QRadar 와 통신하도록 Epic SIEM 2017 구성

IBM QRadar에서 이벤트를 수집하려면 Epic SIEM 2017시스템에서 메시징 큐 값을 구성해야 합니다.

1. 명령행에서 상호 연결 관리자 메뉴 > 메시징 큐 설정을 선택하십시오.
2. EMPSYNC큐를 작성하려면 별표 (*) 를 입력하십시오.
3. 각 프롬프트에 대해 다음 표에서 식별된 큐 값을 입력하십시오.

   표 1. EMPSYNC 프롬프트의 큐 값

   프롬프트	값
   큐 ID	큐의 ID를 입력하십시오.
   큐 이름	EMPSYNC
   디스크립터	EMPSYNC
   노드에서 실행	Enter 키를 누르십시오. 값은 자동으로 채워집니다.
   IC 서버	값을 입력하지 않고 Enter 키를 누르십시오.
   이 큐에 대한 고급 설정을 편집하시겠습니까?	예
   이 큐가 동기 전송 메시지를 처리합니까?	예
   이 디스크립터를 전송 통신을 위한 큐 유형과 연관시키시겠습니까?	예
   큐 유형	EMP

4. EMPASYNC큐를 작성하려면 별표 (*) 를 입력하십시오.
5. 각 프롬프트에 대해 다음 표에서 식별된 큐 값을 입력하십시오.

   표 2. EMPASYNC 프롬프트에 대한 큐 값

   프롬프트	값
   큐 ID	큐의 ID를 입력하십시오.
   큐 이름	엠파싱크
   디스크립터	엠파싱크
   노드에서 실행	Enter 키를 누르십시오. 값은 자동으로 채워집니다.
   IC 서버	값을 입력하지 않고 Enter 키를 누르십시오.
   이 큐에 대한 고급 설정을 편집하시겠습니까?	예
   이 큐가 동기 전송 메시지를 처리합니까?	아니오
   이 디스크립터를 전송 통신을 위한 큐 유형과 연관시키시겠습니까?	예
   큐 유형	EMP

6. Kuiper를 사용하여 새 상호 연결 인스턴스를 배치하십시오.
7. 시작 > Epic 2017 > 상호 연결 > your_instance > 구성 편집기를 클릭하여 Windows에서 상호 연결 구성 편집기 에 액세스하십시오.
8. 일반 웹 서비스 호스트 역할을 선택하십시오.
9. 캐시 연결에서 큐 유형별로 큐를 수동으로 추가하십시오 ( EMP).
10. 스레드 수를 2로 설정하십시오.

    스레드 수 권장사항에 대한 자세한 정보는 Epic 문서를 참조하십시오.

    중요: 비즈니스 서비스 탭에서 서비스를 사용하지 마십시오.
11. Epic 서버에 로그인하십시오.
12. 에픽 시스템 정의 (%ZeUSTBL) > 보안 > 감사 옵션 > SIEM 시스로그 설정을 클릭합니다.
13. SIEM Syslog 구성을 선택한 후 다음 매개변수를 구성하십시오.

    매개변수	값
    SIEM 호스트	QRadar Event Collector 호스트 이름 또는 IP 주소입니다.
    SIEM 포트	514
    SIEM 형식	LEEF (로그 이벤트 확장 형식)
    애플리케이션 계층 응답 확인	사용 안함

14. SIEM Syslog 설정 메뉴로 돌아가십시오.
15. SIEM 시스템에 들어오는 트래픽을 줄이려면 시스템에 필요하지 않은 감사 이벤트를 사용 안함으로 설정하십시오.
    1. SIEM Syslog 구성 옵션 > 이벤트 목록 편집을 클릭하십시오.
    2. 이벤트 목록 편집에서 사용하지 않을 각 이벤트에 대해 T 를 선택하십시오.
    3. 종료하려면 Q 를 누르십시오.
16. SIEM Syslog 를 선택하고 사용으로 설정하십시오.
    참고: 환경이 runlevel Up 으로 설정되거나 SIEM Syslog를 사용으로 설정하면 SIEM Syslog 전송 디먼이 자동으로 시작됩니다. 디먼을 중지하려면 SIEM Syslog 설정 메뉴에서 SIEM Syslog 를 클릭하고 이를 사용 안함으로 설정하십시오.