Configuración de syslog para recopilar sucesos de Samhain

Antes de configurar IBM QRadar para integrarse con Samhain HIDS utilizando syslog, debe configurar el sistema Samhain HIDS para reenviar registros a su sistema QRadar .

Acerca de esta tarea

El procedimiento siguiente se basa en el archivo samhainrc predeterminado. Si se modifica el archivo samhainrc, algunos valores pueden ser diferentes, como por ejemplo el recurso syslog,

Procedimiento

  1. Inicie sesión en Samhain HIDS desde la interfaz de línea de mandatos.
  2. Abra el archivo siguiente:

    /etc/samhainrc

  3. Elimine el marcador de comentario (#) de la línea siguiente:

    SetLogServer=info

  4. Guarde y salga del archivo.

    Las alertas se envían al sistema local utilizando syslog.

  5. Abra el archivo siguiente:

    /etc/syslog.conf

  6. Añada la línea siguiente:

    local2.* @<IP Address>

    Donde <Dirección IP> es la dirección IP del QRadar.

  7. Guarde y salga del archivo.
  8. Reiniciar syslog:

    /etc/init.d/syslog restart

    Samhain envía registros utilizando syslog a QRadar.

    Ahora está preparado para configurar Samhain HIDS DSM en QRadar. Para configurar QRadar para recibir sucesos de Samhain:

  9. En la lista Tipo de origen de registro , seleccione la opción Samhain HIDS .