Zum Senden von Ereignissen an IBM
QRadarmüssen Sie eine Syslog-Integration konfigurieren.
Vorbereitende Schritte
Sie müssen Zugriff auf das Suricata-Gerät haben und über die Berechtigungen zum Schreiben in Konfigurationsdateien und zum erneuten Starten von Services verfügen. Sie benötigen einen Benutzernamen und ein Kennwort (z. B. Windows-oder Linux® -Anmeldeinformationen) für das System, auf dem Sie Suricata installiert haben.
Stellen Sie sicher, dass rsyslog auf dem System installiert ist, auf dem Suricata installiert ist. Weitere Informationen finden Sie auf der rsyslog-Website (https://www.rsyslog.com).
Vorgehensweise
- Melden Sie sich bei der Suricata-Einheit an.
- Öffnen Sie die Suricata-Konfigurationsdatei suricata.yaml, die sich im Suricata-Installationsverzeichnis befindet. Aktualisieren Sie den Eintrag eve-log unter dem Header outputs .
Verwenden Sie das folgende Beispiel als Leitfaden:
outputs:
- eve-log:
enabled: yes
filetype: syslog
identity: “suricata”
facility: <facility>
types:
- alert:
Die Variable <
Funktion> ist ein Syslog-Funktionsname zwischen
local0 und
local7, z. B.
local5.
- Öffnen Sie die rsyslog-Konfigurationsdatei /etc/rsyslog.conf und fügen Sie eine Weiterleitungsregel zum Senden der Alerts an QRadarhinzu.
Verwenden Sie das folgende Beispiel als Leitfaden:
<facility>.* @@<QRadar
IP/hostname>:514
Die Variable <Funktion> ist dieselbe Syslog-Funktion, die Sie im vorherigen Schritt konfiguriert haben. Die <QRadar IP/Hostname> ist die IP-Adresse oder der Hostname des QRadar
Console oder des verwalteten Hosts, an den Sie Suricata-Alerts weiterleiten möchten.
- Starten Sie die Services Suricata und rsyslog erneut.