Mengumpulkan log Qualys Scan

Didukung di:

Parser ini mengekstrak kolom dari log JSON Pemindaian Qualys, menormalisasi stempel waktu, dan memetakannya ke UDM. Integrasi ini menangani berbagai jenis peristiwa Qualys, termasuk peristiwa generik dan login pengguna, serta mengisi kolom UDM dengan informasi dan metadata keamanan yang relevan.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google Security Operations.
  • Akses istimewa ke konsol Qualys VMDR.

Opsional: Buat Pengguna API khusus di Qualys

  1. Login ke konsol Qualys.
  2. Buka Pengguna.
  3. Klik Baru > Pengguna.
  4. Masukkan Informasi Umum yang diperlukan untuk pengguna.
  5. Pilih tab Peran Pengguna.
  6. Pastikan peran memiliki kotak centang API Access yang dipilih.
  7. Klik Simpan.

Mengidentifikasi URL API Qualys spesifik Anda

Opsi 1

Identifikasi URL Anda seperti yang disebutkan dalam identifikasi platform.

Opsi 2

  1. Login ke konsol Qualys.
  2. Buka Bantuan > Tentang.
  3. Scroll untuk melihat informasi ini di bagian Security Operations Center (SOC).
  4. Salin URL Qualys API.

Menyiapkan feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

  1. Buka SIEM Settings > Feeds.
  2. Klik Tambahkan Feed Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Feed name, masukkan nama untuk feed; misalnya, Qualys Scan Logs.
  5. Pilih Third Party API sebagai Source type.
  6. Pilih Qualys Scan sebagai jenis log.
  7. Klik Berikutnya.
  8. Tentukan nilai untuk parameter input berikut:
    • Username: masukkan nama pengguna untuk pengguna khusus.
    • Secret: masukkan sandi untuk pengguna khusus.
    • Jalur Lengkap API: berikan URL Server API Qualys biasa (misalnya, qualysapi.qg2.apps.qualys.eu).
    • API Type: pilih jenis pemindaian yang ingin Anda masukkan.
  9. Klik Berikutnya.
  10. Tinjau konfigurasi feed di layar Selesaikan, lalu klik Kirim.

Tabel Pemetaan UDM

Kolom Log Pemetaan UDM Logika
Category security_result.category_details Dipetakan langsung dari kolom Category.
ID metadata.product_log_id Dipetakan langsung dari kolom ID. Dikonversi menjadi string.
LaunchDatetime metadata.event_timestamp Digunakan sebagai stempel waktu peristiwa jika ScanInput.ScanDatetime dan UpdateDate tidak ada. Diuraikan dalam format "ISO8601".
Ref additional.fields[1].key
additional.fields[1].value.string_value		 Dipetakan ke additional.fields dengan kunci "ScanReference" jika ScanReference tidak ada.
ScanDetails.Status security_result.detection_fields[0].key
security_result.detection_fields[0].value		 Dipetakan ke security_result.detection_fields dengan kunci "ScanDetails Status".
ScanInput.Network.ID additional.fields[0].key
additional.fields[0].value.string_value		 Dipetakan ke additional.fields dengan kunci "ScanInput Network ID".
ScanInput.Network.Name additional.fields[1].key
additional.fields[1].value.string_value		 Dipetakan ke additional.fields dengan kunci "ScanInput Network Name".
ScanInput.OptionProfile.ID additional.fields[2].key
additional.fields[2].value.string_value		 Dipetakan ke additional.fields dengan kunci "ScanInput Option Profile ID".
ScanInput.OptionProfile.Name additional.fields[3].key
additional.fields[3].value.string_value		 Dipetakan ke additional.fields dengan kunci "ScanInput Option Profile Name".
ScanInput.ScanDatetime metadata.event_timestamp Digunakan sebagai stempel waktu peristiwa jika ada. Diuraikan dalam format "ISO8601".
ScanInput.Title metadata.description Dipetakan langsung dari kolom ScanInput.Title.
ScanInput.Username principal.user.userid Dipetakan langsung dari kolom ScanInput.Username.
ScanReference additional.fields[4].key
additional.fields[4].value.string_value		 Dipetakan ke additional.fields dengan kunci "ScanReference".
Statement metadata.description Dipetakan langsung dari kolom Statement jika ScanInput.Title dan Title tidak ada.
Status security_result.detection_fields[0].key
security_result.detection_fields[0].value		 Dipetakan ke security_result.detection_fields dengan kunci "Status".
SubCategory security_result.description Dipetakan langsung dari kolom SubCategory.
Technologies[].ID security_result.detection_fields[0].value Dipetakan langsung dari kolom Technologies[].ID. Dikonversi menjadi string. Bagian dari objek security_result yang berulang.
Technologies[].Name security_result.detection_fields[1].value Dipetakan langsung dari kolom Technologies[].Name. Bagian dari objek security_result berulang.
Technologies[].Rationale security_result.detection_fields[2].value Dipetakan langsung dari kolom Technologies[].Rationale. Bagian dari objek security_result yang berulang.
Title metadata.description Dipetakan langsung dari kolom Title jika ScanInput.Title dan Statement tidak ada.
Type additional.fields[2].key
additional.fields[2].value.string_value		 Dipetakan ke additional.fields dengan kunci "Type".
UpdateDate metadata.event_timestamp Digunakan sebagai stempel waktu peristiwa jika ScanInput.ScanDatetime tidak ada. Diuraikan dalam format "ISO8601".
Userlogin target.user.userid Dipetakan langsung dari kolom Userlogin. Ditetapkan ke "AUTHTYPE_UNSPECIFIED" jika Userlogin ada. Ditetapkan ke "GENERIC_EVENT". Diubah menjadi "USER_LOGIN" jika Userlogin ada. Diubah menjadi "USER_UNCATEGORIZED" jika metadata_event_type adalah "GENERIC_EVENT" dan ScanInput.Username ada. Tetapkan ke "QUALYS_SCAN". Tetapkan ke "QUALYS_SCAN". Setel ke "ID" untuk setiap teknologi. Bagian dari objek security_result yang berulang. Setel ke "Nama" untuk setiap teknologi. Bagian dari objek security_result yang berulang. Tetapkan ke "Rationale" untuk setiap teknologi. Bagian dari objek security_result yang berulang.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.