osquery auf Ihrem Linux -System konfigurieren

Bevor Sie eine Protokollquelle in QRadarhinzufügen können, müssen Sie osquery auf Ihrer Linux -Einheit konfigurieren.

1. Laden Sie die Datei qradar.pack.conf von IBM Fix Central herunter (https://www.ibm.com/support/fixcentral).
2. Kopieren Sie die Datei qradar.pack.conf auf Ihren osquery-Host. Beispiel: <location_of_pack_file>/qradar.pack.conf
3. Bearbeiten Sie die Datei osquery.conf . Die Standarddateiposition ist /etc/osquery/osquery.conf.
   1. Stellen Sie sicher, dass die Datei osquery.conf die folgenden Optionen enthält.

      "disable_logging": "false"
       "disable_events" : "false"
       "logger_plugin": "filesystem,syslog"
      

   2. Fügen Sie qradar.pack.conf zur Datei osquery.conf hinzu.

      "qradar": "/<path_to_packs>/qradar.pack.conf"

   Beispiel für die Datei < osquery>.conf:

   { // Configure the daemon below: "options": {    "disable_logging": "false",    "disable_events" : "false",    "logger_plugin": "filesystem,syslog",    "utc": "true" }, "packs": {   "qradar": "<location_of_pack_file>/qradar.pack.conf" }}

   Hinweis: Die Datei qradar.pack.conf enthält einen Abschnitt “file_paths” , der die Standardüberwachung der Dateiintegrität für das QRadar -Paket definiert. “file_paths” , die in Kundendateien <osquery>.conf definiert sind, haben Vorrang vor der Datei qradar.pack.conf .
4. Starten Sie den osquery-Dämon erneut.