転送されたイベント

IBM QRadar DLC プロトコル は、1 つ以上の IBM Disconnected Log Collector インスタンスから転送されたイベントを IBM QRadarに取り込みます。

自動検出可能なログ・ソース・タイプから転送されたイベントは、イベントが QRadarに直接送信されたかのように自動検出されます。 これらの転送されたイベントのプロトコル・タイプは、Disconnected Log Collector インスタンスがこれらのイベントを収集するために使用したプロトコルに関係なく、「転送済み (Forwarded)」です。 イベントが Transmission Control Protocol 上のTransport Layer Security（ TCP 上の TLS ）を使用して送信される場合、自動検出されたログソースのログソース識別子には転送 Disconnected Log Collector インスタンスのUUIDが含まれます。 例えば、192.0.2.0277f291f-dca9-4c59-978a-9d6deb0223b0 などです。 このフォーマットは、イベント・データを適切に分離するのに役立ちます。

デフォルトでは自動検出されないログ・ソース・タイプから転送されたイベントには、構成が必要です。 QRadar 「ログ・ソース」 ウィンドウ、ログ・ソース管理アプリケーション、またはログ・ソース REST API を使用して、これらのイベントのログ・ソースを単独で作成することも、一括で作成することもできます。 Disconnected Log Collector インスタンスによって転送されるイベントの場合、ログ・ソースの「プロトコル構成」パラメーターを「転送済み (Forwarded)」に設定する必要があります。 イベントが TLS 経由で TCP に送信される場合、ログソース識別子には転送 Disconnected Log Collector インスタンスの UUID を含める必要があります。

あるいは、 QRadar 7.3.2では、デフォルトで自動検出できないログ・ソース・タイプに対して 「ログ・ソースの自動検出 (Log Source Autodetection)」 を構成することができます。 DSMエディタの「設定」タブを使用して、任意のログソースタイプ（カスタムまたは IBM® 提供）の自動検出を設定することができます。

単独で、一括で、または ログ・ソースの自動検出を使用してログ・ソースを追加する方法について詳しくは、「 DSM 構成ガイド」を参照してください。