Condiciones de prueba de las políticas ForeScout CounterACT para desencadenar acciones de gestión y remediación en el dispositivo.
Acerca de esta tarea
El plug-in proporciona una acción adicional para que las políticas reenvien el suceso al IBM
QRadar utilizando syslog. Para reenviar sucesos a QRadar, debe definir una política CounterACT que incluya la acción de actualización QRadar .
La condición de política debe cumplirse al menos una vez para iniciar un envío de suceso a QRadar. Debe configurar cada política para enviar actualizaciones a QRadar para los sucesos que desee registrar.
Procedimiento
- Seleccione una política para ForeScout CounterACT.
- En el Árbol de acciones, seleccione a QRadar Server.
- En el separador Contenido , configure el valor siguiente:
Seleccione el recuadro de selección Enviar resultados de propiedad de host .
- Elija uno de los tipos de sucesos que desea reenviar para la política:
Enviar todo -Seleccione esta opción para incluir todas las propiedades que se descubren para la política en QRadar.
Enviar específico : Seleccione esta opción para seleccionar y enviar sólo propiedades específicas para la política a QRadar.
- Seleccione el recuadro de selección Enviar estado de política .
- En la pestaña Desencadenante , seleccione el intervalo que ForeScout CounterACT utiliza para reenviar el suceso a QRadar:
- Enviar cuando se inicie la acción : marque este recuadro de selección para enviar un único suceso a QRadar cuando se cumplan las condiciones de la política.
- Enviar cuando se actualiza la información : marque este recuadro de selección para enviar un informe cuando haya un cambio en las propiedades de host que se han especificado en la pestaña Contenido .
- Enviar periódicamente cada : marque este recuadro de selección para enviar un suceso que se repite a QRadar en un intervalo si se cumplen las condiciones de la política.
- Pulse OK para guardar los cambios de política.
- Repita este proceso para configurar cualquier política adicional con una acción para enviar actualizaciones a QRadar.
La configuración se ha completado. Los sucesos reenviados por ForeScout CounterACT se muestran en la pestaña Actividad de registro de QRadar.