Creación de una política para Syslog

Este procedimiento describe cómo configurar una política de Alarm Tool utilizando una regla de notificación syslog en el formato de mensaje LEEF (Log Event Extended Format).

Acerca de esta tarea

LEEF es el formato de mensaje preferido para enviar notificaciones a Dragon Network Defense cuando la tasa de notificación es alta o cuando se visualizan direcciones IPv6 . Si no desea utilizar notificaciones de syslog en formato LEEF, consulte la documentación de Extreme Dragon para obtener más información.

Para configurar Extreme Dragon con una política de Alarm Tool utilizando una regla de notificación syslog, realice los pasos siguientes:

Procedimiento

  1. Inicie sesión en Extreme Dragon EMS.
  2. Pulse el icono Herramienta de alarma .
  3. Configurar la política de la herramienta de alarma:

    En el árbol de menús Vista de políticas de la herramienta de alarma > Políticas personalizadas , pulse con el botón derecho del ratón y seleccione Añadir política de herramienta de alarma.

  4. En el campo Añadir política de herramienta de alarma , escriba un nombre de política.

    Por ejemplo:

    QRadar

  5. Pulse Aceptar.
  6. En el árbol de menús, seleccione QRadar.
  7. Para configurar el grupo de sucesos:

    Pulse la pestaña Grupo de sucesos .

  8. Pulse Nuevo.

    Se visualiza el Editor de grupos de sucesos .

  9. Seleccione el grupo de sucesos o sucesos individuales a supervisar.
  10. Pulse Añadir.

    Se visualiza una solicitud.

  11. Pulse Sí.
  12. En la columna derecha del Editor de grupos de sucesos, escriba Dragon-Events.
  13. Pulse Aceptar.
  14. Configurar la regla de notificación de Syslog:

    Pulse la pestaña Reglas de notificación .

  15. Pulse Nuevo.
  16. En el campo de nombre, escriba QRadar-RuleSys.
  17. Pulse Aceptar.
  18. En el panel Reglas de notificación, seleccione el elemento QRadar-RuleSys recién creado.
  19. Pulse la pestaña Syslog .
  20. Pulse Nuevo.

    Se visualiza el Editor de Syslog .

  21. Actualice los valores siguientes:
    • Recurso -Utilizando la lista Recurso , seleccione un recurso.
    • Nivel -Utilizando la lista Nivel , seleccione aviso.
    • Mensaje -Utilizando la lista Tipo , seleccione LEEF.
    LEEF:Version=1.0|Vendor|Product|ProductVersion|eventID|devTime| 
    proto|src|sensor|dst|srcPort|dstPort|direction|eventData|
    El formato de mensaje LEEF delinea entre campos utilizando un delimitador de barra vertical entre cada palabra clave.
  22. Pulse Aceptar.
  23. Verifique que los sucesos de notificación se registren como sucesos independientes:

    Pulse la pestaña Opciones globales .

  24. Pulse la pestaña Principal .
  25. Asegúrese de que Concatenar sucesos no esté seleccionado.
  26. Configurar la información de alarma:

    Pulse la pestaña Alarmas .

  27. Pulse Nuevo.
  28. Escriba valores para los parámetros:
    • Nombre -Tipo QRadar-Alarm.
    • Tipo : Seleccione Tiempo real.
    • Grupo de sucesos -Seleccione Dragón-Sucesos.
    • Regla de notificación - Seleccione la casilla QRadar-RuleSys.
  29. Pulse Aceptar.
  30. Pulse Confirmar.
  31. Vaya a Enterprise View.
  32. Pulse con el botón derecho del ratón en la Herramienta de alarma y seleccione Asociar política de herramienta de alarma.
  33. Seleccione la política de QRadar recién creada. Pulse Aceptar.
  34. En el menú Empresa , pulse con el botón derecho del ratón en la política y seleccione Desplegar.

    Ahora está preparado para configurar un origen de registro syslog en QRadar.