マルチテナント環境のドメインおよびログ・ソース
重なり合う IP アドレスを分離したり、イベントやフローなどのデータのソースをテナント固有のデータ・セットに割り当てたりするには、ドメインを使用します。
イベントまたはフローが IBM QRadarに到着すると、 QRadar は構成されているドメイン定義を評価し、イベントおよびフローがドメインに割り当てられます。 テナントは複数のドメインを持つことができます。 ドメインが構成されていない場合、イベントおよびフローはデフォルト・ドメインに割り当てられます。
ドメインのセグメンテーション
- イベントおよびフローのコレクター
- フロー・ソース
- ログ・ソースおよびログ・ソース・グループ
- カスタム・プロパティー
- スキャナー重要: IBM QRadar Vulnerability Manager スキャナーは、 7.5.0 Update Package 6 の耐用年数終了 (EOL) であり、どのバージョンの IBM QRadarでもサポートされなくなりました。 詳しくは、 QRadar Vulnerability Manager: End of service product notification (https://www.ibm.com/support/pages/node/6853425) を参照してください。
マルチテナント・デプロイメントは、1 つの QRadar コンソール、1 つの集中型イベント・プロセッサー、およびお客様ごとに 1 つのイベント・コレクターを含む基本的なハードウェア構成で構成することができます。 この構成では、コレクター・レベルでドメインを定義します。これにより、 QRadar が受信したデータがドメインに自動的に割り当てられます。
さらにハードウェア構成を統合する場合は、1 つのコレクターを複数のカスタマーに使用できます。 ログまたはフローのソースが同じコレクターによって集約されるが別々のテナントに属する場合は、ソースを別々のドメインに割り当てることができます。 ログソースレベルでドメイン定義を使用する場合、各ログソース名はQRadar®展開全体で一意でなければなりません。
単一のログ・ソースからのデータを分離して別のドメインに割り当てる必要がある場合は、カスタム・プロパティーからドメインを構成できます。 QRadar は、ペイロード内でカスタム・プロパティーを検索し、それを正しいドメインに割り当てます。 例えば、Check Point Provider-1 デバイスと統合するように QRadar を構成した場合は、カスタム・プロパティーを使用して、そのログ・ソースから別のドメインにデータを割り当てることができます。
自動ログ・ソース検出
ドメインがコレクター・レベルで定義され、かつ専用のイベント・コレクターが単一のドメインに割り当てられている場合は、自動的に検出された新規ログ・ソースがそのドメインに割り当てられます。 例えば、Event_Collector_1 で検出されたすべてのログ・ソースが Domain_A に割り当てられます。 Event_Collector_2 で自動的に収集されたログ・ソースは、すべて Domain_B に割り当てられます。
ドメインがログ・ソースまたはカスタム・プロパティーのレベルで定義されている場合、自動的に検出されたがまだドメインに割り当てられていないログ・ソースは自動的にデフォルト・ドメインに割り当てられます。 MSSP 管理者がデフォルト・ドメインのログ・ソースを確認し、正しいクライアント・ドメインに割り振る必要があります。 マルチテナント環境でログ・ソースを特定のドメインに割り当てると、データ漏えいを防止でき、ドメイン間でのデータ分離を実現できます。