Configuration de Symantec Endpoint Protection pour communiquer avec QRadar

Avant d'ajouter la source de journal Symantec Endpoint Protection dans QRadar, vous devez configurer votre unité Symantec Endpoint Protection pour transmettre les événements syslog.

Procédure

  1. Connectez-vous à votre système Symantec Endpoint Protection Manager.
  2. Dans le panneau de gauche, cliquez sur l'icône Admin .
  3. Dans la partie inférieure du panneau Afficher les serveurs , cliquez sur Serveurs.
  4. Dans le panneau Afficher les serveurs , cliquez sur Site local.
  5. Dans le panneau Tâches , cliquez sur Configurer la journalisation externe.
  6. Dans l'onglet Généraux , cochez la case Activer la transmission des journaux à un serveur Syslog .
  7. Dans la zone Serveur syslog , entrez l'adresse IP de votre QRadar que vous souhaitez analyser les journaux.
  8. Dans la zone Port de destination UDP , entrez 514.
  9. Dans la zone Log Facility , entrez 6.
  10. Dans l'onglet Filtre de journal , sous Journaux du serveur de gestion, cochez la case Journaux d'audit .
  11. Dans le panneau Journal du client , cochez la case Journaux de sécurité .
  12. Dans le panneau Journal du client , cochez la case Risques .
  13. Cliquez sur OK.