バルク・ログ・ソースの追加

QRadar Log Source Management アプリケーションを使用して、複数のログ・ソースを IBM QRadar に同時に追加します。 ログ・ソースは必要な数だけ追加できます。

QRadar V7.3.0 以前を使用している場合は、 「ログ・ソース」アイコンを使用することによってのみ、 QRadar でログ・ソースを追加できます。

QRadar 7.5.0 Update Package 4 以降では、 「ログ・ソース」 アイコンをクリックすると、 QRadar Log Source Management アプリケーションが開きます。

手順

  1. QRadar Log Source Management アプリケーションで、 「+ 新規ログ・ソース (+ New Log Source)」 をクリックし、 「複数のログ・ソース (Multiple Log Sources)」をクリックします。
  2. 「ログ・ソース・タイプの選択」 ページで、ログ・ソース・タイプを選択し、 「プロトコル・タイプの選択」をクリックします。
  3. 「プロトコル・タイプの選択」 ページで、プロトコル・タイプを選択し、 「共通のログ・ソース・パラメーターの構成」をクリックします。
  4. 「共通のログ・ソース・パラメーターの構成」 ページで、すべてのログ・ソースに対して設定するパラメーターを構成します。
  5. ログ・ソース・パラメーター値が異なるログ・ソースがある場合は、該当するチェック・ボックスをクリアして、 「共通プロトコル・パラメーターの構成」をクリックします。
  6. 「共通プロトコル・パラメーターの構成」 ページで、すべてのログ・ソースに対して設定するプロトコル固有のパラメーターを構成します。
  7. 異なるプロトコル・パラメーター値を持つログ・ソースがある場合は、該当するチェック・ボックスをクリアして、 「個々のパラメーターの構成」をクリックします。
  8. 「個々のパラメーターの構成」 ページで、個々のログ・ソース・パラメーター値を含む CSV ファイルをアップロードし、 「追加」をクリックします。
    ハッシュタグ (#) で始まる空の行とコメント行を除いて、ログ・ソースは、このファイルの行ごとに作成されます。各行には、ログ・ソース ID フィールドのパラメーター値のコンマ区切りリスト、およびその他の遅延パラメーターが、遅延パラメーター表に示されている順序で含まれている必要があります。
  9. 「一括テンプレート」 をクリックして、ファイル・テンプレートをダウンロードし、構成するパラメーターを順に追加します。
    例えば、「有効」パラメーターと「グループ」パラメーターを据え置きした場合は、CSV ファイルに以下の値が含まれている必要があります。
    Enabled, Groups, Log Source Identifier

    パラメーターにコンマを含める場合は、その値を二重引用符で囲んでください。

  10. CSV ファイルをアップロードしない場合は、以下のようにします。
    1. 延期したパラメーターの値を指定するには、 「手動」 をクリックします。
    2. 新規ログ・ソースごとに 「ログ・ソース ID」 を入力し、 「追加」をクリックします。
  11. 「終了」をクリックします。

次に実行するタスク

ログ・ソースをテストします。 詳しくは、 ログ・ソースのテスト を参照してください。

ログ・ソース・アイコンを使用したバルク・ログ・ソースの追加

一度に最大 500 個のログ・ソースを追加できます。 一度に複数のログ・ソースを追加する場合は、QRadar に一括ログ・ソースを追加します。 バルク・ログ・ソースは、共通の構成を共有する必要があります。

QRadar V7.3.0 以前を使用している場合は、 「ログ・ソース」 アイコンを使用することによってのみ、 QRadar でログ・ソースを追加できます。

QRadar V7.3.1 を V7.3.3に使用している場合は、 QRadar Log Source Management アプリケーションを使用してログ・ソースを追加することもできます。

手順

  1. 「管理」 タブで、 「ログ・ソース」をクリックします。
  2. 「一括アクション」 リストから、 「一括追加」を選択します。
  3. 「バルク・ログ・ソース」 ウィンドウで、バルク・ログ・ソースのパラメーターを構成します。
  4. オプション: 「有効」 チェック・ボックスを選択して、ログ・ソースを有効にします。 このチェック・ボックスはデフォルトで選択されています。
  5. オプション: 「イベントの統合」 チェック・ボックスを選択して、ログ・ソースがイベントを統合 (バンドル) できるようにします。 自動的にディスカバーされたログ・ソースは、 「管理」 タブの 「システム設定」 ウィンドウの 「イベントの統合」 リストで構成されたデフォルト値を使用します。 ただし、新規ログ・ソースを作成するか、自動的に検出されたログ・ソースの構成を更新する際に、各ログ・ソースに対してこのチェック・ボックスを構成することで、デフォルト値をオーバーライドできます。 詳しくは、 IBM QRadar Administration Guideを参照してください。
  6. オプション: 「イベント・ペイロードの保管」 チェック・ボックスを選択して、 QRadar によるイベント・ペイロードの保管を有効または無効にします。 自動的にディスカバーされたログ・ソースは、 「管理」 タブの 「システム設定」 ウィンドウの 「イベント・ペイロードの保管」 リストのデフォルト値を使用します。 新規ログ・ソースを作成するか、自動的に検出されたログ・ソースの構成を更新する際に、各ログ・ソースに対してこのチェック・ボックスを構成することで、デフォルト値をオーバーライドできます。 詳しくは、 IBM QRadar Administration Guideを参照してください。
  7. 以下のいずれかの方法でログ・ソースをアップロードします。
    • ファイル・アップロード - 1 行に 1 つのホスト名または IP が含まれるテキスト・ファイルをアップロードします。

      テキスト・ファイルには、行ごとに 1 つの IP アドレスまたはホスト名が入力されている必要があります。 IP アドレスの後に余分な文字が追加されている場合や、ホスト名が 255 文字を超える場合は、テキスト・ファイルから値がバイパスされることがあります。 ファイル・アップロードでは、バルク・ログ・ソースとして追加されたすべての IP アドレスまたはホスト名の要約がリストされます。

    • 手動 - 追加するホストのホスト名または IP を入力します。
  8. 「追加」 > 「保存」をクリックします。
    注: デフォルトでは、ホスト・リスト内のログ・ソースごとにチェック・ボックスが選択されています。 ログ・ソースを無視する場合は、このチェック・ボックスをクリアします。 重複するホスト名や IP アドレスは無視されます。
  9. ログ・ソースを追加するには、 「続行」 をクリックします。
  10. 「管理」 タブで、 「変更のデプロイ」をクリックします。