Cisco AMP

Cisco Advanced Malware Protection (Cisco AMP) 用の IBM QRadar DSM は、Cisco AMP for Endpoints プラットフォームからイベント・ログを収集します。 DSM for Cisco AMP は、RabbitMQ プロトコルを使用します。

重要: Server Name Indication (SNI) が必要な場合、Cisco AMP 統合はプライベート・クラウドをサポートしません。 詳しくは、Cisco にお問い合わせください。
Cisco AMP を QRadarに統合するには、以下の手順を実行します。
  1. 自動更新が有効になっていない場合、RPM は IBM® サポートウェブサイト (http://www.ibm.com/support) からダウンロードできます。 ご使用の QRadar Consoleに以下の RPM をダウンロードしてインストールします。
    重要: RabbitMQ プロトコル RPM をインストールするには、 QRadar V7.2.8 パッチ 9 (V7.2.8.20170726184122) 以降が必要です。
    • プロトコル共通 RPM
    • DSMCommon RPM
    • RabbitMQ プロトコル RPM
    • Cisco AMP DSM RPM
  2. Cisco AMP のクライアント ID と API 鍵を作成します。 あるいは、既に作成済みのイベント・ストリームへのアクセス権を管理者に要求することもできます。 これらの値の作成について詳しくは、 Cisco AMP クライアント ID および API キーの作成 の手順を参照してください。
  3. Cisco AMP イベント・ストリームを作成します。 イベント・ストリームの作成について詳しくは、 Cisco AMP イベント・ストリームの作成 の手順を参照してください。
  4. Cisco AMP イベント・ストリームをユーザーが管理できるように、 QRadar Console で Cisco AMP ログ・ソースを追加します。