IBM QRadar と通信するための PingFederate の構成

PingFederate イベントを収集するには、CEF イベントを QRadarに送信するように PingFederate を構成します。

PingFederate 用の IBM QRadar DSM は、Syslog プロトコルを使用して PingFederate から収集されたイベントをサポートします。

手順

  1. PingFederate 監査ログの書き込みの構成手順に従って、 QRadar と通信するように PingFederate を構成します。
  2. <pf_install>/pingfederate/server/default/conf/log4j2.xmlにある log4j2.xml ファイルを編集します。
  3. 以下の詳細を log4j2.xmlに追加します。
    <Socket name="SecurityAuditToCEFSyslog" host="<Qradar_host>" port="514" protocol="TCP" ignoreExceptions="false">            <PingSyslogLayout> 
    <PatternLayout>             
       <pattern>%escape{CEF}{CEF:0|Ping Identity|PingFederate|%X{pfversion}|%X{event}|%X{event}|0|rt=%d{MMM dd yyyy HH:mm:ss.SSS} duid=%X{subject} src=%X{ip} msg=%X{status} cs1Label=Target Application URL cs1=%X{app} cs2Label=Connection ID cs2=%X{connectionid} cs3Label=Protocol cs3=%X{protocol} dvchost=%X{host} cs4Label=Role cs4=%X{role} externalId=%X{trackingid} cs5Label=SP Local User ID cs5=%X{localuserid} cs6Label=Attributes cs6=%X{attributes} %n}</pattern>
     </PatternLayout>           
</PingSyslogLayout>       
</Socket>

次に実行するタスク

QRadarで PingFederate -Syslog ログ・ソースを追加します。 詳しくは、 PingFederateの Syslog ログ・ソース・パラメーターを参照してください。