Exemple de messages d'événement Cloudflare Logs

Utilisez ces exemples de messages d'événement pour vérifier la réussite de l'intégration avec IBM QRadar.

Important: En raison de problèmes de formatage, collez le format de message dans un éditeur de texte, puis supprimez les caractères de retour chariot ou de saut de ligne.

Exemples de messages des journaux Cloudflare

Exemple 1 : l'exemple de message d'événement suivant montre qu'une requête HTTP GET est envoyée au nom d'hôte host.domain.test et que la réponse du serveur est le code d'état 200.

{"ClientIP":"10.0.0.1","ClientRequestHost":"host.domain.test","ClientRequestMethod":"GET","ClientRequestURI":"/cdn-cgi/images/cf-icon-cloud.png","EdgeEndTimestamp":"2020-10-13T19:49:36Z","EdgeResponseBytes":1895,"EdgeResponseStatus":200,"EdgeStartTimestamp":"2020-10-13T19:49:36Z","RayID":"5e1b95b9ea390cc5","SecurityAction":"unknown","WAFFlags":"0","WAFMatchedVar":"","SecurityRuleID":"","SecurityRuleDescription":"","CacheCacheStatus":"unknown","CacheResponseBytes":0,"CacheResponseStatus":0,"CacheTieredFill":false,"ClientASN":855,"ClientCountry":"xx","ClientDeviceType":"desktop","ClientIPClass":"noRecord","ClientRequestBytes":1049,"ClientRequestPath":"/cdn-cgi/images/cf-icon-cloud.png","ClientRequestProtocol":"HTTP/1.1","ClientRequestReferer":"http://host.domain.test/cdn-cgi/styles/main.css","ClientRequestUserAgent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/86.0.4240.75 Safari/537.36","ClientSSLCipher":"NONE","ClientSSLProtocol":"none","ClientSrcPort":53851,"ClientXRequestedWith":"","EdgeColoCode":"EWR","EdgeColoID":11,"EdgePathingOp":"unknown","EdgePathingSrc":"undef","EdgePathingStatus":"cloudflareInternalEndpoint","EdgeRequestHost":"","EdgeResponseCompressionRatio":1,"EdgeResponseContentType":"image/png","EdgeServerIP":"","SecurityActions":[],"SecurityRuleIDs":[],"SecuritySources":[],"OriginIP":"","OriginResponseBytes":0,"OriginResponseHTTPExpires":"","OriginResponseHTTPLastModified":"","OriginResponseStatus":0,"OriginResponseTime":0,"OriginSSLProtocol":"unknown","ParentRayID":"00","WorkerCPUTime":0,"WorkerStatus":"unknown","WorkerSubrequest":false,"WorkerSubrequestCount":0,"ZoneID":304427638}
Tableau 1. QRadar noms de zone et valeurs mises en évidence dans la charge d'événement
Nom de zone QRadar Valeurs mises en évidence dans le contenu d'événement
ID d'événement ClientRequestMethod + EdgeResponseStatus

Pour les événements de demande HTTP, comme le montre l'exemple, l'ID événement est construit à l'aide des zones ClientRequestMethod et EdgeResponseStatus. Ils sont concaténés avec un trait de soulignement entre les zones.
IP source ClientIP
Port source ClientSrcPort
Heure de l'unité EdgeStartTimestamp

Exemple 2 : l'exemple de message d'événement suivant montre qu'une requête HTTP POST est envoyée au nom d'hôte host.domain.test, et que la réponse du serveur est un code de statut 200.

{"ClientRequestMethod":"POST","ClientIP":"10.0.0.1","ClientSrcPort":53851,"CacheCacheStatus":"dynamic","ClientCountry":"xx","ClientDeviceType":"desktop","ClientIPClass":"noRecord","ClientMTLSAuthCertFingerprint":"","ClientMTLSAuthStatus":"unknown","ClientRegionCode":"xx","ClientRequestBytes":2935,"ClientRequestHost":"host.domain.test","ClientRequestPath":"/console/test/QRadar.getAlertMessages","ClientRequestProtocol":"HTTP/2","ClientRequestReferer":"https://host.domain.test/console/qradar/jsp/test.jsp","ClientRequestScheme":"https","ClientRequestSource":"eyeball","ClientRequestURI":"/console/test/QRadar.getAlertMessages","ClientRequestUserAgent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15) Firefox/108.0","ClientSSLCipher":"None","ClientSSLProtocol":"TLSv1.3","ClientXRequestedWith":"","EdgeRequestHost":"host.domain.test","EdgeResponseBodyBytes":50,"EdgeResponseBytes":805,"EdgeServerIP":"10.0.0.1","SecurityActions":["allow"],"SecurityRuleIDs":["66668d0ae9c2222222222a600d17448"],"SecuritySources":["firewallRules"],"OriginIP":"10.0.0.1","OriginResponseStatus":200,"OriginSSLProtocol":"TLSv1.2","ParentRayID":"00","RayID":"78b4476e33333af2","SecurityAction":"unknown","WAFAttackScore":0,"SecurityRuleID":"","SecurityRuleDescription":"","WAFSQLiAttackScore":0,"WAFXSSAttackScore":0,"EdgeEndTimestamp":"2023-01-19T11:37:33Z","EdgeStartTimestamp":"2023-01-19T11:37:33Z","EdgeResponseStatus":200}
Tableau 2. QRadar noms de zone et valeurs mises en évidence dans la charge d'événement
Nom de zone QRadar Valeurs mises en évidence dans le contenu d'événement
ID d'événement ClientRequestMethod + EdgeResponseStatus

Pour les événements de demande HTTP, comme le montre l'exemple, l'ID événement est construit à l'aide des zones ClientRequestMethod et EdgeResponseStatus. Ils sont concaténés avec un trait de soulignement entre les zones.
IP source ClientIP
Port source ClientSrcPort
Heure de l'unité EdgeStartTimestamp

Exemple 3 : L'exemple de message d'événement suivant montre qu'une requête HTTP GET Forbidden est envoyée au nom d'hôte host.domain.test, et que la réponse du serveur est le code d'état 403.

{"ClientRequestMethod":"GET","ClientIP":"10.0.0.1","ClientSrcPort":53851,"CacheCacheStatus":"unknown","ClientCountry":"xx","ClientDeviceType":"desktop","ClientIPClass":"noRecord","ClientMTLSAuthCertFingerprint":"","ClientMTLSAuthStatus":"unknown","ClientRegionCode":"xx","ClientRequestBytes":2927,"ClientRequestHost":"host.domain.test","ClientRequestPath":"/api/gui_app_framework/test","ClientRequestUserAgent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15) Firefox/108.0","ClientSSLCipher":"None","ClientSSLProtocol":"TLSv1.3","ClientXRequestedWith":"","EdgeRequestHost":"","EdgeResponseBodyBytes":1751,"EdgeResponseBytes":2166,"EdgeServerIP":"","SecurityActions":["allow","block"],"SecurityRuleIDs":["66668d0ae9c2222222222a600d17448","111106BNULL"],"SecuritySources":["firewallRules","waf"],"OriginIP":"","OriginResponseStatus":0,"OriginSSLProtocol":"unknown","ParentRayID":"00","RayID":"78b4476e33333af2","SecurityAction":"drop","WAFAttackScore":0,"SecurityRuleID":"111106BNULL","SecurityRuleDescription":"SQLi - IS NULL","WAFSQLiAttackScore":0,"WAFXSSAttackScore":0,"EdgeEndTimestamp":"2023-01-19T13:06:18Z","EdgeStartTimestamp":"2023-01-19T13:06:18Z","EdgeResponseStatus":403}
Tableau 3. QRadar noms de zone et valeurs mises en évidence dans la charge d'événement
Nom de zone QRadar Valeurs mises en évidence dans le contenu d'événement
ID d'événement ClientRequestMethod + EdgeResponseStatus

Pour les événements de demande HTTP, comme le montre l'exemple, l'ID événement est construit à l'aide des zones ClientRequestMethod et EdgeResponseStatus. Ils sont concaténés avec un trait de soulignement entre les zones.
IP source ClientIP
Port source ClientSrcPort
Heure de l'unité EdgeStartTimestamp

Exemple 4 : L'exemple de message d'événement suivant montre qu'une requête HTTP GET Not Modified est envoyée au nom d'hôte host.domain.test, et que la réponse du serveur est le code d'état 304.

{"ClientRequestMethod":"GET","ClientIP":"10.0.0.1","ClientSrcPort":53851,"CacheCacheStatus":"miss","ClientCountry":"xx","ClientDeviceType":"desktop","ClientIPClass":"noRecord","ClientMTLSAuthCertFingerprint":"","ClientMTLSAuthStatus":"unknown","ClientRegionCode":"xx","ClientRequestBytes":2682,"ClientRequestHost":"host.domain.test","ClientRequestPath":"/console/test/1057/static/js/test.js","ClientRequestProtocol":"HTTP/2","ClientRequestReferer":"https://host.domain.test/console/plugins/1057/","ClientRequestScheme":"https","ClientRequestSource":"eyeball","ClientRequestURI":"/console/test/1057/static/js/test.js","ClientRequestUserAgent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15) Firefox/108.0","ClientSSLCipher":"None","ClientSSLProtocol":"TLSv1.3","ClientXRequestedWith":"","EdgeRequestHost":"host.domain.test","EdgeResponseBodyBytes":0,"EdgeResponseBytes":366,"EdgeServerIP":"10.0.0.1","SecurityActions":["allow"],"SecurityRuleIDs":["6666d0ae9c2222222222a600d17448"],"SecuritySources":["firewallRules"],"OriginIP":"10.0.0.1","OriginResponseStatus":304,"OriginSSLProtocol":"TLSv1.2","ParentRayID":"00","RayID":"78b4476e33333af2","SecurityAction":"unknown","WAFAttackScore":0,"SecurityRuleID":"","SecurityRuleDescription":"","WAFSQLiAttackScore":0,"WAFXSSAttackScore":0,"EdgeEndTimestamp":"2023-01-19T13:06:15Z","EdgeStartTimestamp":"2023-01-19T13:06:14Z","EdgeResponseStatus":304}
Tableau 4. QRadar noms de zone et valeurs mises en évidence dans la charge d'événement
Nom de zone QRadar Valeurs mises en évidence dans le contenu d'événement
ID d'événement ClientRequestMethod + EdgeResponseStatus

Pour les événements de demande HTTP, comme le montre l'exemple, l'ID événement est construit à l'aide des zones ClientRequestMethod et EdgeResponseStatus. Ils sont concaténés avec un trait de soulignement entre les zones.
IP source ClientIP
Port source ClientSrcPort
Heure de l'unité EdgeStartTimestamp

Exemple 5 : l'exemple de message d'événement suivant montre qu'une demande de pare-feu HTTP POST est envoyée au nom d'hôte host.domain.test, et que la réponse du serveur est un code de statut 200.

{"Action":"allow","ClientIP":"10.0.0.1","ClientASN":45116,"ClientASNDescription":"GTPL-AS-AP Gujarat Telelink Pvt Ltd","ClientCountry":"xx","ClientIPClass":"noRecord","ClientRefererHost":"host.domain.test","ClientRefererPath":"/console/test/jsp/test.jsp","ClientRefererQuery":"","ClientRefererScheme":"https","ClientRequestHost":"host.domain.test","ClientRequestMethod":"POST","ClientRequestPath":"/console/test/QRadar.getIngressNewVersion","ClientRequestProtocol":"HTTP/2","ClientRequestQuery":"","ClientRequestScheme":"https","ClientRequestUserAgent":"Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15) Firefox/108.0","EdgeColoCode":"BOM","EdgeResponseStatus":200,"Kind":"firewall","MatchIndex":0,"Metadata":{"filter":"007b761e8a762222222f4528222ebe67","type":"customer"},"OriginResponseStatus":200,"OriginatorRayID":"00","RayID":"78b4476e33333af2","RuleID":"6538d0a111114f6aad22222600d17448","Source":"firewallrules","Datetime":"2023-01-19T11:58:00Z"}
Tableau 5. QRadar noms de zone et valeurs mises en évidence dans la charge d'événement
Nom de zone QRadar Valeurs mises en évidence dans le contenu d'événement
ID d'événement ClientRequestMethod + EdgeResponseStatus

Pour les événements de demande de pare-feu comme indiqué dans l'exemple, l'ID d'événement est construit à l'aide de la zone ClientRequestMethod et de la zone EdgeResponseStatus . Ils sont concaténés avec un trait de soulignement entre les zones.
IP source ClientIP
Heure de l'unité Datetime

Exemple 6 : l'exemple de message d'événement suivant montre qu'une requête HTTP correspond à une règle de pare-feu et que la demande de connexion est abandonnée par le pare-feu.

{"Datetime":"2020-11-12T02:52:18Z","RayName":"5f0cf4c5fc8ce76c","Source":"firewallrules","RuleId":"6e40b9ea4da54b22a112626996d3111f","Action":"drop","EdgeColoName":"EWR","ClientIP":"10.0.0.1","ClientCountryName":"xx","ClientASNDescription":"ASN-DESCRIPTION","UserAgent":"curl/7.29.0","ClientRequestHTTPMethodName":"GET","ClientRequestHTTPHost":"host.domain.test"}
Tableau 6. QRadar noms de zone et valeurs mises en évidence dans la charge d'événement
Nom de zone QRadar Valeurs mises en évidence dans le contenu d'événement
ID d'événement Action
IP source ClientIP
Heure de l'unité Datetime