Fortinet FortiAnalyzer

La extensión de contenido IBM Security QRadar Fortinet FortiAnalyzer añade propiedades personalizadas, informes y búsquedas guardadas para Fortinet FortiAnalyzer.

Importante: Para evitar errores de contenido en esta extensión de contenido, mantenga actualizados los DSM asociados. Los DSM se actualizan como parte de las actualizaciones automáticas. Si las actualizaciones automáticas no están activadas, descargue la versión más reciente de los DSM asociados desde IBM® Fix Central (https://www.ibm.com/support/fixcentral).

IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.4.1

En la tabla siguiente se muestran las propiedades personalizadas modificadas en IBM Security QRadar Fortinet FortiAnalyzer Content Extension 1.4.1.

Tabla 1. IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.4.0
Nombre Optimizada Grupo de capturas Expresión regular
Application Sí 1 \bapp="([^"]*)";
Categoría de aplicación Sí 1 \bapp_?cat="([^"]*)";

IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.4.0

En la tabla siguiente se muestran las propiedades personalizadas modificadas en IBM Security QRadar Fortinet FortiAnalyzer Content Extension 1.4.0.

Tabla 2. IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.4.0
Nombre Optimizada Grupo de capturas Expresión regular
Acción Sí 1 \baction="([^"]*)"
Sesiones activas Sí 1 \btotalsession=(\d+)
Application Nee 1 \bapp="([^"]*)"
Categoría de aplicación Nee 1 \bapp_?cat="([^"]*)"
Tipo de aplicación Sí 1 \bapp_?type="([^"]*)"
BytesReceived Sí 1 \brcvd(?:byte)?=(\d+)
BytesSent Sí 1 \bsent(?:byte)?=(\d+)
Descripción de la categoría Sí 1 \bcat_?desc="([^"]*)"
CPU_Usage Sí 1 \bcpu=(\d+)
País de destino Nee 1 \bdstcountry="(.*?)"
Interfaz de destino Sí 1 \bdst_?intf?="([^"]*)"
Rol de interfaz de destino Nee 1 \bdstintfrole="([^"]*)"
Segundos de duración Nee 1 \bduration=(\d+)
Nombre de archivo Sí 1 \bfilename="([^"]*)"
Nombre de host Sí 1 \bhostname="([^"]*)"
Nivel Nee 1 \blevel="([^"]*)"
Uso de memoria Sí 1 \bmem=(\d+)
Mensaje Nee 1 \bmsg="([^"]*)"
Paquetes recibidos Nee 1 \brcvdpkt=(\d+)
Paquetes enviados Nee 1 \bsentpkt=(\d+)
ID de política Nee 1 \bpolicyid=(\d+)
Nombre de política Sí 1 \bpolicyname="(.*?)"
Servicio Nee 1 \bservice="([^"]*)"
Número de sesión Nee 1 \bsessionid=(\d+)
País de origen Nee 1 \bsrccountry="(.*?)"
Interfaz de origen Nee 1 \bsrc_?intf?="([^"]*)"
Rol de interfaz de origen Nee 1 \bsrcintfrole="([^"]*)"
Estado Sí 1 \bstatus="([^"]*)"
Subtipo Sí 1 \bsubtype="([^"]*)"
Nombre de amenaza Sí 1 \bvirus="([^"]*)"
Puntuación de amenaza Nee 1 \bcrscore=(\d+)
Gravedad de amenaza Nee 1 \bcrlevel="([^"]*)"
Tipo de amenaza Nee 1 \bcraction=(\d+)
Tipo Nee 1 \btype="([^"]*)"
URL Sí 1 \burl="([^"]*)"

IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.3.2

Se ha asignado a la propiedad personalizada Acción un nuevo ID. Suprima las propiedades personalizadas de Acción existentes antes de actualizar a 1.3.2.

El propietario de la propiedad personalizada Política se ha establecido en admin.

IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.3.1

En la tabla siguiente se muestran las propiedades personalizadas modificadas en IBM Security QRadar Fortinet FortiAnalyzer Content Extension 1.3.1.

Tabla 3. Propiedades personalizadas modificadas en IBM Security QRadar Fortinet FortiAnalyzer Content Extension 1.3.1
Nombre Optimizada
Acción Sí
Segundos de duración Sí
URL Sí

Se ha renombrando la propiedad personalizada siguiente.

Tabla 4. Propiedades personalizadas renombradas en IBM Security QRadar Fortinet FortiAnalyzer Content Extension 1.3.1
Nombre Renombrada a
Nombre de virus Nombre de amenaza

(Volver arriba)

IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.3.0

En la tabla siguiente se describen los cambios incluidos en IBM QRadar Fortinet FortiAnalyzer Content Extension 1.3.0.

Tabla 5. Lista de cambios para Fortinet FortiAnalyzer Content Extension 1.3.0
Tipo Nombre Descripción
Búsqueda guardada Todos los sitios web bloqueados por calificación de URL Añadida función de agregación (min).
Búsqueda guardada Acciones antivirus por tipo de violación Nombres de campo incluidos entre comillas dobles.
Búsqueda guardada Usuarios web más activos Convertida a búsqueda básica.
Búsqueda guardada Aplicaciones principales permitidas v4 - Agencia de usuarios Convertida a búsqueda básica.
Búsqueda guardada Principales categorías permitidas v4 Convertida a búsqueda básica.
Búsqueda guardada Principales sitios web permitidos por calificación de URL Añadida función de agregación (min).
Búsqueda guardada Principales sitios web permitidos v4 - Agencia de usuarios Convertida a búsqueda básica.
Búsqueda guardada Aplicaciones principales Nombres de campo incluidos entre comillas dobles.
Búsqueda guardada Aplicaciones principales por tipo El "Tipo de aplicación" añadido no es NULL en la cláusula where.
Búsqueda guardada Aplicaciones principales por tipo v4 - Agencia de usuarios Convertida a búsqueda básica. Se ha añadido el tipo de aplicación != 'N/A' para filtrar.
Búsqueda guardada Principales categorías bloqueadas v4 Convertida a búsqueda básica.
Búsqueda guardada Principales sitios web bloqueados Convertida a búsqueda básica.
Búsqueda guardada Principales archivos infectados para los destinos más comunes Nombres de campo incluidos entre comillas dobles.
Búsqueda guardada Servicios principales por volumen Añadida función de agregación (sum).
Búsqueda guardada Orígenes principales por volumen Añadida función de agregación (sum).
Búsqueda guardada Orígenes de virus principales por dispositivo Nombres de campo incluidos entre comillas dobles.
Búsqueda guardada Orígenes de virus principales por interfaz Nombres de campo incluidos entre comillas dobles.
Búsqueda guardada Destinos web principales por volumen Nombres de campo incluidos entre comillas dobles. Se ha añadido HH:mm:ss al formato de fecha.
Búsqueda guardada Servidores web principales por volumen Añadida función de agregación (sum).
Búsqueda guardada Volumen web por hora Se ha eliminado campo no agregado. Se ha eliminado la IP de destino, que de todas formas no se utiliza. Se ha añadido HH:mm:ss al formato de fecha.
Informe Fortigate - Solicitud de usuario de agencia - Aplicaciones principales por tipo Se ha sustituido el gráfico Aplicaciones principales con el gráfico Aplicaciones principales por tipo.
Informe Fortigate - Informe operativo - Iniciado desde Internet Se ha eliminado este informe.
Propiedad personalizada Acción Fortinet Se ha cambiado el nombre de Acción.
Propiedad personalizada Control de aplicaciones de Fortinate Se ha cambiado el nombre de Aplicación.
Propiedad personalizada Control de aplicaciones de Fortinet Se ha renombrado a Categoría de aplicación.
Propiedad personalizada Aplicación de control de aplicaciones Se ha eliminado esta propiedad personalizada.
Propiedad personalizada Tipo de aplicación Fortinet Se ha eliminado Tipo de aplicación y se ha actualizado la expresión regular a:

[\t,]{1}(?:apptype|app_type)=("{0,1})([\w\/\-.]+)\1
Propiedad personalizada Bytes recibidos de Fortinet Se ha cambiado el nombre de BytesReceived.
Propiedad personalizada Bytes enviados de Fortinet Se ha cambiado el nombre de BytesSent.
Propiedad personalizada Descripción de categoría de Fortinet Se ha renombrado a Descripción de categoría.
Propiedad personalizada Interfaz de destino de Fortinet Se ha renombrado a Interfaz de destino y se ha actualizado la expresión regular a:

(?:dst_int|dstintf)=("{0,1})([\w\-\/]+)\1
Propiedad personalizada Nombre de dispositivo de Fortinet Se ha cambiado el nombre de Nombre de dispositivo.
Propiedad personalizada Nombre de host de Fortinet Se ha eliminado esta propiedad personalizada.
Propiedad personalizada Nombre de host FortiGate Se ha eliminado esta propiedad personalizada.
Propiedad personalizada ID de política de Fortinet Se ha eliminado esta propiedad personalizada.
Propiedad personalizada Servicio Fortinet Se ha renombrado a Servicio y se ha actualizado la expresión regular a:

service="([\w\-\/()+& ]+)" AND service=([\w\-\/()+&]+)[\t ,]{1}
Propiedad personalizada Número de sesión de Fortinet Se ha renombrado a Número de sesión y se ha actualizado la expresión regular a:

(SN|sessionid)=(\d+)
Propiedad personalizada Sitio de Fortinet Se ha cambiado el nombre de Nombre de host.
Propiedad personalizada Interfaz de origen de Fortinet Se ha renombrado a Interfaz de origen y se ha actualizado la expresión regular a:

(?:src_int|srcintf)=("{0,1})([\w\-\/]+)\1
Propiedad personalizada Estado de Fortinet Se ha renombrado a Estado y se ha actualizado la expresión regular a:

status=("{0,1})([\w\_\-]+)\1
Propiedad personalizada Subtipo de Fortinet Se ha renombrado Subtipo y se ha actualizado la expresión regular a:

subtype=("{0,1})([\w\-\_]+)\1
Propiedad personalizada Tipo de Fortinet Se ha renombrado a Tipo y se ha actualizado la expresión regular a:

([\t ,])type=("{0,1})([\w\-]+)\2
Propiedad personalizada URL Fortinet URL con nuevo nombre
Propiedad personalizada VirusName Se ha actualizado la expresión regular a:

([\t ,])virus=(["]{0,1})(.*?)\2\1

(Volver arriba)

IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.2.0

En la tabla siguiente se describen los cambios incluidos en IBM QRadar Fortinet FortiAnalyzer Content Extension 1.2.0.

Tabla 6. Lista de cambios para Fortinet FortiAnalyzer Content Extension 1.3.0
Tipo Nombre Descripción
Búsqueda guardada FortiGate - Aplicaciones principales bloqueadas Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Acciones antivirus por tipo de violación Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Uso de memoria por periodo de tiempo Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Usuarios web más activos Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Sesiones de cortafuegos activas por periodo de tiempo Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Aplicaciones principales por tipo Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Destinos principales por volumen Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Principales archivos infectados para los destinos más comunes Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Principales archivos infectados para los orígenes más comunes Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Principales páginas web solicitadas Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Servicios principales por volumen Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Servicios principales por volumen por destino de tráfico Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Orígenes principales por volumen Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Usuarios principales por aplicación Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Virus principales para orígenes comunes Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Virus principales para los destinos más comunes Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Servidores web principales por volumen Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Volumen de tráfico por interfaz de destino Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Uso de CPU por periodo de tiempo Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Principales sitios web para los usuarios más activos Resuelve un problema de la búsqueda guardada para sustituir LOGSOURCETYPENAME(logsourceid) con LOGSOURCETYPENAME(devicetype) en los parámetros de búsqueda para garantizar que todos los dispositivos Fortigate devuelven los resultados esperados.
Búsqueda guardada FortiGate - Todos los sitios web bloqueados por calificación de URL Resuelve un problema donde la sintaxis de AQL no válida impedía que se completara la búsqueda.
Búsqueda guardada FortiGate - Principales sitios web permitidos por calificación de URL Resuelve un problema donde la sintaxis de AQL no válida impedía que se completara la búsqueda.
Propiedad personalizada hostname Se ha actualizado la expresión regular a:

hostname=["]{0,1}([A-Za-z0-9\-]*\.(.*?))["]{0,1}[\t ]{1}
Propiedad personalizada Aplicación de control de aplicaciones Se ha actualizado la expresión regular a:

app(\=["]{0,1}(.*?)["]{0,1}[ ,])
Propiedad personalizada Acción Se ha actualizado la expresión regular a:

((action=|status=)["]{0,1}(.*?))["]{0,1}[ \t,] /* [ \t,]

(Volver arriba)

IBM Seguridad QRadar Fortinet FortiAnalyzer Extensión de contenido 1.1.0

Se han añadido las siguientes búsquedas guardadas en IBM Security QRadar:

  • Fortigate - Sesiones de cortafuegos activas por periodo de tiempo
  • Fortigate - Todos los sitios web bloqueados por calificación de URL
  • Fortigate - Acciones antivirus por tipo de violación
  • Fortigate - Uso de CPU por periodo de tiempo
  • Fortigate - Uso de memoria por periodo de tiempo
  • Fortigate - Usuarios web más activos
  • Fortigate - Aplicaciones principales permitidas v4 - Agencia de usuarios
  • Fortigate - Principales categorías permitidas v4
  • Fortigate - Principales sitios web permitidos por calificación de URL
  • Fortigate - Principales sitios web permitidos v4 - Agencia de usuarios
  • Fortigate - Aplicaciones principales
  • Fortigate - Aplicaciones principales por tipo
  • Fortigate - Aplicaciones principales por tipo v4 - Agencia de usuarios
  • Fortigate - Aplicaciones principales bloqueadas
  • Fortigate - Aplicaciones principales bloqueadas v4
  • Fortigate - Principales sitios web bloqueados
  • Fortigate - Destinos principales por volumen
  • Fortigate - Principales archivos infectados para los destinos más comunes
  • Fortigate - Principales archivos infectados para los orígenes más comunes
  • Fortigate - Principales páginas web solicitadas
  • Fortigate - Servicios principales por volumen
  • Fortigate - Servicios principales por volumen por destino de tráfico
  • Fortigate - Orígenes principales por volumen
  • Fortigate - Usuarios principales por aplicación
  • Fortigate - Orígenes de virus principales
  • Fortigate - Orígenes de virus principales por interfaz
  • Fortigate - Virus principales para orígenes comunes
  • Fortigate - Virus principales para los destinos más comunes
  • Fortigate - Destinos web principales por volumen
  • Fortigate - Servidores web principales por volumen
  • Fortigate - Principales sitios web para los usuarios más activos
  • Fortigate - Volumen de tráfico por interfaz de destino
  • Fortigate - Volumen web por tiempo

La tabla siguiente muestra las propiedades personalizadas que se han añadido en IBM Security QRadar:

Tabla 7.
Propiedad personalizada Expresión regular
Sesiones activas totalsession=([0-9]+)
Aplicación de control de aplicaciones app (\ = (. *?) \)
Uso de CPU cpu=([0-9]+)
Segundos de duración duration=(\d+)
Nombre de archivo filename=([^\s]+)
Acción Fortinet (action=| status=)(.*?)\
Control de aplicaciones de Fortinet app = (\" (. *?) \")
Categoría de aplicación de Fortinet (appcat="| app_cat=")(.*?)\"
Tipo de aplicación Fortinet (apptype="| app_type=")(.*?)\"
Bytes recibidos de Fortinet ( rcvd=| rcvdbyte=)(.*?)\
Bytes enviados de Fortinet ( sent=| sentbyte=)(.*?)\
Descripción de categoría de Fortinet (catdesc="|cat_desc=")(.*?)\"
Interfaz de destino de Fortinet ( dst_int="| dstintf=")(\w*)\"
Nombre de dispositivo de Fortinet devname=((\w(\-)?)*)
Nombre de host de Fortinet hostname = (\" (. *?) \")
ID de política de Fortinet policyid(\=(.*?)\ )
Servicio Fortinet servicio (\ = (. *?) \)
Número de sesión de Fortinet (SN=|sessionid=)(.*?)\
Sitio de Fortinet hostname=(\”[A-Za-z\-]*\.(.*?)\")
Interfaz de origen de Fortinet (src_int="|srcintf=")(\w*)\"
Estado de Fortinet estado (\ = (. *?) \)
Subtipo de Fortinet subtype(\=(.*?)\ )
Tipo de Fortinet type (\ = (. *?) \)
URL Fortinet url = (\" (. *?) \")
Nombre de host FortiGate hostname = (\" (. *?) \")
Uso de memoria mem=([0-9]+)
Política policyid=(\d+)

Se han añadido los informes siguientes en IBM Security QRadar:

  • Fortigate - Solicitud de usuario de agencia - Sitios web permitidos
  • Fortigate - Solicitud de usuario de agencia - Sitios web bloqueados
  • Fortigate - Solicitud de usuario de agencia - Categoría
  • Fortigate - Solicitud de usuario de agencia - Aplicaciones principales permitidas
  • Fortigate - Solicitud de usuario de agencia - Aplicaciones principales por tipo
  • Fortigate - Solicitud de usuario de agencia - Volumen web
  • Fortigate - Mensualmente - Relaciones personales
  • Fortigate - Estado mensual - Estadísticas de hardware
  • Fortigate - Estado mensual - Volumen de tráfico
  • Fortigate - Estado mensual - Filtro web
  • Fortigate - Informe operativo - Control de aplicaciones
  • Fortigate - Informe operativo - Iniciado desde Inside - Sitios
  • Fortigate - Informe operativo - Iniciado desde Inside - Orígenes y destinos
  • Fortigate - Informe operativo - Iniciado desde Internet
  • Fortigate - Informe operativo - Sitios web maliciosos
  • Fortigate - Informe operativo - Destinos de virus principales
  • Fortigate - Informe operativo - Orígenes de virus principales

(Volver arriba)