Exemple de messages d'événement de Check Point Multi-Domain Management (Provider-1)
Utilisez ces exemples de messages d'événement pour vérifier la réussite de l'intégration avec IBM QRadar.
Important: En raison de problèmes de formatage, collez le format de message dans un éditeur de texte, puis supprimez les caractères de retour chariot ou de saut de ligne.
Exemple de messages Check Point Multi-Domain Management (Provider-1) lorsque vous utilisez le protocole LEEF
Exemple 1 : L'exemple de message d'événement suivant montre un événement d'information généré par le démon d'horloge.
LEEF:2.0|Check Point|Syslog|1.0|Check Point Log|cat=Syslog devTime=1537528801 ifdir=inbound loguid={0x0,0x0,0x0,0x0} origin=172.16.150.106 sequencenum=1 version=5 default_device_message=<78>crond[30156]: (root) CMD (/usr/lib/sa/sa1 1 1) facility=clock daemon syslog_severity=InformationalExemple 2 : L'exemple de message d'événement suivant affiche un événement de contrôle d'application qui contient des détails spécifiques sur l'application, tels que la catégorie, le nom, la description, l'ID et les propriétés de l'application. Cet exemple contient également des règles qui déterminent qui peut accéder à l'application et la catégorie correspondante qui est mise en correspondance par la base de règles.
LEEF:2.0|Check Point|Application Control|1.0|Allow|cat=Application Control devTime=1393855342 srcPort=35275 sev=8 ifdir=outbound ifname=eth1-05 loguid={0x54f411c8,0x9,0xbd0317ac,0x187a} origin=10.1.76.67 version=1 app_category=Network Protocols app_desc=Telnet is a network protocol used on the Internet or local area networks to provide a bidirectional interactive text-oriented communications facility using a virtual terminal connection. User data is interspersed in-band with Telnet control information in an 8-bit byte oriented data connection over the Transmission Control Protocol (TCP). Supported from: R75. app_id=60095597 app_properties=Allows remote connect, High Risk, Network Protocols app_rule_id={C54A11A6-BDE9-11DF-9B35-C21D241F6A6A} app_rule_name=Any Allow Log app_sig_id=60095597:1 appi_name=Telnet Protocol dst=10.9.240.147 matched_category=Network Protocols origin_sic_name=CN\\=ny1,O\\=ny..8ye75g product=Application Control proto=6 proxy_src_ip=10.0.36.27 service=50008 src=10.0.36.27