OpenStack

IBM QRadar DSM for OpenStack 은 OpenStack 디바이스에서 이벤트 로그를 수집합니다.

다음 표는 OpenStack DSM의 스펙을 식별합니다.
표 1. OpenStack DSM 스펙
스펙 값
제조업체 OpenStack
DSM 이름 OpenStack
RPM 파일 이름 DSM-OpenStackCeilometer-QRadar_version-build_number.noarch.rpm
지원되는 버전 V2015.1
프로토콜 HTTP 수신기
기록되는 이벤트 유형 감사 이벤트
자동 감지 여부 아니오
ID 포함 여부 아니오
사용자 정의 특성 포함 여부 아니오
자세한 정보 OpenStack 웹 사이트 (http://www.openstack.org/)
OpenStack 에서 QRadar로 이벤트를 전송하려면 다음 단계를 완료하십시오.
  1. 자동 업데이트가 활성화되어 있지 않은 경우 IBM® 지원 웹사이트에서 다음 RPM의 최신 버전을 다운로드하여 QRadar Console에 설치합니다:
    • PROTOCOL-HTTPReceiver RPM
    • OpenStack DSM RPM
  2. QRadar 콘솔에서 OpenStack 로그 소스를 추가하십시오. 다음 표에서는 OpenStack 이벤트 수집에 필수인 매개변수에 대해 설명합니다.
    표 2. OpenStack 로그 소스 매개변수
    매개변수 값
    로그 소스 유형 OpenStack
    로그 소스 ID 호스트 이름이 아닌 OpenStack 서버의 IP 주소입니다.
    프로토콜 구성 HTTP 수신자
    통신 유형 HTTP
    청취 포트 OpenStack 이 QRadar와 통신하는 데 사용하는 포트 번호입니다.
    중요: 포트 514를 사용하지 마십시오. 포트 514는 표준 Syslog 리스너가 사용합니다.
    메시지 패턴 ^\{"typeURI
  3. QRadar와 통신하도록 OpenStack 디바이스를 구성하십시오.
다음 표에서는 OpenStack DSM에 대한 샘플 이벤트 메시지를 제공합니다.
중요: 형식화 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 후 캐리지 리턴 또는 줄 바꾸기 문자를 제거하십시오.
표 3. OpenStack 디바이스에서 지원되는 OpenStack 샘플 메시지
이벤트 이름 하위 레벨 카테고리 샘플 로그 메시지
모든 서버에 대한 세부사항을 나열합니다. 읽기 활동 시도 
 {"typeURI": "http://schemas.dmtf.org/cloud/audit/1.0/event", "eventTime": "2014-12-09T00:18:52.063878+0000", "target": {"typeURI": "service/compute/servers/detail", "id": "openstack:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", "name": "nova", "addresses": [{"url": "http://<IP_address>:8774/v2/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", "name": "admin"}, {"url": "http://<IP_address>:8774/v2/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", "name": "private"}, {"url": "http://<IP_address>:8774/v2/xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", "name": "public"}]}, "observer": {"id": "target"}, "tags": ["correlation_id?value=openstack:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"], "eventType": "activity", "initiator": {"typeURI": "service/security/account/user", "name": "admin", "credential": {"token": "xxxx xxxxxxxx xxxx", "identity_status": "Confirmed"}, "host": {"agent": "python-novaclient", "address": "<IP_address>"}, "project_id": "openstack:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx", "id": "openstack:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"}, "action": "read/list", "outcome": "pending", "id": "openstack:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",