QRadar App for Splunk Data Forwarding の新機能

アプリケーションの各リリースの新機能について説明します。

バージョン 3.3.0

App Framework SDKバージョン2を使うように、アプリケーションがアップグレードされました。

QRadar® 認証トークンが暗号化されました。 Splunkインスタンス詳細保管用暗号化アルゴリズムがアップグレードされました。

バージョン 3.2.0

検証されていない認定により、構成ページで認証トークンが失敗するという障害が修正されました。

バージョン 3.1.0

ユーザー・インターフェースの向上には、次の変更点があります。
  • フォント、マージン、およびエレメントが、チェック・ボックスとボタン全体にわたって一貫性のあるサイズになります。
  • Mozilla Firefox および Microsoft Internet Explorerでメッセージとフィールド値が正しく表示されることを確認します。
  • プレビュー専用モードの削除ボタンにツールチップが追加されます。
  • タブの切り替え時のボタンの動作が向上します。

使いやすさの向上には、次の変更点があります。

  • ワークフロー・ステップのインディケーターに、「ポートの設定」と「終了」の間で選択したステップが「転送の開始」と表示されます。
  • ソース名の下に表示されるメッセージに、現在のタブから「転送されたデータ・ソース (Forwarded Data Sources)」に切り替えるためのリンクが含められます。

CWE 上位 25 件の脆弱性に含まれる不正な証明書検証に関する CWE-295 への対応で、セキュリティーが向上しました。

バージョン 3.0.0

ユーザー・インターフェースの向上

  • 「Splunk インスタンス (Splunk Instances)」 タブの「転送」ボタンが有効になっている場合、新しい「X」ボタンを使用して転送キューをクリアできます。
  • Windows ソース名はアスタリスクで識別されます。

ユーザビリティーの向上

  • 目的のイベント・コレクターが選択ボックスに表示されていない場合、転送宛先を手動で入力できます。
  • Windows ベースのログ・ソースの転送がアプリによって処理されるようになりました。 QRadar App for Splunk Data Forwarding は、 QRadar 上に Windows Multiline Event ログ・ソースを作成して、Windows ログ・ソースからのイベントを識別します。 このログ・ソースをゲートウェイとして構成して、複数のソースから着信するログを識別することもできます。 詳しくは、 Splunk Universal Forwarders から QRadarへのデータの転送を参照してください。

サポートの機能拡張

  • QRadar on Cloud のサポートが追加されました。
  • グローバリゼーション・サポートが組み込まれました。

バージョン 2.0.0

  • ユーザー・インターフェースの向上
    • 単一または複数のインスタンスを追加するには、マルチボタン機能を使用して新しい Splunk インスタンスを追加します。
    • サイド・ペインから、新規インスタンスの追加や既存のインスタンスの変更ができます。
    • 各インスタンスの直近の最新表示がメインペインに表示されます。
    • ページ編集がアップグレードされ、一度に 10 個を超えるインスタンスを表示できるようになりました。
    • Splunk インスタンスを削除すると、 「削除」 が 「削除」 に名前変更されます。
    • 新しいワークフロー設計により、 Splunk データを IBM® QRadarに転送しやすくなりました。
  • 「フィルター」ボタンが除去され、2 つのフィルター・ボックスがマージされて、場所、説明、送信元タイプに基づいてインスタンスを動的に検索する 1 つの機能になりました。
    ヒント: 結果を絞り込むために、スペースで区切られた複数の値を検索できます。 例えば、IP 範囲「10.35」にある送信元タイプ「WinEventLogs」の「Universal Forwarder」を検索したいとします。 検索照会に 10.35 Universal Forwarder WinEventLogs と入力すると、条件を満たす対応する Splunk インスタンスが表示されます。
  • デフォルトの 8089 ポートとは異なるポートで実行される新しい Splunk インスタンスを追加するときに、 Splunk のポート番号とその IP アドレスまたはホスト名を構成する機能が追加されました。
  • アプリケーションが Splunk インスタンスから QRadarへのデータの転送を開始および停止するときに実行するステップを表示する機能が追加されました。
  • アプリケーションは、アプリケーション内でのユーザー・アクティビティーについての監査イベント・ログを生成します。
  • ヘビー・フォワーダーのすべてを QRadar に転送する機能が削除されました。

バージョン 1.1.0

  • 構成済みの Splunk インスタンスからデータを同期化する操作をより適切に反映するために、「リフレッシュ」機能の名前が 「同期」 に変更されました。
  • Splunk Sources データの自動同期を構成できるようになりました。 構成ページで 「自動同期」 機能を有効にすると、アプリケーションは、 Splunk Enterprise または Splunk Universal Forwarder の構成済みインスタンスに定期的に接続し、使用可能な Splunk ソースのリストを同期化します。 自動同期および自動同期の時間間隔を構成できるのは、管理者だけです。
  • アプリケーションは、構成済みの Splunk インスタンスで追加または削除された Splunk ソースを強調表示するために、同期操作のたびに 通知 を生成して提供するようになりました。 アプリケーションの右上にあるベル・アイコンをクリックして、生成された通知を表示できます。 通知は、手動同期および自動同期のどちらの後でも生成されます。