Configurando o Epic SIEM 2022 para se comunicar com o QRadar

Para coletar eventos no IBM QRadar, deve-se configurar os valores da fila de mensagens em seu sistema Epic SIEM 2022.

Procedimento

  1. Crie duas filas customizadas seguindo as etapas em Criar uma fila de interconexão.
    Importante: Verifique se a fila EMPSYNC é síncrona e a fila EMPASYNC é assíncrona.
    Insira EMP como Tipo de Fila para ambas as filas.
  2. Configure uma nova instância de interconexão com base no caso de uso SIEM.
  3. Configure o protocolo Syslog .
  4. Clique em Definições do sistema Epic (%ZeUSTBL ou Acesso ao aplicativo Epic) > Sistemas de clientes > Definições do sistema Epic.
    Importante: Definições do Sistema Epic são acessíveis apenas para administradores do sistema...
  5. Clique em Segurança > Opções de auditoria > Configurações do SIEM Syslog.
  6. Selecione SIEM Syslog Configuratione configure os parâmetros a seguir:
    Parâmetro Valor
    Host do SIEM O nome do host ou o endereço IP do QRadar Event Collector
    Porta do SIEM 514
    Formato do SIEM LEEF (Log Event Extended Format)
    Resposta TCP Não
    Caracteres Finais ENDTAGNULL.

    A tag <SyslogEnd> é enviada e, em seguida, 10.
    A partir de agosto de 2023: Usar TLS
  7. Retornar ao Menu de configurações do SIEM Syslog.
  8. Se você quiser reduzir o tráfego que entra em seu sistema SIEM, desative os eventos de auditoria que seu sistema não requer:
    1. Clique em Opções de Configuração do Syslog SIEM > Editar Lista de Eventos
    2. Na Lista de eventos de edição, selecione T para cada evento que você deseja desativar.
    3. Clique em Q para sair
  9. Selecione SIEM Syslog e configure-o para Ativado.
    Importante: o daemon SIEM Syslog Enviar é iniciado automaticamente quando o ambiente é configurado como runlevel Up ou quando você ativa SIEM Syslog. Se você desejar parar o daemon, no menu Configurações de syslog do SIEM, clique em Syslog do SIEM e configure-o como Desativado.