Como enviar Disconnected Log Collector métricas de funcionamento para QRadar

Se você usar TLS em vez de TCP, poderá habilitar métricas para rastrear o número de arquivos acumulados e a taxa de eventos por segundo IBM Disconnected Log Collector (EPS) enviados para IBM QRadar. Disconnected Log Collector envia as métricas como eventos para QRadar, onde é possível criar regras para reagir às métricas.

Também, Disconnected Log Collector envia um evento para QRadar para notificar quando o certificado do cliente está prestes a expirar. Por padrão, o evento é enviado 14 dias antes da expiração do certificado.

Procedimento

  1. Faça login no computador Disconnected Log Collector ou em VM como usuário root.
  2. Abra o arquivo /opt/ibm/si/services/dlc/conf/config.json em um editor de texto.
  3. Defina o parâmetro DLCMetricsEventsEnabled como true.
  4. No parâmetro tls.keystoreexpirywindow , digite o aviso de número de dias a ser dado antes de o certificado do cliente expirar.
  5. Salve o arquivo e feche-o.
  6. Reiniciar Disconnected Log Collector digitando o seguinte comando:
    systemctl restart dlc

Resultados

Disconnected Log Collector começa a enviar eventos de métricas para QRadar. O nome do evento é DLC Metrics.