10 サード・パーティSIEMおよびログ・データ分析ツールとの統合

Oracle Audit Vault and Database Firewallは、サード・パーティのSIEM (Security Information and Event Management)およびログ・データ分析ツールとの統合をサポートします。Oracle Audit Vault and Database Firewallでは、SYSLOGを使用して外部システムにアラートをプッシュできます。サード・パーティ・ツールをデータベースに直接接続し、SIEMが提供するコレクタを使用してイベント・ログ表からデータを抽出(プル)することもできます。

Oracle Audit Vault and Database FirewallがSYSLOGを使用してSIEMにアラートを送信するプッシュのための方法の詳細は、Oracle Audit Vault Serverのsyslog宛先の構成を参照してください。

プルのための方法では、SIEMによって提供されるコレクタを使用して、AVSYS.EVENT_LOG表からすべてのデータを表示および抽出するようにSIEMを構成します。このためには、Oracle Audit Vault and Database Firewallで監査者ロールを持つユーザーを作成する必要があります。データをSIEMに送信する必要があるターゲットへのアクセス権がこのユーザーにあることを確認します。これはSIEMがデータベースへの接続に使用するデータベース・ユーザーです。残りの構成はSIEMで完了する必要があります。Oracle Audit Vault and Database Firewallのスキーマ、およびAVSYS.EVENT_LOG表でのSIEMへの特定のマッピングは、SIEMによって異なります。EVENT_LOG表の説明については、付録Oracle Audit Vault and Database Firewallのデータベース・スキーマを参照してください。

関連項目:

• START COLLECTION FOR SECURED TARGET

• Oracle Database

ここでのトピック

• Oracle Audit Vault and Database FirewallのHP ArcSight SIEMとの統合方法

• HP ArcSight SIEM統合の有効化

10.1 Oracle Audit Vault and Database FirewallのHP ArcSight SIEMとの統合方法

HP ArcSight Security Information Event Management (SIEM)システムは、様々なソースからのメッセージを記録、分析および管理するための集中管理システムです。Audit Vault Serverは、Oracle Audit Vault and Database FirewallのAudit Vault ServerコンポーネントとDatabase Firewallコンポーネントの両方からArcSight SIEMにメッセージを転送します。

ArcSight SIEMとOracle Audit Vault and Database Firewallを統合する場合、追加のソフトウェアをインストールする必要はありません。Audit Vault Serverコンソールを使用して統合を構成します。

ArcSight SIEMサーバーに送信されるメッセージは、Oracle Audit Vault and Database Firewallから送信されるその他のメッセージから独立しています。これは、標準のsyslogメッセージを異なる宛先に送信できることを意味します。

Oracle Audit Vault and Database Firewallによって、ArcSight SIEMに送信できるメッセージが分類されます。次の3つのカテゴリがあります。

• システム: Oracle Audit Vault and Database FirewallのAudit Vault ServerコンポーネントおよびDatabase Firewallコンポーネントのサブコンポーネントからのsyslogメッセージ

• 情報: Oracle Audit Vault and Database FirewallのDatabase Firewallコンポーネントからの特定の変更ロギング

• デバッグ: Oracleサポートの指示があった場合にのみ使用するカテゴリ

ノート:

Micro Focus Security ArcSight SIEM (旧称はHP ArcSight SIEM)は、12.2.0.8.0で非推奨となり、12.2.0.9.0でサポートされなくなります。かわりにsyslog統合機能を使用してください。

10.2 HP ArcSight SIEM統合の有効化

ArcSight SIEM統合を有効にすると、設定値はすぐに有効になります。Audit Vault Serverを再起動する必要はありません。

ノート:

HP ArcSight SIEMは12.2.0.8.0で非推奨となり、12.2.0.9.0でサポートされなくなります。かわりに、syslog統合機能を使用することをお薦めします。

ArcSight SIEM統合を有効にするには:

1. Audit Vault Serverコンソールにスーパー管理者としてログインします。
2. 「設定」タブをクリックします。
3. 「システム」メニューから「コネクタ」をクリックし、「HP ArcSight SIEM」セクションまでスクロールします。
   
   図GUID-2A5FB216-5E70-43F4-9004-AC3005D79522-default.gifの説明
4. 次の情報を指定します。

   • ArcSightイベント転送の有効化: ArcSight SIEM統合を有効にする場合に、このチェック・ボックスを選択します。

   • ArcSight destinations: 使用する通信プロトコルに応じて、「UDP」フィールドにArcSightサーバーのIPアドレスまたはホスト名を入力するか、「TCP」フィールドにArcSightサーバーのIPアドレス、ホスト名およびポートを入力します。この設定を使用すると、syslogログ出力を共通イベント・フォーマット(CEF)でこのArcSightサーバーに送信できます。

   • イベント・カテゴリ: ArcSightサーバーで必要なメッセージのタイプに応じて、メッセージ・カテゴリの組合せを選択します。

   • メッセージ長の制限: 指定したバイト数にメッセージを制限できます。

   • 最大メッセージ長(バイト): 「メッセージ長の制限」を選択した場合、任意の最大長を入力します。許容範囲は1024から1048576文字です。

5. 「保存」をクリックします。

   関連項目:

   Audit Vault ServerコンソールUIへのログイン