osquery ログ・ソース・パラメーター
TCPQRadar Console のマルチラインSyslogプロトコルを使用してosqueryのログソースを追加する際は、特定のパラメータを使用する必要があります。
注: QRadarでログ・ソースを追加した後に、rsyslog を再始動しなければならない場合があります。
以下の表では、osquery から TCP 複数行 syslog イベントを収集するために特定の値を必要とするパラメーターについて説明しています。
| パラメーター | 値 |
|---|---|
| Log Source type | osquery |
| Protocol Configuration | TCP 複数行 Syslog |
| Log Source Identifier | osquery |
| Listen Port | 12468 |
| Aggregation Method | ID でリンク (ID-Linked) |
| Message ID Pattern | "Unique_ID":¥"(.*?)" |
| Event Formatter | フォーマットしない (No Formatting) |
| Show Advanced Options | はい |
| Use As A Gateway Log Source | このオプションを選択します。 これを選択すると、ログ・ソースから送信されるイベントを、イベントにタグ付けされたソース名に応じて、別のログ・ソースにルーティングすることができます。 |
| Retain Entire Lines During Event Aggregation | このオプションを選択します。 このオプションを選択すると、同じ ID パターンを持つイベントを連結するときに、 Message IDPattern の前に来るイベントの部分を破棄するか保持することができます。 |
| Time Limit | 5 |
| Enabled | ログ・ソースを有効にするには、このオプションを選択します。 |
TCP のマルチラインSyslogプロトコルのパラメータとその値の完全な一覧については、 TCP の「マルチラインSyslogプロトコルの設定オプション」 を参照してください。