Fasoo Unternehmens-DRM

Das IBM QRadar DSM für Fasoo Enterprise DRM (Digital Rights Management) erfasst Protokolle von einem Fasoo Enterprise DRM-Gerät.

In der folgenden Tabelle werden die Spezifikationen für Fasoo Enterprise DRM DSM beschrieben:
Tabelle 1. Fasoo Enterprise DRM DSM-Spezifikationen
Spezifikation Wert
Hersteller Fasoo
DSM-Name Fasoo Unternehmens-DRM
Name der RPM-Datei DSM-FasooFED-QRadar_version-build_number.noarch.rpm
Unterstützte Versionen 5.0
Protokoll JDBC
Ereignisformat Name/Wert-Paar (NVP)
Aufgezeichnete Ereignistypen

Nutzungsereignisse
Automatisch erkannt? Nein
Enthält Identität? Nein
Angepasste Eigenschaften einschließen? Nein
Weitere Informationen Fasoo-Website (http://en.fasoo.com/Fasoo-Enterprise-DRM)
Führen Sie die folgenden Schritte aus, um Fasoo Enterprise DRM mit QRadarzu integrieren:
  1. Wenn automatische Updates nicht aktiviert sind, laden Sie die neueste Version der folgenden RPMs von der IBM® Support Website herunter und installieren Sie sie auf Ihrem QRadar Console:
    • JDBC -Protokoll-RPM
    • DSMCommon-RPM
    • FasooFED DSM-RPM
  2. Konfigurieren Sie eine Protokollquelle, um eine Verbindung zur Fasoo Enterprise DRM-Datenbank herzustellen und Ereignisse abzurufen.
  3. Fügen Sie eine Fasoo Enterprise DRM-Protokollquelle in der QRadar -Konsole hinzu. In der folgenden Tabelle sind die Parameter beschrieben, für die bestimmte Werte erforderlich sind, um Ereignisse von Fasoo Enterprise DRM zu erfassen:
    Tabelle 2. Fasoo Enterprise DRM JDBC -Protokollquellenparameter
    Parameter Wert
    Protokollquellentyp Fasoo Unternehmens-DRM
    Protokollkonfiguration JDBC
    Log Source Identifier (Protokollquellenkennung)

    Geben Sie einen Namen für die Protokollquelle ein. Der Name darf keine Leerzeichen enthalten und muss unter allen Protokollquellen des Protokollquellentyps eindeutig sein, der für die Verwendung des Protokolls JDBC konfiguriert ist.

    Wenn die Protokollquelle Ereignisse von einer einzelnen Appliance erfasst, die über eine statische IP-Adresse oder einen Hostnamen verfügt, verwenden Sie die IP-Adresse oder den Hostnamen der Appliance als Wert für die Protokollquellenkennung , z. B. 192.168.1.1 oder JDBC192.168.1.1. Wenn die Protokollquelle keine Ereignisse von einer einzelnen Appliance mit einer statischen IP-Adresse oder einem Hostnamen erfasst, können Sie einen beliebigen eindeutigen Namen als Wert für Protokollquellenkennung verwenden, z. B. JDBC1, JDBC2.
    Datenbanktyp

    Wählen Sie in der Liste den Typ der Fasoo Enterprise DRM-Datenbank aus.
    Datenbankname Der Name der Fasoo Enterprise DRM-Datenbank.
    IP-Managementadresse oder Hostname Die IP-Adresse oder der Hostname des Fasoo Enterprise DRM-Datenbankservers.
    Port Die vom Datenbankserver verwendete Portnummer.
    Username Der Benutzername, der für die Verbindung zur Datenbank erforderlich ist.
    Password Das Kennwort, das für die Verbindung zur Datenbank erforderlich ist. Das Kennwort kann bis zu 255 Zeichen lang sein.
    Bestätigungskennwort Das Bestätigungskennwort muss mit dem Kennwort identisch sein, das Sie für den Parameter Passwort eingegeben haben.
    Authentifizierungsdomäne Wenn Sie Microsoft JDBC verwendennicht ausgewählt haben, wird Authentifizierungsdomäne angezeigt.

    Die Domäne für MSDE, die eine Windows-Domäne ist. Wenn Ihr Netz keine Domäne verwendet, lassen Sie dieses Feld leer.
    Datenbankinstanz Die Datenbankinstanz, falls erforderlich MSDE-Datenbanken können mehrere SQL Server-Instanzen auf einem Server enthalten.

    Wenn ein vom Standard abweichenden Port für die Datenbank verwendet wird oder der Zugriff auf Port 1434 für die SQL-Datenbankauflösung blockiert wird, muss der Parameter Datenbankinstanz in der Protokollquellenkonfiguration leer sein.
    Vordefinierte Abfrage (optional)

    Wählen Sie eine vordefinierte Datenbankabfrage für die Protokollquelle aus. Wenn für den Protokollquellentyp keine vordefinierte Abfrage verfügbar ist, können Administratoren die Option Keine auswählen.
    Tabellenname Fut_Protokoll anzeigen

    Der Name der Ansicht, die die Ereignisdatensätze enthält.
    Auswahlliste Geben Sie einen Stern (*) ein, um alle Felder aus der Tabelle oder Sicht auszuwählen.

    Die Liste der einzuschließenden Felder, wenn die Tabelle nach Ereignissen abgefragt wird.
    Vergleichsfeld Protokolldatum

    Vergleichsfeld wird verwendet, um neue Ereignisse zu identifizieren, die zwischen Abfragen der Tabelle hinzugefügt werden.
    Startdatum und -zeit (optional) Geben Sie das Startdatum und die Startzeit für die Datenbankabfrage im folgenden Format ein: jjjj-MM-tt HH:mm, wobei HH im 24-Stunden-Format angegeben wird. Wenn das Startdatum oder die Startzeit frei ist, beginnt die Abfrage sofort und wird im angegebenen Abfrageintervall wiederholt.
    Verwenden Sie vorbereitete Anweisungen Wählen Sie das Markierungsfeld aus, wenn vorbereitete Anweisungen verwendet werden sollen.

    Vorbereitete Anweisungen ermöglichen es der JDBC -Protokollquelle, die SQL-Anweisung einzurichten und anschließend die SQL-Anweisung mehrmals mit unterschiedlichen Parametern auszuführen. Aus Sicherheits-und Leistungsaspekten können die meisten JDBC -Protokollkonfigurationen vorbereitete Anweisungen verwenden.
    Sendeaufrufintervall Die Zeit zwischen Abfragen an die Ereignistabelle. Das Standardabfrageintervall beträgt 10 Sekunden. Sie können ein längeres Abfrageintervall definieren, indem Sie H für Stunden oder M für Minuten an den numerischen Wert anhängen. Das maximale Abfrageintervall beträgt 1 Woche in einem beliebigen Zeitformat. Numerische Werte, die ohne H -oder M -Abfrage in Sekunden eingegeben werden.
    EPS-Regulierung

    Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt.

    Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet.

    Der Standardwert ist 20.000 EPS.
    Kommunikation über benannte Pipe verwenden

    Wenn Sie Microsoft JDBC verwendennicht ausgewählt haben, wird Kommunikation über benannte Pipe verwenden angezeigt.

    Für MSDE-Datenbanken ist das Feld für den Benutzernamen und das Kennwort erforderlich, um einen Benutzernamen und ein Kennwort für die Windows-Authentifizierung und nicht den Datenbankbenutzernamen und das Kennwort zu verwenden. Die Protokollquellenkonfiguration muss die benannte Standardpipe in der MSDE-Datenbank verwenden.
    Name des Datenbankclusters Wenn Sie Kommunikation über benannte Pipe verwendenausgewählt haben, wird der Parameter Datenbank angezeigt. Wenn Sie SQL Server in einer Clusterumgebung ausführen, definieren Sie den Clusternamen, um sicherzustellen, dass die Kommunikation über benannte Pipes ordnungsgemäß funktioniert.
    Verwenden Sie NTLMv2

    Wenn Sie Microsoft JDBC verwendennicht ausgewählt haben, wird Verwenden Sie NTLMv2 angezeigt.

    Wählen Sie diese Option aus, wenn MSDE-Verbindungen das Protokoll NTLMv2 verwenden sollen, wenn sie mit SQL-Servern kommunizieren, die eine NTLMv2 -Authentifizierung erfordern. Diese Option unterbricht nicht die Kommunikation für MSDE-Verbindungen, die keine NTLMv2 -Authentifizierung erfordern.

    Unterbricht nicht die Kommunikation für MSDE-Verbindungen, für die keine NTLMv2 -Authentifizierung erforderlich ist.
    Microsoft JDBC verwenden Wenn Sie den Microsoft JDBC -Treiber verwenden möchten, müssen Sie Microsoft JDBC verwendenaktivieren.
    SSL verwenden Wählen Sie diese Option aus, wenn Ihre Verbindung SSL unterstützt.
    Microsoft SQL Server -Hostname Wenn Sie Microsoft JDBC verwenden und SSL verwendenauswählen, wird der Parameter Microsoft SQL Server -Hostname angezeigt.

    Sie müssen den Hostnamen für Microsoft SQL Server eingeben.

    Weitere Informationen zum Konfigurieren von JDBC -Parametern finden Sie unter c_logsource_JDBCprotocol.html .

  4. Überprüfen Sie, ob QRadar ordnungsgemäß konfiguriert ist.
    Die folgende Tabelle zeigt ein Beispiel für eine normalisierte Ereignisnachricht von Fasoo Enterprise DRM:
    Tabelle 3. Fasoo Enterprise DRM-Beispielnachricht
    Ereignisname Untergeordnete Kategorie Beispielprotokollnachricht
    Bearbeiten-erfolgreich Aktualisierungsaktivität erfolgreich 
    
log_id: "xxxxxxxxxxxxxxxxxxxxxx"	log_date: "2016-03-21 14:17:36.000"	log_type: "1"	product: "1"	purpose: "16"	usage_result: "1"	license_status: "0"	ip: "<Numeric>"	user_code: "usercode"	user_name: "username"	user_dept_code: "xxxxxxxxxxxxxxxxxxxx"	user_dept_name: "userdeptname"	position_code: "P001"	position_name: "Employee"	content_code: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"	current_content_name: "New Microsoft PowerPoint Presentation.pptx"	content_name: "New Microsoft PowerPoint Presentation.pptx"	sec_level_code: "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"	sec_level_name: "Basic"	system_code: "NULL"	system_name: "NULL"	owner_code: "ownercode"	owner_name: "ownername"	owner_dept_code: "xxxxxxxxxxxxxxxxxxxx"	owner_dept_name: "ownerdeptname"	content_create-date: "2016-03-21 03:41:28.000"       entry_date: "2016-03-21 13:18:26.670"