Um Ereignisse von NGINX HTTP Serverzu erfassen, konfigurieren Sie Ihre NGINX-Einheit HTTP Server so, dass Syslog-Ereignisse an QRadarweitergeleitet werden.
Vorgehensweise
- Melden Sie sich bei Ihrer NGINX-Einheit HTTP Server an.
- Öffnen Sie die Datei nginx.conf .
- Fügen Sie die folgende LEEF-Formatierzeichenfolge unter http blockhinzu. Weitere Informationen zum Konfigurieren der Protokollierung finden Sie unter https://docs.nginx.com/nginx/admin-guide/monitoring/logging/.
LEEF:1.0|NGINX|NGINX|$nginx_version|$status|devTime=$time_local\tdevTimeFormat=dd/MMM/yyyy:HH:mm:ss Z\tsrc=$remote_addr\tdst=$server_addr\tdstPort=$server_port\tproto=$server_protocol\tusrName=$remote_user\trequest=$request\tbody_bytes_sent=$body_bytes_sent\thttp_referer=$http_referer\thttp_true_client_ip=$http_true_client_ip\thttp_user_agent=$http_user_agent\thttp_x_header=$http_x_header\thttp_x_forwarded_for=$http_x_forwarded_for\trequest_time=$request_time\tupstream_response_time=$upstream_response_time\tpipe=$pipe\turi_query=$query_string\turi_path=$uri\tcookie=$http_cookie
- Fügen Sie die folgende syslog-Serverkonfiguration unter http blockhinzu.
access_log syslog:server=QRadar_Server_IP:514,facility=Facility_Parameter qradar;
- Speichern Sie die Konfiguration.
- Geben Sie den folgenden Befehl ein, um die Konfiguration zu überprüfen:
- Wenn NGINX ausgeführt wird, laden Sie die Konfiguration erneut, indem Sie den folgenden Befehl eingeben: