Forcepoint V シリーズ Data Security Suite 用の syslog の構成

Forcepoint V-Series Data Security Suite DSM は、syslog を使用してイベントを受け入れます。 IBM QRadar を統合する前に、Data Security Suite (DSS) 管理コンソールで syslog イベントを転送するように Forcepoint V シリーズ・アプライアンスを有効にする必要があります。

手順

  1. ポリシー > ポリシー・コンポーネント > 通知テンプレートを選択します。
  2. 既存の通知テンプレートを選択するか、新規テンプレートを作成します。
  3. 「一般」 タブをクリックします。
  4. 「Syslog メッセージの送信 (Send Syslog Message)」をクリックします。
  5. オプション > 設定 > Syslog を選択して、「Syslog」ウィンドウにアクセスします。

    「Syslog」ウィンドウでは、管理者が組織の syslog のIP アドレス/ホスト名およびポート番号を定義できます。 定義された syslog は Forcepoint Data Security Suite DSS Manager からインシデント・メッセージを受信します。

  6. syslog は以下のフィールドで構成されます。
    DSS Incident|ID={value}|action={display value - max}|urgency= {coded}|policy categories={values,,,}|source={value-display name}|destinations={values...}|channel={display name}|matches= {value}|detaills={value}
    • 「policy categories」の最大長は 200 文字です。
    • 「destinations」の最大長は 200 文字です。
    • 「detaills」および「source」は 30 文字に短縮されます。
  7. syslog がアクセス可能であることを確認するには、 「接続のテスト」 をクリックします。

次に実行するタスク

これで、 QRadarでログ・ソースを構成できます。 構成は完了です。 OSSEC イベントが自動的に検出されると、ログ・ソースが QRadar に追加されます。 OSSEC によって QRadar に転送されたイベントは、 QRadarの 「ログ・アクティビティー」 タブに表示されます。