ログ・ソースが自動的に検出されない場合は、ネットワーク・デバイスまたはアプライアンスからイベントを受信するために QRadar のログ・ソースを手動で追加します。
QRadar 7.3.0 以前を使用している場合は、ログ・ソース アイコンを使用するだけで、ログ・ソースを QRadar に追加することができます。
QRadar 7.3.1 以降を使用している場合は、 QRadar Log Source
Management アプリケーションを使用してログ・ソースを追加できます。
手順
- QRadarにログオンします。
- 「管理」 タブをクリックします。
- 「ログ・ソース」 アイコンをクリックします。
- 「追加」をクリックします。
- ログ・ソースの共通パラメーターを構成します。
- ログ・ソースのプロトコル固有のパラメーターを構成します。
以下の表は、すべてのログ・ソース・タイプに共通のログ・ソース・パラメーターを説明しています。
表 2. 共通のログ・ソース・パラメーター
| パラメーター |
説明 |
| Enabled |
このオプションが有効になっていない場合、ログ・ソースはイベントを収集しません。 |
| Credibility |
信頼性は、ログ・ソースによって作成されたイベントの整合性または有効性を表します。 ログ・ソースに割り当てられている信頼性値は、着信イベントに基づいて増減されて、ユーザーが作成したイベント規則に対応して調整される場合があります。 ログ・ソースからのイベントの信頼性は、オフェンスのマグニチュードの計算に反映され、オフェンスのマグニチュード値を増大または減少させる場合があります。 |
| Target Event Collector |
ログ・ソースのプロトコルが実行されるQRadarホストを指定します。 アウトバウンド・プロトコルは、このホストからリモート・システムへの接続を開始し、インバウンド・プロトコルは、リモート・システムによって送信されたイベント・データを受信するために、このホスト上のポート・リスナーを初期化します。このパラメーターは、ログ・ソースを Event Collectorアプライアンスに割り当てるために特に使用されるものではありません。 Event Collectorコンポーネントは以下のホストに存在するため、プロトコルはこれらのホストのいずれにも割り当てることができます。
- Event Collectors
- Event Processors
- データ・ゲートウェイ (QRadar on Cloud のみ)
- そのQRadar
Console
ヒント: イベントを収集できるすべての QRadar ホストには、syslog ログ・ソースが割り当てられているかどうかに関係なく、ポート 514 でアクティブな syslog リスナーがあります。 ターゲット・イベント・コレクター・パラメーターは、Syslog プロトコルを使用するログ・ソースには使用されません。
|
| Coalescing Events |
同じQID、ユーザー名、送信元 IP、宛先 IP、宛先ポート、ドメイン、およびログ・ソースを持つ複数のイベントが短い時間間隔 (10 秒) 内に発生した場合、それらのイベントは統合 (バンドル) されます。
イベントは一緒にバンドルされるため、保管されるイベントの数が減り、イベントのストレージ・コストが削減されます。 イベントを統合すると、ロー・ペイロードやイベント・プロパティーなどの情報が失われる可能性があります。 デフォルトでは、有効になっています。 詳しくは、QRadar では統合はどのように機能しますか? を参照してください。
|
- 「保存」をクリックします。
- 「管理」 タブで、 「変更のデプロイ」をクリックします。