CloudLock Cloud Security Fabric

CloudLock Cloud Security Fabric 用の IBM QRadar DSM は、 CloudLock Cloud Security Fabric サービスからイベントを収集します。

以下の表は、CloudLock Cloud Security Fabric DSM の仕様を示しています。
表 1. CloudLock Cloud Security Fabric DSM の仕様
仕様 値
製造元 CloudLock
DSM 名 CloudLock Cloud Security Fabric
RPM ファイル名 DSM-CloudLockCloudSecurityFabric-Qradar_version-build_number.noarch.rpm
サポートされるバージョン 該当なし
プロトコル Syslog
イベント・フォーマット ログ・イベント拡張フォーマット (LEEF)
記録されるイベント・タイプ インシデント
自動的に検出? はい
ID を含む? いいえ
カスタム・プロパティーを含む? いいえ
詳細情報 クラウド・サイバー・セキュリティー (https://www.cloudlock.com/products/)
CloudLock Cloud Security Fabric を QRadarに統合するには、以下の手順を実行します。
  1. 自動アップデートが有効になっていない場合は、IBM® サポート Web サイトから以下の RPM の最新バージョンをダウンロードし、リストされている順に QRadar Console にインストールしてください：
    • DSMCommon RPM
    • CloudLock Cloud Security Fabric DSM RPM
  2. Syslog イベントを QRadarに送信するように CloudLock Cloud Security Fabric サービスを構成します。
  3. QRadar でログ・ソースが自動的に検出されなかった場合は、 QRadar コンソールで CloudLock Cloud Security Fabric ログ・ソースを追加します。 以下の表は、CloudLock Cloud Security Fabric イベントの収集用に固有の値を必要とするパラメーターを示しています。
    表 2. CloudLock Cloud Security Fabric ログ・ソースのパラメーター
    パラメーター 値
    ログ・ソース・タイプ CloudLock Cloud Security Fabric
    プロトコル構成 Syslog
CloudLock Cloud Security Fabric DSM のサンプル・イベント・メッセージを次の表に示します。
表 3. CloudLock Cloud Security Fabric サービスによってサポートされる CloudLock Cloud Security Fabric サンプル・メッセージ
イベント名 下位カテゴリー サンプル・ログ・メッセージ
新しいインシデント 疑わしいアクティビティー 
LEEF: 1.0|Cloudlock|API|v2|Incidents|match_count=2 sev=1 entity_id=ebR4q6DxvA entity_origin_type=document group=None url=https://example.com/a/path/file/d/<File_path_ID/view?usp=drivesdk CloudLockID=xxxxxxxxxx updated_at=2016¬01-20T15:42:15.128356+0000 entity_owner_email=user@example.com cat=NEW entity_origin_id=<File_path_ID> entity_mime_type=text/plain devTime=2016¬01-20T15:42:14.913178+0000 policy=Custom Regex resource=confidential.txt usrName=Admin Admin realm=domain policy_id=xxxxxxxxxx devTimeFormat=yyyy¬MM-dd'T'HH:mm:ss.SSSSSSZ