SmartEventの導入

SmartEvent ServerはSecurity Management Serverアーキテクチャに統合されています。ログサーバと通信してログ読み取りと分析を行います。Security Management ServerでSmartEventを有効にすることも、専用のログサーバを導入することもできます。

Security Management Serverのみ、SmartEvent Serverとして動作できます。マルチドメイン環境では、専用サーバにSmartEventをインストールする必要があります。

次の場合は、リモートのSmartEvent Server上でデータベースのインストール機能を実行する必要があります:

• SmartEvent Server Blade(サーバオブジェクトのログインデックス作成など)を有効/無効にする場合。

• 新しいSmartEvent Serverをシステムに追加する場合。

• SmartEvent Serverのログ設定を変更、または他のSmartEvent Serverオブジェクトを変更する場合。

• SmartEvent Serverに影響する可能性があるグローバルプロパティへの変更を加える場合。

SmartEventライセンス

SmartEventは次の方法で導入できます。

• SmartEventの一部として - SmartEventパッケージとして、更新可能な年間ライセンスが含まれています。

• 専用サーバとして - SmartEvent Serverの永久ライセンスを購入できます。

Security Management ServerでのSmartEventの有効化

1. SmartConsoleを開きます。

2. 左側のナビゲーションパネルから[ゲートウェイ&サーバ]をクリックします。

3. Security Management Serverオブジェクトを開きます。

4. 管理タブで、Software Bladeを選択します:

   • ログ記録とステータス

   • SmartEventサーバ

   • SmartEvent相関ユニット

5. ［OK］をクリックします。。

6. SmartConsoleセッションの公開。

注 - セキュリティゲートウェイR77.30およびそれ以前の場合、ネットワークアクティビティレポートのファイアウォールセッションを有効にします。ビューとレポートのエクスポートを参照してください。

システム要件

R81以前のバージョンの場合、1つのバージョンからのSmartEventサーバは複数の管理バージョンで管理することが可能です。

R81以降、SmartEvent Serverは同じバージョンのSecurity Management Serverでのみ管理できます。SmartEventをそれ以前のバージョンのSecurity Management Serverで管理することはサポートされません。

SmartEventを使用するには、 R81.10 Release Notes で要件を確認してください。

専用SmartEvent Serverのインストール

SmartEvent Serverのインストール方法については、 R81.10 Installation and Upgrade Guide を参照してください。

1. インストールするISOファイルをダウンロードします。

2. ISOをSmart-1アプライアンスまたはオープンサーバにインストールします。

   パーティションのサイズを割り当てます:

   • ルートパーティション: 最低20 GB

   • ログパーティション: サーバで履歴を長く保持できるよう、ルートおよびバックアップの割り当て以上(可能な最高値)。

3. プロンプトが表示されたら、再起動します。

4. Gaia初期設定ウィザードを実行します。

初期設定ウィザードでのSmartEventコンポーネントの設定

Smart-1アプライアンスまたはオープンサーバのSmartEventに、専用サーバのコンポーネントを設定します。

SmartEvent Serverのインストール方法については、 R81.10 Installation and Upgrade Guide を参照してください。

R81.10 SmartEventのR81.10 Security Managementサーバへの接続

以下のプロシージャでは、次のコンポーネントの専用サーバの設定方法を示します:

• SmartEvent ServerとSmartEvent相関ユニット

注 - 専用SmartEvent Serverのインストール方法については、 R81.10 Installation and Upgrade Guide を参照してください。

R81.10 SmartEvent ServerとSmartEvent相関ユニットをR81.10 Security Management Serverに接続するには

1. SmartConsoleで、SmartEvent Serverの専用サーバにCheck Pointホストオブジェクトを作成します。

2. バージョンフィールドで、R81.10を選択します。

3. 専用SmartEvent ServerでSICトラストを作成します。

4. 管理タブで、Software Bladeを選択します:

   • ログ記録とステータス

   • SmartEventサーバ

   • SmartEvent相関ユニット

5. ログサーバではない専用SmartEvent Severで(推奨):

   ログページで、ログのインデックス作成の有効化が選択されていないことを確認します。

   これにより、ファイアウォール接続(ビューとレポートに関連しない)がインデックス作成されません。

6. ［OK］をクリックします。。

7. SmartConsoleセッションの公開。

8. メニュー > データベースのインストール > すべてのオブジェクトを選択 > インストールをクリックします。

注 - セキュリティゲートウェイR77.30およびそれ以前の場合、ネットワークアクティビティレポートのファイアウォールセッションを有効にします。ビューとレポートのエクスポートを参照してください。

相関ユニットの1つである専用SmartEvent Serverの詳細設定

1. SmartEvent GUIを開きます

   1. SmartConsole > ログ&モニタリングで、+をクリックしてカタログを開きます(新しいタブ)。

   2. SmartEvent設定 & ポリシーをクリックします。

2. ポリシータブ > 相関ユニットで、相関ユニットオブジェクトを定義します。

3. SmartEvent Serverでログを読み取るよう運用ログサーバとローカルログサーバを選択します。

4. ポリシータブ > 内部ネットワークで、内部ネットワークを定義します。

5. ［保存］をクリックします。。

6. イベントポリシーを相関ユニットにインストールします。

   SmartEventメニュー > アクション > イベントポリシーのインストールをクリックします。

R81.10 SmartEventのR81.10マルチドメインサーバへの接続

SmartEventコンポーネントの専用R81.10サーバを設定し、R81.10マルチドメインセキュリティ管理環境の1つ以上のドメインに接続できます。

以下のプロシージャでは、次のSmartEventコンポーネントの専用サーバの設定方法を示します:

• SmartEvent ServerとSmartEvent相関ユニット

相関ユニットの1つである専用SmartEvent Serverの詳細設定(R81.10 SmartEventのR81.10 Security Management Serverへの接続)も参照してください。

注 - セキュリティゲートウェイR77.30およびそれ以前の場合、ビューとレポートのエクスポートで、ネットワークアクティビティレポートのファイアウォールセッションを有効にします。

SmartEventで非標準LEAポートを使用する設定

サードパーティ製ログサーバを対象に、ログを送ったり取得したりできます。Check Point Log Serverとサードパーティ製ログサーバでは、LEA (ログエクスポートAPI)プロトコルを使用してログを読み取ります。デフォルトでは、Check Point Log Serverは接続にポート18184を使用します。ログサーバで別のLEAポートを使用するよう設定している場合、手動で新しいポートをSmartEventサーバとSmartEvent相関ユニットに設定する必要があります。

注 - Log Exporterを使用する場合このプロシージャは該当しません。

デフォルトのLEAのポートを変更するには

1. $INDEXERDIR/log_indexer_custom_settings.confをテキストエディタで開きます。

2. 次の行をに追加します。

   :lea_port (<new_port_number>)

3. ファイルでの変更を保存して終了します。

4. SmartEventクライアントで、新しいポートを相関ユニットに設定します。

5. ポリシータブ > 相関ユニットで、ローカルのログサーバ(SmartEvent Server)からログを読み取るよう相関ユニットを設定します。

6. SmartEvent Serverで、新しいポートを相関ユニットに設定します。

   1. ポリシータブ > ネットワークオブジェクトで、SmartEvent Serverオブジェクトをダブルクリックします。

   2. LEAポート番号パラメータを<new_port_number>に変更します。

7. イベントポリシーを相関ユニットにインストールします。(アクション > イベントポリシーのインストールをクリック)

8. SmartEventサーバで

   1. cpstopを実行します。

   2. $FWDIR/conf/fwopsec.confをテキストエディタで開きます。

   3. 以下のパラメータを設定します。

      lea_server auth_port <new_port_number>
lea_server port 0

   4. ファイルでの変更を保存して終了します。

   5. cpstartを実行します。

SmartEventで外部ログを読み取る設定

SmartEventで外部管理のログサーバまたは外部のSecurity Management Serverからログを読み取るよう設定するには、sk35288を参照してください。

外部管理のログサーバは、SmartEvent Serverを管理するサーバとは異なるSecurity Management Serverで管理されます。外部のSecurity Management Serverは、SmartEvent Serverを管理するサーバではありません。