IT JDBC beobachten

Der IBM QRadar DSM für ObserveIT JDBC erfasst JDBC -Ereignisse aus ObserveIT.

In der folgenden Tabelle sind die Spezifikationen für ObserveIT JDBC DSM aufgeführt:
Tabelle 1. ObserveIT JDBC DSM-Spezifikationen
Spezifikation Wert
Hersteller ObserveIT
Produkt ObserveIT JDBC
DSM-RPM-Name DSM-ObserveIT-QRadar_Version-Build_Number.noarch.rpm
Unterstützte Versionen V5.7
Protokoll

ObserveIT JDBC

Log File Protocol
QRadar aufgezeichnete Ereignisse
Die folgenden Ereignistypen werden von ObserveIT JDBCunterstützt:
  • Warnungen
  • Benutzeraktivität
  • Systemereignisse
  • Sitzungsaktivität
  • DBA-Aktivität

Das Protokolldateiprotokoll unterstützt Benutzeraktivitäten in LEEF-Protokollen.
Automatisch erkannt? Nein
Enthält Identität? Ja
Angepasste Eigenschaften einschließen? Nein
Weitere Informationen WebsiteObserveIT (http://www.observeit-sys.com)
Führen Sie die folgenden Schritte aus, um ObserveIT JDBC -Ereignisse zu erfassen:
  1. Wenn automatische Updates nicht aktiviert sind, laden Sie die neuesten Versionen der folgenden RPMs von der IBM® Support Website herunter und installieren Sie sie auf Ihrem QRadar Console:
    • ObserveIT JDBC DSM-RPM
    • DSMCommon DSM-RPM
    • ObserveIT JDBC PROTOKOLL RPM
    • JDBC PROTOKOLL-RPM
  2. Stellen Sie sicher, dass Ihr ObserveIT -System installiert ist und über das Netz auf die SQL Server -Datenbank zugegriffen werden kann.
  3. Erstellen Sie für jeden ObserveIT -Server, den Sie integrieren möchten, eine Protokollquelle auf dem QRadar Console. Konfigurieren Sie alle erforderlichen Parameter. Verwenden Sie diese Tabellen, um ObserveIT -spezifische Parameter zu konfigurieren:
    Tabelle 2. ObserveIT JDBC -Protokollquellenparameter
    Parameter Beschreibung
    Protokollquellentyp ObserveIT
    Protokollkonfiguration ObserveIT JDBC
    Protokollquellenkennung

    Geben Sie einen Namen für die Protokollquelle ein. Der Name darf keine Leerzeichen enthalten und muss unter allen Protokollquellen des Protokollquellentyps, der für die Verwendung des JDBC -Protokolls konfiguriert ist, eindeutig sein.

    Wenn die Protokollquelle Ereignisse von einer einzelnen Appliance erfasst, die über eine statische IP-Adresse oder einen Hostnamen verfügt, verwenden Sie die IP-Adresse oder den Hostnamen der Appliance als Wert für die Protokollquellenkennung , z. B. 192.168.1.1 oder JDBC192.168.1.1. Wenn die Protokollquelle keine Ereignisse von einer einzelnen Appliance mit einer statischen IP-Adresse oder einem Hostnamen erfasst, können Sie einen beliebigen eindeutigen Namen als Wert für Protokollquellenkennung verwenden, z. B. JDBC1, JDBC2.
    Datenbankname ObserveIT
    IP-Managementadresse oder Hostname Die IP-Adresse oder der Hostname des ObserveIT -Systems
    Port Der Port auf dem Host ObserveIT . Der Standardwert ist 1433.
    Benutzername Der Benutzername, der für die Verbindung zur MS SQL-Datenbank ObserveIT erforderlich ist.
    Kennwort Das Kennwort, das für die Verbindung zur MS SQL-Datenbank ObserveIT erforderlich ist.
    Startdatum und -zeit Verwenden Sie das Format yyyy-MM-dd HH: mm.
    Sendeaufrufintervall Die Häufigkeit, mit der die Datenbank abgefragt wird.
    EPS-Regulierung

    Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt.

    Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet.
    Tabelle 3. Protokolldateiprotokollparameter
    Parameter Beschreibung
    Protokollkonfiguration Protokolldatei
    Protokollquellenkennung Die IP-Adresse für die Protokollquelle. Dieser Wert muss mit dem Wert übereinstimmen, der im Parameter Ferne IP oder Hostname konfiguriert ist. Der Wert für Protokollquellenkennung muss für den Protokollquellentyp eindeutig sein.
    Servicetyp

    Wählen Sie in der Liste das Protokoll aus, das Sie verwenden möchten, um Protokolldateien von einem fernen Server abzurufen. Der Standardwert ist SFTP.

    SFTP-SSH-Dateiübertragungsprotokoll

    FTP - File Transfer Protocol

    SCP-Sichere Kopie

    Das zugrunde liegende Protokoll, das Protokolldateien für den SCP-und SFTP-Servicetyp abruft, erfordert, dass für den im Feld Ferne IP oder Hostname angegebenen Server das SFTP-Subsystem aktiviert ist.
    Ferne IP oder Hostname Die IP-Adresse oder der Hostname der Einheit, die Ihre Ereignisprotokolldateien speichert.
    Ferner Port Wenn der ferne Host eine vom Standard abweichende Portnummer verwendet, müssen Sie den Portwert anpassen, um Ereignisse abzurufen.
    Ferner Benutzer Der für die Anmeldung an dem Host, der Ihre Ereignisdateien enthält, erforderliche Benutzername. Der Benutzername kann bis zu 255 Zeichen lang sein.
    Fernes Kennwort Das Kennwort, das für die Anmeldung am Host erforderlich ist.
    Bestätigungskennwort Bestätigung des Kennworts, das für die Anmeldung am Host erforderlich ist.
    SSH-Schlüsseldatei Der Pfad zum SSH-Schlüssel, wenn das System für die Verwendung der Schlüsselauthentifizierung konfiguriert ist. Wenn eine SSH-Schlüsseldatei verwendet wird, wird das Feld Fernes Kennwort ignoriert.
    Fernes Verzeichnis Wenn sich die Protokolldateien für FTP im Ausgangsverzeichnis des fernen Benutzers befinden, können Sie das ferne Verzeichnis leer lassen. Ein leeres Feld fernes Verzeichnis unterstützt Systeme, auf denen eine Änderung des Arbeitsverzeichnisses (CWD) eingeschränkt ist.
    Ferne SCP-Datei Wenn Sie SCP als Servicetypausgewählt haben, müssen Sie den Dateinamen der fernen Datei eingeben.
    Rekursiv Diese Option wird bei SCP-Dateiübertragungen ignoriert.
    FTP-Dateimuster Der reguläre Ausdruck (regex), der erforderlich ist, um die Dateien anzugeben, die vom fernen Host heruntergeladen werden sollen
    FTP-Übertragungsmodus Bei ASCII-Übertragungen über FTP müssen Sie NONE im Feld Prozessor und LINEBYLINE im Feld Ereignisgenerator auswählen.
    Start Time Die Uhrzeit, zu der die Verarbeitung beginnen soll. Geben Sie beispielsweise 12:00 AM ein, um das Protokolldateiprotokoll für die Erfassung von Ereignisdateien um Mitternacht zu planen. Dieser Parameter funktioniert mit dem Wiederholungswert , um festzulegen, wann und wie oft das ferne Verzeichnis nach Dateien durchsucht wird. Geben Sie die Startzeitim 12-Stunden-Format im folgenden Format ein: HH:MM <AM/PM>.
    Wiederholung Das Zeitintervall, mit dem festgelegt wird, wie häufig das ferne Verzeichnis nach neuen Ereignisprotokolldateien durchsucht wird Das Zeitintervall kann Werte in Stunden (H), Minuten (M) oder Tagen (D) enthalten. Beispiel: Bei einer Wiederholung von 2H wird das ferne Verzeichnis alle 2 Stunden durchsucht.
    Beim Speichern ausführen Startet den Protokolldateiimport unmittelbar nach dem Speichern der Protokollquellenkonfiguration. Wenn dieses Kontrollkästchen ausgewählt ist, wird die Liste der zuvor heruntergeladenen und verarbeiteten Dateien gelöscht. Nach dem ersten Dateiimport folgt das Protokolldateiprotokoll dem vom Administrator definierten Zeitplan für die Startzeit und Wiederholung.
    EPS-Regulierung

    Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt.

    Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet.
    Prozessor Prozessoren ermöglichen es QRadar , Ereignisdateiarchive zu erweitern und Inhalte für Ereignisse zu verarbeiten. QRadar verarbeitet Dateien erst nach dem Herunterladen. QRadar kann Dateien im Archivformat zip, gzip, taroder tar+gzip verarbeiten.
    Zuvor verarbeitete Datei (en) ignorieren Verfolgt und ignoriert Dateien, die vom Protokolldateiprotokoll verarbeitet werden. QRadar untersucht die Protokolldateien im fernen Verzeichnis, um festzustellen, ob eine Datei zuvor vom Protokolldateiprotokoll verarbeitet wurde. Wenn eine zuvor verarbeitete Datei erkannt wird, lädt das Protokolldateiprotokoll die Datei nicht zur Verarbeitung herunter. Alle Dateien, die zuvor nicht verarbeitet wurden, werden heruntergeladen. Diese Option gilt nur für FTP-und SFTP-Servicetypen.
    Lokales Verzeichnis ändern? Ändert das lokale Verzeichnis auf dem Zielereigniskollektor, um Ereignisprotokolle vor ihrer Verarbeitung zu speichern.
    Lokales Verzeichnis Das lokale Verzeichnis auf dem Zielereigniskollektor. Das Verzeichnis muss vorhanden sein, bevor das Protokolldateiprotokoll versucht, Ereignisse abzurufen.
    Dateiverschlüsselung Die Zeichencodierung, die von den Ereignissen in Ihrer Protokolldatei verwendet wird
    Ordnertrennzeichen Das Zeichen, das zum Trennen von Ordnern für Ihr Betriebssystem verwendet wird. Die meisten Konfigurationen können den Standardwert im Feld Ordnertrennzeichen verwenden. Dieses Feld ist für Betriebssysteme vorgesehen, die ein anderes Zeichen verwenden, um separate Ordner zu definieren. Beispiel: Zeiträume, in denen Ordner auf Mainframesystemen getrennt werden.