Cisco Firepower Management Center イベントのログ・ソースの構成

QRadar® は、Cisco Firepower Management Center イベントを自動的に検出することはありません。QRadar でログ・ソースを構成する必要があります。

手順

  1. QRadar にログインします。
  2. 「管理」タブをクリックします。
  3. ナビゲーション・メニューで、「データ・ソース」をクリックします。
  4. 「ログ・ソース」アイコンをクリックし、「追加」をクリックします。
  5. 「ログ・ソース・タイプ」リストで、「Cisco Firepower Management Center」を選択します。
  6. 「プロトコル構成」リストで「Cisco Firepower eStreamer」を選択します。
  7. 以下のパラメーターを構成します。
    パラメーター 説明
    サーバー・アドレス Cisco Firepower Management Center デバイスの IP アドレスまたはホスト名。
    サーバー・ポート Cisco Firepower Management Center デバイスが接続要求を受け入れるように構成されているポート番号。Cisco Firepower Management Center デバイスに対して QRadar が使用するデフォルト・ポートは 8302 です。
    鍵ストア・ファイル名 鍵ストアの秘密鍵と関連証明書のディレクトリー・パスおよびファイル名。デフォルトで、インポート・スクリプトが鍵ストア・ファイルを作成するディレクトリーは /opt/qradar/conf/estreamer.keystore です。
    トラストストア・ファイル名 トラストストア・ファイルのディレクトリー・パスおよびファイル名。トラストストア・ファイルは、クライアントから信頼されている証明書を保持します。デフォルトで、インポート・スクリプトがトラストストア・ファイルを作成するディレクトリーは /opt/qradar/conf/estreamer.truststore です。
    追加データの要求 (Request Extra Data)

    Cisco Firepower Management Center からの侵入イベント追加データを要求するには、このオプションを選択します。 例えば、追加データには、イベントの元の IP アドレスなどがあります。

    ドメイン
    注: ドメイン・ストリーム要求は、eStreamer バージョン 6.x でのみサポートされます。eStreamer バージョン 5.x の場合は「ドメイン」フィールドをブランクのままにします。

    イベントのストリーム元となるドメイン。

    「ドメイン」フィールドの値は完全修飾ドメインである必要があります。つまり、最上位ドメインから開始してイベントの要求先であるリーフ・ドメインに至るまで、必要なドメインのすべての上位ドメインをリストする必要があります。

    例:

    Global は最上位ドメインです。B は第 2 レベルのドメインで、Global のサブドメインです。C は第 3 レベルのドメインで、B のサブドメインであるリーフ・ドメインです。この場合に C からのイベントを要求するには、「ドメイン」パラメーターに以下の値を入力します。

    Global ¥ B ¥ C

  8. 「保存」をクリックします。