QRadar

במסמך הזה מוסבר איך לשלב את QRadar עם Google SecOps.

פריסות נתמכות של QRadar

השילוב הזה תומך בפריסות של QRadar גם מקומית וגם בענן.

גישה לרשת אל QRadar

גישה ל-API מ-Google Security Operations אל QRadar: צריך לאפשר תנועה דרך יציאה 443 (HTTPS) או כפי שהוגדר בסביבה שלכם.

הגדרת הרשאות ב-QRadar

כשיוצרים פרופיל אבטחה ומשתמש ייעודי של Google SecOps ב-QRadar (כמו שמתואר בשלבים הבאים), מקבלים שליטה מפורטת יותר על ההרשאות. הגישה הזו היא אופציונלית, אבל מומלצת.

אפשר להשתמש בשילוב של QRadar גם באמצעות חשבון אדמין קיים.

יצירת משתמש ב-Google SecOps‏ {:.hide-from-toc}

  1. ב-QRadar, לוחצים על הסמל בפינה הימנית העליונה.

  2. עוברים לקטע ניהול ולוחצים על משתמשים.

  3. לוחצים על New (חדש) וממלאים את הפרטים כדי ליצור משתמש חדש עם הרשאת אדמין.

יצירת פרופיל אבטחה ב-Google SecOps

  1. עוברים אל Admin > User Management > Security Profiles (ניהול > ניהול משתמשים > פרופילי אבטחה).

  2. יוצרים פרופיל עם ההגדרות הבאות:

    • קדימות הרשאות: ללא הגבלות
    • מקורות יומנים: כל הקבוצות של מקורות היומנים
    • רשת: הכול
    • דומיינים: כל הדומיינים

    יצירת פרופיל אבטחה ב-Google SecOps

פריסת השינויים

לוחצים על Deploy במסך.

יצירת שירות מורשה כדי לגשת ל-API

  1. עוברים אל Admin > User Management > Authorized Services.

  2. יוצרים שירות עם ההגדרות הבאות:

    • שם השירות: Siemplify_Application_User
    • תפקיד המשתמש: אדמין
    • פרופיל אבטחה: אדמין
    • תאריך תפוגה: ללא תפוגה

  3. מעתיקים את מפתח האימות שנוצר ומשתמשים בו בהגדרות השילוב של Google SecOps (אשף הפריסה).

הגדרת השילוב של QRadar ב-Google SecOps

איך מגדירים שילובים ב-Google SecOps

פרמטרים של שילוב

כדי להגדיר את השילוב, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם המכונה String לא רלוונטי לא שם המכונה שרוצים להגדיר לה את השילוב.
תיאור String לא רלוונטי לא תיאור המכונה.
הרמה הבסיסית (root) של ה-API String https://IP_ADDRESS כן נתיב כתובת ה-URL שמפנה לשרת QRadar.
טוקן API סיסמה לא רלוונטי כן אסימון האבטחה של ה-API לאימות.
גרסת ה-API String לא רלוונטי לא גרסת ה-API שבה נעשה שימוש.
הפעלה מרחוק תיבת סימון התיבה לא מסומנת לא מסמנים את התיבה כדי להפעיל את השילוב שהוגדר מרחוק. אחרי שמסמנים את התיבה, מופיעה האפשרות לבחור את המשתמש המרוחק (הנציג).

פעולות

שאילתה על תהליכים דומים

תיאור

מריצים שאילתת AQL מוגדרת מראש כדי למצוא תהליכים שקשורים לישות של כתובת ה-IP שצוינה ב-Google SecOps.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
הפרש הזמן בדקות מספר שלם 10 לא אחזור תהליכים ב-X הדקות האחרונות. הפרמטר מקבל ערכים מספריים, למשל 10.
מגבלת תהליכים לאחזור מספר שלם 23 כן הגבלת התהליכים שהפעולה יכולה להחזיר. הפרמטר מקבל ערכים מספריים, למשל 10.
שדות להצגה String לא רלוונטי לא שדות שצריך לאחזר מהתהליך בנוסף לשדות שהוגדרו מראש. אם לא מגדירים את השדות, הפעולה מחזירה שדות שהוגדרו מראש לתהליך.
שם השדה של כתובת ה-IP של המקור String לא רלוונטי לא שדות שמייצגים את שדה כתובת ה-IP של המקור של הזרימה.
שם השדה של כתובת ה-IP של היעד String לא רלוונטי לא שדות שמייצגים את שדה כתובת ה-IP של היעד של הזרימה.

תרחיש לדוגמה לשימוש בפלייבוק

קבלת מידע מ-QRadar על תהליכים שנרשמו לכתובת ה-IP הספציפית ב-X הדקות האחרונות.

הפעלה ב-

הפעולה הזו פועלת על הישות "כתובת IP".

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "flows": [
      {
        "destinationflags": 27,
        "destinationpackets": 5.0,
        "sourcebytes": 522.0,
        "protocolid": 6,
        "sourceip": "195.200.72.148",
        "destinationbytes": 571.0,
        "lastpackettime": 1585057251000,
        "sourceflags": 27,
        "sourcepackets": 5.0,
        "qid": 53268795,
        "flowtype": 0,
        "destinationip": "37.28.155.22",
        "firstpackettime": 1585057224000,
        "category": 18448,
        "source hostname": null,
        "destination hostname": null
      },
      {
        "destinationflags": null,
        "destinationpackets": 0.0,
        "sourcebytes": 78.0,
        "protocolid": 17,
        "sourceip": "195.200.72.148",
        "destinationbytes": 0.0,
        "lastpackettime": 1585057220000,
        "sourceflags": null,
        "sourcepackets": 1.0,
        "qid": 53258563,
        "flowtype": 0,
        "destinationip": "8.8.8.8",
        "firstpackettime": 1585057177000,
        "category": 18438,
        "source hostname": null,
        "destination hostname": null
      },
      ...
    ]
}
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל, והיא לא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם הפעולה מצאה תהליכים דומים: "נמצאו תהליכים דומים לישויות הבאות: {entityList}"
  • אם הפעולה לא מצאה תהליכים דומים לקבוצת משנה של ישויות: "הישויות הבאות עובדו בהצלחה, אבל לא נמצאו תהליכים דומים עבורן: {entityList}"
  • אם הפעולה לא מצאה תהליכים דומים לכל הישויות שצוינו: "לא נמצאו תהליכים דומים".
  • אם הפעולה כוללת שגיאה לא קריטית בעיבוד קבוצת משנה של ישויות: "עיבוד הישויות הבאות נכשל: {entityList}""

הפעולה אמורה להיכשל ולעצור את הרצת הפלייבוק:

  • אם החיבור נכשל: "Failed to execute action, the error is {o}""".format(exception.stacktrace)"
 כללי
טבלה

Similar flows for entity: {0}".format(Siemplify.entity.identifier)

כותרות:...

 ישות

שאילתה לגבי אירועים דומים

תיאור

מריצים שאילתת AQL מוגדרת מראש כדי למצוא אירועים שקשורים לישויות של כתובת ה-IP, שם המארח או שם המשתמש שצוינו ב-Google SecOps.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
הפרש הזמן בדקות מספר שלם 10 לא אחזור תהליכים ב-X הדקות האחרונות. הפרמטר מקבל ערכים מספריים, למשל 10.
מגבלת האירועים לאחזור מספר שלם 25 כן הגבלת האירועים שהפעולה יכולה להחזיר. הפרמטר מקבל ערך מספרי, למשל 25.
שדות להצגה CSV לא רלוונטי לא שדות שצריך לאחזר מהאירוע בנוסף לשדות שהוגדרו מראש. אם לא מגדירים את השדה, הפעולה מחזירה שדות שהוגדרו מראש לאירוע.
שם השדה של שם המארח String לא רלוונטי לא שדה שמייצג את שדה שם המארח של האירוע.
שם השדה של כתובת ה-IP של המקור String לא רלוונטי לא שדות שמייצגים את שדה כתובת ה-IP של המקור של הזרימה.
שם השדה של כתובת ה-IP של היעד String לא רלוונטי לא שדות שמייצגים את שדה כתובת ה-IP של היעד של הזרימה.
שם השדה של שם המשתמש String לא רלוונטי לא שדות שמייצגים את שדה שם המשתמש של האירוע.

דוגמה לתרחישי שימוש

קבלת מידע מ-QRadar על אירועים שנרשמו לישות שצוינה ב-X הדקות האחרונות.

הפעלה ב-

הפעולה הזו פועלת על הישויות הבאות:

  • כתובת IP
  • שם המארח
  • משתמש

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "events": [
      {
        "starttime": 1585288010745,
        "protocolid": 255,
        "sourceip": "10.0.100.250",
        "logsourceid": 62,
        "qid": 18750001,
        "sourceport": 0,
        "eventcount": 1,
        "magnitude": 10,
        "identityip": "0.0.0.0",
        "destinationip": "10.0.100.250",
        "destinationport": 0,
        "category": 10008,
        "username": null,
        "hostname": null
      },
      {
        "starttime": 1585288010745,
        "protocolid": 255,
        "sourceip": "10.0.100.250",
        "logsourceid": 62,
        "qid": 18750001,
        "sourceport": 0,
        "eventcount": 1,
        "magnitude": 10,
        "identityip": "0.0.0.0",
        "destinationip": "10.0.100.250",
        "destinationport": 0,
        "category": 10008,
        "username": null,
        "hostname": null
      },
      ...
    ]
}
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל, והיא לא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם הפעולה מצאה תהליכים דומים: "נמצאו תהליכים דומים לישויות הבאות: {entityList}"
  • אם הפעולה לא מצאה תהליכים דומים לקבוצת משנה של ישויות: "הישויות הבאות עובדו בהצלחה, אבל לא נמצאו תהליכים דומים עבורן: {entityList}"
  • אם הפעולה לא מצאה תהליכים דומים לכל הישויות שצוינו: "לא נמצאו תהליכים דומים".
  • אם הפעולה כוללת שגיאה לא קריטית בעיבוד קבוצת משנה של ישויות: "עיבוד הישויות הבאות נכשל: {entityList}""

הפעולה אמורה להיכשל ולעצור את הרצת הפלייבוק:

  • אם החיבור נכשל: "Failed to execute action, the error is {o}""".format(exception.stacktrace)"
 כללי
טבלה

Similar flows for entity: {0}".format(Siemplify.entity.identifier)

כותרות:...

 ישות

תיאור

הרצת שאילתת AQL שרירותית על המכונה של QRadar. הפעולה מחזירה פלט בפורמט CSV.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
פורמט השאילתה String לא רלוונטי כן פורמט השאילתה להרצה, לדוגמה, "Select * from flows limit 10 last 10 minutes".

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
תוצאות לא רלוונטי לא רלוונטי
תוצאת JSON
{
    "events": [
        {
            "username": "None",
            "category": 4003,
            "starttime": 1548682790158,
            "destinationip": "1.1.1.1",
            "eventcount": 13,
            "qid": 20257872,
            "magnitude": 3,
            "destinationport": 53,
            "protocolid": 17,
            "sourceport": 50597,
            "identityip": "1.1.1.1",
            "sourceip": "1.1.1.1",
            "logsourceid": 71
        }, {
            "username": "None",
            "category": 8053,
            "starttime": 1548682800217,
            "destinationip": "1.1.1.1",
            "eventcount": 1,
            "qid": 20280296,
            "magnitude": 3,
            "destinationport": 443,
            "protocolid": 6,
            "sourceport": 49230,
            "identityip": "1.1.1.1",
            "sourceip": "1.1.1.1",
            "logsourceid": 71
        }
    ]
}
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל, והיא לא אמורה לעצור את ההפעלה של הפלייבוק

  • אם הפעולה מצאה נתונים: "נמצאו נתונים לשאילתה".
  • אם הפעולה לא מצאה נתונים: "לא נמצאו נתונים לשאילתה".

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם החיבור נכשל: "Failed to execute action, the error is {o}".format(exception.stacktrace)
 כללי
טבלה

"תוצאות השאילתה"

כותרות:...

 כללי

פינג

תיאור

בדיקת הקישוריות למכונה של QRadar.

פרמטרים

לא רלוונטי

תרחישי שימוש מיועדים

בדיקה אם הגישה למערכת היעד מצליחה או לא באמצעות פרמטרים, שסופקו בהגדרת השילוב בדף Google SecOps Content Hub.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה לא אמורה להיכשל, והיא לא אמורה לעצור את ההפעלה של הפלייבוק.

  • אם החיבור הצליח: "החיבור הצליח"

הפעולה אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם החיבור נכשל: "Failed to connect to a QRadar instance, the error is {o}".format(exception.stacktrace)
 כללי

חיפוש ערך בקבוצת ערכי ייחוס

תיאור

בדיקה אם ערך מסוים מופיע בקבוצת עזר ספציפית.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן שם קבוצת ההפניות לבדיקת ערך.
ערך String לא רלוונטי כן הערך שצריך לבדוק בקבוצה שאליה מפנים.

תרחיש לדוגמה לשימוש בפלייבוק

כתובת IP נמצאה זדונית בהרצת פלייבוק, צריך לבדוק אם היא מופיעה בקבוצת העזר Malicious_IPs.

הפעלה ב-

הפעולה הזו לא פועלת על הישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "timeout_type": "FIRST_SEEN",
    "number_of_elements": 1,
    "data": [
      {
        "last_seen": 1611149814345,
        "first_seen": 1611149814345,
        "source": "admin",
        "value": "192.168.10.230",
        "domain_id": null
      }
    ],
    "creation_time": 1440695740583,
    "name": "Critical Assets",
    "namespace": "SHARED",
    "element_type": "IP",
    "collection_id": 20
  }
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם לא מדווחות שגיאות:

    אם הערך נמצא: "הערך {value} נמצא בקבוצת ההפניות".

    אם הערך לא נמצא: "לא נמצא ערך בקבוצת ההפניות".

  • אם מדווח על שגיאות (is_success=False): "Failed to lookup {value} in the reference set."‎

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'חיפוש ערך בקבוצת עזר'. הסיבה: {0}".format(error.Stacktrace)
 כללי

חיפוש ערך במפת עזר

תיאור

בדיקה אם ערך מסוים מופיע במפת עזר ספציפית.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן שם מפת העזר לבדיקת ערך.
ערך String לא רלוונטי כן הערך שצריך לבדוק במפה שאליה מפנים.

תרחיש לדוגמה לשימוש בפלייבוק

בודקים אם לשם משתמש מסוים יש הרשאת גישה לכתובת IP נתונה על סמך ערכים של מפת עזר.

הפעלה ב-

הפעולה הזו לא פועלת על הישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "1001": {
            "last_seen": 1583903726952,
            "first_seen": 1583903726952,
            "source": "reference data api",
            "value": "jack"
        }
    }
}
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם נמצא ערך: "נמצא {value} במפת העזר".

    אם הערך לא נמצא: "לא נמצא ערך במפת העזר".

  • אם יש שגיאות (is_success=False): "Failed to lookup {value} in the reference set."‎

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'חיפוש ערך במפת עזר'. הסיבה: {0}".format(error.Stacktrace)
 כללי

חיפוש ערך במפת עזר של קבוצות

תיאור

בדיקה אם ערך מסוים מופיע במפה ספציפית של קבוצות.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן שם מפת העזר של הקבוצות לבדיקת ערך.
ערך String לא רלוונטי כן הערך שצריך לבדוק במפה של קבוצות שאליה מפנים.

דוגמה לתרחישי שימוש

בודקים אם לשם משתמש מסוים יש הרשאה לגשת לכתובת IP נתונה על סמך מפת עזר של ערכים מוגדרים.

הפעלה ב-

הפעולה הזו פועלת על הישויות של Google SecOps.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
"data": {
        "192.168.1.1": [
            {
                "last_seen": 1583912905418,
                "first_seen": 1583912905418,
                "source": "reference data api",
                "value": "jack, john, huey"
            },
            {
                "last_seen": 1583913398524,
                "first_seen": 1583913398524,
                "source": "reference data api",
                "value": "zz"
            },
            {
                "last_seen": 1583913639025,
                "first_seen": 1583913639025,
                "source": "reference data api",
                "value": "jane"
            }
        ]
        }
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם הערך נמצא: "נמצא ערך במפת העזר של הקבוצות".

    אם הערך לא נמצא: "לא נמצא הערך {value} במפת העזר של הקבוצות".

  • אם יש שגיאות (is_success=False): "Failed to lookup {value} in the reference map of sets."

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'חיפוש ערך במפת עזר של קבוצות'. הסיבה: {0}".format(error.Stacktrace)
 כללי

חיפוש ערך בטבלאות עזר

תיאור

בדיקה אם ערך מסוים מופיע בטבלת עזר ספציפית.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן שם טבלת העזר שבה בודקים את הערך.
ערך String לא רלוונטי כן הערך שצריך לבדוק בטבלה שאליה מפנים.

הפעלה ב-

הפעולה הזו פועלת בכל הישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "Source_IP": {
            "port": {
                "last_seen": 1583933682283,
                "first_seen": 1583933682283,
                "source": "reference data api",
                "value": "8080"
            }
        },
        "192.168.1.1": {
            "port": {
                "last_seen": 1583990995600,
                "first_seen": 1583990995600,
                "source": "reference data api",
                "value": "8080"
            }
        }
    }
}
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם נמצא ערך: "נמצא ערך בטבלת העזר".

    אם הערך לא נמצא: "לא נמצא ערך בטבלאות העזר".

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מופיעה השגיאה: "Error executing "Lookup for a value in a reference tables" action.‎ הסיבה: {0}".format(error.Stacktrace)"
 כללי

חיפוש מפתח במפת עזר

תיאור

בדיקה אם מפתח מופיע במפת עזר ספציפית.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן שם מפת העזר לבדיקת ערך.
מפתח String לא רלוונטי כן המפתח לבדיקה במפת עזר.

דוגמה לתרחישי שימוש

בודקים אם לשם משתמש מסוים יש הרשאת גישה לכתובת IP נתונה על סמך ערכים של מפת עזר.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "data": {
        "1001": {
            "last_seen": 1583903726952,
            "first_seen": 1583903726952,
            "source": "reference data api",
            "value": "jack"
        }
    }
}
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם המפתח נמצא: "נמצא {key} במפת העזר".

    אם המפתח לא נמצא: "לא נמצא המפתח {key} במפת העזר".

  • אם יש שגיאות (is_success=False): "Failed to lookup {key} in the reference set."‎

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה 'חיפוש ערך במפת עזר'. הסיבה: {0}".format(error.Stacktrace)
כללי

חיפוש מפתח במפת עזר של קבוצות

תיאור

בודקים אם מפתח מופיע במפה ספציפית של קבוצות.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם String לא רלוונטי כן שם מפת העזר של הקבוצות לבדיקת ערך.
מפתח String לא רלוונטי כן המפתח לבדיקה במפה של קבוצות שאליה מפנים.

דוגמה לתרחישי שימוש

בדיקה אם שם משתמש מסוים יכול לגשת לכתובת IP נתונה, על סמך מפת עזר של ערכים מוגדרים.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
"data": {
        "192.168.1.1": [
            {
                "last_seen": 1583912905418,
                "first_seen": 1583912905418,
                "source": "reference data api",
                "value": "jack, john, huey"
            },
            {
                "last_seen": 1583913398524,
                "first_seen": 1583913398524,
                "source": "reference data api",
                "value": "zz"
            },
            {
                "last_seen": 1583913639025,
                "first_seen": 1583913639025,
                "source": "reference data api",
                "value": "jane"
            }
        ]
    }
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם המפתח נמצא: "נמצא המפתח {key} במפת העזר של הקבוצות".

    אם המפתח לא נמצא: "לא נמצא המפתח {key} במפת העזר של הקבוצות".

  • אם יש שגיאות (is_success=False): "Failed to lookup {key} in the reference map of sets."‎

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "שגיאה בביצוע הפעולה "חיפוש ערך במפת עזר של קבוצות". הסיבה: {0}".format(error.Stacktrace)
 כללי

רשימת קבוצות של קובצי עזר

תיאור

רשימת קבוצות ההפניות שזמינות ב-QRadar.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שדות להחזרה String לא רלוונטי לא ציינו את השדות שהפעולה צריכה להחזיר. אם לא מציינים שדות, הפעולה מחזירה את כל השדות הזמינים כברירת מחדל. הפרמטר מקבל כמה ערכים שמופרדים בפסיקים.
תנאי סינון String לא רלוונטי לא צריך לציין תנאי סינון כדי להחזיר רק רכיבים ספציפיים, לדוגמה: element_type = IP
מספר הרכיבים שיוחזרו מספר שלם 25 כן מציינים את המספר המקסימלי של רכיבים שהפעולה תחזיר.

דוגמה לתרחישי שימוש

רשימת הרכיבים הזמינים בקובץ העזר.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "name": "Critical Assets",
        "element_type": "IP"
    },
    {
        "name": "Asset Reconciliation IPv4 Blocklist",
        "element_type": "IP"
    },
    {
        "name": "Proxy Servers",
        "element_type": "IP"
    }
]
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם מוחזרים נתונים:"הפעולה הושלמה בהצלחה והוחזרו נתונים".

    אם לא נמצא שום דבר, למשל אם ערך הסינון שצוין לא קיים: הפעולה הושלמה אבל לא הוחזרו נתונים".

  • אם מדווחים על שגיאות, כמו תחביר שגוי (is_success=False): "Failed to execute action due to errors (0).format(error text)"‎

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה. הסיבה: {0}".format(error.Stacktrace)
 כללי

רשימת מפות להתמצאות

תיאור

רשימת מפות העזר שזמינות ב-QRadar.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שדות להחזרה String לא רלוונטי לא ציינו את השדות שהפעולה צריכה להחזיר. אם לא מציינים שדות, הפעולה מחזירה את כל השדות הזמינים כברירת מחדל. הפרמטר הזה מקבל כמה ערכים שמופרדים בפסיקים.
תנאי סינון String לא רלוונטי לא מציינים תנאי סינון כדי להחזיר רק רכיבים ספציפיים, לדוגמה: element_type = ALNIC
מספר הרכיבים שיוחזרו מספר שלם 25 כן מציינים את המספר המקסימלי של רכיבים שהפעולה תחזיר.

דוגמה לתרחישי שימוש

רשימת הרכיבים הזמינים בקובץ העזר.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "name": "User1",
        "element_type": "ALNIC"
    },
    {
        "name": "User",
        "element_type": "ALNIC"
    }
]
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם מוחזרים נתונים: "הפעולה הושלמה בהצלחה והוחזרו נתונים".

    אם לא נמצא שום דבר, למשל אם ערך המסנן שצוין לא קיים: "הפעולה הושלמה אבל לא הוחזרו נתונים".

  • אם מדווח על שגיאות, כמו תחביר שגוי (is_success=False): "Failed to execute action due to errors (0).format(error text)"‎

הפעולה אמורה להיכשל ולעצור את הפעלת הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה. הסיבה: {0}".format(error.Stacktrace)
 כללי

רשימת מפות עזר של קבוצות

תיאור

רשימת מפות עזר של קבוצות שזמינות ב-QRadar.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שדות להחזרה String לא רלוונטי לא ציינו את השדות שהפעולה צריכה להחזיר. אם לא מציינים שדות, הפעולה מחזירה את כל השדות הזמינים כברירת מחדל. הפרמטר הזה מקבל כמה ערכים שמופרדים בפסיקים.
תנאי סינון String לא רלוונטי לא צריך לציין תנאי סינון כדי להחזיר רק רכיבים ספציפיים, לדוגמה: element_type = ALN
מספר הרכיבים שיוחזרו מספר שלם 25 כן מציינים את המספר המקסימלי של רכיבים שהפעולה תחזיר.

דוגמה לתרחישי שימוש

רשימת הרכיבים הזמינים בקובץ העזר.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "name": "CorrelatedAttackMap",
        "element_type": "ALN"
    },
    {
        "name": "TestMapOfSets",
        "element_type": "ALN"
    }
]
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם מוחזרים נתונים: "הפעולה הושלמה בהצלחה והוחזרו נתונים".

    אם לא נמצא שום דבר, למשל אם ערך המסנן שצוין לא קיים: "הפעולה הושלמה אבל לא הוחזרו נתונים".

  • אם מדווחים על שגיאות, כמו תחביר שגוי (is_success=False): "Failed to execute action due to errors (0).format(error text)"‎

הפעולה אמורה להיכשל ולעצור את הפעלת הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה. הסיבה: {0}".format(error.Stacktrace)
 כללי

טבלאות עזר של רשימות

תיאור

רשימת טבלאות העזר שזמינות ב-QRadar.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שדות להחזרה String לא רלוונטי לא ציינו את השדות שהפעולה צריכה להחזיר. אם לא מציינים שום דבר, הפעולה מחזירה את כל השדות הזמינים כברירת מחדל. הפרמטר מקבל כמה ערכים שמופרדים בפסיקים.
תנאי סינון String לא רלוונטי לא צריך לציין תנאי סינון כדי להחזיר רק רכיבים ספציפיים, לדוגמה: element_type = ALN
מספר הרכיבים שיוחזרו מספר שלם 25 כן מציינים את המספר המקסימלי של רכיבים שהפעולה תחזיר.

דוגמה לתרחישי שימוש

רשימת הרכיבים הזמינים בקובץ העזר.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[
    {
        "name": "TestTable2",
        "element_type": "ALN"
    },
    {
        "name": "TestTable3",
        "element_type": "ALN"
    }
]
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם אין שגיאות:

    אם מוחזרים נתונים: "הפעולה הושלמה בהצלחה והוחזרו נתונים".

    אם לא נמצא שום דבר, למשל אם ערך המסנן שצוין לא קיים: "הפעולה הושלמה אבל לא הוחזרו נתונים".

  • אם יש שגיאות, כמו תחביר שגוי (is_success=False): "Failed to execute action due to errors (0).format(error text)"‎

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה. הסיבה: {0}".format(error.Stacktrace)
 כללי

הוספת הערה על העבירה

תיאור

הוספת הערה לעבירה ב-QRadar.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
מזהה העבירה מספר שלם לא רלוונטי כן מזהה העבירה שרוצים להוסיף לה הערה.
טקסט של הערה String לא רלוונטי כן טקסט של הערה שרוצים להוסיף לעבירה.

דוגמה לתרחישי שימוש בפלייבוק

הוספת הערה על עבירה ב-QRadar מ-Google SecOps.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם הפעולה בוצעה בהצלחה: "Added a note to offense {0}".format(offense_id)"
  • אם is_success=False, לדוגמה, אירעה שגיאה פנימית בצד של QRadar: "Failed to add a note to offense {0}".format(offense_id)"

    • הפעולה אמורה להיכשל ולעצור את הפעלת הפלייבוק:

  • אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשרת QRadar נכשלה! השגיאה היא {0}".format(exception.stacktrace)
 כללי

עדכון העבירה

תיאור

עדכון של QRadar Offense.

פרמטרים

שם הפרמטר לתצוגה סוג ערך ברירת המחדל חובה תיאור
מזהה העבירה מספר שלם לא רלוונטי כן מזהה העבירה שצריך לעדכן.
הוקצה ל: String לא רלוונטי לא פרטי הכניסה של המשתמש שאליו רוצים להקצות את העבירה.
סטטוס DDL " " לא הסטטוס החדש של העבירה.
הסיבה לסגירה String לא רלוונטי לא אם סטטוס העבירה מוגדר כסגור, צריך לספק סיבת סגירה של QRadar.
המשך מעקב תיבת סימון הסימון בתיבה בוטל לא צריך לציין אם לסמן את ההפרה כהפרה שדורשת מעקב.
מוגן תיבת סימון הסימון בתיבה בוטל לא מציינים אם לסמן את העבירה כמוגנת.

דוגמה לתרחישי שימוש בפלייבוק

עדכון של העבירה ב-QRadar בחזרה מ-Google SecOps כדי לשמור על סנכרון בין סטטוס העבירה ב-QRadar לבין Google SecOps.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
{
    "last_persisted_time": 1611143659000,
    "username_count": 0,
    "description": "Web\n",
    "rules": [
        {
            "id": 100555,
            "type": "CRE_RULE"
        }
    ],
    "event_count": 0,
    "flow_count": 4,
    "assigned_to": "admin",
    "security_category_count": 1,
    "follow_up": true,
    "source_address_ids": [
        50
    ],
    "source_count": 1,
    "inactive": true,
    "protected": true,
    "closing_user": null,
    "destination_networks": [
        "other"
    ],
    "source_network": "other",
    "category_count": 1,
    "close_time": null,
    "remote_destination_count": 1,
    "start_time": 1610451749000,
    "magnitude": 0,
    "last_updated_time": 1610451887000,
    "credibility": 0,
    "id": 93,
    "categories": [
        "Web"
    ],
    "severity": 0,
    "policy_category_count": 0,
    "log_sources": [],
    "closing_reason_id": null,
    "device_count": 0,
    "first_persisted_time": 1610451722000,
    "offense_type": 1,
    "relevance": 0,
    "domain_id": 0,
    "offense_source": "37.28.155.22",
    "local_destination_address_ids": [],
    "local_destination_count": 0,
    "status": "OPEN"
}
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל ולא אמורה לעצור את ההפעלה של הפלייבוק:

  • אם הפעולה בוצעה: "Offense {0} was updated".format(offense_id)"
  • אם is_success=False, לדוגמה, לא נמצאו עבירות עם המזהה שסופק: "Fail to update offense for provided id {0}".format(offense_id)"

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה קריטית, כמו פרטי כניסה שגויים או אובדן קישוריות: "ההתחברות לשרת QRadar נכשלה! השגיאה היא {0}".format(exception.stacktrace)
 כללי

קבלת כיסוי MITRE של הכלל

תיאור

אפשר לקבל פרטים מ-MITRE על כללים ב-QRadar באמצעות האפליקציה Use Case Manager.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שמות הכללים CSV כן צריך לציין רשימה מופרדת בפסיקים של שמות כללים שהפעולה צריכה להחזיר עבורם פרטי MITRE.
יצירת תובנה בוליאני True לא אם הפעולה מופעלת, היא יוצרת תובנה שמכילה מידע על הכיסוי של MITRE בכללים.

הפעלה ב-

הפעולה הזו לא פועלת על ישויות.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
is_success נכון/לא נכון is_success:False
תוצאת JSON
[{
    "rulename": "Excessive Database Connections"
        "id": "SYSTEM-1431",
        "has_ibm_default": true,
        "last_updated": 1591634177302,
        "mapping": {
            "Discovery": {
                "confidence": "medium",
                "user_override": false,
                "enabled": true,
                "ibm_default": true,
                "id": "TA0007",
                "techniques": {}
            },
            "Initial Access": {
                "confidence": "low",
                "user_override": false,
                "enabled": true,
                "ibm_default": true,
                "id": "TA0001",
                "techniques": {}
            }
        },
        "min-mitre-version": 7
    }
}]
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל או לעצור את ההפעלה של הפלייבוק:

  • אם נמצא לפחות כלל אחד (is_success=true): "Successfully found MITRE coverage for the following rules in QRadar Use Case Manager: {rule name}\n."
  • אם לא נמצא לפחות כלל אחד (is_success=true): "הפעולה לא מצאה כיסוי של MITRE לכללים הבאים ב-QRadar Use Case Manager: ‏{rule name}\n."
  • אם לא נמצאו כללים (is_success=false): "לא נמצא כיסוי MITRE לכללים שסופקו ב-QRadar Use Case Manager".

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "שגיאה בביצוע הפעולה "קבלת כיסוי MITRE של הכלל". הסיבה: {0}''.format(error.Stacktrace)
  • אם קוד הסטטוס 404 מדווח בתגובה: "Error executing action "Get Rule MITRE Coverage".‎ הסיבה: Use Case Manager לא מותקן.'
 כללי
שולחן קיר עם ארונית

שם הטבלה: MITRE Coverage

עמודות בטבלה:

  • שם הכלל
  • מיפוי

תיאור

מריצים שאילתת AQL על סמך פרמטרים ב-QRadar.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם טבלה DDL

תהליכים

ערכים אפשריים:

  • תהליכים
  • אירועים
 כן מציינים את הטבלה שרוצים לשלוח אליה שאילתה.
שדות להחזרה CSV * לא מציינים את השדות שיוחזרו. אם לא מציינים שדות, הפעולה מחזירה את כל השדות. יש גם תמיכה בתווים כלליים לחיפוש.
מסנן Where String לא מציינים את המסנן WHERE לשאילתה שצריך להריץ.

אין צורך לספק מסנן זמן, הגבלה ומיון. בנוסף, לא צריך לספק מחרוזת WHERE במטען הייעודי (payload).
מסגרת זמן DDL

בשעה האחרונה

ערכים אפשריים:

  • בשעה האחרונה
  • 6 השעות האחרונות
  • ‫24 השעות האחרונות
  • בשבוע שעבר
  • בחודש שעבר
  • בהתאמה אישית
 לא מציינים את מסגרת הזמן של התוצאות. אם בוחרים באפשרות "בהתאמה אישית", צריך לציין גם "שעת התחלה".
שעת ההתחלה String לא מציינים את שעת ההתחלה של התוצאות. הפרמטר הזה הוא חובה אם בוחרים באפשרות "בהתאמה אישית" בפרמטר "מסגרת זמן". פורמט: ISO 8601. דוגמה: 2021-04-23T12:38Z
שעת הסיום String לא מציינים את שעת הסיום של התוצאות. פורמט: ISO 8601. אם לא מציינים ערך ובוחרים באפשרות "בהתאמה אישית" בפרמטר "מסגרת זמן", הפרמטר הזה משתמש בשעה הנוכחית.
שדה המיון String לא ציינו את הפרמטר שבו צריך להשתמש למיון.
סדר המיון DDL

ASC

ערכים אפשריים:

  • ASC
  • DESC
 לא מציינים את סדר המיון. צריך לציין את הפרמטר "שדה מיון".
מספר התוצאות המקסימלי שיוחזרו מספר שלם 50 לא מציינים את מספר התוצאות שרוצים לקבל.

תוצאות הפעולה

תוצאת הסקריפט
שם תוצאת הסקריפט אפשרויות לערכים דוגמה
תוצאות לא רלוונטי לא רלוונטי
תוצאת JSON
{
    "events": [
        {
            "username": "None",
            "category": 4003,
            "starttime": 1548682790158,
            "destinationip": "1.1.1.1",
            "eventcount": 13,
            "qid": 20257872,
            "magnitude": 3,
            "destinationport": 53,
            "protocolid": 17,
            "sourceport": 50597,
            "identityip": "1.1.1.1",
            "sourceip": "1.1.1.1",
            "logsourceid": 71
        }, {
            "username": "None",
            "category": 8053,
            "starttime": 1548682800217,
            "destinationip": "1.1.1.1",
            "eventcount": 1,
            "qid": 20280296,
            "magnitude": 3,
            "destinationport": 443,
            "protocolid": 6,
            "sourceport": 49230,
            "identityip": "1.1.1.1",
            "sourceip": "1.1.1.1",
            "logsourceid": 71
        }
    ]
}
קיר של נרתיק הטעינה
סוג התוצאות תיאור סוג
הודעת פלט*

הפעולה הזו לא אמורה להיכשל או להפסיק את ההפעלה של הפלייבוק:

  • אם נמצאו לפחות חלק מהנתונים (is_success=true): "התוצאות של השאילתה "{constructed query}" אוחזרו בהצלחה ב-QRadar".
  • אם לא נמצאו תוצאות (is_success=false): "לא נמצאו תוצאות לשאילתה {constructed query} ב-QRadar".

הפעולה הזו אמורה להיכשל ולעצור את ההפעלה של הפלייבוק:

  • אם מדווחת שגיאה חמורה, כמו פרטי כניסה שגויים, אין חיבור לשרת או שגיאה אחרת: "Error executing action "QRadar Simple AQL Search".‎ הסיבה: {0}''.format(error.Stacktrace)
  • אם יש שגיאות בשאילתה וקוד הסטטוס 422 מדווח: "שגיאה בביצוע הפעולה "QRadar Simple AQL Search". Reason: {message}''.format(error.Stacktrace)
 כללי
שולחן קיר עם ארונית שם הטבלה: תוצאות

מחברים

הדף Rules ב-QRadar

איך מגדירים מחברים ב-Google SecOps?

QRadar Correlation Events Connector V2

תיאור

מחבר מומלץ. מאחזר עבירות של QRadar ויוצר התראות של Google SecOps לכל כלל של QRadar שנוסף לרשימה הדינמית ב-Google SecOps. המחבר מאחזר רק את העבירות של הכללים שנוספו לרשימה הדינמית של Google SecOps. המחבר דורש גרסה 10.1 ומעלה של QRadar API. המחבר יוצר התראות ב-Google SecOps על סמך שם הכלל של העבירה ב-QRadar, ולא על סמך שם העבירה.

דרישות מוקדמות למחבר

  1. אינדקסים של QRadar לשדות חובה. המחבר QRadar New Correlation Events Connector V2 משתמש בשדות נוספים לאירועים שמשויכים לעבירות הבאות: logsource_id, ‏ creEventList, ‏ Custom Rule Partially Matched. השדות האלה אמורים להיות מתווספים לאינדקס כברירת מחדל ב-QRadar, אבל צריך לוודא שהאינדקסים האלה מופעלים כרגע. כדי לבדוק אם הם מופעלים, בממשק המשתמש של QRadar באינטרנט, עוברים אל Admin > Index Management. בחלון שנפתח, מוודאים שהאינדקסים הבאים מופעלים:

    • כלל מותאם אישית
    • מקור יומן
    • התאמה חלקית לכלל מותאם אישית

    אינדקסים ב-QRadar

    מידע נוסף זמין במאמר ניהול אינדקסים.

  2. המלצות לגבי מספר הימים המקסימלי לאחזור נתונים: צריך להשתמש בזהירות בערך הפרמטר של המחבר "מספר הימים המקסימלי לאחזור נתונים". בעבירות ב-QRadar יכולים להיות הרבה אירועים, וניסיון לאחזר אותם באמצעות המחבר עלול לגרום לעומס יתר על שרת QRadar או לבקשות שנגמר להן הזמן הקצוב. לכן מומלץ להגדיר את הפרמטר Max Days Backwards לערכים קטנים מספיק, כדי לוודא שהמחבר יכול לשלוח שאילתות ל-QRadar לגבי אירועים בתקופה שהוגדרה.

הערות לגבי השימוש במחברים

כשמשתמשים במחבר, חשוב לשים לב לנקודות הבאות:

  1. המחבר QRadar Correlation Events Connector v2 עוקב אחרי כל אירוע שנקלט בכל עבירה. כדי לעשות את זה, המערכת מחשבת סכום גיבוב (hash sum) של אירועים באמצעות כל נתוני האירועים (כל שדה של אירוע שמוחזר על ידי ה-API של QRadar) ומשתמשת בו כמזהה ייחודי של האירוע לעבירה. כתוצאה מכך, אירועים שכל השדות שלהם זהים לא נקלטים בעבירה. האירוע הראשון נטמע ומתווסף לעבירה הקשורה. עם זאת, השורות הבאות נמחקות כי הן כפילויות. הסיבה לכך היא הארכיטקטורה של QRadar, כי לאירועים ב-QRadar אין מזהים ייחודיים.

  2. המחבר QRadar Correlation Events Connector v2 יוצר התראות על סמך כללי הרשימה הדינמית שקיימים לעבירה, ולא לעבירות עצמן. כתוצאה מכך, אם אירוע בעבירה מסומן על ידי כמה כללים של רשימות דינמיות, האירוע הזה מתווסף לכמה התראות של Google SecOps לכללים של הרשימות הדינמיות הקשורות.

ב-IBM QRadar משתמשים בכללים כדי לעקוב אחרי האירועים והתהליכים ברשת, במטרה לזהות איומי אבטחה. כשהאירועים והתהליכים עומדים בקריטריונים לבדיקה שמוגדרים בכללים, נוצרת עבירה שמצביעה על חשד למתקפת אבטחה או להפרת מדיניות.

המחבר החדש מטמיע עבירות ב-Google SecOps רק על סמך כללים תואמים. הכללים האלה מוגדרים על ידי המשתמש וצריך להוסיף אותם לרשימה הדינמית כדי לוודא ש-Google SecOps יקלוט רק עבירות שרלוונטיות למשתמש. לכן, אחרי שנוצרת עבירה חדשה, המחבר בודק את הכללים שהפעילו את העבירה (סינון הכללים נוסף ב-QRadar API בגרסה 9 ואילך). אם הכללים הם חלק מהרשימה הדינמית, המחבר מכין את העבירה להטמעה.

תרחיש שימוש במחבר

חקירת עבירה

ב-IBM QRadar משתמשים בכללים כדי לעקוב אחרי האירועים והתהליכים ברשת, במטרה לזהות איומי אבטחה. כשהאירועים והתהליכים עומדים בקריטריונים של הבדיקה שמוגדרים בכללים, נוצרת עבירה כדי להראות שיש חשד למתקפת אבטחה או להפרת מדיניות. אבל לדעת שהייתה הפרה זה רק השלב הראשון. כדי לזהות איך זה קרה, איפה זה קרה ומי עשה את זה, צריך לבצע חקירה.

החלון Offense Summary עוזר לכם להתחיל את חקירת העבירה על ידי מתן הקשר שיעזור לכם להבין מה קרה ולקבוע איך לבודד ולפתור את הבעיה.

סיכום העבירות הצגה

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל תיאור
שם שדה המוצר String לא רלוונטי מתאר את שם השדה שבו מאוחסן שם המוצר.
שם השדה של האירוע String לא רלוונטי מתאר את שם השדה שבו מאוחסן שם האירוע.
שם השדה של הסביבה String domain_name מתאר את שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, הסביבה היא "".
תבנית ביטוי רגולרי של סביבה String .* תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".
הרמה הבסיסית (root) של ה-API String https://IP_ADDRESS:port כתובת השרת של QRadar.
טוקן API String לא רלוונטי טוקן האימות של ה-API.
גרסת ה-API String ‫10.1 גרסת ה-API של QRadar שבה משתמשים. המחבר תומך בגרסת API החל מ-10.1.
מסנן דומיינים מחרוזת (CSV) לא רלוונטי מציינים את הדומיינים של QRadar שמהם צריך להטמיע את העבירות. אם לא תציינו ערכים, המחבר יקלוט עבירות מכל הדומיינים. הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
מגבלת האירועים לכל התראה ב-Siemplify מספר שלם 25 מספר האירועים המקסימלי שאפשר לאחזר לכל התראה ב-Google SecOps בכל מחזור. אפשר להגדיל את הערך כדי שהמחבר יפעל מהר יותר, אם בתקופת הריפוד שצוינה לעבירה, מוחזרים כל הזמן מספרים גדולים של אירועים.
גודל הדף של אירועי המחבר מספר שלם 100 גודל הדף שבו המחבר ישתמש כדי לעבד אירועים בקבוצות.
מספר העבירות המקסימלי בכל מחזור מספר שלם 10 מספר העבירות המקסימלי לעיבוד בכל הפעלה של המחבר.

כדי להבטיח ביצועים אופטימליים, מומלץ לא להגדיר ערך נמוך מ-10.

זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 300 מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
מספר הימים המקסימלי אחורה מספר שלם 5 מספר הימים המקסימלי לאחזור נתוני עבירות לאחור.
תקופת הצינון של ההפרות מספר שלם 60 מסגרת הזמן בדקות לאחזור עבירות.
תקופת הריפוד של האירועים מספר שלם 1 מסגרת הזמן בימים לאחזור נתוני אירועים.
שדות מותאמים אישית String לא רלוונטי שדות בהתאמה אישית שהמשתמש מגדיר ב-QRadar, הערכים מופרדים בפסיקים. דוגמה: שדה א', שדה ב'
איזה ערך צריך להזין בשדה Name של התראת Siemplify? String custom_rule מציינים את הפורמט שלפיו ייווצרו שמות להתראות שנוצרו על ידי המחבר.

הערכים האפשריים הם: custom_rule או offense_description
באיזה ערך צריך להשתמש בשדה Rule Generator (מחולל הכללים) של התראת Siemplify? String custom_rule מציינים את הפורמט שלפיו ימולא השדה rule_generator בהתראות שנוצרו על ידי המחבר.

הערכים האפשריים הם: custom_rule או offense_description
ליצור בקשות תמיכה מסוג "לא ניתן לאחזר אירועים לעבירה"? תיבת סימון סימן אישור אם האפשרות הזו מסומנת, המחבר ייצור מקרים של אזהרות מסוג "לא ניתן לאחזר אירועים של העבירה" אם המחבר לא יכול לאחזר אירועים של העבירות המעודכנות במהלך תקופת הריפוד של העבירות.
כתובות של שרתי Proxy String לא רלוונטי כתובת שרת ה-proxy.
שם המשתמש בשרת ה-proxy String לא רלוונטי שם המשתמש של שרת ה-proxy.
סיסמת שרת ה-Proxy סיסמה לא רלוונטי סיסמת שרת ה-proxy.
מגבלת אירועים לכל כלל של עבירה ב-Qradar מספר שלם 100 מציינים מגבלה על מספר האירועים שצריך להטמיע לכל כלל יחיד ב-QRadar offense. אחרי שמגיעים למגבלה הזו, לא נקלטים אירועים חדשים בעבירה של כלל QRadar הקשור. דוגמה: 100
מגבלת האירועים שהמחבר יכול לשלוח בשאילתה בהפעלה אחת של המחבר מספר שלם לא רלוונטי מציינים את מספר האירועים המקסימלי שמחבר עבירות אחד יכול לשלוף מ-QRadar בהפעלה אחת של המחבר. דוגמה: 100.

שימו לב שהערך שצוין בפרמטר לא יכול להיות נמוך מהערך שצוין בפרמטר Events Limit per QRadar Offense Rule. בנוסף, בגלל האופן שבו המחבר מאחזר אירועים, אירועים ישנים יותר ומחוץ למגבלה לא מאוחזרים ל-Google SecOps. המחבר מאחזר את האירועים החדשים ביותר עד שמגיעים למגבלה שצוינה בפרמטר "מגבלת אירועים לכל כלל עבירה ב-QRadar".
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון התיבה לא מסומנת אם המדיניות מופעלת, הרשימה הדינמית משמשת כרשימת חסימה.
השבתת התפריט הנפתח תיבת סימון התיבה לא מסומנת אם האפשרות הזו מופעלת, מנגנון ההצפה של המחבר לא נבדק לגבי ההתראות שנוצרו, התראות ה"הצפה" לא נוצרות והמחבר מנסה לאחזר את כל העבירות שהוחזרו מ-QRadar.
טיימר לסנכרון מחדש של כללי העבירות ב-Qradar מספר שלם 10 מציינים בדקות את התדירות שבה המחבר צריך לסנכרן מחדש את רשימת כללי העבירות של QRadar. אם הפרמטר לא מוגדר או מוגדר ל-0, המחבר מסנכרן מחדש בכל הפעלה.
התעלמות מחיפוש שם המארח 0.0.0.0 תיבת סימון התיבה לא מסומנת אם בוחרים באפשרות הזו, המחבר לא מאחזר שמות מארחים לכתובות 0.0.0.0.

האפשרות הזו נתמכת רק ב-QRadar API מגרסה 10.1 ואילך.

כללי מחברים

רשימת חסימה ורשימה דינמית

המחבר מעביר עבירות ל-Google SecOps על סמך כללים תואמים. הכללים האלה מוגדרים על ידי המשתמשים ומתווספים לרשימה דינמית, כדי להבטיח שמערכת Google SecOps תטמיע רק עבירות שמעניינות או חשובות למשתמש.

‫RuleType (רשימה דינמית או רשימת חסימה) RuleName (מחרוזת)
רשימה דינמית מקומי: זוהה SSH או Telnet ביציאה לא סטנדרטית
רשימה דינמית כמה ניסיונות התחברות שנכשלו מאותו מקור

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

תקשורת מוצפנת

המחבר תומך בתקשורת מוצפנת (SSL/TLS).

תמיכה ב-Unicode

המחבר תומך בקידוד Unicode להתראות שעובדו.

QRadar Offenses Connector

תיאור

מחבר העבירות של QRadar משמש לאחזור עבירות וליצירת התראות ב-Google SecOps על סמך העבירות עצמן ב-QRadar, בניגוד לאופן שבו מחברים של שילובים אחרים עושים זאת על סמך שמות הכללים של QRadar. למחבר יש מגבלה על מספר האירועים הכולל שהוא יאחזר לכל עבירה ב-QRadar. אחרי שמגיעים למגבלה הזו, אירועים חדשים לא יוטמעו. המחבר משתמש ברשימה דינמית של Google SecOps, אבל כברירת מחדל, אם לא מוגדרים כללים לרשימה דינמית, הוא יאחזר את כל העבירות שהוחזרו מ-QRadar API. המחבר דורש את גרסה 10.1 ומעלה של QRadar API.

המחבר נחשב לגרסה שקל יותר להגדיר ולהשתמש בה, ואפשר להשתמש בו אם אין צורך לעקוב אחרי כל אירועי העבירות ב-QRadar ולהטמיע אותם ב-Google SecOps (כמו שמחברי השילוב והקורלציה עושים).

פרמטרים של מחברים

כדי להגדיר את המחבר, משתמשים בפרמטרים הבאים:

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
שם שדה המוצר String לא רלוונטי כן מתאר את שם השדה שבו מאוחסן שם המוצר.
שם השדה של האירוע String לא רלוונטי כן מתאר את שם השדה שבו מאוחסן שם האירוע.
שם השדה של הסביבה String domain_name לא מתאר את שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, הסביבה היא "".
תבנית ביטוי רגולרי של סביבה String .* לא תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה "שם השדה של הסביבה".
הרמה הבסיסית (root) של ה-API String https://IP_ADDRESS:port כן כתובת שרת ה-API.
טוקן API String לא רלוונטי כן טוקן האימות של ה-API.
גרסת ה-API String ‫10.1 כן גרסת ה-API של QRadar שבה משתמשים. המחבר תומך בגרסת API החל מ-10.1.
המגבלה הכוללת של אירועים לכל הפרה מספר שלם 100 כן מציינים כמה אירועים לכל עבירה ב-QRadar צריך להטמיע בסך הכול באמצעות המחבר. אחרי שמגיעים למגבלה הזו, אירועים חדשים לא יוטמעו עבור העבירה.
מגבלת אירועים לכל כלל של Qradar Offence מספר שלם לא רלוונטי לא אפשר לציין מגבלה אופציונלית למספר האירועים שצריך להטמיע לכל כלל יחיד בעבירה ב-QRadar. לא יוטמעו אירועים חדשים בעבירה עבור הכלל הקשור ב-QRadar לאחר הגעה למגבלה הזו. המגבלה לא יכולה להיות גדולה יותר מהמגבלה הכוללת של אירועים לכל הפרה.
גודל הדף של אירועי המחבר מספר שלם 100 כן גודל הדף שבו המחבר ישתמש כדי לעבד אירועים בקבוצות.
מספר העבירות המקסימלי בכל מחזור מספר שלם 10 כן מספר העבירות המקסימלי לעיבוד בכל הפעלה של המחבר.

כדי להבטיח ביצועים אופטימליים, מומלץ לא להגדיר ערך נמוך מ-10.

זמן קצוב לתפוגה של סקריפט (בשניות) מספר שלם 300 כן מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.
מספר הימים המקסימלי אחורה מספר שלם 5 לא מספר הימים המקסימלי לאחזור נתונים על עבירות לאחור
תקופת הצינון של ההפרות מספר שלם 60 כן מסגרת הזמן בדקות לאחזור עבירות.
תקופת הריפוד של האירועים מספר שלם 1 כן מסגרת הזמן בימים לאחזור נתוני אירועים.
שדות מותאמים אישית String לא רלוונטי לא שדות בהתאמה אישית שהמשתמש מגדיר ב-QRadar, מופרדים בפסיקים, למשל: שדה א', שדה ב'.
מסנן דומיינים String לא רלוונטי לא מציינים את הדומיינים של QRadar שמהם צריך להטמיע את העבירות. אם לא תציינו ערכים, המחבר יקלוט עבירות מכל הדומיינים. הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
מסנן עוצמה מספר שלם לא רלוונטי לא מציינים את חומרת העבירה שרוצים להטמיע. עבירות עם חומרה ששווה או גדולה מהערך שצוין יוטמעו ב-Google SecOps.
איזה ערך צריך להזין בשדה Name של התראת Siemplify? String custom_alert_name לא מציינים את הפורמט שלפיו ייווצרו שמות להתראות שנוצרו על ידי המחבר.

הערכים האפשריים הם: custom_alert_name או offense_description.
שימוש ברשימת ההיתרים כרשימת חסימה תיבת סימון התיבה לא מסומנת לא אם המדיניות מופעלת, הרשימה הדינמית תשמש כרשימת חסימה. אם תיבת הסימון לא מסומנת ולא הוגדרו כללים לרשימה דינמית, המחבר יאחזר את כל העבירות שמוחזרות מ-QRadar API.
השבתת התפריט הנפתח תיבת סימון התיבה לא מסומנת לא אם האפשרות הזו מופעלת, מנגנון ההצפה של המחבר לא ייבדק לגבי ההתראות שנוצרו – לא ייווצרו התראות "הצפה", והמחבר ינסה לאחזר את כל העבירות שהוחזרו מ-QRadar.
כתובות של שרתי Proxy String לא כתובת שרת ה-proxy.
שם המשתמש בשרת ה-proxy String לא רלוונטי לא שם המשתמש של שרת ה-proxy.
סיסמת שרת ה-Proxy סיסמה לא רלוונטי לא סיסמת שרת ה-proxy.
טיימר לסנכרון מחדש של כללי העבירות ב-Qradar מספר שלם 10 לא מציינים בדקות את התדירות שבה המחבר צריך לסנכרן מחדש את רשימת כללי העבירות של Qradar. אם הפרמטר לא מוגדר או מוגדר ל-0, המחבר מסנכרן מחדש בכל הפעלה.
שדה חותמת הזמן String last_updated_time לא צריך לציין באיזה שדה של חותמת זמן להשתמש כדי לזהות עבירות עם שינויים שבוצעו לאחרונה. הערכים האפשריים הם: last_persisted_time (נתמך מ-API בגרסה 14.0) או last_updated_time (נתמך מ-API בגרסה 10.1).

כללי מחברים

תמיכה בשרת proxy

המחבר תומך בשרת proxy.

מחבר העבירות הבסיסיות של QRadar

המחבר מאחזר עבירות ויוצר התראות ב-Google SecOps על סמך השמות של העבירות ב-QRadar.

המחבר יוצר התראה אחת ב-Google SecOps לכל עבירה ב-QRadar, ולא יוצר התראות נוספות ב-Google SecOps כשמופיעים אירועים חדשים מ-QRadar.

המחבר משתמש ברשימה הדינמית של Google SecOps. כברירת מחדל, אם לא מוגדרים כללים לרשימה דינמית, המחבר מאחזר את כל העבירות שמוחזרות מה-API של Qradar.

פרמטרים של מחברים

פרמטרים
שם שדה המוצר חובה

שם השדה שבו מאוחסן שם המוצר.
שם השדה של האירוע חובה

שם השדה שבו מאוחסן שם האירוע.
שם השדה של הסביבה אופציונלי

שם השדה שבו מאוחסן שם הסביבה. אם שדה הסביבה לא נמצא, הסביבה מוגדרת כ-"".
תבנית ביטוי רגולרי של סביבה אופציונלי

תבנית של ביטוי רגולרי להפעלה על הערך שנמצא בשדה Environment Field Name.

ערך ברירת המחדל הוא .*
הרמה הבסיסית (root) של ה-API חובה

כתובת שרת ה-API.
טוקן API חובה

טוקן האימות של ה-API.
גרסת ה-API חובה

גרסת ה-API של QRadar. המחבר תומך ב-API בגרסה 10.1 ואילך.
המגבלה הכוללת של אירועים לכל הפרה חובה

מציין כמה אירועים לכל עבירה ב-QRadar צריך להטמיע בסך הכול באמצעות המחבר. אחרי שמגיעים למגבלה שהוגדרה, אירועים חדשים לא יתווספו לעבירה.

ערך ברירת המחדל הוא 100.
מגבלת האירועים לכל כלל של QRadar Offense אופציונלי

מציין מגבלה אופציונלית על כמות האירועים שצריך להטמיע לכל כלל יחיד בעבירה של QRadar.

לא יתווספו אירועים חדשים לעבירה של כלל QRadar הקשור, ברגע שהמגבלה שהוגדרה בפרמטר הזה תגיע לסף.

.
גודל הדף של אירועי המחבר חובה

גודל הדף שבו המחבר משתמש כדי לעבד אירועים בקבוצות.

ערך ברירת המחדל הוא 100.
מספר העבירות המקסימלי בכל מחזור חובה

מספר העבירות המקסימלי לעיבוד בכל הפעלה של המחבר.

כדי להבטיח ביצועים אופטימליים, מומלץ לא להגדיר ערך נמוך מ-10.

ערך ברירת המחדל הוא 10.
זמן קצוב לתפוגה של סקריפט (בשניות) חובה

מגבלת הזמן הקצוב לתהליך Python שמריץ את הסקריפט הנוכחי.

ערך ברירת המחדל הוא 300 שניות.
מספר הימים המקסימלי אחורה אופציונלי

מספר הימים המקסימלי שממנו אפשר לאחזר את נתוני העבירות.

ערך ברירת המחדל הוא 5 ימים.
תקופת הצינון של ההפרות חובה

מסגרת הזמן בדקות לאחזור עבירות.

ערך ברירת המחדל הוא 60 דקות.
תקופת הריפוד של האירועים חובה

מסגרת הזמן בימים לאחזור נתוני אירועים.

ערך ברירת המחדל הוא יום אחד.
שדות מותאמים אישית אופציונלי

שדות מותאמים אישית מופרדים בפסיקים שהוגדרו על ידי המשתמש ב-QRadar, כמו Field A, Field B.
מסנן דומיינים אופציונלי

מציין את הדומיינים של QRadar שמהם יתבצע איסוף של עבירות. אם לא מציינים ערכים, המחבר מטמיע עבירות מכל הדומיינים. הפרמטר מקבל כמה ערכים כמחרוזת מופרדת בפסיקים.
מסנן עוצמה אופציונלי

מציין את חומרת העבירה שצריך להטמיע. עבירות שהחומרה שלהן שווה או גדולה מהערך שצוין יועברו אל Google SecOps.
איזה ערך צריך להזין בשדה Name של התראת Siemplify? אופציונלי

מציין את הפורמט שלפיו ייווצרו שמות להתראות שנוצרו על ידי המחבר.

ערך ברירת המחדל הוא custom_alert_name.

ערכים אפשריים:

  • custom_alert_name
  • offense_description
שימוש ברשימה דינמית כרשימת חסימה אופציונלי

אם התיבה מסומנת, הרשימה הדינמית משמשת כרשימת חסימה.

אם התיבה לא מסומנת ולא הוגדרו כללים לרשימה דינמית, המחבר מאחזר את כל העבירות שהוחזרו מה-API של QRadar.

האפשרות הזו לא מסומנת כברירת מחדל.
השבתת התפריט הנפתח אופציונלי

אם האפשרות הזו מופעלת, מנגנון ההצפה של המחבר לא ייבדק לגבי ההתראות שנוצרו, כך שהתראות "ההצפה" לא ייווצרו והמחבר יאחזר את כל העבירות שהוחזרו מ-QRadar.

האפשרות הזו לא מסומנת כברירת מחדל.
כתובות של שרתי Proxy אופציונלי

כתובת שרת ה-proxy.
שם המשתמש בשרת ה-proxy אופציונלי

שם המשתמש של שרת ה-proxy.
סיסמת שרת ה-Proxy אופציונלי

הסיסמה של שרת ה-proxy.
טיימר לסנכרון מחדש של כללי העבירות ב-Qradar אופציונלי

מציינת את המרווח בדקות שבו המחבר מסנכרן מחדש את רשימת כללי העבירות של QRadar. אם הפרמטר לא מוגדר או מוגדר ל-0, המחבר מסנכרן מחדש בכל הפעלה.

ערך ברירת המחדל הוא 10 דקות.
יצירת התראות SOAR על עבירות עם 0 אירועים אופציונלי

אם מסמנים את התיבה, במקרים שבהם נשלפות עבירות בלי אירועים, המחבר יוצר התראה ב-Google SecOps באמצעות נתוני העבירה מ-QRadar גם להתראה וגם לאירוע.

האפשרות הזו לא מסומנת כברירת מחדל.
טיימר ליצירת עבירות (בדקות) אופציונלי

מגדיר כמה זמן המחבר ממתין לפני שהוא מאחזר נתוני אירועים של עבירת QRadar חדשה שנוצרה.
אם המחבר לא הצליח לקבל את האירועים אחרי שהטיימר נגמר והפרמטר Create SOAR alerts if failed to get events for it? מופעל, המחבר משתמש בגיבוי כדי ליצור התראה ואירוע ב-Google SecOps מאותם נתוני עבירה ב-QRadar.

כללי מחברים

המחבר תומך בשרת proxy.

אירועים במחבר

דוגמה לאירוע:

{
    "events": [
      {
        "CREName": null,
        "CREDescription": null,
        "EventName": "WinCollect Info",
        "EventDescription": "WinCollect Info",
        "rulename_creEventList": [
          "Destination Asset Weight is Low",
          "Source Asset Weight is Low",
          "Events from Windows Host - Second Rule",
          "Context is Local to Local"
        ],
        "partialmatchlist": [],
        "qid": 63500003,
        "category": 8052,
        "sourceHostname": null,
        "destinationHostname": null,
        "creEventList": [
          100205,
          100211,
          100409,
          100199
        ],
        "credibility": 5,
        "destinationMAC": "01:23:45:ab:cd:ef",
        "destinationIP": "192.0.2.1",
        "destinationPort": 0,
        "destinationv6": "2001:db8:1:1:1:1:1:1",
        "deviceTime": 1583158321000,
        "deviceProduct": "WinCollect",
        "domainID": 0,
        "duration": 10000,
        "endTime": 1583165521106,
        "eventCount": 1,
        "eventDirection": "L2L",
        "processorId": 8,
        "hasIdentity": false,
        "hasOffense": true,
        "highLevelCategory": 8000,
        "isCREEvent": false,
        "magnitude": 6,
        "utf8_payload": "<13>Mar 02 16:12:01 DESKTOP IBM|WinCollect|src=DESKTOP\tos=Windows 10 (Build 18363 64-bit)\tdst=\tsev=3\tlog=Code.SSLConfigServerConnection\tmsg=ApplicationHeartbeat",
        "postNatDestinationIP": "198.51.100.255",
        "postNatDestinationPort": 0,
        "postNatSourceIP": "198.51.100.1",
        "postNatSourcePort": 0,
        "preNatDestinationIP": "198.0.2.255",
        "preNatDestinationPort": 0,
        "preNatSourceIP": "192.0.2.255",
        "preNatSourcePort": 0,
        "protocolName": "Reserved",
        "protocolID": 255,
        "relevance": 9,
        "severity": 3,
        "sourceIP": "192.0.2.1",
        "sourceMAC": "ab:cd:ef:01:23:45",
        "sourcePort": 0,
        "sourcev6": "2001:db8:2:2:2:2:2:2",
        "startTime": 1583165521106,
        "isunparsed": false,
        "userName": null
      }
    ]
}

תעסוקה

SyncCloseOffenses

תיאור

סגירת עבירות קשורות ב-QRadar עבור התראות סגורות ב-Google SecOps.

פרמטרים

שם הפרמטר סוג ערך ברירת המחדל חובה תיאור
הרמה הבסיסית (root) של ה-API String https://IP_ADDRESS כן נתיב כתובת ה-URL שמפנה לשרת QRadar.
טוקן API סיסמה לא רלוונטי כן אסימון האבטחה של ה-API לאימות.
גרסת ה-API String לא רלוונטי לא גרסת ה-API שבה נעשה שימוש.
ימים אחורה מספר שלם לא רלוונטי לא מספר הימים אחורה שמהם רוצים לקבל את העבירות.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.