syslog 宛先の構成

Syslog-ng Agent では、Windows ベースのイベントに対して複数の宛先を構成できます。

このタスクについて

IBM QRadar を宛先として構成するには、 QRadarの IP アドレスを指定してから、LEEF 形式のメッセージ・テンプレートを構成する必要があります。

手順

  1. 開始 メニューから、 すべてのプログラム > Windows 用 syslog-ng エージェント > Windows 用の syslog-ng Agent の構成を選択します。

    「Syslog-ng Agent」ウィンドウが表示されます。

  2. 「Syslog-ng Agent の設定 (Syslog-ng Agent Settings)」 ペインを展開し、 「宛先 (Destinations)」をクリックします。
  3. 「新規サーバーの追加」をダブルクリックします。

    「サーバー・プロパティー」 ウィンドウが表示されます。

  4. 「サーバー」 タブをクリックし、 「プライマリー・サーバーの設定」をクリックします。
  5. 以下のパラメーターを構成します。

    • サーバー名 - QRadar Console または Event Collectorの IP アドレスを入力します。

    • 「サーバー・ポート」 - QRadarに転送するイベントの TCP ポート番号として 514 と入力します。

  6. 「メッセージ」 タブをクリックします。
  7. 「プロトコル」 リストから、 「レガシー BSD Syslog プロトコル (Legacy BSD Syslog Protocol)」を選択します。
  8. 「テンプレート」 フィールドで、次のように入力して、プロトコルのカスタム・テンプレート・メッセージを定義します。

    <${PRI}>${BSDDATE} ${HOST} LEEF:${MSG}

    このフィールドに入力する情報はスペース区切りです。

  9. 「イベント・メッセージ・フォーマット」 ペインの 「メッセージ・テンプレート」 フィールドで、以下のテキストを入力するかコピーして貼り付け、LEEF イベントのフォーマットを定義します。
    注: テキストは変更しないことをお勧めします。

    1.0|Microsoft|Windows|2k8r2|${EVENT_ID}|devTime=${R_YEAR}-${R_MONTH}-${R_DAY}T${R_HOUR}:${R_MIN}:${R_SEC}GMT${TZOFFSET} devTimeFormat=yyyy-MM-dd'T'HH:mm:ssz cat=${EVENT_TYPE} sev=${EVENT_LEVEL} resource=${HOST} usrName=${EVENT_USERNAME} application=${EVENT_SOURCE} message=${EVENT_MSG}

    注: LEEF 形式では、イベント属性を相互に分離するための区切り文字としてタブが使用されます。 ただし、{Event_ID} の最後のパイプ文字の後までは、区切り文字は開始しません。 devTime、devTimeFormat、cat、sev、resource、usrName、application、および message の各フィールドでは、イベント名の前にタブを含める必要があります。

    テキスト・エディターを使用して、LEEF メッセージ・フォーマットをコピーして「メッセージ・テンプレート (Message Template)」フィールドに貼り付ける必要が生じることがあります。

  10. 「OK」をクリックします。

    宛先の構成は完了です。 これで、Syslog-ng Agent サービスを再始動する準備ができました。