QRadar と通信するための IBM Verify Directory の構成

IBM QRadar は、 IBM Verify Directoryから LEEF 形式の監査イベントを収集できます。

このタスクについて

IBM QRadarにログを送信するように IBM Verify Directory を構成するには、 IBM Verify Directory コマンド行を使用して補助オブジェクト・クラスを追加してから、 QRadar ログ管理属性の値を設定する必要があります。

手順

以下の内容のファイル (file_name) を IBM Verify Directory または IBM Security Director Server 上に作成します。
```
dn: cn=Audit, cn=Log Management, cn=Configuration
changetype: modify
add: objectclass
objectclass: ibm-slapdQRadarConfig
```
QRadar 構成属性の補助オブジェクト・クラス ibm-slapdQRadarConfig を cn=Audit,cn=Log Management,cn=Configurationに追加するには、次のコマンドを実行します。
```
# idsldapmodify -h host_name -p portnumber -D cn=RDN_value -w password -f file_name
```

以下の内容で新規ファイル (new_file) を作成します。

dn: cn= specific_log_name, cn=Log Management, cn=configuration
changetype: modify
add:ibm-slapdLogEventQRadarEnabled
ibm-slapdLogEventQRadarEnabled: true
-
add:ibm-slapdLogEventQRadarHostName
ibm-slapdLogEventQRadarHostName: host_name_of_qradar_instance
-
add: ibm-slapdLogEventQRadarPort
ibm-slapdLogEventQRadarPort: port_of_qradar_instance
-
add: ibm-slapdLogEventQRadarMapFilesLocation
ibm-slapdLogEventQRadarMapFilesLocation: directory_location_of_qradar_mapfiles

new_file の内容のうち、以下の値を置き換えます。
1. host_name_of_qradar_instance を宛先 QRadar イベント・コレクターのホスト名または IP アドレスに置き換えます。
2. port_of_qradar_instance を 514 に置き換えます。
3. IBM Security Directory Server または IBM Verify Directory がインストールされている場合は、 directory_location_of_qradar_mapfiles を /opt/ibm/ldap/<INSTALLED_VERSION>/idstools/idslogmgmt/に置き換えます。
4. V6.3.1 がインストールされている場合は、 directory_location_of_qradar_mapfiles を /opt/ibm/ldap/V6.3.1/idstools/idslogmgmt/に置き換えます。
5. V6.4 がインストールされている場合は、 directory_location_of_qradar_mapfiles を /opt/ibm/ldap/V6.4/idstools/idslogmgmt/に置き換えます。
例:
```
dn: cn= specific_log_name, cn=Log Management, cn=configuration
changetype: modify
add:ibm-slapdLogEventQRadarEnabled
ibm-slapdLogEventQRadarEnabled: true
-
add:ibm-slapdLogEventQRadarHostName
ibm-slapdLogEventQRadarHostName: qradar-collector.example.com
-
add: ibm-slapdLogEventQRadarPort
ibm-slapdLogEventQRadarPort: 514
-
add: ibm-slapdLogEventQRadarMapFilesLocation
ibm-slapdLogEventQRadarMapFilesLocation: /opt/ibm/ldap/V6.3.1/idstools/idslogmgmt/
```
QRadar 統合の属性値を設定するには、以下のコマンドを実行します。
```
# idsldapmodify -h host_name -p portnumber -D cn=RDN_value -w password -f new_file
```
以下のコマンドを実行して、インスタンスを開始します。
```
# ibmslapd -I <instance_name> -n
```

オプション: ログ管理をローカルで開始するには、次のコマンドを実行します。

# idslogmgmt -I <instance_name>

リモート側でログ管理を開始して、ステータスを取得し、停止するには、以下のコマンドを実行します。

# ibmdirctl -D <adminDN> -w <password> -h <host_name> -p <administration server port number> startlogmgmt# ibmdirctl -D <adminDN> -w <password> -h <host_name> -p <administration server port number> statuslogmgmt# ibmdirctl -D <adminDN> -w <password> -h <host_name> -p <administration server port number> stoplogmgmt