QRadar との通信のための IBM Security Network IPS (GX) アプライアンスの構成

QRadarでイベントを収集するには、LEEF イベントの syslog 転送を有効にするように IBM® Security Network IPS (GX) アプライアンスを構成する必要があります。

始める前に

IBM Security Network IPS (GX) アプライアンスと QRadarの間の通信がファイアウォール・ルールによってブロックされていないことを確認します。

手順

  1. IPS ローカル管理インターフェースにログインします。
  2. ナビゲーション・メニューから、「 システム設定の管理 > アプライアンス > LEEF ログ転送」を選択します。
  3. 「ローカル・ログを使用可能にする」 チェック・ボックスを選択します。
  4. 「最大ファイル・サイズ」 フィールドで、LEEF ログ・ファイルの最大ファイル・サイズを構成します。
  5. 「リモート Syslog サーバー (Remote Syslog Servers)」ペインで、 「有効にする (Enable)」 チェック・ボックスを選択します。
  6. 「Syslog サーバー IP/ ホスト (Syslog Server IP/Host)」 フィールドに、 QRadar Console または Event Collectorの IP アドレスを入力します。
  7. 「TCP ポート」 フィールドに、LEEF ログ・イベントを転送するためのポートとして 514 と入力します。
    注: v4.6.1 以前を使用している場合は、 「UDP ポート」 フィールドを使用します。
  8. イベント・タイプ・リストから、 QRadarに転送されるすべてのイベント・タイプを有効にします。
  9. TCP ポートを使用する場合は、 crm.leef.fullavp チューニング・パラメーターを構成します。
    1. ナビゲーション・メニューから、「 システム設定の管理 > アプライアンス > チューニング・パラメーター」を選択します。
    2. 「チューニング・パラメーターの追加」をクリックします。
    3. 「名前」 フィールドに、 crm.leef.fullavpと入力します。
    4. 「値」 フィールドに trueと入力します。
    5. 「OK」をクリックします。