Universal CEF イベントのイベント・マッピングの構成

Universal CEF イベントには、セキュリティー・イベントをカテゴリー化するための事前定義 QRadar Identifier (QID) マップが含まれていません。 Universal CEF ログ・ソースから不明のイベントを検索し、それらを上位カテゴリーおよび下位カテゴリーにマップする必要があります。

始める前に

QRadarで、Universal CEF DSM をインストールし、そのログ・ソースを追加したことを確認します。

このタスクについて

Universal CEF DSM では、デフォルトでは、すべてのイベントが「不明」として分類されます。すべての Universal CEF イベントで、「ログ・アクティビティー」タブの「イベント名」列および「下位カテゴリー」列には、値として「不明」が表示されます。デバイスの各イベントを QRadarのイベント・カテゴリーに個別にマップするには、QID マップを変更する必要があります。イベントをマップすることにより、 QRadar は、ネットワーク・デバイスからのイベントを識別、統合、および追跡することができます。

イベント・マッピングについて詳しくは、 IBM QRadar User Guideを参照してください。

手順

QRadarにログインします。
「ログ・アクティビティー」タブをクリックします。
「フィルターの追加」をクリックします。
最初のリストから、「ログ・ソース」を選択します。
「ログ・ソース・グループ」リストから、「その他」を選択します。
「ログ・ソース」リストから、Universal CEF ログ・ソースを選択します。
「フィルターの追加」をクリックします。
「表示」リストから、「直近 1 時間」を選択します。
オプション: 「条件の保存」をクリックして、既存の検索フィルターを保存します。
「イベント名」列で、Universal CEF DSM の不明なイベントをダブルクリックします。
「イベントのマップ」をクリックします。
「QID の参照 (Browse for QID)」ペインから、以下のいずれかの検索オプションを選択して、 QRadar Identifier (QID) のイベント・カテゴリーを絞り込みます。
- 「上位カテゴリー」リストから、上位イベント・カテゴリーを選択します。上位イベント・カテゴリーと下位イベント・カテゴリー、またはカテゴリー定義の完全なリストについては、 IBM QRadar Administration Guideの「イベント・カテゴリー」セクションを参照してください。
- 「下位カテゴリー」リストから、下位イベント・カテゴリーを選択します。
- 「ログ・ソース・タイプ」リストから、ログ・ソース・タイプを選択します。
  ヒント: ログ・ソースによる QID の検索は、Universal CEF DSM からのイベントが別の既存のネットワーク・デバイスと類似している場合に役立ちます。例えば、Universal CEF がファイアウォール・イベントを提供する場合、類似するイベントをキャプチャーする可能性のある別のファイアウォール製品として Cisco ASA を選択します。
- 名前で QID を検索するには、「QID/名前」フィールドに名前を入力します。
「検索」をクリックします。
不明な Universal CEF DSM イベントに関連付ける QID を選択して、「OK」をクリックします。