QRadar と通信するための IBM Disconnected Log Collector の構成

イベントを IBM QRadarに転送するには、Disconnected Log Collector (DLC) コンソールで構成ファイルを編集する必要があります。

始める前に

IBM® Disconnected Log Collectorは、イベントを収集してQRadarに転送するように構成する必要があります。 詳しくは、 IBM Disconnected Log Collector 資料 (https://www.ibm.com/support/knowledgecenter/SS42VS_SHR/com.ibm.dlc.doc/c_dlc_overview.html) を参照してください。

このタスクについて

IBM Disconnected Log Collector 1.5 は、いくつかのメトリック・イベントを QRadar に送信して、Disconnected Log Collector からのいくつかの重要な統計をモニターします。 Disconnected Log Collector は、1 分ごとに 1 回、3 つのメトリック・イベントを送信します。

以下の表では、 QRadarに送信される 3 つのメトリック・イベント・タイプについて説明します。
表 1. QRadar に送信されるメトリック・イベント・タイプ
コンポーネント名 メトリック ID 説明
EventProcessingFilterQueue SpillFilesCount 着信イベント・レートがイベントの処理能力を超える場合は、このカウントが増加します。
ecs-dlc_dlc_TCP_TO_QRADAR SpillFilesCount DLC が切断されている場合、または着信イベント・レートが DLC の発信 EPS 設定を超える場合は、このカウントが増加します。
Source Monitor EventRate DLC によって収集された最新の eps レート。

手順

  1. Disconnected Log コンソールにログインします。 ファイルを編集してサービスを再始動するための権限が必要です。
  2. /opt/ibm/si/services/dlc/conf/config.json ファイルに移動します。
  3. 行 "DLCMetricsEventsEnabled":false" を "DLCMetricsEventsEnabled":true"に変更してから、変更を保存します。
  4. Disconnected Log Collector サービスを再始動するために、以下のコマンドを入力します。

    systemctl restart dlc

次に実行するタスク

QRadar でログ・ソースが自動的に検出されなかった場合は、 QRadar Consoleで転送ログ・ソースを追加します。