Symantec Endpoint Protection

IBM QRadar DSM per Symantec Endpoint Protection raccoglie gli eventi da un sistema Symantec Endpoint Protection.

IBM® QRadar® DSM for Symantec Endpoint Protection analizza gli eventi da Symantec Endpoint Protection System nelle seguenti lingue: inglese, francese, tedesco, italiano, giapponese, russo e polacco.

La seguente tabella descrive le specifiche per il Symantec Endpoint Protection DSM:
Tabella 1. Symantec Endpoint Protection DSM specifiche
Specifica Valore
Produttore Symantec
Nome DSM Symantec Endpoint Protection
Nome file RPM DSM-SymantecEndpointProtection-QRadar_version-build_number.noarch.rpm
Versioni supportate Protezione endpoint V11, V12e V14
Protocollo Syslog
Formato dell'evento Syslog
Tipi di eventi registrati Tutti i log di controllo e di sicurezza
Scoperto automaticamente? Sì
Include l'identità? N
Include proprietà personalizzate? N
Ulteriori informazioni Sito web Symantec (https://www.symantec.com)
Per integrare Symantec Endpoint Protection con QRadar , completa la seguente procedura:
  1. Se gli aggiornamenti automatici non sono abilitati, scaricare e installare la versione più recente dei seguenti RPM dal sito web di supporto IBM® sul vostro QRadar Console:
    • DSMCommon RPM
    • Symantec Endpoint Protection DSM RPM
  2. Configurare il dispositivo Symantec Endpoint Protection per inviare eventi syslog a QRadar.
  3. Se QRadar non rileva automaticamente l'origine log, aggiungere un'origine log Symantec Endpoint Protection su QRadar Console.
  4. Verificare che QRadar sia configurato correttamente.
    La seguente tabella mostra un messaggio di evento normalizzato di Symantec Endpoint Protection:
    Tabella 2. Symantec Endpoint Protection messaggio di esempio
    Nome evento Categoria di livello basso Messaggio di log di esempio
    Bloccato Accesso negato 
     <51>Mar  3 13:52:13 <Server> Syman
tecServer: USER,<IP_address>,
Blocked,[AC13-1.5] Block from load
ing other DLLs - Caller MD5=xxxxxx
xxxxxxxxxxxxxxxxxxxxxxxxx,Load Dl
l,Begin: 2017-03-03 13:48:18,End: 2
017-03-03 13:48:18,Rule: Corp Endpo
int - Browser Restrictions | [AC13-
1.5] Block from loading other DLLs,
6804,C:/Program Files (x86)/Microso
ft Office/Office14/WINPROJ.EXE,0,N
o Module Name,C:/Users/USER
/AppData/Local/assembly/dl3/DMD7K
4QX.8GW/WQ9LV1W4.8HL/e705c114/00
6fef9d_f364d101/ProjectPublisher
2010.DLL,User: USER,Domain
: LAB,Action Type: ,File size (
bytes): 4216832,Device ID: SCSI\
Disk&Ven_ATA&Prod_SAMSUNG_SSD_
PM83\4&27c82505&0&000000