特定SIEMのLog Exporterの手順

このセクションでは、ログの最適な受信を行うためのSIEMアプリケーションの設定方法を説明します。

注：

  • クライアント認証を使用する場合、クライアント証明書への完全なパスを指定してください。

  • "共通名"は各証明書で一意の名前にしてください。

Rsyslog

デフォルトでは、RsyslogはRFC 5424タイムスタンプフォーマットを使うよう設定されていません。つまり、Rsyslogサーバで手動で設定を変更し、Log Exporterの出力フォーマットに準拠するようしなければなりません。

  1. /etc/rsyslog.confファイルを編集します:

    vi /etc/rsyslog.conf

  2. コメントがない場合は次の行をコメントします(頭に#を付けます):

    #"$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat"

  3. 次の行をファイルに追加します:

    $ActionFileDefaultTemplate RSYSLOG_SyslogProtocol23Format

  4. ファイルでの変更を保存して終了します。

  5. Rsyslogサービスを再起動します。

    service rsyslog restart

ArcSight

ArcSightではサーバ証明書ファイルの名前は"syslog-ng"にするよう推奨しています。

証明書に名前を付けるには:

キーをP12フォーマットに変換します:

openssl pkcs12 -inkey syslogServer.key -in syslogServer.crt -export -out syslog-ng.p12 -name "syslogng-alias" -password pass:changeit

環境変数ARCSIGHT_HOMEががコネクタのインストールディレクトリであることを確認します:

  1. 証明書マネージャをLinux KDEコンソールで実行します:

    $ARCSIGHT_HOME/current/bin/arcsight agent keytoolgui

  2. ファイルメニューからキーストアを開きます:

    $ARCSIGHT_HOME/current/jre/lib/security/cacerts

    パスワードは"changeit"です。

  3. メニューから、トラスト証明書のインポートを選択します。

  4. ファイルダイアログから、Ca.pemを選択して保存します。

  5. 変更を保存し、証明書マネージャを終了します。

"agent.properties"ファイルを編集して相互認証を有効にするには

  1. ファイルを編集します。

    vi $ARCSIGHT_HOME//current/user/agent/agent.properties

  2. この値をtrueに変えるには:

    syslogng.mutual.auth.enabled=true

  3. 次の行を最後に追加します。

    syslogng.tls.keystore.file=user/agent/syslog-ng.p12

    syslogng.tls.keystore.alias=syslogng-alias

  4. コネクタサービスを再起動します。

    /etc/init.d/arc_connector_name restart

Splunk

  1. サーバ証明書ファイル(PEMフォーマット)を生成します。

    cat syslogServer.crt syslogServer.key RootCA.pem > splunk.pem

  2. inputs.confファイルをSplunkサーバでアップデートします:

    1. ファイルを編集します。

      vi /opt/splunk/etc/apps/<Name of the app, where the configuration is saved>/local/inputs.conf

    2. TLSを使用するよう次の設定を行います。

      [SSL]
serverCert = <Full path to CA PEM file>
sslPassword = <Challenge Password>
requireClientCert = true
[tcp-ssl://<Port>]
index = <Index>

    3. ファイルでの変更を保存して終了します。

  3. server.confファイルをSplunkサーバでアップデートします:

    1. ファイルを編集します。

      vi /opt/splunk/etc/system/local/server.conf

    2. 以下の設定を行います。

      [sslConfig]
sslRootCAPath = <Full path to CA PEM file>

[SSL]
cipherSuite = TLSv1+HIGH:TLSv1.2+HIGH:@STRENGTH

    3. ファイルでの変更を保存して終了します。

  4. Splunkサービスを再起動します。

    /opt/splunk/bin/splunk restart

QRadar

  1. 認証モードフィールドで、TLSとクライアント認証を選択します。

    クライアント認証を使用する場合、クライアント証明書への完全なパスを指定してください。

  2. Check Point証明書と秘密キーをQRadarの同じディレクトリにアップロードします。

  3. 完全なパスをProvide Certificateオプションのアップロードファイルに入力します。