DSM のトラブルシューティング
デバイス・サポート・モジュール (DSM) は、 IBM® QRadar®内のイベントを解析します。 DSM は、イベント・ソースによって提供されるイベントを認識および解析するために使用されるソフトウェア・プラグインであると考えることができます。 イベント・ソースは、セキュリティー・アプライアンス、サーバー、オペレーティング・システム、ファイアウォール、データベースなどです。 DSM は、アクションが発生したときにイベントを生成する任意のタイプのシステムです。
不明イベントと保管イベントの違いは何ですか?
イベントが正しく解析されない場合、以下のイベント・タイプとして「ログ・アクティビティー」タブに表示されます。
- 不明イベント
- イベントを収集および解析しましたが、特定のログ・ソースにマップすることも分類することもできませんでした。 自動的にディスカバーされなかったログ・ソースは、通常、システム内でログ・ソースが手動で作成されるまで、「不明なイベント・ログ」として識別されます。 イベントをログ・ソースに関連付けることができなかった場合、そのイベントは、汎用ログ・ソースに割り当てられます。 これらのイベントを識別するには、 SIM Generic ログ・ソースに関連付けられているイベントを検索するか、 Event is Unparsed フィルターを使用します。
- 保管されたイベント
- QRadarがイベントを理解または解析できません。 QRadar は、イベントを解析できない場合、イベントをディスクに書き込み、イベントを保管済みとして分類します。
「ログ・アクティビティー」タブでこれらの不明イベントまたは保管イベント見つけるにはどうすればよいですか?
ご使用のデバイスに固有のイベントを見つけるには、 QRadar でデバイスの送信元 IP アドレスを検索します。 イベント・ペイロードから固有値を選択して、 Payload Containsを検索することもできます。 これらの検索のいずれかによって、イベントが見つかることがあります。多くの場合、そのイベントは、「不明」または「保管」のいずれかとして分類されています。
Event in Unparsedの検索フィルターを追加することもできます。 この検索は、解析できなかったイベント (保管イベント) およびログ・ソースに関連付けられていないか自動ディスカバーされなかった可能性のあるイベント (不明なイベント) をすべて見つけます。
使用している製品バージョンが「DSM 構成ガイド」にリストされていない場合はどうすればよいですか?
「 DSM 構成ガイド 」には、特定の製品に対して公式にテストおよび検証された製品メーカーおよび DSM のリストが記載されています。 QRadarによって公式にサポートされている製品用の DSM であっても、そのバージョンが古い場合は、構文解析の問題を解決するために DSM の更新が必要になることがあります。 DSM ガイドに記載されている製品バージョンは社内で公式にテストされていますが、ベンダーによるソフトウェア更新を通じて特定の DSM のイベント・フォーマットが追加または変更されることがあります。 このような場合は、 IBM サポートでサポート・チケットを開き、ログ・ソースを確認してください。 (https://www.ibm.com/support/home/)
使用している製品バージョンまたはデバイスが「DSM 構成ガイド」にリストされていない場合はどうすればよいですか?
- ご使用のデバイスが公式にサポートされるようにするための Request for Enhancement (RFE) を発行します。
- QRadar Security RFE Communityにアクセスします。 (https://ibm.biz/BdRPx5)
- Security RFE Community にログインします。
- 「Submit」タブをクリックし、必要な情報を入力します。注: デバイスからのイベント・ログがある場合は、イベント情報を添付し、イベント・ログを生成したデバイスの製品バージョンを含めます。
- デバイスのイベントを解析するためのログ・ソース拡張を作成します。 (https://www.ibm.com/support/knowledgecenter/SS42VS_DSM/com.ibm.dsm.doc/c_LogSourceGuide_ExtDocs_about.html)