame

Endpoint.System-Agent-Type

Endpoint.System-Agent-Version

Endpoint.System-Client-OS

Endpoint.System-Posture-Token

Endpoint.Antivirus-APT (必須)

Endpoint.Antivirus-Input

Endpoint. Antivirus-Output
インサイト・ログ Posture Antispyware Summary

Endpoint.MAC-Address (必須)

Endpoint.IP-Address

Endpoint.Hostname

Endpoint.Usermame

Endpoint.System-Agent-Type

Endpoint.System-Agent-Version

Endpoint.System-Client-OS

Endpoint.System-Posture-Token

Endpoint.Antispyware-APT (必須)

Endpoint.Antispyware-Input

Endpoint.Antispyware-Output
インサイト・ログ Posture DiskEncryption Summary

Endpoint.MAC-Address (必須)

Endpoint.IP-Address

Endpoint.Hostname

Endpoint.Usermame

Endpoint.System-Agent-Type

Endpoint.System-Agent-Version

Endpoint.System-Client-OS

Endpoint.System-Posture-Token

Endpoint.DiskEncryption-APT (必須)

Endpoint.DiskEncryption-Input

Endpoint.DiskEncryption-Output
インサイト・ログ ポスチャー Windows ホット・フィックスの要約

Endpoint.MAC-Address (必須)

Endpoint.IP-Address

Endpoint.Hostname

Endpoint.Usermame

Endpoint.System-Agent-Type

Endpoint.System-Agent-Version

Endpoint.System-Client-OS

Endpoint.System-Posture-Token

Endpoint.HotFixes-APT (必須)

Endpoint.HotFixes-Input

Endpoint.HotFixes-Output
セッション・ログ Logged in Users

Common.Username (必須)

Common.Service (必須)

Common.Roles

Common.Host-MAC-Address (必須)

RADIUS.Acct-Framed-IP-Address (必須)

Common.NAS-IP-Address

Common.Request-Timestamp
セッション・ログ Failed Authentications

Common.Username (必須)

Common.Service (必須)

Common.Roles

RADIUS.Auth-Source

RADIUS.Auth-Method

Common.System-Posture-Token

Common.Enforcement-Profiles

Common.Host-MAC-Address (必須)

Common.NAS-IP-Address

Common.Error-Code (必須)

Common.Alerts

Common.Request-Timestamp
セッション・ログ RADIUS Accounting

RADIUS.Acct-Username (必須)

RADIUS.Acct-NAS-IP-Address

RADIUS.Acct-NAS-Port

RADIUS.Acct-NAS-Port-Type

RADIUS.Acct-Calling-Station-Id

RADIUS.Acct-Framed-IP-Address

RADIUS.Acct-Session-Id (必須)

RADIUS.Acct-Session-Time

RADIUS.Acct-Output-Pkts

RADIUS.Acct-Input-Pkts

RADIUS.Acct-Output-Octets

RADIUS.Acct-Input.Octets

RADIUS.Acct-Service-Name

RADIUS.Acct-Timestamp (必須)
セッション・ログ tacacs+ Administration

Common.Username

Common.Service

tacacs.Remote-Address (必須)

tacacs.Privilege.Level (必須)

Common.Request-Timestamp
セッション・ログ tacacs+ Accounting

Common.Username

Common.Service

tacacs.Remote-Address (必須)

tacacs.Acct-Flags (必須)

tacacs.Privilege.Level (必須)

Common.Request-Timestamp
セッション・ログ Web Authentication

Common.Username

Common.Host-MAC-Address

WEBAUTH.Host-IP-Address (必須)

Common.Roles

Common.System-Posture-Token

Common.Enforcement-Profiles

Common.Request-Timestamp
セッション・ログ Guest Access

Common.Username (必須)

RADIUS.Auth-Method

Common.Host-MAC-Address

Common.Roles

Common.System-Posture-Token

Common.Enforcement-Profiles

Common.Request-Timestamp
セッション・ログ ゲストアクセス成功

Common.Username (必須)

Common.Error-Code = 0 (必須)

Common.Service

Common.Host-MAC-Address

Common.NAS-IP-Address

Common.Request-Timestamp

Common.System-Posture-Token

Common.Enforcement-Profiles

Common.Alerts
セッション・ログ ネットワーク・アクセス

Common.Username (必須)

Common.Roles (必須)

Common.Service

Common.Host-MAC-Address

Common.Request-Timestamp

Common.System-Posture-Token

Common.Enforcement-Profiles

Common.Alerts
セッション・ログ ネットワークアクセスに成功しました

Common.Username (必須)

Common.Roles (必須)

Common.Error-Code = 0 (必須)

Common.Service

Common.Host-MAC-Address

Common.NAS-IP-Address

Common.Request-Timestamp

Common.System-Posture-Token

Common.Enforcement-Profiles

Common.Alerts
セッション・ログ MAC認証 Common.Service (キーワード「mac-authentication」を含める必要があります)

Common.Username

Common.Roles

Common.Host-MAC-Address

Common.NAS-IP-Address

Common.Request-Timestamp
セッション・ログ SSID認証 Common.Service (「SSID」または「認証」を含むこと)

Common.Username

Common.Request-Timestamp

Common.Error-Code
セッション・ログ SSID認証に失敗しました

Common.Service (「SSID」または「認証」を含むこと)

Common.Error-Code 0（必須）

Common.Username

Common.Request-Timestamp

Common.Error-Code

手順

  1. Aruba ClearPass Policy Manager サーバーにログインします。
  2. 管理コンソールを始動します。
  3. 外部サーバー > Syslog ターゲットをクリックします。
  4. 「追加」をクリックして、 QRadar ホストの詳細を構成します。
  5. 管理コンソールで、 [外部サーバー ] > [Syslogエクスポートフィルター] をクリックします。
  6. 追加をクリックします。
  7. エクスポート・イベント・フォーマット・タイプの レフ を選択し、追加した Syslog サーバー を選択します。
  8. 保存をクリックします。