Cisco IOS サンプル・イベント・メッセージ
これらのサンプル・イベント・メッセージを使用して、 IBM QRadarとの統合が正常に行われたことを確認します。
重要: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。
Syslog プロトコルを使用する場合の Cisco IOS サンプル・メッセージ
サンプル 1: 以下のサンプル・イベントは、TCP セッションがドロップされたことを示しています。
<190>2116989: cisco.ios.test: Aug 1 13:42:04.497: %IOSXE-6-PLATFORM: SIP1: cpp_cp: QFP:0.0 Thread:001 TS:00006808302886264846 %FW-6-DROP_PKT: Dropping tcp pkt from Vlan100 10.1.2.230:12321 => 172.16.3.20:42150(target:class)-(ESP-DMVPN:class-default) due to Policy drop:classify result with ip ident 1203 tcp flag 0x2, seq 1227798955, ack 0
| QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | %FW-6-DROP_PKT |
| イベント・カテゴリー | IOS |
| 送信元 IP | 10.1.2.230 |
| 送信元ポート | 12321 |
| 宛先 IP | 172.16.3.20 |
| 宛先ポート | 42150 |
| Protocol | 6 |
サンプル 2: 以下のサンプル・イベントは、検査セッションの開始を示しています。 このメッセージは各検査対象セッションの開始時に発行され、送信元アドレス、宛先アドレス、およびポートを記録します。
<190>1321321: cisco.ios.test: Jul 12 15:42:06.035: %IOSXE-6-PLATFORM: SIP1: cpp_cp: QFP:0.0 Thread:001 TS:00005087480388332015 %FW-6-SESS_AUDIT_TRAIL_START: (target:class)-(DMVPN-ESP:CLS_ESP-Out):Start tcp session: initiator (192.168.150.120:49290) -- responder (10.40.0.27:20000) from Tunnel1
| QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | SESS_AUDIT_TRAIL_START |
| イベント・カテゴリー | IOS |
| 送信元 IP | 192.168.150.120:49290 |
| 送信元ポート | 49290 |
| 宛先 IP | 10.40.0.27 |
| 宛先ポート | 20000 |
| Protocol | 6 |