Log Shipper 用 QRadar プラグイン - Netskope ナレッジポータル

このドキュメントでは、QRadar とNetskope Cloud Exchangeの Log Shipper モジュールの統合を構成する方法について説明します。この統合により、アラート、イベント、WebTx をNetskopeから QRadar プラットフォームにプッシュできるようになります。

前提条件

この設定を完了するには、以下が必要です。

Netskopeテナント（または、例えば本番環境と開発／テスト環境など、複数のテナント）。
Netskope Cloud Exchangeテナントには、テナントプラグインとログシッパープラグインが既に設定済みです。
Netskope Cloud Exchangeテナントには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインが既に構成されている必要があります（Netskope Log StreamingプラグインからWebTxを取得するため）。
A QRadar instance.

注記

QRadarインスタンスのアクセス権限が安全であり、一般公開されていないことを確認してください。クラウドストレージインスタンスへのアクセスは、 Cloud Exchangeホストおよびアクセスが必要なその他のアドレスからのみ許可してください。

QRadarプラグインのサポート

データ型	サポート
イベント	はい
アラート	はい
ウェブテキサス	はい（Netskope Log Streaming経由）
ログ	はい

すべてのNetskopeイベント、アラートログ、および Web トランザクションログが共有されます。

注記

インシデントイベントタイプは、Coreバージョン4.1.0以降でサポートされています。
CTEPアラートタイプは、Coreバージョン4.2.0以降でサポートされます。
Google Pub Sub Lite をベースにした CLS WebTX は非推奨となりました。Netskope製品のサポート終了/サポート終了に関するお知らせについては、Netskopeナレッジポータルをご覧ください。
WebTXログをSIEM、SOAR、XDR、データレイクなどのログ配信先に取り込むには、 AWS Netskope Log StreamingまたはAzure Netskope Log Streamingプラグインを使用します。

APIの詳細

このプラグインは、ログを記録するサードパーティライブラリを使用して、データを Syslog コレクターにプッシュします。

ロギングライブラリの詳細については、公式ドキュメントを参照してください。

https://docs.python.org/3/library/logging.html

パフォーマンスマトリックス

ログが取り込まれました	所要時間
9940000	2時間

デスクリプション	仕様
スタックサイズ	大容量 RAM: 32 GB コア: 16
Alerts/Events	約6Mbps

ワークフロー

QRadarサーバー、ポート、およびTLS証明書情報を設定してください。
QRadarプラグインを設定します。
QRadarのログシッパービジネスルールを設定します。
QRadar 用の Log Shipper ログ配信を設定します。
Configure the WebTx Mappings (optional).
Validate the QRadar plugin.

再生ボタンをクリックして動画をご覧ください。

QRadarサーバー、ポート、およびTLS証明書情報を構成します。

QRadarで（ログソース管理アプリを介して）NetskopeからTCP/UDP/TLSプロトコルを使用してデータを取り込むためのログソースを作成するには、次の手順を実行します。

ここからNetskope Security Cloud DSMをダウンロード・インストール
管理パネルからログソース管理アプリにアクセスしてください。
別のウィンドウが開いたら、 + New Log Sourceをクリックします。
ログソースの種類としてNetskope Select 。
Log ShipperからTCP/UDPプロトコル経由で送信されたデータを受信するには、プロトコルタイプをSyslogに選択してください。TLS経由で送信されたデータを受信するには、プロトコルタイプをTLS Syslogに選択してください。
注記
QRadarにおけるTCP/UDP（Syslog）のデフォルトポートは514、TLS Syslogのデフォルトポートは6514です。
詳細については、次のリンクを参照してください。https: //www.ibm.com/docs/en/qsip/7.4 ?topic=qradar-port-usage
「ログソースパラメータの設定」セクションで、ログソースの名前を入力し、ログソースを有効にしたまま、「イベントの統合」チェックボックスを無効にします。
「プロトコルパラメータの設定」セクションで、 netskopeceのようなログソース識別子を入力します。
- ログソースのデプロイが成功したら、ログソースがデプロイされている QRadar VM からコマンド ( cat /opt/qradar/conf/trusted_certificates/syslog-tls.cert ) を実行して TLS 証明書を取得します。QRadarプラグインをTLSプロトコルで設定する際には、このTLS証明書が必要です。
- 「最大ペイロード長」フィールドでは、このフィールドに最大値（例えば32768 ）を設定しても、イベントが切り捨てられることが確認されています。ペイロードの切り捨てを避けるため、ここに記載されている手順に従ってペイロードの長さを変更することをお勧めします。
Skip TestをクリックしてからFinishクリックしてください。次に、ログソースをデプロイします。

ログソースのデプロイ

Deploy Changesをクリックしてください。

QRadarプラグインの設定

Cloud Exchange で、 Settings > Plugin Storeに移動します。
プラグイン作成ページを開くには、 QRadarボックスを検索して選択してください。
構成名を入力してください。
有効なマッピングSelect 。（すべてのプラグインのデフォルトマッピングが利用可能です。）
生ログを変換する：有効にすると、生ログは選択されたマッピングファイルに変換されます。有効にしない場合は、生ログがSIEMに送信されます。 SIEMがRAWログ形式に対応していない場合、データ取り込みに影響が出る可能性があります。
NextをクリックしてQRadarサーバーを入力し、QRadarフォーマットとQRadarプロトコルを選択してから、QRadarポートとQRadar証明書情報を入力してください。
QRadarサーバーの情報を入力し、QRadarフォーマットとQRadarプロトコルを選択してから、QRadarポートとQRadar証明書を入力してください。
ログソース識別子を入力してください。デフォルト値はnetskopeceです。ログソース識別子には空白文字を含めてはいけません。これはすべてのログの接頭辞として追加されます。
Saveをクリックしてください。

QRadar のログシッパービジネスルールを設定する

行く Log Shipper > Business Rules.
Create New Ruleをクリックしてください。
ルール名を入力し、フィルターを選択してください。
Saveをクリックしてください。

QRadar の Log Shipper ログ配信の設定

Log Shipper > Log Deliveryに移動してAdd Log Delivery Configurationをクリックしてください。
アラートやイベントについては、Sourceプラグイン(Netskope CLS)、Destinationプラグイン(Datadog)、ビジネスルールを選択し、 Saveをクリックします。
WebTX の場合は、ソースプラグイン (AWS Netskope Log Streaming または Azure Netskope Log Streaming)、宛先プラグイン (CLS Datadog)、ビジネスルールを選択し、 Saveをクリックします。

Validate the QRadar Plugin

プラグインのワークフローを検証するには、Netskope Cloud ExchangeとQRadarインスタンスの両方から確認できます。

Netskope Cloud Exchangeで検証する

行く Logging.

QRadarで検証する

QRadarインスタンスにアクセスしてください。
Log Activityをクリックしてください。
フィルターを適用して、特定のログを表示してください。
そこにすべてのログが載っています。