参照テーブルからのエンティティのインポート
参照テーブル QRadar から、(UEBA) アプリ IBM® QRadar® User Entity Behavior Analytics にエンティティデータを直接インポートすることができます。
始める前に
「エンティティのインポートウィザード」にアクセスできます。 詳細については、 『 QRadar 』 の「エンティティのインポート」 および「参照データの使用」を参照してください。
このタスクについて
UEBA参照テーブルのインポート機能により、参照テーブルとの QRadar 直接連携が可能となり、エンティティ情報を自動的に同期させることができます。
このインポート方法は、参照テーブル内で QRadar エンティティデータが継続的に維持・更新される環境に最適です。 設定の際、管理者は参照テーブルを選択し、エンティティ情報を含むフィールドをマッピングします。 UEBA 定義されたポーリングスケジュールに基づいて、設定されたデータを取得し、処理します。
QRadar参照テーブルのインポートは、データがから取得される際に検証されます。
インポートを正常に行うためには、各レコードに少なくとも1つの有効な資産識別子が含まれている必要があります：
- IPアドレス、あるいは
- MAC アドレス
UEBA有効な資産識別子が含まれていないレコードはスキップされ、. にはインポートされません。
以下の構成オプションを使用できます。
| オプション | 説明 |
|---|---|
| 構成名 | インポート設定の一意の識別子 |
| ポーリング間隔 (Polling Interval) | 参照テーブルのインポートにおける同期の頻度 |
| 取得制限 | ポーリングサイクルごとに処理されるエンティティの最大数 |
| 参照テーブルの同期 | QRadar インポートしたデータを参照テーブルと同期させるオプション |
手順
- ナビゲーションメニューから、 をクリックします。
- [インポートの作成] をクリックします。
- インポート元として 「参照テーブル」 を選択します。
- エンティティデータが含まれる「 QRadar 」共有参照テーブルを選択してください。
- 「サンプルデータのプレビュー」 をクリックします。
- ポーリング間隔を含む、同期設定を構成します。
- インポート設定を保存して有効にします。
- スケジュールされたポーリングが有効になっていることを確認してください。
- インポート状況を監視し、エンティティが正常にインポートされていることを確認してください。
結果
UEBA 各ポーリングサイクル中に、エンティティデータを自動的に取得して処理します。
参照テーブルのインポートについては、管理者は 「今すぐポーリング」 を使用して、即時の同期を実行することができます。 ポーリング間隔が 0 に設定されている場合、ポーリングは手動モードでのみ動作します。 ユーザーは、一覧ページの 「今すぐ投票」 ボタンを使用して投票を行うことができます。
次に実行するタスク
インポート設定をさらに追加することができます。