配置 SIEM 整合設定

預設情況下，不使用 SIEM 整合。您可以啟用和停用 SIEM 整合，並配置相關設定（參見下表）。

SIEM 整合設定

要配置 SIEM 整合設定：

1. 在應用程式主控台樹狀目錄中，開啟“記錄和通知”節點的內容功能表。
2. 選擇“內容”。

   將開啟“記錄和通知設定”視窗。

3. 選擇“SIEM 整合”標籤。
4. 在“整合設定”部分中，選擇“透過 syslog 協定傳送事件到遠端 syslog 伺服器”核取方塊。
   

   該核取方塊可啟用或停用將已發佈的事件傳送到外部 syslog 伺服器的功能。

   如果選中該核取方塊，則應用程式將根據配置的 SIEM 整合設定將已發佈的事件傳送到 SIEM 伺服器。

   如果清除該核取方塊，則應用程式不執行 SIEM 整合。如果該核取方塊已被清除，則無法配置 SIEM 整合設定。

   預設取消選定該核取方塊。

5. 如果需要，在“整合設定”部分中，選擇“刪除已被傳送到遠端 syslog 伺服器的事件本機副本”核取方塊。
   

   該核取方塊可啟用或停用傳送到 SIEM 伺服器後記錄本機副本的刪除。

   如果選中該核取方塊，則應用程式在事件被成功發佈到 SIEM 伺服器後刪除事件的本機副本。建議在低效能裝置上使用此模式。

   如果清除該核取方塊，則應用程式僅將事件傳送到 SIEM 伺服器。記錄的副本將繼續儲存在本機。

   預設取消選定該核取方塊。

   “刪除已被傳送到遠端 syslog 伺服器的事件本機副本”核取方塊的狀態不會影響儲存安全記錄檔案事件的設定：應用程式永遠不會自動刪除安全記錄事件。

6. 在“事件格式”部分中，指定您要將應用程式事件轉換成的格式，以便能夠將它們傳送到 SIEM 伺服器。

   預設情況下，應用程式將它們轉換為結構化資料格式。

7. 在“連線設定”部分中：
   • 指定 SIEM 連線協定。
   • 指定用於連線到主 syslog 伺服器的設定。

     只能指定 IPv4 格式的 IP 位址。

   • 當無法傳送事件到主 syslog 伺服器時，如果想讓應用程式使用其他連線設定，請選中“如果無法存取主伺服器則使用映像 syslog 伺服器”核取方塊。

     指定用於連線到映像 syslog 伺服器的設定：“位址”和“連接埠”。

     如果已清除“位址”核取方塊，則無法編輯映像 syslog 伺服器的“連接埠”和“如果無法存取主伺服器則使用映像 syslog 伺服器”欄位。

     只能指定 IPv4 格式的 IP 位址。

8. 點擊“確定”。

   將套用已配置的 SIEM 整合設定。