Citrix NetScaler

Citrix NetScaler イベントを IBM QRadarと統合するには、syslog イベントを転送するように Citrix NetScaler を構成する必要があります。

手順

SSH を使用して、root ユーザーとして Citrix NetScaler デバイスにログインします。
以下のコマンドを入力して、リモート syslog サーバーを追加します。
add audit syslogAction <ActionName> <IP Address> -serverPort 514 -logLevel Info -dateFormat DDMMYYYY

各項目の意味は次のとおりです。

<ActionName> は、 syslog サーバー・アクションの記述名です。

<IP Address> は、ご使用の QRadar Consoleの IP アドレスまたはホスト名です。
例:
```
add audit syslogAction action-QRadar 192.0.2.1 -serverPort 514 -logLevel Info -dateFormat DDMMYYYY
```
以下のコマンドを入力して、監査ポリシーを追加します。
add audit syslogPolicy <ポリシー名> <ルール> <アクション名>

各項目の意味は次のとおりです。

<PolicyName> は、 syslog ポリシーの記述名です。

<Rule> は、ポリシーが使用するルールまたは式です。サポートされる値は、ns_true のみです。

<ActionName> は、 syslog サーバー・アクションの記述名です。
例:
```
add audit syslogPolicy policy-QRadar ns_true action-QRadar
```
以下のコマンドを入力して、ポリシーをグローバルにバインドします。
bind system global < ポリシー名 > -priority < 整数 >

各項目の意味は次のとおりです。

<PolicyName> は、 syslog ポリシーの記述名です。

<Integer> は、syslogを使用して通信している複数のポリシーのメッセージ優先順位をランク付けするために使用される数値です。
例:
```
bind system global policy-QRadar -priority 30
```
複数のポリシーに (割り当てられた数値によって表される) 優先順位が設定されている場合、数値が低い方が数値が高い方より先に評価されます。
以下のコマンドを入力して、Citrix NetScaler 構成を保存します。

save config
以下のコマンドを入力して、ポリシーが構成に保存されているかを確認します。

sh system global

注: Citrix NetScaler ユーザー・インターフェースを使用した syslog の構成について詳しくは、 http://support.citrix.com/article/CTX121728 またはベンダーの資料を参照してください。

構成は完了です。 Citrix NetScaler イベントが自動的に検出されると、ログ・ソースが QRadar に追加されます。 Citrix NetScaler によって転送されたイベントは、 QRadarの「ログ・アクティビティー」タブに表示されます。