Crowdstrike
Verwenden Sie die IBM Security QRadar Custom Properties for Crowdstrike Content Extension, um Ihren Crowdstrike-Einsatz genau zu überwachen.
Wichtig: Um Inhaltsfehler in dieser Inhaltserweiterung zu vermeiden, halten Sie die zugehörigen DSMs auf dem neuesten Stand. DSMs werden im Rahmen der automatischen Aktualisierungen aktualisiert. Wenn automatische Updates nicht aktiviert sind, laden Sie die neueste Version der zugehörigen DSMs von IBM® Fix Central (https://www.ibm.com/support/fixcentral) herunter.
IBM Sicherheits QRadar Benutzerdefinierte Eigenschaften für Crowdstrike-Inhalte Erweiterungs- 1.0.0
In der folgenden Tabelle sind die angepassten Eigenschaften in IBM Security QRadar Custom Properties for Crowdstrike Content Extension 1.0.0aufgeführt.
| Ihren Namen | Optimiert | Erfassungsgruppe | Regex |
|---|---|---|---|
| Aktion | Ja | 1 | objective=(.*?)\t |
| Aktionsergebnis | Nein | 1 | outcome=(.*?)\t |
| Alertschweregrad | Nein | 1 | sev=(.*?)\t |
| Verbindungsrichtung | Nein | 1 | connDir=(.*?)\t |
| Detection Engine (Engine zur Virenerkennung) | Nein | 1 | scanResultEngine=(.*?)\t |
| Entsorgung | Nein | 1 | patternDisposition=(.*?)\t |
| DNS-Anforderungsdomäne | Nein | 1 | dnsRequestdomain=(.*?)\t |
| DNS-Anforderungstyp | Nein | 1 | requestType=(.*?)\t |
| Domäne | Nein | 1 | domain=(.*?)(?:\t|$|\|) |
| Dateiverzeichnis | Ja | 1 | docAccessedFilePath=(.*?)(?:\t|$) exeWrittenFilePath=(.*?)(?:\t|$|\|) filePath=(.*?)\t |
| Dateierweiterung | Ja | 1 | fileName=.*?\.(.*?)\t exeWrittenFileName=.*?\.(.*?)(?:\t|$|\|) docAccessedFileName=.*?\.(.*?)(?:\t|$|\|) |
| Dateiname | Ja | 1 | exeWrittenFileName=(.*?)(?:\t|$|\|) fileName=(.*?)\t docAccessedFileName=(.*?)(?:\t|$|\|) |
| MD5-Hash | Ja | 1 | md5=(.*?)\t |
| Nachricht | Nein | 1 | description=(.*?)\t |
| Process CommandLine (Prozessbefehlszeile) | Ja | 1 | commandLine=(.*?)\t |
| Ressource | Ja | 1 | resource=(.*?)(?:\t|$|\|) |
| Servicename | Ja | 1 | serviceName=(.*?)\t |
| SHA256-Hash | Ja | 1 | sha256=(.*?)\t |
| Taktik | Nein | 1 | tactic=(.*?)(?:\t|$|\|) |
| Technik | Nein | 1 | technique=(.*?)(?:\t|$|\|) |
| Threat Name (Bedrohungsname) | Ja | 1 | scanResultName=(.*?)\t |
| TLS- oder SSL-Protokollversion | Nein | 1 | proto=(.*?)\t |
| URL | Ja | 1 | url=(.*?)(?:\t|$|\|) |
| UrlHost | Ja | 1 | url=(?:(?:http|ftp|tcp|ssl|https|tunnel):\/\/)(.*?)(?=\s|\\|\"|\/|\:) |