イベントおよびフローのカスタム E メール通知の構成

IBM QRadarでルールを構成する場合、ルールが応答を生成するたびに E メール通知が受信者に送信されるように指定します。この E メール通知は、イベントやフローのプロパティーなどの有用な情報を提供します。

このタスクについて

alert-config.xml ファイルを編集することにより、ルール応答の E メール通知に含まれているコンテンツをカスタマイズできます。

注: フローへの参照は IBM QRadar Log Managerには適用されません。

一時ディレクトリーを作成しておき、このディレクトリーで、デフォルト・ファイルを上書きしてしまう恐れなしに、安全にファイルのコピーを編集できるようにする必要があります。 alert-config.xml ファイルを編集して保存した後に、変更を検証するスクリプトを実行する必要があります。検証スクリプトにより、行った変更が自動的にステージング・エリアに適用されます。構成全体をデプロイして、全アプライアンス用の構成ファイル群をビルドし直す必要があります。

重要: IBM QRadar on Cloudの場合、 alert-config.xml ファイルのコピーを取得するには、 IBM サポートでチケットをオープンする必要があります。更新された alert-config.xml ファイルを QRadar on Cloud インスタンスに適用するには、別のチケットをオープンする必要があります。

手順

SSH を使用して、root ユーザーとして QRadar Console にログインします。
デフォルト・ファイルのコピーを安全に編集するために使用する、一時ディレクトリーを新規作成します。
custom_alerts ディレクトリーに保管されているファイルを一時ディレクトリーにコピーするには、次のコマンドを入力します。
```
cp /store/configservices/staging/globalconfig/templates/custom_alerts/*.* <directory_name>
```
<directory_name> は、作成した一時ディレクトリーの名前です。
ファイルが正常にコピーされたことを、次のようにして確認します。
1. ディレクトリー内のファイルをリストするには、 ls -lahと入力します。
2. alert-config.xml ファイルがリストされていることを確認します。
alert-config.xml ファイルを編集用に開きます。

<template> エレメントの内容を編集します。

必須: 使用するテンプレートのタイプを指定します。有効なオプションは、 event または flowです。
```
<templatetype>event</templatetype>
```
```
<templatetype>flow</templatetype>
```
次のように E メール・テンプレートの名前を入力します。
```
<templatename>Default flow template</templatename>
```
複数のテンプレートがある場合は、テンプレート名が固有であることを確認してください。
<active> エレメントを true に設定します。

<active>true</active>

<body> エレメントまたは <subject> エレメントのパラメーターを編集して、表示する情報を含めます。

重要: QRadarでオプションとして表示するイベントおよびフロー・テンプレートのタイプごとに、 <active></active> プロパティーを True に設定する必要があります。各タイプに少なくとも 1 つのアクティブ・テンプレートが必要です。

<filename></filename> プロパティーを空のままにしておく必要もあります。

テンプレートで使用できる通知パラメーターは、以下のとおりです。

表 1. 指定可能な通知パラメーター
共通パラメーター	イベント・パラメーター	フロー・パラメーター
AppName	EventCollectorID	タイプ
RuleName	DeviceId	CompoundAppID
RuleDescription	DeviceName	FlowSourceIDs
EventName	DeviceTime	SourceASNList
EventDescription	DstPostNATPort	DestinationASNList
EventProcessorId	SrcPostNATPort	InputIFIndexList
QID	DstMACAddress	OutputIFIndexList
カテゴリー	DstPostNATIPAddress	AppId
RemoteDestinationIP	DstPreNATIPAddress	ホスト
ペイロード	SrcMACAddress	ポート
信頼性	SrcPostNATIPAddress	SourceBytes
関連性	SrcPreNATIPAddress	SourcePackets
ソース	SrcPreNATPor	方向
SourcePort	DstPreNATPort	SourceTOS
SourceIP		SourceDSCP
宛先		SourcePrecedence
DestinationPort		DestinationTOS
DestinationIP		DestinationDSCP
DestinationUserName		SourceASN
プロトコル		DestinationASN
StartTime		InputIFIndex
期間		OutputIFIndex
StopTime		FirstPacketTime
EventCount		LastPacketTime
SourceV6		TotalSourceBytes
DestinationV6		TotalDestinationBytes
UserName		TotalSourcePackets
DestinationNetwork		TotalDestinationPackets
SourceNetwork		SourceQOS
重大度		DestinationQOS
CustomProperty		SourcePayload
CustomPropertiesList
CalculatedProperty
CalculatedPropertiesList
AQLCustomProperty
AqlCustomPropertiesList
LogSourceId
LogSourceName

注： CustomProperties, CalculatedProperties, または AqlCustomProperties パラメータを使用する際に、リスト全体を取得したくない場合は、以下のタグを使用することで、特定のプロパティを選択することができます：

カスタム・プロパティー:${body.CustomProperty("<custom_property_name>")}
計算プロパティー: ${body.CalculatedProperty("<calculated_property_name>")}
AQL カスタム・プロパティー: ${body.AqlCustomProperty("<AQL_custom_property_name>")}

オプション: 複数の E メール・テンプレートを作成するには、以下のサンプル E メール・テンプレートを alert-config.xml ファイル内の <template> エレメントにコピー・アンド・ペーストします。追加するテンプレートごとに、ステップ 6 を繰り返します。

サンプル E メール・テンプレート:

<template>
  <templatename>Default Flow</templatename>
  <templatetype>flow</templatetype>
  <active>true</active>
  <filename></filename>
  <subject>${RuleName} Fired </subject>
  <body>
     The ${AppName} event custom rule engine sent an automated response:

     ${StartTime}

     Rule Name:                                  ${RuleName}
     Rule Description:                           ${RuleDescription}

     Source IP:                                  ${SourceIP}
     Source Port:                                ${SourcePort}
     Source Username (from event):               ${UserName}
     Source Network:                             ${SourceNetwork}

     Destination IP:                             ${DestinationIP}
     Destination Port:                           ${DestinationPort}
     Destination Username (from Asset Identity): ${DestinationUserName}
     Destination Network:                        ${DestinationNetwork}

     Protocol:                                   ${Protocol}
     QID:                                        ${Qid}

     Event Name:                                 ${EventName}
     Event Description:                          ${EventDescription}
     Category:                                   ${Category}

     Log Source ID:                              ${LogSourceId}
     Log Source Name:                            ${LogSourceName}

     Payload:                                    ${Payload}
           
     CustomPropertiesList:                       ${CustomPropertiesList}
   
     AQL Custom Property, CEP_aql_1:             ${body.AqlCustomProperty("CEP_aql_1")}

     Calculated Property, CEP_calc_2:            ${body.CalculatedProperty("CEP_calc_2")} 
   
     Regex Property, CEP_reg_3:                  ${body.CustomProperty("CEP_reg_3")}

   </body>
   <from></from>
   <to></to>
   <cc></cc>
   <bcc></bcc>
</template>

注: 現在、マルチテナンシーまたは重複する IP アドレスの DomainID は、カスタム E メール・テンプレートでは使用できません。

alert-config.xml ファイルを保存して閉じます。
以下のコマンドを入力して、変更を検証します。
```
/opt/qradar/bin/runCustAlertValidator.sh <directory_name>
```
<directory_name> パラメーターは、作成した一時ディレクトリーの名前です。
スクリプトでの変更の検証が正常に終了すると、次のメッセージが表示されます。 File alert-config.xml was deployed successfully to staging!
QRadarに変更をデプロイします。
1. QRadarにログインします。
2. ナビゲーション・メニュー ( ) で、「管理」をクリックします。
3. 「拡張」 > 「すべての構成のデプロイ」をクリックします。
  
  重要: QRadar は、完全な構成をデプロイすると、引き続きイベントを収集します。イベント収集サービスを再始動する必要がある場合、 QRadar は自動的に再始動しません。デプロイメントをキャンセルしてより都合のよいときにサービスを再始動するオプションを示すメッセージが表示されます。