JDBC -Protokollquellenparameter für Microsoft Endpoint Protection für vordefinierte Datenbankabfragen

Administratoren, die aufgrund von Richtlinieneinschränkungen keine Berechtigung zum Erstellen einer Datenbankansicht haben, können Microsoft Endpoint Protection-Ereignisse mit einer JDBC -Protokollquelle erfassen, die vordefinierte Abfragen verwendet.

Vordefinierte Abfragen sind angepasste Anweisungen, die Daten aus separaten Tabellen verknüpfen können, wenn die Datenbank durch das JDBC -Protokoll abgefragt wird. Für eine erfolgreiche Abfrage von Prüfdaten aus der Microsoft Endpoint Protection-Datenbank müssen Sie einen neuen Benutzer erstellen oder die Protokollquelle mit vorhandenen Benutzerberechtigungsnachweisen bereitstellen. Weitere Informationen zum Erstellen eines Benutzerkontos finden Sie auf der Microsoft-Website (https://www.microsoft.com).

Einschränkung: Wenn Sie Netztrennung verwenden, um Netze zu trennen, kann die Verwendung einer vordefinierten Abfrage zu doppelten Ereignissen führen. Verwenden Sie Ihre eigene Abfrage.

Wenn Sie das JDBC -Protokoll verwenden, müssen Sie bestimmte Parameter verwenden.

In der folgenden Tabelle sind die Parameter beschrieben, für die bestimmte Werte erforderlich sind, um JDBC -Ereignisse aus Microsoft Endpoint Protection zu erfassen.

Tabelle 1. Parameter für Microsoft Endpoint Protection JDBC
Parameter	Beschreibung
Protokollquellenname	Geben Sie einen eindeutigen Namen für die Protokollquelle ein.
Protokollquellenbeschreibung (optional)	Geben Sie eine Beschreibung für die Protokollquelle ein.
Protokollquellentyp	Microsoft Endpoint Protection
Protokollkonfiguration	JDBC
Log Source Identifier (Protokollquellenkennung)	Geben Sie einen Namen für die Protokollquelle ein. Der Name darf keine Leerzeichen enthalten und muss unter allen Protokollquellen des Protokollquellentyps, der für die Verwendung des JDBC -Protokolls konfiguriert ist, eindeutig sein. Wenn die Protokollquelle Ereignisse von einer einzelnen Appliance erfasst, die über eine statische IP-Adresse oder einen Hostnamen verfügt, verwenden Sie die IP-Adresse oder den Hostnamen der Appliance als Wert für die Protokollquellenkennung , z. B. 192.168.1.1 oder JDBC192.168.1.1. Wenn die Protokollquelle keine Ereignisse von einer einzelnen Appliance mit einer statischen IP-Adresse oder einem Hostnamen erfasst, können Sie einen beliebigen eindeutigen Namen als Wert für Protokollquellenkennung verwenden, z. B. JDBC1, JDBC2.
Datenbanktyp	MSDE
Datenbankname	Der Name der Datenbank, zu der Sie eine Verbindung herstellen möchten
IP-Managementadresse oder Hostname	Geben Sie die IP-Adresse oder den Hostnamen von Microsoft Endpoint Protection SQL Serverein.
Port	Geben Sie die Portnummer ein, die vom Datenbankserver verwendet wird. Der Standardport für MSDE ist 1433. Der JDBC -Konfigurationsport muss mit dem Listener-Port der Microsoft Endpoint Protection-Datenbank übereinstimmen. Die Microsoft Endpoint Protection-Datenbank muss über eingehende TCP-Verbindungen verfügen, die für die Kommunikation mit QRadaraktiviert sind. Wenn Sie eine Datenbankinstanz definieren, wenn MSDE als Datenbanktyp verwendet wird, müssen Sie das Feld Port in Ihrer Konfiguration leer lassen.
Username	Geben Sie den Benutzernamen ein, mit dem die Protokollquelle auf die Microsoft Endpoint Protection-Datenbank zugreifen kann.
Password	Geben Sie das Kennwort ein, mit dem die Protokollquelle auf die Microsoft Endpoint Protection-Datenbank zugreifen kann. Das Kennwort kann bis zu 255 Zeichen lang sein.
Bestätigungskennwort	Bestätigen Sie das Kennwort, das für den Datenbankzugriff verwendet wird. Das Bestätigungskennwort muss mit dem im Feld Kennwort eingegebenen Kennwort identisch sein.
Authentifizierungsdomäne	Wenn Sie Microsoft JDBCnicht ausgewählt haben, wird Authentifizierungsdomäne angezeigt. Wenn Sie MSDE als Datenbanktyp auswählen und die Datenbank für die Windows-Authentifizierung konfiguriert ist, müssen Sie das Feld Authentifizierungsdomäne ausfüllen. Lassen Sie andernfalls dieses Feld leer.
Datenbankinstanz	Wenn Sie mehrere SQL Server-Instanzen auf Ihrem Datenbankserver haben, geben Sie die Datenbankinstanz ein. Wenn Sie einen vom Standard abweichenden Port in Ihrer Datenbankkonfiguration verwenden oder den Zugriff auf Port 1434 für die SQL-Datenbankauflösung blockieren, müssen Sie den Parameter Datenbankinstanz in Ihrer Konfiguration leer lassen.
vordefinierte Abfrage	Wählen Sie in der Liste Microsoft Endpoint Protectionaus.
Tabellenname	Der Name der Tabelle oder Ansicht, die die Ereignisdatensätze enthält. Der Tabellenname kann die folgenden Sonderzeichen enthalten: Dollarzeichen ($), Nummernzeichen (#), Unterstreichungszeichen (_), Gedankenstrich (-) und Punkt (.).
Auswahlliste	Die Liste der einzuschließenden Felder, wenn die Tabelle nach Ereignissen abgefragt wird. Sie können eine durch Kommas getrennte Liste verwenden oder einen Stern (*) eingeben, um alle Felder aus der Tabelle oder Sicht auszuwählen. Wenn eine durch Kommas getrennte Liste definiert ist, muss die Liste das Feld enthalten, das im Vergleichsfelddefiniert ist.
Feld vergleichen	Ein numerisches Wert-oder Zeitmarkenfeld aus der Tabelle oder Sicht, das neue Ereignisse angibt, die der Tabelle zwischen Abfragen hinzugefügt werden. Aktiviert das Protokoll zur Identifizierung von Ereignissen, die zuvor vom Protokoll abgefragt wurden, um sicherzustellen, dass keine doppelten Ereignisse erstellt werden.
Verwenden Sie vorbereitete Anweisungen	Wählen Sie das Kontrollkästchen Vorbereitete Anweisungen verwenden aus. Vorbereitete Anweisungen ermöglichen es der JDBC -Protokollquelle, die SQL-Anweisung einmal einzurichten und dann die SQL-Anweisung mehrmals mit verschiedenen Parametern auszuführen. Aus Sicherheits-und Leistungsgründen wird empfohlen, vorbereitete Anweisungen zu verwenden. Wenn Sie dieses Kontrollkästchen abwählen, müssen Sie eine alternative Abfragemethode verwenden, die keine vorkompilierten Anweisungen verwendet.
Startdatum und -zeit (optional)	Geben Sie das Startdatum und die Startzeit für die Datenbankabfrage ein. Der Parameter Startdatum und -zeit muss im Format jjjj-MM-tt HH: mm mit HH im 24-Stunden-Format angegeben werden. Wenn das Startdatum oder die Startzeit frei ist, beginnt die Abfrage sofort und wird im angegebenen Abfrageintervall wiederholt.
Sendeaufrufintervall	Geben Sie das Abfrageintervall ein, d. h. die Zeit zwischen Abfragen an die von Ihnen erstellte Sicht. Das Standardabfrageintervall beträgt 10 Sekunden. Sie können ein längeres Abfrageintervall definieren, indem Sie H für Stunden oder M für Minuten an den numerischen Wert anhängen. Das maximale Abfrageintervall beträgt 1 Woche in einem beliebigen Zeitformat. Numerische Werte, die ohne H-oder M-Abfrage in Sekunden eingegeben werden.
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der gültige Bereich liegt zwischen 100 und 20.000.
Kommunikation über benannte Pipe verwenden	Wenn Sie Microsoft JDBCnicht ausgewählt haben, wird Kommunikation über benannte Pipes verwenden angezeigt. Für MSDE-Datenbanken ist das Feld für den Benutzernamen und das Kennwort erforderlich, um einen Benutzernamen und ein Kennwort für die Windows-Authentifizierung und nicht den Datenbankbenutzernamen und das Kennwort zu verwenden. Die Protokollquellenkonfiguration muss die benannte Standardpipe in der MSDE-Datenbank verwenden.
Datenbankclustername	Wenn Sie Kommunikation mit benannten Pipes verwendenausgewählt haben, wird der Parameter Name des Datenbankclusters angezeigt. Wenn Sie SQL Server in einer Clusterumgebung ausführen, definieren Sie den Clusternamen, um sicherzustellen, dass die Kommunikation über benannte Pipes ordnungsgemäß funktioniert.
NTLMv2verwenden	Wenn Sie die Option Microsoft JDBCnicht ausgewählt haben, wird NTLMv2 angezeigt. Wählen Sie das Kontrollkästchen NTLMv2verwenden aus. Diese Option zwingt MSDE-Verbindungen, das Protokoll NTLMv2 zu verwenden, wenn sie mit SQL-Servern kommunizieren, die NTLMv2 -Authentifizierung erfordern. Der Standardwert des Kontrollkästchens ist ausgewählt. Wenn das Kontrollkästchen NTLMv2verwenden ausgewählt ist, hat es keine Auswirkung auf MSDE-Verbindungen zu SQL-Servern, die keine NTLMv2 -Authentifizierung erfordern.
Microsoft JDBC	Wenn Sie den Microsoft JDBC -Treiber verwenden wollen, müssen Sie Microsoft JDBCaktivieren.
SSL verwenden	Wenn Ihre Verbindung SSL-Kommunikation unterstützt, wählen Sie SSL verwendenaus. Diese Option erfordert eine zusätzliche Konfiguration in Ihrer Endpoint Protection-Datenbank und erfordert auch, dass Administratoren Zertifikate auf beiden Appliances konfigurieren.
Microsoft SQL Server Hostname	Wenn Sie Microsoft JDBC und SSL verwendenausgewählt haben, wird der Parameter Microsoft SQL Server Hostname angezeigt. Sie müssen den Hostnamen für Microsoft SQL Server eingeben.

Eine vollständige Liste der JDBC -Protokollparameter und deren Werte finden Sie unter c_logsource_JDBCprotocol.html.