Linux の構成

Linux® ベースのオペレーティング・システムで syslog 用に RSA Authentication Manager を構成できます。

手順

  1. SSH を使用して、root ユーザーとして RSA Security Console にログインします。
  2. RSA Authentication Manager のバージョンに基づいて、以下のいずれかのファイルを編集用に開きます。
    バージョン 8 より前のバージョン
    /usr/local/RSASecurity/RSAAuthenticationManager/utils/resources/ims.properties
    バージョン 8
    /opt/rsa/am/utils/resources/ims.properties
  3. 以下のエントリーを ims.properties ファイルに追加します。
    ims.logging.audit.admin.syslog_host = <IP address> 
ims.logging.audit.admin.use_os_logger = true 
ims.logging.audit.runtime.syslog_host = <IP address> 
ims.logging.audit.runtime.use_os_logger = true 
ims.logging.system.syslog_host = <IP address> 
ims.logging.system.use_os_logger = true

    ここで、<IP address> はIBM QRadarの IP アドレスまたはホスト名です。

  4. ims.properties ファイルを保存します。
  5. 編集する以下のファイルを開きます。

    /etc/syslog.conf

  6. 以下のコマンドを入力して、syslog 項目として QRadar を追加します。

    *.* @<IP address>

    ここで、<IP address> はQRadarの IP アドレスまたはホスト名です。

  7. 以下のコマンドを入力して、 Linuxの syslog サービスを再始動します。

    service syslog restart

    Syslog 転送の構成について詳しくは、RSA Authentication Manager の資料 を参照してください。

次に実行するタスク

QRadarでログ・ソースとプロトコルを構成します。 RSA Authentication Manager からイベントを受け取るには、「ログ・ソース・タイプ」リストで「RSA Authentication Manager」オプションを選択します。