IBM Security QRadar EDR REST API プロトコルの構成オプション
IBM Security QRadar EDR からのイベントを受け取るには、IBM Security QRadar EDR REST API プロトコルで通信するようにログソースを設定します。
IBM Security QRadar EDR REST API プロトコルは、アクティブな通信または情報の引き出しを行っているマルウェアの確認済みインシデントに関するアラートを提供するアクティブなアウトバウンド・プロトコルです。
- IBM Security QRadar EDR コンソールにログインします。
- 「管理」 タブで、 「API アプリケーション」を選択し、 「アプリケーションの作成」をクリックします。
- 「アプリケーション名」 フィールドに、アプリケーションの固有の名前を入力します。 次に、 「作成」をクリックします。
- App ID と 「秘密鍵」 の値をコピーして保存します。 IBM Security QRadar EDRのログ・ソースを追加するには、これらの値が必要です。
以下の表で、 IBM Security QRadar EDR REST API プロトコル用のプロトコル固有のパラメーターについて説明します。
| パラメーター | 説明 |
|---|---|
| プロトコル構成 | IBM セキュリティ QRadar EDR REST API |
| ログ・ソース ID | ログ・ソースの固有名を入力します。 「ログ・ソース ID」には、任意の有効な値を使用でき、特定のサーバーを参照する必要はありません。 また、 「ログ・ソース名」と同じ値にすることもできます。 複数の IBM Security QRadar EDR ログ・ソースが構成されている場合は、それぞれに固有の名前を付けてください。 |
| サーバー・アドレス | IBM Security QRadar EDR サーバーの IP アドレスまたはホスト名。 |
| App ID | IBM Security QRadar EDR アプリケーション構成からコピーして保存した App ID の値。 |
| 秘密鍵 | IBM Security QRadar EDR アプリケーション構成からコピーして保存した 「秘密鍵」 の値。 |
| プロキシーの使用 (Use Proxy) | プロキシーを使用して API にアクセスする場合は、このチェック・ボックスを選択します。 「プロキシー IP またはホスト名 (Proxy IP or Hostname)」、「プロキシー・ポート」、「プロキシー・ユーザー名」、および「プロキシー・パスワード」の各フィールドを構成します。 プロキシーが認証を必要としない場合、「プロキシー・ユーザー名」フィールドと「プロキシー・パスワード」フィールドはブランクのままでかまいません。 |
| 繰り返し (Recurrence) | ログがデータを収集する頻度を指定します。 値は、分 (M)、時間 (H)、または日 (D) で指定できます。 デフォルトは、1 分です。 |
| EPS スロットル | QRadar が取り込む 1 秒当たりのイベントの最大数。 データ・ソースが EPS スロットルを超える場合、データ収集は遅延されます。 データは引き続き収集され、データ・ソースが EPS スロットルを超えて停止すると取り込まれます。 デフォルトは 5000 です。 |
| 拡張オプションを有効にする | 「信頼できないものを許可」、 「ワークフローのオーバーライド」、 「ワークフロー」、および 「ワークフロー・パラメーター」の構成オプションを有効にするには、このチェック・ボックスを選択します。 これらのパラメーターは、このチェック・ボックスを選択した場合にのみ表示されます。 |
| 信頼できないものを許可 | このパラメーターを有効にすると、プロトコルは、/opt/qradar/conf/trusted_certificates/ディレクトリー内にある自己署名証明書および信頼できない証明書を受け入れることができます。 このパラメーターを無効にすると、スキャナーは、信頼できる署名者によって署名された証明書のみを信頼します。 証明書は、PEM または RED でエンコードされたバイナリー形式で、.crtファイルまたは.certファイルとして保存する必要があります。 「信頼できない証明書を許可」 パラメーターにハードコーディングされた値を含めるようにワークフローを変更すると、UI での選択内容がワークフローによってオーバーライドされます。 このパラメーターをワークフローに含めない場合は、UI での選択が使用されます。 |
| ワークフローのオーバーライド | ワークフローをカスタマイズするには、このオプションを有効にします。 このオプションを有効にすると、ワークフロー・パラメーターとワークフロー・パラメーター・パラメーターが表示されます。 |
| ワークフロー | プロトコル・インスタンスがターゲット API からイベントを収集する方法を定義する XML 文書。 デフォルト・ワークフローについて詳しくは、 IBM Security QRadar EDR REST API プロトコルのワークフローを参照してください。 |
| ワークフローのパラメーター | ワークフローによって直接使用されるパラメーター値が含まれている XML 文書。 デフォルトのワークフロー・パラメーターについて詳しくは、 IBM Security QRadar EDR REST API プロトコルのワークフローを参照してください。 |