Remerciez-le!

Remerciez @Admin pour avoir partagé cet document gratuitement, de la manière la plus simple, en partageant sur les réseaux sociaux.

Linux inte gration de fichiers logs a qradar

Linux - Intégration de ?chiers logs à QRadar Date de Création Auteur Famara Bodian Code TLP TLP AMBER Version Actuelle Historique des Versions Version Date Modi ?cation Modi ?cation Commentaire par Famara Bodian Version initiale Suricate Solutions CPréavis Ce document a été rédigé en référence au document o ?ciel IBM Security QRadar DSM Con ?guration Guide ? accessible au lien suivant http public dhe ibm com software security products qradar documents iTeamaddendum bdsm guide pdf et à la documentation o ?cielle syslog-ng accessible au lien suivant https www balabit com documents syslog-ng-ose- latestguides en syslog-ng-ose-guide-admin html Introduction La procédure décrite dans ce document permet l ? intégration de logs depuis un ?chier tiers En e ?et il peut arriver qu ? une application spéci ?que enregistre ses logs dans un ?chier séparé plutô t que d ? utiliser directement le service syslog par défaut Le gestionnaire de logs Syslog-NG o ?re un module qui permet de récupérer chaque nouvelle entrée du ?chier log cible et de la transférer à l ? adresse du serveur QRadar Installation de Syslog-NG Si Syslog-NG n ? est pas présent dans le système Linux à con ?gurer il peut s ? installer simplement via le gestionnaire de paquets natif de ce système Con ?guration de Syslog-NG Con ?gurer le démon syslog-ng pour la lecture des logs depuis le ?chier cible en suivant la procédure décrite ci- dessous Procédure Se connecter au serveur Linux en tant que root Créer le ?chier de con ?guration en éditant le ?chier etc syslogng conf d qradar conf Ajouter les lignes suivantes source ?le chemin vers le ?chier destination qradar network port transport tcp mark-freq log source destination qradar avec étant le nom de la source de journal Enregistrer le ?chier de con ?guration Redémarrer le service syslog-ng en exécutant la commande suivante service syslog-ng restart Que Faire Ensuite IBM Security QRadar permet la création d ? une source de log universelle pour l ? intégration de logs dont le format n ? est pas supporté par défaut Suivre la Suricate Solutions Cprocédure décrite ci-dessous pour la création de la source de log universelle sur la console QRadar Procédure Se connecter à la console QRadar Cliquer sur l ? onglet Admin Dans le menu de navigation cliquer sur Data Sources Cliquer sur l ? icô ne Log Sources Cliquer sur Add Au niveau du champ Log Source Name entrer un nom pour la source de log Au niveau du champ Log Source Description taper une description de la source de log Dans la liste Log Source Type sélectionner Universal DSM Dans la liste Protocol Con ?guration sélectionner Syslog Con ?gurer la valeur suivante Paramètre Description Log Source Identi ?er Taper l'adresse IP ou le nom d'hô te de la source de journal en tant qu'identi ?cateur Cliquer sur Save Dans l'onglet Admin cliquer sur Deploy Changes La con ?guration est complète Suricate Solutions C