UDP 複数行 Syslog イベントの IPtables の構成

IBM QRadarで UDP 複数行 Syslog イベントを収集するには、標準 UDP 複数行ポート 517 または QRadarでまだ使用されていないその他の使用可能なポートにイベントを直接送信できない場合、以下に示すように IPTable を使用して、イベントをポート 514 からデフォルト・ポート 517 または選択した代替ポートにリダイレクトする必要があります。 Open LDAP サーバーから UDP 複数行 Syslog イベントを受信する QRadar Console または QRadar Event Collector ごとに IPtables を構成し、ログの受信元の Open LDAP サーバー IP アドレスごとに構成を完了する必要があります。

1. SSH を使用して、root ユーザーとして QRadar にログインします。

   Login: <root>

   パスワード: <password>

2. 以下のコマンドを入力して、IPtables ファイルを編集します。

   vi /opt/qradar/conf/iptables-nat.post

   IPtables NAT 構成ファイルが表示されます。

3. 以下のコマンドを入力して、UDP ポート 514 から UDP ポート 517 に syslog イベントをリダイレクトするように QRadar に指示します。

   -A PREROUTING -p udp --dport 514 -j REDIRECT --to-port <new-port> -s <IP address>

   各項目の意味は次のとおりです。

   <IP address> は、Open LDAP サーバーの IP アドレスです。

   <New port> は、Open LDAPの UDP Multiline プロトコルで構成されているポート番号です。

   イベントを QRadar Console または Event Collectorに送信する Open LDAP IP アドレスごとにリダイレクトを含める必要があります。 例:

   -A PREROUTING -p udp --dport 514 -j REDIRECT --to-port 517 -s <IP_address>

4. IPtables NAT 構成を保存します。

   これで、Open LDAP サーバーからのイベントを受け入れるように QRadar Console または Event Collector 上の IPtables を構成する準備ができました。

5. 以下のコマンドを入力して、IPtables ファイルを編集します。

   vi /opt/qradar/conf/iptables.post

   IPtables 構成ファイルが表示されます。

6. 以下のコマンドを入力して、Open LDAP サーバーからの通信を許可するように QRadar に指示します。

   -I QChain 1 -m udp -p udp --src <IP_address> --dport <New port> -j ACCEPT

   各項目の意味は次のとおりです。

   <IP address> は、Open LDAP サーバーの IP アドレスです。

   <New port> は、Open LDAPの UDP Multiline プロトコルで構成されているポート番号です。

   イベントを QRadar Console または Event Collectorに送信する Open LDAP IP アドレスごとにリダイレクトを含める必要があります。 例:

   -I QChain 1 -m udp -p udp --src <IP_address> --dport 517 -j ACCEPT

7. 以下のコマンドを入力して、 QRadar内の IPtables を更新します。

   ./opt/qradar/bin/iptables_update.pl