Aruba Introspect

Aruba Introspect 用の IBM QRadar DSM は、Aruba Introspect デバイスからイベントを収集します。

以下の表は、Aruba Introspect DSM の仕様を示しています。
表 1. Aruba Introspect DSM の仕様
仕様 値
製造元 アルバ
DSM 名 Aruba Introspect
RPM ファイル名 DSM-ArubaIntrospect-QRadar_version-build_number.noarch.rpm
サポートされるバージョン 1.6
プロトコル Syslog
イベント・フォーマット 名前と値のペア (NVP)
記録されるイベント・タイプ

安全

システム

内部アクティビティー

引き出し

感染

コマンドと制御
自動的に検出? はい
ID を含む? いいえ
カスタム・プロパティーを含む? いいえ
詳細情報 Aruba Web サイト (https://www.arubanetworks.com)
Aruba Introspect を QRadarに統合するには、以下の手順を実行します。
  1. 自動更新が有効になっていない場合は、IBM® サポート Web サイト (http://www.ibm.com/support) から最新バージョンの RPM をダウンロードしてください。
    • DSMCommon RPM
    • ArubaIntrospect DSM RPM
  2. Syslog イベントを QRadarに送信するように Aruba Introspect デバイスを構成します。
  3. QRadar でログ・ソースが自動的に検出されなかった場合は、 QRadar Consoleで Aruba Introspect ログ・ソースを追加します。 以下の表は、Aruba Introspect イベントの収集用に固有の値を必要とするパラメーターを示しています。
    表 2. Aruba Introspect ログ・ソース・パラメーター
    パラメーター 値
    ログ・ソース・タイプ Aruba Introspect
    プロトコル構成 Syslog
    ログ・ソース ID

    ログ・ソースの固有 ID。
  4. QRadar が正しく構成されていることを確認するには、以下の表を参照して、解析済みイベント・メッセージの例を確認してください。
    以下の表は、 Aruba Introspect のサンプル・イベント・メッセージを記載しています。
    表 3. Aruba Introspect のサンプル・イベント・メッセージ
    イベント名 下位カテゴリー サンプル・ログ・メッセージ
    クラウド引き出し 疑わしいアクティビティー 
    May  6 20:04:38 <Server>May  7 03:04:38 lab-an-node msg_type=alert detection_time="2016-05-06 20:04:23 -07:00" alert_name="Large DropBox Upload" alert_type="Cloud Exfiltration" alert_category="Network Access" alert_severity=60 alert_confidence=20 attack_stage=Exfiltration user_name=<Username> src_host_name=example.com src_ip=<Source_IP_address> dest_ip=Destination_IP_address1>,<Destination_IP_address2>,... description="User <Username> on host example.com uploaded 324.678654 MB to Dropbox on May 05, 2016; compared with users in the whole Enterprise who uploaded an average of 22.851 KB  during the same day" alert_id=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx_xxxxxxxxxxxxxxxx_Large_DropBox_Upload