CyberArk Vault 用の syslog の構成

syslog イベントを IBM QRadarに転送するように CyberArk Vault を構成するには、ファイルを編集してパラメーターを指定する必要があります。

手順

  1. CyberArk デバイスにログインします。
  2. DBParm.ini ファイルを編集します。
  3. 以下のパラメーターを構成します。
    表 1. Syslog パラメーター

    パラメーター

    説明
    SyslogServerIP

    QRadarの IP アドレスを入力します。
    SyslogServerPort

    QRadarへの接続に使用する UDP ポートを入力します。 デフォルト値は 514 です。
    SyslogMessageCodeFilter
    CyberArk Vault から QRadarに送信するメッセージ・コードを構成します。 特定のメッセージ番号または番号の範囲を定義できます。 デフォルトでは、ユーザー・アクティビティーと安全アクティビティーのすべてのメッセージ・コードが送信されます。
    例: メッセージ・コード 1、2、3、30、および 5、10 を定義するには、 1,2,3,5-10,30と入力する必要があります。
    SyslogTranslatorFile

    LEEF.xsl 変換プログラム・ファイルのファイル・パスを入力します。 変換プログラム・ファイルは、syslog プロトコルの CyberArk 監査レコード・データを構文解析するために使用されます。
  4. LEEF.xsl を、 DBParm.ini ファイル内の SyslogTranslatorFile パラメーターで指定された場所にコピーします。

結果

構成は完了です。 CyberArk ボールト・イベントが自動的に検出されると、ログ・ソースが QRadar に追加されます。 CyberArk Vault によって転送されたイベントは、 QRadarの 「ログ・アクティビティー」 タブに表示されます。