Protokolldateiprotokollquellenparameter für ThreatGRID Malware Threat Intelligence Platform

Wenn QRadar die Protokollquelle nicht automatisch erkennt, fügen Sie eine Protokollquelle des Typs ThreatGRID Malware Threat Intelligence Platform auf dem QRadar Console hinzu, indem Sie das Protokolldateiprotokoll verwenden.

Wenn Sie das Protokolldateiprotokoll verwenden, müssen Sie bestimmte Parameter verwenden.

In der folgenden Tabelle sind die Parameter beschrieben, für die bestimmte Werte erforderlich sind, um Protokolldateiereignisse von ThreatGRID Malware Threat Intelligence Platform zu erfassen:

Tabelle 1. Protokolldateiprotokollquellenparameter für ThreatGRID Malware Threat Intelligence Platform DSM
Parameter	Wert
Log Source Name	Geben Sie einen Namen für Ihre Protokollquelle ein.
Log Source Description	Geben Sie eine Beschreibung für die Protokollquelle ein.
Log Source Type	ThreatGRID Malware-Informationsplattform
Protocol Configuration	Protokolldatei
Log Source Identifier	Geben Sie eine IP-Adresse, einen Hostnamen oder einen Namen ein, um die Ereignisquelle zu identifizieren. Die Protokollquellen-ID muss für den Protokollquellentyp eindeutig sein.
Service Type	Wählen Sie in der Liste das Protokoll aus, das zum Abrufen von Protokolldateien von einem fernen Server verwendet wird. Der Standardwert ist SFTP. SFTP -SSH-Dateiübertragungsprotokoll FTP- -Dateiübertragungsprotokoll SCP -Secure Copy Protocol Für den SCP-und SFTP-Servicetyp muss für den Host-Server im Feld Ferne IP oder Hostname das SFTP-Subsystem aktiviert sein.
Remote IP or Hostname	Geben Sie die IP-Adresse oder den Hostnamen des ThreatGRID -Servers ein, der Ihre Ereignisprotokolldateien enthält.
Remote Port	Geben Sie die Portnummer für das ausgewählte Protokoll ein, um die Ereignisprotokolle von Ihrem ThreatGRID -Server abzurufen. Der gültige Bereich liegt zwischen 1 und 65535. Die Liste der Standardportnummern für Servicetypen: FTP- -TCP-Port 21 SFTP -TCP-Port 22 SCP -TCP-Port 22
Remote User	Geben Sie den Benutzernamen ein, der für die Anmeldung bei dem Web-Server ThreatGRID erforderlich ist, der Ihre Prüfereignisprotokolle enthält. Der Benutzername kann bis zu 255 Zeichen lang sein.
Remote Password	Geben Sie das Kennwort ein, um sich bei Ihrem ThreatGRID -Server anzumelden.
Confirm Password	Bestätigen Sie das Kennwort für die Anmeldung bei Ihrem ThreatGRID -Server.
SSH Key File	Wenn Sie SCP oder SFTP als Servicetypauswählen, definieren Sie mit diesem Parameter eine private SSH-Schlüsseldatei. Wenn Sie einen SSH-Schlüsseldateiangeben, wird das Feld Fernes Kennwort ignoriert.
Remote Directory	Geben Sie die Verzeichnisposition auf dem fernen Host, von dem die Dateien abgerufen werden, relativ zu dem Benutzerkonto ein, das Sie für die Anmeldung verwenden. Nur für FTP. Wenn sich Ihre Protokolldateien im Ausgangsverzeichnis des fernen Benutzers befinden, können Sie das ferne Verzeichnis leer lassen. Leere Werte im Feld Fernes Verzeichnis unterstützen Systeme mit Betriebssystemen, bei denen eine Änderung des Arbeitsverzeichnisbefehls (CWD) eingeschränkt ist.
Recursive	Wählen Sie dieses Kontrollkästchen aus, wenn das Dateimuster Unterordner im fernen Verzeichnis durchsuchen soll. Standardmäßig ist das Kontrollkästchen nicht ausgewählt. Der Parameter Rekursiv wird ignoriert, wenn Sie SCP als Servicetypkonfigurieren.
FTP File Pattern	Geben Sie den regulären Ausdruck (regex) ein, der zum Filtern der Liste der Dateien erforderlich ist, die im fernen Verzeichnis angegeben sind. Alle Dateien, die dem regulären Ausdruck entsprechen, werden abgerufen und verarbeitet. Das FTP-Dateimuster muss mit dem Namen übereinstimmen, den Sie Ihrem ThreatGRID -Ereignisprotokoll zugeordnet haben. Um beispielsweise Dateien zu erfassen, die mit leef oder LEEF beginnen und mit einer Textdateierweiterung enden, geben Sie den folgenden Wert ein: `(leef\|LEEF)+.*\.txt` Die Verwendung dieses Parameters erfordert die Kenntnis regulärer Ausdrücke (regex). Dieser Parameter gilt für Protokollquellen, die für die Verwendung von FTP oder SFTP konfiguriert sind.
FTP Transfer Mode	Wenn Sie FTP- als Servicetypauswählen, wählen Sie in der Liste ASCII aus. ASCII ist für textbasierte Ereignisprotokolle erforderlich.
SCP Remote File	Wenn Sie SCP als Servicetypauswählen, geben Sie den Namen der fernen Datei ein.
Start Time	Geben Sie einen Zeitwert ein, der die Uhrzeit darstellt, zu der das Protokolldateiprotokoll gestartet werden soll. Die Startzeit basiert auf dem 24-Stunden-Format und hat das folgende Format: HH:MM. Geben Sie beispielsweise `00:00` ein, um das Protokolldateiprotokoll so zu planen, dass Ereignisdateien um Mitternacht erfasst werden. Dieser Parameter funktioniert mit dem Wert im Feld Wiederholung , um festzulegen, wann Ihr ThreatGRID -Server nach neuen Ereignisprotokolldateien abgefragt wird.
Recurrence	Geben Sie die Häufigkeit ein, mit der das ferne Verzeichnis auf Ihrem ThreatGRID -Server nach neuen Ereignisprotokolldateien durchsucht werden soll. Geben Sie diesen Wert in Stunden (H), Minuten (M) oder Tagen ein. Geben Sie beispielsweise `2H` ein, um das ferne Verzeichnis alle 2 Stunden ab der Startzeit zu scannen. Der Standardwert für die Wiederholung ist 1H. Das minimale Zeitintervall ist 15M.
Run On Save	Aktivieren Sie dieses Markierungsfeld, wenn das Protokolldateiprotokoll unmittelbar nach dem Klicken auf Speichernausgeführt werden soll. Nach Abschluss der Speicheraktion folgt das Protokolldateiprotokoll Ihrem konfigurierten Zeitplan für Startzeit und Wiederholung. Bei Auswahl von Beim Speichern ausführen wird die Liste der zuvor verarbeiteten Dateien für den Parameter Zuvor verarbeitete Datei ignorieren gelöscht.
EPS Throttle	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der gültige Bereich liegt zwischen 100 und 5000.
Processor	Wählen Sie in der Liste KEINEaus. Prozessoren ermöglichen die Erweiterung und Verarbeitung von Ereignisdateiarchiven für ihre Ereignisse. Dateien werden verarbeitet, nachdem sie heruntergeladen wurden. QRadar kann Dateien im Archivformat zip, gzip, taroder tar+gzip verarbeiten.
Ignore Previously Processed File(s)	Wählen Sie dieses Kontrollkästchen aus, um bereits verarbeitete Dateien zu verfolgen und zu ignorieren. QRadar überprüft die Protokolldateien im fernen Verzeichnis, um festzustellen, ob das Ereignisprotokoll von der Protokollquelle verarbeitet wurde. Wenn eine zuvor verarbeitete Datei erkannt wird, lädt die Protokollquelle die Datei nicht herunter. Nur neue oder nicht verarbeitete Ereignisprotokolldateien werden von QRadarheruntergeladen. Diese Option gilt für die Servicetypen FTP- und SFTP .
Change Local Directory?	Wählen Sie dieses Kontrollkästchen aus, um ein lokales Verzeichnis auf Ihrer QRadar -Appliance zum Speichern von Ereignisprotokolldateien während der Verarbeitung zu definieren. In den meisten Szenarios können Sie dieses Kontrollkästchen nicht auswählen. Wenn dieses Markierungsfeld ausgewählt ist, erscheint das Feld Lokales Verzeichnis . Sie können ein lokales Verzeichnis konfigurieren, um Ereignisprotokolldateien temporär zu speichern. Nach der Verarbeitung des Ereignisprotokolls werden die Ereignisse, die QRadar hinzugefügt wurden, und die Ereignisprotokolle im lokalen Verzeichnis gelöscht.
Event Generator	Wählen Sie aus der Liste Ereignisgenerator LineByLine. Ereignisgenerator wendet zusätzliche Verarbeitung auf die abgerufenen Ereignisdateien an. Jede Zeile der Datei ist ein einzelnes Ereignis. Wenn eine Datei beispielsweise 10 Textzeilen enthält, werden 10 separate Ereignisse erstellt.