HashiCorp Vault を設定して QRadar と通信させる

HashiCorp Vaultの監査ログを IBM QRadar® に送信するように設定するには、以下の手順に従ってください。

手順

Vault監査ログのSyslogへの記録を有効にする
1. Vaultは複数の監査タイプイベントをサポートしています。 Syslog監査を有効にするには、ファイル /etc/vault.d/vault.hcl 内のVault設定を変更してください。
```
audit { 
  type = "syslog" 
  options = { 
    tag = "vault_audit" 
    facility = "LOCAL0" // One of type of Audit type log 
  } 
} 
```
2. 設定ファイルを変更した後、以下のコマンドを実行してVaultを再起動することを推奨します。
```
systemctl restart vault 
```
3. Vaultの再起動が正常に完了したかどうかを確認するには、次のコマンドを実行します。
```
systemctl status vault
```
Syslogを設定してイベントを QRadar SIEMに転送する
1. デフォルトでは、 Linux はrsyslogを使用します。 QRadar SIEMイベントコレクターへのイベント転送を設定するには、以下の /etc/rsyslog.conf ファイルを変更するか、 /etc/rsyslog.d/vault.conf ディレクトリにファイルを作成します：
```
local0.*    @@<QRADAR_IP>:514 
```
  - UDP転送には@を、TCP転送には@@を使用してください。
  - 置換<QRADAR_IP>QRadar のSIEMイベントコレクターIPとともに。
  - Local0.*は、ファイル /etc/vault.d/vault.hcl で定義されている施設名です。
  - デフォルトでは、 QRadar のSIEM Syslogプロトコルはポート514のみを監視します。このポートを変更することは推奨されません。
次のコマンドを実行してrsyslogサービスを再起動します。
```
systemctl restart rsyslog
```