TAXII フィード・サーバーに接続できない

IBM® QRadar® Threat Intelligence は TAXII フィード・サーバーに接続できません。 Docker コンテナー内で curl コマンドを実行し、要求をシミュレートすることで、接続の可用性をテストできます。

1. SSH を使用して root ユーザーとして QRadar コンソールにログインし、以下のコマンドを実行して QRadar Threat Intelligence アプリケーションの Docker コンテナーを判別します。

   /opt/qradar/support/qappmanager

2. SSH を使用して、 QRadar Threat Intelligence アプリケーションがインストールされている管理対象ホストに root ユーザーとしてログインし、次のコマンドを実行して Docker コンテナーにログインします。

   # /opt/qradar/support/recon connect <app-id>

   注: 管理対象ホストは、 QRadar アプリケーション・ホストまたはコンソールにすることができます。
3. エンコードされたユーザー名とパスワードを取得するには、 QRadarの base64 コマンドに API キーとパスワードを入力します。 コマンド・ラインbase64ツールから、以下の形式で、APIキーとパスワードを入力します。

   echo -n '<API_Key>:<password>' | base64 -w 0

4. 以下のコマンドで、 {base64Encoded string} を、エンコードされたユーザー名とパスワードに置き換えてから、コマンドを実行します。

   curl -k -v -X POST \
     -L https://api.xforce.ibmcloud.com/taxii \
     -H 'accept: application/xml' \
     -H 'authorization: Basic  {base64Encoded string} ' \
     -H 'content-type: application/xml' \
     -H 'x-taxii-accept: urn:taxii.mitre.org:message:xml:1.1' \
     -H 'x-taxii-content-type: urn:taxii.mitre.org:message:xml:1.1' \
     -H 'x-taxii-protocol: urn:taxii.mitre.org:protocol:http:1.0' \
     -H 'x-taxii-services: urn:taxii.mitre.org:services:1.1' \
     -d '<taxii_11:Discovery_Request xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
         xmlns:taxii_11="http://taxii.mitre.org/messages/taxii_xml_binding-1.1" 
         xsi:schemaLocation="http://taxii.mitre.org/messages/taxii_xml_binding-1.1 
         http://taxii.mitre.org/messages/taxii_xml_binding-1.1"  message_id="123" />'

   この例では、XFEフィードがコマンドで使用されていますが、必要に応じて置き換えることができます。 -k フラグは、サーバー証明書を無視するように QRadar に指示します。

   コマンドが失敗する場合は、TAXII サーバーへの直接接続がない可能性があります。 ステップ3に進み、TAXIIサーバーへのアクセス権限を持つDockerコンテナーからアクセス可能なプロキシー・サーバーを使用してみてください。

5. オプション: 次のコマンドでは、 http (s): // username:password@ip:port/ 変数でユーザー名とパスワードを使用してから、コマンドを実行します。

   curl -k -v -X POST \
     -x " http://username:password@proxyip:proxyport " \
     -L https://api.xforce.ibmcloud.com/taxii \
     -H 'accept: application/xml' \
     -H 'authorization: Basic {base64Encoded string}' \
     -H 'content-type: application/xml' \
     -H 'x-taxii-accept: urn:taxii.mitre.org:message:xml:1.1' \
     -H 'x-taxii-content-type: urn:taxii.mitre.org:message:xml:1.1' \
     -H 'x-taxii-protocol: urn:taxii.mitre.org:protocol:http:1.0' \
     -H 'x-taxii-services: urn:taxii.mitre.org:services:1.1' \
     -d '<taxii_11:Discovery_Request xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
         xmlns:taxii_11="http://taxii.mitre.org/messages/taxii_xml_binding-1.1" 
         xsi:schemaLocation="http://taxii.mitre.org/messages/taxii_xml_binding-1.1 
         http://taxii.mitre.org/messages/taxii_xml_binding-1.1"  message_id="123" />'