Samhain 이벤트를 수집하기 위해 syslog 구성

syslog를 사용하여 Samhain HIDS와 통합하도록 IBM QRadar 를 구성하기 전에 로그를 QRadar 시스템으로 전달하도록 Samhain HIDS 시스템을 구성해야 합니다.

이 태스크에 대한 정보

다음 프로시저는 기본 samhainrc 파일을 기반으로 합니다. samhainrc 파일이 수정되는 경우, 일부 값은 다를 수 있습니다(예: syslog 기능).

프로시저

  1. 명령행 인터페이스에서 Samhain HIDS에 로그인하십시오.
  2. 다음 파일을 여십시오.

    /etc/samhainrc

  3. 다음 행에서 주석 마커 (#) 를 제거하십시오.

    SetLogServer=info

  4. 파일을 저장하고 종료하십시오.

    경보가 syslog를 사용하여 로컬 시스템에 전송됩니다.

  5. 다음 파일을 여십시오.

    /etc/syslog.conf

  6. 다음 행을 추가하십시오.

    local2.* @<IP Address>

    여기서 <IP Address> 는 QRadar의 IP 주소입니다.

  7. 파일을 저장하고 종료하십시오.
  8. syslog를 다시 시작하십시오.

    /etc/init.d/syslog restart

    Samhain은 syslog를 사용하여 로그를 QRadar에 보냅니다.

    이제 QRadar에서 Samhain HIDS DSM을 구성할 준비가 되었습니다. Samhain에서 이벤트를 수신하도록 QRadar 를 구성하려면 다음을 수행하십시오.

  9. 로그 소스 유형 목록에서 Samhain HIDS 옵션을 선택하십시오.