Beispiel eines Integrationsworkflows

Nachdem Benutzer-und Gruppeninformationen erfasst und in einer Referenzdatensammlung gespeichert wurden, gibt es viele Möglichkeiten, die Daten in IBM QRadar SIEMzu nutzen.

Sie können aussagekräftige Berichte und Alerts erstellen, die die Einhaltung der Sicherheitsrichtlinien Ihres Unternehmens durch die Benutzer deutlich machen.

Beispiel:

Sie können folgende Aufgaben ausführen, um sicherzustellen, dass Ihre Sicherheitsrichtlinien bei den von privilegierten ISIM-Benutzern ausgeführten Aktivitäten eingehalten werden:

Erstellen Sie eine Protokollquelle für die Erfassung und Analyse von Prüfdaten für jeden ISIM-Server, dessen Protokolle erfasst werden. Weitere Informationen zum Erstellen einer Protokollquelle finden Sie im Protokollquellen verwalten.
  1. Erstellen Sie eine Benutzerinformationsquelle für den ISIM-Server und erfassen Sie die Benutzergruppeninformationen für ISIM-Administratoren. Bei diesem Schritt wird eine Referenzdatensammlung namens 'ISIM-Administratoren' erstellt.
  2. Konfigurieren Sie einen Baustein für den Test von Ereignissen, bei dem als Quellen-IP-Adresse der ISIM-Server angegeben ist und der Benutzername in der Referenzdatensammlung für ISIM-Administratoren aufgelistet wird. Sie finden weitere Informationen zu Bausteinen im jeweiligen Benutzerhandbuch Ihres Produkts.
  3. Erstellen Sie eine Ereignissuche, die den benutzerdefinierten Baustein als Filter verwendet. Weitere Informationen zu Ereignissuchen finden Sie im IBM QRadar Benutzerhandbuch für Ihr Produkt.
  4. Erstellen Sie einen benutzerdefinierten Bericht, der die benutzerdefinierte Ereignissuche für die Generierung von täglichen Berichten bezüglich der Prüfaktivität der privilegierten ISIM-Benutzer verwendet. Diese generierten Berichte geben Aufschluss darüber, ob eine Aktivität eines ISIM-Administrators gegen Ihre Sicherheitsrichtlinie verstößt. Weitere Informationen zu Berichten finden Sie im IBM QRadar -Benutzerhandbuch für Ihr Produkt.
Anmerkung: Wenn Sie Anwendungssicherheitsprotokolle erfassen möchten, müssen Sie ein Device Support Module (DSM) erstellen. Weitere Informationen finden Sie im IBM QRadar DSM -Konfigurationshandbuch.