Para recopilar sucesos de auditoría de syslog desde el dispositivo de auditoría de IBM® AIX® , redirija la salida del registro de auditoría desde el dispositivo IBM AIX a la consola de IBM
QRadar o al recopilador de sucesos.
Acerca de esta tarea
En un dispositivo IBM AIX , puede habilitar o inhabilitar clases en la configuración de auditoría. Las clases predeterminadas de IBM AIX capturan un gran volumen de sucesos de auditoría. Para evitar problemas de rendimiento, puede ajustar el dispositivo IBM AIX para reducir el número de clases que se recopilan. Para obtener más información sobre las clases de auditoría, consulte la documentación del dispositivo IBM AIX .
Procedimiento
- Inicie sesión en el dispositivo IBM AIX .
- Abra el archivo de configuración de auditoría:
/etc/security/audit/config
- Edite la sección Inicio para inhabilitar el elemento binmode y habilitar el elemento streammode :
binmode = off
streammode = on
- Edite la sección Clases para especificar qué clases auditar.
- Guarde los cambios efectuados en la configuración.
- Abra el archivo streamcmds :
/etc/security/audit/streamcmds
- Añada la línea siguiente al archivo:
/usr/sbin/auditstream | /usr/sbin/auditselect -m -e "command != logger && command != auditstream && command != auditpr && command != auditselect"|auditpr -t0 -h eclrRdi -v |awk -u 'NR%2{printf "%s ",$0;next}{print;}' | /usr/bin/logger -p local0.debug -r &
- Guarde los cambios efectuados en la configuración.
- Edite el archivo de configuración de syslog para especificar una entrada de depuración y la dirección IP de la consola de QRadar o del recopilador de sucesos:
*.debug @ip_address
Sugerencia: Una pestaña debe separar *.debug de la dirección IP.
- Guarde los cambios efectuados en la configuración.
- Volver a cargar la configuración de syslog:
- Inicie el script de auditoría en el dispositivo IBM AIX :
Qué hacer a continuación
El DSM de auditoría de IBM AIX descubre automáticamente sucesos de auditoría de syslog que se reenvían desde IBM AIX a QRadar y crea un origen de registro. Si los sucesos no se descubren automáticamente, puede configurar manualmente un origen de registro.