Configuration d'osquery sur votre système Linux

Avant d'ajouter une source de journal dans QRadar, vous devez configurer osquery sur votre unité Linux.

1. Téléchargez le fichier qradar.pack.conf depuis IBM Fix Central (https://www.ibm.com/support/fixcentral).
2. Copiez le fichier qradar.pack.conf sur votre hôte osquery. Par exemple, <location_of_pack_file>/qradar.pack.conf
3. Editez le fichier osquery.conf . L'emplacement de fichier par défaut est /etc/osquery/osquery.conf.
   1. Vérifiez que les options suivantes sont incluses dans le fichier osquery.conf .

      "disable_logging": "false"
       "disable_events" : "false"
       "logger_plugin": "filesystem,syslog"
      

   2. Ajoutez qradar.pack.conf au fichier osquery.conf .

      "qradar": "/<path_to_packs>/qradar.pack.conf"

   Exemple de fichier <osquery>.conf :

   { // Configure the daemon below: "options": {    "disable_logging": "false",    "disable_events" : "false",    "logger_plugin": "filesystem,syslog",    "utc": "true" }, "packs": {   "qradar": "<location_of_pack_file>/qradar.pack.conf" }}

   Remarque: Le fichier qradar.pack.conf contient une section “file_paths” qui définit la surveillance de l'intégrité des fichiers par défaut pour le pack QRadar . Les fichiers “file_paths” définis dans les fichiers <osquery>.conf du client ont priorité sur le fichier qradar.pack.conf .
4. Redémarrez le démon osquery.