ログをホストの syslog デーモンに送信するように FreeRADIUS を構成し、イベントを QRadarに送信するようにデーモンを構成します。
始める前に
syslog 構成および Linux® ディストリビューションに関する実用的な知識が必要です。
このタスクについて
FreeRADIUS には複数のディストリビューションがあります。 以下の手順で説明するように、ファイルが同一の場所にない場合があります。 例えば、FreeRADIUS の始動スクリプトの場所はディストリビューションに基づいています。 概念的には、構成ステップはすべてのディストリビューションで同じです。
手順
- FreeRADIUS をホストしているシステムにログインします。
- /etc/freeradius/radius.conf ファイルを編集します。
- ファイル内のテキストを以下の行に一致するように変更します。
logdir = syslog
Log_destination = syslog
log{
destination = syslog
syslog_facility = daemon
stripped_names = no
auth = yes
auth_badpass = no
auth_goodpass = no
}
- /etc/syslog.conf ファイルを編集します。
- ログ・オプションを構成するには、以下のテキストを追加します。
# .=notice は、認証メッセージ (L_AUTH) をログに記録します。# <facility_name>.=notice @<IP_address_of_QRadar_Event_Collector_or_QRadar_Console>
# .=err は、FreeRADIUS のモジュール・エラーをログに記録します。#<facility_name>.=err @<IP_address_of_QRadar_Event_Collector_or_QRadar_Console>
# .* は、同じターゲットへのメッセージをログに記録します。# <facility_name>.* @<IP_address_of_QRadar_Event_Collector_or_QRadar_Console>
syslog ファシリティー名の例としては、local1 があります。 この名前は変更可能です。
ログ・オプションを構成するには、@ シンボルを含むアクティブ行のいずれかからコメント・タグ (#) を削除します。
- 構成変更が自動的にロードされない場合は、syslog デーモンを再始動します。 syslog デーモンの再始動方法は、使用しているディストリビューションによって異なります。 以下の表に、可能な方法を示します。
| オペレーティング・システムの配布 |
デーモンを再始動するコマンド |
|---|
| Red Hat Enterprise Linux |
service syslog restart |
| Debian Linux または Ubuntu Linux |
/etc/init.d/syslog の再始動 |
| FreeBSD オペレーティング・システム |
/etc/rc.d/syslogd の再始動 |
- 以下のオプションを FreeRADIUS 始動スクリプトに追加します。
-l syslog-g <facility_name>
-g 値は、ステップ 5 のファシリティー名と一致している必要があります。
- FreeRADIUS を再始動します。