Forcepoint V-Series Content Gateway のサンプル・イベント・メッセージ
これらのサンプル・イベント・メッセージを使用して、 IBM QRadarとの統合が正常に行われたことを確認します。
重要: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。
Syslog プロトコルを使用する場合の Forcepoint V-Series Content Gateway サンプル・メッセージ
サンプル 1: 以下のサンプル・イベント・メッセージは、アクセスが Websense によりブロックされていることを示しています。
<159>Jul 16 16:37:26 forcepoint.vseries.test LEEF:1.0|Forcepoint|Security|8.5.3|transaction:blocked|sev=7 cat=1504 usrName=qradar1 loginID=qradar1 src=10.223.7.33 srcPort=34311 srcBytes=0 dstBytes=0 dst=10.10.10.10 dstPort=443 proxyStatus-code=403 serverStatus-code=0 duration=66 method=POST disposition=1064 contentType=- reason=0-17336-Generic.Content.Web.RTSS policy=Super Administrator**IM Chat and Conferencing Policy role=8 userAgent=Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74.0.3729.169 Safari/537.36 url=https://www.qradar.example.test/psettings/jobs/profile-shared-with-recruiter logRecordSource=%<logRecordSource> | QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | disposition |
| カテゴリー | cat |
| 送信元 IP | src |
| 送信元ポート | srcPort |
| 宛先 IP | dst |
| 宛先ポート | dstPort |
| Username | usrName |
サンプル 2: 以下のサンプル・イベント・メッセージは、アクセスが Websense により許可されていることを示しています。
<159>Jun 25 10:45:18 forcepoint.vseries.test LEEF:1.0|Forcepoint|Security|8.5.3|transaction:permitted|sev=1 cat=209 usrName=testUser loginID=testID src=10.252.88.231 srcPort=7434 srcBytes=636 dstBytes=63385 dst=10.10.10.10 dstPort=443 proxyStatus-code=200 serverStatus-code=200 duration=32 method=GET disposition=1065 contentType=text/html; charset\=utf-8 reason=0-14057-Generic.Content.Web.RTSS policy=testPolicy Videos from testCompany role=8 userAgent=Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3626.121 Safari/537.36 url=https://www.qradar.example.test/watch?v\=VsxpUZaggcw logRecordSource=%<logRecordSource>| QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | disposition |
| カテゴリー | cat |
| 送信元 IP | src |
| 送信元ポート | srcPort |
| 宛先 IP | dst |
| 宛先ポート | dstPort |
| Username | usrName |