Sentrigo Hedgehog

Sentrigo Hedgehog デバイスを IBM QRadarと統合できます。

このタスクについて

Sentrigo Hedgehog デバイスは、syslog を使用して LEEF イベントを受け入れます。 Sentrigo Hedgehog デバイスと統合するように QRadar を構成する前に、以下の手順を実行します。

手順

  1. Sentrigo Hedgehog のコマンド・ライン・インターフェース (CLI) にログインします。
  2. 編集する以下のファイルを開きます。

    <Installation directory>/conf/sentrigo-custom.properties

    ここで、 <Installation directory> は、 Sentrigo Hedgehog インストール済み環境が含まれているディレクトリーです。

  3. 以下の log.format エントリーをカスタム・プロパティー・ファイルに追加します。
    注: Sentrigo Hedgehog の構成またはインストールによっては、既存の log.format エントリーを置換または上書きしなければならない場合があります。
    sentrigo.comm.ListenAddress=1996 
log.format.body.custom=usrName=$osUser:20$|duser=$execUser:20$| 
severity=$severity$|identHostName=$sourceHost$|src=$sourceIP$| 
dst=$agent.ip$|devTime=$logonTime$|
devTimeFormat=EEE MMM dd HH:mm:ss z yyyy|
cmdType=$cmdType$|externalId=$id$| 
execTime=$executionTime.time$|
dstServiceName=$database.name:20$|
srcHost=$sourceHost:30$|execProgram=$execProgram:20$| 
cmdType=$cmdType:15$|oper=$operation:225$| 
accessedObj=$accessedObjects.name:200$
    log.format.header.custom=LEEF:1.0|
Sentrigo|Hedgehog|$serverVersion$|$rules.name:150$| 
log.format.header.escaping.custom=\\| 
log.format.header.seperator.custom=, 
log.format.header.escape.char.custom=\\ 
log.format.body.escaping.custom=\= 
log.format.body.escape.char.custom=\\ 
log.format.body.seperator.custom=| 
log.format.empty.value.custom=NULL 
log.format.length.value.custom=10000 
log.format.convert.newline.custom=true
  4. カスタム・プロパティー・ファイルを保存します。
  5. Sentrigo Hedgehog サービスを停止して再始動し、 log.format の変更を実装します。

    これで、 QRadarでログ・ソースを構成できます。

  6. Sentrigo Hedgehog デバイスからイベントを受信するように QRadar を構成するには、 「ログ・ソース・タイプ」 リストから、 「Sentrigo Hedgehog」 オプションを選択します。

    Sentrigo Hedgehog について詳しくは、ベンダーの資料を参照してください。