UDP との通信設定 QRadar

ユーザー・データグラム・プロトコル (UDP) は、単一方向ネットワーク (データ・ダイオードとも呼ばれる) などの単方向通信に適したコネクションレス・プロトコルです。 UDP はスプーフィングの影響を受けやすいため、分離されたセキュアなネットワークでのみ使用する必要があります。 UDP これは IBM Disconnected Log Collector 、イベントログをデプロイメント IBM QRadar に送信するために使用されるデフォルトのプロトコルです。

このタスクについて

イベント・ログ・データは、受信のイベント/秒レートがリアルタイムでのコンピューターの情報リレー能力を超えたときに、その間のみバッファーされます。 Disconnected Log CollectorQRadarの間の接続が失われた場合、イベント・ログ・データはバッファーに入れられません。

手順

  1. Disconnected Log Collector コンピュータまたは VM に root ユーザーとしてログインしてください。
  2. テキスト・エディターで /opt/ibm/si/services/dlc/conf/config.json ファイルを開きます。
  3. destination.type パラメーターに、 UDP (デフォルト) を入力します。
    'destination.type': 'UDP'
  4. destination.ip パラメーターに、 Disconnected Log Collector インスタンスからイベントを受信する Event CollectorEvent Processor、または QRadar Console の IP アドレスまたは完全修飾ドメイン名 (FQDN) を入力します。 例:
    'destination.ip':'192.0.2.0'
  5. config.json ファイルを保存して閉じます。
  6. 次のコマンドを入力して、 Disconnected Log Collector を再始動します。
    systemctl restart dlc

次に実行するタスク

QRadarで Disconnected Log Collector をログ・ソースとして追加に移動します。