Splunk Universal Forwarder から QRadar へのデータの転送

Splunk インスタンスをアプリケーションに追加した後、 Splunk Universal forwarder から QRadar®に生データを転送するようにアプリケーションを構成する必要があります。

1. Splunk 「インスタンス」 タブで、 Splunk インスタンスを展開して、使用可能なデータ・ソース・タイプのリストを表示します。 選択する Splunk インスタンスのリストを絞り込むには、ロケーション、説明、またはソース・タイプに基づいてインスタンスを検索します。
   Splunk インスタンスではソース・タイプの定義はオプションであるため、データ・ソースがソース・タイプに属していない場合は、リストの「未定義」にリストされます。 ソース・タイプはリストにリンクとして表示され、関連するデータ・ソースが表示されます。
2. 各 Splunk インスタンスのデータ・ソースを調査して、 QRadarに転送するソースを決定します。
3. ユニバーサル・フォワーダーであるデータ・ソースを転送するには、 「すべてを QRadarに転送」を選択します。
4. 転送するデータ・ソースを選択し、 追加 > 順方向をクリックします。
   転送キューから選択をクリアして再び開始するには、「X」アイコンをクリックします。
5. 「 QRadarのポートの設定」 ページで、 Splunk インスタンスごとに QRadar コンソールの IP アドレスと TCP ポート番号を設定し、 「設定」をクリックします。 Windows ベースの送信元があれば、選択用の構成オプションと共に表示されます。
   ヒント:

   • 通常は、ポート 514 を使用してデータを QRadarに転送します。 TCP 複数行イベントを転送するには、ポート 12468 を使用します。
   • 転送するかどうかを判断する前に、「プレビュー」をクリックして、データ・ソースの内容を表示します。 このビューは、非管理ユーザーが情報をコピーし、 Splunk インスタンスを変更するために管理者に送信する場合に役立ちます。 データをクリップボードにコピーした後で、該当するファイル (props.conf、transforms.conf、outputs.conf) を変更します。
   • QRadar App for Splunk Data Forwarding で Windows ベースのソースが検出されたが、検出されなかった場合でも、ログをポート 514 に転送できます。
6. QRadar App for Splunk Data Forwarding が Windows ソースとして検出した Splunk ソースごとに、以下のいずれかの構成オプションを選択します。
   • QRadar コンソールでログ・ソースを作成する場合は、 「 QRadarで Windows ログ・ソースを自動的に作成」を選択します。
   • ログ・ソースをゲートウェイ・ログ・ソースとして作成するには、「ログ・ソースをゲートウェイとして作成する (各種送信元からの着信ログを識別するため) (Configure log source as a gateway (to identify logs coming in from various sources))」を選択します。
   • QRadarでログ・ソースを手動で作成する場合は、 ログ・ソースの追加を参照してください。
7. ポートのセットアップが完了したら、 セット > ステップ 3: 終了 > 終了 をクリックします。
   Splunk が QRadarへのデータの転送を開始する前に、アプリケーションで Splunk インスタンスを再始動する必要があります。 「完了」をクリックし、 Splunk インスタンスの再始動後に 「クローズ」 をクリックします。
8. オプション: Splunk インスタンスのユーザー名またはパスワードを変更する必要がある場合は、 「編集」をクリックします。 IP アドレスやポート番号を変更することはできません。
9. オプション: Splunk による QRadarへのデータ転送を停止するには、 「Forwarded Data Sources」 タブに移動し、関連する Splunk インスタンスを選択して、 「Stop Forwarding」をクリックします。