OSSEC の構成

スタンドアロン・インストール済み環境または管理サーバーで OSSEC の Syslog を構成できます。

手順

  1. SSH を使用して、OSSEC デバイスにログインします。
  2. OSSEC 構成 ossec.conf ファイルを編集します。

    <installation directory>/ossec/etc/ossec.conf

  3. 以下の Syslog 構成を追加します。
    注: syslog 構成は、 alerts 項目の後、 localfile 項目の前に追加してください。

    </alerts>

    <syslog_output> <server>(QRadar IP Address)</server> <port>514</port> </syslog_output>

    <localfile>

    例:

    <syslog_output> <server><IP_address></server> <port>514</port> </syslog_output>

  4. OSSEC 構成ファイルを保存します。
  5. 以下のコマンドを入力して、Syslog デーモンを有効にします。

    <installation directory>/ossec/bin/ossec-control enable client-syslog

  6. 以下のコマンドを入力して、syslog デーモンを再始動します。

    <installation directory>/ossec/bin/ossec-control restart

    構成は完了です。 OSSEC イベントが自動的に検出されると、ログ・ソースが IBM QRadar に追加されます。 OSSEC によって QRadar に転送されたイベントは、 QRadarの 「ログ・アクティビティー」 タブに表示されます。