Syslog イベントを QRadar に送信するための IBM AIX Audit DSM の構成

IBM® AIX® 監査デバイスから syslog 監査イベントを収集するには、 IBM AIX デバイスからの監査ログ出力を IBM QRadar コンソールまたはイベント・コレクターにリダイレクトします。

このタスクについて

IBM AIX アプライアンス上で、監査構成に含まれるクラスを有効または無効にすることができます。 IBM AIX のデフォルト・クラスは、多数の監査イベントをキャプチャーします。 パフォーマンスの問題を回避するために、IBM AIX アプライアンスを調整して、収集されるクラスの数を減らすことができます。 監査クラスについて詳しくは、ご使用の IBM AIX アプライアンスの資料を参照してください。

手順

  1. IBM AIX アプライアンスにログインします。
  2. 監査構成ファイルを開きます。

    /etc/security/audit/config

  3. 「開始」セクションを編集して binmode エレメントを無効にし、 streammode エレメントを有効にします。
    binmode = off
    streammode = on
  4. 「クラス (Classes)」セクションを編集して、監査対象のクラスを指定します。
  5. 構成変更を保存します。
  6. streamcmds ファイルを開きます。

    /etc/security/audit/streamcmds

  7. 以下の行をファイルに追加します。
    /usr/sbin/auditstream | /usr/sbin/auditselect -m -e "command != logger && command != auditstream && command != auditpr && command != auditselect"|auditpr -t0 -h eclrRdi -v |awk -u 'NR%2{printf "%s ",$0;next}{print;}' | /usr/bin/logger -p local0.debug -r &
  8. 構成変更を保存します。
  9. syslog 構成ファイルを編集して、デバッグ・エントリーと、 QRadar コンソールまたはイベント・コレクターの IP アドレスを指定します。

    *.debug @ip_address

    ヒント: タブで *.debug を IP アドレスから分離する必要があります。
  10. 構成変更を保存します。
  11. Syslog 構成を再ロードします。

    refresh -s syslogd

  12. IBM AIX アプライアンスで監査スクリプトを開始します。

    audit start

次に実行するタスク

IBM AIX 監査 DSM は、 IBM AIX から QRadar に転送された syslog 監査イベントを自動的に検出し、ログ・ソースを作成します。 イベントが自動的に検出されない場合は、手動でログ・ソースを構成できます。