IBM AIX Audit DSM zum Senden von Syslog-Ereignissen an QRadar konfigurieren

Um Syslog-Prüfereignisse von Ihrer IBM® AIX® -Prüfeinheit zu erfassen, leiten Sie Ihre Prüfprotokollausgabe von Ihrer IBM AIX -Einheit an die IBM QRadar -Konsole oder den Ereigniskollektor um.

Informationen zu dieser Task

Auf einer IBM AIX -Appliance können Sie Klassen in der Prüfkonfiguration aktivieren oder inaktivieren. Die IBM AIX -Standardklassen erfassen eine große Anzahl von Prüfereignissen. Um Leistungsprobleme zu verhindern, können Sie Ihre IBM AIX -Appliance optimieren, um die Anzahl der erfassten Klassen zu reduzieren. Weitere Informationen zu Prüfklassen finden Sie in der Dokumentation zu Ihrer IBM AIX -Appliance.

Vorgehensweise

  1. Melden Sie sich bei Ihrer IBM AIX -Appliance an.
  2. Öffnen Sie die Prüfkonfigurationsdatei:

    /etc/security/audit/config

  3. Bearbeiten Sie den Abschnitt 'Start', um das Element binmode zu inaktivieren und das Element streammode zu aktivieren:
    binmode = off
    streammode = on
  4. Bearbeiten Sie den Abschnitt "Klassen", um anzugeben, welche Klassen geprüft werden.
  5. Speichern Sie die Änderungen an der Konfiguration.
  6. Öffnen Sie die Datei streamcmds :

    /etc/security/audit/streamcmds

  7. Fügen Sie die folgende Zeile zur Datei hinzu:
    /usr/sbin/auditstream | /usr/sbin/auditselect -m -e "command != logger && command != auditstream && command != auditpr && command != auditselect"|auditpr -t0 -h eclrRdi -v |awk -u 'NR%2{printf "%s ",$0;next}{print;}' | /usr/bin/logger -p local0.debug -r &
  8. Speichern Sie die Änderungen an der Konfiguration.
  9. Bearbeiten Sie die syslog-Konfigurationsdatei, um einen Debugeintrag und die IP-Adresse der QRadar -Konsole oder des Ereigniskollektors anzugeben:

    *.debug @ip_address

    Tipp: Eine Registerkarte muss *.debug von der IP-Adresse trennen.
  10. Speichern Sie die Änderungen an der Konfiguration.
  11. Laden Sie Ihre syslog-Konfiguration erneut:

    refresh -s syslogd

  12. Starten Sie das Prüfscript auf Ihrer IBM AIX -Appliance:

    audit start

Nächste Schritte

IBM AIX Audit DSM erkennt automatisch syslog-Prüfereignisse, die von IBM AIX an QRadar weitergeleitet werden, und erstellt eine Protokollquelle. Wenn die Ereignisse nicht automatisch erkannt werden, können Sie eine Protokollquelle manuell konfigurieren.