ユニバーサル・フォワーダーとヘビー・フォワーダー

データ転送の仕組み

QRadar App for Splunk Data Forwarding が最初に Splunk インスタンスに接続するときに、アプリケーションはそのインスタンスに関するすべてのデータを収集してデータベースに保管します。これは、アプリケーションのメモリーが制限されているためです。 すべてのコンテンツ取得は、アプリケーション・データベースから実行されます。 アプリケーション・データベース内で使用可能な最新のソース・データでアプリケーションを更新するには、「最新表示」アイコンをクリックします。 個々の Splunk インスタンスを同期するには、 「同期」 をクリックします。 アプリケーションは、サーバーに再接続し、ソース・データを再収集します。

Splunkから Microsoft Windows イベントを転送する場合は、 Splunk アプライアンスから転送された Windows イベントの収集を参照してください。 (https://www.ibm.com/docs/en/qsip/7.5?topic=splunk-collecting-windows-events-that-are-forwarded-from). QRadar App for Splunk Data Forwarding 3.0.0 以降でも Windows イベント収集がサポートされています。 TCP 複数行ポートが QRadar のポート 12438 で構成されていることを確認します。

ユニバーサル・フォワーダー

Splunk Universal Forwarder は、イベント内容に基づいてデータを経路指定することができません。解析されていないデータのみを転送できます。 データを QRadarに転送する場合は、すべてのデータを転送する必要があります。

ヘビー・フォワーダー

ヘビー・フォワーダーからデータを転送することを選択した場合、 Splunk インストール済み環境の apps ディレクトリーに、 qradar_forwarding_app という ID のアプリが作成されます。 このアプリケーションには、データを Splunk から QRadarに転送する方法を決定する最大 3 つの構成ファイル (props.conf、 transforms.conf、 outputs.conf) が含まれています。

• デフォルトの転送グループがある場合、transforms.confとprops.confファイルでアプリ加えられた変更によって、既存の転送機能が置き換えられる可能性があります。 転送グループがリストされているヘビー・フォワーダーに対しては、警告ページが表示されます。
• データが転送されない場合は、以下のいずれかの条件に該当するかどうかを確認します。
  1. 競合しているルールの内、優先順位が高い構成ファイルのルールが優先されている可能性があります。 競合しないようにルールを書き直すことができます。
  2. Splunk 構成ファイル内の不許可リストが原因で、データが無視される可能性があります。
  3. それでもデータが予期したとおりに転送されない場合は、 Splunk Enterprise の資料 (https://docs.spunk.com/Documentation/Splunk) を参照してください。
• 内部ログが転送された場合、未許可リスト設定がoutputs.conf構成ファイルに書き込まれるため、それらのログは転送されなくなります。