VPC フロー・ログ・ソースの作成と編集

すべての Amazon AWS アカウントにわたる VPC フロー・ログの概要を確認し、現在セットアップされている QRadar® VPC フロー・ログ・ソースを確認し、これらのログ・ソースを表示または編集します。

1. 「 QRadar用に AWS サービスを構成するためのユーティリティー」 タブで、 「ログ・ソース」 > 「VPC フロー・ログ」をクリックします。
2. オプション: ログ・ソースを、対象となる地域の程度、または各ログ・ソースの警告やエラーによってフィルタリングします。 表示ページの左上にあるフィルター・アイコンをクリックして、「フィルター」サイドバーにアクセスします。
3. ログ・ソースを作成するには、 QRadar 「ログ・ソース」 列で 「作成」 をクリックし、使用する SQS キュー・オプション (既存または新規) を選択します。
4. 既存の SQS キューを使用する場合は、以下のステップを実行します。
   1. ログ・ソースを作成し、 「実行依頼」をクリックします。
5. SQS キューを作成する場合は、以下のステップを実行します。
   1. IBM Knowledge Center のリンクされている一連の説明に従います。
   2. 「最新表示」をクリックし、新しく作成した SQS キュー URLを選択してから、 「次へ」をクリックします。
   3. ログ・ソースを作成し、 「実行依頼」をクリックします。
6. オプション: ログ・ソースを編集するには、 QRadar 「ログ・ソース」 列でログ・ソース名のリンクをクリックし、 「編集」をクリックして、開く構成ウィンドウを完成させます。 終了したら、 「実行依頼」 をクリックします。
7. オプション: ログ・ソースを削除するには、 QRadar 「ログ・ソース」 列でログ・ソース名のリンクをクリックし、 「ログ・ソースの要約」で 「削除」 をクリックします。
   このアクションを元に戻すことはできません。
8. 予期されるフローが 「VPC フロー・ログ (VPC Flow Logs)」 タブに表示されない場合は、以下の手順を実行します。
   1. QRadar コンソールで、 「管理」 タブをクリックしてから、 「システム構成」 > 「システム設定」をクリックします。
   2. 「QFlow 設定」 メニューをクリックし、 「IPFix の追加フィールド・エンコード (IPFix additional field encoding)」 フィールドで、 TLV 形式または 「TLV およびペイロード (TLV and Payload)」 形式のいずれかを選択します。
   3. 「保存」をクリックします。
   4. 「管理」 タブのメニュー・バーで、 「すべての構成のデプロイ」 をクリックし、変更内容を確認します。
      警告: 完全な構成をデプロイすると、 QRadar サービスが再始動されます。 この間、イベントおよびフローは収集されず、オフェンスも生成されません。
   5. ブラウザーを最新表示します。