QRadar と通信するための Oracle RDBMS OS 監査レコードの構成

IBM QRadar用の Oracle RDBMS OS 監査レコード DSM を使用すると、ローカル・オペレーティング・システム・ファイルに保管されている監査レコードをモニターできます。

このタスクについて

ローカル・オペレーティング・システム・ディレクトリーで監査イベント・ファイルが作成または更新されると、 Perl スクリプトによって変更が検出され、データが QRadarに転送されます。この Perl スクリプトは監査ログ・ファイルをモニターし、複数行のログ項目をすべて結合して 1 つのログ項目にすることで、ログが行単位で転送されないようにします。このフォーマットは、ログ・ファイル内のフォーマットと一致します。その後、Syslog を使用してログが QRadarに送信されます。 Oracle RDBMS OS 監査レコード用に作成された Perl スクリプトは、 Linux® または UNIX サーバーでのみ機能します。 Windows ベースの Perl インストールはサポートされていません。

手順

IBM サポート Web サイト (https://www.ibm.com/support/fixcentral) にアクセスして、以下のスクリプトをダウンロードします。
QRadar 7.4.0 - 7.4.0-QRADAR-SCRIPT-oracle_osauditlog_fwdr_5.3.tar.gz (https://www.ibm.com/support/fixcentral/swg/selectFixes?parent=IBM%20Security&product=ibm/Other+software/IBM+Security+QRadar+SIEM&release=All&platform=All&function=fixId&fixids=7.4.0-QRADAR-SCRIPT-oracle_osauditlog_fwdr_5.3.tar.gz&includeSupersedes=0)
以下のコマンドを入力して、ファイルを解凍します。

tar -zxvf oracle_osauditlog_fwdr_5.3.tar.gz
Perl スクリプトを、Oracle サーバーをホストするサーバーにコピーします。

注: Perl 5.8 は、 Oracle サーバーをホストするデバイスにインストールする必要があります。 Perl 5.8 がインストールされていない場合は、Oracle OS Audit スクリプトを開始しようとすると、ライブラリー・ファイルが欠落していることが示されます。続行する前に、Perl 5.8 がインストールされていることを確認します。
Oracle ホストに、SYS または root 権限を持つ Oracle ユーザーとしてログインします。
ORACLE_HOME (RACLE_HOME) 環境変数と ORACLE_SID (RACLE_SID) 環境変数がデプロイメントに対して適切に構成されていることを確認します。
以下のファイルを開きます。

${ORACLE_HOME}/dbs/init${ORACLE_SID}.ora
Syslog の場合、以下の行をファイルに追加します。

*.audit_trail=os *.audit_syslog_level=local0.info
以下のディレクトリーに対する読み取り/書き込み権限がアカウントにあることを確認します。

/var/lock/ /var/run/
Oracle データベース・インスタンスを再始動します。
OS Audit DSM スクリプトを開始します。

oracle_osauditlog_fwdr_5.3.pl -t target_host -d logs_directory

Oracle サーバーを再始動するとき場合は、スクリプトを再始動する必要があります。

oracle_osauditlog_fwdr.pl -t target_host -d logs_directory

Oracle OS Audit コマンド・パラメーターについて詳しくは、 Oracle RDBMS OS 監査レコード・コマンド・パラメーターを参照してください。

次に実行するタスク

QRadarでログ・ソースを構成します。 Oracle OS 監査ログ・ソース・パラメーターについて詳しくは、 Oracle RDBMS OS 監査レコードの Syslog ログ・ソース・パラメーターまたは Oracle RDBMS OS 監査レコードのログ・ファイル・ログ・ソース・パラメーターを参照してください。