Configurando o PingFederate para se comunicar com o IBM QRadar

Para coletar eventos do PingFederate , configure seu PingFederate para enviar eventos CEF para o QRadar.

O IBM QRadar DSM for PingFederate suporta eventos coletados do PingFederate com a ajuda do protocolo Syslog.

Procedimento

  1. Configurar PingFederate para se comunicar com o QRadar seguindo as etapas de configuração no PingFederate log de auditoria de gravação.
  2. Editar log4j2.xml arquivo presente no local- <pf_install>/pingfederate/server/default/conf/log4j2.xml.
  3. Inclua os detalhes abaixo em log4j2.xml.
    <Socket name="SecurityAuditToCEFSyslog" host="<Qradar_host>" port="514" protocol="TCP" ignoreExceptions="false">            <PingSyslogLayout> 
    <PatternLayout>             
       <pattern>%escape{CEF}{CEF:0|Ping Identity|PingFederate|%X{pfversion}|%X{event}|%X{event}|0|rt=%d{MMM dd yyyy HH:mm:ss.SSS} duid=%X{subject} src=%X{ip} msg=%X{status} cs1Label=Target Application URL cs1=%X{app} cs2Label=Connection ID cs2=%X{connectionid} cs3Label=Protocol cs3=%X{protocol} dvchost=%X{host} cs4Label=Role cs4=%X{role} externalId=%X{trackingid} cs5Label=SP Local User ID cs5=%X{localuserid} cs6Label=Attributes cs6=%X{attributes} %n}</pattern>
     </PatternLayout>           
</PingSyslogLayout>       
</Socket>

O que fazer a seguir

Inclua uma origem de log do PingFederate -Syslog no QRadar Para obter mais informações, consulte Parâmetros de origem de log do Syslog para o PingFederate