syslog を使用した Check Point の統合

このセクションでは、 IBM QRadar Check Point DSM が syslogを使用してチェック・ポイント・イベントを受け入れるようにする方法について説明します。

syslog イベントを IBM QRadar に転送するようにチェック・ポイントを構成するには、以下のステップを実行します。

1. 以下のコマンドを入力し、expert ユーザーとして Check Point コンソールにアクセスします。

   expert

   パスワード・プロンプトが表示されます。

2. expert コンソールのパスワードを入力します。 Enter キーを押します。
3. 以下のファイルを開きます。

   /etc/rc.d/rc3.d/S99local

4. 以下の行を追加します。

   $FWDIR/bin/fw log -ftn | /usr/bin/logger -p <facility>.<priority> /dev/null 2>&1 &

   各項目の意味は次のとおりです。

   • <facility> は、 syslog ファシリティ ( 例えば、 local3) です。
   • <priority> は、 syslog の優先順位です ( 例 : info) 。

   例:

   $FWDIR/bin/fw log -ftn | /usr/bin/logger -p local3.info > /dev/null 2>&1 &

5. ファイルを保存して閉じます。
6. syslog.conf ファイルを開きます。
7. 以下の行を追加します。

   <facility>.<priority> <TAB><TAB>@<host>

   各項目の意味は次のとおりです。

   • <facility> は、 syslog 機能 ( 例えば、local3) です。 この値は、ステップ 4 で入力した値と同じでなければなりません。
   • <priority> は、syslog 優先順位 ( 情報または通知など ) です。 この値は、ステップ 4 で入力した値と同じでなければなりません。

   <TAB> は、Tab キーを押す必要があることを示します。

   <host> は、 QRadar コンソールまたは管理対象ホストを示します。

8. ファイルを保存して閉じます。
9. 以下のコマンドを入力して syslog を再開します。
   • Linux®の場合: service syslog restart
   • Solaris の場合: /etc/init.d/syslog start
10. 以下のコマンドを入力します。

    nohup $FWDIR/bin/fw log -ftn | /usr/bin/logger -p <facility>.<priority> > /dev/null 2>&1 &

    各項目の意味は次のとおりです。

    • <facility> は Syslog ファシリティです ( 例 : local3) 。 この値は、ステップ 4 で入力した値と同じでなければなりません。
    • <priority> は、「 Syslog 」の優先順位です ( 例: info) 。 この値は、ステップ 4 で入力した値と同じでなければなりません。

構成は完了です。 このログ・ソースは、 Check Point の syslog イベントとして 自動的に検出され、QRadar に追加されます。 QRadar に転送されるイベントは、「 ログ・アクティビティー 」タブに表示されます。