IBM Proventia Management SiteProtector

IBM QRadar 用の IBM® Proventia ® Management SiteProtector DSM は、 SiteProtector データベースをポーリングすることによって SiteProtector イベントを受け入れます。

DSM により、 QRadar は、 IBM SiteProtector データベースから直接、侵入防止システム (IPS) イベントおよび監査イベントを記録できます。

注: IBM Proventia Management SiteProtector DSM では、監査イベントを収集するために最新の JDBC プロトコルが必要です。

IBM QRadar 用の IBM Proventia Management SiteProtector DSM は、1 次 SensorData1 表から情報を読み取ることにより、詳細な SiteProtector イベントを受け入れることができます。 SensorData1 表は、 IBM SiteProtector データベース内の他のいくつかの表からの情報を使用して生成されます。イベント収集では SensorData1 が常にプライマリー・テーブルになります。

IDP イベントには、SensorData1 からの情報とともに、以下のテーブルからの情報が含まれます。

SensorDataAVP1
SensorDataReponse1

監査イベントには、以下のテーブルからの情報が含まれます。

AuditInfo
AuditTrail

監査イベントはデフォルトで収集されません。「監査イベントを含む」チェック・ボックスを選択した場合、AuditInfo テーブルと AuditTrail テーブルに別個に照会を行ってください。 SiteProtector データベース表について詳しくは、ベンダーの資料を参照してください。

SiteProtector,と統合するためにQRadarを設定する前に、SiteProtectorでQRadar用のデータベースユーザーアカウントとパスワードを作成することをお勧めします。

QRadar ユーザーには、 SiteProtector イベントを保管する SensorData1 テーブルに対する読み取り権限が必要です。 JDBC - SiteProtector プロトコルにより、 QRadar はログインして、データベースからのイベントをポーリングできます。 QRadar アカウントを作成する必要はありませんが、イベント・データを追跡および保護するために作成することをお勧めします。

注: SiteProtector コンソールと QRadarの間の通信をブロックしているファイアウォール・ルールがないことを確認してください。