Configuración de Linux

Puede configurar RSA Authentication Manager para syslog en sistemas operativos basados en Linux® .

Procedimiento

  1. Utilizando SSH, inicie sesión en la consola de seguridad de RSA como usuario root.
  2. Abra uno de los archivos siguientes para editarlos en función de su versión de RSA Authentication Manager:
    Versiones anteriores a la versión 8
    /usr/local/RSASecurity/RSAAuthenticationManager/utils/resources/ims.properties
    Versión 8
    /opt/rsa/am/utils/resources/ims.properties
  3. Añada las entradas siguientes al archivo ims.properties :
    ims.logging.audit.admin.syslog_host = <IP address> 
ims.logging.audit.admin.use_os_logger = true 
ims.logging.audit.runtime.syslog_host = <IP address> 
ims.logging.audit.runtime.use_os_logger = true 
ims.logging.system.syslog_host = <IP address> 
ims.logging.system.use_os_logger = true

    Donde <Dirección IP> es la dirección IP o el nombre de host de IBM QRadar.

  4. Guarde el archivo ims.properties .
  5. Abra el archivo siguiente para editarlo:

    /etc/syslog.conf

  6. Escriba el mandato siguiente para añadir QRadar como una entrada de syslog:

    *.* @<IP address>

    Donde <Dirección IP> es la dirección IP o el nombre de host de QRadar.

  7. Escriba el mandato siguiente para reiniciar los servicios syslog para Linux.

    service syslog restart

    Para obtener más información sobre cómo configurar el reenvío de syslog, consulte la documentación de RSA Authentication Manager.

Qué hacer a continuación

Configure el origen de registro y el protocolo en QRadar. Para recibir sucesos de RSA Authentication Manager, en la lista Tipo de origen de registro , seleccione la opción RSA Authentication Manager .