Protokollkonfigurationsoptionen für RabbitMQ

Um Nachrichten von einem Cisco AMP DSM zu empfangen, konfigurieren Sie eine Protokollquelle für die Verwendung des RabbitMQ -Protokolls.

Das Protokoll RabbitMQ ist ein aktives abgehendes Protokoll.

Wichtig: Die Cisco AMP-Integration unterstützt keine Private Cloud, wenn SNI (Server Name Indication) erforderlich ist. Wenden Sie sich an Cisco, wenn Sie weitere Details benötigen.

In der folgenden Tabelle werden die protokollspezifischen Parameter für das Protokoll RabbitMQ beschrieben:

Tabelle 1. RabbitMQ -Protokollparameter
Parameter	Beschreibung
Protokollname	RabbitMQ
Log Source Identifier (Protokollquellenkennung)	Geben Sie einen eindeutigen Namen für die Protokollquelle ein. Protokollquellenkennung kann ein beliebiger gültiger Wert sein und muss nicht auf einen bestimmten Server verweisen. Sie kann auch denselben Wert wie Protokollquellennamehaben. Wenn Sie mehrere konfigurierte RabbitMQ -Protokollquellen haben, stellen Sie sicher, dass Sie jedem einen eindeutigen Namen geben.
Ereignisformat	Das Ereignisformat teilt dem Protokoll mit, welcher Ereignistyp zu erwarten ist. Offiziell unterstützte Produkte verfügen über bestimmte Optionen. Bei nicht unterstützten Produkten können Sie Keine Formatierung oder JSONverwenden.
IP-Managementadresse oder Hostname	Die IP-Adresse oder der Hostname des primären Warteschlangenmanagers.
Port	Der Port, der vom AMQP-Service bereitgestellt wird, wenn eine Warteschlange erstellt oder angezeigt wird.
Warteschlange	Die Warteschlange oder Liste der zu überwachenden Warteschlangen. Eine durch Kommas getrennte Liste mit Warteschlangen wird angegeben.
Username	Der Benutzername, der für die Authentifizierung beim RabbitMQ -Service verwendet wird.
Password	Das Kennwort, das für die Authentifizierung beim RabbitMQ -Service verwendet wird.
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der Standardwert ist 5000.
Nicht vertrauenswürdige Zertifikate zulassen	Aktivieren Sie diese Option, wenn der Endpunkt ein Zertifikat verwendet, das nicht über die Zertifikatskette überprüft werden kann. Dazu gehört ein selbst signiertes Zertifikat oder ein Zertifikat einer privaten Zertifizierungsstelle, das Sie nicht in Ihre Vertrauenswürdigkeit der Zertifizierungsstelle importieren wollen. Diese Option sollte nicht für Endpunkte mit einem von einer öffentlichen Zertifizierungsstelle (SaaS -Produkte, Public-Cloud-Infrastruktur usw.) ausgestellten Zertifikat verwendet werden. Das Zertifikat muss im PEM-oder DER-codierten Binärformat heruntergeladen und anschließend im Verzeichnis /opt/qradar/conf/trusted_certificates/ mit der Dateierweiterung .cert oder .crt gespeichert werden.