Forcepoint TRITON 用の syslog の構成

イベントを収集するには、Forcepoint TRITON の syslog 転送を構成する必要があります。

手順

  1. Forcepoint TRITON Web Security コンソールにログインします。
  2. 「設定」 タブで、以下のようにします。 「一般」 >「 SIEM 統合」を選択します。
  3. 「このポリシー・サーバーの SIEM 統合を有効にする (Enable SIEM integration for this Policy Server)」 チェック・ボックスを選択します。
  4. 「IP アドレスまたはホスト名」 フィールドに、 QRadarの IP アドレスを入力します。
  5. 「ポート」 フィールドに、 514と入力します。
  6. 「トランスポート・プロトコル」 リストから、 「TCP」 または 「UDP」 プロトコル・オプションを選択します。

    QRadar は、ポート 514 で TCP プロトコルおよび UDP プロトコルの syslog イベントをサポートします。

  7. 「SIEM 形式」 リストから、 「syslog/LEEF (QRadar)」 を選択します。
  8. 変更をキャッシュに入れるには、 「OK」 をクリックします。
  9. 「デプロイ」 をクリックして、Forcepoint TRITON セキュリティー・コンポーネントまたは V シリーズ・アプライアンスを更新します。

    Forcepoint Multiplexer は Forcepoint Filtering Service に接続し、イベント・ログ情報が QRadarに提供されるようにします。