Broadcom Symantec SiteMinder 用の syslog-ng の構成

syslog-ng イベントを QRadar Console または Event Collectorに転送するには、 Broadcom Symantec SiteMinder アプライアンスを構成する必要があります。

このタスクについて

IBM QRadar は、ポート 514 で TCP または UDP syslog ソースから syslog-ng イベントを収集できます。

Symantec SiteMinderの syslog-ng を構成する手順

手順

  1. SSHを使用して、 Symantec SiteMinder アプライアンスに root ユーザーとしてログインします。
  2. syslog-ng 構成ファイルを編集します。

    /etc/syslog-ng.conf

  3. 以下の情報を追加して、syslog-ng のイベント・ファイルとしてアクセス・ログを指定します。
    source s_siteminder_access { file("/opt/apps/siteminder/sm66/siteminder/log/smaccess.log"); };
  4. 以下の情報を追加して、宛先およびメッセージ・テンプレートを指定します。
    destination d_remote_q1_siteminder {udp("<QRadar IP>" port(514) template ("$PROGRAM $MSG\n"));};

    ここで、 <QRadar IP> は、QRadar Console またはEvent Collectorの IP アドレスです。

  5. 以下のログ項目情報を追加します。
    log {source(s_siteminder_access);destination(d_remote_q1_siteminder);};
  6. syslog-ng.conf ファイルを保存します。
  7. 以下のコマンドを入力して syslog-ng を再始動します。

    service syslog-ng restart

    syslog-ng サービスが再始動されると、 Symantec SiteMinder 構成が完了します。 Symantec SiteMinder によって QRadar に転送されるイベントは、「 ログ・アクティビティー 」タブに表示されます。