QRadar と通信するための UNIX または Linux デバイス上の Centrify Infrastructure Services の構成

監査イベントを IBM QRadarに送信するように UNIX または Linux® デバイスを構成できます。 監査イベントは、Centrify Infrastructure Services がインストールされて構成されている場所にある Syslog イベント・ログ内でローカルに使用可能になります。

手順

  1. Centrify Infrastructure Services デバイスにログインします。
  2. syslog または rsyslog がインストールされていることを確認します。
    • syslog がインストールされていることを確認するには、service syslog status と入力します。
    • rsyslog がインストールされていることを確認するには、service rsyslog status と入力します。
  3. syslog または rsyslog がインストールされていない場合は、UNIX または Linux デバイスに応じた任意の方法でインストールします。 例えば、次のコマンドを入力して、 Linux デバイスに rsyslog をインストールできます。

    yum install rsyslog

  4. イベントを QRadar Event Collectorに転送するには、 /etc/ ディレクトリーにある rsyslog.conf ファイルまたは syslog.conf ファイルを開き、以下の行を追加します。

    :msg, contains, "AUDIT_TRAIL" @@<QRadar Event Collector IP>:514

    例: :msg, contains, "AUDIT_TRAIL" @@127.0.0.1:514
  5. syslog サービスまたは rsyslog サービスを再始動します。
    • syslog を使用している場合は、service syslog restart と入力します。
    • rsyslog を使用している場合は、service rsyslog restart と入力します。
    注: Centrify Linux エージェントは、監査証跡ログとともにいくつかの Linux システム・メッセージを転送する場合があります。 特定のカテゴリーが見つからない場合、 QRadar の Linux OS ログ・ソース・タイプは、 Linux メッセージを検出し、保管されているとおりに正規化します。