QRadar
Keeper SIEMからIBM QRadarへのイベントプッシュを統合する
概要
Keeperは、IBM QRadarデプロイメントへのイベントストリームをサポートしています。外部ログはリアルタイムであり、新しいイベントはほぼ即座に表示されます。設定手順は以下のとおりです。
![](https://docs.keeper.io/~gitbook/image?url=https%3A%2F%2F3468650114-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FeJwa6ByNJ2qindnPknCW%252Fuploads%252FAsYJvMSkkDEMvUvBfRxw%252FJP_IBM.png%3Falt%3Dmedia%26token%3D48b9b2bd-3be8-4045-b6c4-89eb0ba2a0b7&width=768&dpr=4&quality=100&sign=7e461d9e&sv=1)
QRadarはTCPを介した標準の「Syslog」プッシュ機能を使用します。
ポート TCP Ports 514および6514(TLS)
エクスポートされるフィールド "audit_event"、"username"、"client_version"、"remote_address"、"channel"、"result_code"、"email"、"to_username"、"client_version_new"、"username_new"、"file_format"、"record_uid"、"folder_uid"、"folder_type"、"shared_folder_uid"、"attachment_id"、"team_uid"、"role_id"
ペイロードの例
重要: 証明書のサブジェクト名と一致する有効な署名付きのSSL証明書をエンドポイントが使用していることを確認してください。証明書には、CAからの完全な証明書チェーンも含まれている必要があります。Keeperのシステムは、自己署名された証明書への接続を拒否します。 また、QRadarサーバーで、Keeperサーバーからのトラフィックが許可されていることを確認します。 ファイアウォールの設定ページを参照してください。
Last updated