Symantec Critical System Protection

IBM QRadar DSM für Symantec Critical System Protection kann Ereignisprotokolle von Symantec Critical System Protection-Systemen erfassen.

In der folgenden Tabelle sind die Spezifikationen für Symantec Critical System Protection DSM aufgeführt.

Führen Sie die folgenden Schritte aus, um Symantec Critical System Protection mit QRadarzu integrieren:

1. Wenn automatische Updates nicht aktiviert sind, laden Sie die aktuellste Version der folgenden RPMs von der IBM® Support Website herunter und installieren Sie sie auf Ihrem QRadar Console:
   • Protokoll-JDBC -RPM
   • Symantec-RPM für kritischen Systemschutz
2. Konfigurieren Sie für jede Symantec Critical System Protection-Instanz den Symantec Critical System Protection, um die Kommunikation mit QRadarzu aktivieren.

   Stellen Sie sicher, dass QRadar die Datenbank nach Ereignissen abfragen kann, indem Sie TCP-Port 1433 oder den für Ihre Protokollquelle konfigurierten Port verwenden. Protokollverbindungen sind in Datenbanken häufig inaktiviert und in bestimmten Situationen sind zusätzliche Konfigurationsschritte erforderlich, um Verbindungen für das Ereignispolling zuzulassen. Konfigurieren Sie Firewalls zwischen Symantec Critical System Protection und QRadar , um Datenverkehr für das Ereignispolling zuzulassen.

3. Wenn QRadar nicht automatisch Symantec Critical System Protection erkennt, erstellen Sie eine Protokollquelle für jede Symantec Critical System Protection-Instanz auf dem QRadar Console. In der folgenden Tabelle werden die Parameter beschrieben, für die bestimmte Werte erforderlich sind, um Ereignisse von Symantec Critical System Protection zu erfassen:

   Parameter	Beschreibung
   Protokollquellentyp	Symantec Critical System Protection
   Protokollkonfiguration	JDBC
   Log Source Identifier (Protokollquellenkennung)	Geben Sie einen Namen für die Protokollquelle ein. Der Name darf keine Leerzeichen enthalten und muss unter allen Protokollquellen des Protokollquellentyps, der für die Verwendung des JDBC -Protokolls konfiguriert ist, eindeutig sein. Wenn die Protokollquelle Ereignisse von einer einzelnen Appliance erfasst, die über eine statische IP-Adresse oder einen Hostnamen verfügt, verwenden Sie die IP-Adresse oder den Hostnamen der Appliance als Wert für die Protokollquellenkennung , z. B. 192.168.1.1 oder JDBC192.168.1.1. Wenn die Protokollquelle keine Ereignisse von einer einzelnen Appliance mit einer statischen IP-Adresse oder einem Hostnamen erfasst, können Sie einen beliebigen eindeutigen Namen als Wert für Protokollquellenkennung verwenden, z. B. JDBC1, JDBC2.
   Datenbanktyp	MSDE
   Datenbankname	SCSPDBComment
   IP-Managementadresse oder Hostname	Die IP-Adresse oder der Hostname des Datenbankservers.
   Port	Geben Sie den JDBC -Port ein. Der JDBC -Port muss mit dem Listener-Port übereinstimmen, der in der fernen Datenbank konfiguriert ist. Die Datenbank muss eingehende TCP-Verbindungen zulassen. Der gültige Bereich liegt zwischen 1 und 65535. Die Standardwerte sind: MSDE-1433 Postgres -5432 MySQL -3306 Sybase 1521 Oracle -1521 Informix® -9088 DB2® -50000 Wenn eine Datenbankinstanz mit dem MSDE-Datenbanktyp verwendet wird, müssen Sie das Feld Port leer lassen.
   Username	Ein Benutzerkonto für QRadar in der Datenbank.
   Password	Das Kennwort, das für die Verbindung zur Datenbank erforderlich ist.
   Authentifizierungsdomäne	Wenn Sie Microsoft JDBCnicht ausgewählt haben, wird Authentifizierungsdomäne angezeigt. Die Domäne für MSDE, die eine Windows-Domäne ist. Wenn Ihr Netz keine Domäne verwendet, lassen Sie dieses Feld leer.
   Datenbankinstanz	SCSP-
   Vordefinierte Abfrage (Optional)	Wählen Sie eine vordefinierte Datenbankabfrage für die Protokollquelle aus. Wenn für den Protokollquellentyp keine vordefinierte Abfrage verfügbar ist, können Administratoren die Option none auswählen.
   Tabellenname	CSPEVENT_VW
   Auswahlliste	Die Liste der einzuschließenden Felder, wenn die Tabelle nach Ereignissen abgefragt wird. Sie können eine durch Kommas getrennte Liste verwenden oder einen Stern (*) eingeben, um alle Felder aus der Tabelle oder Sicht auszuwählen. Wenn eine durch Kommas getrennte Liste definiert ist, muss die Liste das Feld enthalten, das im Vergleichsfelddefiniert ist.
   Feld vergleichen	EREIGNIS-ID
   Verwenden Sie vorbereitete Anweisungen	Vorbereitete Anweisungen ermöglichen es der JDBC -Protokollquelle, die SQL-Anweisung einzurichten und anschließend die SQL-Anweisung mehrmals mit unterschiedlichen Parametern auszuführen. Aus Sicherheits-und Leistungsgründen können die meisten JDBC -Protokollkonfigurationen vorbereitete Anweisungen verwenden.
   Startdatum und -zeit (optional)	Geben Sie das Startdatum und die Startzeit für die Datenbankabfrage im folgenden Format ein: jjjj-MM-tt HH :mm mit Angabe von HH im 24-Stunden-Format. Wenn das Startdatum oder die Startzeit frei ist, beginnt die Abfrage sofort und wird im angegebenen Abfrageintervall wiederholt.
   Sendeaufrufintervall	Geben Sie die Zeit zwischen Abfragen für die Ereignistabelle ein. Um ein längeres Abfrageintervall zu definieren, hängen Sie H für Stunden oder M für Minuten an den numerischen Wert an. Das maximale Abfrageintervall beträgt eine Woche.
   EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der gültige Bereich liegt zwischen 100 und 20.000.
   Kommunikation über benannte Pipe verwenden	Wenn Sie Microsoft JDBCnicht ausgewählt haben, wird Kommunikation über benannte Pipes verwenden angezeigt. Für MSDE-Datenbanken ist das Feld für den Benutzernamen und das Kennwort erforderlich, um einen Benutzernamen und ein Kennwort für die Windows-Authentifizierung und nicht den Datenbankbenutzernamen und das Kennwort zu verwenden. Die Protokollquellenkonfiguration muss die benannte Standardpipe in der MSDE-Datenbank verwenden.
   Datenbankclustername	Wenn Sie Kommunikation über benannte Pipes verwendenausgewählt haben, wird der Parameter Datenbankclustername angezeigt. Wenn Sie SQL Server in einer Clusterumgebung ausführen, definieren Sie den Clusternamen, um sicherzustellen, dass die Kommunikation über benannte Pipes ordnungsgemäß funktioniert.
   NTLMv2verwenden	Wenn Sie die Option Microsoft JDBCnicht ausgewählt haben, wird NTLMv2 angezeigt. Wählen Sie diese Option aus, wenn MSDE-Verbindungen bei der Kommunikation mit SQL-Servern, die eine NTLMv2 -Authentifizierung erfordern, das Protokoll NTLMv2 verwenden sollen. Diese Option unterbricht nicht die Kommunikation für MSDE-Verbindungen, für die keine NTLMv2 -Authentifizierung erforderlich ist. Die Kommunikation für MSDE-Verbindungen, die keine NTLMv2 -Authentifizierung erfordern, wird nicht unterbrochen.
   Microsoft JDBC	Wenn Sie den Microsoft JDBC -Treiber verwenden wollen, müssen Sie Microsoft JDBCaktivieren.
   SSL verwenden	Wählen Sie diese Option aus, wenn Ihre Verbindung SSL unterstützt. Diese Option wird nur für MSDE angezeigt.
   Microsoft SQL Server Hostname	Wenn Sie Microsoft JDBC und SSL verwendenausgewählt haben, wird der Parameter Microsoft SQL Server Hostname angezeigt. Sie müssen den Hostnamen für Microsoft SQL Server eingeben.

Weitere Informationen zum Konfigurieren der JDBC -Protokollparameter finden Sie in c_logsource_JDBCprotocol.html .