通信するためのIBM QRadar Packet Capture の構成 QRadar

IBM® QRadar® Packet Capture イベントを収集するには、リモート syslog サーバーへのイベント転送を構成する必要があります。

1. SSH を使用して、 IBM QRadar Packet Capture デバイスに root ユーザーとしてログインします。
2. 以下のオプションのいずれかを選択して syslog を使用可能にします。
   1. オプション 1: /etc/rsyslog.conf ファイルを vi などのテキスト・エディターで開きます。

      vi /etc/rsyslog.conf

      次に、ファイルの最後に以下の行を追加します。

      *.* @@<QRadar Event collector IP>:514

   2. オプション 2: <filename>.conf ファイルを /etc/rsyslog.d/ ディレクトリーに作成し、作成したファイルに以下の行を追加します。

      *.* @@<QRadar Event collector IP>:514

3. 以下のコマンドを入力して、Syslog サービスを再始動します。

   service rsyslog restart

   メッセージ・ログが QRadar Event Collector に送信され、ローカル・コピーが保存されます。

   注: QRadar は、 IBM QRadar Packet Capture の LEEF イベントのみを解析します。 QRadarの 「ログ・アクティビティー」 タブで、 「イベント名」 が IBM QRadar 「パケット・キャプチャー・メッセージ」 と表示され、他のすべてのイベントの 「下位カテゴリー」 が 「保管済み」 と表示されます。