Linux システムでの osquery の構成

QRadarでログ・ソースを追加する前に、 Linux デバイスで osquery を構成する必要があります。

1. qradar.pack.conf ファイルを IBM Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードします。
2. qradar.pack.conf ファイルを osquery ホストにコピーします。 例えば、 <location_of_pack_file>/qradar.pack.conf のように指定します。
3. osquery.conf ファイルを編集します。 デフォルトのファイル・ロケーションは /etc/osquery/osquery.confです。
   1. 以下のオプションが osquery.conf ファイルに含まれていることを確認します。

      "disable_logging": "false"
       "disable_events" : "false"
       "logger_plugin": "filesystem,syslog"
      

   2. qradar.pack.conf を osquery.conf ファイルに追加します。

      "qradar": "/<path_to_packs>/qradar.pack.conf"

   例 <osquery>.conf file:

   { // Configure the daemon below: "options": {    "disable_logging": "false",    "disable_events" : "false",    "logger_plugin": "filesystem,syslog",    "utc": "true" }, "packs": {   "qradar": "<location_of_pack_file>/qradar.pack.conf" }}

   注: qradar.pack.conf ファイルには、 QRadar パックのデフォルトのファイル保全性モニターを定義する “file_paths” セクションが含まれています。 お客様の <osquery>.conf ファイル内で定義される “file_paths” は、 qradar.pack.conf ファイルより優先されます。
4. osquery デーモンを再始動します。