Forcepoint V-Series Content Gateway のイベント・ロギングの有効化

Forcepoint V-Series アプライアンスを使用している場合、この機能を有効にするには、Forcepoint のテクニカル・サポートに問い合わせる必要があります。

手順

  1. Forcepoint Content Gateway を実行しているサーバーのコマンド・ライン・インターフェース (CLI) にログインします。
  2. 以下の行を /etc/rc.local ファイルの末尾に追加します。
    ( while [ 1 ] ; do tail -n1000 -F /opt/WCG/logs/leef.log | nc <IP Address> 514 sleep 1 done ) &

    ここで、 <IP Address> は IBM QRadarの IP アドレスです。

  3. ロギングをすぐに開始するには、以下のコマンドを入力します。
    nohup /bin/bash -c "while [ 1 ] ; do tail -F /opt/WCG/logs/leef.log | nc <IP Address> 514; sleep 1; done" &
    注: 「Forcepoint V シリーズ Content Gateway のイベント・ロギングの有効化 (Enabling Event Logging for Forcepoint V-Series Content Gateway)」 でロギング・コマンドを入力するか、コマンドをテキスト・エディターにコピーして引用符を解釈することが必要な場合があります。

    構成は完了です。 Forcepoint V シリーズ Content Gateway からの syslog イベントが自動的に検出されると、ログ・ソースが QRadar に追加されます。 Forcepoint V シリーズ Content Gateway によって転送されたイベントは、 QRadarの 「ログ・アクティビティー」 タブに表示されます。