TCP を介した QRadar への Syslog データの送信

UDP ではなく TCP 経由で QRadar® 状況サーバーに Syslog データを送信する場合。 このオプションは、 IBM® QRadar コンソールの宛先マネージャーでも指定する必要があります。

このタスクについて

デフォルトでは、ログ・ソースは TCP によって送信されます。 状況サーバー・メッセージは UDP によって送信されます。

手順

  1. \IBM\WinCollect\samples ディレクトリーで update_updtTemplate.xml テンプレートを見つけます。
  2. テンプレートのコピーを保存して、 update_ChangeUDPtoTCP.xmlという名前を付けます。
  3. ファイルを変更します。
    1. エージェント構成定義ファイル (AgentConfigDefinition.xml) を開き、 Protocol パラメーターを見つけます。
      重要: AgentConfigDefinition.xml ファイルは変更しないでください。
      ProtocolパラメーターはTypeDefオブジェクト内にあります。これは、すべてのオブジェクトがデフォルト値で呼び出すことができることを意味します。 StatusServer 内のAgentCoreオブジェクトにはProtocolパラメーターがあり、デフォルト値はUDPです。 子オブジェクトを参照するには、スラッシュ (/) を使用します。
      AgentConfigDef.xml
      エージェント構成ファイル
    2. スクリプト内のオブジェクト・パスを AgentCore/StatusServerに変更し、 Protocol パラメーターを TCPに変更し、説明を Changing status server protocol to TCPに変更します。
      最終的なスクリプトは以下のようになります。
      <?xml version="1.0" encoding="UTF-8"?>
<WinCollectScript version="10.0">
    <Update objPath="AgentCore/StatusServer" setParam="Protocol" value="TCP" />
</WinCollectScript>
  4. Save the update_ChangeUDPtoTCP.xml file and move it to the \IBM\WinCollect\patch directory.
    数秒後、ファイルが消え、エージェントが再始動されます。 古いagentconfig.xml ファイルがバックアップ・ディレクトリー(patch_checkpoint_xxxx) に移動されます。