暗号化されたイベントの QRadar への送信

TLS syslog を使用して暗号化されたイベントを IBM® QRadar® に送信するように、 WinCollect のスタンドアロン・デプロイメントでログ・ソースを構成します。 TLS Syslog は、 QRadar バージョン 7.3.1 以降の管理対象 WinCollect デプロイメントでのみサポートされます。

始める前に

QRadarで、TLS Syslog プロトコルを使用するユニバーサル DSM を構成します。 詳しくは、「IBM Security QRadar ログ・ソース・ユーザー・ガイド」を参照してください。

uDSM は、ポートを開き、TLS を使用して通信するために必要な証明書を提供します。 uDSM を削除した場合、TLS 通信は停止します。

手順

  1. SSH を使用して、root ユーザーとして QRadar にログインします。
  2. 証明書 ( -----BEGIN CERTIFICATE----- および -----END CERTIFICATE----- を含む) を /opt/qradar/conf/trusted_certificates/syslog-tls.cert から一時的な場所にコピーします。 この証明書を WinCollect 構成コンソール内に貼り付けます。
  3. WinCollect 構成コンソールで、 「宛先」を展開し、 「宛先の追加」をクリックします。
  4. 「新規宛先名」 ボックスで、宛先の名前を追加し、 「OK」をクリックします。
  5. 新しい宛先を選択し、 「ホスト名」 フィールドにターゲット QRadar アプライアンスの IP アドレスを入力します。
  6. 「ポート」 フィールドに 6514 と入力します。
  7. 「スロットル」 フィールドに、デプロイメントの 1 秒当たりのイベント数 (EPS) レートを入力します。
  8. QRadar からコピーした証明書を 「証明書」 フィールドに貼り付けます。
  9. 「アクション」の下の 「変更のデプロイ」 をクリックします。