QRadar 에 syslog 이벤트를 전송하도록 IBM AIX Audit DSM 구성

IBM® AIX® 감사 디바이스에서 syslog 감사 이벤트를 수집하려면 IBM AIX 디바이스의 감사 로그 출력을 IBM QRadar Console 또는 Event Collector로 경로 재지정하십시오.

1. IBM AIX 어플라이언스에 로그인하십시오.
2. 감사 구성 파일을 여십시오.

   /etc/security/audit/config

3. 시작 섹션을 편집하여 binmode 요소를 사용 안함으로 설정하고 streammode 요소를 사용으로 설정하십시오.

   binmode = off

   streammode = on

4. 감사할 클래스를 지정하려면 클래스 섹션을 편집하십시오.
5. 구성 변경사항을 저장하십시오.
6. streamcmds 파일을 여십시오.

   /etc/security/audit/streamcmds

7. 다음 행을 파일에 추가하십시오.

   /usr/sbin/auditstream | /usr/sbin/auditselect -m -e "command != logger && command != auditstream && command != auditpr && command != auditselect"|auditpr -t0 -h eclrRdi -v |awk -u 'NR%2{printf "%s ",$0;next}{print;}' | /usr/bin/logger -p local0.debug -r &

8. 구성 변경사항을 저장하십시오.
9. QRadar Console 또는 Event Collector의 디버그 항목 및 IP 주소를 지정하도록 syslog 구성 파일을 편집하십시오.

   *.debug @ip_address

   팁: 탭은 *.debug를 IP 주소와 구분해야 합니다.
10. 구성 변경사항을 저장하십시오.
11. syslog 구성을 다시 로드하십시오.

    refresh -s syslogd

12. IBM AIX 어플라이언스에서 감사 스크립트를 시작하십시오.

    audit start