Exemple de messages d'événement Vectra Networks Vectra
Utilisez ces exemples de messages d'événement pour vérifier la réussite de l'intégration avec IBM QRadar.
Important: Le DSM IBM
QRadar pour Vectra Networks Vectra est obsolète.
Pour continuer à tirer parti de cette intégration, téléchargez Vectra Networks Vectra DSM depuis le site Web IBM Security App Exchange (https://exchange.xforce.ibmcloud.com/hub/extension/47f3e9afff5e0281d6684bb633d769f2).
Astuce: En raison de problèmes de formatage, collez le format de message dans un éditeur de texte, puis supprimez les caractères de retour chariot ou de saut de ligne.
Exemple de messages Vectra Networks Vectra lorsque vous utilisez le protocole Syslog
Exemple 1 : l'exemple de message d'événement suivant s'affiche lorsque samba est exploité.
<13>Jul 9 07:54:46 vectranetworks.vectra.test vectra_cef -: CEF:0|Vectra Networks|X Series|4.2|smb_brute_force|SMB Brute-Force|7|externalId=9481 cat=LATERAL MOVEMENT dvc=10.97.41.41 dvchost=10.97.41.41 shost=hostname123.example.com src=10.125.64.136 flexNumber1Label=threat flexNumber1=70 flexNumber2Label=certainty flexNumber2=59 cs4Label=Vectra Event URL cs4=https://www.Qradar.test/paths/resources1.ext cs5Label=triaged cs5=False dst=10.160.0.145 dhost= proto= dpt=445 out=None in=None start=1531119062000 end=1531119099000| Nom de zone QRadar | Valeurs mises en évidence dans le contenu d'événement |
|---|---|
| ID d'événement | SMB Brute-Force |
| Catégorie d'événement | LATERAL MOVEMENT |
| IP source | 10.125.64.136 |
| IP de destination | 10.160.0.145 |
| Port de destination | 445 |
Exemple 2 : l'exemple de message d'événement suivant montre qu'il existe une activité suspecte.
<13>Oct 22 07:17:40 vectranetworks.vectra.test vectra_cef -: CEF:0|Vectra Networks|X Series|4.5|kerberos_account_anomaly|Suspicious Kerberos Account|1|externalId=13841 cat=LATERAL MOVEMENT dvc=10.97.41.41 dvchost=10.97.41.41 shost=spek006odc src=10.97.48.6 flexNumber1Label=threat flexNumber1=10 flexNumber2Label=certainty flexNumber2=95 cs4Label=Vectra Event URL cs4=https://www.Qradar.test/paths/resources1.ext cs5Label=triaged cs5=False dst=10.160.0.90 dhost= proto= dpt=80 out=None in=None start=1540183389000 end=1540185634000| Nom de zone QRadar | Valeurs mises en évidence dans le contenu d'événement |
|---|---|
| ID d'événement | Suspicious Kerberos Account |
| Catégorie d'événement | LATERAL MOVEMENT |
| IP source | 10.97.48.6 |
| IP de destination | 10.160.0.90 |
| Port de destination | 80 |