Protokollkonfigurationsoptionen für IBM Security Randori -REST-API

Um Ereignisse von IBM Security Randori® zu empfangen, konfigurieren Sie eine Protokollquelle für die Kommunikation mit dem IBM Security Randori REST API-Protokoll.

Das IBM Security Randori -REST-API-Protokoll ist ein aktives abgehendes Protokoll, das Alerts zu Änderungen an der Angriffsfläche eines Unternehmens bereitstellt. Zum Beispiel neue Ziele, die erkannt werden.

Wichtig: Bevor Sie eine Protokollquelle für Randorikonfigurieren können, müssen Sie Ihren API-Schlüssel über das Randori -Webportal abrufen.

Weitere Informationen zum Abrufen dieses Werts finden Sie unter Vorgehensweise zum Hinzufügen eines API-Tokens (https://www.ibm.com/docs/en/SSD5I5K/intapi_api_AddAPIToken.html).

In der folgenden Tabelle werden die protokollspezifischen Parameter für das IBM Security Randori -REST-API-Protokoll beschrieben:

Tabelle 1. IBM Security Randori REST-API-Protokollparameter
Parameter	Beschreibung
Protokollkonfiguration	IBM Security Randori-REST-API
Log Source Identifier (Protokollquellenkennung)	Geben Sie einen eindeutigen Namen für die Protokollquelle ein. Die Protokollquellenkennung kann ein beliebiger gültiger Wert sein und muss keinen bestimmten Server referenzieren. Er kann auch denselben Wert wie der Protokollquellennamehaben. Wenn Sie mehrere konfigurierte IBM Security Randori -Protokollquellen haben, stellen Sie sicher, dass Sie jedem einen eindeutigen Namen geben.
Instanz	Der Instanzwert ist URL, die Sie für den Zugriff auf Randori verwenden, z. B`app2.randori.io`. Die Struktur für den Wert Instance lautet wie folgt: `app[#].randori.io` Dabei steht `[#]` für eine Zahl, die möglicherweise für den Zugriff auf Ihre Randori -Instanz erforderlich ist.
API-Schlüssel	Der API-Schlüssel, der für den Zugriff auf die IBM Security Randori -REST-API verwendet wird Weitere Informationen zum Abrufen dieses Werts finden Sie unter Vorgehensweise zum Hinzufügen eines API-Tokens (https://www.ibm.com/docs/en/SSD5I5K/intapi_api_AddAPIToken.html).
Mindestprioritätsbewertung	Filtert neue Ziele anhand der ausgewählten Prioritätsbewertung. Niedrig -Alle neuen Ziele Mittel -Neue Ziele mit einer Priorität größer als 20 Hoch -Neue Ziele mit einer Priorität von 30 oder höher
Minimale Versuchung	Filtert vorhandene Ziele, die einen geänderten Verlockungswert haben. Dieser Filter basiert auf dem von Ihnen ausgewählten Verlockungswert. Niedrig -Alle Ziele mit einem geänderten Verlockungswert Mittel -Ziele mit einem Versuchung-Wert größer als 14 Hoch -Ziele mit einem Verlockungswert größer als 29 Kritisch -Ziele mit einem Verlockungswert größer als 39
Proxy verwenden	Wenn auf die API über einen Proxy zugegriffen wird, wählen Sie dieses Markierungsfeld aus. Konfigurieren Sie die Felder Proxy-IP oder -Hostname, Proxy-Port, Proxy-Benutzernameund Proxy-Kennwort . Wenn der Proxy keine Authentifizierung erfordert, können Sie die Felder Proxy-Benutzername und Proxy-Kennwort leer lassen.
Wiederholung	Geben Sie an, wie oft das Protokoll Daten erfasst. Der Wert kann in Minuten (M), Stunden (H) oder Tagen (D) angegeben werden. Der Standardwert ist 1 Minute.
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der Standardwert ist 5000.
Erweiterte Optionen aktivieren	Wählen Sie dieses Kontrollkästchen aus, um die folgenden Konfigurationsoptionen zu aktivieren: Nicht vertrauenswürdig zulassen und Workflow überschreiben. Diese Parameter sind nur sichtbar, wenn Sie dieses Kontrollkästchen auswählen.
Anfängliche Tage für Protokolldaten	Geben Sie an, wie viele Tage vor dem aktuellen Datum Protokolldaten erfasst werden sollen. Wenn Sie eine neue Protokollquelle konfigurieren, generiert IBM QRadar`New Target`Ereignisse für vorhandene Ziele, die innerhalb der von Ihnen eingegebenen Anzahl von Tagen ein Datum für das erste Vorkommen aufweisen. Dieser Wert wird nur verwendet, bevor die Protokollquelle zum ersten Mal ausgeführt wird.
Nicht vertrauenswürdig zulassen	Wenn Sie diesen Parameter aktivieren, kann das Protokoll selbst signierte und ansonsten nicht vertrauenswürdige Zertifikate akzeptieren, die sich im Verzeichnis /opt/qradar/conf/trusted_certificates/ befinden. Wenn Sie den Parameter inaktivieren, erkennt der Scanner nur Zertifikate an, die von einem vertrauenswürdigen Unterzeichner signiert wurden. Die Zertifikate müssen im PEM-oder RED-codierten Binärformat vorliegen und als .crt -oder .cert -Datei gespeichert werden. Wenn Sie den Workflow ändern, um einen fest codierten Wert für den Parameter Nicht vertrauenswürdige Zertifikate zulassen einzuschließen, überschreibt der Workflow Ihre Auswahl in der Benutzerschnittstelle. Wenn Sie diesen Parameter nicht in Ihren Workflow einschließen, wird Ihre Auswahl in der Benutzerschnittstelle verwendet.
Workflow überschreiben	Aktivieren Sie diese Option, um den Workflow anzupassen. Wenn Sie diese Option aktivieren, werden die Parameter Workflow und Workflowparameter angezeigt.
Workflow	Das XML-Dokument, das definiert, wie die Protokollinstanz Ereignisse aus der Ziel-API erfasst. Weitere Informationen zum Standardworkflow finden Sie unter IBM Security Randori REST API-Protokollworkflow.
Workflowparameter	Das XML-Dokument, das die Parameterwerte enthält, die direkt vom Workflow verwendet werden. Weitere Informationen zu den Standardworkflowparametern finden Sie unter IBM Security Randori REST API protocol workflow.