Internet System Consortium (ISC) BIND 用の IBM
QRadar DSM は、ISC BIND デバイスから Syslog イベントを収集します。
QRadarと通信するように ISC BIND を構成するには、以下のステップを実行します。
このタスクについて
イベントを QRadarに転送するように ISC BIND デバイスで syslog を構成することができます。
手順
- ISC BIND デバイスにログインします。
- 以下のファイルを開いて、logging 節を追加します。
named.conf
logging {
channel <channel_name> {
syslog <syslog_facility>;
severity <critical | error | warning | notice | info | debug [level ] | dynamic
>;
print-category yes;
print-severity yes;
print-time yes;
};
category queries {
<channel_name>;
};
category notify {
<channel_name>;
};
category network {
<channel_name>;
};
category client {
<channel_name>;
};
};
For Example:
logging {
channel QRadar {
syslog local3;
severity info;
};
category queries {
QRadar;
};
category notify {
QRadar;
};
category network {
QRadar;
};
category client {
QRadar;
};
};
- ファイルを保存して終了します。
- ISC BINDで選択した機能を使用して QRadar にログを記録するように syslog 構成を編集します。
<syslog_facility>.* @<IP_address>
ここで、 <IP Address> は QRadarの IP アドレスです。
例:
local3.* @<IP_address>
注: QRadar は、重大度レベルが info 以上のログのみを解析します。
- 以下のサービスを再始動します。
service syslog restart
service named restart
次に実行するタスク
ログ・ソースを QRadarに追加します。