UEBA : 複数ブロックされたファイル転送に続くファイル転送

QRadar® User Entity Behavior Analytics (UEBA) アプリケーションは、特定の動作異常のルールに基づいてユース・ケースをサポートします。

デフォルトで有効

いいえ

デフォルトの senseValue

デフォルト senseValueSource

デフォルト senseValueDestination

説明

最初はブロックされたが、その後 5 分以内にアップロードが成功しているファイル・アップロードをチェックすることにより、引き出しを検出します。

サポート・ルール

BB:UBA : 共通のイベント・フィルター (BB:UBA : Common Event Filters)
BB:UBA : ファイル転送のブロック (BB:UBA : Blocked File Transfer)
BB:UBA : ファイル転送の成功 (BB:UBA : Successful File Transfer)

必須の構成

このルールでは、検出を正確に行うために、「ファイル転送のブロック (Blocked file transfers)」イベントと「ファイル転送の成功 (Successful file transfers)」イベントの両方が発生することが求められます。使用されるログ・ソースに、この両方のイベントのイベント ID が含まれていない場合、不正確な結果を受け取る可能性があります。データ・ソースを調べて、使用されているログ・ソースのイベント ID を確認してください。

ログ・ソース・タイプ (ファイル転送のブロック (Blocked file transfers))

Cilasoft QJRN/400 (イベント ID: C21020)

Cisco Call Manager (イベント ID: %UC_DRF-3-DRFSftpFailure)

Cisco IOS (イベント ID: %UPDATE-3-SFTP_TRANSFER_FAIL)

カスタム・ルール・エンジン (イベント ID: 18014、18071、18187、4032)

Extreme スタック可能スイッチおよびスタンドアロン・スイッチ (イベント ID: FFTP request failed)

フロー分類エンジン (イベント ID: 4032、18187、18014、18071)

Forcepoint Sidewinder (イベント ID: FTP Permits、denied ftp command)

IBM i (EventID: UNR0907, UNR0908, UNR2302, GSL0118, GSL0119, GSL0318, GSL0319, GSL3718, GSL3719, GSL0618,UNR0701, UNR0707, UNR0901, UNR0910, UNR2301, UNR0705, UNR0706, UNR0708, UNR0710, UNR0801, UNR0802, UNR0905, UNR0906, GSL0619)

Juniper Networks 侵入検知防御 (IDP) (イベント ID: TFTP:AUDIT:READ-FAILED)

Microsoft IIS (イベント ID: 530)

Microsoft Operations Manager (イベント ID: 22095)

OSSEC (イベント ID: 11504、11512)

ユニバーサル DSM (イベント ID: FTP アクション拒否、TFTP セッション拒否、FTP 拒否、ファイル転送拒否)

WatchGuard Fireware OS (イベント ID: 1CFF0002、1CFF0006、1CFF0007、1CFF0009、1CFF0001,1CFF0019、1CFF0000、1CFF0003)

ログ・ソース・タイプ (ファイル転送の成功 (Successful file transfers))

Cilasoft QJRN/400 (イベント ID: C21031)

Cisco FireSIGHT Management Center (イベント ID: FILE_EVENT、FILE_EVENT_0)

Cisco IOS (イベント ID: %FTPSERVER-6-NEWCONN)

Cisco IronPort (イベント ID: FTP_connection)

カスタム・ルール・エンジン (イベント ID: 18010、4031、18431、18183)

DG Technology MEAS (イベント ID: 119-003、119-070)

フロー分類エンジン (イベント ID: 18010、4031、18431、18183)

フロー・デバイス・タイプ (イベント ID: 21984、21879、51337、51336、35159、21910)

Huawei S シリーズ・スイッチ (イベント ID: FTPS/5/REQUEST)

IBM Proventia Network Intrusion Prevention System (IPS) (イベント ID: FTP、TFTP)

IBM i (EventID: MLD1200, MLD2100, MO10300,MO10400, MO11800, MO12100, MO12400, MO20200, MO20300. MO21300, MO21800, MO21900, GSL0101, GSL0102, GSL0301, GSL0302, GSL3701,GSL3702, M090100, UNA0705, UNA0706, UNA0708, UNA0710, UNA0801, UNA0802, UNA0905, UNA0906, UNA0907,UNA0908, UNA2302,UNA0601, UNA0604, UNA0605, UNA0607, UNA0701, UNA0707, UNA0901, UNA0902, UNA0910, UNA2301, M030100, MLD1100)

Juniper MX シリーズ・イーサネット・サービス・ルーター (イベント ID: TFTP、FTP)

Juniper Networks AVT (イベント ID: TFTP、FTP)

Microsoft IIS (イベント ID: 150、125、225)

ProFTPD サーバー (イベント ID: FTP session opened)

Solaris オペレーティング・システム認証メッセージ (イベント ID: ftp connection)

SonicWALL SonicOS (イベント ID: 1112、1113)

Squid Web プロキシー (イベント ID: 3C0002_ALLOWED)

Trend InterScan VirusWall (イベント ID: Trend ftpconnect)

ユニバーサル DSM (イベント ID: ファイル転送、FTP オープン、FTP アクションの許可、TFTP セッションのオープン)

Verdasys Digital Guardian (イベント ID: Network Transfer Upload、Network Transfer Download)

WatchGuard Fireware OS (イベント ID: 2AFF0004、1CFF0019)