BalaBit Syslog-ng Agent for Windows は、Microsoft TMG イベント・ログおよび ISA イベント・ログを Balabit
Syslog-ng PE インストール済み環境 (リレー・モードで構成されている) に送信します。
このタスクについて
リレー・モードのインストールでは、 BalaBit Syslog-ng Agent for Windows からイベント・ログを受信し、イベント・ログを解析して LEEF 形式にしてから、syslog を使用してイベントを IBM
QRadar に転送します。
BalaBit Syslog-ng PE Relay を構成するには、以下を行う必要があります。
- リレー・モードで BalaBit Syslog-ng PE for Linux® または Unix をインストールします。 詳しくは、BalaBit Syslog-ne PE のベンダー資料を参照してください。
- Syslog-ng PE Relay で syslog を構成します。
BalaBit Syslog-ng PE は、syslog.conf ファイルの構成に基づいて、TMG イベントおよび ISA イベントを LEEF 形式に設定します。 syslog.conf ファイルは、イベント・ログを構文解析し、イベントを QRadarに転送します。
手順
- SSH を使用して、BalaBit Syslog-ng PE Relay コマンド・ライン・インターフェース (CLI) にログインします。
- 以下のファイルを編集します。
/etc/syslog-ng/etc/syslog.conf
- 宛先セクションで、リレー宛先ごとに IP アドレスとポート番号を追加します。
例:
######
# destinations destination d_messages { file("/var/log/messages");
}; destination d_remote_tmgfw { tcp("QRadar_IP" port(QRadar_PORT)
log_disk_fifo_size(10000000) template(t_tmgfw)); }; destination d_remote_tmgweb
{ tcp("QRadar_IP" port(QRadar_PORT) log_disk_fifo_size(10000000) template(t_tmgweb));
};各項目の意味は次のとおりです。
QRadar_IP は、
QRadar
Console または
Event Collectorの IP アドレスです。
QRadar_Port は、 QRadar が syslog イベントを受信するために必要なポート番号です。 デフォルトでは、 QRadar はポート 514 で syslog イベントを受信します。
- syslog 構成変更を保存します。
- Syslog-ng PE を再始動して、強制的に構成ファイルを読み取ります。
BalaBit Syslog-ng PE の構成は完了です。 BalaBit Syslog-ng Relay から転送された syslog イベントは、「ログ・アクティビティー」タブで Microsoft Windows セキュリティー・イベント・ログとして QRadar によって自動的に検出されます。 詳しくは、「 IBM
QRadar ユーザーズ・ガイド」を参照してください。
注: 複数の syslog 宛先を使用している場合、メッセージは、1 次 syslog 宛先に正常に到着したときに配信されると見なされます。