デフォルトでは、XDASv2 はイベントをファイルに記録するように構成されています。 XDASv2 から QRadarにイベントを転送するには、 xdasconfig.properties.template を編集し、syslog 転送用にファイルを構成する必要があります。
このタスクについて
監査イベントは、ファイルに記録されるのではなく、syslog によって QRadarに転送する必要があります。
Syslog イベントを転送するように XDASv2 を構成するには、以下のようにします。
手順
- Novell eDirectory をホストするサーバーにログインします。
- 編集する以下のファイルを開きます。
- Windows の場合- C:\Novell\NDS\xdasconfig.properties.template
- Linux または Solaris - etc/opt/novell/eDirectory/conf/xdasconfig.properties.template
- ルート・ロガーを設定するには、以下の行でコメント・マーカー (#) を削除します。
log4j.rootLogger=debug,
S, R
- アペンダーを設定するには、以下の行でコメント・マーカー (#) を削除します。
log4j.appender.S=org.apache.log4j.net.SyslogAppender
- Syslog 宛先の IP アドレスを構成するには、以下の行でコメント・マーカー (#) を削除して編集します。
log4j.appender.S.Host=<IP
address> log4j.appender.S.Port=<Port>
ここで、
<IP
address> は、 QRadarの IP アドレスまたはホスト名です。
<Port> は、UDP または TCP プロトコル用のポート番号です。 syslog 通信用のデフォルト・ポートは、 QRadar またはイベント・コレクターの場合はポート 514 です。
- Syslog プロトコルを構成するには、以下の行でコメント・マーカー (#) を削除し、使用するプロトコル (UDP、TCP、または SSL) を入力します。
log4j.appender.S.Protocol=TCP
暗号化されたプロトコル SSL は、 QRadarではサポートされません。
- イベントのロギングのための重大度レベルを設定するには、以下の行でコメント・マーカー (#) を削除します。
log4j.appender.S.Threshold=INFO
デフォルト値 INFO は、イベントの適切な重大度レベルです。
- イベントのロギングのためのファシリティーを設定するには、以下の行でコメント・マーカー (#) を削除します。
log4j.appender.S.Facility=USER
デフォルト値の USER は、イベントの適切なファシリティー値です。
- イベントのロギングのためのファシリティーを設定するには、以下の行でコメント・マーカー (#) を削除します。
log4j.appender.R.MaxBackupIndex=10
- xdasconfig.properties.template ファイルを保存します。
XDASv2 イベントの Syslog プロパティーの構成が完了したら、XDASv2 モジュールをロードすることができます。