Cisco AMP のサンプル・イベント・メッセージ
このサンプル・イベントを使用して、QRadarとの統合が正常に行われたことを確認します。
重要: フォーマットの問題が原因で、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。
RabbitMQ プロトコルを使用する場合の Cisco AMP サンプル・メッセージ
以下のサンプル・イベント・メッセージは、DFC 脅威が検出されたことを示しています。
{"id":6629038896162275332,"timestamp":1543443393,"timestamp_nanoseconds":258000000,"date":"2018-11-28T22:16:33+00:00","event_type":"DFC Threat Detected","event_type_id":1090519084,"detection_id":"6629038896162275330","connector_guid":"connector_guid","group_guids":["group_guids"],"severity":"High","computer":{"connector_guid":"connector_guid","hostname":"example.com","external_ip":"172.16.0.0","user":"root","active":true,"network_addresses":[{"ip":"172.16.0.0","mac":"00-00-5E-00-53-00"}],"links":{"computer":"computer","trajectory":"trajectory","group":"group"}},"network_info":{"remote_ip": "172.16.0.1","remote_port": 443,"local_ip": "10.51.100.0","local_port": 55807,"nfm":{"direction":"Outgoing connection from","protocol":"UDP"},"parent":{"process_id":2608,"disposition":"Clean","file_name":"chrome.exe","identity": {"sha256": "sha256","sha1": "sha1","md5": "md5"}}}}| QRadarフィールド名 | 強調表示されたペイロードのフィールド名 |
|---|---|
| イベント ID | event_type_id |
| カテゴリー | CiscoAMP |
| 送信元 IP | local_ip |
| 送信元ポート | local_port |
| ネットワーク・アドレス | remote_ip |
| 宛先ポート | remote_port |
| ログ・ソースの時刻 | タイムスタンプ |