Alibaba Cloud Object Storage プロトコルの構成オプション

IBM QRadar 用の Alibaba Cloud Object Storage プロトコルは、Alibaba Cloud Object Storage バケットからオブジェクトに含まれるログを収集するアクティブなアウトバウンド・プロトコルです。

重要: Alibaba の Cloud Object Storage プロトコルを構成する前に、Alibaba の Cloud Object Storage バケットにアクセスするためのユーザー・アクセス役割とサービス資格情報を構成します。
  • 別の Alibaba Cloud アカウントまたは特定のユーザーに許可を付与して、バケット内のリソースにアクセスしたり管理したりできるようにします。 ユーザー・アクセスの役割と許可について詳しくは、 バケット・ポリシーの概要 (https://www.alibabacloud.com/help/en/oss/user-guide/overview) を参照してください。
  • サービス資格情報を作成します。 詳しくは、 AccessKey ペアの取得 (https://www.alibabacloud.com/help/en/beginner-guide/latest/obtain-an-accesskey-pair) を参照してください。
表 1. Alibaba Cloud Object Storage プロトコルの共通ログ・ソース・パラメーター
パラメーター 説明
プロトコル構成 Alibaba Cloud Object Storage サービス
ログ・ソース ID

ログ・ソースの固有名を入力します。

「ログ・ソース ID」には、任意の有効な値を使用でき、特定のサーバーを参照する必要はありません。 また、 「ログ・ソース名」と同じ値にすることもできます。 複数の Alibaba Cloud Object Storage ログ・ソースが構成されている場合は、それぞれに固有の名前を付けてください。
アクセス・キー ID アクセス・キー ID は、サービス資格情報の構成時に生成されます。
秘密アクセス・キー サービス資格情報を構成すると、秘密アクセス・キーが生成されます。
エンドポイント バケット構成ページのパブリック・エンドポイント。 詳しくは、 地域とエンドポイント (https://www.alibabacloud.com/help/en/oss/user-guide/regions-and-endpoints) を参照してください。
バケット名 ログが保管されているバケットの名前。
接頭部 プレフィックスで始まるオブジェクトまたはファイル・キーの収集を制限するプレフィックス・フィルター値。 バケットからすべてのファイルをプルするには、スラッシュ (/) を使用します。
重要: 「接頭部」 の値を変更すると、永続ファイル・マーカーがクリアされます。 新しい接頭部に一致するすべてのファイルが次のプルでダウンロードされます。 「接頭部」 ファイル・パスを使用してフォルダーを指定する場合は、ファイル・パスの先頭にスラッシュを使用しないでください。 例えば、代わりに folder1/folder2 を使用します。
イベント・フォーマット

以下のイベント・フォーマットがサポートされています。

ActionTrail
レコードの配列を含む未加工のログ・ファイル。 圧縮には .gz ファイルを使用できます。
LINEBYLINE
1 行に 1 つのレコードを含む未加工のログ・ファイル。 圧縮には、.gz、.gzip、または.zipのいずれかのファイルを使用できます。
ゲートウェイ・ログ・ソースとして使用 (Use as a Gateway Log Source)

収集したイベントをQRadar Traffic Analysisエンジンに流し、QRadarが1つ以上のログソースを自動的に検出するには、このオプションを選択します。

このオプションを選択すると、オプションでLog Source Identifier Patternを使用して、処理されるイベントのカスタムLog Source Identifierを定義できます。
ログ・ソース ID パターン (Log Source Identifier Pattern)

「ゲートウェイ・ログ・ソースとして使用」を選択した場合は、カスタム・ログ・ソース ID を定義できます。 このオプションは、処理中のイベント、および自動的に検出されるログ・ソースに使用します。

Log Source Identifier Patternを設定しない場合、QRadarは不明な一般ログソースとしてイベントを受け取ります。

キーと値のペアを使用して、カスタム・ログ・ソース ID を定義します。 キーは ID フォーマット・ストリングで、これは結果のソースまたは起点の値です。 この値は、現在のペイロードを評価するために使用される、関連付けられた正規表現パターンです。 この値は、キーをさらにカスタマイズするために使用できるキャプチャー・グループもサポートします。

各パターンを新しい行に入力して、複数のキーと値のペアを定義します。 複数のパターンは、リストされている順序で評価されます。 一致するものが見つかると、カスタム・ログ・ソース ID が表示されます。

以下の例は、複数のキーと値のペア関数を示しています。

パターン VPC=\sREJECT\sFAILURE
$1=\s(REJECT)\sOK
VPC-$1-$2=\s(ACCEPT)\s(OK)
イベント
{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}
結果のカスタム・ログ・ソース ID VPC-ACCEPT-OK
詳細オプションを表示 イベント収集の拡張オプションを構成するには、このオプションを 「オン」に設定します。
ファイル・パターン

プルするファイルに一致するファイル・パターンの正規表現 ( .*?\.json\.gzなど) を入力します。

このオプションは、詳細オプションの表示をオンに設定した場合に使用できます。
ローカル・ディレクトリー (Local Directory)

ターゲット・イベント・コレクターのローカル・ディレクトリー。 このディレクトリーは、プロトコルがイベントの取得を試行する前に存在している必要があります。

このオプションは、詳細オプションの表示をオンに設定した場合に使用できます。
プロキシーの使用 (Use Proxy)

QRadar がプロキシーを使用して Alibaba Cloud Object Storage にアクセスする場合は、 「プロキシーの使用」を有効にします。

プロキシーで認証が必要な場合は、 「プロキシー・サーバー」、 「プロキシー・ポート」、 「プロキシー・ユーザー名」、および 「プロキシー・パスワード」 の各パラメーターを構成します。 プロキシーが認証を必要としない場合は、 「プロキシー・ユーザー名」 フィールドと 「プロキシー・パスワード」 フィールドをブランクのままにします。
繰り返し (Recurrence)

プロトコルが新規データをポーリングする頻度を決定する時間間隔を入力します。 時間間隔には時間数 (H)、分数 (M)、または日数 (D) の値を含めることができます。 例えば、2H = 2 時間、15M = 15 分、30 = 30 秒です。

最小値は 1Mです。
EPS スロットル

QRadar が取り込む 1 秒当たりのイベントの最大数。

データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。

デフォルトは 5000 です。