Apache
IBM Security QRadar Apache Content Extension を使用して、Apache サーバーを詳細に監視します。
重要: このコンテンツ拡張でコンテンツ・エラーが発生しないようにするために、関連付けられた DSM を最新の状態に維持してください。 DSMは自動更新の一部として更新される。 自動アップデートが有効になっていない場合は、関連する DSM の最新バージョンを IBM® Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードしてください。
Apache DSM の構成
このコンテンツ拡張を使用するには、Apache 構成ファイルの LogFormat 行を以下に変更する必要があります。
LogFormat "%h %A %l %u %t \"%r\" %>s %p %b \"%{Referer}i\" \"%{User-agent}i\" %a %I %O %D" <log_format_name>
ここで、 <log format name> は、カスタムログフォーマットを定義するために指定する変数名です。
Apache HTTP Server DSM の構成について詳しくは、 syslog を使用した Apache HTTP Server の構成 (https://www.ibm.com/docs/en/SS42VS_DSM/com.ibm.dsm.doc/t_DSM_guide_apache_cfg_syslog.html) または Configuring Apache HTTP Server with syslog-ng (https://www.ibm.com/docs/en/SS42VS_DSM/com.ibm.dsm.doc/t_DSM_guide_apache_cfg_syslogng.html) を参照してください。
IBM Security QRadar Apache コンテンツ拡張機能 1.0.3
次の表は 、 IBM Security QRadar Apache Content Extension 1.0.3 で更新されたカスタムプロパティを示しています。
| 旧物件名称 | 新物件名 |
|---|---|
| UrlHost | URL ホスト (URL Host) |
| クライアント用パケット | 送信パケット数 |
| 発信元ホスト | 送信者ホスト (Sender Host) |
| BytesSent | 送信バイト数 (Bytes Sent) |
| BytesReceived | 受信バイト数 (Bytes Received) |
| 参照者 URL (Referrer URL) | URL 参照者 (URL Referrer) |
IBM Security QRadar Apache コンテンツ拡張 1.0.2
次の表では、 IBM Security QRadar Apache コンテンツ拡張 1.0.2のカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| BytesReceived | はい | 1 | (? :GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH). * ?" ¥ s¥ d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}¥ s + ([¥ d |-] +) |
| BytesSent | はい | 1 | (? :GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH). ?" ¥ s¥ d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}¥ s +. ?¥ s + ([¥ d |-] +) |
| 発信元ホスト | はい | 1 | (? :GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH). * ?" ¥ s (¥ d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}) |
| サーバー応答の階層 | はい | 1 | (? :GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH). ?" ¥ s¥ d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}¥ s +. ?¥ s +. * ?¥ s + ([¥ d |-] +) |
IBM Security QRadar Apache コンテンツ拡張 1.0.1
次の表では、 IBM Security QRadar Apache コンテンツ拡張 1.0.1のカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| 参照者 URL (Referrer URL) | はい | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?¥"¥s¥d+¥s¥d+¥s.*?¥"(.*?)" |
| Server Response Time | はい | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\s+.*?\s+.*?\s+([\d|-]+) |
IBM Security QRadar Apache コンテンツ拡張 1.0.0
次の表では、 IBM Security QRadar Apache コンテンツ拡張 1.0.0のカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| BytesReceived | はい | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?¥d{1,3}¥.¥d{1,3}¥.¥d{1,3}¥.¥d{1,3}¥s+([¥d|-]+) |
| BytesSent | はい | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?¥d{1,3}¥.¥d{1,3}¥.¥d{1,3}¥.¥d{1,3}¥s+.*?¥s+([¥d|-]+) |
| Method | いいえ | 1 | (GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH) |
| 発信元ホスト | はい | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}) |
| 送信パケット数 | いいえ | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?¥d+¥s+¥d+¥s+([¥d|-]+)¥s |
| 参照者 URL (Referrer URL) | いいえ | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?¥"¥s¥d+¥s¥d+¥s.*?¥"(.*?)" |
| 応答コード | いいえ | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH)¥s.*?¥s([¥d|-]+) |
| URLエリ文字列 | いいえ | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH)¥s([^¥;¥s]+) |
| UrlHost | はい | 1 | (?:(?:http|ftp|tcp|ssl|https):¥/¥/)(.*?)(?=$|¥s|¥¥|¥"|¥/|¥:|¥|) |
| ユーザー・エージェント | いいえ | 1 | (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\"\s\d+\s\d+\s.*?\".*?"\s+"(.*?)" |