HTTP -Protokoll-Konfigurationsoptionen

Um Ereignisse von Geräten zu sammeln, die HTTP oder HTTPS weiterleiten, konfigurieren Sie eine Protokollquelle so, dass sie HTTP verwendet.

HTTP ist ein passives Protokoll für eingehende Daten. HTTP fungiert als HTTP auf dem konfigurierten Abhörport und konvertiert den Anfragetext aller empfangenen POST-Anfragen in Ereignisse. Es unterstützt sowohl HTTPS als auch HTTP.

Wichtig : Wenn Sie HTTP verwenden, müssen Sie ein Zertifikat verwenden, das von einer Zertifizierungsstelle (CA) ausgestellt wurde. Es kann kein selbst signiertes Zertifikat sein, da es von einer Zertifizierungsstelle validiert werden muss. Weitere Informationen zum Einrichten eines CA-Zertifikats für HTTP finden Sie unter Einrichten der zertifikatbasierten Authentifizierung für HTTP.

Wichtig: Wenn Sie ein QRadar on Cloud -Benutzer (QRoC) sind, wenden Sie sich an den IBM Support und öffnen Sie einen Supportfall, um diese zertifikatbasierte Authentifizierung zu konfigurieren, wenn der Zielcollector die Konsole oder der Ereignisprozessor ist.

In der folgenden Tabelle werden die protokollspezifischen Parameter für HTTP beschrieben:

Tabelle 1. HTTP -Empfänger-Protokollparameter
Parameter	Beschreibung
Protokollkonfiguration	Wählen Sie aus der Liste HTTP " aus.
Log Source Identifier (Protokollquellenkennung)	Geben Sie einen eindeutigen Namen für die Protokollquelle ein. Die Protokollquellenkennung kann ein beliebiger gültiger Wert sein und muss keinen bestimmten Server referenzieren. Er kann auch denselben Wert wie der Protokollquellennamehaben. Stellen Sie sicher, dass Sie jeder Protokollquelle einen eindeutigen Namen geben.
Listen Port (Empfangsport)	Der Port, der von IBM QRadar verwendet wird, um eingehende HTTP zu akzeptieren. Der Standardport ist 12469. Wichtig: Verwenden Sie nicht Port 514. Port 514 wird vom Syslog-Standardlistener verwendet.
Kommunikationsart	Der Typ des HTTP, der durch das Protokoll erstellt wird. HTTP Erstellt einen HTTP Server ohne Verschlüsselung und Verifizierung Wichtig: Nicht unterstützt für QRadar on Cloud (QRoC). HTTPS Erstellt einen HTTP Server mit Verschlüsselung und Verifizierung HTTPS mit Mutual TLS ( mTLS ) Erstellt einen „ HTTP Server “, der die gegenseitige Authentifizierung über „ TLS “ ( mTLS ) nutzt
Serverzertifikat	Wählen Sie eine der folgenden Serverzertifikatoptionen aus. PKCS12 Zertifikatskette und Kennwort Wenn Sie diese Option auswählen, müssen Sie einen Pfad zur PKCS12 -Datei konfigurieren und das Kennwort angeben. Wenn die Datei PKCS12 mehrere Einträge enthält, müssen Sie einen Aliasnamen angeben, um anzugeben, welcher Zertifikatseintrag verwendet werden soll. Wählen Sie aus QRadar dem Zertifikatsspeicher (veraltet) Wenn Sie diese Option auswählen, müssen Sie ein Zertifikat im IBM QRadar Certificate Management apphochladen. Legen Sie in der App als Zweck des Zertifikats `Server` oder `Server Client`und als Komponente `Log Source`fest. Selbst signiertes generiertes Zertifikat (veraltet) Wenn Sie diese Option auswählen, wird ein selbst signiertes generiertes Zertifikat verwendet. Wenn noch kein Zertifikat generiert wurde, wird ein Zertifikat zur Verwendung generiert. Dieses Zertifikat ist selbstsigniert und entspricht den Syslog-Konfigurationen von „ TLS “, die auf demselben Host generierte Zertifikate verwenden.
PKCS12 Serverzertifikatspfad	Der absolute Pfad zu einer PKCS12 -Datei, die einen privaten Schlüssel und eine Zertifikatskette enthält Wenn Sie PKCS12 Zertifikatskette und Kennwort als Option für das Serverzertifikat auswählen, wird dieser Parameter angezeigt.
PKCS12 Kennwort	Das Kennwort für die PKCS12 -Datei. Wenn Sie PKCS12 Zertifikatskette und Kennwort als Option für das Serverzertifikat auswählen, wird dieser Parameter angezeigt.
PKCS12 Zertifikatsalias	Der Aliasname für den zu verwendenden Zertifikatseintrag in der PKCS12 -Datei. Wenn die Datei PKCS12 mehrere Einträge enthält, müssen Sie einen Aliasnamen angeben, um anzugeben, welcher Zertifikatseintrag verwendet werden soll. Wenn mehrere Zertifikatseinträge vorhanden sind, lassen Sie dieses Feld leer, um den einzelnen Zertifikatseintrag zu verwenden. Wenn Sie PKCS12 Zertifikatskette und Kennwort als Option für das Serverzertifikat auswählen, wird dieser Parameter angezeigt.
Verwenden Sie HTTP	Dies ermöglicht HTTP. Wenn diese Option aktiviert ist, müssen Clients, die versuchen, mit HTTP Server zu kommunizieren, über einen Request Header ein gültiges Zugriffstoken bereitstellen.
Name des Authentifizierungstoken-Headers	HTTP wird zu HTTP hinzugefügt und enthält Informationen über den verwendeten Authentifizierungs-Header und die zugehörigen Anmeldedaten. Authentifizierungsheader: Gibt den verwendeten Authentifizierungstyp an. Zu den allgemeinen Authentifizierungsheadern gehören Basic, Digest und Bearer.
Authentifizierungstokenwert	Der im Header enthaltene Tokenwert hängt vom verwendeten Authentifizierungsschema ab. Bei der Basisauthentifizierung besteht der Tokenwert beispielsweise aus einem Benutzernamen und einem Kennwort, die im Base64 -Format codiert sind.
Gegenseitige Authentifizierung über „ TLS “ und Truststore	Wenn Sie den Kommunikationstyp HTTPS mit Mutual TLS ( mTLS ) auswählen, wählen Sie einen dieser Truststore-Typen aus. System-Truststore Initialisiert den Server-Truststore unter Verwendung des Truststore des Betriebssystems auf dem Zielereigniskollektor. Angepasster Truststore Initialisiert den Server-Truststore mithilfe eines vom Benutzer bereitgestellten Java™ -Keystores und -Kennworts. Clientzertifikat auf Platte (veraltet) Stellt sicher, dass das Clientzertifikat übereinstimmt, aber den Aussteller nicht validiert. Bei dieser Methode müssen alle Clients ein Zertifikat gemeinsam nutzen.
Pfad der angepassten Truststore-Datei	Der absolute Pfad zu einem angepassten Truststore. Sie müssen den angepassten Truststore in das Verzeichnis QRadar Console oder Event Collector für die Protokollquelle kopieren.
Angepasstes Truststore-Kennwort	Das Kennwort für den angepassten Truststore.
Ausstellerprüfung aktivieren	Überprüfen Sie, ob das Clientzertifikat von einem bestimmten Zertifikat oder öffentlichen Schlüssel ausgestellt wurde. Ein allgemeiner Anwendungsfall ist die Überprüfung, ob eine bestimmte temporäre Zertifizierungsstelle verwendet wurde, um das Clientzertifikat auszustellen.
Ausstellerzertifikat oder öffentlicher Schlüssel	Das Zertifikat oder der öffentliche Schlüssel des Stamm- oder Zwischenzertifikatsausstellers im Format „ PEM “. Geben Sie das Zertifikat einschließlich des folgenden Textes ein: `-----BEGIN CERTIFICATE-----` `-----END CERTIFICATE-----` Oder geben Sie den öffentlichen Schlüssel ein, einschließlich des folgenden Textes: `-----BEGIN PUBLIC KEY-----` `-----END PUBLIC KEY-----` Wenn Sie den Parameter Ausstellerprüfung aktivieren aktiviert haben, wird dieser Parameter angezeigt.
CN-Zulassungsliste verwenden	Geben Sie Listen oder Muster allgemeiner Namen an, denen Clientzertifikate entsprechen müssen, nachdem die Vertrauensbeziehung hergestellt wurde. Geben Sie einfachen Text oder einen regulären Ausdruck ein. Definieren Sie mehrere Einträge, indem Sie jeden Eintrag in einer neuen Zeile eingeben. Die folgende Liste enthält Beispiele für die Typen allgemeiner Namenseinträge, die in Ihrer CN-Zulassungslisteverwendet werden sollen. Fester Name `127.0.0.1` `1.1.1.1` Platzhaltername `1.1.1.` `.` Domänenname `www.host.*.com` `localhost` Standardmäßig ist dieser Parameter inaktiviert.
Zertifikatswiderruf überprüfen	Überprüft den Zertifikatswiderrufsstatus anhand der Clientzertifikatswiderrufsliste. Um diese Option zu konfigurieren, müssen Sie über eine Netzwerkverbindung zu URL verfügen, die im Feld "CRL-Verteilungspunkte" des Client-Zertifikats in X509v3 angegeben ist, und URL darf nur das CRL-Format (Certificate Revocation List) unterstützen. OSCP wird nicht unterstützt.
Clientzertifikatspfad (veraltet)	Legen Sie den absoluten Pfad zum Clientzertifikat fest. Sie müssen das Clientzertifikat in die QRadar Console oder die Event Collector für die Protokollquelle kopieren. Wenn Sie HTTPS mit Mutual TLS ( mTLS ) als Kommunikationstyp auswählen und Clientzertifikat auf der Festplatte (veraltet) als Mutual TLS -Authentifizierungs-Truststore auswählen, wird dieser Parameter angezeigt.
Ereignis-Parsing-Methode	Ereignis pro HTTP Beitrag Behandeln Sie den gesamten Beitrag HTTP als ein einziges Ereignis ohne ein bestimmtes Muster. Ereignis pro Zeile Teilen Sie den Beitrag in mehrere einzeilige Ereignisse auf, indem Sie einen regulären Ausdruck verwenden, um den Beginn jedes Ereignisses zu markieren. Wenn Sie Ereignisse pro Zeile auswählen, werden die folgenden beiden Felder angezeigt: Bestimmte Zeilen abgleichen : Standardmäßig wird ein Ereignis pro Zeile verarbeitet. Aktivieren Sie es, um bestimmte Zeilen gemäß dem Meldungsmuster abzugleichen. Muster der Nachricht : Geben Sie einen regulären Ausdruck ein, um den Beitrag in mehrere einzeilige Ereignisse aufzuteilen Ereignis pro JSON-Array Geben Sie einen JSON-Pfad (JPath) an, um die Wurzel des JSON-Arrays zu identifizieren, wobei jeder Array-Eintrag ein separates Ereignis darstellt. Wenn Sie Ereignis pro JSON-Array auswählen, wird das folgende Feld angezeigt: JSON-Pfad-Ausdruck : Geben Sie einen JSON-Pfad ein, um den Stamm des JSON-Arrays zu identifizieren, wobei jeder Array-Eintrag ein separates Ereignis darstellt. Ein JSON-Pfad muss mit einem Schrägstrich ("/") beginnen, um die Wurzel des JSON-Objekts anzugeben, und es müssen ein oder mehrere JSON-Feldnamen in Anführungszeichen folgen. Zum Beispiel: `JSON: {"topic":"device-events","events":[{"device_name":"device 1"}, {"device_name":"device 2"}]} JSON Path expression: /"events"` Äußere JSON-Struktur beibehalten : Wenn diese Option aktiviert ist, wird die JSON-Struktur außerhalb des JSON-Pfadausdrucks in die Ausgabe aufgenommen. Standardmäßig werden nur die Array-Elemente im JSON-Pfadausdruck berücksichtigt. Zum Beispiel: `{"topic": "device","events": [{"audit_id": "audit 1","ap_name": "ap 1", "device_type": "device type 1"},{"audit_id": "audit 2","ap_name": "ap 2", "device_type": "device type 2"}]}` Dies wird wie folgt in mehrere Ereignisse umgewandelt: `{"topic": "device","events": [{"audit_id": "audit 1","ap_name": "ap 1", "device_type": "device type 1"}]}` `{"topic": "device","events": [{"audit_id": "audit 2","ap_name": "ap 2", "device_type": "device type 2"}]}`
Als Gateway-protokollquelle Verwenden	Wählen Sie diese Option, damit die gesammelten Ereignisse durch die QRadar® Traffic Analysis Engine fließen und QRadar automatisch eine oder mehrere Protokollquellen erkennen.
Predictive Parsing verwenden	Wenn Sie diesen Parameter aktivieren, extrahiert ein Algorithmus Protokollquellen-ID-Muster aus Ereignissen, ohne den regulären Ausdruck für jedes Ereignis auszuführen, was die Parsing-Geschwindigkeit erhöht. In seltenen Fällen kann der Algorithmus jedoch falsche Vorhersagen treffen. Aktivieren Sie das vorausschauende Parsing nur für Protokollquellentypen, von denen Sie erwarten, dass sie hohe Ereignisraten erhalten und ein schnelleres Parsing erfordern. Wenn Sie den Parameter Als Gateway-Protokollquelle verwenden aktivieren, können Sie das vorausschauende Parsing aktivieren.
Protokollquellen-ID-Muster	Wenn die Option Als Gateway-Protokollquelle verwenden ausgewählt ist, können Sie mit dieser Option eine angepasste Protokollquellen-ID für Ereignisse definieren, die verarbeitet werden. Wenn das Protokollquellen-ID-Muster nicht konfiguriert ist, empfängt QRadar Ereignisse als unbekannte generische Protokollquellen. Das Feld Muster für Protokollquellenkennung akzeptiert Schlüssel/Wert-Paare, wie z. B. key= value, um die angepasste Protokollquellenkennung für Ereignisse zu definieren, die verarbeitet werden, und für Protokollquellen, die gegebenenfalls automatisch erkannt werden sollen. Schlüssel ist die ID-Formatzeichenfolge, bei der es sich um den resultierenden Quellen-oder Ursprungswert handelt. Wert ist das zugeordnete Muster für reguläre Ausdrücke, das zum Auswerten der aktuellen Nutzdaten verwendet wird. Der Wert (Muster für reguläre Ausdrücke) unterstützt auch Erfassungsgruppen, die zur weiteren Anpassung des Schlüssels verwendet werden können (ID Format String). Sie können mehrere Schlüssel/Wert-Paare definieren, indem Sie jedes Muster in einer neuen Zeile eingeben. Wenn mehrere Muster verwendet werden, werden sie nacheinander ausgewertet, bis eine Übereinstimmung gefunden wird. Wenn eine Übereinstimmung gefunden wird, wird eine angepasste Protokollquellen-ID angezeigt. Die folgenden Beispiele zeigen die Funktionen für mehrere Schlüssel/Wert-Paare: Muster `VPC=\sREJECT\sFAILURE` `$1=\s(REJECT)\sOK` `VPC-$1-$2=\s(ACCEPT)\s(OK)` Ereignisse `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Resultierende angepasste Protokollquellen-ID `VPC-ACCEPT-OK`
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der Standardwert ist 5000.
Erweiterte Serverkonfigurationsoptionen aktivieren	Aktivieren Sie diesen Parameter, um weitere Serveroptionen zu konfigurieren. Wenn Sie diesen Parameter nicht aktivieren, werden die Standardwerte verwendet.
Maximale Nutzdatenlänge (Byte)	Die maximale Nutzdatengröße eines einzelnen Ereignisses in Byte. Das Ereignis wird aufgeteilt, wenn seine Nutzdatengröße diesen Wert überschreitet. Der Standardwert ist 8192 und darf nicht größer als 32767 sein. Wenn Sie den Parameter Erweiterte Serverkonfigurationsoptionen aktivieren aktivieren, wird dieser Parameter angezeigt.
TLS Protokolle	Die Versionen von „ TLS “, die im Rahmen dieses Protokolls akzeptiert werden können. Senden Sie eine Anforderung unter Verwendung derselben Version, die für den Server ausgewählt ist. TLSv1.3 wird ab QRadar 7.5.0 UP5 unterstützt. Wichtig: TLSv1.0 und TLSv1.1 werden ab QRadar 7.3.3 FP10, 7.4.3 FP3und 7.5.0 CR nicht mehr unterstützt. Zukünftige Releases unterstützen TLSv1.0 und TLSv1.1möglicherweise nicht.
Max. Länge der POST-Methodenanforderung (MB)	Die maximale Größe des Hauptteils einer POST-Methodenanforderung in MB. Wenn die Größe des POST-Anfragetextes diesen Wert überschreitet, wird HTTP 3 zurückgegeben. Der Standardwert ist 5 und darf nicht größer als 10 sein. Wenn Sie den Parameter Erweiterte Serverkonfigurationsoptionen aktivieren aktivieren, wird dieser Parameter angezeigt.
Threads für die Bearbeitung von Post-Anfragen	Die Anzahl der Verarbeitungsthreads, die für die Bearbeitung eingehender Postanfragen bereitgestellt werden. Wenn die Verarbeitungsthreads nicht mit den eingehenden Postdaten Schritt halten können, wird HTTP 429 zurückgegeben. Wenn Sie den Parameter Erweiterte Serverkonfigurationsoptionen aktivieren aktivieren, wird dieser Parameter angezeigt.