日本語

IBM QRadar

この SIEM コネクタは現在、リクエストに応じて利用可能です。 サポートまでお問い合わせください ワークスペースで有効化してもらうために。

Aikido の問題を IBM QRadar に送信して一元監視し、セキュリティの検出結果を他のログと一緒に検索できるようにします。

これは、チームがすでに QRadar を SIEM として使用していて、Aikido の検出結果をインフラ、アプリケーション、監査シグナルと 1 か所で相関分析したい場合に便利です。

要件

接続する前に、次のものを用意していることを確認してください：

  • Aikido から到達可能で、HTTP Receiver が待ち受けているポート上の QRadar デプロイメント。
  • ログソースを作成または編集するための QRadar の管理権限。
  • 自己署名証明書を使用して HTTPS を使う場合は、 CA 証明書 レシーバーのサーバー証明書に署名したものを使用します。
  • 相互 TLS を使用して HTTPS を使う場合は、 クライアント証明書 と一致する 秘密鍵.

QRadar への接続

  1. QRadar で HTTP Receiver のログソースを設定する

    1. QRadar で、 管理 > データソース > ログソース > 追加.
    2. 次の項目を設定します： ログソースタイプ をイベントに合うもの、または次のような汎用タイプに設定します。 Universal DSM、そして プロトコル設定 を HTTP Receiver.
    3. レシーバーを設定します:
      • 待受ポート - QRadar ホスト上の空いている任意のポート（既定値 12469）。同じポートを Aikido に入力します。
      • 通信タイプ - HTTP, HTTPS、または HTTPS とクライアント認証（mTLS）。これは Aikido で選択した内容と一致している必要があります。
      • イベント解析方法 - 1 行ごとにイベント 改行区切り JSON の場合は、または JSON 配列ごとにイベント 1 リクエストにつき 1 つの JSON 配列の場合に使用します。これも Aikido で選択した内容と一致している必要があります。
      • （任意） オンにする HTTP 認証トークンヘッダーを使用 を有効にし、各リクエストで認証ヘッダーを必須にしたい場合は、ヘッダー名と値を設定します。
    4. 保存してログソースをデプロイします。

  2. SIEM を接続する

    次へ移動します： Settings > Integrations Aikido アプリで、新しい SIEM 統合を追加します。 SIEM を接続する ダイアログで次を選択します： IBM QRadar を選択して、次を入力します：

    設定

    • ホスト - QRadar HTTP Receiver のホスト名または IP。次は含めないでください http:// または https://.
    • ポート - HTTP Receiver が待ち受けるポート（QRadar の既定値は 12469).
    • 通信タイプ - ログソースの通信タイプと一致している必要があります:
      • HTTP - プレーンテキスト。信頼できるネットワークでのみ推奨されます。
      • HTTPS - サーバー証明書検証付き TLS。次を提供します。 CA証明書、または 証明書検証をスキップ（安全でない） をテスト用に有効にします（両方を同時には使用できません）。
      • mTLS 付き HTTPS - TLS にクライアント証明書を追加します。同じ CA証明書 / 証明書検証をスキップ（安全でない） を HTTPS として選択し、さらに クライアント証明書 と クライアントキー.
    • イベント解析方法 - ログソースのイベント解析方法と一致している必要があります:
      • 1 行ごとにイベント - 改行区切り JSON。1 行につき 1 イベント。
      • JSON 配列ごとにイベント - リクエストごとに 1 つのイベント JSON 配列。
    • 認証 （任意） - 認証なしのログソースの場合は未設定のままにするか、次を選択します:
      • HTTP Basic - 次を入力します。 ユーザー名 と パスワード.
      • カスタムヘッダー - 次を入力します。 ヘッダー名 と ヘッダー値 （QRadar の HTTP 認証トークンヘッダーを使用 オプションがオンの場合に使用します）。

    クリックします 接続をテスト Aikido から QRadar に到達できることを確認し、次に 変更を保存.

  3. 同期する問題を設定

    QRadar 統合ページで、 Issue 入力設定で、どの Aikido の問題を SIEM に同期するかを設定します：

    • 問題のステータス － たとえば、未解決の問題のみを同期するか、解決済みや無視された問題も含めるかを選択します。
    • 最小重大度 － 同期する最小の重大度レベル。
    • 問題の種類 － 特定の問題タイプに限定するか、すべてを同期します。
    • Language － 特定の言語に限定するか、すべてを同期します。
    • 同期頻度 - Aikido が一致する問題を QRadar に送信する頻度（たとえば 1 時間ごと）。

    クリックします 設定を保存.

イベントが届いていることを確認する

QRadar で、ログソースのイベント数を確認するか、最近インデックスされたイベントを検索します。設定した同期頻度が経過するのを待つか、Aikido でテスト問題を発生させて、それが表示されることを確認します。

トラブルシューティング

  • 接続拒否またはタイムアウト - 次を再確認してください ホスト と ポートを確認し、そのポートで Aikido と QRadar 間の通信をファイアウォールが許可していることを確認します。
  • TLS 検証の失敗 - 次を確認してください。 CA証明書 が QRadar のサーバー証明書に署名した CA と一致していること。問題が検証に限定されるかどうかを確認するために、一時的に 証明書検証をスキップ（安全でない） を有効にできますが、本番環境では有効にしたままにしないでください。
  • mTLS ハンドシェイクの失敗 - クライアント証明書がログソースの信頼ストアで信頼されていること、および クライアント証明書 と クライアントキー が有効な一致ペアであることを確認してください。
  • イベントが表示されない - 確認してください イベント解析方法 がログソースの設定と一致していること。食い違いがあると、QRadar がイベントを誤って解析したり破棄したりすることがあります。
  • 認証の失敗（401） - QRadar のログソースで HTTP 認証トークンヘッダーを使用 がオンになっている場合は、 カスタムヘッダー を Aikido で名前/値を一致させて使用します。HTTP Basic の場合は、ログソースの資格情報を再確認してください。

統合の管理

次から： 設定 > 統合 > IBM QRadar Aikido で、次のことができます：

  • 統合を管理 - ホスト、ポート、通信設定、または認証を更新します。
  • 統合を削除 - QRadar の接続を解除します。これにより今後の同期はすべて停止しますが、すでに QRadar に送信されたイベントは削除されません。