Enviando dados syslog para o QRadar sobre TCP

Você deseja enviar dados Syslog para seu servidor de status QRadar® sobre TCP, em vez de UDP. Essa opção também deve ser especificada no Gerenciador de Destino no console do IBM® QRadar .

1. Localize o modelo update_updtTemplate.xml no diretório \IBM\WinCollect\samples .
2. Salve uma cópia do modelo e nomeie-a update_ChangeUDPtoTCP.xml.
3. Modifique o arquivo:
   1. Abra o arquivo de definição de configuração do agente (AgentConfigDefinition.xml) e localize o parâmetro Protocol
      Importante: não modificar o arquivo AgentConfigDefinition.xml .

      O parâmetro Protocol está no objeto TypeDef, o que significa que todo objeto pode requerer o valor padrão. O objeto StatusServer no AgentCore tem um parâmetro Protocol, com um valor padrão de UDP. Para referir-se a um objeto-filho, use uma barra (/).

      

      
   2. Altere o caminho de objeto em seu script para AgentCore/StatusServer, o parâmetro Protocol para TCPe a descrição para Changing status server protocol to TCP.
      O script final é semelhante a este:

      <?xml version="1.0" encoding="UTF-8"?>
      <WinCollectScript version="10.0">
          <Update objPath="AgentCore/StatusServer" setParam="Protocol" value="TCP" />
      </WinCollectScript>

4. Save the update_ChangeUDPtoTCP.xml file and move it to the \IBM\WinCollect\patch directory.
   Após alguns segundos, o arquivo desaparece e o agente reinicia. O arquivo agentconfig.xml antigo é movido para o diretório de backup (patch_checkpoint_xxxx).