プロトコル構成オプション

ログソースの種類

Akamai KONA

プロトコル設定

Akamai Kona REST API

ホスト

Host 値は、Akamai Luna Control Center での SIEM OPEN API プロビジョニング中に提供されます。ホストは、セキュリティ イベントを照会するための適切な権限に関する情報を含む一意のベース URL です。値の一部にシークレット クライアント情報が含まれているため、このパラメーターはパスワード フィールドです。

クライアントトークン

クライアントトークンは、2つのセキュリティパラメータのうちの1つです。このトークンはクライアントシークレットとペアになって、クライアント資格情報を作成します。このトークンは、Akamai SIEM OPEN API のプロビジョニング後に確認できます。

クライアントシークレット

クライアントシークレットは、2つのセキュリティパラメータのうちの1つです。このシークレットは、クライアント資格情報を作成するためにクライアントトークンとペアになります。このトークンは、Akamai SIEM OPEN API のプロビジョニング後に確認できます。

入力し

アクセストークンは、セキュリティイベントを取得するためのAPIクライアントアクセスを承認するためにクライアント資格情報とともに使用されるセキュリティパラメータです。このトークンは、Akamai SIEM OPEN API のプロビジョニング後に確認できます。

セキュリティ構成 ID

Security Configuration ID は、セキュリティ イベントを取得する各セキュリティ コンフィギュレーションの ID です。この ID は、Akamai Luna ポータルの [SIEM 統合] セクションにあります。複数のコンフィギュレーション ID をカンマで区切って指定できます。たとえば、configID1,configID2 などです。

プロキシを使用

JSA がプロキシを使用して Amazon Web Service にアクセスする場合は、[プロキシの使用] を有効にします。

プロキシで認証が必要な場合は、[ プロキシ サーバー]、[プロキシ ポート]、[プロキシ ユーザー名]、および [プロキシ パスワード] フィールドを設定します。

プロキシが認証を必要としない場合は、[ プロキシ IP ] または [ホスト名] フィールドを設定します。

サーバー証明の自動取得

JSAがサーバー証明書を自動的にダウンロードし、ターゲットサーバーの信頼を開始するには、[はい]を選択します。

再発

新しいイベントのために Akamai SIEM API にログソースを照会する間隔。時間間隔は、時間(H)、分(M)、または日(D)です。既定値は 1 分です。

EPSスロットル

1秒あたりの最大イベント数。デフォルトは 5000 です。

プロトコル設定

Amazon AWS S3 REST API

ログソース識別子

ログ・ソースの固有の名前を入力します。

ログソース ID は任意の有効な値にすることができ、特定のサーバーを参照する必要はありません。「ログソース ID」は、「ログソース名」と同じ値にすることができます。設定された Amazon AWS CloudTrail ログ・ソースが複数ある場合は、最初のログ・ソースを awscloudtrail1 、2 番目のログ・ソースを awscloudtrail2 として、3 番目のログ・ソースを awscloudtrail3 として識別できます。

認証方法

• アクセスキーID/秘密鍵 – どこからでも使用できる標準認証。

• EC2 インスタンス IAM ロール - マネージドホストが AWS EC2 インスタンスで実行されている場合、このオプションを選択すると、認証のためにインスタンスに割り当てられたインスタンスメタデータの IAM ロールが使用されます。キーは必要ありません。この方法は、AWS EC2 コンテナ内で実行されているマネージドホストに対してのみ機能します。

アクセスキー

AWS ユーザーアカウントのセキュリティ認証情報を設定したときに生成されたアクセスキー ID

[ Access Key ID / 秘密鍵 ] または [ IAM ロールを引き受ける] を選択した場合は、[ Access Key ] パラメータが表示されます。

秘密鍵

AWS ユーザーアカウントのセキュリティ認証情報を設定したときに生成された秘密鍵。

「 アクセス・キーID/秘密鍵 」または 「IAMロールを引き受ける」を選択した場合は、「 秘密鍵 」パラメータが表示されます。

IAM ロールを引き受ける

アクセスキーまたは EC2 インスタンスの IAM ロールで認証することで、このオプションを有効にします。その後、アクセスの IAM ロールを一時的に引き受けることができます。

ロール ARN の引き受け

引き受けるロールの完全な ARN。「arn:」で始まる必要があり、先頭または末尾のスペース、または ARN 内にスペースを含めることはできません。

[Assume an IAM Role] を有効にした場合は、[Assume Role ARN] パラメータが表示されます。

ロールセッション名を引き受ける

引き受けるロールのセッション名。デフォルトは QRadarAWSSession です。変更する必要がない場合は、デフォルトのままにしておきます。このパラメーターに使用できるのは、大文字と小文字の英数字、アンダースコア、または =,.@- のいずれかの文字のみです。

[Assume an IAM Role] を有効にした場合は、[Assume Role Session Name] パラメータが表示されます。

イベント形式

AWS クラウドトレイル JSON

AWS ネットワーク ファイアウォール

AWS VPC フローログ

Cisco Umbrella CSB

LINEBYLINE[ラインバイライン]

W3Cの

地域名

SQS キューまたは AWS S3 バケットが存在するリージョン。

Example: us-east-1, eu-west-1, ap-northeast-3

ゲートウェイ・ログ・ログソースとして使用

収集されたイベントが JSA トラフィック分析エンジンを通過し、 JSA が1つ以上のログ・ソースを自動的に検出するには、このオプションを選択します。

詳細オプションを表示

イベントデータをカスタマイズする場合は、このオプションを選択します。

ファイルパターン

このオプションは、[ 詳細オプションの表示 ] を [はい] に設定した場合に使用できます。

プルするファイルに一致するファイルパターンの正規表現を入力します。 たとえば、.*?\.json\.gz

ローカルディレクトリ

このオプションは、[ 詳細オプションの表示 ] を [はい] に設定した場合に使用できます。

ターゲット・イベント・コレクターのローカル・ディレクトリー。このディレクトリは、AWS S3 REST API プロトコルがイベントの取得を試みる前に存在している必要があります。

S3 エンドポイント URL

このオプションは、[ 詳細オプションの表示 ] を [はい] に設定した場合に使用できます。

AWS S3 REST API のクエリに使用されるエンドポイント URL。

エンドポイント URL がデフォルトと異なる場合は、エンドポイント URL を入力します。デフォルトは https:// s3.amazonaws.com です

S3 パススタイルアクセスを使用する

S3 リクエストにパススタイルのアクセスの使用を強制します。

このメソッドは AWS によって非推奨です。ただし、他の S3 互換 API を使用する場合は、必要になる場合があります。

プロキシを使用

JSA がプロキシを使用して Amazon Web Service にアクセスする場合は、[プロキシの使用] を有効にします。

プロキシで認証が必要な場合は、[ プロキシ サーバー]、[プロキシ ポート]、[プロキシ ユーザー名]、および [プロキシ パスワード] フィールドを設定します。

プロキシが認証を必要としない場合は、[ プロキシ IP またはホスト名(Proxy IP or Hostname )] フィールドを設定します。

再発

新しいデータをスキャンするためにポーリングが行われる頻度。

SQS イベント収集方式を使用している場合、 SQS イベント通知の 最小値は 10 (秒) です。SQS キューのポーリングはより頻繁に発生する可能性があるため、より低い値を使用できます。

ディレクトリ プレフィックス イベント収集方法を使用している場合、[ 特定のプレフィックスを使用 ] の最小値は 60 (秒) または 1M です。AWS S3 バケットへのすべての listBucket リクエストでは、バケットを所有するアカウントにコストが発生するため、繰り返しの値が小さいほどコストが増加します。

リモート・ディレクトリで新しいイベント・ログ・ファイルをスキャンする頻度を決定する時間間隔を入力します。最小値は 1 分です。時間間隔には、時間(H)、分(M)、または日(D)の値を含めることができます。たとえば、2H = 2 時間、15 M = 15 分です。

EPSスロットル

フローパイプラインに送信される 1 秒あたりのイベントの最大数。デフォルトは 5000 です。

EPSスロットル値が受信レートよりも高いことを確認してください、またはデータ処理が遅れる可能性があります。

S3 の収集方法

[ 特定のプレフィックスを使用する] を選択します。

バケット名

ログファイルが保存されている AWS S3 バケットの名前。

ディレクトリプレフィックス

CloudTrail ログの取得元である AWS S3 バケット上のルートディレクトリの場所。 たとえば、AWSLogs/<AccountNumber>/CloudTrial/<RegionName>/ です。

バケットのルートディレクトリからファイルを取得するには、 ディレクトリプレフィックス ファイルパスにスラッシュ(/)を使用する必要があります。

S3 の収集方法

[ SQS イベント通知] を選択します。

SQS キュー URL

S3 から ObjectCreated イベントの通知を受信するように設定された SQS キューの で始まる完全な URL。

生産者

アマゾン

DSM名

カスタム・ログ・ソース・タイプ

RPM ファイル名

AWS S3 REST API プロトコル

サポートされているバージョン

フローログv5

議定書

AWS S3 REST API プロトコル

イベント形式

JSA フロー ソースを使用した IPFIX

記録されるイベントの種類

ネットワークフロー

自動検出されますか?

いいえ

アイデンティティは含まれていますか?

いいえ

カスタムプロパティが含まれているか

いいえ

詳しく

(https:// docs.aws.amazon.com/vpc/latest/userguide/flowlogs. html)

プロトコル設定

「プロトコル構成」リストから 「アマゾン ウェブ・サービス 」を選択します。

認証方法

• アクセスキー ID/秘密鍵 — どこからでも使用できる標準認証。

• EC2 インスタンス IAM ロール — JSA 管理対象ホストが AWS EC2 インスタンスで実行されている場合、このオプションを選択すると、認証のためにインスタンスに割り当てられているメタデータの IAM ロールが使用されます。キーは必要ありません。この方法は、AWS EC2 コンテナ内で実行されているマネージドホストに対してのみ機能します。

アクセスキー

AWS ユーザーアカウントのセキュリティ認証情報を設定したときに生成されたアクセスキー ID。

「アクセスキーID/秘密鍵」を選択した場合は、「アクセスキー」パラメータが表示されます。

秘密鍵

AWS ユーザーアカウントのセキュリティ認証情報を設定したときに生成された秘密鍵。

「アクセスキーID/秘密鍵」を選択した場合は、「アクセスキー」パラメータが表示されます。

地域

ログを収集するアマゾン ウェブ サービスに関連付けられている各リージョンのチェック ボックスをオンにします。

その他の地域

ログを収集するアマゾン ウェブ サービスに関連付けられている追加のリージョンの名前を入力します。複数のリージョンから収集するには、次の例に示すように、コンマ区切りのリストを使用します。 region1,region2

AWS のサービス

アマゾン ウェブ サービスの名前。 [AWS サービス ] リストから [ CloudWatch Logs] を選択します。

ログ・グループ

ログを収集する Amazon CloudWatch のロググループの名前。

ログ・ストリーム (オプション)

ログ・グループ内のログ ストリームの名前。ログ・グループ内のすべてのログ・ストリームからログを収集する場合は、このフィールドをブランクのままにします。

フィルターパターン(オプション)

収集したイベントをフィルタリングするためのパターンを入力します。このパターンは正規表現フィルターではありません。指定した正確な値を含むイベントのみが CloudWatch Logs から収集されます。[フィルタ パターン(Filter Pattern)] の値として「ACCEPT」と入力すると、次の例に示すように、ACCEPT という単語を含むイベントのみが収集されます。

{LogStreamName: LogStreamTest,Timestamp: 0,
Message: ACCEPT OK,IngestionTime: 0,EventId: 0}

元のイベントを抽出

CloudWatch ログに追加された元のイベントのみを JSA に転送するには、このオプションを選択します。

CloudWatch ログは、受信したイベントを追加のメタデータでラップします。

元のイベントは、CloudWatch ログから抽出されたメッセージキーの値です。次の CloudWatch ログイベント例は、CloudWatch ログから抽出された元のイベントを太字で示しています。

{"owner":"123456789012","subscriptionFilters":
["allEvents"],"logEvents":
[{"id":"35093963143971327215510178578576502306458824699048362100","mes
sage":"{\"eventVersion\":\"1.05\",\"userIdentity\":
{\"type\":\"AssumedRole\",\"principalId\":\"ARO1GH58EM3ESYDW3XHP6:test
_session\",\"arn\":\"arn:aws:sts::123456789012:assumed-role/
CVDevABRoleToBeAssumed/
test_visibility_session\",\"accountId\":\"123456789012\",\"accessKeyId
\":\"ASIAXXXXXXXXXXXXXXXX\",\"sessionContext\":{\"sessionIssuer\":
{\"type\":\"Role\",\"principalId\":\"AROAXXXXXXXXXXXXXXXXX\",\"arn\":\
"arn:aws:iam::123456789012:role/
CVDevABRoleToBeAssumed\",\"accountId\":\"123456789012\",\"userName\":\
"CVDevABRoleToBeAssumed\"},\"webIdFederationData\":{},\"attributes\":
{\"mfaAuthenticated\":\"false\",\"creationDate\":\"2019-11-13T17:01:54
Z\"}}},\"eventTime\":\"2019-11-13T17:43:18Z\",\"eventSource\":\"cloudt
rail.amazonaws.com\",\"eventName\":\"DescribeTrails\",\"awsRegion\":\"
apnortheast-
1\",\"sourceIPAddress\":\"192.0.2.1\",\"requestParameters\":
null,\"responseElements\":null,\"requestID\":\"41e62e80-
b15d-4e3f-9b7e-b309084dc092\",\"eventID\":\"904b3fda-8e48-46c0-a923-
f1bb2b7a2f2a\",\"readOnly\":true,\"eventType\":\"AwsApiCall\",\"recipi
entAccountId\":\"123456789012\"}","timestamp":1573667733143}],"message
Type":"DATA_MESSAGE","logGroup":"CloudTrail/
DefaultLogGroup","logStream":"123456789012_CloudTrail_us-east-2_2"}

ゲートウェイ・ログ・ログソースとして使用

イベントにカスタム・ログ・ソース ID を定義しない場合は、このチェック・ボックスがクリアされていることを確認してください。

ログソース識別子パターン

「 ゲートウェイ・ログソースとして使用」を選択した場合は、このオプションを使用して、処理中のイベントのカスタム・ログソース識別子を定義します。

キーと値のペアを使用して、カスタム・ログソース識別子を定義します。キーは、結果のソースまたはオリジン値である識別子フォーマット文字列です。値は、現在のペイロードの評価に使用される関連する正規表現パターンです。この値は、キーをさらにカスタマイズするために使用できるキャプチャ グループもサポートしています。

新しい行に各パターンを入力して、複数のキーと値のペアを定義します。複数のパターンは、リストされている順序で評価されます。一致が見つかると、カスタム・ログソース ID が表示されます。

次の例は、複数のキーと値のペア関数を示しています。

• パターン - VPC=\sREJECT\sFAILURE

  $1=\s(拒否)\sOK

  VPC-$1-$2=\s(受け入れ可能)\s(OK)

• イベント - {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}

• 結果のカスタム・ログ・ソース ID -

  VPC-ACCEPT-OK

プロキシを使用

JSAがプロキシを使用してAmazon Web Serviceにアクセスする場合は、このオプションを選択します。

プロキシで認証が必要な場合は、[ プロキシ サーバー]、[プロキシ ポート]、[プロキシ ユーザー名]、および [プロキシ パスワード] フィールドを設定します。プロキシが認証を必要としない場合は、[ プロキシ サーバー ] フィールドと [プロキシ ポート ] フィールドを設定します。

サーバー証明の自動取得

JSAがサーバー証明書を自動的にダウンロードし、ターゲットサーバーの信頼を開始するには、[はい]を選択します。

このオプションを使用して、新しく作成されたログ・ソースを初期化して証明書を取得したり、期限切れの証明書を置き換えたりすることができます。

EPSスロットル

1 秒あたりの最大イベント数 (EPS) の上限。デフォルトは 5000 です。

「 ゲートウェイ・ログソースとして使用 」オプションが選択されている場合、この値はオプションです。

EPS スロットル パラメーター値を空白のままにすると、 JSA によって EPS 制限は課されません。

ブートストラップ サーバ リスト

<hostname/ip>:<port>ブートストラップサーバー(またはサーバー)。この例のように、複数のサーバーをコンマで区切ったリストで指定できます。 hostname1:9092,10.1.1.1:9092

コンシューマグループ

このログ・ソースが属するコンシューマー・グループを識別する固有のストリングまたはラベル。

Kafka トピックにパブリッシュされた各レコードは、サブスクライブしている各コンシューマーグループ内の 1 つのコンシューマーインスタンスに配信されます。Kafka は、これらのラベルを使用して、グループ内のすべてのコンシューマーインスタンスでレコードを負荷分散します。

トピックのサブスクリプション方法

Kafka トピックをサブスクライブするために使用されるメソッド。「 トピックの一覧表示」 オプションを使用して、特定のトピックのリストを指定します。 「正規表現パターンマッチング 」オプションを使用して、使用可能なトピックと照合する正規表現を指定します。

トピック・リスト

サブスクライブするトピック名のリスト。リストはコンマで区切る必要があります。たとえば、「 Topic1,Topic2,Topic3」のように入力します。

このオプションは、「トピックのサブスクリプション方法」オプションで「トピックの一覧表示」が選択されている場合にのみ表示されます。

トピック・フィルター・パターン

サブスクライブするトピックに一致する正規表現。

このオプションは、「トピック・サブスクリプション・メソッド」オプションで「正規表現パターン・マッチング」が選択されている場合にのみ表示されます。

SASL 認証を使用する

このオプションは、SASL 認証構成オプションを表示します。

クライアント認証なしで使用する場合は、サーバー証明書のコピーを /opt/qradar/conf/ trusted_certificates/ ディレクトリに配置する必要があります。

クライアント認証を使用する

クライアント認証構成オプションを表示します。

/キーストア/トラストストアタイプ

キーストアおよびトラストストア・タイプのアーカイブ・ファイル形式。アーカイブ・ファイル・フォーマットでは、以下のオプションを使用できます。

• JKS

• PKCS12

トラストストアのファイル名

トラストストア・ファイルの名前。トラストストアは /opt/qradar/conf/trusted_certificates/kafka/ に配置する必要があります。

このファイルには、ユーザー名とパスワードが含まれています。

キーストアのファイル名

キーストア・ファイルの名前。鍵ストアは /opt/qradar/conf/trusted_certificates/kafka/ に配置する必要があります。

このファイルには、ユーザー名とパスワードが含まれています。

ゲートウェイ・ログ・ログソースとして使用

このオプションを使用すると、収集されたイベントが JSA トラフィック分析エンジンを通過し、適切なログ・ソースを自動的に検出できます。

ログソース識別子パターン

「 ゲートウェイ・ログソースとして使用 」チェック・ボックスが選択されている場合、処理中のイベントのカスタム・ログソース識別子を定義します。

キーと値のペアは、カスタム・ログソース識別子を定義するために使用されます。キーは、結果のソースまたはオリジン値である識別子フォーマット文字列です。値は、現在のペイロードの評価に使用される関連する正規表現パターンです。この値は、キーをさらにカスタマイズするために使用できるキャプチャ グループもサポートしています。

複数のキーと値のペアは、新しい行に各パターンを入力することで定義されます。複数のパターンは、リストされている順序で評価されます。一致が見つかると、カスタム・ログソース識別子が表示されます。

次の例は、複数のキーと値のペア関数を示しています。

パターン

1. VPC=\sREJECT\sFAILURE

2. $1=\s(REJECT)\sOK

3. VPC-$1-$2=\s(ACCEPT)\s(OK)

イベント

1. {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}

結果のカスタム・ログ・ソース ID

1. VPC-ACCEPT-OK

文字シーケンスの置換

イベント ペイロード内の特定のリテラル文字シーケンスを実際の文字に置き換えます。次のオプションの 1 つ以上を使用できます。

• 改行(CR LF) 文字 (\r\n)

• 改行文字 (\n)

• キャリッジリターン文字 (\r)

• タブ文字 (\t)

• スペース文字 (\s)

EPSスロットル

1秒あたりの最大イベント数(EPS)。フィールドが空の場合、調整は適用されません。

APIユーザー名

Blue Coat Web Security Service での認証に使用される API ユーザー名。APIユーザー名は、Blue Coat Threat Pulseポータルから設定されます。

パスワード

Blue Coat Webセキュリティサービスでの認証に使用されるパスワード。

パスワードの確認

[パスワード] フィールドの確認。

プロキシを使用

プロキシを設定すると、ログ・ソースのすべてのトラフィックは、 JSA のプロキシを経由してBlue Coat Webセキュリティ・サービスにアクセスします。

[プロキシ IP またはホスト名(Proxy IP or Hostname)]、[プロキシ ポート(Proxy Port)]、[プロキシ ユーザ名(Proxy Username)]、および [プロキシ パスワード(Proxy Password)] フィールドを設定します。プロキシが認証を必要としない場合は、[プロキシ ユーザー名(Proxy Username)] フィールドと [プロキシ パスワード(Proxy Password)] フィールドを空白のままにすることができます。

再発

ログがデータを収集するタイミングを指定できます。形式は、月/時間/日を表す M/H/D です。デフォルトは 5 M です。

EPSスロットル

1 秒あたりの最大イベント数 (EPS) の上限。デフォルトは 5000 です。

ログソースの種類

Centrify IDプラットフォーム

プロトコル設定

Centrify Redrock REST API

ログソース識別子

ログ・ソースの固有の名前。

ログソース ID は任意の有効な値にすることができ、特定のサーバーを参照する必要はありません。「ログソース ID」は、「 ログソース名」と同じ値にすることができます。構成されている Centrify Identity Platform ログ・ソースが複数ある場合は、最初のログ・ソースを centrify1、2 番目のログ・ソースを centrify2 として、3 番目のログ・ソースを centrify3 として識別できます。

テナント ID

セントリファイは、一意の顧客またはテナント ID を割り当てました。

テナント URL

指定したテナント ID に対して自動的に生成されたテナント URL。たとえば、 tenantId.my.centrify.com

ユーザー名

Centrify Identity Platform のクラウド サービスに関連付けられているユーザー名。

パスワード

Centrify Identity Platform ユーザー名に関連付けられているパスワード。

イベント ロギング フィルター

取得するイベントのログ レベルを選択します。情報、警告、エラーが選択可能です。少なくとも 1 つのフィルターを選択する必要があります。

信頼されていない証明書を許可する

このオプションを有効にすると、自己署名の信頼できない証明書が許可されます。SaaS でホストされるテナントに対しては、このオプションを有効にしないでください。ただし、必要に応じて、他のテナント構成に対してこのオプションを有効にできます。

証明書は、PEM または DER でエンコードされたバイナリー形式でダウンロードし、ファイル拡張子 .cert または .crt で /opt/ qradar/conf/trusted_certificates/ ディレクトリーに配置する必要があります。

プロキシを使用

プロキシが構成されている場合、Centrify Redrock REST API からのすべてのトラフィックはプロキシを通過します。

プロキシ サーバー、プロキシ ポート、プロキシ ユーザー名、およびプロキシ パスワード フィールドを設定します。プロキシが認証を必要としない場合は、[プロキシ ユーザー名(Proxy Username)] フィールドと [プロキシ パスワード(Proxy Password)] フィールドを空白のままにすることができます。

EPSスロットル

1秒あたりの最大イベント数。デフォルトは 5000 です。

再発

時間間隔は、時間(H)、分(M)、または日(D)です。デフォルトは 5 分(5M)です。

プロトコル設定

Cisco Firepower eStreamer

サーバーポート

Cisco Firepower eStreamer サービスが接続要求を受け入れるように設定されているポート番号。

JSA が Cisco Firepower eStreamer に使用するデフォルト ポートは 8302 です。

キーストアのファイル名

キーストアの秘密キーおよび関連する証明書のディレクトリパスとファイル名。デフォルトでは、インポート スクリプトは、/ opt/qradar/conf/estreamer.keystore ディレクトリにキーストア ファイルを作成します。

トラストストア ファイル名

トラストストア ファイルのディレクトリ パスとファイル名。トラストストア・ファイルには、クライアントによって信頼されている証明書が含まれています。デフォルトでは、インポート スクリプトは、/ opt/qradar/conf/estreamer.truststore ディレクトリにトラストストア ファイルを作成します。

追加データのリクエスト

Cisco Firepower Management Center からの追加データを要求するには、このオプションを選択します(たとえば、追加データにはイベントの元の IP アドレスが含まれます)。

ドメイン

イベントのストリーミング元のドメイン。

[ドメイン] フィールドの値は、完全修飾ドメインである必要があります。つまり、目的のドメインのすべての祖先は、最上位ドメインから始まり、イベントを要求するリーフ ドメインで終わる必要があります。

例：

Globalはトップレベルドメイン、BはGlobalのサブドメインである第2レベルドメイン、Cは第3レベルドメインおよびBのサブドメインであるリーフドメインです。C からイベントを要求するには、 Domain パラメーターに次の値を入力します。

Global \ B \ C

プロトコル設定

Cisco NSEL

ログソース識別子

管理コンソールに接続されたデバイスがネットワークに含まれている場合は、イベントを作成した個々のデバイスの IP アドレスを指定できます。それぞれに固有の意の IP アドレスを使用すると、イベント検索で管理コンソールがすべてのイベントのソースとして識別されるのを防ぎます。

コレクター ポート

Cisco ASA が NSEL イベントの転送に使用する UDP ポート番号。 JSAは 、 JSAフロープロセッサのフローデータにポート2055を使用します。NetFlow 用に Cisco 適応型セキュリティ アプライアンスで別の UDP ポートを割り当てる必要があります。

プロトコル設定

EMC VMware

ログソース識別子

このパラメータの値は、 VMware IP パラメータと一致する必要があります。

VMware IPアドレス

VMWare ESXiサーバのIPアドレス。VMwareプロトコルは、プロトコルがイベントデータを要求する前に、VMware ESXiサーバーのIPアドレスにHTTPSを追加します。

サービスアカウントの認証情報の種類

必要なサービスアカウントの認証情報がどこから来ているのかを指定します。

関連付けられたサービス アカウントに、GCP で構成されたサブスクリプション名に対する Pub/Subscriber ロールまたはより具体的な pubsub.subscriptions.consume 権限があることを確認します。

ユーザー管理キー

[サービス アカウント キー] フィールドには、ダウンロードしたサービス アカウント キーから完全な JSON テキストを入力することで提供されます。

GCPマネージドキー

JSA 管理対象ホストが GCP コンピューティング インスタンスで実行されており、Cloud API のアクセス スコープに Cloud Pub/Sub が含まれていることを確認します。

サブスクリプション名

Cloud Pub/Sub サブスクリプションのフルネーム。 たとえば、「 projects/my-project/subscriptions/my-subscription 」のように入力します。

ゲートウェイ・ログ・ログソースとして使用

収集されたイベントがJSAトラフィック分析エンジンを通過し、JSAが1つ以上のログ・ソースを自動的に検出するには、このオプションを選択します。

このオプションを選択すると、オプションで「 ログソース ID パターン」を使用して、処理中のイベントのカスタム・ ログソース ID を定義できます。

ログソース識別子パターン

「 ゲートウェイ・ログソースとして使用 」オプションが選択されている場合は、このオプションを使用して、処理されるイベントのカスタム・ログ・ソース ID を定義します。ログ ・ソース識別子パターン が構成されていない場合、JSA はイベントを不明な汎用ログ・ソースとして受信します。

「 ログソース ID パターン 」フィールドは、key=value などのキーと値のペアを受け入れて、処理中のイベントのカスタム・ログソース ID を定義し、該当する場合はログ・ソースが自動的に検出されるようにします。 キー は、結果のソースまたはオリジン値である識別子フォーマット文字列です。Value は、現在のペイロードの評価に使用される、関連付けられた正規表現パターンです。値 (正規表現パターン) は、キー (識別子フォーマット文字列) をさらにカスタマイズするために使用できるキャプチャ グループもサポートしています。

複数のキーと値のペアは、新しい行に各パターンを入力することで定義できます。複数のパターンが使用されている場合、一致するものが見つかるまで順番に評価されます。一致が見つかると、カスタム・ログソース ID が表示されます。

次の例は、複数のキーと値のペアの機能を示しています。

パターン

VPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2=\s(ACCEPT)\s(OK)

イベント

{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}

結果のカスタム・ログ・ソース ID

VPC-ACCEPT-OK

プロキシを使用

JSA がプロキシを使用して GCP に接続するには、このオプションを選択します。

プロキシで認証が必要な場合は、[ プロキシ サーバー]、[プロキシ ポート]、[プロキシ ユーザー名]、 および [プロキシ パスワード] フィールドを設定します。

プロキシが認証を必要としない場合は、[ プロキシ サーバー ] フィールドと [プロキシ ポート ] フィールドを設定します。

プロキシ IP またはホスト名

プロキシー・サーバーの IP またはホスト名。

プロキシ ポート

プロキシー・サーバーとの通信に使用されるポート番号。

デフォルトは 8080 です。

プロキシ ユーザー名

プロキシが認証を必要とする場合にのみ必要です。

プロキシ パスワード

プロキシが認証を必要とする場合にのみ必要です。

EPSスロットル

このログ・ソースが超えてはならない 1 秒あたりのイベント (EPS) の最大数の上限。デフォルトは 5000 です。

「 ゲートウェイ・ログソースとして使用 」オプションが選択されている場合、この値はオプションです。

[EPS スロットル] パラメーター値を空白のままにすると、JSA によって EPS 制限は課されません。

ログソース識別子

ログ・ソースの固有の名前を入力します。

ログソース ID は任意の有効な値にすることができ、特定のサーバーを参照する必要はありません。「ログソース ID」は、「ログソース名」と同じ値にすることができます。設定済みの Google G Suite ログソースが複数ある場合は、一意の識別子を作成できます。例えば、最初のログ・ソースを googlegsuite1、2 番目のログ・ソースを googlegsuite2 として、3 番目のログ・ソースを googlegsuite3 として識別できます。

ユーザー アカウント

レポート権限を持つ Google ユーザー アカウント。

サービス アカウントの認証情報

イベントを取得するための Google API へのアクセスを承認します。 サービスアカウントの認証情報は 、Google Cloud Platformで新しいサービスアカウントを作成するときにダウンロードするJSON形式のファイルに含まれています。

プロキシを使用

JSAがプロキシを使用してGoogle G Suiteにアクセスする場合は、このオプションを有効にします。

プロキシで認証が必要な場合は、[ プロキシ サーバー]、[プロキシ ポート]、[プロキシ ユーザー名]、および [プロキシ パスワード] フィールドを設定します。

プロキシが認証を必要としない場合は、[ プロキシ サーバー ] フィールドと [プロキシ ポート ] フィールドを設定します。

再発

新しいイベントについて、Google G Suite Activity Reports API にログソースをクエリする間隔。時間間隔は、時間(H)、分(M)、または日(D)です。

既定値は 5 分です。

EPSスロットル

1秒あたりの最大イベント数。

イベント遅延

データ収集の遅延(秒単位)。

Google G Suite のログは、最終的な配信システムで機能します。データを見逃さないように、ログは遅延して収集されます。

デフォルトの遅延は 7200 秒 (2 時間) で、0 秒まで設定できます。

プロトコル設定

リストから [HTTP Receiver] を選択します。

ログソース識別子

IPアドレス、ホスト名、またはデバイスを識別するための任意の名前。

ログ・ソース・タイプに対して固有でなければなりません。

通信タイプ

[ HTTP]、[ HTTPs]、または [HTTPs とクライアント認証] を選択します。

クライアント証明書のパス

通信の種類として [HTTPs とクライアント認証 ] を選択した場合は、クライアント証明書への絶対パスを設定する必要があります。クライアント証明書を JSA コンソール またはログ・ソースの イベント・コレクター にコピーする必要があります。

TLSバージョン

このプロトコルで使用できる TLS のバージョン。最も安全なバージョンを使用するには、 TLSv1.2 オプションを選択します。

使用可能なバージョンが複数あるオプションを選択すると、HTTPS 接続はクライアントとサーバーの両方で使用可能な最高バージョンをネゴシエートします。

リッスンポート

受信HTTP Receiverイベントを受け入れるために JSA が使用するポート。デフォルトのポートは 12469 です。

メッセージパターン

既定では、HTTP POST 全体が 1 つのイベントとして処理されます。POST を複数の単一行イベントに分割するには、各イベントの開始を示す正規表現を指定します。

ゲートウェイ・ログ・ログソースとして使用

収集されたイベントがJSAトラフィック分析エンジンを通過し、JSAが1つ以上のログ・ソースを自動的に検出するには、このオプションを選択します。

最大ペイロード長(バイト)

1 つのイベントの最大ペイロード サイズ(バイト単位)。ペイロード サイズがこの値を超えると、イベントは分割されます。

デフォルト値は 8192 で、32767 より大きくてはなりません。

最大 POST メソッド要求長 (MB)

POST メソッド要求本文の最大サイズ (MB 単位)。POST 要求本文のサイズがこの値を超えると、HTTP 413 状態コードが返されます。

デフォルト値は 5 で、10 を超えてはなりません。

EPSスロットル

このプロトコルが超えないようにする 1 秒あたりのイベント(EPS)の最大数。デフォルトは 5000 です。

ログソース名

ログ・ソースの固有の名前を入力します。

ログソースの説明 (オプション)

ログ・ソースの説明を入力します。

ログソースの種類

「 ログソース・タイプ 」リストから、JDBC プロトコルを使用するデバイス・サポート・モジュール (DSM) を選択します。

プロトコル設定

JDBCの

ログソース識別子

ログ・ソースの名前を入力します。この名前にはスペースを含めることはできず、JDBC プロトコルを使用するように構成されたログ・ソース・タイプのすべてのログ・ソース間で固有でなければなりません。

ログ・ソースが静的 IP アドレスまたはホスト名を持つ単一アプライアンスからイベントを収集する場合は、アプライアンスの IP アドレスまたはホスト名を「 ログソース識別子 」値の全部または一部として使用します。たとえば、192.168.1.1 や JDBC192.168.1.1 などです。ログ・ソースが静的 IP アドレスまたはホスト名を持つ単一のアプライアンスからイベントを収集しない場合は、「ログソース識別子」の値に任意の一意の名前を使用できます。たとえば、JDBC1、JDBC2 などです。

データベースの種類

イベントを含むデータベースの種類を選択します。

データベース名

接続するデータベースの名前。

IPまたはホスト名

データベース・サーバーのIPアドレスまたはホスト名。

港

JDBC ポートを入力します。JDBC ポートは、リモート・データベースで構成されているリスニング・ポートと一致する必要があります。データベースは、受信 TCP 接続を許可する必要があります。データベースは、受信 TCP 接続を許可する必要があります。有効範囲は 1 から 65535 です。

デフォルトは次のとおりです。

• のMSDE-1433

• Postgresの- 5432

• MySQLの- 3306

• Sybase - 5000

• オラクル - 1521

• Informix(インフォミックス) - 9088

• Db2 - 50000

データベース・インスタンスを MSDE データベース・タイプで使用する場合、管理者はログ・ソース構成の Port パラメーターをブランクのままにする必要があります。

ユーザー名

データベース内の JSA のユーザー・アカウント。

パスワード

データベースへの接続に必要なパスワード。

パスワードの確認

データベースへの接続に必要なパスワード。

認証ドメイン (MSDE のみ)

「Microsoft JDBCを使用」を選択しなかった場合は、「認証ドメイン」が表示されます。

Windows ドメインである MSDE のドメイン。ネットワークでドメインを使用しない場合は、このフィールドを空白のままにします。

データベース インスタンス (MSDE または Informix のみ)

データベース・インスタンス (必要な場合)。MSDE データベースには、1 つのサーバー上に複数の SQL Server インスタンスを含めることができます。

データベースに標準以外のポートが使用されている場合、または SQL データベース解決のためにポート 1434 へのアクセスがブロックされている場合は、ログ・ソース構成で 「データベース・インスタンス 」パラメーターをブランクにする必要があります。

定義済みクエリ (オプション)

ログ・ソースの事前定義データベース照会を選択します。事前定義照会がログ・ソース・タイプで使用できない場合、管理者は「なし」を選択できます。

テーブル名

イベント レコードを含むテーブルまたはビューの名前。テーブル名に使用できる特殊文字は、ドル記号 ($)、番号記号 (#)、アンダースコア (_)、半角ダッシュ (-)、ピリオド (.) です。

リストを選択

テーブルでイベントをポーリングするときに含めるフィールドのリスト。カンマ区切りのリストを使用するか、アスタリスク (*) を入力して、テーブルまたはビューからすべてのフィールドを選択できます。コンマ区切りリストが定義されている場合、そのリストには「 比較フィールド」で定義されているフィールドが含まれている必要があります。

フィールドの比較

照会と照会の間に表に追加される新規イベントを識別する表またはビューの数値またはタイム・スタンプ・フィールド。プロトコルが以前にプロトコルによってポーリングされたイベントを識別し、重複するイベントが作成されないようにします。

プリペアドステートメントを使用

プリペアド・ステートメントを使用すると、JDBCプロトコル・ソースはSQLステートメントをセットアップしてから、そのSQLステートメントを異なるパラメータで何度も実行できます。セキュリティとパフォーマンス上の理由から、ほとんどのJDBCプロトコル設定ではプリペアドステートメントを使用できます。

開始日時(オプション)

データベース・ポーリングの開始日時を選択または入力します。形式は yyyy-mm-dd HH:mm で、HH は 24 時間制で指定します。

このパラメーターが空の場合、ポーリングはすぐに開始され、指定されたポーリング間隔で繰り返されます。

このパラメーターは、プロトコルがターゲット・データベースに接続してイベント・コレクションを初期化する日時を設定するために使用されます。これを [ポーリング間隔 ] パラメーターと共に使用して、データベース ポーリングの特定のスケジュールを構成できます。たとえば、毎時 5 分後に投票が行われるようにしたり、毎日午前 1:00 に投票が行われるようにしたりします。

このパラメーターを使用して、ターゲット データベースから古いテーブル行を取得することはできません。たとえば、パラメーターを [先週] に設定した場合、プロトコルは前の週のすべてのテーブル行を取得するわけではありません。プロトコルは、初期接続時に [比較フィールド ] の最大値より新しい行を取得します。

ポーリング間隔

イベント テーブルへのクエリー間隔を入力します。より長いポーリング間隔を定義するには、数値に時間を表す H または分を表す M を追加します

最大ポーリング間隔は 1 週間です。

EPSスロットル

このプロトコルで超えたくない 1 秒あたりのイベント数(EPS)。有効な範囲は 100 から 20,000 です。

セキュリティー・メカニズム (Db2 のみ)

リストから、Db2 サーバーでサポートされるセキュリティー・メカニズムを選択します。セキュリティ メカニズムを選択しない場合は、 [なし] を選択します。

既定値は [なし] です。

Db2 環境でサポートされるセキュリティー・メカニズムについて詳しくは、 https://support.juniper.net/support/downloads/ を参照してください。

名前付きパイプ通信を使用する (MSDE のみ)

「 Microsoft JDBC を使用」を選択しなかった場合は、「名前付きパイプ通信を使用 」が表示されます。

MSDE データベースでは、データベースのユーザー名とパスワードではなく、Windows 認証のユーザー名とパスワードを使用するために、ユーザー名とパスワードのフィールドが必要です。ログ・ソース構成では、MSDE データベース上のデフォルトの名前付きパイプを使用する必要があります。

データベース クラスタ名 (MSDE のみ)

[ 名前付きパイプ通信を使用]を選択した場合は、[ 名前付きパイプ通信を使用 ]パラメータが表示されます。

クラスタ環境で SQL Server を実行している場合は、クラスタ名を定義して、名前付きパイプ通信が正しく機能するようにします。

NTLMv2 を使用する (MSDE のみ)

「 Microsoft JDBC を使用」を選択しなかった場合は、「NTLMv2 を使用 」と表示されます。

MSDE 接続が NTLMv2 認証を必要とする SQL Server と通信するときに NTLMv2 プロトコルを使用する場合は、このオプションを選択します。このオプションは、NTLMv2 認証を必要としない MSDE 接続の通信を中断しません。

NTLMv2 認証を必要としない MSDE 接続の通信を中断しません。

Microsoft JDBC の使用 (MSDE のみ)

Microsoft JDBC ドライバーを使用する場合は、[ Microsoft JDBC を使用する] を有効にする必要があります。

SSL の使用 (MSDE のみ)

接続が SSL をサポートしている場合は、このオプションを選択します。このオプションは、MSDE でのみ表示されます。

SSL 証明書ホスト名

このフィールドは、[ Microsoft JDBC を使用 ] と [SSL を使用 ] の両方が有効になっている場合に必須です。

この値は、ホストの完全修飾ドメイン名 (FQDN) である必要があります。IPアドレスは許可されていません。

SSL 証明書と JDBC の詳細については、次のリンクの手順を参照してください。

• QRadar: 自己署名証明書を使用した SSL 経由の JDBC の構成

• 外部署名証明書を使用した JDBC Over SSL の構成

Oracle Encryptionの使用

Oracle Encryptionおよびデータ整合性の設定は、Oracle Advanced Securityとも呼ばれます。

選択した場合、Oracle JDBC接続では、サーバーがクライアントと同様のOracle Data Encryption設定をサポートする必要があります。

データベース ロケール (Informix のみ)

多言語インストールの場合は、このフィールドを使用して、使用する言語を指定します。

コード セット (Informix のみ)

「コード・セット」パラメータは、多言語インストールの言語を選択すると表示されます。このフィールドを使用して、使用する文字セットを指定します。

有効

このチェックボックスを選択すると、ログ・ソースが使用可能になります。デフォルトでは、このチェックボックスはオンになっています。

信頼性

リストから、ログ・ソースの 「信頼性 」を選択します。範囲は 0 から 10 です。

信頼性は、ソース デバイスからの信頼性評価によって決定される、イベントまたは攻撃の整合性を示します。複数の情報源が同じイベントを報告すると、信頼性が高まります。デフォルトは 5 です。

ターゲット・イベント・コレクター

ログ・ソースのターゲットとして使用する 「ターゲット・イベント・コレクター 」を選択します。

イベントの合体

「 イベントの合体 」チェック・ボックスを選択して、ログ・ソースがイベントを結合 (バンドル) できるようにします。

デフォルトでは、自動的に検出されたログ・ソースは、JSAのシステム設定から「合体イベント」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

ストア イベント ペイロード

「 イベント・ペイロードの保管 」チェック・ボックスを選択して、ログ・ソースがイベント・ペイロード情報を保管できるようにします。

デフォルトでは、自動的に検出されたログ・ソースは、JSAの「システム設定」から「ストア・イベント・ペイロード」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

プロトコル設定

JDBC - サイトプロテクター

データベースの種類

一覧から、イベント ソースに使用するデータベースの種類として [MSDE ] を選択します。

データベース名

プロトコルが接続できるデータベースの名前として「 RealSecureDB 」と入力します。

IPまたはホスト名

データベース・サーバーのIPアドレスまたはホスト名。

港

データベース・サーバが使用するポート番号。JDBC SiteProtector 構成ポートは、データベースのリスナー・ポートと一致する必要があります。データベースでは、受信 TCP 接続が有効になっている必要があります。データベース・タイプとして MSDE を使用するときに データベース・インスタンス を定義する場合は、ログ・ソース構成の ポート ・パラメーターをブランクのままにする必要があります。

ユーザー名

JDBCプロトコルによってデータベースへのアクセスを追跡する場合は、 JSA システムに対して特定のユーザを作成できます。

認証ドメイン

[MSDE] を選択し、データベースが Windows 用に設定されている場合は、Windows ドメインを定義する必要があります。

ネットワークでドメインを使用しない場合は、このフィールドを空白のままにします。

データベースインスタンス

[MSDE] を選択し、1 つのサーバーに複数の SQL Server インスタンスがある場合は、接続先のインスタンスを定義します。データベース構成で標準以外のポートを使用する場合、または SQL データベースの解決のためにポート 1434 へのアクセスがブロックされている場合は、構成の [データベース インスタンス ] パラメーターを空白のままにする必要があります。

定義済みクエリ

ログ・ソースの事前定義データベース照会。事前定義データベース照会は、特殊なログ・ソース接続でのみ使用可能です。

テーブル名

SensorData1

AVPビュー名

SensorDataAVP

応答ビュー名

SensorDataResponse

リストを選択

「 * 」と入力すると、テーブルまたはビューのすべてのフィールドが含められます。

フィールドの比較

SensorDataRowID

プリペアドステートメントを使用

プリペアド・ステートメントを使用すると、JDBC プロトコル・ソースは SQL ステートメントをセットアップし、その SQL ステートメントを異なるパラメーターで何度も実行できます。セキュリティとパフォーマンス上の理由から、プリペアドステートメントを使用します。このチェック ボックスをオフにすると、プリコンパイル済みステートメントを使用しない別のクエリ方法を使用できます。

監査イベントを含める

IBM Proventia Management SiteProtector から監査イベントを収集することを指定します。

開始日時

随意。プロトコルがデータベースのポーリングを開始できる開始日時。

ポーリング間隔

イベント テーブルに対するクエリ間の時間。数値に時間を表す H または分を表す M を付加することで、より長いポーリング間隔を定義できます。H または M 指定子のない数値は、秒単位でポーリングします。

EPSスロットル

このプロトコルで超えたくない 1 秒あたりのイベント数(EPS)。

データベース ロケール

多言語インストールの場合は、「 データベース・ロケール 」フィールドを使用して、使用する言語を指定します。

データベース・コード・セット

多言語インストールの場合は、「 コードセット 」フィールドを使用して、使用する文字セットを指定します。

名前付きパイプ通信を使用する

Windows 認証を使用している場合は、このパラメーターを有効にして、AD サーバーへの認証を許可します。SQL 認証を使用している場合は、名前付きパイプ通信を無効にします。

データベースクラスタ名

名前付きパイプ通信が正しく機能するようにするためのクラスター名。

NTLMv2 を使用する

NTLMv2 認証を必要とする SQL Server で MSDE 接続に NTLMv2 プロトコルの使用を強制します。[ NTLMv2 を使用する ] チェック ボックスは、NTLMv2 認証を必要としない MSDE 接続の通信を中断しません。

SSLを使用

JDBC プロトコルの SSL暗号を有効にします。

ログソース言語

ログ・ソースによって生成されるイベントの言語を選択します。ログ・ソース言語は、複数の言語でイベントを作成できる外部アプライアンスまたはオペレーティング・システムからのイベントをシステムが解析するのに役立ちます。

ログソースの種類

ジュニパーネットワークス ネットワークおよびセキュリティ マネージャー

プロトコル設定

ジュニパーNSM

プロトコル設定

セキュリティバイナリログコレクタ

XML テンプレート ファイルの場所

Juniper SRXシリーズサービスゲートウェイまたはJuniper Jシリーズ アプライアンスからのバイナリ ストリームをデコードするために使用されるXML ファイルへのパス。デフォルトでは、デバイスサポートモジュール(DSM)には、バイナリストリームをデコードするためのXML ファイルが含まれています。

XML ファイルは、ディレクトリー /opt/qradar/conf/security_log.xml にあります。

プロトコル設定

ログファイル

リモートサーバーからログファイルを取得するときに使用するプロトコルを選択します。

• SFTP - セキュアファイル転送プロトコル (デフォルト)

• FTP - ファイル転送プロトコル

• FTPS - 安全なファイル転送プロトコル

• SCP - セキュア コピー プロトコル

• AWS - アマゾン ウェブ サービス

[リモート IP またはホスト名(Remote IP or Hostname)] フィールドで指定するサーバは、SFTP サブシステムが SCP または SFTP でログ ファイルを取得できるようにする必要があります。

リモートポート

リモートホストが標準以外のポート番号を使用している場合、イベントを取得するにはポート値を調整する必要があります。

SSHキーファイル

システムがキー認証を使用するように設定されている場合は、SSH キーを入力します。SSHキーファイルが使用されている場合、 リモートパスワード フィールドは無視されます。

SSH 鍵は、 /opt/qradar/conf/keys ディレクトリーにある必要があります。

リモートディレクトリ

FTP の場合、ログファイルがリモートユーザのホームディレクトリにある場合は、リモートディレクトリを空白のままにしておくことができます。ブランクのリモート・ディレクトリー・フィールドは、作業ディレクトリー (CWD) コマンドの変更が制限されているシステムをサポートします。

リカーシブ

このチェックボックスをオンにすると、FTPまたはSFTP接続でリモートディレクトリのサブフォルダでイベントデータを再帰的に検索できます。サブフォルダから収集されるデータは、FTPファイルパターンの正規表現との一致に依存します。 [再帰的(Recursive )] オプションは SCP 接続では使用できません。

FTP ファイル パターン

リモートホストからダウンロードするファイルを識別するために必要な正規表現(regex)。

FTP転送モード

FTP 経由の ASCII 転送の場合は、[プロセッサ(Processor)] フィールドで [NONE] を選択し、[イベント ジェネレータ(Event Generator)] フィールドで [LINEBYLINE] を選択する必要があります。

FTPS接続で使用できるTLSのバージョン。最も安全なバージョンを使用するには、 TLSv1.2 オプションを選択します。使用可能なバージョンが複数あるオプションを選択すると、FTPS 接続はクライアントとサーバーの両方で使用可能な最高バージョンをネゴシエートします。

このオプションは、[ サービス タイプ(Service Type )] パラメータで [FTPS] を選択した場合にのみ設定できます。

再発

リモート・ディレクトリで新しいイベント・ログ・ファイルをスキャンする頻度を決定する時間間隔。時間間隔には、時間(H)、分(M)、または日(D)の値を含めることができます。たとえば、2H を繰り返すと、リモート ディレクトリが 2 時間ごとにスキャンされます。

保存時に実行

ログ・ソース構成を保存した直後に、ログ・ファイルのインポートを開始します。このチェックボックスを選択すると、以前にダウンロードおよび処理されたファイルのリストがクリアされます。最初のファイル・インポートの後、ログ・ファイル・プロトコルは、管理者が定義した開始時刻と繰り返しスケジュールに従います。

EPSスロットル

プロトコルが超えることができない EPS(イベント/秒)。

ローカルディレクトリを変更しますか?

ターゲット・イベント・コレクターのローカル・ディレクトリーを変更して、イベント・ログを処理前に保管します。

ローカルディレクトリ

ターゲット・イベント・コレクターのローカル・ディレクトリー。このディレクトリは、ログファイルプロトコルがイベントを取得しようとする前に存在している必要があります。

ファイルエンコーディング

ログ・ファイル内のイベントで使用される文字エンコード。

フォルダセパレータ

オペレーティング・システムのフォルダーを区切るために使用される文字。ほとんどの構成では、[ フォルダー区切り記号] フィールドの既定値を使用できます。このフィールドは、異なる文字を使用して個別のフォルダーを定義するオペレーティング・システムを対象としています。たとえば、メインフレーム システム上のフォルダーを区切る期間などです。

イベント ハブの接続文字列を使用する

接続文字列を使用して Azure Event Hub で認証します。

イベント ハブの接続文字列

Event Hub へのアクセスを提供する承認文字列。例えば

Endpoint=sb://<Namespace Name>.servicebus.windows.net/;SharedAccess KeyNam Key Name>;SharedAccessKey=<SAS Key>; EntityPath=<Event Hub Name>

コンシューマグループ

接続中に使用されるビューを指定します。各 コンシューマ・グループは 、独自のセッション・トラッキングを保持します。コンシューマ・グループと接続情報を共有する接続は、セッション・トラッキング情報を共有します。

ストレージ アカウント接続文字列を使用する

接続文字列を使用して Azure Storage アカウントで認証します。

ストレージ アカウント接続文字列

ストレージ アカウントへのアクセスを提供する承認文字列。例えば

DefaultEndpointsProtocol=https;Account Name=<Stor Account Name>AccountKey=<StorageAccount Key>;EndpointSuffix=core.windows.net

Azure Linux イベントを Syslog にフォーマットする

Azure Linux ログを、Linux システムの標準の syslog ログに似た 1 行の syslog 形式に書式設定します。

ゲートウェイ・ログ・ログソースとして使用

収集されたイベントが JSA トラフィック分析エンジンを通過し、 JSA が1つ以上のログ・ソースを自動的に検出するには、このオプションを選択します。

このオプションを選択すると、オプションで「 ログソース ID パターン 」を使用して、処理中のイベントのカスタム・ ログソース ID を定義できます。

ログソース識別子パターン

「 ゲートウェイ・ログソースとして使用 」オプションが選択されている場合は、このオプションを使用して、処理されるイベントのカスタム・ログ・ソース ID を定義します。ログソース識別子パターンが構成されていない場合、 JSA はイベントを不明な汎用ログ・ソースとして受信します。

「 ログソース ID パターン 」フィールドは、key=value などのキーと値のペアを受け入れて、処理中のイベントのカスタム・ログソース ID を定義し、該当する場合はログ・ソースが自動的に検出されるようにします。 キー は、結果のソースまたはオリジン値である識別子フォーマット文字列です。Value は、現在のペイロードの評価に使用される、関連付けられた正規表現パターンです。値 (正規表現パターン) は、キー (識別子フォーマット文字列) をさらにカスタマイズするために使用できるキャプチャ グループもサポートしています。

複数のキーと値のペアは、新しい行に各パターンを入力することで定義できます。複数のパターンが使用されている場合、一致するものが見つかるまで順番に評価されます。一致が見つかると、カスタム・ログソース識別子が表示されます。

次の例は、複数のキーと値のペアの機能を示しています。

パターンVPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2=\s(ACCEPT)\s(OK)

イベント{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}

結果のカスタム・ログ・ソース ID VPC-ACCEPT-OK

予測解析の使用

このパラメーターを有効にすると、アルゴリズムは、イベントごとに正規表現を実行せずにイベントからログ・ソース ID パターンを抽出するため、構文解析速度が向上します。

予測構文解析を使用可能にするのは、高いイベント率を受信し、より高速な構文解析を必要とすることが予想されるログ・ソース・タイプに対してのみです。

プロキシを使用

プロキシを構成すると、ログ ソースのすべてのトラフィックがプロキシを経由して Azure Event Hub にアクセスします。このパラメーターを有効にした後、[ プロキシ IP またはホスト名]、[ プロキシ ポート]、[ プロキシ ユーザー名]、および [プロキシ パスワード ] フィールドを設定します。

プロキシが認証を必要としない場合は、[ プロキシ ユーザー名(Proxy Username )] フィールドと [プロキシ パスワード(Proxy Password )] フィールドを空白のままにしておくことができます。

プロキシ IP またはホスト名

プロキシ サーバーの IP アドレスまたはホスト名。

このパラメータは 、[プロキシを使用] が有効な場合に表示されます。

プロキシ ポート

プロキシとの通信に使用されるポート番号。デフォルト値は 8080 です。

このパラメータは 、[プロキシを使用] が有効な場合に表示されます。

プロキシ ユーザー名

プロキシ サーバーにアクセスするためのユーザー名。

このパラメータは、[プロキシを使用]が有効な場合に表示されます。

プロキシ パスワード

プロキシサーバーにアクセスするためのパスワード。

このパラメータは 、[プロキシを使用] が有効な場合に表示されます。

EPSスロットル

1秒あたりの最大イベント数(EPS)。デフォルトは 5000 です。

非推奨 - 名前空間名

このオプションは、[ イベント ハブの接続文字列を使用する] オプションが [オフ] に設定されている場合に表示されます。

Microsoft Azure Event Hubs ユーザー インターフェイスのイベント ハブ エンティティを含む最上位ディレクトリの名前。

非推奨 - イベント ハブ名

このオプションは、[ イベント ハブの接続文字列を使用する] オプションが [オフ] に設定されている場合に表示されます。

アクセスするイベント ハブの識別子。 [イベント ハブ名 ] は、名前空間内のイベント ハブ エンティティの 1 つと一致する必要があります。

非推奨 - SASキー名

このオプションは、[ イベント ハブの接続文字列を使用する] オプションが [オフ] に設定されている場合に表示されます。

Shared Access Signature (SAS) 名は、イベント発行元を識別します。

非推奨 - SASキー

このオプションは、[ イベント ハブの接続文字列を使用する] オプションが [オフ] に設定されている場合に表示されます。

Shared Access Signature (SAS) キーは、イベント発行元を認証します。

非推奨 - ストレージ アカウント名

このオプションは、[ ストレージ アカウント接続文字列を使用する] オプションがオフに設定されている場合に表示されます。

Event Hub データを格納するストレージ アカウントの名前。

ストレージ アカウント名は、Azure Storage アカウント内のデータにアクセスするために必要な認証プロセスの一部です。

非推奨 - ストレージ アカウント キー

このオプションは、[ ストレージ アカウント接続文字列を使用する] オプションがオフに設定されている場合に表示されます。

ストレージ アカウントの認証に使用される承認キー。

ストレージ アカウント キーは、Azure Storage アカウント内のデータにアクセスするために必要な認証プロセスの一部です。

ログソースの種類

Microsoft 365 Defender

プロトコル設定

Microsoft Defender for Endpoint SIEM REST API

認可サーバーの URL

入力しトークンを取得するための承認を提供するサーバーの URL。入力しは、Microsoft 365 Defenderからイベントを収集するための承認として使用されます。

承認サーバーの URL は、次の形式を使用します。

ここで、 は UUID です。

資源

Microsoft 365 Defender SIEM API イベントにアクセスするために使用されるリソース。

クライアント ID

ユーザーが入力しを取得する権限を持っていることを確認します。

クライアントシークレット

[クライアント シークレット] の値は 1 回だけ表示され、その後は表示されなくなります。[クライアント シークレット] の値にアクセスできない場合は、Microsoft Azure 管理者に問い合わせて、新しいクライアント シークレットを要求してください。

地域

ログを収集するMicrosoft 365 Defender SIEM APIに関連付けられているリージョンを選択します。

その他の地域

ログを収集するMicrosoft 365 Defender SIEM APIに関連付けられている追加のリージョンの名前を入力します。

コンマで区切られたリストを使用します。たとえば、「 Region1,Region2 」のように入力します。

GCC エンドポイントを使用する

GCC および GCC High & DOD エンドポイントの使用を有効または無効にします。GCC および GCC High & DOD エンドポイントは、米国政府の顧客向けのエンドポイントです。

詳細については、「 米国政府機関のお客様向けのMicrosoft Defender for Endpoint」を参照してください。

GCC タイプ

[GCC] または [GCC High & DOD] を選択します。

• GCC: Microsoft の政府機関向けコミュニティ クラウド

• GCC High & DoD: 規制に準拠

  国防総省から。

プロキシを使用

JSA のプロキシが構成されている場合、JSA がMicrosoft 365 Defender SIEM APIにアクセスできるように、ログ ソースのすべてのトラフィックはプロキシを経由します。

プロキシ サーバー、プロキシ ポート、プロキシ ユーザー名、およびプロキシ パスワード フィールドを設定します。プロキシが認証を必要としない場合は、[プロキシ サーバー] フィールドと [プロキシ ポート] フィールドを設定します。

再発

ログがデータを収集する頻度を指定できます。形式は、分/時間/日を表す M/H/D です。

デフォルトは 5 M です。

EPSスロットル

1 秒あたりの最大イベント数 (EPS) の上限。デフォルトは 5000 です。

プロトコル設定

Microsoft DHCP

ログソース識別子

一意のホスト名、またはログ・ソースに固有のその他の識別子を入力します。

サーバーアドレス

Microsoft DHCP サーバーの IP アドレスまたはホスト名。

ドメイン

Microsoft DHCP サーバーのドメインを入力します。

サーバーがドメイン内にない場合、このパラメーターは省略可能です。

ユーザー名

DHCP サーバーへのアクセスに必要なユーザー名を入力します。

パスワード

DHCP サーバーへのアクセスに必要なパスワードを入力します。

パスワードの確認

サーバーへのアクセスに必要なパスワードを入力します。

フォルダパス

DHCP ログ ファイルへのディレクトリ パス。デフォルトは /WINDOWS/system32/dhcp/ です。

ファイルパターン

イベントログを識別する正規表現(regex)。ログ ファイルには、曜日を表す 3 文字の省略形が含まれている必要があります。次のいずれかのファイル パターンを使用します。

英語：

• IPv4 ファイルパターン: DhcpSrvLog-(?:Sun|Mon|Tue|Wed|Thu|Fri|Sat) \.log。

• IPv6 ファイルパターン: DhcpV6SrvLog-(?:Sun|Mon|Tue|Wed|Thu|Fri|Sat) \.log。

• IPv4 と IPv6 の混在ファイル パターン: Dhcp.*SrvLog- (?:Sun|月曜日|火|水|木|金曜日|土)\.log。

• IPv4 と IPv6 の混在ファイル パターン: Dhcp.*SrvLog-(?:Sun|Mon|Tue|Wed|Thu|Fri|Sat) \.log。

ポーランド語：

• IPv4 ファイルパターン: DhcpSrvLog-(?:Pia|Pon|Sob|Wto|Sro|Csw|Nie) \.log

• IPv6 ファイル パターン: DhcpV6SrvLog-(?:Pt|Pon|So|Wt|Si|Csw|Nie) \.log

リカーシブ

このオプションは、ファイルパターンでサブフォルダを検索する場合に選択します。

SMB バージョン

使用する SMB のバージョン:

AUTO - クライアントとサーバーが使用に同意した最高バージョンまで自動検出します。

SMB1 - SMB1 の使用を強制します。SMB1 は jCIFS.jar (Java ARchive) ファイルを使用します。

SMB2 - SMB2 の使用を強制します。SMB2 は jNQ.jar ファイルを使用します。

SMB3 - SMB3 の使用を強制します。SMB3 は jNQ.jar ファイルを使用します。

ポーリング間隔(秒)

新しいデータを確認するためにログ ファイルに対してクエリを実行する間隔の秒数。最小ポーリング間隔は 10 秒です。最大ポーリング間隔は 3,600 秒です。

スロットル イベント数/秒

DHCP プロトコルが 1 秒に転送できるイベントの最大数。最小値は 100 EPS です。最大値は 20,000 EPS です。

ファイルエンコーディング

ログ・ファイル内のイベントで使用される文字エンコード。

有効

このオプションが使用可能になっていない場合、ログ・ソースはイベントを収集せず、ログ・ソースはライセンス制限にカウントされません。

信頼性

信頼性とは、ログ・ソースによって作成されるイベントの保全性または妥当性を表すものです。ログ・ソースに割り当てられる信頼性の値は、着信イベントに基づいて増減することも、ユーザーが作成したイベント・ルールへの応答として調整することもできます。ログ・ソースからのイベントの信頼性は、オフェンス・マグニチュードの計算に寄与し、オフェンスのマグニチュード値を増減させることができます。

ターゲット・イベント・コレクター

リモート・ログ・ソースをポーリングするJSAイベント・コレクタを指定します。

分散展開でこのパラメータを使用して、ポーリングタスクをイベントコレクタに移動することでコンソールシステムのパフォーマンスを向上させます。

イベントの合体

短時間に同じイベントが複数回発生した場合に、イベント数を増やします。結合されたイベントは、[ログ アクティビティ] タブで 1 つのイベントの種類が発生する頻度を表示および決定する方法を提供します。

このチェック ボックスをオフにすると、イベントは個別に表示され、イベントはバンドルされません。

新規および自動的にディスカバーされたログ・ソースは、「管理」タブの「システム設定」構成からこのチェック・ボックスの値を継承します。このチェック・ボックスを使用して、個々のログ・ソースのシステム設定のデフォルト動作をオーバーライドできます。

プロトコル設定

Microsoft Exchange

ログソース識別子

ログ・ソースを識別するための IP アドレス、ホスト名、または名前を入力します。

サーバーアドレス

Microsoft Exchange サーバーの IP アドレスまたはホスト名。

ドメイン

Microsoft Exchange サーバーのドメインを入力します。

サーバーがドメイン内にない場合、このパラメーターは省略可能です。

ユーザー名

Microsoft Exchange サーバーへのアクセスに必要なユーザー名を入力します。

パスワード

Microsoft Exchange サーバーへのアクセスに必要なパスワードを入力します。

パスワードの確認

Microsoft Exchange サーバーへのアクセスに必要なパスワードを入力します。

SMTPログフォルダのパス

SMTP ログ ファイルにアクセスするためのディレクトリ パス。

既定のファイル パスは Program Files/Microsoft/Exchange Server/ TransportRoles/Logs/ProtocolLog です

フォルダー パスがクリアの場合、SMTP イベント コレクションは無効になります。

OWA ログ フォルダーのパス

OWA ログ ファイルにアクセスするためのディレクトリ パス。

既定のファイル パスは Windows/system32/LogFiles/W3SVC1 です。

フォルダー パスがクリアされると、OWA イベント コレクションは無効になります。

MSGTRK ログ フォルダーのパス

メッセージ追跡ログにアクセスするためのディレクトリ パス。

既定のファイル パスは Program Files/Microsoft/Exchange Server/ TransportRoles/Logs/MessageTracking です

メッセージ追跡は、ハブ トランスポート、メールボックス、またはエッジ トランスポート サーバーの役割が割り当てられている Microsoft Exchange 2017 または 2010 サーバーで使用できます。

カスタムファイルパターンを使用

このチェックボックスをオンにすると、カスタムファイルパターンが設定されます。チェックボックスをオフのままにすると、デフォルトのファイルパターンが使用されます。

MSGTRK ファイル パターン

MSTRK ログの識別とダウンロードに使用される正規表現 (regex)。ファイル パターンに一致するすべてのファイルが処理されます。

デフォルトのファイル パターンは MSGTRK\d+-\d+\.(?:log|ログ)$

ファイル パターンに一致するすべてのファイルが処理されます。

MSGTRKMD ファイル パターン

MSGTRKMD ログの識別とダウンロードに使用される正規表現 (regex)。ファイル パターンに一致するすべてのファイルが処理されます。

デフォルトのファイル パターンは MSGTRKMD\d+-\d+\.(?:log|ログ)$

ファイル パターンに一致するすべてのファイルが処理されます。

MSGTRKMS ファイル パターン

MSGTRKMS ログを識別してダウンロードするために使用される正規表現 (regex)。ファイル パターンに一致するすべてのファイルが処理されます。

デフォルトのファイル パターンは MSGTRKMS\d+-\d+\.(?:log|ログ)$

ファイル パターンに一致するすべてのファイルが処理されます。

MSGTRKMA ファイル パターン

MSGTRKMA ログの識別とダウンロードに使用される正規表現 (regex)。ファイル パターンに一致するすべてのファイルが処理されます。

デフォルトのファイル・パターンは 、MSGTRKMA\d+-\d+\.(?:log|

ファイル パターンに一致するすべてのファイルが処理されます。

SMTP ファイル パターン

SMTP ログの識別とダウンロードに使用される正規表現 (regex)。ファイル パターンに一致するすべてのファイルが処理されます。

デフォルトのファイル パターンは .*\.(?:log|ログ)$

ファイル パターンに一致するすべてのファイルが処理されます。

OWA ファイル パターン

OWA ログの識別とダウンロードに使用される正規表現 (regex)。ファイル パターンに一致するすべてのファイルが処理されます。

デフォルトのファイル パターンは .*\.(?:log|ログ)$

ファイル パターンに一致するすべてのファイルが処理されます。

ファイルの強制読み取り

このチェックボックスがオフの場合、 JSA が変更時刻またはファイルサイズの変更を検出したときにのみ、ログファイルが読み取られます。

リカーシブ

ファイルパターンでサブフォルダを検索する場合は、このオプションを使用します。デフォルトでは、このチェックボックスはオンになっています。

SMB バージョン

使用する SMB のバージョンを選択します。

AUTO - クライアントとサーバーが使用に同意した最高バージョンまで自動検出します。

SMB1 - SMB1 の使用を強制します。SMB1 は jCIFS.jar (Java ARchive) ファイルを使用します

SMB2 - SMB2 の使用を強制します。SMB2 は jNQ.jar ファイルを使用します。

SMB3 – SMB3 の使用を強制します。SMB3 は jNQ.jar ファイルを使用します。

ポーリング間隔(秒)

ポーリング間隔を入力します。これは、ログファイルに対してクエリを実行して新しいデータをチェックする間隔を秒数にします。デフォルトは 10 秒です。

スロットル イベント数/秒

Microsoft Exchange プロトコルが 1 秒あたりに転送できるイベントの最大数。

ファイルエンコーディング

ログ・ファイル内のイベントで使用される文字エンコード。

ログソースの種類

カスタム・ログ・ソース・タイプ、またはこのプロトコルを使用する特定の DSM。

プロトコル設定

Microsoft Graph セキュリティ API

テナント ID

Microsoft Azure Active Directory 認証に使用される テナント ID 値。

クライアント ID

Microsoft Azure Active Directory のアプリケーション構成からの クライアント ID パラメーター値。

クライアントシークレット

Microsoft Azure Active Directory のアプリケーション構成の [クライアント シークレット ] パラメーター値。

イベントフィルタ

Microsoft Security Graph API クエリ フィルターを使用してイベントを取得します。たとえば、「 severity eq 'high' 」のように入力します。filter パラメーターの前に「filter=」と入力しないでください。

プロキシを使用

JSA がプロキシで Microsoft Graph Security API にアクセスする場合は、このチェック ボックスをオンにします。

プロキシで認証が必要な場合は、[ プロキシ ホスト名または IP]、[プロキシ ポート]、[プロキシ ユーザー名]、および [プロキシ] フィールドを設定します。

プロキシが認証を必要としない場合は、[ プロキシホスト名(Proxy Hostname)] または [IP(IP and Proxy Port )] フィールドを設定します。

プロキシ IP またはホスト名

プロキシ サーバーの IP アドレスまたはホスト名。

プロキシを使用(Use Proxy)が False に設定されている場合、このオプションは非表示になります。

プロキシ ポート

プロキシとの通信に使用されるポート番号。デフォルトは 8080 です。

プロキシを使用(Use Proxy)が False に設定されている場合、このオプションは非表示になります。

プロキシ ユーザー名

プロキシとの通信に使用されるユーザー名。

プロキシを使用(Use Proxy)が False に設定されている場合、このオプションは非表示になります。

プロキシ パスワード

プロキシへのアクセスに使用されるパスワード。

プロキシを使用(Use Proxy)が False に設定されている場合、このオプションは非表示になります。

再発

開始時刻から始まる時間間隔を入力して、ポーリングが新しいデータをスキャンする頻度を決定します。時間間隔には、時間(H)、分(M)、または日(D)の値を含めることができます。たとえば、2H - 2 時間、15M - 15 分です。デフォルトは 1M です。

EPSスロットル

1秒あたりの最大イベント数(EPS)。デフォルトは 5000 です。

詳細オプションを表示

イベント収集の詳細オプションを設定するには、このオプションを on に設定します。

ログインエンドポイント

Azure AD ログイン エンドポイントを指定します。デフォルト値は login.microsoftonline.com です。

「詳細オプションを表示」を無効にすると、このオプションは非表示になります。

Graph API エンドポイント

Microsoft Graph Security API の URL を指定します。デフォルト値は https://graph.microsoft.com です。

「詳細オプションを表示」を無効にすると、このオプションは非表示になります。

プロトコル設定

Microsoft IIS (英語)

ログソース識別子

IP アドレス、ホスト名、または固有の名前を入力して、ログ・ソースを識別します。

サーバーアドレス

Microsoft IIS サーバーの IP アドレスまたはホスト名。

ドメイン

Microsoft IIS サーバーのドメインを入力します。

サーバーがドメイン内にない場合、このパラメーターは省略可能です。

ユーザー名

サーバーへのアクセスに必要なユーザー名を入力します。

パスワード

サーバーへのアクセスに必要なパスワードを入力します。

パスワードの確認

サーバーへのアクセスに必要なパスワードを入力します。

ログフォルダのパス

ログ ファイルにアクセスするためのディレクトリ パス。たとえば、管理者は、管理共有に c$/LogFiles/ ディレクトリを使用し、パブリック共有フォルダー パスに LogFiles/ ディレクトリを使用できます。ただし、c:/LogFiles ディレクトリは、サポートされているログ フォルダー パスではありません。

ログ フォルダー パスに管理用共有 (C$) が含まれている場合、管理用共有 (C$) に対する NetBIOS アクセス権を持つユーザーには、ログ ファイルの読み取りに必要な特権が与えられます。

ローカル システムまたはドメインの管理者特権は、管理共有上のログ ファイルにアクセスするのに十分です。

ファイルパターン

イベントログを識別する正規表現(regex)。

リカーシブ

ファイルパターンでサブフォルダを検索する場合は、このオプションを使用します。デフォルトでは、このチェックボックスはオンになっています。

SMB バージョン

使用する SMB のバージョンを選択します。

AUTO - クライアントとサーバーが使用に同意した最高バージョンまで自動検出します。

SMB1 - SMB1 の使用を強制します。SMB1 は jCIFS.jar (Java ARchive) ファイルを使用します。

SMB2 - SMB2 の使用を強制します。SMB2 は jNQ.jar ファイルを使用します。

SMB3 - SMB3 の使用を強制します。SMB3 は jNQ.jar ファイルを使用します。

ポーリング間隔(秒単位)

ポーリング間隔を入力します。これは、ログファイルに対してクエリを実行して新しいデータをチェックする間隔を秒数にします。デフォルトは 10 秒です。

スロットル イベント数/秒

IIS プロトコルが 1 秒あたりに転送できるイベントの最大数。

ファイルエンコーディング

ログ・ファイル内のイベントで使用される文字エンコード。

プロトコル設定

Windows セキュリティ イベント ログ

プロトコル名

MQ JMS

IPまたはホスト名

1 次キュー・マネージャーの IP アドレスまたはホスト名。

港

1 次キュー・マネージャーとの通信に使用されるデフォルト・ポートは 1414 です。

スタンバイ IP またはホスト名

スタンバイ・キュー・マネージャーの IP アドレスまたはホスト名。

スタンバイポート

スタンバイ・キュー・マネージャーとの通信に使用されるポート。

キュー・マネージャー

キュー・マネージャーの名前。

チャンネル

キュー・マネージャーがメッセージを送信するチャネル。デフォルト・チャネルは SYSTEM です。デフ。SVRCONNです。

列

監視するキューまたはキューのリスト。キューのリストは、コンマで区切られたリストで指定します。

ユーザー名

MQ サービスでの認証に使用されるユーザー名。

パスワード

オプション: MQ サービスでの認証に使用されるパスワード。

受信メッセージのエンコード

受信メッセージで使用される文字エンコード。

計算フィールドを処理する

オプション: このオプションは、検索されたメッセージに COBOL コピーブックに定義されている計算データが含まれている場合にのみ選択します。メッセージ内のバイナリー・データは、指定されたコピーブック・ファイルにあるフィールド定義に従って処理されます。

CopyBook ファイル名

このパラメーターは、[計算フィールドの処理] が選択されている場合に表示されます。データの処理に使用するコピーブック ファイルの名前。コピーブック・ファイルは /store/ec/mqjms/* に置く必要があります。

イベントフォーマッタ

計算フィールドを含むデータの処理から生成されるイベントに適用するイベント形式を選択します。既定では、[ 書式設定なし ] が使用されます。

JMS メッセージ ヘッダーを含める

このオプションを選択すると、 JMSMessageID や JMSTimestampなどの JMS メッセージ・フィールドを含む生成された各イベントにヘッダーが含まれます。

EPSスロットル

1秒あたりの最大イベント数(EPS)の制限。

ログソース識別子

ログ・ソースの固有の名前。

名前にスペースを含めることはできず、Office 365 Message Trace REST API プロトコルで構成されているこの種類のすべてのログ ソース間で一意である必要があります。

Office 365 ユーザー アカウントのメール

Office 365 Message Trace REST API で認証するには、適切なアクセス許可を持つ Office 365 電子メール アカウントを指定します。

Office 365 ユーザー アカウントのパスワード

Office 365 メッセージ追跡 REST API で認証するには、Office 365 ユーザー アカウントの電子メールに関連付けられているパスワードを指定します。

イベント遅延

データ収集の遅延(秒単位)。

Office 365 メッセージ追跡ログは、最終的な配信システムで機能します。データを見逃さないように、ログは遅延して収集されます。デフォルトの遅延は 900 秒 (15 分) で、0 秒まで設定できます。

プロキシを使用

プロキシを使用してサーバにアクセスする場合は、「 プロキシを使用」 チェックボックスを選択します。プロキシで認証が必要な場合は、[ プロキシ サーバー]、[プロキシ ポート]、[プロキシ ユーザー名]、および [プロキシ パスワード] フィールドを設定します。 プロキシが認証を必要としない場合は、[ プロキシ サーバー] フィールドと [プロキシ ポート ] フィールドを設定します。

プロキシ IP またはホスト名

プロキシ サーバーの IP アドレスまたはホスト名。

プロキシ ポート

プロキシとの通信に使用されるポート番号。デフォルトは 8080 です。

プロキシ ユーザー名

プロキシが認証を必要とする場合にプロキシ サーバーへのアクセスに使用されるユーザー名。

プロキシ パスワード

プロキシーが認証を必要とするときにプロキシー・サーバーへのアクセスに使用されるパスワード。

再発

新しいイベントの Office 365 Message Trace REST API へのログ ソース クエリの間隔。

時間間隔は、時間(H)、分(M)、または日(D)です。既定値は 5 分です。

EPSスロットル

1秒あたりの最大イベント数(EPS)。デフォルトは 5000 です。

ログソース識別子

ログ・ソースの固有の名前。

ログソース ID は任意の有効な値にすることができ、特定のサーバーを参照する必要はありません。「ログソース ID」は、ログ・ソースの「名前」と同じ値にすることができます。構成されているOktaログ・ソースが複数ある場合は、最初のログ・ソースをokta1、2番目のログ・ソースをokta2、3番目のログ・ソースをokta3として識別できます。

IPまたはホスト名

oktaprise.okta.com

認証トークン

Oktaコンソールによって生成され、すべてのAPIトランザクションに使用する必要がある単一の認証トークン。

プロキシを使用

JSAがプロキシを使用してOktaにアクセスする場合は、このオプションを有効にします。

プロキシが構成されている場合、ログソースのすべてのトラフィックは、 JSA がOktaにアクセスするためにプロキシを経由します。

プロキシで認証が必要な場合は、[ ホスト名(Hostname)]、[ プロキシ ポート(Proxy Port)]、[ プロキシ ユーザー名(Proxy Username)]、および [プロキシ パスワード(Proxy Password )] フィールドを設定します。プロキシが認証を必要としない場合は、[ プロキシ ユーザー名(Proxy Username )] フィールドと [ プロキシ パスワード(Proxy Password )] フィールドを空白のままにすることができます。

ホスト名

「 プロキシーを使用」を選択すると、このパラメーターが表示されます。

プロキシ ポート

「 プロキシーを使用」を選択すると、このパラメーターが表示されます。

プロキシ ユーザー名

「 プロキシーを使用」を選択すると、このパラメーターが表示されます。

プロキシ パスワード

「 プロキシーを使用」を選択すると、このパラメーターが表示されます。

再発

新しいデータに対してポーリングが行われる頻度を決定する時間間隔。時間間隔には、時間(H)、分(M)、または日(D)の値を含めることができます。たとえば、2H = 2 時間、15M = 15 分、30 = 秒です。デフォルトは 1M です。

EPSスロットル

フローパイプラインに送信される 1 秒あたりのイベントの最大数。デフォルトは 5000 です。

EPSスロットル値が受信レートよりも高いことを確認してください、またはデータ処理が遅れる可能性があります。

プロトコル設定

OPSEC/LEA

ログソース識別子

IP アドレス、ホスト名、またはデバイスを識別するための任意の名前。

ログ・ソース・タイプに対して固有でなければなりません。

サーバー IP

サーバーの IP アドレスを入力します。

サーバーポート

OPSEC 通信に使用されるポート番号。有効範囲は 0 から 65,536 で、デフォルトは 18184 です。

ログソースにサーバー IP を使用

ログ・ソースに管理対象デバイスの IP アドレスではなく、LEA サーバーの IP アドレスを使用する場合は、「 ログソースにサーバー IP を使用 」チェック・ボックスを選択します。デフォルトでは、このチェックボックスはオンになっています。

統計レポート間隔

syslog イベント数が qradar.log ファイルに記録される間隔(秒単位)。有効範囲は 4 から 2,147,483,648 で、デフォルトの間隔は 600 です。

認証タイプ

リストから、この LEA 設定に使用する 認証タイプ を選択します。オプションは、sslca(デフォルト)、sslca_clear、またはclearです。この値は、サーバーが使用する認証方法と一致する必要があります。

OPSEC アプリケーション オブジェクトの SIC 属性 (SIC 名)

Secure Internal Communications(SIC)名は、アプリケーションの識別名(DN)です(例: CN=LEA、o=fwconsole)。7psasxです。

ログソース SIC 属性 (エンティティ SIC 名)

サーバーの SIC 名( 例: cn=cp_mgmt,o=fwconsole.)。7psasxzです。

証明書の指定

この LEA コンフィギュレーションの証明書を定義する場合は、このチェック ボックスをオンにします。 JSA は、証明書が必要な場合に、これらのパラメータを使用して証明書を取得しようとします。

証明書のファイル名

このオプションは、「証明書の指定」が選択されている場合にのみ表示されます。この構成に使用する証明書のファイル名を入力します。証明書ファイルは、 /opt/qradar/conf/ trusted_certificates/lea ディレクトリーに配置する必要があります。

認証局 IP

Check Point Manager サーバーの IP アドレスを入力します。

証明書パスワードのプル

パスワードを入力します。

OPSECアプリケーション

証明書要求を行うアプリケーションの名前。

有効

このチェック・ボックスを選択すると、ログ・ソースが使用可能になります。デフォルトでは、このチェックボックスはオンになっています。

信頼性

リストから、ログ・ソースの 「信頼性 」を選択します。範囲は 0 から 10 です。

信頼性は、ソース デバイスからの信頼性評価によって決定される、イベントまたは攻撃の整合性を示します。複数の情報源が同じイベントを報告すると、信頼性が高まります。デフォルトは 5 です。

ターゲット・イベント・コレクター

リストから、ログ・ソースのターゲットとして使用する 「ターゲット・イベント・コレクター 」を選択します。

イベントの合体

「 コアレッシング・イベント 」チェック・ボックスを選択して、ログ・ソースがイベントを結合 (バンドル) できるようにします。

デフォルトでは、自動的に検出されたログ・ソースは、JSAのシステム設定から「合体イベント」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

ストア イベント ペイロード

「 イベント・ペイロードの保管 」チェック・ボックスを選択して、ログ・ソースがイベント・ペイロード情報を保管できるようにします。

デフォルトでは、自動的に検出されたログ・ソースは、JSAの「システム設定」から「ストア・イベント・ペイロード」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

プロトコル設定

Oracleデータベース・リスナー

ログソース識別子

IP アドレス、ホスト名、または固有の名前を入力して、ログ・ソースを識別します。

サーバーアドレス

Oracle Databaseリスナー・サーバーのIPアドレスまたはホスト名。

ドメイン

Oracle Database Learnerサーバーのドメインを入力します。

サーバーがドメイン内にない場合、このパラメーターは省略可能です。

ユーザー名

サーバーへのアクセスに必要なユーザー名を入力します。

パスワード

サーバーへのアクセスに必要なパスワードを入力します。

パスワードの確認

サーバーへのアクセスに必要なパスワードを入力します。

ログフォルダのパス

Oracle Database Listenerログ・ファイルにアクセスするためのディレクトリ・パスを入力します。

ファイルパターン

イベントログを識別する正規表現(regex)。

ファイルの強制読み取り

このチェックボックスをオンにすると、ポーリング間隔のタイミングが指定されている場合に、プロトコルがログファイルを強制的に読み取ります。

このチェック・ボックスを選択すると、最終変更時刻やファイル・サイズ属性に関係なく、ポーリング間隔が指定されたときに常にログ・ファイル・ソースが検査されます。

このチェック・ボックスが選択されていない場合、最終変更時刻またはファイル・サイズ属性が変更されたかどうか、ポーリング間隔でログ・ファイル・ソースが検査されます。

リカーシブ

ファイルパターンでサブフォルダを検索する場合は、このオプションを使用します。デフォルトでは、このチェックボックスはオンになっています。

SMB バージョン

使用する SMB のバージョンを選択します。

AUTO - クライアントとサーバーが使用に同意した最高バージョンまで自動検出します。

SMB1 - SMB1 の使用を強制します。SMB1 は jCIFS.jar (Java ARchive) ファイルを使用します。

SMB2 - SMB2 の使用を強制します。SMB2 は jNQ.jar ファイルを使用します。

SMB3 - SMB3 の使用を強制します。SMB3 は jNQ.jar ファイルを使用します。

ポーリング間隔(秒)

ポーリング間隔を入力します。これは、ログファイルに対してクエリを実行して新しいデータをチェックする間隔を秒数にします。デフォルトは 10 秒です。

スロットル イベント数/秒

Oracle Database Listenerプロトコルが1秒あたりに転送するイベントの最大数。

ファイルエンコーディング

ログ・ファイル内のイベントで使用される文字エンコード。

プロトコル設定

SDEEの

URL (英語)

ログ・ソースへのアクセスに必要な HTTP または HTTPS URL (例えば、https://www.mysdeeserver.com/cgi-bin/sdee-server)。

SDEE/CIDEE(Cisco IDS v5.x 以降)の場合、URL は /cgi-bin/sdee-server で終わる必要があります。RDEP(Cisco IDS v4.x)を使用している管理者の場合、URL は /cgi-bin/event-server で終わる必要があります。

サブスクリプションの強制

このチェック・ボックスが選択されると、プロトコルは、サーバーが最もアクティブでない接続をドロップし、ログ・ソースの新しい SDEE サブスクリプション接続を受け入れるように強制します。

イベントをブロックする最大待機時間(Maximum Wait To Block For Events)

コレクション要求が行われ、新しいイベントが使用できない場合、プロトコルはイベント ブロックを有効にします。このブロックにより、新しいイベントがないリモート デバイスに対して別のイベント要求が行われるのを防ぎます。このタイムアウトは、システム リソースを節約することを目的としています。

プロトコル設定

SMB テール

ログソース識別子

ログ・ソースを識別するための IP アドレス、ホスト名、または固有の名前を入力します。

サーバーアドレス

SMB テール サーバーの IP アドレスまたはホスト名。

ドメイン

SMB テール サーバーのドメインを入力します。

サーバーがドメイン内にない場合、このパラメーターは省略可能です。

ユーザー名

サーバーへのアクセスに必要なユーザー名を入力します。

パスワード

サーバーへのアクセスに必要なパスワードを入力します。

パスワードの確認

サーバーへのアクセスに必要なパスワードを確認します。

ログフォルダのパス

ログ ファイルにアクセスするためのディレクトリ パス。たとえば、管理者は、管理共有に c$/LogFiles/ ディレクトリを使用し、パブリック共有フォルダー パスに LogFiles/ ディレクトリを使用できます。ただし、 c:/LogFiles ディレクトリは、サポートされているログ フォルダー パスではありません。

ログ フォルダー パスに管理用共有 (C$) が含まれている場合、管理用共有 (C$) に対する NetBIOS アクセス権を持つユーザーには、ログ ファイルの読み取りに必要な特権が与えられます。

ローカル システムまたはドメインの管理者特権は、管理共有上のログ ファイルにアクセスするのに十分です。

ファイルパターン

イベントログを識別する正規表現(regex)。

SMB バージョン

使用するサーバー メッセージ ブロック (SMB) のバージョンを選択します。

AUTO - クライアントとサーバーが使用に同意した最高バージョンまで自動検出します。

SMB1 - SMB1 の使用を強制します。SMB1 は jCIFS.jar (Java ARchive) ファイルを使用します。

SMB2 - SMB2 の使用を強制します。SMB2 は jNQ.jar ファイルを使用します。

SMB3 - SMB3 の使用を強制します。SMB3 は jNQ.jar ファイルを使用します。

ファイルの強制読み取り

このチェックボックスをオフにすると、 JSA が変更時刻またはファイルサイズの変更を検出した場合にのみ、ログファイルが読み取られます。

リカーシブ

ファイルパターンでサブフォルダを検索する場合は、このオプションを使用します。デフォルトでは、このチェックボックスはオンになっています。

ポーリング間隔(秒単位)

ポーリング間隔を入力します。これは、ログファイルに対してクエリを実行して新しいデータをチェックする間隔を秒数にします。デフォルトは 10 秒です。

スロットル イベント数/秒

SMB テール プロトコルが 1 秒あたりに転送するイベントの最大数。

ファイルエンコーディング

ログ・ファイル内のイベントで使用される文字エンコード。

プロトコル設定

SNMPv2

コミュニティ

SNMP イベントを含むシステムへのアクセスに必要な SNMP コミュニティ名。たとえば、Public です。

イベント ペイロードに OID を含める

SNMP イベント ペイロードが、イベント ペイロード形式ではなく、名前と値のペアを使用して構築されることを指定します。

「 ログソース・タイプ 」リストから特定のログ・ソースを選択する場合、SNMPv2 または SNMPv3 イベントの処理にはイベント・ペイロード内の OID が必要になります。

イベントの合体

このチェック・ボックスを選択すると、ログ・ソースがイベントを結合 (バンドル) できるようになります。

合体イベントは、同じイベントが短い時間間隔で複数回発生すると、イベント数を増やします。結合されたイベントを使用すると、管理者は [ ログ アクティビティ ] タブで 1 つのイベントの種類が発生する頻度を表示および決定できます。

このチェック ボックスをオフにすると、イベントが個別に表示され、情報がバンドルされません。

新規および自動的にディスカバーされたログ・ソースは、「管理」タブの「システム設定」構成からこのチェック・ボックスの値を継承します。管理者は、このチェック・ボックスを使用して、個々のログ・ソースのシステム設定のデフォルト動作をオーバーライドできます。

ストア イベント ペイロード

このチェック・ボックスを選択すると、ログ・ソースがイベントからのペイロード情報を保管できるようになります。

新規および自動的にディスカバーされたログ・ソースは、「管理」タブの「システム設定」構成からこのチェック・ボックスの値を継承します。管理者は、このチェック・ボックスを使用して、個々のログ・ソースのシステム設定のデフォルト動作をオーバーライドできます。

プロトコル設定

SNMPv3

ログソース識別子

ログ・ソースの固有の名前を入力します。

認証プロトコル

SNMP3 トラップの認証に使用するアルゴリズム:

• SHA は、認証プロトコルとしてセキュア ハッシュ アルゴリズム (SHA) を使用します。

• MD5 は、認証プロトコルとしてメッセージ ダイジェスト 5(MD5)を使用します。

認証パスワード

SNMPv3 を認証するためのパスワード。認証パスワードは 8 文字以上である必要があります。

復号プロトコル

SNMPv3 トラップの復号に使用するアルゴリズムを選択します。

• DES

• AES128

• AES192

• AES256

復号化パスワード

SNMPv3 トラップを復号するためのパスワード。復号化パスワードは 8 文字以上である必要があります。

利用者

アプライアンスで SNMPv3 を設定するために使用されたユーザー名。

イベント ペイロードに OID を含める

SNMP イベント ペイロードが、標準のイベント ペイロード形式ではなく、名前と値のペアを使用して構築されることを指定します。「 ログソース・タイプ 」リストから特定のログ・ソースを選択する場合、SNMPv2 または SNMPv3 イベントの処理にはイベント・ペイロード内の OID が必要になります。

ログソースの種類

セキュラート

プロトコル設定

Seculert Protection REST API

ログソース識別子

Seculert からのイベントの識別子として、ログ・ソースの IP アドレスまたはホスト名を入力します。

複数のインストール済み環境がある場合に作成する各追加ログ・ソースには、IP アドレスやホスト名などの意の ID が含まれているのが理想的です。

APIキー

Seculert Protection REST API での認証に使用される API キー。API キーの値は、Seculert Web ポータルから取得されます。

プロキシを使用

プロキシを構成すると、ログ・ソースのすべてのトラフィックは、 JSA のプロキシを経由して Seculert Protection REST API にアクセスします。

[プロキシ IP またはホスト名(Proxy IP or Hostname)]、[プロキシ ポート(Proxy Port)]、[プロキシ ユーザ名(Proxy Username)]、および [プロキシ パスワード(Proxy Password)] フィールドを設定します。プロキシが認証を必要としない場合は、[プロキシ ユーザー名(Proxy Username)] フィールドと [プロキシ パスワード(Proxy Password)] フィールドを空白のままにすることができます。

サーバー証明の自動取得

リストから [はい ] を選択すると、 JSA は証明書をダウンロードし、ターゲット サーバーの信頼を開始します。

再発

ログがデータを収集するタイミングを指定します。形式は、分/時間/日を表す M/H/D です。既定値は 1 M です。

EPSスロットル

API から受信するイベントの 1 秒あたりの最大イベント数 (eps) の上限。

有効

このチェック・ボックスを選択すると、ログ・ソースが使用可能になります。デフォルトでは、このチェックボックスはオンになっています。

信頼性

ログ・ソースの 「信頼性 」を選択します。範囲は 0 から 10 です。

信頼性は、ソース デバイスからの信頼性評価によって決定される、イベントまたは攻撃の整合性を示します。複数の情報源が同じイベントを報告すると、信頼性が高まります。デフォルトは 5 です。

ターゲット・イベント・コレクター

ログ・ソースのターゲットとして使用する 「ターゲット・イベント・コレクター 」を選択します。

イベントの合体

このチェック・ボックスを選択すると、ログ・ソースがイベントを結合 (バンドル) できるようになります。

デフォルトでは、自動的に検出されたログ・ソースは、JSAのシステム設定から「合体イベント」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

ストア イベント ペイロード

このチェック・ボックスを選択すると、ログ・ソースがイベント・ペイロード情報を保管できるようになります。

デフォルトでは、自動的に検出されたログ・ソースは、JSAの「システム設定」から「ストア・イベント・ペイロード」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

プロトコル設定

Sophos Enterprise Console JDBC

ログソース識別子

ログ・ソースの名前を入力します。この名前にはスペースを含めることはできず、JDBC プロトコルを使用するように構成されたログ・ソース・タイプのすべてのログ・ソース間で固有でなければなりません。

ログ・ソースが、静的 IP アドレスまたはホスト名を持つ単一アプライアンスからイベントを収集する場合は、アプライアンスの IP アドレスまたはホスト名を「 ログソース ID 」値の全部または一部として使用します。たとえば、192.168.1.1 や JDBC192.168.1.1 などです。ログ・ソースが静的 IP アドレスまたはホスト名を持つ単一のアプライアンスからイベントを収集しない場合は、「 ログソース識別子 」値に任意の一意の名前を使用できます。たとえば、JDBC1、JDBC2 などです。

データベースの種類

MSDEの

データベース名

データベース名は、「 ログソース ID 」フィールドに指定されたデータベース名と一致する必要があります。

港

Sophos Enterprise Console の MSDE のデフォルトポートは 1168 です。JDBC 設定ポートは、 JSA と通信するためにソフォスデータベースのリスナーポートと一致する必要があります。ソフォスのデータベースで受信 TCP 接続が有効になっている必要があります。

データベース インスタンスを MSDE データベース タイプで使用する場合は、Port パラメータを空白のままにする必要があります。

認証ドメイン

ネットワークでドメインを使用しない場合は、このフィールドを空白のままにします。

データベースインスタンス

データベース・インスタンス (必要な場合)。MSDE データベースには、1 つのサーバー上に複数の SQL Server インスタンスを含めることができます。

データベースに標準以外のポートを使用する場合、または SQL データベースの解決のために管理者がポート 1434 へのアクセスをブロックする場合は、[ データベース インスタンス ] パラメーターを空白にする必要があります。

テーブル名

vEventsCommonData

リストを選択

*

フィールドの比較

InsertedAt

プリペアドステートメントを使用

プリペアド・ステートメントを使用すると、プロトコル・ソースは SQL ステートメントをセットアップし、その SQL ステートメントを異なるパラメーターで何度も実行することができます。セキュリティとパフォーマンス上の理由から、ほとんどの設定ではプリペアドステートメントを使用できます。このチェック ボックスをオフにすると、プリコンパイル済みステートメントを使用しない別のクエリ方法が使用されます。

開始日時

随意。プロトコルがデータベースのポーリングを開始できる開始日時。開始時刻が定義されていない場合、プロトコルは、ログ・ソース構成が保存およびデプロイされた後に、イベントのポーリングを試みます。

ポーリング間隔

ポーリング間隔は、データベースへのクエリ間の時間です。数値に時間を表す H または分を表す M を付加することで、より長いポーリング間隔を定義できます。最大ポーリング間隔は、任意の時間形式で 1 週間です。H または M 指定子のない数値は、秒単位でポーリングします。

EPSスロットル

このプロトコルで超えたくない 1 秒あたりのイベント数(EPS)。

名前付きパイプ通信を使用する

MSDE がデータベースの種類として構成されている場合、管理者はこのチェック ボックスをオンにして、TCP/IP ポート接続の代替方法を使用できます。

MSDE データベースの名前付きパイプ接続では、ユーザー名とパスワード フィールドで、データベースのユーザー名とパスワードではなく、Windows 認証のユーザー名とパスワードを使用する必要があります。ログ・ソース構成では、MSDE データベース上のデフォルトの名前付きパイプを使用する必要があります。

データベースクラスタ名

クラスタ環境で SQL Server を使用する場合は、クラスタ名を定義して、名前付きパイプ通信が正しく機能するようにします。

NTLMv2 を使用する

NTLMv2 認証を必要とする SQL Server で MSDE 接続に NTLMv2 プロトコルの使用を強制します。チェックボックスのデフォルト値が選択されています。

[ NTLMv2 を使用する ] チェック ボックスは、NTLMv2 認証を必要としない MSDE 接続の通信を中断しません。

プロトコル設定

Syslogリダイレクト

ログソース識別子正規表現

ペイロードからログソース識別子を解析するための正規表現を入力します。

ログソース識別子

デフォルトとして使用する「ログソース識別子」を入力します。ログソース ID 正規表現が、指定された正規表現を使用して特定のペイロードからのログソース識別子を解析できない場合は、デフォルトが使用されます。

ログソース識別子正規表現フォーマット文字列

ログソース識別子正規表現のキャプチャ グループを結合する書式指定文字列。

例えば：

1. "$1" は最初のキャプチャ グループを使用します。

2. "$1$2" は、キャプチャ グループ 1 と 2 を連結します。

3. "$1 TEXT $2" は、キャプチャ グループ 1、リテラル "TEXT"、キャプチャ グループ 2 を連結します。

結果のストリングは、新しいログ・ソース ID として使用されます。

正規表現の一致時にDNSルックアップを実行する

[ 正規表現の一致時に DNS ルックアップを実行(Perform DNS Lookup On Regex Match)] チェックボックスをオンにして、[ ログソース識別子の正規表現(Log Source Identifier Regex )] とパラメータ値に基づく DNS 機能を有効にします。

デフォルトでは、このチェックボックスはオフになっています。

リッスンポート

未使用のポートを入力し、そのポートで JSA にイベントを送信するようにログソースを設定します。

議定書

リストから、[ TCP ] または [UDP] を選択します。

Syslogリダイレクトプロトコルは、任意の数のUDP syslog接続をサポートしますが、TCP接続は2500に制限されます。syslog ストリームに 2500 を超えるログ・ソースがある場合は、2 番目のログ・ソースと listen ポート番号を入力する必要があります。

有効

このチェック・ボックスを選択すると、ログ・ソースが使用可能になります。デフォルトでは、このチェックボックスはオンになっています。

信頼性

リストから、ログ・ソースの「信頼性」を選択します。範囲は 0 から 10 です。

信頼性は、ソース デバイスからの信頼性評価によって決定される、イベントまたは攻撃の整合性を示します。複数の情報源が同じイベントを報告すると、信頼性が高まります。デフォルトは 5 です。

ターゲット・イベント・コレクター

リストから、ログ・ソースのターゲットとして使用する 「ターゲット・イベント・コレクター 」を選択します。

イベントの合体

「イベントの結合 」チェック・ボックスを選択して、ログ・ソースがイベントを結合 (バンドル) できるようにします。

デフォルトでは、自動的に検出されたログ・ソースは、JSAのシステム設定から「合体イベント」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

受信イベント ペイロード

[ 受信イベント ペイロード ] の一覧から、ログを解析および保存する受信ペイロード エンコーダーを選択します。

ストア イベント ペイロード

「 イベント・ペイロードの保管 」チェック・ボックスを選択して、ログ・ソースがイベント・ペイロード情報を保管できるようにします。

デフォルトでは、自動的に検出されたログ・ソースは、JSAの「システム設定」から「ストア・イベント・ペイロード」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

プロトコル設定

TCP 複数行 Syslog

ログソース識別子

ログ・ソースを識別するための IP アドレスまたはホスト名を入力します。代わりに名前を使用するには、「 カスタム・ソース名を使用 」を選択し、「 ソース名の正規表現 」および 「ソース名のフォーマット文字列 」パラメータを入力します。

リッスンポート

デフォルトのポートは 12468 です。

集計方法

デフォルトは 「マッチングの開始/終了」です。共通の識別子で結合された複数行のイベントを結合する場合は、 IDリンク を使用します。

イベント開始パターン

このパラメーターは、[集約方法] パラメーターを [照合の開始/終了] に設定した場合に使用できます。

TCP 複数行イベント ペイロードの開始を識別するために必要な正規表現(regex)。Syslogヘッダーは、通常、日付またはタイムスタンプで始まります。このプロトコルは、タイム スタンプなどのイベント開始パターンのみに基づいて、1 行のイベントを作成できます。開始パターンのみが使用可能な場合、プロトコルは各開始値の間のすべての情報をキャプチャして、有効なイベントを作成します。

イベント終了パターン

このパラメーターは、[集約方法] パラメーターを [照合の開始/終了] に設定した場合に使用できます。

TCP 複数行イベント ペイロードの終わりを識別するために必要なこの正規表現(regex)。syslog イベントが同じ値で終了した場合、正規表現を使用してイベントの終了を判断できます。このプロトコルは、イベント終了パターンのみに基づくイベントをキャプチャできます。終了パターンのみが使用可能な場合、プロトコルは各終了値間のすべての情報をキャプチャして、有効なイベントを作成します。

メッセージ ID パターン

このパラメーターは、[ 集約方法 ] パラメーターを [ID リンク] に設定した場合に使用できます。

この正規表現(regex)は、イベントペイロードメッセージをフィルタリングするのに必要です。TCP 複数行イベント・メッセージには、イベント・メッセージの各行で繰り返される共通の識別値が含まれている必要があります。

イベントフォーマッタ

Windows 専用に書式設定された複数行イベントには、[ Windows 複数行 ] オプションを使用します。

詳細オプションを表示

デフォルトは [いいえ] です。イベント データをカスタマイズする場合は、[ はい ] を選択します。

カスタムソース名を使用

このパラメータは、[ 詳細オプションの表示 ] を [はい] に設定した場合に使用できます。

このチェックボックスは、正規表現でソース名をカスタマイズする場合に選択します。

ソース名正規表現

このパラメーターは、[ Use Custom Source Name] をオンにした場合に使用できます。

このプロトコルによって処理されるイベント ペイロードから 1 つ以上の値をキャプチャする正規表現(regex)。これらの値は、[ ソース名の書式設定文字列 ] パラメーターと共に使用され、各イベントのソース値またはオリジン値を設定します。このソース値は、一致する「ログソース識別子」値を持つログ・ソースにイベントをルーティングするために使用されます。

ソース名の書式設定文字列

このパラメーターは、[ Use Custom Source Name] をオンにした場合に使用できます。

次の 1 つ以上の入力の組み合わせを使用して、このプロトコルによって処理されるイベント ペイロードのソース値を形成できます。

• ソース名の正規表現からの 1 つ以上のキャプチャ グループ。キャプチャ グループを参照するには、\x 表記を使用します (x はソース名の正規表現からのキャプチャ グループのインデックスです)。

• イベント データの送信元の IP アドレス。パケット IP を参照するには、トークン $PIP$ を使用します。

• リテラル テキスト文字。 ソース名の書式設定文字列 全体は、ユーザー指定のテキストにすることができます。たとえば、 ソース名の正規表現 が 'hostname=(.*?)' で、キャプチャ グループ 1 の値に hostname.com を追加する場合は、 ソース名の書式設定文字列 を\1.hostname.com に設定します。hostname=ibm を含むイベントが処理されると、イベント・ペイロードのソース値が ibm.hostname.com に設定され、JSA はその ログソース ID を持つログ・ソースにイベントをルーティングします。

ゲートウェイ・ログ・ログソースとして使用

このパラメータは、[ 詳細オプションの表示 ] を [はい] に設定した場合に使用できます。

選択すると、ログ・ソースを通過するイベントは、イベントでタグ付けされたソース名に基づいて、他のログ・ソースにルーティングできます。

このオプションが選択されておらず、「 カスタム・ソース名を使用 」が選択されていない場合、着信イベントには、「ログソース識別子」パラメーターに対応するソース名がタグ付けされます。

複数行のイベントを 1 行に平坦化

このパラメータは、[ 詳細オプションの表示 ] を [はい] に設定した場合に使用できます。

イベントを 1 行または複数行で表示します。

イベント集約時に行全体を保持

このパラメータは、[ 詳細オプションの表示 ] を [はい] に設定した場合に使用できます。

「集約方法」パラメーターを「ID リンク」に設定した場合、「イベント集約中に行全体を保持」を有効にして、同じ ID パターンを持つイベントを連結するときに、「メッセージ ID パターン」の前にあるイベントの一部を破棄または保持することができます。

期限

イベントがイベントパイプラインにプッシュされる前に、追加の一致するペイロードを待機する秒数。デフォルトは 10 秒です。

有効

このチェック・ボックスを選択すると、ログ・ソースが使用可能になります。

信頼性

ログ・ソースの信頼性を選択します。範囲は 0 から 10 です。

信頼性は、ソース デバイスからの信頼性評価によって決定される、イベントまたは攻撃の整合性を示します。複数の情報源が同じイベントを報告すると、信頼性が高まります。デフォルトは 5 です。

ターゲット・イベント・コレクター

TCP Multiline Syslog リスナーをホストするデプロイメント内の Event Collector を選択します。

イベントの合体

このチェック・ボックスを選択すると、ログ・ソースがイベントを結合 (バンドル) できるようになります。

デフォルトでは、自動的に検出されたログ・ソースは、 JSAのシステム設定から「合体イベント」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

ストア イベント ペイロード

このチェック・ボックスを選択すると、ログ・ソースがイベント・ペイロード情報を保管できるようになります。

デフォルトでは、自動的に検出されたログ・ソースは、JSAの「システム設定」から「ストア・イベント・ペイロード」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

プロトコル設定

TLSシステムログ

ログソース識別子

ログ・ソースを識別するための IP アドレスまたはホスト名。

TLSリッスンポート

デフォルトのTLSリスニングポートは6514です。

認証モード

TLS 接続が認証に使用するモード。 [TLS とクライアント認証 ] オプションを選択した場合は、証明書パラメーターを構成する必要があります。

クライアント証明書認証

リストから次のオプションのいずれかを選択します。

• CN許可リストと発行者の検証

• ディスク上のクライアント証明書

CN許可リストの使用

CN 許可リストを使用するには、このパラメーターを有効にします。

CN 許可リスト

信頼されたクライアント証明書の共通名の許可リスト。プレーンテキストまたは正規表現(regex)を入力できます。複数のエントリを定義するには、それぞれを別々の行に入力します。

発行者検証を使用する

発行者検証を使用するには、このパラメーターを有効にします。

ルート/中間発行者の証明書または公開鍵

ルート/中間発行者の証明書または公開キーを PEM 形式で入力します。

• 証明書を次のように入力します。

  -----証明書の開始-----

  そして、以下で終わります。

  -----証明書の終了-----

• 次で始まる公開キーを入力します。

  -----公開キーの開始-----

  そして、以下で終わります。

  -----終了公開鍵-----

証明書失効の確認

証明書の失効ステータスをクライアント証明書と照合します。このオプションには、X509v3 拡張機能のクライアント証明書の [CRL 配布ポイント ] フィールドで指定されている URL へのネットワーク接続が必要です。

証明書の使用状況を確認する

[ キー使用法 ] フィールドと [拡張キー使用法 拡張] フィールドで、証明書 X509v3 拡張機能の内容を確認します。受信クライアント証明書の場合、X509v3 キー使用法の許可値は digitalSignature と keyAgreement です。X509v3 拡張キー使用法の許可値は TLS Web クライアント認証です。

このプロパティはデフォルトで無効になっています。

クライアント証明書のパス

ディスク上のクライアント証明書への絶対パス。証明書は、このログ・ソースの JSAコンソール または イベント・コレクタ に格納する必要があります。

サーバー証明の種類

サーバー証明書とサーバー キーの認証に使用する証明書の種類。

「 サーバー証明タイプ 」リストから以下のオプションのいずれかを選択します。

• 生成された証明書

• PEM 証明書と秘密鍵

• PKCS12 証明書チェーンとパスワード

• JSA証明書ストアから選択します

生成された証明書

このオプションは、 証明書タイプを設定する場合に使用できます。

JSA によって生成されたデフォルトの証明書とキーをサーバー証明書とサーバー キーに使用する場合は、このオプションを選択します。

生成された証明書の名前は、ログ・ソースが割り当てられているターゲット・イベント・コレクターの /opt/ qradar/conf/trusted_certificates/ ディレクトリー内の syslog-tls.cert です。

単一の証明書と秘密キー

このオプションは、 証明書タイプを設定する場合に使用できます。

サーバー証明書に単一の PEM 証明書を使用する場合は、このオプションを選択し、次のパラメータを設定します。

• 指定されたサーバー証明パス - サーバー証明書への絶対パス。

• 指定された秘密キーのパス - 秘密キーへの絶対パス。

PKCS12 証明書とパスワード

このオプションは、 証明書タイプを設定する場合に使用できます。

サーバー証明書とサーバー キーを含む PKCS12 ファイルを使用する場合は、このオプションを選択し、次のパラメーターを構成します。

• PKCS12証明書パス - サーバー証明書とサーバーキーを含むPKCS12ファイルのファイルパスを入力します。

• PKCS12パスワード - PKCS12ファイルにアクセスするためのパスワードを入力します。

• 証明書エイリアス - PKCS12 ファイルに複数のエントリがある場合は、使用するエントリを指定するためにエイリアスを指定する必要があります。PKCS12 ファイルにエイリアスが 1 つしかない場合は、このフィールドを空白のままにします。

JSA証明書ストアから選択します

このオプションは、 証明書タイプを設定する場合に使用できます。

証明書管理アプリケーションを使用して、JSA証明書ストアから証明書をアップロードできます。

このアプリケーションは、JSA 7.3.3 フィックスパック 6 以降および JSA 7.4.2 以降でサポートされます。

最大ペイロード長

TLS Syslog メッセージに表示されるペイロードの最大長(文字数)。

最大接続数

「最大接続数」パラメータは、TLS Syslog プロトコルが各イベント・コレクターに対して受け入れることができる同時接続数を制御します。

イベント・コレクターごとに、TLS Syslog ログ・ソース構成には、使用可能および使用不可のログ・ソースを含む 1000 個の接続の制限があります。

TLSプロトコル

ログ・ソースが使用する TLS プロトコル。

「TLS 1.2 以降」オプションを選択します。

ゲートウェイ・ログ・ログソースとして使用

収集したイベントをJSAトラフィック分析エンジンを介して送信し、適切なログソースを自動的に検出します。

イベントにカスタム・ログ・ソース ID を定義しない場合は、このチェック・ボックスをクリアします。

このオプションが選択されておらず、 識別子パターンログソース 設定されていない場合、JSA はイベントを不明な汎用ログソースとして受信します。

ログソース識別子パターン

「 ゲートウェイ・ログソースとして使用 」オプションを使用して、処理中のイベントおよび該当する場合はログ・ソースが自動的に検出されるように、カスタム・ログ・ソース ID を定義します。ログソース識別子パターンを構成しない場合、JSA はイベントを不明な汎用ログソースとして受信します。

キーと値のペアを使用して、カスタム・ログソース識別子を定義します。キーは、結果のソースまたはオリジン値である識別子フォーマット文字列です。値は、現在のペイロードの評価に使用される関連する正規表現パターンです。この値は、キーをさらにカスタマイズするために使用できるキャプチャ グループもサポートしています。

新しい行に各パターンを入力して、複数のキーと値のペアを定義します。複数のパターンは、リストされている順序で評価されます。一致が見つかると、カスタム・ログソース識別子が表示されます。

次の例は、複数のキーと値のペア関数を示しています。

• パターン - VPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2= \s(ACCEPT)\s(OK)

• イベント - {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}

• 結果のカスタム・ログ・ソース ID - VPC-ACCEPT-OK

複数行を有効にする

開始/終了マッチングまたはIDにリンクされた正規表現に基づいて、複数のメッセージを単一のイベントに集約します。

集計方法

このパラメータは、 Enable Multiline がオンのときに使用できます。

• ID-Linked - 各行の先頭に共通の値を含むイベント ログを処理します。

• Start/End Matching - 開始または終了の正規表現(regex)に基づいてイベントを集約します。

イベント開始パターン

このパラメーターは、[ 複数行の有効化 ] がオンで、[ 集約方法 ] が [照合の開始/終了] に設定されている場合に使用できます。

TCP複数行イベントペイロードの開始を識別するには、正規表現(regex)が必要です。通常、Syslog ヘッダーは日付またはタイムスタンプで始まります。このプロトコルは、タイムスタンプなどのイベント開始パターンのみに基づいて、1 行のイベントを作成できます。開始パターンのみが使用可能な場合、プロトコルは各開始値の間のすべての情報をキャプチャして、有効なイベントを作成します。

イベント終了パターン

このパラメーターは、[ 複数行の有効化 ] がオンで、[ 集約方法 ] が [照合の開始/終了] に設定されている場合に使用できます。

この正規表現(regex)は、TCP 複数行イベント ペイロードの終わりを識別するために必要です。syslog イベントが同じ値で終了した場合、正規表現を使用してイベントの終了を判断できます。このプロトコルは、イベント終了パターンのみに基づくイベントをキャプチャできます。終了パターンのみが使用可能な場合、プロトコルは各終了値間のすべての情報をキャプチャして、有効なイベントを作成します。

メッセージ ID パターン

このパラメーターは、[ 複数行の有効化 ] がオンで、[ 集約方法 ] が [ID リンク] に設定されている場合に使用できます。

この正規表現(regex)は、イベントペイロードメッセージをフィルタリングするのに必要です。TCP 複数行イベント・メッセージには、イベント・メッセージの各行で繰り返される共通の識別値が含まれている必要があります。

期限

このパラメーターは、[ 複数行の有効化 ] がオンで、[ 集約方法 ] が [ID リンク] に設定されている場合に使用できます。

イベントがイベントパイプラインにプッシュされる前に、さらに一致するペイロードを待機する秒数。デフォルトは 10 秒です。

イベント集約時に行全体を保持

このパラメーターは、[ 複数行の有効化 ] がオンで、[ 集約方法 ] が [ID リンク] に設定されている場合に使用できます。

「集約方法」パラメーターを「ID リンク」に設定した場合、「イベント集約中に行全体を保持」を有効にして、メッセージ ID パターンに先行するイベントの一部を破棄または保持できます。この機能は、同じ ID パターンを持つイベントを連結している場合にのみ有効にできます。

複数行のイベントを 1 行にフラット化

このパラメータは、 Enable Multiline がオンのときに使用できます。

イベントを 1 行または複数行で表示します。

イベントフォーマッタ

このパラメータは、 Enable Multiline がオンのときに使用できます。

Windows 専用に書式設定された複数行イベントには、[ Windows 複数行 ] オプションを使用します。

プロトコル設定

UDP 複数行 Syslog

リッスンポート

JSA が受信 UDP マルチライン Syslog イベントを受け入れるために使用するデフォルトのポート番号は 517 です。1 から 65535 の範囲の別のポートを使用できます。

保存済みの設定を編集して新しいポート番号を使用するには、以下のステップを実行します。

1. [ リッスン ポート(Listen Port )] フィールドに、UDP マルチライン Syslog イベントを受信するための新しいポート番号を入力します。

2. 「 保存」をクリックします。

3. 「変更のデプロイ」をクリックして、この変更を有効にします。

ポートの更新が完了し、新しいポート番号でイベントの収集が開始されます。

メッセージ ID パターン

イベントペイロードメッセージをフィルタリングするために必要な正規表現(regex)。UDP 複数行イベント・メッセージには、イベント・メッセージの各行で繰り返される共通の識別値が含まれている必要があります。

イベントフォーマッタ

リスナーによって検出された受信ペイロードをフォーマットするイベントフォーマッタ。[ 書式設定なし ] を選択して、ペイロードはそのままにします。[ Cisco ACS Multiline ] を選択して、ペイロードを単一行イベントにフォーマットします。

ACS syslog ヘッダーには、total_seg フィールドと seg_num フィールドがあります。これら 2 つのフィールドは、[Cisco ACS Multiline] オプションを選択するときに、ACS マルチライン イベントを正しい順序で 1 行のイベントに再配置するために使用されます。

詳細オプションを表示

デフォルトは [いいえ] です。詳細オプションを構成する場合は、[ はい ] を選択します。

カスタムソース名を使用

このチェックボックスは、正規表現でソース名をカスタマイズする場合に選択します。

ソース名正規表現

このUDP複数行Syslog設定によって処理されるイベントのソースをJSAが決定する方法をカスタマイズする場合は、[ Source Name Regex ]パラメータと [Source Name Formatting String ]パラメータを使用します。

[Source Name Regex (ソース名の正規表現)] に、このプロトコルによって処理されるイベントペイロードから 1 つ以上の識別値をキャプチャするための正規表現を入力します。これらの値は、各イベントのソース値またはオリジン値を設定するために、ソース名の書式設定文字列と共に使用されます。このソース値は、「ゲートウェイとして使用」ログソースが有効な場合に、「ログソース ID 」値が一致するログ・ソースにイベントをルーティングするために使用されます。

ソース名の書式設定文字列

次の 1 つ以上の入力の組み合わせを使用して、このプロトコルによって処理されるイベント ペイロードのソース値を形成できます。

• ソース名の正規表現からの 1 つ以上のキャプチャ グループ。キャプチャ グループを参照するには、\x 表記を使用します (x はソース名の正規表現からのキャプチャ グループのインデックスです)。

• イベント データの送信元の IP アドレス。パケット IP を参照するには、トークン $PIP$ を使用します。

• リテラル テキスト文字。ソース名の書式設定文字列全体は、ユーザー指定のテキストにすることができます。

たとえば、CiscoACS\1\2$PIP$ の場合、\1\2 は Source Name Regex 値の 1 番目と 2 番目のキャプチャ グループを意味し、$PIP$ はパケット IP です。

ゲートウェイ・ログ・ログソースとして使用

このチェック・ボックスがクリアされている場合、着信イベントは、発信元の IP と一致する ログソース ID を持つログ・ソースに送信されます。

オンにすると、このログ・ソースは、多数のソースからの複数行イベントがJSAに入り、ソースごとにUDP複数行Syslogログ・ソースを構成する必要なく、同じ方法で処理するための単一のエントリ・ポイントまたはゲートウェイとして機能します。RFC3164 または RFC5424 準拠の syslog ヘッダーを持つイベントは、ヘッダー内の IP またはホスト名から発信されたものとして識別されます。ただし、[ Source Name Formatting String ] パラメータが使用されている場合は、そのフォーマット文字列がイベントごとに評価されます。このようなイベントは、このキャプチャされた値に基づいてJSAを介してルーティングされます。

対応する ログソース ID を持つログ・ソースが 1 つ以上存在する場合、構成された構文解析順序に基づいてイベントが与えられます。ユーザーがイベントを受け入れない場合、または一致する ログソース ID を持つログ・ソースが存在しない場合、イベントは自動検出のために分析されます。

複数行のイベントを 1 行にフラット化

イベントを 1 行または複数行で表示します。このチェックボックスがオンの場合、すべての改行文字と復帰文字がイベントから削除されます。

イベントアグリゲーション中に行全体を保持

このオプションを選択すると、プロトコルが同じ ID パターンを持つイベントを連結するときに 、メッセージ ID パターン の前に来るイベントの部分が破棄または保持されます。

期限

イベントがイベントパイプラインにプッシュされる前に、追加の一致するペイロードを待機する秒数。デフォルトは 10 秒です。

有効

このチェック・ボックスを選択すると、ログ・ソースが使用可能になります。

信頼性

ログ・ソースの信頼性を選択します。範囲は 0 から 10 です。

信頼性は、ソース デバイスからの信頼性評価によって決定される、イベントまたは攻撃の整合性を示します。複数の情報源が同じイベントを報告すると、信頼性が高まります。デフォルトは 5 です。

ターゲット・イベント・コレクター

UDP マルチライン Syslog リスナーをホストするデプロイメント内の Event Collector を選択します。

イベントの合体

このチェック・ボックスを選択すると、ログ・ソースがイベントを結合 (バンドル) できるようになります。

デフォルトでは、自動的に検出されたログ・ソースは、 JSAのシステム設定から「合体イベント」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

ストア イベント ペイロード

このチェック・ボックスを選択すると、ログ・ソースがイベント・ペイロード情報を保管できるようになります。

デフォルトでは、自動的に検出されたログ・ソースは、JSAの「システム設定」から「ストア・イベント・ペイロード」リストの値を継承します。ログ・ソースを作成するとき、または既存の構成を編集するときに、ログ・ソースごとにこのオプションを構成することにより、デフォルト値をオーバーライドできます。

ログソース識別子

ログ ソース名にスペースを含めることはできず、VMware vCloud Director プロトコルで構成されているこのタイプのすべてのログ ソース間で一意である必要があります。

プロトコル設定

VMware vCloud Director

vCloud URL

REST API にアクセスするために VMware vCloud アプライアンスで構成されている URL。この URL は、vCloud サーバの VCD パブリック REST API ベース URL フィールドとして構成されているアドレスと一致する必要があります。たとえば、 https:<my.vcloud.server>/api。

ユーザー名

vCloud Server にリモートでアクセスするために必要なユーザー名。たとえば、 console/user@organizationです。

JSA で使用する読み取り専用アカウントを構成する場合は、「 コンソール アクセスのみ 」権限を持つ vCloud ユーザーを組織内に作成します。

パスワード

vCloud Server にリモートでアクセスするために必要なパスワード。

ポーリング間隔(秒)

新しいイベントについてvCloud サーバにクエリを実行する間隔。

デフォルトのポーリング間隔は 10 秒です。

EPSスロットル

1秒あたりの最大イベント数(EPS)。デフォルトは 5000 です。

詳細オプションの有効化

このオプションを有効にすると、さらに多くのパラメータを設定できます。

API ページサイズ

「拡張オプションの有効化」を選択すると、このパラメータが表示されます。

API コールごとに返されるレコードの数。最大値は 128 です。

レガシー vCloud SDK の有効化

「拡張オプションの有効化」を選択すると、このパラメータが表示されます。

vCloud 5.1 以前に接続するには、このオプションを有効にします。

vCloud API バージョン

[ 詳細オプションの有効化 ] を選択してから [レガシー vCloud SDK の有効化] を選択すると、このパラメータは表示されなくなります。

API 要求で使用される vCloud のバージョン。このバージョンは、vCloud インストールと互換性のあるバージョンと一致する必要があります。

次の例を使用して、どのバージョンが vCloud インストールと互換性があるかを判断してください。

• vCloud API 33.0(vCloud Director 10.0)

• vCloud API 32.0(vCloud Director 9.7)

• vCloud API 31.0(vCloud Director 9.5)

• vCloud API 30.0(vCloud Director 9.1)

• vCloud API 29.0(vCloud Director 9.0)

信頼されていない証明書を許可する

[ 詳細オプションの有効化 ] を選択してから [レガシー vCloud SDK の有効化] を選択すると、このパラメータは表示されなくなります。

vCloud 5.1 以降に接続する場合は、このオプションを有効にして、自己署名の信頼されていない証明書を許可する必要があります。

証明書は、PEM または DER でエンコードされたバイナリ形式でダウンロードし、.cert or .crt ファイル拡張子で /opt/qradar/conf/ trusted_certificates/ ディレクトリに配置する必要があります。

プロキシを使用

[ 詳細オプションの有効化 ] を選択してから [レガシー vCloud SDK の有効化] を選択すると、このパラメータは表示されなくなります。

プロキシを使用してサーバにアクセスする場合は、「 プロキシを使用」 チェックボックスを選択します。プロキシで認証が必要な場合は、[ プロキシ サーバー]、[プロキシ ポート]、[プロキシ ユーザー名]、および [プロキシ パスワード] フィールドを設定します。

プロキシが認証を必要としない場合は、[ プロキシ IP またはホスト名(Proxy IP or Hostname )] フィールドを設定します。

プロキシ IP またはホスト名

「 プロキシーを使用」を選択すると、このパラメーターが表示されます。

[ 詳細オプションの有効化 ] を選択してから [レガシー vCloud SDK の有効化] を選択すると、このパラメータは表示されなくなります。

プロキシ ポート

「 プロキシーを使用」を選択すると、このパラメーターが表示されます。

[ 詳細オプションの有効化 ] を選択してから [レガシー vCloud SDK の有効化] を選択すると、このパラメータは表示されなくなります。

プロキシとの通信に使用されるポート番号。デフォルトは 8080 です。

プロキシ ユーザー名

「 プロキシーを使用」を選択すると、このパラメーターが表示されます。

[ 詳細オプションの有効化 ] を選択してから [レガシー vCloud SDK の有効化] を選択すると、このパラメータは表示されなくなります。

プロキシ パスワード

「 プロキシーを使用」を選択すると、このパラメーターが表示されます。

[ 詳細オプションの有効化 ] を選択してから [レガシー vCloud SDK の有効化] を選択すると、このパラメータは表示されなくなります。