Sicherheitslückenscanner der SAINT Security Suite in QRadar hinzufügen

QRadar verwendet die SAINT-API zum Erfassen und Importieren von Scanberichten aus Ihrer SAINT Security Suite-Appliance.

1. Melden Sie sich bei QRadar Consolean.
2. Klicken Sie auf die Registerkarte Verwaltung .
3. Klicken Sie auf das Symbol VA-Scanner und anschließend auf Add.
4. Geben Sie im Feld Scannername einen Namen ein, um Ihren SAINT Security Suite-Scanner zu identifizieren.
5. Wählen Sie in der Liste Verwalteter Host eine Option aus, die auf einer der folgenden Plattformen basiert:
   • Wählen Sie in QRadar Consoleden verwalteten Host aus, der für die Kommunikation mit der Scannereinheit verantwortlich ist.
   • Wenn der Scanner unter QRadar on Cloudin der Cloud gehostet wird, kann die QRadar -Konsole als verwalteter Host verwendet werden. Wählen Sie andernfalls das Datengateway aus, das für die Kommunikation mit der Scannereinheit verantwortlich ist.
6. Wählen Sie in der Liste Typ den Eintrag Saint Security Suite Scanneraus.
7. Geben Sie im Feld API-Hostname die IP-Adresse oder den Hostnamen für die SAINT-API ein.
8. Geben Sie im Feld API-Port die SAINT-API-Portnummer ein. Weitere Informationen zum API-Port finden Sie unter Portnummer der SAINT-API abrufen .
9. Geben Sie im Feld API-Token das SAINT-API-Token ein. Weitere Informationen zum SAINT-API-Token finden Sie unter SAINT-API-Token abrufen.
10. Wählen Sie in der Liste Scantyp eine der folgenden Scantypoptionen aus:

    Option	Beschreibung
    Live-Scan	QRadar erstellt einen neuen Scan auf der SAINT Security Suite-Appliance und führt ihn aus. Nach Abschluss des Scans erfasst und importiert QRadar einen Scanbericht von der SAINT Security Suite-Appliance.
    Nur Bericht	QRadar erfasst und importiert Scanberichte für alle Scans, die sich bereits auf der SAINT Security Suite-Appliance befinden und die den folgenden Anforderungen entsprechen. Der Scan ist nicht älter als das im Feld Max. Berichtsalter angegebene Alter. Die Scanstufe des Scans entspricht der angegebenen Scanstufe. Die Zielzuordnung des Scans hat mindestens eine gemeinsame IP-Adresse mit dem CIDR-Bereich. Diese Option startet keine neuen Scans auf der SAINT Security Suite-Appliance. Um genaue Ergebnisse zu erfassen, stellen Sie sicher, dass relevante, regelmäßig ausgeführte Scans auf der SAINT Security Suite-Appliance geplant sind.

11. Wählen Sie in der Liste Scanebene eine Scanebene aus, die Sie verwenden möchten.
    Hinweis: Auf der SAINT Security Suite Appliance und in der Dokumentation zu SAINT Security Suite werden Scanstufen als Scanrichtlinien bezeichnet. Weitere Informationen zu OVAL/SCAP-Scans finden Sie auf der Website SAINT Security Suite documentation (my.saintcorporation.com/resources/documentation/help/saint8_help/saint_help.html). Klicken Sie im Navigationsfenster auf Benutzerhandbuch > SCAP.

    Scanstufe	Beschreibung
    Normal	SAINT erfasst Informationen, um den allgemeinen Charakter eines Hosts zu erhalten, und legt den Betriebssystemtyp und, wenn möglich, die Version des Software-Release fest.
    Schwer/Schwachstellenscan	Die Stufe Heavy/Vulnerability Scan wird auch als Richtlinie für hohe Auslastung bezeichnet. SAINT sucht nach Diensten, die auf den Ports TCP oder UDP lauschen. Alle erkannten Services werden auf bekannte Sicherheitslücken überprüft. Dieser Scan umfasst die gesamte Gruppe der Schwachstellenprüfungen von SAINT und ist die Scanrichtlinie, die von SAINT in den meisten Situationen empfohlen wird.
    Erkennung	SAINT durchsucht die Ziele und bestimmt, welche Ziele Live-Hosts haben. Diese Scanstufe schließt nur die minimale Scanstufe ab, die zum Identifizieren von Live-Hosts erforderlich ist. Daher ist der Scan Erkennung nicht sehr intrusiv.
    Portscan	SAINT identifiziert Dienste, die auf den Ports TCP oder UDP lauschen.
    Web-Crawler-Suche	SAINT erkennt Webverzeichnisse auf den Zielen, indem Ports nach Web-Services durchsucht werden, und sucht anschließend Verzeichnisse, indem HTML-Links ausgehend von der Homepage verwendet werden.
    SQL/XSS	SAINT sucht nach SQL-Injection-und Cross-Site-Scripting-Schwachstellen auf Web-Server. Beide generischen Tests sind eingeschlossen. SAINT sucht HTML-Formulare und testet alle Parameter für SQL-Injection und Cross-Site Scripting und sucht anschließend nach bekannten SQL-Injection-und Cross-Site-Scripting-Schwachstellen.
    Windows-Patch	SAINT sucht nach fehlenden Windows-Patches. Die meisten Überprüfungen auf Windows-Patches erfordern eine Windows-Domänenauthentifizierung.
    Inhaltssuche	SAINT durchsucht Dateien auf Windows-und Linux®/Mac-Zielen nach Kreditkartennummern, Sozialversicherungsnummern oder anderen angegebenen Mustern. Authentifizierung ist erforderlich. Wenn Sie ein Linux/Mac-Ziel scannen, muss SSH aktiviert sein.
    PCI	SAINT überprüft die Ziele mithilfe aller Schwachstellenprüfungen, die für die Konformität mit Payment Card Industry und Data Security Standard (PCI DSS) relevant sind.
    Informationen zum Virenschutz	Es werden Informationen zu installierter AV-Software erfasst, z. B. Datum des letzten Scans, aktiviert, Datum der Definitionsdatei und weitere Informationen, die für die Prüfanforderung 5 des PCI-DSS nützlich sind. Für viele AV-Softwareprodukte wie McAfee, Symantec, AVG, F-Secure, MS Forefront und Trend Micro werden auch Informationen über Windows-Versionen gesammelt. Authentifizierung ist erforderlich. Fakten, die die Zeichenfolge '(Master)' enthalten, geben an, dass ein Virenschutzserver, Manager oder Administrator auf dem Ziel installiert ist.
    FISMA	SAINT überprüft die Ziele mithilfe aller Schwachstellenprüfungen, die für die FISMA-Konformität (Federal Information Security Management Act) relevant sind.
    Authentifizierungstest	SAINT authentifiziert sich bei den Zielen mithilfe der Berechtigungsnachweise, die beim Hinzufügen eines Schwachstellenscanners angegeben werden.
    Erraten des Gewinns des Kennworts	Führt mithilfe der Konfigurationsoptionen für die Kennwortvermutung und das Wörterverzeichnis für Kennwörter eine Kennwortvermutung für Windows-Ziele durch. Die Authentifizierung wird für SAINT empfohlen, um Konten aufzuzählen.
    Microsoft Patch Dienstag	Prüft am zweiten Dienstag jedes Monats, ob am Dienstag Schwachstellen des letzten veröffentlichten Microsoft-Patch vorliegen. Diese Scanstufe und die zugehörigen Inhalte werden normalerweise von SAINTexpress am Mittwoch um 12.00 Uhr aktualisiert.
    Web-Scan (OWASP Top 10)	Überprüft Webserver und Webanwendungen auf Schwachstellen wie SQL-Injection, Cross-Site-Scripting, nicht gepatchte Webserver-Software, schwache Verschlüsselungsalgorithmen bei der „ SSL “ sowie weitere Schwachstellen aus den OWASP Top 10. Außerdem werden Dateiinhaltsprüfungen aktiviert. Für einige der enthaltenen Prüfungen kann eine Authentifizierung erforderlich sein.
    IAVA (ordnet CVEs IAVA-Codes zu)	SAINT überprüft die Ziele mithilfe aller Schwachstellenprüfungen, die für die IAVA-Konformität (Information Assurance Vulnerability Alert) relevant sind.
    Erraten des Betriebssystemkennworts	Enthält alle Funktionen zum erraten des SAINT-Kennworts, mit denen das Betriebssystemkennwort erraten werden kann. Diese Richtlinie umfasst Überprüfungen auf FTP-Standardkennwörter und Wörterbuchbasierte Kennwortvermutungen über Telnet, SSH und FTP. Die Authentifizierung wird empfohlen, um die Aufzählung des Benutzerkontos sicherzustellen.
    NERC-CIP	SAINT überprüft die Ziele mithilfe aller Schwachstellenprüfungen, die für die Konformität mit der North American Electric Reliability Corporation und Critical Infrastructure Protection (NERC CIP) relevant sind.
    Softwarebestand	Generiert eine Liste der Software, die auf Windows-Zielen installiert ist. Authentifizierung ist erforderlich. Die Softwareliste wird durch Aufzählen des Deinstallationsschlüssels in der Windows-Registrierung generiert. Es ist nur Software enthalten, die während der Installation beim Betriebssystem registriert wurde. Software, die auf dem System installiert wurde, ohne dass ein Installationsprogramm ausgeführt wurde, wird normalerweise übergangen. Registrierte Software, die fälschlicherweise aus dem System entfernt wurde, wird nach dem Entfernen möglicherweise in die Liste aufgenommen.
    HIPAA	SAINT überprüft die Ziele mithilfe aller Schwachstellenprüfungen, die für die HIPAA-Konformität (Health Insurance Portability and Accountability Act) relevant sind.
    SOX	SAINT überprüft die Ziele mithilfe aller Schwachstellenprüfungen, die für die Konformität mit Sarbanes-Oxley Act (SOX) relevant sind.
    Mobiles Gerät	Die Scan-Ebene für mobile Geräte fragt Active Directory nach Informationen über mobile Geräte ab, die Exchange ActiveSync, verwenden, und verwendet diese Informationen dann, um auf Schwachstellen auf diesen Geräten hinzuweisen. Die Einheiten werden in den Scanergebnissen als separate Ziele aufgelistet, auch wenn diese nicht gescannt werden. Damit diese Scanstufe erfolgreich ist, muss OpenLDAP auf dem Scanhost installiert sein und der Scan muss mit den Berechtigungsnachweisen des Windows-Domänenadministrators ausgeführt werden. Weitere Informationen zur Authentifizierung finden Sie auf der Website SAINT Security Suite documentation-Step 4-Authentication (my.saintcorporation.com/resources/documentation/help/saint8_help/scan.html#Step_4__Authentication). Die Zielliste muss mindestens einen Active Directory -Server enthalten, und das SSL -Zertifikat für diesen Active Directory -Server muss auf dem Scan-Host installiert und konfiguriert sein. Weitere Informationen zu Windows-Zielen finden Sie unter SAINT Security Suite documentation website-Authenticating to Windows Targets. (my.saintcorporation.com/resources/documentation/help/saint8_help/scan.html#Windows_Targets)
    Network Device	Sucht nach Schwachstellen in Routern, Switches und anderen Netzeinheiten.
    OVAL-Scan	Führt einen OVAL/SCAP-Scan aus. Weitere Informationen zu OVAL/SCAP-Scans finden Sie auf der Website SAINT Security Suite documentation (my.saintcorporation.com/resources/documentation/help/saint8_help/saint_help.html). Klicken Sie im Navigationsfenster auf Benutzerhandbuch > Verwenden von SAINT > SCAP.

    Weitere Informationen zu den SAINT-Scanparametern finden Sie auf der Dokumentationswebsite zur SAINT Security Suite (my.saintcorporation.com/resources/documentation/help/saint8_help/saint_help.html). Führen Sie die folgenden Schritte aus. Klicken Sie im Navigationsfenster auf Benutzerhandbuch > SCAN > Registerkarte 'Jobs'.

12. Wenn Sie OVAL-Scan in der Liste Scanebene ausgewählt haben, geben Sie den Namen der Scanrichtlinie, die Sie verwenden möchten, in das Feld Name der OVAL-Scanrichtlinie ein. OVAL/SCAP-Scans sind Scantypen, die auf Benchmarks basieren, die aus autoritativen Quellen erfasst werden.
13. Wenn Sie Live Scan als Scantyp ausgewählt haben, geben Sie die Berechtigungsnachweise für das Scanziel an, die für die Authentifizierung von Zielen bei Scans verwendet werden. Wählen Sie in der Liste Typ der Scanzielberechtigungsnachweise eine der folgenden Optionen für die Berechtigungsnachweise aus, die Sie verwenden wollen:
    Hinweis: Berechtigungsnachweise für Scanziel werden ignoriert, wenn Nur Bericht als Scantyp ausgewählt ist.

    Option	Beschreibung
    Keine	Verwenden Sie keine Berechtigungsnachweise.
    HTTP Basic	Verwenden Sie die Anmeldedaten für HTTP.
    Linux / Unix /Mac (SSH)	Verwenden Sie Berechtigungsnachweise für die Verbindung zu einem Linux-, UNIX-oder Mac-Server über SSH.
    Microsoft SQL Server	Verwenden Sie Berechtigungsnachweise für die Verbindung zu einer Microsoft SQL Server -Datenbank.
    Oracle	Verwendet Berechtigungsnachweise für die Verbindung zu einer Oracle -Datenbank.
    Windows-Administrator	Verwenden Sie Berechtigungsnachweise eines Administratoraccounts auf einem Windows-Server.
    Windows-Benutzer ohne Administratorberechtigung	Verwenden Sie Berechtigungsnachweise eines Kontos ohne Administratorberechtigung auf einem Windows-Server.
    MySQL	Verwenden Sie Berechtigungsnachweise für die Verbindung zu einer MySQL -Datenbank.
    SNMPv3	Verwenden Sie SNMPv3 -Berechtigungsnachweise.

14. Wenn Sie eine der Optionen ausgewählt haben, mit Ausnahme der Option Keine in der Liste Typ des Scanzielberechtigungsnachweises , konfigurieren Sie die folgenden Parameter für die Scanzielberechtigungsnachweise , die Sie ausgewählt haben:

    Parameter	Wert
    Benutzername für Scanzielberechtigungsnachweise	Der Benutzername für den ausgewählten Scanzielberechtigungsnachweis.
    Kennwort für Scanzielberechtigungsnachweise	Das Kennwort für den ausgewählten Berechtigungsnachweis des Scanziels.

15. Optional: Wenn Sie in der Liste „Scan Target Credentials Type“ die Option „ Linux “ / „ Unix “ / „Mac (SSH)“ ausgewählt haben, geben Sie den privaten SSH-Schlüssel an.
16. Optional: Wenn Sie Oracle in der Liste Typ des Scanzielberechtigungsnachweises ausgewählt haben, können Sie eine Oracle -Service-ID (SID) einer Oracle -Datenbankinstanz angeben, indem Sie sie in das Feld Oracle SID eingeben.
17. Optional: Wenn Sie SNMPv3 in der Liste Scan Target Credentials Type ausgewählt haben, führen Sie die folgenden Schritte aus:
    1. Wählen Sie eine der folgenden Optionen für den Prüfsummenalgorithmus aus der Liste „ SNMP -Passwortprotokoll“ aus:

       Option	Beschreibung
       SHA	Wählen Sie diese Option für das Kennwort aus, das Sie in das Feld Scan Target Credentials Password eingegeben haben, um das SHA-Protokoll zu verwenden.
       MD5	Wählen Sie diese Option für das Kennwort aus, das Sie im Feld Scan Target Credentials Password eingegeben haben, um das MD5 -Protokoll zu verwenden.

    2. Optional: Sie können eine Passphrase für „ SNMP “ festlegen, indem Sie diese in das Feld „ SNMP Passphrase“ eingeben.
       Wenn Sie eine Passphrase für „ SNMP “ angegeben haben, wählen Sie eine der folgenden Optionen aus der Liste „ SNMP -Passphrase-Protokoll“ aus:

       Option	Beschreibung
       DES	Wählen Sie diese Option für die Passphrase, die Sie in das Feld „ SNMP -Passphrase“ eingegeben haben, um das DES-Protokoll zu verwenden.
       AES	Wählen Sie diese Option für die Passphrase, die Sie in das Feld „ SNMP -Passphrase“ eingegeben haben, um das AES-Protokoll zu verwenden.

18. Wenn Sie Nur Bericht in der Liste Scantyp ausgewählt haben, geben Sie das maximale Alter der zu importierenden Scanberichte im Feld Max. Berichtsalter ein.
19. CIDR-Bereiche für den Scanner konfigurieren:
    1. Geben Sie im Feld CIDR-Bereiche den CIDR-Bereich für den Scan ein oder klicken Sie auf Durchsuchen , um einen CIDR-Bereich aus der Netzliste auszuwählen.
    2. Klicken Sie auf Hinzufügen.
20. Klicken Sie auf Speichern.