Waben Lexicon File Integrity Monitor (FIM)

Sie können das Honeycomb Lexicon File Integrity Monitor (FIM) DSM mit IBM QRadar verwenden, um detaillierte Dateiintegritätsereignisse aus Ihrem Netz zu erfassen.

QRadar unterstützt syslog-Ereignisse, die von Lexicon File Integrity Monitor-Installationen weitergeleitet werden, die Lexicon mesh v3.1 und höher verwenden. Die Syslog-Ereignisse, die von Lexicon FIM weitergeleitet werden, werden vom Lexicon-Netzservice als LEEF-Ereignisse (LEEF-Log Event Extended Format) formatiert.

Zur Integration von Lexicon FIM-Ereignissen mit QRadarmüssen Sie die folgenden Tasks ausführen:

1. Konfigurieren Sie in Ihrer Honeycomb-Installation den Lexicon Netzservice, um syslog-Ereignisse in LEEF zu generieren.
2. Konfigurieren Sie in Ihrer Honeycomb-Installation alle Lexicon FIM-Richtlinien für Ihre Honeycomb-Datenkollektoren, um FIM-Ereignisse an QRadar Console oder Event Collectorweiterzuleiten.
3. Überprüfen Sie auf Ihrem QRadar Console, ob eine Lexikon-FIM-Protokollquelle erstellt wurde und ob Ereignisse auf der Registerkarte Protokollaktivität angezeigt werden.
4. (Optional) Stellen Sie sicher, dass keine Firewallregeln die Kommunikation zwischen Ihren Honeycomb-Datenkollektoren und dem QRadar Console oder Event Collector blockieren, der für den Empfang von Ereignissen verantwortlich ist.