VMware ESX サーバーおよび ESXi サーバーでの syslog の構成

VMwareの syslog イベントを収集するには、syslogd を使用して ESXi サーバーから IBM QRadarにイベントを転送するようにサーバーを構成する必要があります。

手順

  1. VMware vSphere Client にログインします。
  2. VMware インベントリーを管理するホストを選択します。
  3. 「構成」 タブをクリックします。
  4. 「ソフトウェア」 ペインで、 「拡張設定」をクリックします。
  5. ナビゲーション・メニューで、 「Syslog」をクリックします。
  6. 以下のパラメーターの値を構成します。
    表 1. VMware syslog プロトコルのパラメーター

    パラメーター

    ESX バージョン

    説明
    Syslog.Local.DatastorePath

    ESX、または ESXi 3.5.x または 4.x

    ESXi サーバー上のローカル syslog メッセージのディレクトリー・パスを入力します。

    デフォルトのディレクトリー・パスは [] /scratch/log/messagesです。
    Syslog.Remote.Hostname

    ESX、または ESXi 3.5.x または 4.x

    QRadarの IP アドレスまたはホスト名を入力します。
    Syslog.Remote.Port

    ESX、または ESXi 3.5.x または 4.x

    ESXi サーバーが syslog データの転送に使用するポート番号を入力します。

    デフォルトはポート 514 です。
    Syslog.global.logHost

    ESXi v5.x、ESXi v6.x または ESXi v7.x

    ESXi サーバーが syslog データの転送に使用する URL とポート番号を入力します。

    例:

    udp://<QRadar IP address>:514

    tcp://<QRadar IP address>:514
  7. 構成を保存するには、 「OK」 をクリックします。

    VMware ESXi v5.x上のデフォルトのファイアウォール構成。 VMware ESXi v6.x および VMware ESXi v7.x サーバーは、デフォルトで発信接続を無効にします。 発信 syslog 接続が無効になっていると、内部 syslog フォワーダーによる QRadarへのセキュリティー・イベントおよびアクセス・イベントの送信が制限されます。