Domänendefinition und Tagging
Domänen für Ereignisse angeben
Im folgenden Diagramm wird die Rangordnung für die Auswertung von Domänenkriterien für Ereignisse gezeigt.
- Benutzerdefinierte Eigenschaften
- Sie können benutzerdefinierte Eigenschaften auf die Protokollnachrichten anwenden,
die von einer Protokollquelle kommen.Wichtig: Stellen Sie beim Erstellen Ihrer benutzerdefinierten Ereigniseigenschaft sicher, dass das Kontrollkästchen Für die Verwendung in Regeln, Weiterleitungsprofilen und Suchindexierung aktivieren ausgewählt ist.
Um festzustellen, zu welcher Domäne die jeweiligen Protokollnachrichten gehören, wird der Wert der benutzerdefinierten Eigenschaft anhand einer Zuordnung gesucht, die im Domänenmanagement-Editor definiert wird.
Diese Option wird für Protokollquellen mit mehreren Adressbereichen oder mehreren Tenants verwendet, z. B. Dateiserver und Dokumentrepositorys.
- Getrennter Protokollkollektor
- Sie können einen DLC (Disconnected Log Collector) für die Domänenzuordnung verwenden. DLCs hängen universell eindeutige Kennungen (UUIDs) an den Wert der Protokollquellen-ID der Ereignisse an, die erfasst werden. Durch Anhängen der UUID an den Wert der Protokollquellen-ID wird sichergestellt, dass die Protokollquellen-ID eindeutig ist.
- Protokollquellen
- Sie können bestimmte Protokollquellen als einer Domäne zugehörig
konfigurieren.
Diese Methode zum Tagging von Domänen ist eine Option für Implementierungen, in denen ein Ereigniskollektor oder Datengateway Ereignisse von verschiedenen Domänen empfangen kann.
- Protokollquellengruppen
- Sie können Protokollquellengruppen einer bestimmten Domäne zuweisen. Diese
Option ermöglicht eine größere Kontrolle der
Protokollquellenkonfiguration.
Alle neuen Protokollquellen, die zur Protokollquellengruppe hinzugefügt werden, erhalten automatisch das Domänen-Tagging, das der Protokollquellengruppe zugehörig ist.
- Ereigniskollektor und Datengateways
- Wenn ein Ereigniskollektor oder Datengateway einem bestimmten Netzsegment, einem bestimmten IP-Adressbereich, einem bestimmten Tenant, einem bestimmten geografischen Standort oder einem bestimmten Unternehmensbereich zugeordnet ist, können Sie das gesamte Ereigniskollektor oder Datengateway als Teil dieser Domäne markieren.
Alle Ereignisse, die bei diesem Ereigniskollektor oder Datengateway eintreffen, gehören zu der Domäne, der die Ereigniskollektor oder Datengateway zugeordnet ist, es sei denn, die Protokollquelle für das Ereignis gehört zu einer anderen Domäne, die auf anderen Tagging-Methoden basiert, die eine höhere Priorität haben, wie z. B. eine angepasste Eigenschaft.
Wichtig:Wenn eine Protokollquelle von einem Ereigniskollektor oder Datengateway zu einem anderen in einer anderen Domäne umgeleitet wird, müssen Sie der Protokollquelle eine Domänenzuordnung hinzufügen, um sicherzustellen, dass Ereignisse aus dieser Protokollquelle weiterhin der richtigen Domäne zugeordnet sind.
Wenn die Protokollquelle nicht der richtigen Domäne zugeordnet ist, sehen Benutzer ohne Administratorberechtigung und mit Domäneneinschränkungen möglicherweise keine Angriffe, die der Protokollquelle zugeordnet sind.
Domänen für Datenflüsse angeben
Im folgenden Diagramm wird die Rangordnung für die Auswertung von Domänenkriterien für Datenflüsse gezeigt.
- Datenflusskollektoren und Datengateways
- Sie können einer Domäne bestimmte Datengateways zuweisen.
Alle Datenflussquellen, die bei diesem Flusskollektor oder Datengateway eintreffen, gehören zur Domäne. Daher werden alle neuen automatisch erkannten Datenflussquellen automatisch zur Domäne hinzugefügt.
- Datenflussquellen
- Sie können einer Domäne bestimmte Datenflussquellen zuordnen.
Diese Option ist nützlich, wenn ein einzelner Flusskollektor oder Datengateway Datenflüsse aus mehreren Netzsegmenten oder Routern erfasst, die überlappende IP-Adressbereiche enthalten.
- VLAN-ID des Datenflusses
- Sie können einer Domäne bestimmte VLANs zuordnen.
Diese Option ist hilfreich, wenn Sie Datenverkehr aus mehreren Netzsegmenten erfassen, bei denen sich die IP-Bereiche häufig überschneiden. Diese VLAN-Definition basiert auf den VLAN-IDs von Unternehmen und Kunden.
Die folgenden Informationselemente werden aus QFlow gesendet, wenn Datenflüsse mit VLAN-Informationen analysiert werden. Diese beiden Felder können in einer Domänendefinition zugeordnet werden:- PEN 2 (IBM), Element-ID 82: VLAN-ID des Unternehmens
- PEN 2 (IBM), Element-ID 83: VLAN-ID des Kunden
Domänen für Scanergebnisse angeben
Sie können auch Sicherheitslückenscanner einer bestimmten Domäne zuweisen, damit Scanergebnisse ordnungsgemäß als der jeweiligen Domäne zugehörig markiert werden. Eine Domänendefinition kann aus allen QRadar -Eingabequellen bestehen.
Weitere Informationen zum Zuordnen Ihres Netzes zu vorkonfigurierten Domänen finden Sie unter Netzhierarchie.
Rangfolge für Auswertung von Domänenkriterien
Wenn Ereignisse und Datenflüsse im QRadar -System eingehen, werden die Domänenkriterien basierend auf der Granularität der Domänendefinition ausgewertet.
Wenn die Domänendefinition auf einem Ereignis basiert, wird das eingehende Ereignis zuerst auf benutzerdefinierte Eigenschaften überprüft, die der Domänendefinition zugeordnet sind. Stimmt das Ergebnis eines regulären Ausdrucks, der in einer benutzerdefinierten Eigenschaft definiert ist, mit keiner Domänenzuordnung überein, wird das Ereignis automatisch der Standarddomäne zugewiesen.
Wenn das Ereignis nicht mit der Domänendefinition für benutzerdefinierte Eigenschaften übereinstimmt, gilt folgende Rangfolge:
- DLC
- Protokollquelle
- Protokollquellengruppe
- Ereigniskollektor oder Datengateway
- Datenflussquelle
- Datenflusskollektor oder Datengateway
Wenn einem Scanner eine Domäne zugeordnet ist, werden alle vom Scanner erkannten Assets automatisch derselben Domäne wie der Scanner zugewiesen.
Daten an ein anderes QRadar -System weiterleiten
Domäneninformationen werden entfernt, wenn Daten an ein anderes QRadar -System weitergeleitet werden. Ereignisse und Datenflüsse , die Domäneninformationen enthalten, werden automatisch der Standarddomäne auf dem empfangenden QRadar -System zugeordnet. Um zu ermitteln, welche Ereignisse und Datenflüsse der Standarddomäne zugewiesen werden, können Sie eine benutzerdefinierte Suche auf dem empfangenden System erstellen. Bei Bedarf können Sie eine Neuzuweisung der betreffenden Ereignisse und Datenflüsse zu einer benutzerdefinierten Domäne durchführen.