איסוף יומנים של Qualys Vulnerability Management
נתמך ב:
Google secops
SIEM
הכלי הזה מנתח יומנים של Qualys Vulnerability Management בפורמט של צמדי מפתח/ערך (KV) או בפורמט JSON. הוא מחלץ פרטים על נקודות חולשה, מידע על המארח ומטא-נתונים של הסריקה, וממפה אותם ל-UDM. הכלי לניתוח מטפל גם במבני יומן שונים, נותן עדיפות לניתוח של KV ועובר ל-JSON אם צריך, ומפצל את מערך DetectionList לאירועי פגיעות נפרדים.
לפני שמתחילים
חשוב לוודא שמתקיימות דרישות הסף הבאות:
- מופע של Google Security Operations.
- גישת אדמין למסוף Qualys VMDR.
אופציונלי: יוצרים משתמש API ייעודי ב-Qualys
- נכנסים למסוף Qualys.
- מעבר לדף משתמשים
- לוחצים על חדש > משתמש.
- מזינים את המידע הכללי הנדרש לגבי המשתמש.
- לוחצים על הכרטיסייה תפקיד משתמש.
- מוודאים שהתיבה API Access (גישה ל-API) מסומנת בתפקיד.
- לוחצים על Save.
זיהוי כתובת ה-URL הספציפית של Qualys API
אפשרות 1
מזהים את כתובות ה-URL כמו שמתואר בזיהוי הפלטפורמה.
אפשרות 2
- נכנסים למסוף Qualys.
- עוברים אל עזרה > אודות.
- גוללים כדי לראות את המידע הזה בקטע Security Operations Center (SOC) [מרכז אבטחה].
- מעתיקים את כתובת ה-URL של Qualys API.
הגדרת פידים
כדי להגדיר פיד, מבצעים את השלבים הבאים:
- עוברים אל SIEM Settings > Feeds.
- לוחצים על הוספת פיד חדש.
- בדף הבא, לוחצים על הגדרת פיד יחיד.
- בשדה Feed name (שם הפיד), מזינים שם לפיד, לדוגמה, Qualys VM Logs (יומני מכונות וירטואליות של Qualys).
- בוחרים באפשרות Third Party API (API של צד שלישי) בתור Source type (סוג המקור).
- בוחרים באפשרות Qualys VM כסוג היומן.
- לוחצים על הבא.
- מציינים ערכים לפרמטרים הבאים של הקלט:
- שם משתמש: מזינים את שם המשתמש.
- סודי: מזינים את הסיסמה.
- הנתיב המלא של ה-API: צריך לספק את כתובת ה-URL של שרת Qualys API (לדוגמה,
<qualys_base_url>/api/2.0/fo/asset/host/vm/detection/?action=list), כאשר<qualys_base_url>היא כתובת הבסיס של שרת Qualys API שבו נמצא החשבון שלכם.
- לוחצים על הבא.
- בודקים את הגדרות הפיד במסך סיום ולוחצים על שליחה.
טבלת מיפוי UDM
| שדה היומן | מיפוי UDM | לוגיקה |
|---|---|---|
DETECTION.FIRST_FOUND_DATETIME |
extensions.vulns.vulnerabilities.first_found |
הערך הזה מנותח מהשדה DETECTION.FIRST_FOUND_DATETIME, וממיר את ערך המחרוזת לחותמת זמן. |
DETECTION.LAST_FOUND_DATETIME |
extensions.vulns.vulnerabilities.last_found |
הערך נותח מהשדה DETECTION.LAST_FOUND_DATETIME והומר ממחרוזת לחותמת זמן. |
DETECTION.QID |
extensions.vulns.vulnerabilities.name |
משרשרת את המחרוזת 'QID: ' עם הערך של DETECTION.QID. |
DETECTION.RESULTS |
extensions.vulns.vulnerabilities.description |
מיפוי ישיר לשדה התיאור. משמש גם לחילוץ של network.ip_protocol ו-principal.port באמצעות grok. |
DETECTION.SEVERITY |
extensions.vulns.vulnerabilities.severity |
מיפוי מ-DETECTION.SEVERITY. הערכים 0, 1, 2 הופכים ל-LOW, הערכים 3, 4 הופכים ל-MEDIUM, והערכים 5, 6, 7 הופכים ל-HIGH. |
DETECTION.STATUS |
extensions.vulns.vulnerabilities.about.labels |
נוספה כתווית עם המפתח 'סטטוס זיהוי'. |
DETECTION.TYPE |
extensions.vulns.vulnerabilities.about.labels |
נוסף כתווית עם המפתח Detection type. |
DNS |
principal.hostname |
ממופה ישירות אל principal.hostname. |
DNSData.DOMAIN |
principal.domain.name |
ממופה ישירות אל principal.domain.name. |
HOST.ASSET_ID |
principal.asset_id |
משרשרת את המחרוזת QUALYS: עם הערך של HOST.ASSET_ID. |
HOST.DNS |
principal.hostname |
ממופה ישירות ל-principal.hostname אם DNS ריק. |
HOST.DNS_DATA.DOMAIN |
principal.domain.name |
ממופה ישירות ל-principal.domain.name אם DNSData.DOMAIN ריק. |
HOST.ID |
metadata.product_log_id |
ממופה ישירות אל metadata.product_log_id. |
HOST.IP |
principal.ip |
ממופה ישירות ל-principal.ip אם IP ריק. |
HOST.LAST_SCAN_DATETIME |
extensions.vulns.vulnerabilities.scan_start_time |
הערך נותח מהשדה HOST.LAST_SCAN_DATETIME והומר ממחרוזת לחותמת זמן. |
HOST.LAST_VM_SCANNED_DATE |
extensions.vulns.vulnerabilities.scan_end_time |
הערך הזה מנותח מהשדה HOST.LAST_VM_SCANNED_DATE, וממיר את ערך המחרוזת לחותמת זמן. |
HOST.NETBIOS |
additional.fields |
נוסף כתווית עם המפתח HOST NETBIOS. |
HOST.OS |
principal.platform_version |
ממופה ישירות ל-principal.platform_version אם OS ריק. |
HOST.QG_HOSTID |
additional.fields |
נוסף כתווית עם מילת המפתח HOST QG_HOSTID. |
HOST.TRACKING_METHOD |
additional.fields |
נוסף כתווית עם המפתח HOST TRACKING_METHOD. |
HOST_ID |
principal.asset_id |
משרשרת את המחרוזת QUALYS: עם הערך של HOST_ID. |
ID |
metadata.product_log_id |
ממופה ישירות אל metadata.product_log_id. |
IP |
principal.ip |
ממופה ישירות אל principal.ip. |
LastScanDateTime |
extensions.vulns.vulnerabilities.scan_start_time |
הערך נותח מהשדה LastScanDateTime והומר ממחרוזת לחותמת זמן. |
LastVMAuthScanDuration |
additional.fields |
נוסף כתווית עם מילת המפתח LastVMAuthScanDuration. |
LastVMScanDate |
extensions.vulns.vulnerabilities.scan_end_time |
הערך הזה מנותח מהשדה LastVMScanDate, וממיר את ערך המחרוזת לחותמת זמן. |
LastVMScanDuration |
additional.fields |
נוספה כתווית עם המפתח LastVMScanDuration. |
LAST_FOUND_DATETIME |
extensions.vulns.vulnerabilities.last_found |
הערך הזה מנותח מהשדה LAST_FOUND_DATETIME, וממיר את ערך המחרוזת לחותמת זמן. |
LAST_SCAN_DATETIME |
extensions.vulns.vulnerabilities.scan_start_time |
הערך נותח מהשדה LAST_SCAN_DATETIME והומר ממחרוזת לחותמת זמן. |
LAST_VM_SCANNED_DATE |
extensions.vulns.vulnerabilities.scan_end_time |
הערך הזה מנותח מהשדה LAST_VM_SCANNED_DATE, וממיר את ערך המחרוזת לחותמת זמן. |
NETBIOS |
additional.fields |
נוסף כתווית עם המפתח NETBIOS. |
NetworkID |
additional.fields |
נוספה כתווית עם מפתח NetworkID. |
NETWORK_ID |
additional.fields |
נוספה כתווית עם מפתח NetworkID. |
OS |
principal.platform_version |
ממופה ישירות אל principal.platform_version. |
Os |
principal.platform_version |
ממופה ישירות ל-principal.platform_version אם OS ריק. |
QID |
extensions.vulns.vulnerabilities.name |
משרשרת את המחרוזת 'QID: ' עם הערך של QID. |
QgHostID |
principal.asset_id |
הגדרת הערך של principal.asset_id כ-Host Id:%{QgHostID}. |
SEVERITY |
extensions.vulns.vulnerabilities.severity |
מיפוי מ-SEVERITY. הערכים 0, 1, 2 הופכים ל-LOW, הערכים 3, 4 הופכים ל-MEDIUM, והערכים 5, 6, 7 הופכים ל-HIGH. |
TRACKING_METHOD |
additional.fields |
נוסף כתווית עם מילת המפתח TRACKING_METHOD. |
TrackingMethod |
additional.fields |
נוסף כתווית עם מילת המפתח TRACKING_METHOD. |
| לא רלוונטי | metadata.vendor_name |
ההגדרה מוצפנת כ-Qualys. |
| לא רלוונטי | metadata.product_name |
מוגדר כקבוע ל-Vulnerability Management (ניהול נקודות חולשה). |
| לא רלוונטי | metadata.event_type |
הערך שמוגדר הוא SCAN_VULN_HOST אם _vulns לא ריק, STATUS_UPDATE אם prin_host או IP לא ריקים, ו-GENERIC_EVENT בכל מקרה אחר. |
| לא רלוונטי | metadata.log_type |
נלקח מהשדה log_type ביומן הגולמי. |
| לא רלוונטי | principal.platform |
נקבע לפי OS, Os או HOST.OS. אם אחד מהם מכיל את המחרוזת Linux, הפלטפורמה מוגדרת כ-LINUX. אם אחד מהם מכיל את המחרוזת Windows, הפלטפורמה מוגדרת כ-WINDOWS. אם אחד מהם מכיל את המחרוזת mac או IOS, הפלטפורמה מוגדרת כ-MAC. |
detection.DType |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
נוסף כתווית עם המפתח Detection Type במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList. |
detection.FirstFoundTime |
extensions.vulns.vulnerabilities.first_found |
הערך מנותח מהשדה detection.FirstFoundTime, וממיר את ערך המחרוזת לחותמת זמן במערך הפגיעויות עבור אירועים שמנותחים מהשדה DetectionList. |
detection.LastFoundTime |
extensions.vulns.vulnerabilities.last_found |
הערך מנותח מהשדה detection.LastFoundTime, וממיר את ערך המחרוזת לחותמת זמן במערך הפגיעויות עבור אירועים שמנותחים מהשדה DetectionList. |
detection.LastProcessedDatetime |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
נוסף כתווית עם המפתח LastProcessedDatetime במערך vulnerabilities לאירועים שנותחו מהשדה DetectionList. |
detection.LastTestDateTime |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
נוסף כתווית עם המפתח LastTestDateTime במערך vulnerabilities לאירועים שנותחו מהשדה DetectionList. |
detection.LastUpdateDateTime |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
נוסף כתווית עם המפתח LastUpdateDateTime במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList. |
detection.Qid |
extensions.vulns.vulnerabilities.name |
משרשר את המחרוזת 'QID: ' עם הערך של detection.Qid במערך הפגיעויות לאירועים שמנותחים מהשדה DetectionList. |
detection.Results |
extensions.vulns.vulnerabilities.description |
ממופה ישירות לשדה התיאור במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList. טאבים ומעברי שורה מוחלפים ברווחים. |
detection.Severity |
extensions.vulns.vulnerabilities.severity |
מיפוי מ-detection.Severity. הערכים 0, 1, 2 הופכים ל-LOW, הערכים 3, 4 הופכים ל-MEDIUM, והערכים 5, 6, 7 הופכים ל-HIGH במערך vulnerabilities של אירועים שמנותחים מהשדה DetectionList. |
detection.Status |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
נוסף כתווית עם המפתח Detection status במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList. |
detection.TimesFound |
extensions.vulns.vulnerabilities.about.resource.attribute.labels |
נוסף כתווית עם המפתח TimesFound במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList. |
timestamp |
metadata.event_timestamp, timestamp |
השדה timestamp ביומן הגולמי משמש גם לחותמת הזמן של האירוע וגם לחותמת הזמן ברמה העליונה. |
שנה רישום
צפייה ביומן השינויים של כלי הניתוח הזה
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.