以下と通信するための Epic SIEM 2015 の構成 QRadar

IBM QRadarでイベントを収集するには、Epic SIEM 2015 システムでメッセージ・キュー値を構成する必要があります。

手順

コマンド行から、「 Interconnect Administrator 's Menu > Messaging Queues Setup」を選択します。
EMPSYNC キューを作成するために、アスタリスク (*) を入力します。

プロンプトごとに、次の表に示されているキュー値を入力します。

表 1. EMPSYNC プロンプトのキュー値
プロンプト	値
キュー ID (Queue ID)	拡張のキューを入力します。
キュー名	EMPSYNC
記述子 (Descriptor)	EMPSYNC
ノードで実行 (Run on Node)	Enter キーを押します。値が自動的に入力されます。
IC サーバー (IC Servers)	値を入力せずに Enter キーを押します。
このキューの詳細設定を編集しますか? (Edit advanced settings for this queue?)	はい
このキューは同期出力メッセージを処理しますか? (Does this queue handle synchronous outgoing messages?)	はい
出力通信用のキュー・タイプにこの記述子を関連付けますか? (Associate this descriptor with a queue type for outgoing communication?)	はい
キュー・タイプ (Queue Type)	EMP

EMPASYNC キューを作成するために、アスタリスク (*) を入力します。

プロンプトごとに、次の表に示されているキュー値を入力します。

表 2. EMPASYNC プロンプトのキュー値
プロンプト	値
キュー ID (Queue ID)	拡張のキューを入力します。
キュー名	EMPASYNC
記述子 (Descriptor)	EMPASYNC
ノードで実行 (Run on Node)	Enter キーを押します。値が自動的に入力されます。
IC サーバー (IC Servers)	値を入力せずに Enter キーを押します。
このキューの詳細設定を編集しますか? (Edit advanced settings for this queue?)	はい
このキューは同期出力メッセージを処理しますか? (Does this queue handle synchronous outgoing messages?)	いいえ
出力通信用のキュー・タイプにこの記述子を関連付けますか? (Associate this descriptor with a queue type for outgoing communication?)	はい
キュー・タイプ (Queue Type)	EMP

Kuiper を使用して新しい相互接続インスタンスをデプロイします。
Windows で開始 > エピック 2015 > 相互接続 > インスタンス > 構成エディターをクリックして、相互接続構成エディターにアクセスします。
「一般 Web サービス・ホスト (General Web Service Host)」役割を選択します。
「キャッシュ接続」で、キュー・タイプ EMPを指定して手動でキューを追加します。
スレッドの数を 2に設定します。

推奨されるスレッド数について詳しくは、Epic の資料を参照してください。

重要: 「ビジネス・サービス」タブでサービスを有効にしないでください。
Epic サーバーにログインします。
エピック・システム定義 (%ZeUSTBL) > セキュリティ > 監査オプション > SIEM シスログ設定をクリックします。

「SIEM Syslog 構成 (SIEM Syslog Configuration)」を選択し、以下のパラメーターを構成します。

パラメーター	値
SIEM ホスト	QRadar Event Collector のホスト名または IP アドレス。
SIEM ポート	514
SIEM 形式	LEEF (ログ・イベント拡張フォーマット)
アプリケーション層の応答の検査 (Check Application Layer Response)	無効化

「SIEM Syslog 設定メニュー (SIEM Syslog Settings Menu)」に戻ります。
「SIEM Syslog」を選択し、「有効」に設定します。

注: SIEM Syslog 送信デーモンは、環境が runlevel Up に設定されている場合、または SIEM Syslogを有効にした場合に自動的に開始されます。このデーモンを停止する場合は、「SIEM Syslog Settings」メニューで、「SIEM Syslog」をクリックし、それを「Disabled」に設定します。