TLS-Protokollquelle konfigurieren

Zum Verschlüsseln von Ereignissen und Senden an QRadar®müssen Sie eine Protokollquelle mit einem TLS-Syslog-Protokoll konfigurieren, um die Kommunikation mit QRadar an Port 6514 einzurichten.

Vorgehensweise

  1. Melden Sie sich bei QRadaran.
  2. Klicken Sie auf die Registerkarte Verwaltung .
  3. Klicken Sie im Navigationsmenü auf Datenquellen.
  4. Klicken Sie auf Protokollquellen > Hinzufügen.
  5. Konfigurieren Sie die folgenden Parameter:
    Tabelle 1. TLS-Protokollquelle für WinCollect 10-Ziel
    Parameter Beschreibung
    Protokollkonfiguration TLS Syslog
    Log Source Identifier (Protokollquellenkennung) Eine IP-Adresse oder ein Hostname zur Identifizierung der Protokollquelle.
    TLS-Empfangsport Der Standard-TLS-Empfangsport ist 6514.
    Authentifizierungsmodus Der Modus, mit dem Ihre TLS-Verbindung authentifiziert wird Wenn Sie die Option TLS-und Clientauthentifizierung auswählen, müssen Sie die Zertifikatsparameter konfigurieren.
    Clientzertifikatspfad

    Der absolute Pfad zum Clientzertifikat auf der Platte. Das Zertifikat muss in der QRadar -Konsole oder Event Collector für diese Protokollquelle gespeichert werden.
    Zertifikatstyp Der Typ des Zertifikats, das für die Authentifizierung für das Serverzertifikat und den Serverschlüssel verwendet werden soll
    Wählen Sie in der Liste Zertifikatstyp eine der folgenden Optionen aus:
    • Generiertes Zertifikat
    • Einzelnes Zertifikat und privater Schlüssel
    • PKCS12 Zertifikat und Kennwort
    Generiertes Zertifikat

    Diese Option ist verfügbar, wenn Sie den Zertifikatstypkonfigurieren.

    Wählen Sie diese Option aus, wenn Sie das Standardzertifikat und den Standardschlüssel verwenden möchten, die von QRadar für das Serverzertifikat und den Serverschlüssel generiert werden.
    Einzelnes Zertifikat und privater Schlüssel

    Diese Option ist verfügbar, wenn Sie den Zertifikatstypkonfigurieren.

    Wenn Sie ein einzelnes PEM-Zertifikat für das Serverzertifikat verwenden wollen, wählen Sie diese Option aus und konfigurieren Sie anschließend die folgenden Parameter:
    • Bereitgestellter Serverzertifikatspfad -Der absolute Pfad zum Serverzertifikat.
    • Bereitgestellter privater Schlüsselpfad -Der absolute Pfad zum privaten Schlüssel.
      Hinweis Der entsprechende private Schlüssel muss ein DER-codierter PKCS8 -Schlüssel sein. Die Konfiguration schlägt mit einem anderen Schlüsselformat fehl.
    PKCS12 Zertifikat und Kennwort

    Diese Option ist verfügbar, wenn Sie den Zertifikatstypkonfigurieren.

    Wenn Sie eine PKCS12 -Datei verwenden möchten, die das Serverzertifikat und den Serverschlüssel enthält, wählen Sie diese Option aus und konfigurieren Sie dann die folgenden Parameter:
    • PKCS12 Zertifikatspfad -Geben Sie den Dateipfad für die PKCS12 -Datei ein, die das Serverzertifikat und den Serverschlüssel enthält.
    • PKCS12 Kennwort -Geben Sie das Kennwort für den Zugriff auf die PKCS12 -Datei ein.
    • Zertifikatsalias -Wenn die PKCS12 -Datei mehrere Einträge enthält, muss ein Alias angegeben werden, um anzugeben, welcher Eintrag verwendet werden soll. Wenn die Datei PKCS12 nur einen Aliasnamen enthält, lassen Sie dieses Feld leer.
    Maximale Nutzdatenlänge Die maximale Nutzdatenlänge (Zeichen), die für TLS-Syslog-Nachricht angezeigt wird.
    Maximale Anzahl Verbindungen

    Der Parameter Maximale Anzahl Verbindungen steuert, wie viele gleichzeitige Verbindungen das TLS-Syslog-Protokoll für jeden Ereigniskollektorakzeptieren kann. Es gibt einen Grenzwert von 1000 Verbindungen für alle TLS-Syslog-Protokollquellenkonfigurationen für jeden Ereigniskollektor. Der Standardwert für jede Geräteverbindung ist 50.

    Hinweis: Automatisch erkannte Protokollquellen, die einen Listener mit einer anderen Protokollquelle gemeinsam nutzen Wenn Sie beispielsweise denselben Port auf demselben Ereigniskollektor verwenden, wird der Grenzwert nur einmal gezählt.
    TLS-Protokolle Das von der Protokollquelle zu verwendende TLS-Protokoll. Wählen Sie eine der folgenden Optionen aus:
    • TLS 1.2 und höher
    • TLS 1.1 und höher
    • TLS 1.0 und höher

    Verwenden Sie TLS 1.2 und höher, um Sicherheitslücken zu vermeiden.
    Als Gateway-protokollquelle Verwenden

    Sendet erfasste Ereignisse über die QRadar Traffic Analysis Engine, um die entsprechende Protokollquelle automatisch zu erkennen.

    Sie müssen diese Option auswählen, damit QRadar die richtige Protokollquelle für Ereignisse erkennt bzw. erstellt.

    Wenn diese Option nicht ausgewählt und Log Source Identifier Pattern nicht konfiguriert ist, empfängt QRadar Ereignisse als unbekannte generische Protokollquellen.
    Protokollquellen-ID-Muster

    Wenn Sie Als Gateway-Protokollquelle verwendenausgewählt haben, können Sie mit dieser Option eine angepasste Protokollquellen-ID für Ereignisse definieren, die verarbeitet werden, und für Protokollquellen, die bei Bedarf automatisch erkannt werden. Wenn Sie Log Source Identifier Patternnicht konfigurieren, empfängt QRadar Ereignisse als unbekannte generische Protokollquellen.

    Verwenden Sie Schlüssel/Wert-Paare, um die angepasste Protokollquellen-ID zu definieren. Der Schlüssel ist die ID-Formatzeichenfolge, bei der es sich um den resultierenden Quellen-oder Ursprungswert handelt. Der Wert ist das zugehörige Muster für reguläre Ausdrücke, das zum Auswerten der aktuellen Nutzdaten verwendet wird. Dieser Wert unterstützt auch Erfassungsgruppen, die zur weiteren Anpassung des Schlüssels verwendet werden können.

    Definieren Sie mehrere Schlüssel/Wert-Paare, indem Sie jedes Muster in einer neuen Zeile eingeben. Mehrere Muster werden in der Reihenfolge ausgewertet, in der sie aufgelistet sind. Wenn eine Übereinstimmung gefunden wird, wird eine angepasste Protokollquellen-ID angezeigt.

    Die folgenden Beispiele zeigen mehrere Schlüssel/Wert-Paarfunktionen.
    Muster
    VPC=\sREJECT\sFAILURE
    $1=\s(REJECT)\sOK
    VPC-$1-$2=\s(ACCEPT)\s(OK)
    Ereignisse
    {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}
    Resultierende ID der angepassten Protokollquelle
    VPC-AKZEPTIEREN-OK
    Multiline aktivieren Fassen Sie mehrere Nachrichten auf der Basis eines Start-/Endabgleichs oder eines mit ID verknüpften regulären Ausdrucks zu einzelnen Ereignissen zusammen.
    Aggregationsmethode

    Dieser Parameter ist verfügbar, wenn Multiline aktivieren aktiviert ist.

    • ID-Linked -Prozessereignisprotokolle, die einen allgemeinen Wert am Anfang jeder Zeile enthalten.
    • Start/End Matching -Aggregiert Ereignisse auf der Basis eines regulären Start-oder Endausdrucks (regulärer Ausdruck).
    Ereignisstartmuster

    Dieser Parameter ist verfügbar, wenn Multiline aktivieren aktiviert ist und die Aggregationsmethode auf Start-/Endabgleichgesetzt ist.

    Der reguläre Ausdruck (regex), der erforderlich ist, um den Anfang der mehrzeiligen TCP-Ereignisnutzdaten anzugeben. Syslog-Header beginnen normalerweise mit einem Datum oder einer Zeitmarke. Das Protokoll kann ein einzeiliges Ereignis erstellen, das ausschließlich auf einem Ereignisstartmuster (z. B. einer Zeitmarke) basiert. Wenn nur ein Startmuster verfügbar ist, erfasst das Protokoll alle Informationen zwischen jedem Startwert, um ein gültiges Ereignis zu erstellen.
    Ereignisendmuster

    Dieser Parameter ist verfügbar, wenn Multiline aktivieren aktiviert ist und die Aggregationsmethode auf Start-/Endabgleichgesetzt ist.

    Dieser reguläre Ausdruck (regex), der erforderlich ist, um das Ende der mehrzeiligen TCP-Ereignisnutzdaten zu identifizieren. Wenn das syslog-Ereignis mit demselben Wert endet, können Sie einen regulären Ausdruck verwenden, um das Ende eines Ereignisses zu bestimmen. Das Protokoll kann Ereignisse erfassen, die ausschließlich auf einem Ereignisendmuster basieren. Wenn nur ein Endmuster verfügbar ist, erfasst das Protokoll alle Informationen zwischen jedem Endwert, um ein gültiges Ereignis zu erstellen.
    Nachrichten-ID-Muster

    Dieser Parameter ist verfügbar, wenn Multiline aktivieren aktiviert und die Aggregationsmethode auf id-Linkedgesetzt ist.

    Dieser reguläre Ausdruck (regex), der zum Filtern der Ereignisnutzdatennachrichten erforderlich ist. Die mehrzeiligen TCP-Ereignisnachrichten müssen einen allgemeinen Identifikationswert enthalten, der in jeder Zeile der Ereignisnachricht wiederholt wird.
    Zeitlimit

    Dieser Parameter ist verfügbar, wenn Multiline aktivieren aktiviert und die Aggregationsmethode auf id-Linkedgesetzt ist.

    Die Anzahl der Sekunden, die auf weitere übereinstimmende Nutzdaten gewartet wird, bevor das Ereignis mit Push-Operation in die Ereignispipeline übertragen wird. Der Standardwert beträgt 10 Sekunden.
    Gesamte Zeilen während Ereignisaggregation beibehalten

    Dieser Parameter ist verfügbar, wenn Multiline aktivieren aktiviert und die Aggregationsmethode auf id-Linkedgesetzt ist.

    Wenn Sie den Parameter Aggregationsmethode auf ID-Verlinktsetzen, können Sie die Option Gesamte Zeilen während Ereignisaggregation beibehalten aktivieren, um den Teil der Ereignisse, die vor dem Nachrichten-ID-Muster auftreten, zu löschen oder beizubehalten, wenn Ereignisse mit demselben ID-Muster verknüpft werden.
    Mehrzeilige Ereignisse in einer Zeile abflachen

    Dieser Parameter ist verfügbar, wenn Multiline aktivieren aktiviert ist.

    Zeigt ein Ereignis in einer Zeile oder in mehreren Zeilen an.
    Ereignisformatierungsprogramm

    Dieser Parameter ist verfügbar, wenn Multiline aktivieren aktiviert ist.

    Verwenden Sie die Option Windows Multiline für mehrzeilige Ereignisse, die speziell für Windows formatiert sind.
  6. Klicken Sie auf Speichern.