通信するための Microsoft Azure イベント・ハブの構成 QRadar

Microsoft Azure Event Hubs プロトコルは、イベント・ハブ内のイベントを収集します。 このプロトコルは、イベントがイベント・ハブ内にある場合は、ソースに関係なくイベントを収集します。 ただし、これらのイベントは、既存の DSM によって構文解析できない可能性があります。

1. 以下のいずれかの方法を使用して、 Microsoft Azure ストレージ・アカウント接続ストリングを取得します。
   • すべての許可に対する全アクセス権限を持つログ・ソースが必要な場合は、アクセス・キーを取得します。 ステップ 2を参照してください。
   • 特定のアクセス権限を持つログ・ソースが必要な場合は、共有アクセス・シグニチャー (SAS) を作成します。 ステップ 3を参照してください。

   重要: Microsoft Azure Event Hub に接続するには、選択した Azure ストレージ・アカウントでブロック BLOB を作成できる必要があります。 ページおよび追加 BLOB タイプは、 Microsoft Azure Event Hubs プロトコルと互換性がありません。

   詳しくは、 Introduction to Azure Blob storage (https://docs.microsoft.com/en-us/azure/storage/blobs/storage-blobs-introduction) and Understanding Block Blobs, Append Blobs, and Page Blobs (https://docs.microsoft.com/en-us/rest/api/storageservices/understanding-block-blobs--append-blobs--and-page-blobs) を参照してください。 さらにヘルプが必要な場合は、 Microsoft サポート (https://azure.microsoft.com/en-us/support/options) を参照してください。

2. Microsoft Azure ストレージ・アカウント接続ストリングとアクセス・キーを取得します。
   このメソッドを使用して、ストレージ・アカウントに対する全アクセス権限をログ・ソースに付与する値を取得します。

   ストレージ・アカウント接続ストリング には、 Azure ストレージ・アカウントのデータにアクセスするために使用される ストレージ・アカウント名 および ストレージ・アカウント・キー の認証が含まれます。

   1. Azure ポータルにログインします。 (https://portal.azure.com)
   2. ダッシュボードの 「すべてのリソース」 セクションで、 「ストレージ・アカウント」を選択します。
   3. 「すべてのタイプ」 リストから、 「すべて選択」を無効にします。 フィルター項目の検索ボックスで、 Storage Accountsと入力し、リストから 「ストレージ・アカウント」 を選択します。
   4. 「ストレージ・アカウント」 メニューから、 「アクセス・キー」を選択します。
   5. ストレージ・アカウント名の値を記録します。 IBM QRadarでログ・ソースを構成する場合は、 Storage Account Name パラメーター値にこの値を使用します。
   6. キー 1 または キー 2 セクションから、以下の値を記録します。
      • キー - QRadarでログ・ソースを構成するときに、この値を Storage Account Key パラメーター値に使用します。
      • 接続ストリング - QRadarでログ・ソースを構成するときに、この値をStorage Account Connection Stringパラメーター値に使用します。
        例:

        DefaultEndpointsProtocol=https;AccountName=[Storage Account Name]
        ;AccountKey=[Storage Account Key];EndpointSuffix=core.windows.net

        ほとんどのストレージ・アカウントでは、エンドポイント接尾部として core.windows.net が使用されますが、この値はその場所によって異なる場合があります。 例えば、政府関連のストレージ・アカウントではエンドポイント接尾部の値が異なる場合があります。 ストレージ・アカウントに接続するには、「ストレージ・アカウント名 (Storage Account Name)」および「ストレージ・アカウント・キー (Storage Account Key)」の値を使用するか、「ストレージ・アカウント接続文字列 (Storage Account Connection String)」の値を使用できます。 キー 1 またはキー 2 を使用できます。

      QRadar は、提供されたストレージ blob 内に qradar という名前のコンテナーを作成します。

      ヒント: Azure Event Hubs SDK を使用すると、 QRadar は、構成済みのストレージ・アカウント Blob 内のコンテナーを使用して、イベント・ハブからのイベントのコンシュームを追跡します。 トラッキング・データを保管するために qradar という名前のコンテナーが自動的に作成されます。または、コンテナーを手動で作成することもできます。
3. 共有アクセス・シグニチャー (SAS) を生成します。
   このメソッドを使用して、ストレージ・アカウントにアクセスするための特定の許可をログ・ソースに付与する値を取得します。
   1. Azure ポータルにログインします。 (https://portal.azure.com)
   2. ダッシュボードの 「すべてのリソース」 セクションで、 「ストレージ・アカウント」を選択します。
   3. 「すべてのタイプ」 リストから、 「すべて選択」を無効にします。 フィルター項目の検索ボックスで、 Storage Accountsと入力し、リストから 「ストレージ・アカウント」 を選択します。
   4. 「ストレージ・アカウント」 メニューから、 「共有アクセス・シグニチャー」を選択します。
   5. 以下の許可を使用して SAS を構成します。
      重要: これらの権限は、 QRadar が Microsoft Azureにアクセスできるようにするために SAS に付与する必要がある最小限の権限です。 SAS にさらに許可を与えることができます。

      権限	値
      許可されたサービス	Blob
      許可されるリソース・タイプ	コンテナー オブジェクト
      許可される許可	読み取り 書き込み 削除 リスト

   6. 「SAS および接続ストリングの生成」をクリックします。
   7. 以下の値を記録します。
      共有アクセス・シグニチャー -この値は、 QRadarでログ・ソースを構成するときに Storage Account Connection String パラメーター値に使用します。

      例:

      BlobEndpoint=[BlobEndpoint];QueueEndpoint=[QueueEndpoint];FileEndpoint=[FileEndpoint];TableEndpoint=[TableEndpoint];SharedAccessSignature=[Access Signature]

4. Microsoft Azure イベント・ハブ接続ストリングを取得します。

   イベント・ハブ接続ストリングには「名前空間名 (Namespace Name)」、名前空間内のイベント・ハブへのパス、および Shared Access Signature (SAS) 認証情報が含まれます。

   1. Azure ポータル (https://portal.azure.com) にログインします。
   2. ダッシュボードの 「すべてのリソース」 セクションで、イベント・ハブを選択します。 QRadarでログ・ソースを構成するときに Namespace Name パラメーター値として使用するために、この値を記録します。
   3. 「エンティティー」 セクションで、 「イベント・ハブ」を選択します。 QRadarでログ・ソースを構成するときに Event Hub Name パラメーター値として使用するために、この値を記録します。
   4. 「すべてのタイプ」 リストから、 「すべて選択」を無効にします。 「フィルター項目 (filter items)」 検索ボックスで、 event hubと入力し、リストから 「イベント・ハブ名前空間 (Event Hubs Namespace)」 を選択します。
   5. 「イベント ハブ (Event Hub)」セクションで、使用するイベント・ハブをリストから選択します。 QRadarでログ・ソースを構成するときにイベント・ハブ名パラメーター値として使用するために、この値を記録します。
   6. 「設定」 セクションで、 「共有アクセス・ポリシー」を選択します。
      重要: 「エンティティー (Entities)」セクションで、「コンシューマー・グループ (Consumer Groups)」オプションがリストされていることを確認してください。 Event Hubs がリストされている場合、ステップ c に戻ります。

      1. Listen CLAIMを含む POLICY を選択します。 QRadarでログ・ソースを構成するときにSAS Key Nameパラメーター値として使用するために、この値を記録します。
      2. 以下のパラメーターの値を記録します。

         1 次キーまたは 2 次キー

         QRadarでログ・ソースを構成するときは、SAS Keyパラメーター値の値を使用します。 「プライマリ キー」と「セカンダリ キー」は、機能的には同じです。

         接続ストリング 1 次キーまたは接続ストリング 2 次キー

         QRadarでログ・ソースを構成するときに、この値を Event Hub Connection String パラメーター値に使用します。 「接続文字列 - プライマリ キー」と「接続文字列 - セカンダリ キー」は機能的に同じです。

         例:

         Endpoint=sb://[Namespace Name].servicebus.windows.net
         /;SharedAccessKeyName=[SAS Key Name];SharedAccessKey=[SAS Key];
         EntityPath=[Event Hub Name]

         「名前空間名 (Namespace Name)」、「イベント・ハブ名 (Event Hub Name)」、「SAS キー名 (SAS Key Name)」、および「SAS キー (SAS Key)」の値を使用するか、「イベント・ハブ接続ストリング (Event Hub Connection String)」値を使用してイベント・ハブに接続できます。

5. 「エンティティー」 セクションで、 「コンシューマー・グループ」を選択します。 QRadarでログ・ソースを構成するときに Consumer Group パラメーター値に使用する値を記録します。
   重要: 自動的に作成される $Default コンシューマー・グループは使用しないでください。 使用中でない既存のコンシューマー・グループを使用するか、新規コンシューマー・グループを作成してください。 各コンシューマー・グループは、 QRadarなどの 1 つのデバイスでのみ使用する必要があります。