QRadar と通信するための Carbon Black の構成

Carbon Black からイベントを収集するには、Carbon Black イベントを IBM QRadarに送信するように cb-event-forwarder をインストールして構成する必要があります。

始める前に

Carbon Black Enterprise RPM をインストールし、それが実行中であることを確認します。 cb-event-forwarder は、CentOS 6.x を実行中の任意の 64 ビット Linux コンピューターにインストールできます。 これは、Carbon Black サーバーと同じコンピューターにも、別のコンピューターにもインストールできます。 多くのイベント (例えば、すべてのファイル変更、レジストリー変更、またはその両方) を QRadarに転送する場合は、別のサーバーに cb-event-forwarder をインストールします。 多くのイベントを QRadarに転送しない場合は、Carbon Black サーバーに cb-event-forwarder をインストールできます。

Carbon Black サーバー以外のコンピューターに cb-event-forwarder をインストールする場合、次のように Carbon Black サーバーを構成する必要があります。
  1. Carbon Black サーバー上の Iptables ファイアウォール経由で TCP ポート 5004 を使用できることを確認します。 event-forwarder は、Carbon Black サーバー上の TCP ポート 5004 に接続して、Cb メッセージ・バスに接続します。
  2. Carbon Black サーバー上の /etc/cb/cb.conf ファイルから、RabbitMQ のユーザー名およびパスワードを取得します。 RabbitMQUser 変数および RabbitMQPassword 変数を検索し、それらの値を書き留めます。

このタスクについて

GitHub Web サイト (https://github.com/carbonblack/cb-event-forwarder/)に、以下の説明、ソース・コード、およびクイック・スタート・ガイドが記載されています。

手順

  1. まだインストールされていない場合、次のように CbOpenSource リポジトリーをインストールします。
    cd /etc/yum.repos.dcurl -O https://opensource.carbonblack.com/release/x86_64/CbOpenSource.repo
  2. 次のように、cb-event-forwarder の RPM をインストールします。
    yum install cb-event-forwarder
  3. /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf ファイルを変更して udpout=<QRadar_IP_address>:514を組み込み、出力フォーマットとして LEEF を指定します ( output_format=leef)。
  4. Carbon Black サーバー以外のコンピューターにインストールする場合は、 RabbitMQ のユーザー名とパスワードを /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf ファイルの rabbit_mq_username 変数と rabbit_mq_password 変数にコピーします。 cb_server_hostname 変数に、Carbon Black サーバーのホスト名または IP アドレスを入力します。
  5. 次のように、cb-event-forwarder を検査モードで実行することで、構成が有効であることを確認します。

    /usr/share/cb/integrations/event-forwarder/cb-event-forwarder -check.

    有効な場合、次のメッセージが表示されます。Initialized output表示されます。 エラーがある場合、それらのエラーが画面に出力されます。

  6. キャプチャー対象のイベントのタイプを選択します。

    デフォルトでは、Carbon Black はすべてのフィード・イベントおよび監視リスト・イベントをバス経由で発行します。 生のセンサー・イベントやすべての binaryinfo 通知をキャプチャーする場合は、/etc/cb/cb.conf ファイル内でそれらの機能を有効にする必要があります。

    • 生のセンサーイベントをキャプチャするには、/etc/cb/cb.confファイルのDatastoreBroadcastEventTypes オプションを編集して、エクスポートしたい生のセンサーイベントのブロードキャストを有効にします。
    • バイナリ観測イベントを捕捉するには、EnableSolrBinaryInfoNotifications オプションを /etc/cb/cb.conf ファイルで編集し、True に設定します。
  7. /etc/cb/cb.confで変数が変更された場合は、Carbon Black サーバーを再始動します (「service cb-enterprise restart」)。
  8. initctl コマンド initctl start cb-event-forwarderを使用して、cb-event-forwarder サービスを開始します。
    注: cb-event-forwarder サービスは、initctl コマンド initctl stop cb-event-forwarderを使用して停止できます。