Exabeam

Keeper SIEMからExabeamへのプッシュ連携

概要

KeeperはExabeam (旧LogRhythm) へのイベントストリーミングに対応しています。外部へのログ出力はリアルタイムで行われ、新しいイベントは数分以内に表示されます。設定手順は以下のとおりです。

Exabeamでは、TCP経由の標準的なSyslogプッシュを使用します。

ポート TCPポート514および6514 (TLS)

エクスポートされるフィールド "audit_event"、"username"、"client_version"、"remote_address"、"channel"、"result_code"、"email"、"to_username"、"client_version_new"、"username_new"、"file_format"、"record_uid"、"folder_uid"、"folder_type"、"shared_folder_uid"、"attachment_id"、"team_uid"、"role_id"

ペイロード形式 パイプ区切り (「audit_event=login|username=[e-mail]|...」など)

エンドポイントでは、証明書のサブジェクト名と一致する有効な署名付きSSL証明書を使用してください。証明書には、CAからの完全な証明書チェーンも含まれている必要があります。Keeperは自己署名証明書には接続しません。

また、ExabeamサーバーでKeeperサーバーからのトラフィックが許可されていることも確認してください。詳しくはファイアウォールの設定ページをご参照ください。