Criando e editando origens de log de Fluxo de VPC

Veja uma visão geral de VPC Flow Logs que você tem em todas as contas do Amazon AWS , veja quais origens de log do QRadar® VPC Flow estão atualmente configuradas e visualize ou edite essas origens de log

Antes de iniciar

Para modificar informações da origem de log, solicite ao administrador que conceda a você a permissão "Gerenciar origens de log".

Procedimento

  1. Na guia Utilitários para configurar serviços AWS para QRadar , clique em Origens de log > Logs de fluxo de VPC.
  2. Opcional: Filtre as origens de log pelo grau em que as regiões são cobertas ou pelos avisos ou erros para cada origem de log. Acesse a barra lateral Filtros, clicando no ícone do filtro na parte superior esquerda da página de visualização.
  3. Para criar uma origem de log, clique em Criar na coluna QRadar e selecione a opção de fila SQS para usar: existente ou novo.
  4. Para usar uma fila SQS existente, use as etapas a seguir:
    1. Crie a origem do log, em seguida, clique em Enviar.
  5. Para criar uma fila SQS, use as etapas a seguir:
    1. Siga o conjunto de instruções vinculadas no IBM Knowledge Center.
    2. Clique em Atualizar, escolha a URLda fila SQS recém-criada e clique em Avançar.
    3. Crie a origem do log, em seguida, clique em Enviar.
  6. Opcional: para editar uma origem de log, clique no link do nome da origem de log na coluna QRadar , clique em Editare preencha a janela de configuração que se abre. Clique em Enviar quando tiver concluído.
  7. Opcional: para excluir uma origem de log. Clique no link do nome da origem de log na coluna QRadar e, em seguida, clique em Excluir no Resumo da origem de log. ..
    Não é possível desfazer a ação.
  8. Se os fluxos esperados não aparecerem na guia Logs de fluxo do VPC: , conclua as seguintes etapas:
    1. No console do QRadar , clique na guia Administrador e, em seguida, clique em Configuração do sistema > Configurações do Sistema.
    2. Clique no menu Configurações do QFlow e no campo Codificação de campo adicional IPFix , escolha o formato TLV ou TLV e carga útil .
    3. Clique em Salvar
    4. Na barra de menus na guia Administrador , clique em Implementar configuração completa e confirme suas mudanças.
      Aviso: ao implementar a configuração integral, os serviços do QRadar são reiniciados. Durante esse tempo, eventos e fluxos não são coletados e não são geradas ofensas.
    5. Atualize o navegador.