TLS ログ・ソースの構成

イベントを暗号化して QRadar®に送信するには、ポート 6514 で QRadar との通信を確立するために、TLS Syslog プロトコルを使用してログ・ソースを構成する必要があります。

手順

  1. QRadarにログインします。
  2. 「管理」 タブをクリックします。
  3. ナビゲーション・メニューで、 「データ・ソース」をクリックします。
  4. ログ・ソース > 「追加」をクリックします。
  5. 以下のパラメーターを構成します。
    表 1. WinCollect 10 宛先の TLS ログ・ソース
    パラメーター 説明
    プロトコル構成 TLS Syslog
    ログ・ソース ID ログ・ソースを識別する IP アドレスまたはホスト名。
    TLS listen ポート デフォルトの TLS listen ポートは 6514 です。
    認証モード TLS 接続が認証されるモード。 「TLS およびクライアント認証 (TLS and Client Authentication)」オプションを選択した場合は、証明書パラメーターを構成する必要があります。
    クライアント証明書パス (Client Certificate Path)

    ディスク上のクライアント証明書の絶対パス。 証明書は、このログ・ソースの QRadar コンソール または イベント・コレクター に保管されている必要があります。
    証明書タイプ サーバー証明書およびサーバー鍵での認証に使用する証明書のタイプ。
    「証明書タイプ (Certificate Type)」リストから、次のオプションのいずれかを選択します。
    • 生成された証明書
    • 単一の証明書と秘密鍵
    • PKCS12 証明書およびパスワード
    生成された証明書

    このオプションは、「証明書タイプ (Certificate Type)」を構成した場合に使用可能になります。

    サーバー証明書およびサーバー鍵に対して QRadar によって生成されたデフォルトの証明書および鍵を使用する場合は、このオプションを選択します。
    単一の証明書と秘密鍵

    このオプションは、「証明書タイプ (Certificate Type)」を構成した場合に使用可能になります。

    サーバー証明書に単一の PEM 証明書を使用する場合は、このオプションを選択してから、以下のパラメーターを構成します。
    • 提供されているサーバー証明書のパス (Provided Server Certificate Path) - サーバー証明書への絶対パス。
    • 提供された秘密鍵のパス (Provided Private Key Path) - 秘密鍵への絶対パス。
      注: 対応する秘密鍵は DER エンコードの PKCS8 鍵でなければなりません。 他の鍵形式の場合は、構成に失敗します。
    PKCS12 証明書およびパスワード

    このオプションは、「証明書タイプ (Certificate Type)」を構成した場合に使用可能になります。

    サーバー証明書とサーバー鍵が含まれている PKCS12 ファイルを使用する場合は、このオプションを選択してから、以下のパラメーターを構成します。
    • PKCS12 証明書のパス (PKCS12 Certificate Path) - サーバー証明書とサーバー鍵が含まれている PKCS12 ファイルのファイル・パスを入力します。
    • PKCS12 のパスワード （PKCS12 Password) - PKCS12 ファイルにアクセスするためのパスワードを入力します。
    • 証明書の別名 (Certificate Alias) - PKCS12 ファイル内に複数の項目がある場合、使用する項目を指定するために別名を指定する必要があります。 PKCS12 ファイルに別名が 1 つしかない場合は、このフィールドはブランクのままにします。
    ペイロードの最大長 (Max Payload Length) TLS Syslog メッセージに表示されるペイロードの最大長 (文字数)。
    最大接続数

    「最大接続数」 パラメーターは、TLS Syslog プロトコルが イベント・コレクターごとに受け入れることができる同時接続の数を制御します。 イベント・コレクターごとに、すべての TLS Syslog ログ・ソース構成で 1000 接続に制限されています。 各デバイス接続のデフォルトは 50 です。

    注: リスナーを別のログ・ソースと共有する、自動的にディスカバーされたログ・ソース。 例えば、同じイベント・コレクターで同じポートを使用する場合は、この制限に対して 1 回のみカウントされます。
    TLS プロトコル ログ・ソースにより使用される TLS プロトコル。 次のオプションのいずれかを選択します。
    • TLS 1.2 以上
    • TLS 1.1 以上
    • TLS 1.0 以上

    セキュリティーの脆弱性を回避するには、TLS 1.2 以降を使用します。
    ゲートウェイ・ログ・ソースとして使用 (Use As A Gateway Logsource)

    収集されたイベントを QRadar Traffic Analysis Engine を介して送信し、適切なログ・ソースを自動的に検出します。

    QRadar がイベントの正しいログ・ソースを検出/作成するためには、これを選択する必要があります。

    このオプションが選択されておらず、 「ログ・ソース ID パターン」 が構成されていない場合、 QRadar は、不明な汎用ログ・ソースとしてイベントを受信します。
    ログ・ソース ID パターン (Log Source Identifier Pattern)

    「ゲートウェイ・ログ・ソースとして使用 (Use As A Gateway Log Source)」を選択した場合は、このオプションを使用して、処理中のイベントと該当する場合に自動的に検出されるログ・ソースのカスタム・ログ・ソース ID を定義します。 「ログ・ソース ID パターン」を構成しない場合、 QRadar は、不明な汎用ログ・ソースとしてイベントを受信します。

    カスタム・ログ・ソース ID を定義するには、キーと値のペアを使用します。 このキーは ID フォーマット・ストリングであり、生成されたソース値またはオリジン値です。 この値は、現在のペイロードを評価するために使用される、関連付けられた正規表現パターンです。 この値は、キーをさらにカスタマイズするために使用できるキャプチャー・グループもサポートします。

    各パターンを新しい行に入力して、複数のキーと値のペアを定義します。 複数のパターンは、リストされている順序で評価されます。 一致が見つかると、カスタム・ログ・ソース ID が表示されます。

    次の例では複数のキーと値のペアの機能を示します。
    パターン
    VPC=\sREJECT\sFAILURE
    $1=\s(REJECT)\sOK
    VPC-$1-$2=\s(ACCEPT)\s(OK)
    イベント
    {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}
    結果としてのカスタム・ログ・ソース ID
    VPC-ACCEPT-OK
    複数行を有効にする 「開始/終了に一致 (Start/End Matching)」正規表現または「ID でリンク (ID-Linked)」正規表現に基づいて、複数のメッセージを単一のイベントに集約します。
    集計の方法

    このパラメーターは、「複数行を使用可能にする (Enable Multiline)」がオンになっている場合に使用可能になります。

    • 「ID でリンク (ID-Linked) - 各行の先頭に共通の値が含まれている複数のイベント・ログを処理します。
    • 開始/終了に一致 (Start/End Matching) - 開始または終了の正規表現 (regex) に基づいてイベントを集約します。
    イベント開始パターン (Event Start Pattern)

    このパラメーターは、「複数行を使用可能にする (Enable Multiline)」がオンになっており、「集約方法 (Aggregation Method)」が「開始/終了に一致 (Start/End Matching)」に設定されている場合に使用可能になります。

    TCP 複数行イベント・ペイロードの開始を識別するために必要な正規表現。 通常、Syslog ヘッダーの先頭は日付またはタイム・スタンプです。 このプロトコルで、イベント開始パターン (タイム・スタンプなど) のみに基づく単一行イベントを作成できます。 開始パターンしか使用できない場合、このプロトコルは、それぞれの開始値の間にあるすべての情報を取り込んで有効なイベントを作成します。
    イベント終了パターン (Event End Pattern)

    このパラメーターは、「複数行を使用可能にする (Enable Multiline)」がオンになっており、「集約方法 (Aggregation Method)」が「開始/終了に一致 (Start/End Matching)」に設定されている場合に使用可能になります。

    TCP 複数行イベント・ペイロードの終了を識別するために必要な正規表現。 Syslog イベントがすべて同じ値で終了する場合は、正規表現を使用してイベントの終了を判別することができます。 このプロトコルでは、イベント終了パターンのみに基づくイベントをキャプチャーできます。 終了パターンしか使用できない場合、このプロトコルは、それぞれの終了値の間にあるすべての情報を取り込んで有効なイベントを作成します。
    メッセージ ID のパターン

    このパラメーターは、「複数行を使用可能にする (Enable Multiline)」がオンになっており、「集約方法 (Aggregation Method)」が「ID でリンク (ID-Linked)」に設定されている場合に使用可能になります。

    イベント・ペイロード・メッセージをフィルタリングするために必要な正規表現。 TCP 複数行イベント・メッセージでは、イベント・メッセージの各行で共通の識別値が繰り返されている必要があります。
    時間制限

    このパラメーターは、「複数行を使用可能にする (Enable Multiline)」がオンになっており、「集約方法 (Aggregation Method)」が「ID でリンク (ID-Linked)」に設定されている場合に使用可能になります。

    イベントをイベント・パイプラインにプッシュする前に、さらに一致するペイロードを待機する秒数。 デフォルトは 10 秒です。
    イベントの集約時にすべての行を保持 (Retain Entire Lines During Event Aggregation)

    このパラメーターは、「複数行を使用可能にする (Enable Multiline)」がオンになっており、「集約方法 (Aggregation Method)」が「ID でリンク (ID-Linked)」に設定されている場合に使用可能になります。

    「集約方法 (Aggregation Method)」パラメーターが「ID でリンク (ID-Linked)」に設定されている場合、「イベントの集約時にすべての行を保持 (Retain Entire Lines During Event Aggregation)」を有効にして、同じ ID パターンを持つイベントを連結するときに「メッセージの ID パターン」の前に来るイベントの部分を破棄または保持できます。
    複数のイベントを単一行にフラット化 (Flatten Multiline Events Into Single Line)

    このパラメーターは、「複数行を使用可能にする (Enable Multiline)」がオンになっている場合に使用可能になります。

    イベントを 1 行で表示するか複数行で表示するかを指定します。
    イベント・フォーマッター (Event Formatter)

    このパラメーターは、「複数行を使用可能にする (Enable Multiline)」がオンになっている場合に使用可能になります。

    Windows 専用にフォーマットされた複数行イベントの場合は、 「Windows 複数行」 オプションを使用します。
  6. 「保存」をクリックします。