SIEM 連携設定

既定では、SIEM 連携は使用されません。SIEM 連携は、有効化や無効化、関連する設定ができます（次の表を参照）。

SIEM 連携設定

SIEM 連携設定を設定するには：

1. アプリケーションコンソールツリーで、［ログと通知］フォルダーのコンテキストメニューを開きます。
2. ［プロパティ］を選択します。

   ［ログと通知の設定］ウィンドウが開きます。

3. ［SIEM 連携］タブを選択します。
4. ［連携の設定］セクションで、［syslog プロトコルでリモート syslog サーバーにイベントを送信する］をオンにします。
   

   このチェックボックスを使用して、公開されたイベントを外部 syslog サーバーに送信する機能を有効または無効にできます。

   チェックボックスがオンの場合、公開されたイベントは SIEM 連携設定を使用して SIEM サーバーに送信されます。

   チェックボックスがオフの場合、SIEM 連携は実行されません。チェックボックスがオフの場合、SIEM 連携を設定できません。

   既定では、このチェックボックスはオフです。

5. 必要に応じて、［連携の設定］セクションの［リモート syslog サーバーに送信されたイベントの場合、ローカルコピーを削除する］をオンにします。
   

   このチェックボックスを使用して、SIEM サーバーに送信したログのローカルコピーの削除を有効または無効にします。

   チェックボックスがオンの場合、SIEM サーバーに正常に公開されると、イベントのローカルコピーが削除されます。低パフォーマンスのデバイスにはこのモードをお勧めします。

   チェックボックスがオフの場合、ただ SIEM サーバーにイベントが送信されます。ログのコピーは、引き続きローカルに保存されます。

   既定では、このチェックボックスはオフです。

   ［リモート syslog サーバーに送信されたイベントの場合、ローカルコピーを削除する］の状態は、セキュリティログのイベントを保存する設定に影響を及ぼしません。セキュリティログイベントが自動的に削除されることはありません。

6. ［イベント形式］セクションで、アプリケーションのイベントを SIEM サーバーに送信できるように変換する形式を指定します。

   既定では、STRUCTURED-DATA 形式に変換されます。

7. ［接続設定］セクション：
   • SIEM 接続プロトコルを指定します。
   • メインの syslog サーバーに接続する設定を指定します。

     IP アドレスは IPv4 形式でのみ指定できます。

   • メインの syslog サーバーにイベントを送信できない場合にその他の接続設定を使用するようにするには、［メインのサーバーにアクセスできない場合、ミラー syslog サーバーを使用する］をオンにします。

     ミラー syslog サーバーに接続する設定を指定します：［アドレス］および［ポート］。

     ［メインのサーバーにアクセスできない場合、ミラー syslog サーバーを使用する］がオフの場合、ミラー syslog サーバーの［アドレス］および［ポート］は編集できません。

     IP アドレスは IPv4 形式でのみ指定できます。

8. ［OK］をクリックします。

   設定済みの SIEM 連携設定が適用されます。