通信するための Cisco Stealthwatch の構成 QRadar

Cisco Stealthwatch は、カスタマイズされた Syslog メッセージを含め、さまざまなメッセージ・タイプのイベントをサード・パーティーに転送できます。

手順

  1. 管理者として Stealthwatch Management Console (SMC) にログインします。
  2. メニュー・バーで、 構成 > 「応答管理」をクリックします。
  3. 「応答管理」 メニューの 「アクション」 セクションから、以下を実行します。 追加 > 「Syslog メッセージ」をクリックします。
  4. 「Syslog メッセージ・アクションの追加 (Add Syslog Message Action)」ウィンドウで、以下のパラメーターを構成します。
    パラメーター 値
    名前 Syslog メッセージ・アクションの名前。
    有効 このチェック・ボックスは、デフォルトで有効にされています。
    IP アドレス QRadar Event Collectorの IP アドレスです。
    ポート デフォルト・ポートはポート 514 です。
    フォーマット 「Syslog 形式」を選択します。
  5. 以下のカスタム・フォーマットを入力します。
    LEEF:2.0|Lancope|Stealthwatch|6.8|{alarm_type_id}|0x7C|src={source_ip}|dst={target_ip}|dstPort={port}|proto={protocol}|msg={alarm_type_description}|fullmessage={details}|start={start_active_time}|end={end_active_time}|cat={alarm_category_name}|alarmID={alarm_id}|sourceHG={source_host_group_names}|targetHG={target_host_group_names}|sourceHostSnapshot={source_url}|targetHostSnapshot={target_url}|flowCollectorName={device_name}|flowCollectorIP={device_ip}|domain={domain_name}|exporterName={exporter_hostname}|exporterIPAddress ={exporter_ip}|exporterInfo={exporter_label}|targetUser={target_username}|targetHostname={target_hostname}|sourceUser={source_username}|alarmStatus={alarm_status}|alarmSev={alarm_severity_name}
  6. リストからカスタム形式を選択して、 「OK」をクリックします。
    注: テスト・メッセージを QRadar に送信するには、 「テスト」 ボタンを使用します。
  7. 「応答管理」 >「 ルール」をクリックします。
  8. 「追加」 をクリックし、 「ホスト・アラーム」を選択します。
  9. 「名前」 フィールドにルール名を指定します。
  10. 「タイプ」 メニューおよび 「オプション」 メニューから値を選択して、ルールを作成します。 さらにルールを追加するには、省略符号アイコンをクリックします。 ホスト・アラームの場合、ステートメント内にできる限り多くのタイプを結合します。
  11. 「アクション」 ダイアログで、 「アクティブ」 条件と 「非アクティブ」 条件の両方に対して IBM QRadar syslog アクション を選択します。 事前定義された条件のいずれかが満たされると、イベントは QRadar に転送されます。