QRadar と統合するための Google Cloud Pub/Sub の構成

IBM QRadarでログ・ソースを追加するには、パブリッシュ/サブスクライブ・トピックとサブスクリプションを作成し、パブリッシュ/サブスクライブ・サブスクリプションにアクセスするためのサービス・アカウントを作成してから、パブリッシュ/サブスクライブ・トピックにデータを取り込む必要があります。

1. Google Cloud Platform (https://console.cloud.google.com) の「Pub/Sub」タブでトピックを作成します。
   トピックの作成について詳しくは、トピックとサブスクリプションの管理 (https://cloud.google.com/pubsub/docs/admin) を参照してください。
2. サブスクリプションを作成する
   サブスクリプションの作成について詳しくは、トピックとサブスクリプションの管理 (https://cloud.google.com/pubsub/docs/admin) を参照してください。
   重要: 以下のパラメーターは、 QRadarを操作するために固有の構成を必要とします。

   • 配信タイプのパラメーターについては、プルオプションを有効にします。
   • メッセージが 1 回だけ処理されるようにするには、確認応答の期限を 60 秒に設定し、確認済みメッセージの保持オプションを選択解除します。
3. IAM & 管理者 メニューでサービス・アカウントを作成します。
   サービス・アカウントについて詳しくは、サービス・アカウントの作成と管理 (https://cloud.google.com/iam/docs/creating-managing-service-accounts) を参照してください。
   ヒント: 以下のいずれかの条件に該当する場合は、サービス・アカウントを作成する必要はありません。

   • 使用するアカウントを既に所有しています。
   • Google Cloud Platform Compute インスタンスからイベントを収集する QRadar All-in-One アプライアンスまたは QRadar イベント・コレクターでサービス・アカウント・タイプ・オプションとして GCP 管理対象鍵を使用します。
   QRadarでログ・ソースを構成するときにサービス・アカウント・キー・パラメーターにユーザー管理キー・オプションを使用する場合は、サービス・アカウント・キーを作成する必要があります。 詳細については、サービス・アカウント・キーの作成および管理 (https://cloud.google.com/iam/docs/creating- service- service-account-keys) を参照してください。
4. サービス・アカウントに許可を割り当てます。
   サービス・アカウントの許可について詳しくは、サービス・アカウントへのアクセスの管理 (https://cloud.google.com/iam/docs/manage-access-service-accounts) を参照してください。
   ヒント: ステップ 3 の条件のいずれかに該当する場合は、サービス・アカウントの許可を割り当てる必要はありません。
5. ロギング・シンクを作成して、パブリッシュ/サブスクライブ・トピックにデータを取り込みます。
   ロギング・シンクの作成について詳しくは、シンクの構成と管理 (https://cloud.google.com/logging/docs/export/configure_export_v2) を参照してください。