Qualys-Scanprotokolle erfassen

Unterstützt in:

Dieser Parser extrahiert Felder aus Qualys Scan-JSON-Logs, normalisiert Zeitstempel und ordnet sie dem UDM zu. Es verarbeitet verschiedene Qualys-Ereignistypen, einschließlich generischer Ereignisse und Nutzeranmeldungen, und füllt UDM-Felder mit relevanten Sicherheitsinformationen und ‑metadaten.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

  • Google Security Operations-Instanz.
  • Privilegierter Zugriff auf die Qualys VMDR-Konsole.

Optional: Dedizierten API-Nutzer in Qualys erstellen

  1. Melden Sie sich in der Qualys-Konsole an.
  2. Gehen Sie zu Nutzer.
  3. Klicken Sie auf Neu > Nutzer.
  4. Geben Sie die erforderlichen Allgemeinen Informationen für den Nutzer ein.
  5. Klicken Sie auf den Tab Nutzerrolle.
  6. Achten Sie darauf, dass das Kästchen API-Zugriff für die Rolle ausgewählt ist.
  7. Klicken Sie auf Speichern.

Spezifische Qualys API-URL ermitteln

Option 1

Geben Sie Ihre URLs wie in der Plattformidentifizierung beschrieben an.

Option 2

  1. Melden Sie sich in der Qualys-Konsole an.
  2. Gehen Sie zu Hilfe > Info.
  3. Scrollen Sie nach unten, um diese Informationen unter „Security Operations Center (SOC)“ zu sehen.
  4. Kopieren Sie die Qualys API-URL.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Qualys-Scanprotokolle.
  5. Wählen Sie Drittanbieter-API als Quelltyp aus.
  6. Wählen Sie Qualys Scan als Protokolltyp aus.
  7. Klicken Sie auf Weiter.
  8. Geben Sie Werte für die folgenden Eingabeparameter an:
    • Nutzername: Geben Sie den Nutzernamen für den dedizierten Nutzer ein.
    • Secret: Geben Sie das Passwort für den dedizierten Nutzer ein.
    • Vollständiger API-Pfad: Geben Sie die einfache Qualys API-Server-URL an (z. B. qualysapi.qg2.apps.qualys.eu).
    • API-Typ: Wählen Sie den Scantyp aus, den Sie aufnehmen möchten.
  9. Klicken Sie auf Weiter.
  10. Prüfen Sie die Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Category security_result.category_details Direkt aus dem Feld Category zugeordnet.
ID metadata.product_log_id Wird direkt aus dem Feld ID zugeordnet. In String umgewandelt.
LaunchDatetime metadata.event_timestamp Wird als Zeitstempel für das Ereignis verwendet, wenn ScanInput.ScanDatetime und UpdateDate nicht vorhanden sind. Wird im Format „ISO8601“ geparst.
Ref additional.fields[1].key
additional.fields[1].value.string_value		 Wird additional.fields mit dem Schlüssel „ScanReference“ zugeordnet, wenn ScanReference nicht vorhanden ist.
ScanDetails.Status security_result.detection_fields[0].key
security_result.detection_fields[0].value		 Zugeordnet zu security_result.detection_fields mit dem Schlüssel „ScanDetails Status“.
ScanInput.Network.ID additional.fields[0].key
additional.fields[0].value.string_value		 additional.fields mit dem Schlüssel „ScanInput Network ID“ zugeordnet.
ScanInput.Network.Name additional.fields[1].key
additional.fields[1].value.string_value		 Zugeordnet zu additional.fields mit dem Schlüssel „ScanInput Network Name“.
ScanInput.OptionProfile.ID additional.fields[2].key
additional.fields[2].value.string_value		 Zugeordnet zu additional.fields mit dem Schlüssel „ScanInput Option Profile ID“.
ScanInput.OptionProfile.Name additional.fields[3].key
additional.fields[3].value.string_value		 Mit dem Schlüssel „ScanInput Option Profile Name“ zu additional.fields zugeordnet.
ScanInput.ScanDatetime metadata.event_timestamp Wird als Ereigniszeitstempel verwendet, sofern vorhanden. Wird im Format „ISO8601“ geparst.
ScanInput.Title metadata.description Direkt aus dem Feld ScanInput.Title zugeordnet.
ScanInput.Username principal.user.userid Direkt aus dem Feld ScanInput.Username zugeordnet.
ScanReference additional.fields[4].key
additional.fields[4].value.string_value		 Mit dem Schlüssel „ScanReference“ additional.fields zugeordnet.
Statement metadata.description Wird direkt aus dem Feld Statement zugeordnet, wenn ScanInput.Title und Title nicht vorhanden sind.
Status security_result.detection_fields[0].key
security_result.detection_fields[0].value		 security_result.detection_fields mit dem Schlüssel „Status“ zugeordnet.
SubCategory security_result.description Wird direkt aus dem Feld SubCategory zugeordnet.
Technologies[].ID security_result.detection_fields[0].value Direkt aus dem Feld Technologies[].ID zugeordnet. In String umgewandelt. Teil eines wiederholten security_result-Objekts.
Technologies[].Name security_result.detection_fields[1].value Wird direkt aus dem Feld Technologies[].Name zugeordnet. Teil eines wiederholten security_result-Objekts.
Technologies[].Rationale security_result.detection_fields[2].value Direkt aus dem Feld Technologies[].Rationale zugeordnet. Teil eines wiederholten security_result-Objekts.
Title metadata.description Wird direkt aus dem Feld Title zugeordnet, wenn ScanInput.Title und Statement nicht vorhanden sind.
Type additional.fields[2].key
additional.fields[2].value.string_value		 additional.fields zugeordnet mit dem Schlüssel „Type“.
UpdateDate metadata.event_timestamp Wird als Ereigniszeitstempel verwendet, wenn ScanInput.ScanDatetime nicht vorhanden ist. Wird im Format „ISO8601“ geparst.
Userlogin target.user.userid Direkt aus dem Feld Userlogin zugeordnet. Wird auf „AUTHTYPE_UNSPECIFIED“ gesetzt, wenn Userlogin vorhanden ist. Legen Sie diesen Wert auf „GENERIC_EVENT“ fest. Wird in „USER_LOGIN“ geändert, wenn Userlogin vorhanden ist. In „USER_UNCATEGORIZED“ geändert, wenn metadata_event_type „GENERIC_EVENT“ ist und ScanInput.Username vorhanden ist. Legen Sie diesen Wert auf „QUALYS_SCAN“ fest. Legen Sie diesen Wert auf „QUALYS_SCAN“ fest. Legen Sie für jede Technologie „ID“ fest. Teil eines wiederholten security_result-Objekts. Legen Sie für jede Technologie „Name“ fest. Teil eines wiederholten security_result-Objekts. Legen Sie für jede Technologie „Begründung“ fest. Teil eines wiederholten security_result-Objekts.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten