ForeScout CounterACT サンプル・イベント・メッセージ
これらのサンプル・イベント・メッセージを使用して、 IBM QRadarとの統合が正常に行われたことを確認します。
重要: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。
Syslog プロトコルを使用する場合の ForeScout CounterACT サンプル・メッセージ
サンプル 1: 以下のサンプル・イベント・メッセージは、認証証明書の発行者が検出されたことを示しています。
LEEF:1.0|ForeScout|CounterACT|8.0.1-99|agent_auth_issuer|cat=Property sev=1 src=10.84.144.14 usrName=testUser srcMAC=00:00:5E:00:53:00 domain=testDomain identHostName=testHostName Folder_Name=Authentication Property_Name=Authentication Certificate Issuer devTime=Mar 7 2019 07:50:32.000 EST devTimeFormat=MMM dd yyyy HH:mm:ss.SSS z Property_Value=\DC=BLAH\DC=testDomain\CN=testDomain2-CA | QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | agent_auth_issuer |
| カテゴリー | Property |
| 送信元 IP | 10.84.144.14 |
| Username | testUser |
| デバイス時刻 | Mar 7 2019 07:50:32.000 EST |
サンプル 2: 以下のサンプル・イベント・メッセージは、このホストで資格情報が最後に成功した時点を示しています。
LEEF:1.0|ForeScout|CounterACT|8.0.1-99|cached_credentials|cat=Property sev=1 src=192.168.74.25 usrName=qradar1 srcMAC=00:00:5E:00:53:C8 domain=testDomain identHostName=D-q1labs1 Folder_Name= Property_Name=Last credentials to succeed on this host devTime=Mar 26 2019 15:56:14.000 PDT devTimeFormat=MMM dd yyyy HH:mm:ss.SSS z Property_Value=admin1@example.test2001:db8:4D1C:A2FA:3EC9:C66D:8522:B7A4
| QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | cached_credentials |
| カテゴリー | Property |
| 送信元 IP | 192.168.74.25 |
| Username | qradar1 |
| デバイス時刻 | Mar 26 2019 15:56:14.000 PDT |