QRadar と通信するための Epic SIEM 2022 の構成

IBM QRadarでイベントを収集するには、Epic SIEM 2022 システムでメッセージング・キュー値を構成する必要があります。

手順

  1. 相互接続キューの作成の手順に従って、2 つのカスタム・キューを作成します。
    重要: EMPSYNC キューが同期しており、 EMPASYNC キューが非同期であることを確認してください。
    両方のキューの 「キュー・タイプ」 として EMP を入力します。
  2. SIEM ユース・ケースに基づいて新規相互接続インスタンスを構成します。
  3. Syslog プロトコルを構成します。
  4. エピック システム定義 (%ZeUSTBL またはエピック アプリケーション アクセス) > クライアント・システム > エピック・システムの定義をクリックします。
    重要: Epic System Definitions には、システム管理者のみがアクセスできます。
  5. 「セキュリティー」 > 「監査オプション」 > 「SIEM Syslog 設定」をクリックします。
  6. 「SIEM Syslog 構成 (SIEM Syslog Configuration)」を選択し、以下のパラメーターを構成します。
    パラメーター 値
    SIEM ホスト QRadar Event Collector のホスト名または IP アドレス。
    SIEM ポート 514
    SIEM 形式 LEEF (ログ・イベント拡張フォーマット)
    TCP 応答 いいえ
    終了文字 ENDTAGNULL.

    タグ <SyslogEnd> が送信され、次に 10 が送信されます。
    2023 年 8 月から: TLSを使用
  7. 「SIEM Syslog Settings Menu」に戻ります。
  8. SIEM システムに入るトラフィックを削減する場合、システムで不要な監査イベントを無効にします。
    1. 「SIEM Syslog 構成オプション」 > 「イベント・リストの編集」をクリックします。
    2. 「イベント・リストの編集」で、無効にするイベントごとに 「T」 を選択します。
    3. 終了するには、 「Q」 をクリックします。
  9. 「SIEM Syslog」 を選択し、 「有効」に設定します。
    重要: 環境が runlevel Up に設定されているか、 SIEM Syslogを有効にすると、SIEM Syslog 送信デーモンが自動的に開始されます。 このデーモンを停止する場合は、「SIEM Syslog Settings」メニューで、「SIEM Syslog」をクリックし、それを「Disabled」に設定します。