通信に使用する Netgate pfSense の構成 QRadar

Syslog メッセージを IBM QRadarに送信するには、リモート・ログ・サーバーを指定するように Netgate pfSense リモート・ロギング・オプションを構成する必要があります。

1. Netgate pfSense デバイスにログインします。
2. Netgate pfSense のリモート・ロギング・オプションを構成します。
   1. 「状況」 >「 システム・ログ」を選択します。
   2. 「設定」 タブをクリックして、 「リモート・ロギング・オプション」 セクションに移動します。
   3. 「ソース・アドレス」を選択するか、デフォルトを使用します。
   4. 「IP プロトコル」 を選択するか、デフォルトを使用します。
   5. 「リモート・ログ・サーバー」 オプション・セクションで、 「システム・イベント」、 「ファイアウォール・イベント」、 「DNS イベント」を有効にします。 および DHCP イベント。
   重要: 「システム・イベント」 ロギング・オプションが有効になっている場合、Netgate pfSense のパッケージによってインストールされる追加サービスがログ・メッセージをシステム・ログに出力する可能性があるため、 「不明」 イベントまたは 「保管済み」 イベントが発生することがあります。 Netgate pfSense 用に使用可能なパッケージは多数あるため、DSM は、デバイスの基本インストール済み環境をサポートするために開発されています。 この場合は、DSM エディターを使用して、ユーザーがインストールしたパッケージが原因で発生した「不明」イベントまたは「保管」イベント用のカスタム構文解析を作成できます。 DSM エディターについて詳しくは、 IBM QRadar Administration Guideを参照してください。

   Important: DHCP イベントが有効になっている場合、DHCP イベントを正規化するために、QRadar® で Linux® DHCP ログ ソースを作成する必要があります。 Linux DHCP ログ・ソースは、Netgate pfSense ログ・ソースの後の構文解析順序になるように配置する必要があります。 詳しくは、 Linux DHCP 用の Syslog ログ・ソース・パラメーター および ログ・ソース構文解析順序の追加を参照してください。

   重要: Snort イベントまたは Suricata イベントを QRadar に送信したが、ログ・ソースが自動的に検出されない場合は、 QRadar Console で Snort ログ・ソースを追加してください。詳しくは、 オープン・ソース SNORT の Syslog ログ・ソース・パラメーターを参照してください。

   重要: DNS ログが QRadarに正しく送信されるようにするには、以下の手順を実行します。 以下の手順は、アンバインドされた DNS リゾルバー (Netgate pfSenseで構成されたデフォルトの DNS サービス) にのみ適用されます。 アンバインドではなく BIND を実行している場合、これらのステップは適用されません。

   1. 「サービス」 > 「DNS リゾルバー」に移動します。
   2. 「一般設定」タブで、「カスタム・オプション」までスクロールダウンします。
   3. カスタム・オプションに以下の行を追加します。

      server:
           log-replies:yes

   4. セーブをクリック。
   5. Netgate pfSense が DNS ログを生成していることを確認するには、 「状況」 > 「システム・ログ」に移動します。
3. オプション: ログを Netgate pfSense システム・ログに出力するように Snort サービスを構成します。
   1. 「サービス」 > 「Snort」を選択します。
   2. 「Snort インターフェース」 タブで、 「この Snort インターフェース・マッピングの編集」 (鉛筆アイコン) をクリックします。
   3. 「アラート設定 (Alert Settings)」 セクションで、 「システム・ログへのアラートの送信 (Send Alerts to System Log)」を有効にします。
   4. 「保存」をクリックします。
   5. 「Snort インターフェース」 タブで、 「このインターフェースで Snort を再始動」をクリックします。