איסוף יומנים של Qualys Vulnerability Management

נתמך ב:

הכלי הזה מנתח יומנים של Qualys Vulnerability Management בפורמט של זוגות מפתח/ערך (KV) או בפורמט JSON. הוא מחלץ פרטים על נקודות חולשה, מידע על המארח ומטא-נתונים של הסריקה, וממפה אותם ל-UDM. הכלי לניתוח מטפל גם במבנים שונים של יומנים, נותן עדיפות לניתוח של KV ועובר ל-JSON אם צריך, ומפצל את המערך DetectionList לאירועים נפרדים של פגיעויות.

לפני שמתחילים

חשוב לוודא שמתקיימות דרישות הסף הבאות:

  • מופע של Google Security Operations.
  • גישת אדמין למסוף Qualys VMDR.

אופציונלי: יוצרים משתמש API ייעודי ב-Qualys

  1. נכנסים למסוף Qualys.
  2. מעבר לדף משתמשים
  3. לוחצים על חדש > משתמש.
  4. מזינים את הפרטים הכלליים הנדרשים לגבי המשתמש.
  5. לוחצים על הכרטיסייה תפקיד המשתמש.
  6. מוודאים שהתיבה API Access (גישה ל-API) מסומנת בתפקיד.
  7. לוחצים על Save.

זיהוי כתובת ה-URL הספציפית של Qualys API

אפשרות 1

מזהים את כתובות ה-URL כמו שמתואר בזיהוי הפלטפורמה.

אפשרות 2

  1. נכנסים למסוף Qualys.
  2. עוברים אל עזרה > אודות.
  3. גוללים כדי לראות את המידע הזה בקטע Security Operations Center (SOC) [מרכז אבטחה (SOC)].
  4. מעתיקים את כתובת ה-URL של Qualys API.

הגדרת פידים

כדי להגדיר פיד:

  1. עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. בשדה Feed name (שם הפיד), מזינים שם לפיד, למשל Qualys VM Logs (יומני מכונות וירטואליות של Qualys).
  5. בוחרים באפשרות Third Party API (API של צד שלישי) בתור Source type (סוג המקור).
  6. בוחרים באפשרות Qualys VM כסוג היומן.
  7. לוחצים על הבא.
  8. מציינים ערכים לפרמטרים הבאים של הקלט:
    • שם משתמש: מזינים את שם המשתמש.
    • סוד: מזינים את הסיסמה.
    • הנתיב המלא של ה-API: מזינים את כתובת ה-URL של שרת Qualys API (לדוגמה, <qualys_base_url>/api/2.0/fo/asset/host/vm/detection/?action=list), כאשר <qualys_base_url> היא כתובת הבסיס של שרת Qualys API שבו נמצא החשבון שלכם.
  9. לוחצים על הבא.
  10. בודקים את הגדרות הפיד במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
DETECTION.FIRST_FOUND_DATETIME extensions.vulns.vulnerabilities.first_found הערך מנותח מהשדה DETECTION.FIRST_FOUND_DATETIME והמחרוזת מומרת לחותמת זמן.
DETECTION.LAST_FOUND_DATETIME extensions.vulns.vulnerabilities.last_found הערך מנותח מהשדה DETECTION.LAST_FOUND_DATETIME והמחרוזת מומרת לחותמת זמן.
DETECTION.QID extensions.vulns.vulnerabilities.name משרשרת את המחרוזת 'QID: ' עם הערך של DETECTION.QID.
DETECTION.RESULTS extensions.vulns.vulnerabilities.description מיפוי ישיר לשדה התיאור. משמש גם לחילוץ של network.ip_protocol ו-principal.port באמצעות grok.
DETECTION.SEVERITY extensions.vulns.vulnerabilities.severity מיפוי מ-DETECTION.SEVERITY. הערכים 0, 1, 2 הופכים ל-LOW, הערכים 3, 4 הופכים ל-MEDIUM, והערכים 5, 6, 7 הופכים ל-HIGH.
DETECTION.STATUS extensions.vulns.vulnerabilities.about.labels נוסף כתווית עם המפתח 'סטטוס הזיהוי'.
DETECTION.TYPE extensions.vulns.vulnerabilities.about.labels נוסף כתווית עם המפתח Detection type.
DNS principal.hostname ממופה ישירות אל principal.hostname.
DNSData.DOMAIN principal.domain.name ממופה ישירות אל principal.domain.name.
HOST.ASSET_ID principal.asset_id משרשרת את המחרוזת QUALYS:‎ עם הערך של HOST.ASSET_ID.
HOST.DNS principal.hostname ממופה ישירות ל-principal.hostname אם DNS ריק.
HOST.DNS_DATA.DOMAIN principal.domain.name ממופה ישירות ל-principal.domain.name אם DNSData.DOMAIN ריק.
HOST.ID metadata.product_log_id ממופה ישירות אל metadata.product_log_id.
HOST.IP principal.ip ממופה ישירות ל-principal.ip אם IP ריק.
HOST.LAST_SCAN_DATETIME extensions.vulns.vulnerabilities.scan_start_time הערך מנותח מהשדה HOST.LAST_SCAN_DATETIME והמחרוזת מומרת לחותמת זמן.
HOST.LAST_VM_SCANNED_DATE extensions.vulns.vulnerabilities.scan_end_time הערך מנותח מהשדה HOST.LAST_VM_SCANNED_DATE והמחרוזת מומרת לחותמת זמן.
HOST.NETBIOS additional.fields נוספה כתווית עם מילת המפתח HOST NETBIOS.
HOST.OS principal.platform_version ממופה ישירות ל-principal.platform_version אם OS ריק.
HOST.QG_HOSTID additional.fields נוסף כתווית עם המפתח HOST QG_HOSTID.
HOST.TRACKING_METHOD additional.fields נוסף כתווית עם המפתח HOST TRACKING_METHOD.
HOST_ID principal.asset_id משרשרת את המחרוזת QUALYS:‎ עם הערך של HOST_ID.
ID metadata.product_log_id ממופה ישירות אל metadata.product_log_id.
IP principal.ip ממופה ישירות אל principal.ip.
LastScanDateTime extensions.vulns.vulnerabilities.scan_start_time הערך מנותח מהשדה LastScanDateTime והמחרוזת מומרת לחותמת זמן.
LastVMAuthScanDuration additional.fields נוסף כתווית עם המפתח LastVMAuthScanDuration.
LastVMScanDate extensions.vulns.vulnerabilities.scan_end_time הערך מנותח מהשדה LastVMScanDate והמחרוזת מומרת לחותמת זמן.
LastVMScanDuration additional.fields נוסף כתווית עם המפתח LastVMScanDuration.
LAST_FOUND_DATETIME extensions.vulns.vulnerabilities.last_found הערך מנותח מהשדה LAST_FOUND_DATETIME והמחרוזת מומרת לחותמת זמן.
LAST_SCAN_DATETIME extensions.vulns.vulnerabilities.scan_start_time הערך מנותח מהשדה LAST_SCAN_DATETIME והמחרוזת מומרת לחותמת זמן.
LAST_VM_SCANNED_DATE extensions.vulns.vulnerabilities.scan_end_time הערך מנותח מהשדה LAST_VM_SCANNED_DATE והמחרוזת מומרת לחותמת זמן.
NETBIOS additional.fields נוספה כתווית עם המפתח NETBIOS.
NetworkID additional.fields נוספה כתווית עם מילת המפתח NetworkID.
NETWORK_ID additional.fields נוספה כתווית עם מילת המפתח NetworkID.
OS principal.platform_version ממופה ישירות אל principal.platform_version.
Os principal.platform_version ממופה ישירות ל-principal.platform_version אם OS ריק.
QID extensions.vulns.vulnerabilities.name משרשרת את המחרוזת 'QID: ' עם הערך של QID.
QgHostID principal.asset_id הערך של principal.asset_id הוא Host Id:%{QgHostID}.
SEVERITY extensions.vulns.vulnerabilities.severity מיפוי מ-SEVERITY. הערכים 0, 1, 2 הופכים ל-LOW, הערכים 3, 4 הופכים ל-MEDIUM, והערכים 5, 6, 7 הופכים ל-HIGH.
TRACKING_METHOD additional.fields הערך נוסף כתווית עם המפתח TRACKING_METHOD.
TrackingMethod additional.fields הערך נוסף כתווית עם המפתח TRACKING_METHOD.
לא רלוונטי metadata.vendor_name ההגדרה מוצפנת כ-Qualys.
לא רלוונטי metadata.product_name הערך מוטמע כ-Vulnerability Management (ניהול נקודות חולשה).
לא רלוונטי metadata.event_type הערך הוא SCAN_VULN_HOST אם _vulns לא ריק, STATUS_UPDATE אם prin_host או IP לא ריקים, ו-GENERIC_EVENT בכל מקרה אחר.
לא רלוונטי metadata.log_type נלקח מהשדה log_type ביומן הגולמי.
לא רלוונטי principal.platform נקבע לפי OS, Os או HOST.OS. אם אחד מהם מכיל את המחרוזת Linux, הפלטפורמה מוגדרת כ-LINUX. אם אחת מהן מכילה את המחרוזת 'Windows', הפלטפורמה מוגדרת כ-'WINDOWS'. אם אחד מהם מכיל את המחרוזת mac או IOS, הפלטפורמה מוגדרת כ-MAC.
detection.DType extensions.vulns.vulnerabilities.about.resource.attribute.labels נוסף כתווית עם המפתח Detection Type במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList.
detection.FirstFoundTime extensions.vulns.vulnerabilities.first_found הערך מנותח מהשדה detection.FirstFoundTime, וממיר את ערך המחרוזת לחותמת זמן במערך הפגיעויות עבור אירועים שמנותחים מהשדה DetectionList.
detection.LastFoundTime extensions.vulns.vulnerabilities.last_found הערך מנותח מהשדה detection.LastFoundTime, וממיר את ערך המחרוזת לחותמת זמן במערך הפגיעויות עבור אירועים שמנותחים מהשדה DetectionList.
detection.LastProcessedDatetime extensions.vulns.vulnerabilities.about.resource.attribute.labels נוסף כתווית עם המפתח LastProcessedDatetime במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList.
detection.LastTestDateTime extensions.vulns.vulnerabilities.about.resource.attribute.labels נוסף כתווית עם המפתח LastTestDateTime במערך vulnerabilities לאירועים שנותחו מהשדה DetectionList.
detection.LastUpdateDateTime extensions.vulns.vulnerabilities.about.resource.attribute.labels נוסף כתווית עם המפתח LastUpdateDateTime במערך vulnerabilities לאירועים שנותחו מהשדה DetectionList.
detection.Qid extensions.vulns.vulnerabilities.name משרשר את המחרוזת 'QID: ' עם הערך של detection.Qid במערך הפגיעויות לאירועים שמנותחים מהשדה DetectionList.
detection.Results extensions.vulns.vulnerabilities.description ממופה ישירות לשדה התיאור במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList. טאבים ושורות חדשות מוחלפים ברווחים.
detection.Severity extensions.vulns.vulnerabilities.severity מיפוי מ-detection.Severity. הערכים 0, 1, 2 הופכים ל-LOW, הערכים 3, 4 הופכים ל-MEDIUM והערכים 5, 6, 7 הופכים ל-HIGH במערך הפגיעויות של אירועים שנותחו מהשדה DetectionList.
detection.Status extensions.vulns.vulnerabilities.about.resource.attribute.labels נוסף כתווית עם המפתח Detection status במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList.
detection.TimesFound extensions.vulns.vulnerabilities.about.resource.attribute.labels נוסף כתווית עם המפתח TimesFound במערך הפגיעויות לאירועים שנותחו מהשדה DetectionList.
timestamp metadata.event_timestamp, timestamp השדה timestamp ביומן הגולמי משמש גם לחותמת הזמן של האירוע וגם לחותמת הזמן ברמה העליונה.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.