UDP 複数行 Syslog イベントの IPtables の構成

IBM QRadarで UDP 複数行 Syslog イベントを収集する場合、標準 UDP 複数行ポート 517 または未使用の使用可能なポートにイベントを直接送信できないことがあります。 このエラーが発生する場合は、IPTables を使用して、ポート 514 からデフォルト・ポートである 517、または任意の代替ポートに、イベントをリダイレクトする必要があります。 SunOne LDAP サーバーから UDP 複数行 Syslog イベントを受信する QRadar Console または QRadar Event Collector ごとに、 IPtables を構成する必要があります。 その後、ログの受信元となる SunOne LDAP サーバーの IP アドレスごとに構成を行う必要があります。

1. SSH を使用して、root ユーザーとして QRadar にログインします。

   ログイン: root

   パスワード: password

2. 以下のコマンドを入力して、IPtables ファイルを編集します。

   vi /opt/qradar/conf/iptables-nat.post

   IPtables NAT 構成ファイルが表示されます。

3. 以下のコマンドを入力して、UDP ポート 514 から UDP ポート 517 に syslog イベントをリダイレクトするように QRadar に指示します。

   -A PREROUTING -p udp --dport 514 -j REDIRECT --to-port <new-port> -s <IP address>

   各項目の意味は次のとおりです。

   IP address は、SunOne LDAP サーバーの IP アドレスです。

   New port は、SunOne LDAP 用に UDP 複数行プロトコルで構成されているポート番号です。

   イベントを QRadar Console または Event Collectorに送信する SunOne LDAP IP アドレスごとにリダイレクトを含める必要があります。 例:

   -A PREROUTING -p udp --dport 514 -j REDIRECT --to-port 517 -s <IP_address>

4. IPtables NAT 構成を保存します。

   これで、 SunOne LDAP サーバーからのイベントを受け入れるように QRadar Console または Event Collector 上の IPtables を構成する準備ができました。

5. 以下のコマンドを入力して、IPtables ファイルを編集します。

   vi /opt/qradar/conf/iptables.post

   IPtables 構成ファイルが表示されます。

6. 以下のコマンドを入力して、 SunOne LDAP サーバーからの通信を許可するように QRadar に指示します。

   -I QChain 1 -m udp -p udp --src <IP_address> --dport <New port> -j ACCEPT

   各項目の意味は次のとおりです。

   IP address は、SunOne LDAP サーバーの IP アドレスです。

   New port は、SunOne LDAP 用に UDP 複数行プロトコルで構成されているポート番号です。

   イベントを QRadar Console または Event Collectorに送信する SunOne LDAP IP アドレスごとにリダイレクトを含める必要があります。 例:

   -I QChain 1 -m udp -p udp --src <IP_address> --dport 517 -j ACCEPT

7. 以下のコマンドを入力して、 QRadar内の IPtables を更新します。

   ./opt/qradar/bin/iptables_update.pl