QRadar と統合するための send Security Alliance LogAgent の構成

Townsend Security Alliance LogAgent から、すべての監査ログおよびシステム・イベントを収集できます。 IBM QRadar LEEF 用に Alliance LogAgent を構成し、syslog サーバーとして QRadar を指定する宛先を構成する必要があります。

手順

  1. Townsend Security Alliance LogAgent アプライアンスにログインします。
  2. コマンド addlible allsy1100を入力して、 ALLSYL100 をライブラリー・リストに追加します。
  3. メインメニューを表示するには、 「go symain」を選択します。
  4. 構成のためのオプションを選択します。
  5. 「 Configure Alliance LogAgent 」を選択し、以下のパラメーターを構成します。
    パラメーター 説明
    Interface version 4=IBM QRadar® リーフ
    Transmit 1=Yes
    Data queue control 1=Yes
    フォーマット 4=IBM QRadar LEEF
  6. 構成メニューから、 「TCP クライアントの処理 (Work With TCP Clients)」を選択します。
  7. オプション 2 を選択して SYSLOGD クライアントを変更し、以下のパラメーターを構成します。
    パラメーター 説明
    状況 1=Active
    Autostart client 1=Yes
    Remote IP address QRadar の IP アドレス
    Remote port number 514
  8. 「構成」 メニューから、 「 LogAgent サブシステムの開始」を選択します。 イベントは QRadarに流れます。

次に実行するタスク

TCP サービスが開始したら、IPL QSTRUP プログラムに次のステートメントを含めることで、Alliance LogAgent サブシステムを自動的に始動することを検討してください。
/* START ALLIANCE LOGAGENT */
QSYS/STRSBS ALLSYL100/ALLSYL100
MONMSG MSGID(CPF0000)

「Independent Auxiliary Storage Pool」操作用のインストール方法および構成方法、およびイベントのフィルター・オプションについて詳しくは、ベンダーの資料を参照してください。