Box サンプル・イベント・メッセージ

このサンプル・イベント・メッセージは、 IBM QRadarとの統合が正常に行われたことを確認するために使用します。

重要: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。

Box REST プロトコルを使用する場合の Box サンプル・メッセージ

サンプル 1: 次のサンプル・イベント・メッセージは、IP アドレス 10.0.0.1 からのユーザー User Name が、アプリケーション・キーを Box に追加したことを示しています。

{"source":{"type":"application","name":"QRadarBox","api_key":"aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"},"created_by":{"type":"user","id":"262196057","name":"User Name","login":"user.name@domain.test"},"created_at":"2016-02-10T07:49:07-08:00","event_id":"403702014","event_type":"APPLICATION_PUBLIC_KEY_ADDED","ip_address":"10.0.0.1","type":"event","session_id":null,"additional_details":null}

表 1. 強調表示されたフィールド
QRadarフィールド名	強調表示されたペイロードのフィールド名
Username	name
デバイス時刻	created_at
イベント ID	event_type
送信元 IP アドレス (Source IP Address)	ip_address

サンプル 2: 以下のサンプル・イベント・メッセージは、Suspicious Locationアラートは以下に基づいて生成されましたDownloadユーザー 「一部の名前 (Some name)」によるアクティビティー。

{"source":null,"created_by":{"type":"user","id":"2","name":"Unknown User","login":""},"action_by":null,"created_at":"2019-12-20T11:38:56-08:00","event_id":"97f1b31f-f143-4777-81f8-1b557b39ca33","event_type":"SHIELD_ALERT","ip_address":"10.1.2.3","type":"event","session_id":null,"additional_details":{"shield_alert":{"rule_category":"Suspicious Locations","rule_id":"123","rule_name":"Suspicious Location","risk_score":60,"alert_summary":{"alert_activities":[{"occurred_at":"2019-12-20T11:37:05-08:00","event_type":"Download","item_name":"xyz.txt","item_type":"file","item_id":"127","item_path":"ABC/DEF","ip_info":{"ip":"10.2.3.4","latitude":"44.9727","longitude":"-65.8609","registrant":"Registrant Company Name","country_code":"CA","city_name":"Saint John","region_name":"New Brunswick"},"service_name":"Box Excel Online Previewer"}]},"alert_id":2398,"priority":"medium","user":{"id":2320,"name":"Some name","email":"some@domain.test"},"link":"https://app.box.com/master/shield/alerts/123412341234","created_at":"2019-12-20T11:37:15-08:00"}}}

表 2. 強調表示されたフィールド
QRadarフィールド名	強調表示されたペイロードのフィールド名
デバイス時刻	created_at
送信元 IP アドレス (Source IP Address)	ip_address
イベント ID	rule_category event_type の値が SHIELD_ALERT の場合、Box Shield アラートが示され、rule_category フィールドが「イベント ID」に使用されます。
重大度	risk_score risk_score フィールドの重大度値の範囲は、1 から 100です。 QRadarでは、重大度値の範囲は 1 から 10 です。 QRadar は、 risk_score フィールド重大度値を 10 で除算してから、最も近い整数に丸めます。
Username	name