Splunk ヘビー・フォワーダーから QRadar へのデータの転送

Splunk インスタンスをアプリケーションに追加した後、 Splunk ヘビー・フォワーダーから QRadar®に生データを転送するようにアプリケーションを構成する必要があります。

1. Splunk 「インスタンス」 タブで、 Splunk インスタンスを展開して、使用可能なデータ・ソース・タイプのリストを表示します。 選択する Splunk インスタンスのリストを絞り込むには、ロケーション、説明、またはソース・タイプに基づいてインスタンスを検索します。
   Splunk インスタンスではソース・タイプの定義はオプションであるため、データ・ソースがソース・タイプに属していない場合は、リストの「未定義」にリストされます。 ソース・タイプはリストにリンクとして表示され、関連するデータ・ソースが表示されます。
2. 各 Splunk インスタンスのデータ・ソースを調査して、 QRadarに転送するソースを決定します。
3. ヘビー・フォワーダーであるデータ・ソースを転送するには、それらを個別に選択するか、 「 QRadarに転送」を選択します。
   ヘビー・フォワーダーには、次の状態があてはまります。

   • 個別のデータ・ソース・タイプを選択するか、「すべて選択」をクリックすることができます。 「すべて選択」オプションでは、「未定義」ソース・タイプは選択されません。 「未定義」ソース・タイプを別のウィンドウで分析してから、 QRadarに転送するソース・タイプを選択する必要があります。
   • 各ソース・タイプまたはソース名で、個別のソース名を選択するか、「すべて選択」をクリックすることができます。
   • 「追加」をクリックする前に 「クリア」 をクリックできます。 転送リストにソース・タイプを追加した後で、選択内容をクリアすることはできません。 転送リストからソース・タイプとデータ・ソースをクリアするには、前方 をクリックし、確認windowで 削除 をクリックしてください。
   • すべてのソース・タイプまたはデータ・ソースが選択されます。 ただし、新しいソース・タイプまたはデータ・ソースが後で追加された場合、それらは転送されません。 この場合は、代わりに「QRadar にすべて転送 (Forward All to QRadar)」オプションを使用します。

     例:ヘビー・フォワーダーは、src_typ_a、src_typ_bおよび src_typ_cを監視します。

     「すべて選択」 オプションを選択すると、 Splunk は src_typ_a、 src_typ_b、および src_typ_c を QRadarに転送します。 ただし、後で src_typ_d を追加した場合、 Splunk はそれを QRadarに自動的に転送しません。アプリケーションを使用して追加する必要があります。

     「すべてを QRadar オプションを選択した場合、 Splunk は src_typ_a、 src_typ_b、および src_typ_c を QRadarに転送し、 src_typ_d を後で追加した場合、 Splunk は自動的にそれを QRadarに転送します。

4. 転送するデータ・ソースを選択し、 追加 > 順方向をクリックします。
   転送キューから選択をクリアして再び開始するには、「X」アイコンをクリックします。

   特定条は、フォワーダーの選択 ページに概説されています。 続行する前に、クリックしてこれらの条件に同意する必要があります。同意しない場合は、転送リストからヘビー・フォワーダーを削除する必要があります。 同意または削除の選択をした後で、「ステップ 2: QRadar のポートの設定 (Step 2: Set Port for QRadar)」をクリックします。

5. 「 QRadarのポートの設定」 ページで、 Splunk インスタンスごとに QRadar コンソールの IP アドレスと TCP ポート番号を設定し、 「設定」をクリックします。 Windows ベースの送信元があれば、選択用の構成オプションと共に表示されます。
   ヒント:

   • 通常は、ポート 514 を使用してデータを QRadarに転送します。 TCP 複数行イベントを転送するには、ポート 12468 を使用します。
   • 転送するかどうかを判断する前に、「プレビュー」をクリックして、データ・ソースの内容を表示します。 このビューは、非管理ユーザーが情報をコピーし、 Splunk インスタンスを変更するために管理者に送信する場合に役立ちます。 データをクリップボードにコピーした後で、該当するファイル (props.conf、transforms.conf、outputs.conf) を変更します。
   • QRadar App for Splunk Data Forwarding で Windows ベースのソースが検出されたが、検出されなかった場合でも、ログをポート 514 に転送できます。
6. QRadar App for Splunk Data Forwarding が Windows ソースとして検出した Splunk ソースごとに、以下のいずれかの構成オプションを選択します。
   • QRadar コンソールでログ・ソースを作成する場合は、 「 QRadarで Windows ログ・ソースを自動的に作成」を選択します。
   • ログ・ソースをゲートウェイ・ログ・ソースとして作成するには、「ログ・ソースをゲートウェイとして作成する (各種送信元からの着信ログを識別するため) (Configure log source as a gateway (to identify logs coming in from various sources))」を選択します。
   • QRadarでログ・ソースを手動で作成する場合は、 ログ・ソースの追加を参照してください。
7. ポートのセットアップが完了したら、 セット > ステップ 3: 終了 > 終了 をクリックします。
   Splunk が QRadarへのデータの転送を開始する前に、アプリケーションで Splunk インスタンスを再始動する必要があります。 「完了」をクリックし、 Splunk インスタンスの再始動後に 「クローズ」 をクリックします。
8. Splunk インスタンスのユーザー名またはパスワードを変更する必要がある場合は、 「編集」をクリックします。 IP アドレスやポート番号を変更することはできません。
9. Splunk による QRadarへのデータ転送を停止するには、 「転送されたデータ・ソース」 タブに移動し、該当する Splunk インスタンスを選択して、 「転送の停止」をクリックします。