QRadar と通信するための Suricata の構成

イベントを IBM QRadarに送信するには、Syslog 統合を構成する必要があります。

始める前に

Suricata デバイスにアクセスできる必要があります。また、構成ファイルへの書き込みおよびサービスの再始動を許可されている必要があります。 Suricata をインストールしたシステムのユーザー名とパスワード (Windows や Linux® のログイン情報など) が必要です。

Suricata をインストールしたシステムに rsyslog がインストールされていることを確認します。詳しくは、 rsyslog Web サイト (https://www.rsyslog.com) を参照してください。

Suricata デバイスにログインします。
Suricata インストール・ディレクトリーにある、 suricata.yamlという名前の Suricata 構成ファイルを開きます。 outputs ヘッダーの下の eve-log エントリーを更新します。
以下の例を参考にしてください。
```
outputs:
  - eve-log:
    enabled: yes
    filetype: syslog
    identity: “suricata”
    facility: <facility>
    types:
      - alert:
```
<facility> 変数は、 local0 と local7の間の Syslog ファシリティー名 ( local5など) です。
/etc/rsyslog.conf という名前の rsyslog 構成ファイルを開き、アラートを QRadarに送信する転送ルールを追加します。
以下の例を参考にしてください。
<facility>.* @@<QRadar IP/hostname>:514

<facility> 変数は、前のステップで構成したのと同じ Syslog ファシリティです。 <QRadar IP/hostname> は、Suricata アラートの転送先とする QRadar Console または管理対象ホストの IP またはホスト名です。
Suricata サービスと rsyslog サービスを再始動します。