QRadar と通信するための Symantec Endpoint Protection の構成

QRadarで Symantec Endpoint Protection ログ・ソースを追加する前に、syslog イベントを転送するように Symantec Endpoint Protection デバイスを構成する必要があります。

手順

  1. Symantec Endpoint Protection Manager システムにログインします。
  2. 左側のペインで、 「管理」 アイコンをクリックします。
  3. 「サーバーの表示」 ペインの下部で、 「サーバー」をクリックします。
  4. 「サーバーの表示」 ペインで、 「ローカル・サイト」をクリックします。
  5. 「タスク」 ペインで、 「外部ロギングの構成」をクリックします。
  6. 「汎用 (Generals)」 タブで、 「Syslog サーバーへのログの送信を有効にする (Enable Transmission of Logs to a Syslog Server)」 チェック・ボックスを選択します。
  7. 「Syslog サーバー (Syslog Server)」 フィールドに、ログを解析する QRadar の IP アドレスを入力します。
  8. 「UDP 宛先ポート (UDP Destination Port)」 フィールドに 514と入力します。
  9. 「ログ機能」 フィールドに、 6と入力します。
  10. 「ログ・フィルター」 タブの 「管理サーバー・ログ」の下で、 「監査ログ」 チェック・ボックスを選択します。
  11. 「クライアント・ログ」 ペインで、 「セキュリティー・ログ」 チェック・ボックスを選択します。
  12. 「クライアント・ログ」 ペインで、 「リスク」 チェック・ボックスを選択します。
  13. 「OK」をクリックします。