配置 SIEM 集成设置

默认情况下，不使用 SIEM 集成。您可以启用和禁用 SIEM 集成，并配置相关设置（参见下表）。

SIEM 集成设置

要配置 SIEM 集成设置：

1. 在应用程序控制台树中，打开“日志和通知”节点的上下文菜单。
2. 选择“属性”。

   将打开“日志和通知设置”窗口。

3. 选择“SIEM 集成”选项卡。
4. 在“集成设置”部分中，选择“通过 syslog 协议发送事件到远程 syslog 服务器”复选框。
   

   该复选框可启用或禁用将已发布的事件发送到外部 syslog 服务器的功能。

   如果选中该复选框，则应用程序将根据配置的 SIEM 集成设置将已发布的事件发送到 SIEM 服务器。

   如果清除该复选框，则应用程序不执行 SIEM 集成。如果该复选框已被清除，则无法配置 SIEM 集成设置。

   默认取消选中该复选框。

5. 如果需要，在“集成设置”部分中，选中“删除已被发送到远程 syslog 服务器的事件本地副本”复选框。
   

   该复选框可启用或禁用发送到 SIEM 服务器后日志本地副本的删除。

   如果选中该复选框，则应用程序在事件被成功发布到 SIEM 服务器后删除事件的本地副本。推荐在低性能设备上使用此模式。

   如果清除该复选框，则应用程序仅将事件发送到 SIEM 服务器。日志的副本将继续保存在本地。

   默认取消选中该复选框。

   “删除已被发送到远程 syslog 服务器的事件本地副本”复选框的状态不会影响保存安全日志事件的设置：应用程序永远不会自动删除安全日志事件。

6. 在“事件格式”部分中，指定您要将应用程序事件转换成的格式，以便能够将它们发送到 SIEM 服务器。

   默认情况下，应用程序将它们转换为结构化数据格式。

7. 在“连接设置”部分中：
   • 指定 SIEM 连接协议。
   • 指定用于连接到主 syslog 服务器的设置。

     只能指定 IPv4 格式的 IP 地址。

   • 当无法发送事件到主 syslog 服务器时，如果想让应用程序使用其他连接设置，请选中“如果无法访问主服务器则使用镜像 syslog 服务器”复选框。

     指定以下用于连接到镜像 syslog 服务器的设置：“地址”和“端口”。

     如果已清除“如果无法访问主服务器则使用镜像 syslog 服务器”复选框，则无法编辑镜像 syslog 服务器的“地址”和“端口”字段。

     只能指定 IPv4 格式的 IP 地址。

8. 单击“确定”。

   将应用已配置的 SIEM 集成设置。