Konfigurationsoptionen für das JDBC -Protokoll der Sophos Enterprise Console

Um Ereignisse von Sophos Enterprise Consoles zu empfangen, konfigurieren Sie eine Protokollquelle für die Verwendung des JDBC -Protokolls der Sophos Enterprise Console.

Das Sophos Enterprise Console JDBC-Protokoll ist ein ausgehendes/aktives Protokoll, das Payload-Informationen aus Application Control-Protokollen, Device Control-Protokollen, Data Control-Protokollen, Protokollen zum Manipulationsschutz und Firewall-Protokollen in der vEventsCommonData-Tabelle kombiniert. Wenn die Sophos Enterprise Console nicht über das Sophos Reporting Interface verfügt, können Sie das Standardprotokoll JDBC verwenden, um Antiviren-Ereignisse zu sammeln.

In der folgenden Tabelle werden die Parameter für das JDBC -Protokoll der Sophos Enterprise Console beschrieben:

Tabelle 1. Sophos Enterprise Console JDBC -Protokollparameter
Parameter	Beschreibung
Protokollkonfiguration	Sophos Enterprise Console- JDBC
Protokollquellenkennung	Geben Sie einen Namen für die Protokollquelle ein. Der Name darf keine Leerzeichen enthalten und muss unter allen Protokollquellen des Protokollquellentyps, der für die Verwendung des JDBC -Protokolls konfiguriert ist, eindeutig sein. Wenn die Protokollquelle Ereignisse von einer einzelnen Appliance erfasst, die über eine statische IP-Adresse oder einen Hostnamen verfügt, verwenden Sie die IP-Adresse oder den Hostnamen der Appliance als Wert für die Protokollquellenkennung , z. B. 192.168.1.1 oder JDBC192.168.1.1. Wenn die Protokollquelle keine Ereignisse von einer einzelnen Appliance mit einer statischen IP-Adresse oder einem Hostnamen erfasst, können Sie einen beliebigen eindeutigen Namen als Wert für Protokollquellenkennung verwenden, z. B. JDBC1, JDBC2.
Datenbanktyp	MSDE
Datenbankname	Der Datenbankname muss mit dem im Feld Protokollquellen-ID angegebenen Datenbanknamen übereinstimmen.
Port	Der Standardport für MSDE in Sophos Enterprise Console ist 1168. Der JDBC -Konfigurationsport muss mit dem Listener-Port der Sophos-Datenbank übereinstimmen, um mit QRadarzu kommunizieren. Für die Sophos-Datenbank müssen eingehende TCP-Verbindungen aktiviert sein. Wenn eine Datenbankinstanz mit dem MSDE-Datenbanktyp verwendet wird, müssen Sie den Parameter Port leer lassen.
Authentifizierungsdomäne	Wenn Ihr Netz keine Domäne verwendet, lassen Sie dieses Feld leer.
Datenbankinstanz	Die Datenbankinstanz, falls erforderlich MSDE-Datenbanken können mehrere SQL Server-Instanzen auf einem Server enthalten. Wenn ein vom Standard abweichenden Port für die Datenbank verwendet wird oder wenn Administratoren den Zugriff auf Port 1434 für die SQL-Datenbankauflösung blockieren, muss der Parameter Datenbankinstanz leer sein.
Tabellenname	`vEventsCommonData`
Auswahlliste	`*`
Vergleichsfeld	`InsertedAt`
Verwenden Sie vorbereitete Anweisungen	Vorbereitete Anweisungen ermöglichen es der Protokollquelle, die SQL-Anweisung zu konfigurieren und anschließend die SQL-Anweisung mehrmals mit unterschiedlichen Parametern auszuführen. Aus Sicherheits-und Leistungsgründen können die meisten Konfigurationen vorbereitete Anweisungen verwenden. Wählen Sie dieses Kontrollkästchen ab, um eine alternative Abfragemethode zu verwenden, die keine vorkompilierten Anweisungen verwendet.
Startdatum und -zeit	(Optional) Ein Startdatum und eine Startzeit für den Zeitpunkt, zu dem das Protokoll mit dem Abfragen der Datenbank beginnen kann. Ist keine Startzeit definiert, versucht das Protokoll, Ereignisse abzufragen, nachdem die Protokollquellenkonfiguration gespeichert und implementiert wurde.
Sendeaufrufintervall	Das Abfrageintervall, das die Zeit zwischen Abfragen an die Datenbank angibt. Sie können ein längeres Abfrageintervall definieren, indem Sie H für Stunden oder M für Minuten an den numerischen Wert anhängen. Das maximale Abfrageintervall beträgt 1 Woche in einem beliebigen Zeitformat. Numerische Werte ohne Abfrage des Bezeichners H oder M in Sekunden.
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet.
Kommunikation über benannte Pipe verwenden	Wenn MSDE als Datenbanktyp konfiguriert ist, können Administratoren dieses Markierungsfeld auswählen, um eine alternative Methode für eine TCP/IP-Portverbindung zu verwenden. Für Verbindungen über benannte Pipes für MSDE-Datenbanken ist das Feld für den Benutzernamen und das Kennwort erforderlich, um einen Benutzernamen und ein Kennwort für die Windows-Authentifizierung zu verwenden, nicht den Datenbankbenutzernamen und das Kennwort. Die Konfiguration der Protokollquelle muss die benannte Standardpipe in der MSDE-Datenbank verwenden.
Name des Datenbankclusters	Wenn Sie SQL Server in einer Clusterumgebung verwenden, definieren Sie den Clusternamen, um sicherzustellen, dass die Kommunikation über benannte Pipes ordnungsgemäß funktioniert.
NTLMv2 verwenden	Erzwingt, dass MSDE-Verbindungen das Protokoll NTLMv2 mit SQL-Servern verwenden, die eine NTLMv2 -Authentifizierung erfordern. Der Standardwert des Kontrollkästchens ist ausgewählt. Das Kontrollkästchen NTLMv2verwenden unterbricht keine Kommunikation für MSDE-Verbindungen, die keine NTLMv2 -Authentifizierung erfordern.