QRadar と通信するための HPE Network Automation ソフトウェアの構成

LEEF イベントを IBM QRadarに送信するように HPE Network Automation ソフトウェアを構成します。

始める前に

HPE Network Automation ソフトウェアのユーザー・インターフェースに対する管理者権限が必要です。

手順

  1. HPE Network Automation ソフトウェアのユーザー・インターフェースにログインします。
  2. 「管理」 メニューで、 「イベント通知」&「応答ルール」を選択します。
  3. 「新規イベント通知」&「応答ルール」をクリックします。
  4. HPE Network Automation のパラメーターを構成します。

    以下の表では、LEEF イベントを QRadarに送信するためのパラメーター値について説明します。

    パラメーター 値
    指定された E メールとイベント・ルールの追加 (Add Email and Event Rule named) 任意のストリングを使用できます。 例えば、QRadar_logsなどです。
    このアクションの実行方法 (To take this action)

    リストから 「Syslog メッセージの送信 (Send Syslog Message)」 を選択します。
    次のイベントが発生した場合 (When the following events occur)
    1. すべてのイベントを選択します。
    2. 「任意の重要度 (of any importance)」ボタンを有効にします。
    3. ポリシー非準拠イベントに対するアクションを実行するには、「すべてのポリシー (for all policies)」ボタンを有効にします。
    ルール・ステータス 「アクティブ」 ボタンを有効にします。
    Syslog ホスト名 (Syslog Hostname) QRadar ホスト名または IP アドレス
    Syslog ポート (Syslog Port) 514
    Syslog メッセージ 
    LEEF:1.0|HP|Network Automation|v10|$EventType$|devTime=$EventDate$	devTimeFormat=EEE MMM dd HH:mm:ss Z yyyy	src=$IPAddress$ eventId=$EventID$	usrName=$EventUserName$	eventText=$EventText$
    ヒント: すべてのイベント属性はタブ区切りです。 例えば、devTime、devTimeFormat などとなります。 「Syslog メッセージ」の値をテキスト・エディターにコピーしてから、属性がタブで区切られていることを確認し、改行文字をすべて削除します。

    LEEF ヘッダーのバージョン番号 v10 を HPE Network Automation ソフトウェアの正確なバージョンに置き換えることができます。 フォーマット・ストリングの他のコンポーネントを変更すると、イベントが正規化されないか、あるいは不明なイベントが発生する場合があります。
  5. 「保存」をクリックします。