配置 IBM QRadar Packet Capture 以与 QRadar 通信

要收集 IBM® QRadar® Packet Capture 事件，必须配置到远程系统日志服务器的事件转发。

1. 使用 SSH 以 root 用户身份登录到 IBM QRadar Packet Capture 设备。
2. 选择下列其中一个选项以启用系统日志。
   1. 选项 1: 在文本编辑器中打开 /etc/rsyslog.conf 文件，例如 vi:

      vi /etc/rsyslog.conf

      然后在文件末尾添加以下行:

      *.* @@<QRadar Event collector IP>:514

   2. 选项 2: 在 /etc/rsyslog.d/ 目录中创建 <filename>.conf 文件，然后将以下行添加到您创建的文件:

      *.* @@<QRadar Event collector IP>:514

3. 通过输入以下命令重新启动 Syslog 服务:

   service rsyslog restart

   将消息日志发送到 QRadar Event Collector 并保存本地副本。

   注: QRadar 仅解析 IBM QRadar Packet Capture 的 LEEF 事件。 在 QRadar中的 日志活动 选项卡上， 事件名称 显示为 IBM QRadar Packet Capture Message ， 低级别类别 显示为所有其他事件的 存储 。