Konfigurationsoptionen für das Protokoll der Seculert Protection-REST-API

Um Ereignisse von Seculert zu empfangen, konfigurieren Sie eine Protokollquelle für die Verwendung des Protokolls Seculert Protection REST API.

Das REST-API-Protokoll für den Seculert-Schutz ist ein aktives abgehendes Protokoll, das Alerts zu bestätigten Vorfällen von Malware bereitstellt, die Informationen aktiv kommunizieren oder exfiltrieren.

Wichtig: Bevor Sie eine Protokollquelle für Seculert konfigurieren können, müssen Sie die folgenden Schritte ausführen, um Ihren API-Schlüssel aus dem Seculert-Webportal abzurufen.

Melden Sie sich beim Seculert-Webportal an.
Klicken Sie im Dashboard auf die Registerkarte API .
Kopieren Sie den Wert für Ihren API-Schlüssel.

In der folgenden Tabelle sind die protokollspezifischen Parameter für das Protokoll der Seculert Protection-REST-API beschrieben:

Tabelle 1. Parameter für das Protokoll der Seculert Protection-REST-API
Parameter	Beschreibung
Protokollquellentyp	Seculert
Protokollkonfiguration	Seculert Protection REST API
Log Source Identifier (Protokollquellenkennung)	Geben Sie die IP-Adresse oder den Hostnamen für die Protokollquelle als Kennung für Ereignisse aus Seculert ein. Jede zusätzliche Protokollquelle, die Sie erstellen, wenn Sie mehrere Installationen haben, enthält idealerweise eine eindeutige Kennung, z. B. eine IP-Adresse oder einen Hostnamen.
API-Schlüssel	Der API-Schlüssel, der für die Authentifizierung mit der Seculert Protection-REST-API verwendet wird. Der API-Schlüssel wird aus dem Seculert-Webportal abgerufen.
Proxy verwenden	Wenn auf die API über einen Proxy zugegriffen wird, wählen Sie dieses Markierungsfeld aus. Konfigurieren Sie die Felder Proxy-IP oder -Hostname, Proxy-Port, Proxy-Benutzernameund Proxy-Kennwort . Wenn der Proxy keine Authentifizierung erfordert, können Sie die Felder Proxy-Benutzername und Proxy-Kennwort leer lassen.
Wiederholung	Geben Sie an, wie oft das Protokoll Daten erfasst. Der Wert kann in Minuten (M), Stunden (H) oder Tagen (D) angegeben werden. Der Standardwert beträgt 10 Minuten.
EPS-Regulierung	Die maximale Anzahl von Ereignissen pro Sekunde, die QRadar einpflegt. Wenn Ihre Datenquelle die EPS-Regulierung überschreitet, wird die Datenerfassung verzögert. Die Daten werden weiterhin erfasst und dann aufgenommen, wenn die Datenquelle die EPS-Regulierung nicht mehr überschreitet. Der Standardwert ist 5000.
Erweiterte Optionen aktivieren	Wählen Sie dieses Markierungsfeld aus, um die folgenden Konfigurationsoptionen zu aktivieren: Server, API-Version, Abfragezeitintervall, Nicht vertrauenswürdige Zertifikate zulassen, Workflow überschreiben, Workflowund Workflowparameter. Diese Parameter sind nur sichtbar, wenn Sie dieses Kontrollkästchen auswählen.
Server	Der Server, der für die API-Abfrage verwendet wird. Beispiel: `[Server]/1.1/incidents/records`. Der Standardwert ist `https://api.seculert.com]../`.
API-Version	Die API-Version, die zum Bilden der API-Abfrage verwendet wird. Beispiel: `https://api.seculert.com/[API Version]/incidents/records`. Der Standardwert ist `1.1`.
Abfragezeitintervall	Das maximale Zeitintervall für jede Abfrage zum Erfassen von Ereignissen. Wenn Sie das Intervall beispielsweise auf 15 Minuten setzen, erfasst die Abfrage Ereignisse vom Zeitpunkt der letzten Abfrage bis 15 Minuten später. Ist die aktuelle Zeit weniger als 15 Minuten seit der letzten Abfrage, erfasst die Abfrage Ereignisse vom Zeitpunkt der letzten Abfrage bis zur aktuellen Zeit. Der Wert muss in Millisekunden (ms) angegeben werden; 1000 ms sind 1 Sekunde. Der Standardwert ist 900000 ms (15 Minuten).
Nicht vertrauenswürdig zulassen	Wenn Sie diesen Parameter aktivieren, kann das Protokoll selbst signierte und nicht vertrauenswürdige Zertifikate akzeptieren, die sich im Verzeichnis /opt/qradar/conf/trusted_certificates/ befinden. Wenn Sie den Parameter inaktivieren, erkennt der Scanner nur Zertifikate an, die von einem vertrauenswürdigen Unterzeichner signiert wurden. Die Zertifikate müssen im PEM-oder RED-codierten Binärformat vorliegen und als .crt -oder .cert -Datei gespeichert werden. Wenn Sie den Workflow so ändern, dass er einen fest codierten Wert für den Parameter Nicht vertrauenswürdige Zertifikate zulassen enthält, überschreibt der Workflow Ihre Auswahl in der Benutzerschnittstelle. Wenn Sie diesen Parameter nicht in Ihren Workflow einschließen, wird Ihre Auswahl in der Benutzerschnittstelle verwendet.
Workflow überschreiben	Aktivieren Sie diese Option, um den Workflow anzupassen. Wenn Sie diese Option aktivieren, werden die Parameter Workflow und Workflowparameter angezeigt.
Workflow	Das XML-Dokument, das definiert, wie die Protokollinstanz Ereignisse aus der Ziel-API erfasst. Weitere Informationen zum Standardworkflow finden Sie unter REST-API-Protokollworkflow für Seculert Protection.
Workflowparameter	Das XML-Dokument, das die Parameterwerte enthält, die direkt vom Workflow verwendet werden. Weitere Informationen zu den Standardworkflowparametern finden Sie unter REST-API-Protokollworkflow für Seculert Protection.
Aktiviert	Das Kontrollkästchen ist standardmäßig ausgewählt, damit die Protokollquelle mit QRadarkommunizieren kann.
Zuverlässigkeit	Wählen Sie die Zuverlässigkeit der Protokollquelle aus. Der Bereich ist 0 - 10. Die Zuverlässigkeit gibt die Integrität eines Ereignisses oder Angriffs an, so wie durch die Zuverlässigkeitsbewertung von den Quelleneinheiten bestimmt. Die Zuverlässigkeit erhöht sich, wenn mehrere Quellen dasselbe Ereignis melden. Der Standardwert ist 5.
Target Event Collector (Zielereigniskollektor)	Wählen Sie den Zielereigniskollektor aus, der als Ziel für die Protokollquelle verwendet werden soll.
Verbindungsereignisse	Wählen Sie dieses Kontrollkästchen aus, um die Protokollquelle für die Bündelung von Ereignissen zu aktivieren. Standardmäßig übernehmen automatisch erkannte Protokollquellen den Wert der Liste Verbindungsereignisse aus den Systemeinstellungen in QRadar. Wenn Sie eine Protokollquelle erstellen oder eine vorhandene Konfiguration bearbeiten, können Sie den Standardwert überschreiben, indem Sie diese Option für jede Protokollquelle konfigurieren.
Ereignisnutzlast speichern	Wählen Sie dieses Kontrollkästchen aus, damit die Protokollquelle Ereignisnutzdaten speichern kann. Standardmäßig übernehmen automatisch erkannte Protokollquellen den Wert der Liste Ereignisnutzdaten speichern aus den Systemeinstellungen in QRadar. Wenn Sie eine Protokollquelle erstellen oder eine vorhandene Konfiguration bearbeiten, können Sie den Standardwert überschreiben, indem Sie diese Option für jede Protokollquelle konfigurieren.