Novell eDirectory サンプル・イベント・メッセージ
このサンプル・イベント・メッセージは、 IBM QRadarとの統合が正常に行われたことを確認するために使用します。
重要: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字を削除してください。
Syslog プロトコルを使用する場合の Novell eDirectory サンプル・メッセージ
以下のサンプル・イベント・メッセージは、アカウント・セキュリティー・トークンの変更が失敗したことを示しています。
eDirectory: INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "DOMAIN-EXAMPLE-TEST","Name" : "CN=ws,OU=SRV,O=COMPANY"},"Entity" : {"SysAddr" : "172.16.20.1","SysName" : "ws.domain.example.test"}},"Initiator" : {"Account" : {"Domain" : "DOMAIN-EXAMPLE-TEST","Name" : "CN=ws,OU=SRV,O=COMPANY"},"Entity" : {"SysAddr" : "172.16.20.1"}},"Target" : {"Data" : {"ClassName" : "User","Version" : "2"},"Account" : {"Domain" : "DOMAIN-EXAMPLE-TEST","Name" : "CN=TEST,OU=usr,O=ORG","Id" : "11111111"}},"Action" : {"Event" : {"Id" : 0.0.0.6","Name" : "MODIFY_ACCOUNT_SECURITY_TOKEN","CorrelationID" : "eDirectory#0#","SubEvent" : "DSE_CHGPASS"},"Time" : {"Offset" : 1567083869},"Log" : {"Severity" : 7},"Outcome" : "1.10","ExtendedOutcome" : "-215"}}| QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | MODIFY_ACCOUNT_SECURITY_TOKEN - FAILED は Action オブジェクトの Event.Name
フィールドと Outcome フィールドから抽出されます。 Outcome = 0 の場合、eventID = Event.Name となります。 それ以外の場合は このサンプル・イベントに表示されているように eventID = Event.Name + "-FAILED" となります。 |
| デバイス・カテゴリー | eDirectory |
| Username | TEST |
| 送信元 IP | 172.16.20.1 |
| デバイス時刻 | 1567083869 (これは 2019 年 8 月 29 日 10:04:29 AM です) |