Open LDAP の UDP 複数行 Syslog ログ・ソース・パラメーター

着信 UDP 複数行 Syslog イベントを受け入れるために QRadar が使用するポート番号を入力します。 有効な範囲は 1 から 65536 です。

デフォルトの UDP 複数行 Syslog listen ポートは 517 です。

「Listen ポート (Listen Port)」 フィールドが表示されない場合は、 QRadarで Tomcat を再始動する必要があります。

「listen ポート (Listen Port)」の番号を編集するには、以下のようにします。

QRadar Console または Event Collector 上の IPtables を新しい UDP 複数行 Syslog ポート番号で更新します。 詳しくは、 UDP 複数行 Syslog イベント用の IPtables の構成を参照してください。

1. 「listen ポート (Listen Port)」フィールドに、UDP 複数行 Syslog イベント受信用の新しいポート番号を入力します。
2. セーブをクリック。

ポートの更新が完了し、新しいポート番号でイベント収集が開始されます。

イベント・ペイロード・メッセージをフィルタリングするために必要な正規表現 (regex) を入力します。 Open LDAP イベントの処理時に、一致するすべてのイベントが含まれます。

Open LDAP イベント向けに推奨される正規表現は以下のとおりです。

conn=(\d+)

例えば Open LDAP では、接続メッセージは conn という単語で始まり、残りのイベント・ペイロードがその後に続きます。 このパラメーターの使用には、正規表現 (regex) の知識が必要です。 詳しくは、Web サイト http://download.oracle.com/javase/tutorial/essential/regex/ を参照してください。