Vectra Networks Vectra サンプル・イベント・メッセージ
これらのサンプル・イベント・メッセージを使用して、 IBM QRadarとの統合が正常に行われたことを確認します。
重要: Vectra Networks Vectra 用の IBM
QRadar DSM は非推奨です。
この統合を引き続き利用するには、 IBM Security App Exchange Web サイト (https://exchange.xforce.ibmcloud.com/hub/extension/47f3e9afff5e0281d6684bb633d769f2) から Vectra Networks Vectra DSM をダウンロードしてください。
ヒント: フォーマットの問題のため、メッセージ・フォーマットをテキスト・エディターに貼り付けてから、復帰文字または改行文字をすべて削除してください。
Syslog プロトコルを使用する場合の Vectra Networks Vectra サンプル・メッセージ
サンプル 1: 以下のサンプル・イベント・メッセージは、samba が悪用された時点を示しています。
<13>Jul 9 07:54:46 vectranetworks.vectra.test vectra_cef -: CEF:0|Vectra Networks|X Series|4.2|smb_brute_force|SMB Brute-Force|7|externalId=9481 cat=LATERAL MOVEMENT dvc=10.97.41.41 dvchost=10.97.41.41 shost=hostname123.example.com src=10.125.64.136 flexNumber1Label=threat flexNumber1=70 flexNumber2Label=certainty flexNumber2=59 cs4Label=Vectra Event URL cs4=https://www.Qradar.test/paths/resources1.ext cs5Label=triaged cs5=False dst=10.160.0.145 dhost= proto= dpt=445 out=None in=None start=1531119062000 end=1531119099000| QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | SMB Brute-Force |
| イベント・カテゴリー | LATERAL MOVEMENT |
| 送信元 IP | 10.125.64.136 |
| 宛先 IP | 10.160.0.145 |
| 宛先ポート | 445 |
サンプル 2: 以下のサンプル・イベント・メッセージは、疑わしいアクティビティーが発生したことを示しています。
<13>Oct 22 07:17:40 vectranetworks.vectra.test vectra_cef -: CEF:0|Vectra Networks|X Series|4.5|kerberos_account_anomaly|Suspicious Kerberos Account|1|externalId=13841 cat=LATERAL MOVEMENT dvc=10.97.41.41 dvchost=10.97.41.41 shost=spek006odc src=10.97.48.6 flexNumber1Label=threat flexNumber1=10 flexNumber2Label=certainty flexNumber2=95 cs4Label=Vectra Event URL cs4=https://www.Qradar.test/paths/resources1.ext cs5Label=triaged cs5=False dst=10.160.0.90 dhost= proto= dpt=80 out=None in=None start=1540183389000 end=1540185634000| QRadarフィールド名 | イベント・ペイロードで強調表示される値 |
|---|---|
| イベント ID | Suspicious Kerberos Account |
| イベント・カテゴリー | LATERAL MOVEMENT |
| 送信元 IP | 10.97.48.6 |
| 宛先 IP | 10.160.0.90 |
| 宛先ポート | 80 |