Samhain イベントの収集のための Syslog 構成

syslog を使用して Samhain HIDS と統合するように IBM QRadar を構成する前に、ログを QRadar システムに転送するように Samhain HIDS システムを構成する必要があります。

このタスクについて

以下の手順は、デフォルトの samhainrc ファイルに基づいています。 samhainrc ファイルが変更されている場合、Syslog ファシリティーなどの一部の値が異なることがあります。

手順

  1. コマンド・ライン・インターフェースから Samhain HIDS にログインします。
  2. 以下のファイルを開きます。

    /etc/samhainrc

  3. 以下の行からコメント・マーカー (#) を削除します。

    SetLogServer=info

  4. ファイルを保存して終了します。

    Syslog を使用してローカル・システムにアラートが送信されます。

  5. 以下のファイルを開きます。

    /etc/syslog.conf

  6. 以下の行を追加します。

    local2.* @<IP Address>

    ここで、 <IP Address> は QRadarの IP アドレスです。

  7. ファイルを保存して終了します。
  8. syslog を再始動します。

    /etc/init.d/syslog restart

    Samhain は、syslog を使用して QRadarにログを送信します。

    これで、 QRadarで Samhain HIDS DSM を構成する準備ができました。 Samhain からイベントを受信するように QRadar を構成するには、以下のようにします。

  9. 「ログ・ソース・タイプ」 リストから、 「Samhain HIDS」 オプションを選択します。