コンソールに表示できるようにするためのデータの難読化解除

IBM QRadar システムでデータ難読化が構成されている場合、マスクされたバージョンのデータがアプリケーション全体に表示されます。 データを難読化解除して表示できるようにするには、対応する鍵ストアとパスワードの両方が必要です。

始める前に

データの難読化解除を行うには、管理者であり、かつ、秘密鍵とその鍵のパスワードを持っている必要があります。 秘密鍵はローカル・コンピューター上に存在している必要があります。

このタスクについて

難読化データを表示するには、事前に秘密鍵をアップロードする必要があります。 アップロードされた鍵は、現行セッションの期間にわたってシステム上で使用可能になります。 セッションが終了するのは、 QRadarからログアウトしたとき、 QRadar Consoleでキャッシュがクリアされたとき、または非アクティブ期間が延長されたときです。 セッションが終了すると、前のセッションでアップロードされた秘密鍵は表示されなくなります。

QRadar は、現行セッションで使用可能な鍵を使用して、データを自動的に難読化解除できます。 自動難読化解除を有効にすると、データを表示するたびに「難読化セッション鍵」ウィンドウで繰り返し秘密鍵を選択する必要がなくなります。 自動難読化解除は、現在のセッションが終了すると自動的に無効になります。

1. 「イベントの詳細」 ページで、難読化解除するデータを見つけます。
2. ID ベースのデータを難読化解除するには、以下の手順に従います。
   1. 難読化解除するデータの横にあるロック・アイコンをクリックします。
   2. 「鍵のアップロード」 セクションで、 「ファイルの選択」 をクリックし、アップロードする鍵ストアを選択します。
   3. 「パスワード」 ボックスに、鍵ストアと一致するパスワードを入力します。
   4. 「アップロード」をクリックします。

      「難読化解除」ウィンドウに、イベント・ペイロード、鍵ストアに関連付けられているプロファイル名、難読化されたテキスト、および難読化解除されたテキストが表示されます。

   5. オプション: 「自動難読化解除の切り替え」 をクリックして、自動難読化解除を有効にします。

      自動難読化解除の設定を切り替えた場合は、変更を反映させるために、ブラウザー・ウィンドウを最新表示してイベントの詳細ページを再ロードする必要があります。

3. ID ベースではないペイロード・データを難読化解除するには、以下の手順に従います。
   1. 「イベントの詳細」 ページのツールバーで、 「難読化」 > 難読化解除キーをクリックします。
   2. 「鍵のアップロード」 セクションで、 「ファイルの選択」 をクリックし、アップロードする秘密鍵を選択します。
   3. 「パスワード」 ボックスに、秘密鍵と一致するパスワードを入力し、 「アップロード」をクリックします。
   4. 「ペイロード情報」 ボックスで、難読化されたテキストを選択してクリップボードにコピーします。
   5. 「イベントの詳細」 ページのツールバーで、 「難読化」 > 「難読化解除」をクリックします。
   6. ダイアログ・ボックスに難読化テキストを貼り付けます。
   7. ドロップダウン・リストから難読化プロファイルを選択し、 「難読化解除 (Deobfuscate)」をクリックします。