ドメイン定義およびタグ付け
イベントのドメインの指定
以下の図には、イベントのドメイン基準を評価する際の優先順位が示されています。
- カスタム・プロパティー
- ログ・ソースからのログ・メッセージにはカスタム・プロパティーを適用できます。重要: カスタム・イベント・プロパティーを作成するときは、 「ルール、転送プロファイル、および検索の索引付けで使用可能」 チェック・ボックスが選択されていることを確認してください。
特定のログ・メッセージが属するドメインを判断するには、ドメイン管理エディター内で定義されたマッピングを対象にカスタム・プロパティーの値が検索されます。
このオプションは、マルチアドレス範囲またはマルチテナントのログ・ソース (ファイル・サーバー、文書リポジトリーなど) に対して使用されます。
- Disconnected Log Collector
- ドメイン・マッピングには、切断ログ・コレクター (DLC) を使用できます。 DLC は、その汎用固有 ID (UUID) を、収集されるイベントのログ・ソース ID 値に付加します。 「ログ・ソース ID 」の値に UUID を追加すると、ログ・ソース ID が固有になります。
- ログ・ソース
- 特定のログ・ソースがドメインに属するように構成できます。
このドメインのタグ付け方式は、 イベント・コレクターまたはデータ・ゲートウェイ が複数のドメインからイベントを受信できるデプロイメントのオプションです。
- ログ・ソース・グループ
- ログ・ソース・グループを特定のドメインに割り当てることができます。 このオプションでは、ログ・ソース構成に対して幅広い制御が可能になります。
ログ・ソース・グループに追加された任意の新規ログ・ソースには、そのログ・ソース・グループに関連付けられたドメインのタグが自動的に付与されます。
- イベント・コレクターおよびデータ・ゲートウェイ
- イベント・コレクターまたはデータ・ゲートウェイ が特定のネットワーク・セグメント、IP アドレス範囲、テナント、地理的位置、またはビジネス単位専用である場合は、そのドメインの一部として イベント・コレクターまたはデータ・ゲートウェイ 全体にフラグを立てることができます。
その イベント・コレクターまたはデータ・ゲートウェイ に到着するすべてのイベントは、 イベント・コレクターまたはデータ・ゲートウェイ が割り当てられているドメインに属します。ただし、イベントのログ・ソースが、カスタム・プロパティーなど、より高い優先順位の他のタグ付け方法に基づいて別のドメインに属している場合を除きます。
重要:ログ・ソースがある イベント・コレクターまたはデータ・ゲートウェイ から別のドメイン内の別のにリダイレクトされる場合は、ログ・ソースにドメイン・マッピングを追加して、そのログ・ソースからのイベントが引き続き正しいドメインに割り当てられるようにする必要があります。
ログ・ソースが正しいドメインにマップされていない限り、ドメイン制限を持つ非管理ユーザーは、ログ・ソースに関連付けられているオフェンスを表示しない場合があります。
フローのドメインの指定
以下の図には、フローのドメイン基準を評価する際の優先順位が示されています。
- フロー・コレクターおよびデータ・ゲートウェイ
- 特定のデータ・ゲートウェイをドメインに割り当てることができます。
その フロー・コレクターまたはデータ・ゲートウェイ に到着するすべてのフロー・ソースはドメインに属します。したがって、自動検出された新しいフロー・ソースはすべて自動的にドメインに追加されます。
- フロー・ソース
- 特定のフロー・ソースをドメインに指定することができます。
このオプションは、単一の フロー・コレクターまたはデータ・ゲートウェイ が、オーバーラップする IP アドレス範囲を含む複数のネットワーク・セグメントまたはルーターからフローを収集する場合に役立ちます。
- フロー VLAN ID
- 特定の VLAN をドメインに指定することができます。
このオプションは、IP 範囲がオーバーラップしていることが多い複数のネットワーク・セグメントからのトラフィックを収集する場合に有用です。 この VLAN 定義は、エンタープライズとカスタマーの VLAN ID に基づいています。
以下の情報要素は、VLAN 情報を含むフローが分析されるときに QFlow から送信されます。 これらの 2 つのフィールドをドメイン定義に割り当てることができます。- PEN 2 (IBM)、要素 ID 82: エンタープライズ VLAN ID
- PEN 2 (IBM)、要素 ID 83: カスタマー VLAN ID
スキャン結果のドメインの指定
脆弱性スキャナーを特定のドメインに割り当てることもできます。こうすると、スキャン結果がそのドメインに属するものとして適切にフラグ設定されます。 ドメイン定義は、すべての QRadar 入力ソースで構成できます。
事前構成されたドメインへのネットワークの割り当てについて詳しくは、 ネットワーク階層を参照してください。
ドメイン基準を評価する際の優先順位
イベント およびフロー が QRadar システムに到着すると、ドメイン定義の細分度に基づいてドメイン基準が評価されます。
ドメイン定義がイベントに基づく場合は、まず、そのドメイン定義にマップされたすべてのカスタム・プロパティーを対象に着信イベントがチェックされます。 カスタム・プロパティーで定義された正規表現の結果がドメイン・マッピングと一致しない場合、このイベントは自動的にデフォルト・ドメインに割り当てられます。
このイベントがカスタム・プロパティーのドメイン定義と一致しない場合は、以下の優先順位が適用されます。
- DLC
- ログ・ソース
- ログ・ソース・グループ
- イベント・コレクターまたはデータ・ゲートウェイ
- フロー・ソース
- フロー・コレクターまたはデータ・ゲートウェイ
スキャナーに関連付けられたドメインがある場合は、スキャナーによってディスカバーされたすべてのアセットがスキャナーと同じドメインに自動的に割り当てられます。
別の QRadar システムへのデータの転送
データが別の QRadar システムに転送されると、ドメイン情報は削除されます。 ドメイン情報を含むイベント およびフロー は、受信側 QRadar システム上のデフォルト・ドメインに自動的に割り当てられます。 デフォルト・ドメインに割り当てられるイベントおよびフローを特定するために、受信側システムに対するカスタム検索を作成することができます。 必要に応じて、これらのイベントおよびフローをユーザー定義ドメインに再度割り当てることもできます。