【发布时间】：2018-04-30 16:11:24
【问题描述】：
我想将我在 RHEL/Ubuntu 机器上的所有审核日志推送到另一个实例上配置的 qradar 服务器。有没有办法做到这一点？？
用例 Server-1 有一个 QRadar 实例正在运行 Server-2 拥有我的应用程序，并且已配置日志，并且审核日志也正在写入...
如何配置我的 Server 2 审核日志指向 QRadar Server？？
谢谢
【问题讨论】：
【发布时间】：2018-04-30 16:11:24
【问题描述】：
如果我理解您的问题，您的配置如下。
服务器 1 正在运行 QRadar（我从您的帖子中猜测，它是一个多合一服务器，而不是托管主机或独立控制台）。
服务器 2 是运行任意应用程序的 HA 对的一部分，该应用程序具有正常工作的 rsyslog 或 syslogd。
您希望服务器 2 登录到服务器 1 上的 QRadar。如果这是一个准确的摘要，那么解决方案很简单。
将服务器2的日志设置为服务器1的ip地址。在服务器2的/etc/rsyslog.conf文件中添加一个条目
*.* @10.10.0.8:514
我把 10.10.0.8 放在哪里，你把 QRadar 以太网接口的 IP 地址放在哪里，它是一个事件收集器。
在您的 QRadar 控制台管理选项卡/小程序（取决于 QRadar 的版本）上，您可以转到日志源。使用 UDP 和服务器 1 的 IP 添加通用 LEEF 日志源。保存日志源。
部署更改，您不需要重新启动事件收集服务，但如果提示这样做，如果您有 QRadar 7.3.1，请使用 GUI 或在控制台上在维护窗口中重新启动服务 hostcontext。一堆服务将重新启动。 Tomcat 可以永远重启，所以服务 Tomcat 状态是你的朋友。当 hostcontext 说它重新启动时，检查 Tomcat 和 httpd 服务以确保它们都在运行。
清除浏览器缓存，重新登录。根据服务器的日志记录量和内容，您应该会在大约十分钟左右看到日志，但可能需要更长时间。如果
如果它们没有出现，请检查未解析的日志条目。您可能需要为您的应用程序添加另一个日志源并为服务器设置日志解析顺序......但这是另一个问题。
【讨论】：