BeyondTrust の特権管理をUnix、 Linux、ネットワークデバイスに設定し、それらと通信できるようにする。 QRadar

Linux®、Unix または AIX® オペレーティング・システムを使用している場合は、以下の手順を実行します。

BeyondTrust pblogs は、スクリプトを使用して再フォーマットしてから IBM QRadarに転送する必要があります。 BeyondTrust Privilege Management for Unix、 Linux、Networked Devices アプライアンス用のスクリプトをダウンロードして設定する必要があります。 QRadar にイベントを転送する前に。

手順

  1. 次のファイルを IBM®サポートウェブサイト (http://www.ibm.com/support) からダウンロードしてください:

    pbforwarder.pl.gz

  2. BeyondTrust、 Linux、ネットワークデバイス用のUnix用特権管理をホストするデバイスにファイルをコピーします。
    注： Perl 5.8 は、 BeyondTrust Privilege Management for Unix、 Linux、およびネットワークデバイスをホストするデバイスにインストールする必要があります。
  3. 以下のコマンドを入力して、ファイルを解凍します。

    gzip -d pbforwarder.pl.gz

  4. 以下のコマンドを入力して、スクリプト・ファイルの権限を設定します。

    chmod +x pbforwarder.pl

  5. SSHを使用して、 BeyondTrust、 Linux、およびネットワークデバイス用のUnix特権管理をホストするデバイスにログインします。

    使用する資格情報には、ログ・ファイルに対する読み取り、書き込み、および実行の権限が必要です。

  6. 適切なコマンド・パラメーターを入力します。
    表 1. コマンド・パラメーター

    パラメーター

    説明
    -h

    -h パラメータは、 BeyondTrust、Unix用Privilege Management、 Linux、ネットワークデバイスからのイベントを受信するsyslogホストを定義します。 これは、 QRadar Console または QRadar Event Collectorの IP アドレスです。
    -t

    -t パラメーターは、ログ・ファイルの追跡およびリスナーからの新規出力のモニターにコマンド・ラインが使用されることを定義します。

    UNIX、 Linux、ネットワークデバイスの特権管理については、このコマンドは "pblog -l -t" と指定する必要があります。
    -p

    -p パラメーターは、イベント転送時に使用される TCP ポートを定義します。

    何も指定しない場合、デフォルトはポート 514 です。
    -H

    -H パラメーターは、すべての送信イベントの syslog ヘッダー用のホスト名または IP アドレスを定義します。 これは、 BeyondTrust Unix、 Linux、ネットワークデバイス用のPrivilege ManagementのIPアドレスである必要があります。
    -r

    -r パラメーターは、プロセス ID (.pid) ファイルを作成するディレクトリーの名前を定義します。 デフォルトは /var/runです。

    -D が指定されている場合、このパラメーターは無視されます。
    -l

    -l パラメーターは、ロック・ファイルの作成先ディレクトリーの名前を定義します。 デフォルトは /var/lockです。

    -D が指定されている場合、このパラメーターは無視されます。
    -D

    -D パラメーターは、スクリプトがフォアグラウンドで実行されることを定義します。

    デフォルトの設定では、デーモンとして実行され、ローカルの Syslog サーバーに対するすべての内部メッセージがログに記録されます。
    -f

    -f パラメーターは、syslog 機能を定義し、オプションで、 Event Collectorに送信されるメッセージの重大度を定義します。

    値が指定されていない場合は、user.info が使用されます。
    -a

    -a パラメーターは、 AIX 互換 ps メソッドを有効にします。

    このコマンドは、 BeyondTrust Privilege Management for Unix、 Linux、 AIX システム上のネットワークデバイスを実行する場合のみ必要です。
    -d

    -d パラメーターは、デバッグ・ロギングを有効にします。
    -v

    -v パラメーターは、スクリプトのバージョン情報を表示します。
  7. 以下のコマンドを入力して、 pbforwarder.pl スクリプトを開始します。 以下の例を参考にしてください。
    pbforwarder.pl -h <IP address> -t "pblog -l -t"

    ここで、 <IP address> は、 QRadar または Event Collectorの IP アドレスです。

  8. オプション: スクリプトによる QRadarへのイベント転送を停止する場合は、次のコマンドを入力して pbforwarder.pl スクリプトを停止します。

    kill -QUIT `cat /var/run/pbforwarder.pl.pid`

  9. オプション: スクリプトが接続を失うか動作を停止した場合は、次のコマンドを入力して pbforwarder.pl スクリプトを再接続します。

    kill -HUP `cat /var/run/pbforwarder.pl.pid`

    QRadar BeyondTrust、、ネットワークデバイスから転送されたsyslogイベントからログソースを自動的に検出し作成します。 Linux