複数行 UDP Syslog イベント用の IPtables の構成

イベントを収集するには、イベントを標準 PostFix MTA ポートから UDP 複数行プロトコル用のポート 517 にリダイレクトする必要があります。

手順

  1. SSH を使用して、root ユーザーとして IBM QRadar にログインします。
  2. IPtables ファイルを編集するには、以下のコマンドを入力します。

    vi /opt/qradar/conf/iptables-nat.post

  3. UDP ポート 514 から UDP ポート 517 に syslog イベントをリダイレクトするように QRadar に指示するには、次のコマンドを入力します。

    -A PREROUTING -p udp --dport 514 -j REDIRECT --to-port <new-port> -s <IP address>

    各項目の意味は次のとおりです。

    • <IP address> は、 PostFix MTA インストール済み環境の IP アドレスです。

    • <New port> は、 PostFix MTAの UDP Multiline プロトコルで構成されているポート番号です。

    例えば、 QRadarと通信する 3 つの PostFix MTA インストール済み環境がある場合は、以下のコードを入力できます。

    -A PREROUTING -p udp --dport 514 -j 
REDIRECT --to-port 517 -s <IP_address1> -A PREROUTING -p udp --dport 514 -j 
REDIRECT --to-port 517 -s <IP_address2> -A PREROUTING -p udp --dport 514 -j 
REDIRECT --to-port 517 -s <IP_address3>
  4. IPtables NAT 構成を保存します。

    これで、 PostFix MTA インストール済み環境からのイベントを受け入れるように QRadar Console または Event Collector で IPtables を構成する準備ができました。

  5. 以下のコマンドを入力して、IPtables ファイルを編集します。

    vi /opt/qradar/conf/iptables.post

  6. 以下のコマンドを入力して、 PostFix MTA インストール済み環境からの通信を許可するように QRadar に指示します。

    -I QChain 1 -m udp -p udp --src <IP address> --dport <New port> -j ACCEPT

    各項目の意味は次のとおりです。

    • <IP address> は、 PostFix MTA インストール済み環境の IP アドレスです。

    • <New port> は、 UDP Multiline プロトコルで構成されているポート番号です。

    例えば、 Event Collectorと通信する PostFix MTA インストール済み環境が 3 つある場合は、以下のコードを入力できます。

    -I QChain 1 -m udp -p udp --src <IP_address1> 
--dport 517 -j ACCEPT -I QChain 1 -m udp -p udp 
--src <IP_address2> --dport 517 -j ACCEPT -I QChain 1 -m udp -p udp 
--src <IP_address3> --dport 517 -j ACCEPT
  7. 変更内容を保存して IPtables を更新するため、以下のコマンドを入力します。

    ./opt/qradar/bin/iptables_update.pl