Extreme Dragon EMS V7.4.0 以降を使用した syslog-ng の構成

このセクションでは、syslog メッセージを IBM QRadarに転送するように syslogd と非暗号化モードで syslog-ng を構成する手順について説明します。

このタスクについて

暗号化 syslog-ng を使用している場合は、Extreme の資料 を参照してください。

syslog-ng と syslogd の両方を同時に実行しないでください。

非暗号化モードの syslog-ng を構成するには、以下のようにします。

手順

  1. EMS システムで以下のファイルを開きます。

    /opt/syslog-ng/etc/syslog-ng.conf

  2. Syslog 通知ルール用の Facility フィルターを構成します。

    例えば、facility として local1 を選択した場合、以下のようにします。

    filter filt_facility_local1 {facility(local1); };

  3. Syslog 通知ルール用の Level フィルターを構成します。

    例えば、level として notice を選択した場合、以下のようにします。

    filter filt_level_notice {level(notice); };

  4. QRadarの宛先ステートメントを構成します。

    例えば、 QRadar の IP アドレスが 192.0.2.1 で、syslog ポート 514 を使用する場合は、次のように入力します。

    destination siem { tcp("192.0.2.1" port(514)); };

  5. 以下のように、通知ルールの log ステートメントを追加します。

    log { source(s_local); filter (filt_facility_local1); filter (filt_level_notice); destination(siem); };

  6. ファイルを保存し、syslog-ng を再始動します。

    cd /etc/rc.d ./rc.syslog-ng stop ./rc.syslog-ng start

  7. Extreme Dragon EMS の構成は完了です。