Les politiques ForeScout CounterACT testent les conditions pour déclencher des actions de gestion et de résolution sur le dispositif.
A propos de cette tâche
Le plug-in fournit une action supplémentaire pour les politiques permettant de transférer l'événement à IBM
QRadar à l'aide de syslog. Pour transférer des événements à QRadar, vous devez définir une politique CounterACT qui inclut l'action de mise à jour QRadar.
La condition de politique doit être remplie au moins une fois pour lancer un événement envoyé à QRadar. Vous devez configurer chaque politique pour envoyer des mises à jour à QRadar pour les événements à enregistrer.
Procédure
- Sélectionnez une politique pour ForeScout CounterACT.
- Dans l' arborescence des actions, sélectionnez à QRadar Server.
- Dans l'onglet Table des matières , configurez la valeur suivante:
Cochez la case Envoyer les résultats de la propriété hôte.
- Choisissez l'un des types d'événements à transférer pour la politique :
Envoyer tout - Sélectionnez cette option pour inclure toutes les propriétés reconnues pour la politique à QRadar.
Envoyer spécifique - Sélectionnez cette option pour sélectionner et envoyer uniquement les propriétés spécifiques de la politique à QRadar.
- Cochez la case Envoyer l'état de la règle .
- Dans l'onglet Déclencheur , sélectionnez l'intervalle utilisé par ForeScout CounterACT pour transmettre l'événement à QRadar:
- Envoyer lors du démarrage de l'action - Cochez cette case pour envoyer un événement unique à QRadar lorsque les conditions de votre règle sont remplies.
- Envoyer lorsque les informations sont mises à jour - Cochez cette case pour envoyer un rapport lorsqu'il y a une modification des propriétés de l'hôte qui sont spécifiées dans l'onglet Table des matières.
- Envoyer périodiquement tous les - Cochez cette case pour envoyer un événement récurrent à QRadar sur un intervalle si les conditions de la politique sont remplies.
- Cliquez sur OK pour enregistrer les modifications de règle.
- Répétez cette procédure pour configurer des règles supplémentaires avec une action permettant d'envoyer des mises à jour à QRadar.
La configuration est terminée. Les événements transférés par ForeScout CounterACT s'affichent dans l'onglet Activité de journal de QRadar.