Protokollkonfigurationsoptionen für Google Cloud Pub/Sub

Das Protokoll Google Cloud Pub/Sub ist ein abgehendes/aktives Protokoll für IBM QRadar , das GCP-Protokolle ( Google Cloud Platform) erfasst.

Wenn automatische Updates nicht aktiviert sind, laden Sie das GoogleCloudPubSub-Protokoll-RPM von der IBM®-Support-Website herunter.

Wichtig: Das Protokoll Google Cloud Pub/Sub wird unter QRadar 7.3.2.6, Buildnummer 20191022133252 oder höher unterstützt.

In der folgenden Tabelle werden die protokollspezifischen Parameter für die Erfassung von Google Cloud Pub/Sub -Protokollen mit dem Protokoll Google Cloud Pub/Sub beschrieben:

Tabelle 1. Google Cloud Pub/Sub -Protokollquellenparameter für Google Cloud Pub/Sub
Parameter	Beschreibung
Service Account Credential Type	Geben Sie an, woher die erforderlichen Berechtigungsnachweise für das Servicekonto stammen. Stellen Sie sicher, dass der zugeordnete Servicekonto die Rolle Publish/Subscribe-Subskribent oder die spezifischere Berechtigung pubsub.subscriptions.consume für den konfigurierten Subskriptionsnamen in GCP hat. Benutzerverwalteter Schlüssel Wird im Feld Servicekontoschlüssel bereitgestellt, indem der vollständige JSON-Text aus einem heruntergeladenen Servicekontoschlüssel eingegeben wird. GCP-Verwalteter Schlüssel Stellen Sie sicher, dass der verwaltete Host QRadar in einer GCP-Recheninstanz ausgeführt wird und die Cloud-API-Zugriffsbereiche Cloud Pub/Sub enthalten.
Service Account Key	Der vollständige Text aus der JSON-Datei, die beim Erstellen einer Benutzerverwalteter Schlüssel für ein Servicekonto im Abschnitt IAM & Administrator > Servicekonten in Google Cloud Platform (GCP) heruntergeladen wurde. Beispiel: { "type": "service_account", "project_id": "qradar-test-123456", "private_key_id": "453422aa6efb1c2de189f12d725c417c8346033b", "private_key": "-----BEGIN PRIVATE KEY-----\\n<MULTILINE PRIVATE KEY DATA>\\n-----END PRIVATE KEY-----\\n", "client_email": "pubsubtest@qradar-test-123456.iam.gserviceaccount.com", "client_id": "526344196064252652671", "auth_uri": "https://accounts.google.com/o/oauth2/auth", "token_uri": "https://oauth2.googleapis.com/token", "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs", "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/pubsubtest%40qradar-test-123456.iam.gserviceaccount.com" }
Subscription Name	Der vollständige Name der Cloud Publish/Subscribe-Subskription. Beispiel: projects/my-project/subscriptions/my-subscription.
Use As A Gateway Log Source	Wählen Sie diese Option aus, damit die erfassten Ereignisse durch die QRadar Traffic Analysis Engine fließen und QRadar automatisch eine oder mehrere Protokollquellen erkennt. Wenn Sie diese Option auswählen, kann das Protokollquellenkennungsmuster optional verwendet werden, um eine angepasste Protokollquellenkennung für Ereignisse zu definieren, die verarbeitet werden.
Log Source Identifier Pattern	Wenn die Option Als Gateway-Protokollquelle verwenden ausgewählt ist, können Sie mit dieser Option eine angepasste Protokollquellen-ID für Ereignisse definieren, die verarbeitet werden. Wenn das Protokollquellen-ID-Muster nicht konfiguriert ist, empfängt QRadar Ereignisse als unbekannte generische Protokollquellen. Das Feld Muster für Protokollquellenkennung akzeptiert Schlüssel/Wert-Paare, wie z. B. key= value, um die angepasste Protokollquellenkennung für Ereignisse zu definieren, die verarbeitet werden, und für Protokollquellen, die bei Bedarf automatisch erkannt werden sollen. Schlüssel ist die ID-Formatzeichenfolge, bei der es sich um den resultierenden Quellen-oder Ursprungswert handelt. Wert ist das zugehörige Muster für reguläre Ausdrücke, das zur Auswertung der aktuellen Nutzdaten verwendet wird. Der Wert (Regex-Muster) unterstützt auch Erfassungsgruppen, die zur weiteren Anpassung des Schlüssels (Identifier Format String) verwendet werden können. Sie können mehrere Schlüssel/Wert-Paare definieren, indem Sie jedes Muster in einer neuen Zeile eingeben. Wenn mehrere Muster verwendet werden, werden sie nacheinander ausgewertet, bis eine Übereinstimmung gefunden wird. Wenn eine Übereinstimmung gefunden wird, wird eine angepasste Protokollquellen-ID angezeigt. Die folgenden Beispiele zeigen die Funktionalität für mehrere Schlüssel/Wert-Paare: Muster `VPC=\sREJECT\sFAILURE` `$1=\s(REJECT)\sOK` `VPC-$1-$2=\s(ACCEPT)\s(OK)` Ereignisse `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Resultierende ID der angepassten Protokollquelle VPC-AKZEPTIEREN-OK
Use Predictive Parsing	Wenn Sie diesen Parameter aktivieren, extrahiert ein Algorithmus Protokollquellen-ID-Muster aus Ereignissen, ohne den regulären Ausdruck für jedes Ereignis auszuführen, was die Parsing-Geschwindigkeit erhöht. Tipp: In seltenen Fällen kann der Algorithmus falsche Vorhersagen treffen. Aktivieren Sie das vorausschauende Parsing nur für Protokollquellentypen, von denen Sie erwarten, dass sie hohe Ereignisraten erhalten und ein schnelleres Parsing erfordern.
Use Proxy	Wählen Sie diese Option aus, damit QRadar über einen Proxy eine Verbindung zu GCP herstellt. Wenn der Proxy eine Authentifizierung erfordert, konfigurieren Sie die Felder Proxy-Server, Proxy-Port, Proxy-Benutzernameund Proxy-Kennwort . Wenn der Proxy keine Authentifizierung erfordert, konfigurieren Sie die Felder Proxy-Server und Proxy-Port .
Proxy IP or Hostname	Die IP-Adresse oder der Hostname des Proxy-Servers.
Proxy Port	Die Portnummer, die für die Kommunikation mit dem Proxy-Server verwendet wird. Die Standardeinstellung ist 8080.
Proxy Username	Nur erforderlich, wenn der Proxy eine Authentifizierung erfordert.
Proxy Password	Nur erforderlich, wenn der Proxy eine Authentifizierung erfordert.
EPS Throttle	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der Standardwert ist 5000.
Convert Google VPC Flow Logs to IPFIX	Diese Option konvertiert Google VPC-Datenflussprotokolle in IPFIX, das dann an den Datenflussprozessor gesendet wird.
Flow Destination Hostname	Der Hostname des Datenflussprozessors, an den die Google -VPC-Datenflussprotokolle gesendet werden. Hinweis: Aktivieren Sie Convert Google VPC Flow Logs to IPFIX , um diesen Parameter zu konfigurieren.
Flow Destination Port	Der Datenflussprozessorport, an den die Google -Datenflussprotokolle gesendet werden. Hinweis: Aktivieren Sie Convert Google VPC Flow Logs to IPFIX , um diesen Parameter zu konfigurieren.