QRadar NTAでマルチテナントを設定するための構成

マルチテナント環境で IBM® QRadar Network Threat Analytics (NTA) 2.0.0 以降をサポートするには、 QRadar® 7.6.0 以降を構成してください。

マルチテナント環境を設定するには、 QRadar の管理者権限が必要です。 詳細については、 QRadar の管理ドキュメントを参照してください。

QRadar のマルチテナント機能に関する詳細については、 「マルチテナント管理」 を参照してください。

注： NTAのマルチテナント設定を行うには、管理者は、ネットワークベースラインを作成した上でNTAを設定する必要があります。

構成手順

次の表は、NTAインスタンスを設定する前に完了しておく必要がある手順をまとめたものです。 表に記載されている手順は、「 QRadar 」の管理設定から実行します。

ステップ アクション 詳細
1 フローソースを定義する 「 システム設定 」＞「 データソース 」＞「 フローソース」 で、各ドメインごとにフローソースを作成します。 各ドメインでは、各NTAインスタンスが正常に機能するために、それぞれ独自のフローソースが必要です。
注： テナントごとに重複または共有されているフローソースは、ドメイン間で共有してはなりません。 共有された場合、デフォルトのドメインに割り当てられる可能性があります。
2 ログソースを定義する
  1. [ログソース ] > [ログソースの管理 ] > [新しいログソース ] > [単一ログソース] の順に選択し、各セキュリティプロファイルごとにログソースを作成します。
  2. ログソースの種類として IBM QRadar Network Threat Analytics」 を選択してください。
  3. プロトコルタイプとして「 Syslog」 を選択してください。
  4. ログソースのパラメータを設定するには、適切な「 ログソース名 」を入力してください。
  5. プロトコルパラメータを設定するには、次の形式に従ってログソース識別子を追加してください
    ibm-nta-analytics.qrapp.local.{your-security-profile-name}
    例えば、ibm-nta-analytics.qrapp.local.finance-sp
  6. 設定を保存するには、 [+] （追加）オプションをクリックし、 [完了] をクリックします。
  7. この手順を繰り返して、マルチテナント機能のサポートが必要な各セキュリティプロファイルごとにログソースを作成してください。
3 テナントを定義する 「システム設定 」 ＞ 「ユーザー管理 」＞「テナント管理」 で、一連のテナントを作成します（例： TenantA,、 TenantB ）。 詳細については、 「新しいテナントのプロビジョニング」 を参照してください。
4 ドメインを定義する 「システム設定 」＞ 「ドメイン管理 」で、ドメインを作成し、手順 1 で指定したフローソースを関連付けます（フローソースを使用しない場合は、フローコレクターやフロー VLAN ID を関連付けることもできます）。
注:
  • フローは、そのドメインに割り当てられた特定のVLAN ID（エンタープライズVLANおよび顧客VLAN）に基づいて、ドメインタグ付けすることができます。
  • 定義済みのフローソース（ NetFlow やIPFIXなど）をドメインに割り当てることで、フローにドメインタグを付与することができます。
  • フローには、ドメインタグを付けることができます。これは、ドメインにフローコレクターを割り当てることで実現され、そのフローコレクターは受信するすべてのフローにそのドメインを適用します。
詳細については、 「ドメインの作成」 を参照してください。
5 ネットワークを定義する（任意） 各テナントに特定のネットワーク階層を設定したい場合は、「 システム構成 」＞「 ネットワーク階層 」でネットワーク階層を定義してください。 詳細については、 「マルチテナント環境におけるネットワーク階層の更新」 を参照してください。
6 セキュリティプロファイルを作成する 「 システム設定 」＞「 ユーザー管理 」＞「 セキュリティプロファイル 」で、ドメインごとにプロファイルを作成してください。 以前に定義したドメイン、ログソースまたはログソースグループ、およびネットワークを関連付けます。
注： ドメインの割り当ては、「権限の優先順位」、「ネットワーク」、「ログソース」の各タブの設定すべてよりも優先されます。
詳細については、 「セキュリティプロファイル」 を参照してください。
7 ユーザーロールの作成 「 システム設定 」＞ 「ユーザー管理 」＞「 ユーザーロール 」で、ロールを作成し、変更を適用します：
  • QRadar admin または MSSP admin：各 NTA インスタンスをインストールして設定する
  • テナント管理：管理権限が委任された NTA 管理者ロール
  • テナントユーザー：データレビューを行うNTAアナリストの役割
詳細については、 「ユーザーロールの作成」 を参照してください。
8 許可サービス・トークンを作成します 「 システム設定 」＞「 ユーザー管理 」＞「 承認済みサービス 」で、サービストークンを作成します。 各トークンを、手順5で指定したプロファイルおよび手順6で指定したロールに関連付けます。 各テナント管理者は、認証済みサービストークンを必要とします。 詳細については、 「認証済みサービストークンの作成」 を参照してください。
9 ユーザーを作成 「 システム設定 」＞ 「ユーザー管理 」＞「 ユーザー」 で、テナント管理者およびテナントユーザーを作成します。 それぞれを特定のロール、プロファイル、およびテナントに関連付けます。 詳細については、 「ユーザーアカウントの作成」 を参照してください。
10 変更のデプロイ 「管理」タブで「変更のデプロイ」をクリックします。

構成図

以下の図は、構成ステップを示しています。

NTAのマルチテナント設定における QRadar の設定手順を示す図