Juniper Networks IDP (veraltet)

Das Juniper IDP DSM für IBM QRadar akzeptiert Ereignisse, die syslog verwenden. QRadar zeichnet alle relevanten Juniper-IDP-Ereignisse auf.

Informationen zu dieser Task

Sie können einen Sensor auf Ihrem Juniper-IDP konfigurieren, um Protokolle an einen Syslog-Server zu senden:

Vorgehensweise

  1. Melden Sie sich bei der Juniper NSM-Benutzerschnittstelle an.
  2. Doppelklicken Sie in NSM auf Sensor in Device Manager.
  3. Wählen Sie Globale Einstellungenaus.
  4. Wählen Sie Syslog aktivierenaus.
  5. Geben Sie die IP-Adresse des Syslog-Servers ein, um Ereignisse an QRadarweiterzuleiten.
  6. Klicken Sie auf OK.
  7. Verwenden Sie Gerät aktualisieren , um die neuen Einstellungen auf den IDP-Sensor zu laden.

    Die vom IDP-Sensor gesendete Syslog-Nachricht hat folgendes Format:

    <day id>, <record id>, <timeReceived>, <timeGenerated>, <domain>, <domainVersion>, <deviceName>, <deviceIpAddress>, <category>, <subcategory>,<src zone>, <src intface>, <src addr>, <src port>, <nat src addr>, <nat src port>, <dstzone>, <dst intface>, <dst addr>, <dst port>, <nat dst addr>, <nat dst port>,<protocol>, <rule domain>, <rule domainVersion>, <policyname>, <rulebase>, <rulenumber>, <action>, <severity>, <is alert>, <elapsed>, <bytes in>, <bytes out>, <bytestotal>, <packet in>, <packet out>, <packet total>, <repeatCount>, <hasPacketData>, <varData Enum>, <misc-str>, <user str>, <application str>, <uri str>

    Sehen Sie sich das folgende syslog-Beispiel an:

    [syslog@juniper.net dayId="20061012" recordId="0" timeRecv="2006/10/12 21:52:21" timeGen="2006/10/12 21:52:21" domain="" devDomVer2="0" device_ip="<IP_address>" cat="Predefined" attack="TROJAN:SUBSEVEN:SCAN" srcZn="NULL" srcIntf="NULL" srcAddr="<Source_IP_address>" srcPort="63396" natSrcAddr="NULL" natSrcPort="0" dstZn="NULL" dstIntf="NULL" dstAddr="<Destination_IP_address>" dstPort="27374" natDstAddr="NULL" natDstPort="0" protocol="TCP" ruleDomain="" ruleVer="5" policy="Policy2" rulebase="IDS" ruleNo="4" action="NONE" severity="LOW" alert="no" elaspedTime="0" inbytes="0" outbytes="0" totBytes="0" inPak="0" outPak="0" totPak="0" repCount="0" packetData="no" varEnum="31" misc="<017>'interface=eth2" user="NULL" app="NULL" uri="NULL"]