Amazon AWS S3 REST API プロトコルの構成オプション

ログ・ソースの固有名を入力します。

「ログ・ソース ID」には、任意の有効な値を使用でき、特定のサーバーを参照する必要はありません。 「ログ・ソース ID」は、「ログ・ソース名」と同じ値にすることもできます。 DSM ごとに複数の構成済みログ・ソースがある場合は、それぞれに固有の名前を付けてください。

アクセス・キー ID (Access Key ID)/ 秘密鍵 (Secret Key)

どの場所からでも使用できる標準認証。

セキュリティー資格情報の構成について詳しくは、 AWS ユーザー・アカウントのセキュリティー資格情報の構成を参照してください。

EC2 インスタンス IAM ロール (EC2 Instance IAM Role)

ご使用の管理対象ホストが AWS EC2 インスタンスで実行されている場合、このオプションを選択すると、認証用にインスタンスに割り当てられているインスタンス・メタデータの IAM ロールが使用されます。 鍵は必要ありません。 この方法は、AWS EC2 コンテナー内で実行されている管理対象ホストに対してのみ動作します。

AWS ユーザー・アカウント用のセキュリティー資格情報を構成したときに生成されたアクセス・キー ID。

「アクセス・キー ID (Access Key ID)/ 秘密鍵 (Secret Key)」または「IAM ロールの指定」を選択した場合は、「アクセス・キー (Access Key)」パラメーターが表示されます。

AWS ユーザー・アカウント用のセキュリティー資格情報を構成したときに生成された秘密鍵。

「アクセス・キー ID (Access Key ID)/ 秘密鍵 (Secret Key)」または「IAM ロールの指定」を選択した場合は、「秘密鍵 (Secret Key)」パラメーターが表示されます。

「IAM ロールの指定」を有効にすると、「ロール ARN の指定 (assume Role ARN)」パラメーターが表示されます。

「IAM ロールの指定」を有効にすると、「ロール・セッション名の指定 (Assume Role Session Name)」パラメーターが表示されます。

この値は、パスフレーズ、GUID、アカウント番号など、任意のストリングにすることができます。

詳しくは、 How to use an external ID when 認可 access to your AWS resources to a third party (https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user_externalid.html) を参照してください。

「IAM 役割を想定します」を有効にした場合、 「役割外部 ID を想定します」 パラメーターが表示されます。

SQS イベント通知

選択した S3 フォルダーで構成されている ObjectCreated 通知を含む SQS キューをポーリングします。 次に、通知で参照されているファイルを S3 バケットからダウンロードして処理します。 単一のキューまたは個別のキューのいずれかを使用して、複数のバケットおよびアカウントをカバーすることができます。 この決定は、構成によって異なります。

詳しくは、 表 3を参照してください。

特定の接頭部を使用

指定されたフォルダー内のログが処理されます。 CloudTrail ログ・ソースの場合、接頭部は単一のアカウントまたは地域専用でなければなりません。 その他のログ・ソースの場合、接頭部は、各ファイル名の先頭に ISO8601 タイム・スタンプを持つファイルを含む単一のディレクトリーを指す必要があります。 各ファイル名のタイム・スタンプにより、プロトコルはこのメソッドを使用して新規イベントを収集します。

詳しくは、 表 2を参照してください。

例: us-east-1、eu-west-1、ap-northeast-3

AWS CloudTrail JSON

Amazon Cloud Trail 用の JSON 形式のイベントを含むファイル (.json.gz ファイルのみ)。

LINEBYLINE

1 行に 1 つのレコードを含む未加工のログ・ファイル。 gzip (.gz または .gzip) および zip (.zip) を使用した圧縮がサポートされます。

AWS VPC フロー・ログ

AWS ネイティブ /OCSF VPC フロー・ログを含むファイル (.txt.gz または gz.parquet ファイルのみ)。 このオプションは、 QRadarの 「ネットワーク・アクティビティー」 タブにフローを送信します。 出力がフロー・データであるため、構成されたログ・ソースには 「最終イベントの表示時刻」 が表示されません。

AWS ネットワーク・ファイアウォール・ログ

AWS ネットワーク・ファイアウォール・アラートまたはフロー・ログを含むファイル。 このオプションは、フロー・ログを 「ネットワーク・アクティビティー」 タブに送信し、アラート・ログをイベントとして QRadarの 「ログ・アクティビティー」 タブに送信します。 Amazon AWS Network Firewall DSM はログを解析します。

ヒント: ご使用のシステムがフローのライセンス交付を受けていない場合は、 LINEBYLINE プロセッサーを使用して、DSM が AWS Network Firewall ログを解析できるようにしてください。

W3C

Cisco Cloud Web サービス DSM で使用します (.gz ファイルのみ)。

シスコSSE CSV

Cisco Umbrella DSM と共に使用します (.gz ファイルのみ)。

Apache Parquet

Apache Parquet ファイルを JSON イベント (.gz.parquet および .parquet ファイルのみ) に変換するには、このオプションを選択します。

汎用CSV

ヘッダー行を持つCSVデータを含むファイルを、構造化されたキーと値のペアの出力に処理する。 出力はJSONまたは名前と値のペアから選択できます。 gzip (.gz または .gzip) および zip (.zip) を使用した圧縮がサポートされます。

Event Format パラメータで Generic CSVを選択すると、このパラメータを設定できます。

イベント形式パラメータで W3C または汎用 CSV を選択した場合、このパラメータを設定できます。

イベント形式パラメータで W3C または汎用 CSV を選択した場合、このパラメータを設定できます。

「イベント・フォーマット」 パラメーターで AWS VPC フロー・ログ または AWS ネットワーク・ファイアウォール を選択した場合は、このパラメーターを構成できます。

「イベント・フォーマット」 パラメーターで AWS VPC フロー・ログ または AWS ネットワーク・ファイアウォール を選択した場合は、このパラメーターを構成できます。

収集されたイベントが QRadar トラフィック分析エンジンを通過し、 QRadar が 1 つ以上のログ・ソースを自動的に検出するようにするには、このオプションを選択します。

このオプションを選択すると、オプションでログ・ソース ID パターンを使用して、処理中のイベントのカスタムログ・ソース IDを定義できます。

ゲートウェイ・ログ・ソースとして使用を選択した場合は、処理中のイベントのカスタム・ログ・ソース ID と、該当する場合に自動的に検出されるログ・ソースのカスタム・ログ・ソース ID を定義できます。 ログ・ソース ID パターン を構成しない場合、QRadar は、不明な汎用ログ・ソースとしてイベントを受け取ります。

カスタム・ログ・ソース ID を定義するには、キーと値のペアを使用します。 このキーは ID フォーマット・ストリングであり、生成されたソース値またはオリジン値です。 この値は、現在のペイロードを評価するために使用される、関連付けられた正規表現パターンです。 この値は、キーをさらにカスタマイズするために使用できるキャプチャー・グループもサポートします。

各パターンを新しい行に入力して、複数のキーと値のペアを定義します。 複数のパターンは、リストされている順序で評価されます。 一致が見つかると、カスタム・ログ・ソース ID が表示されます。

このオプションは、「詳細オプションを表示」が「はい」に設定されている場合に有効になります。

プルするファイルに一致するファイル・パターンの正規表現を入力します (例: .*?\.json\.gz)。

このオプションは、「詳細オプションを表示」が「はい」に設定されている場合に有効になります。

ターゲット・イベント・コレクターのローカル・ディレクトリー。 このディレクトリーは、AWS S3 REST API プロトコルがイベントの取得を試行する前に存在している必要があります。

このオプションは、「詳細オプションを表示」が「はい」に設定されている場合に有効になります。

AWS S3 REST API の照会に使用されるエンドポイント URL。

エンドポイント URL がデフォルトと異なる場合は、エンドポイント URL を入力します。 デフォルトは https://s3.amazonaws.comです。

パス形式アクセスを使用することを S3 要求に強制します。

この方法は、AWS によって非推奨になっています。 ただし、他の S3 互換 API を使用する場合に、この方法が必要になることがあります。 例えば、バケット名にピリオド (.)が含まれている場合は、 https://s3.region.amazonaws.com/bucket-name/key-name パス・スタイルが自動的に使用されます。 したがって、このオプションは必須ではありませんが、使用することができます。

QRadar がプロキシーを使用して Amazon Web サービスにアクセスする場合は、 「プロキシーの使用」を有効にします。

プロキシーが認証を必要とする場合、「プロキシー・サーバー」、「プロキシー・ポート」、「プロキシー・ユーザー名」、「プロキシー・パスワード」の各フィールドを構成します。

プロキシーが認証を必要としない場合、「プロキシー IP またはホスト名 (Proxy IP or Hostname)」フィールドを構成します。

新しいデータの有無を確認するスキャンのためにポーリングが行われる頻度。

SQS イベント収集方式を使用している場合、「SQS イベント通知 (SQS Event Notifications)」には最小値の 10(秒) を指定できます。 SQS キューのポーリングはより頻繁に行われる場合があるため、より小さい値を使用できます。

ディレクトリー接頭部イベント収集方式を使用している場合、「特定の接頭部の使用 (Use a Specific Prefix)」には最小値の 60 (秒) または 1M が指定されます。 AWS S3 バケットに対して listBucket 要求が行われるたびに、そのバケットを所有するアカウントに対して費用が発生するため、「繰り返し (Recurrence)」の値を小さくするほど、費用が増加します。

新しいデータに対してポーリングが行われる頻度を決定する時間間隔を入力します。 時間間隔には時間数 (H)、分数 (M)、または日数 (D) の値を含めることができます。 例えば、2H = 2 時間、15M = 15 分、30 = 30 秒です。

QRadar が取り込む 1 秒当たりのイベントの最大数。

データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。

デフォルトは 5000 です。