Azure

IBM Security QRadar Azure コンテンツ拡張

IBM セキュリティ QRadar Azure コンテンツ拡張機能 2.1.3
IBM Security QRadar Azure コンテンツ拡張 2.1.2
IBM Security QRadar Azure コンテンツ拡張 2.1.1
IBM Security QRadar Azure コンテンツ拡張 2.1.0
IBM Security QRadar Azure コンテンツ拡張 2.0.0
IBM Security QRadar Azure コンテンツ拡張 1.1.2
IBM Security QRadar Azure コンテンツ拡張 1.1.1
IBM Security QRadar Azure コンテンツ拡張 1.1.0
IBM Security QRadar Azure コンテンツ拡張 1.0.2
IBM Security QRadar Azure コンテンツ拡張 1.0.1
IBM Security QRadar Azure コンテンツ拡張 1.0.0

IBM セキュリティ QRadar Azure コンテンツ拡張機能 2.1.3

以下の表は、 IBM Security（ QRadar ）、 Azure、およびContent Extension（ 2.1.3 ）における更新された正規表現を示しています。

表 1. IBM の正規表現が更新されましたセキュリティ QRadar Azure コンテンツ拡張機能 2.1.3
タイプ	プロパティー名	新規正規表現
CEP	操作名	operationName":"(.*?)"

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 2.1.2

次の表では、 IBM Security QRadar Azure コンテンツ拡張 2.1.2で更新されたプロパティー名を示しています。

表 2. IBM セキュリティー QRadar Azure コンテンツ拡張 2.1.2 で更新されたプロパティー名
タイプ	プロパティーID	古いプロパティー名	リベース名 (新規プロパティー名)
CEP	DEFAULTCUSTOMEVENT14	AccountID	アカウント ID
CEP	DEFAULTCUSTOMEVENT11	BytesReceived	受信バイト数 (Bytes Received)
CEP	DEFAULTCUSTOMEVENT12	BytesSent	送信バイト数 (Bytes Sent)
CEP	002a5618-8f44-41bc-b5aa-bc02153a7d84	マシン ID	マシン ID (Machine Identifier)
CEP	DEFAULTCUSTOMEVENT13	ObjectType	オブジェクト・タイプ
CEP	c3615010-0cb6-43b5-b921-4bcf7737b8ea	プロセス ID	プロセス ID
CEP	e7da1cc0-5bf0-48de-86a9-6af817266c7f	ターゲット・ユーザー名	ターゲット・ユーザー名

次の表では、 IBM Security QRadar Azure コンテンツ拡張 2.1.2で更新された正規表現を示しています。

表 3. IBM セキュリティー QRadar Azure コンテンツ拡張 2.1.2 で更新された正規表現
タイプ	プロパティーID	プロパティー名	旧正規表現	新規正規表現
CEP	f7a8e3d5-1902-4acf-afe3-e2c4b928d90e	ファイル・ディレクトリー	path":\s"(.*?)"	path ": [¥ s]?" ([^ "] +)"
CEP	デフォルトのファイル名	ファイル名	name":\s"(.*?)"	name ": [¥ s]?" ([^ "] +)"

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 2.1.1

次の表では、 IBM Security QRadar Azure コンテンツ拡張 2.1.1の新しいカスタム・プロパティーを示しています。

表 4. IBM セキュリティー QRadar Azure コンテンツ拡張 2.1.1 のカスタム・プロパティー
名前	最適化済み	キャプチャー・グループ	正規表現
属性の新しい値	いいえ	1	`modifiedProperties":.*?newValue":"\\"(admin\|administrator)\\""`

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 2.1.0

次の表では、 IBM Security QRadar Azure コンテンツ拡張 2.1.0の新しいカスタム・プロパティーを示しています。

表 5. IBM セキュリティー QRadar Azure コンテンツ拡張 2.1.0 のカスタム・プロパティー
名前	最適化済み	キャプチャー・グループ	正規表現
エラー・コード	はい	1	errorCode":(.*?),
Reason	はい	1	failureReason":"(.*?)"
ユーザー・エージェント	いいえ	1	userAgent":"(.*?)"

IBM セキュリティ QRadar ハイブリッドクラウドのユースケースに向けたコンテンツ拡張すべてのルール、レポート、および保存済み検索は削除され、. に追加されました。

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 2.0.0

次の表では、 IBM Security QRadar Azure コンテンツ拡張 2.0.0の新規および更新されたカスタム・プロパティーを示しています。

表 6. IBM セキュリティー QRadar Azure コンテンツ拡張 2.0.0 のカスタム・プロパティー
名前	最適化済み	キャプチャー・グループ	正規表現
アカウント名	はい	1	userStates":.?"accountName":\s"(.?)"
アラートの重大度	いいえ	1	/"重大度"
コマンド	はい	1	commandLine":\s"(.*?)"
ファイル・ディレクトリー	はい	1	path":\s"(.*?)"
ファイル名	はい	1	name":\s"(.*?)"
Group Name	はい	1	securityResources":.*?resourceGroups\/([^\/]+)
Logon Id	はい	1	logonId":\s"(.*?)"
マシン ID	はい	1	securityResources":.?\/virtualMachines\/(.?)"
メッセージ	いいえ	1	/"説明"
プロセス ID	はい	1	processId":(.*?)
リージョン	はい	1	"sourceMaterials":.?location\/(.?)"
サブスクリプション ID	いいえ	1	azureSubscriptionId":\s"(.*?)"
脅威カテゴリー (Threat Category)	いいえ	1	malwareStates":.?"category":\s"(.?)"
脅威ファミリー (Threat Family)	いいえ	1	family":\s"(.*?)"
Threat Remediation	いいえ	1	/"recommendedActions"[]
脅威スコア	いいえ	1	hostStates":.?"riskScore":\s"(.?)"
ユーザー・プリンシパル名	いいえ	1	userPrincipalName":\s"(.*?)"

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 1.1.2

次の表では、 IBM Security QRadar Azure コンテンツ拡張 1.1.2の新規および更新されたカスタム・プロパティーを示しています。

表 7. IBM セキュリティー QRadar Azure コンテンツ拡張 1.1.2 のカスタム・プロパティー
名前	最適化済み	キャプチャー・グループ	正規表現
識別名 (Distinguished Name)	いいえ	1	\buserPrincipalName":"([^@]*)
Group Name	はい	1	Group.DisplayName".?newValue":"(?:\\"){0,1}(.?)(?:\\"){0,1}"}
グループ・セキュリティー ID	いいえ	1	Group.ObjectID".?newValue":"(?:\\"){0,1}(.?)(?:\\"){0,1}"}
Target Object ID	いいえ	1	targetResources":\[\{"id":"(.*?)"

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 1.1.1

次の表では、 IBM Security QRadar Azure コンテンツ拡張 1.1.1の新規および更新されたカスタム・プロパティーを示しています。

表 8. IBM セキュリティー QRadar Azure コンテンツ拡張 1.1.1 のカスタム・プロパティー
名前	最適化済み	キャプチャー・グループ	正規表現
AccountID	はい	1	properties.?id":"(.?)"
アラートの重大度	いいえ	1	重大度 ":" (. *?) ";
MFA 使用 (MFA Used)	はい	1	RequestSequence.?succeeded":(.?),
オブジェクト ID	はい	1	PrincipalId\\":\\"([^\\].?)\\",\\"PrincipalType\\": targetResources.?id":"(.?)" PrincipalId\\":\\"(.?)\\",\\"PrincipalType\\":
オブジェクト・タイプ	はい	1	compromisedEntity":"(.?)" \"Scope\\":\\".\/(.?)\\" targetResources.?displayName":"(.*?)"
ロール名 (Role Name)	はい	1	Role.DisplayName.?oldValue.?,"newValue":"\\"(.?)\\" \broleName\\":\\"(.?)\\" roleDefinitions\/(.?)\\", targetResources.?displayName":"(.?)" RoleDefinition.DisplayName.?oldValue.?,"newValue":"\\"(.?)\\"
ターゲット・ユーザー名	はい	1	PrincipalId\\":\\"([^"])\\",\\"RoleDefinitionId\\": ¥btype":"Request".?id":"(.*?)"
ユーザーID	はい	1	objectidentifier":"(.*?)"
ボリューム ID	はい	1	\bosDisk.?osType.?name\\":\\"(.?)\\" "scope":"[^"]\/disks\/(.*?)(?:\/\|\")

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 1.1.0

IBM Security QRadar Azure コンテンツ拡張 V1.1.0 は、 Microsoft Azure Active Directoryのカスタム・プロパティーを追加します。

次の表では、 IBM Security QRadar Azure コンテンツ拡張 1.1.0のカスタム・プロパティーを示しています。

表 9. IBM セキュリティー QRadar Azure コンテンツ拡張 1.1.0 のカスタム・プロパティー
名前	最適化済み	キャプチャー・グループ	正規表現
リージョン	はい	1	\bcountryOrRegion":"([^\"]*)
リソース ID	いいえ	1	\bresourceId":"([^\"]*)
サービス名	はい	1	\bdisplayName":"([^"]*?)","type":"ServicePrincipal"
ソース・ワークステーション	はい	1	¥bidentity":"([^¥"]*)
テナント ID (Tenant ID)	いいえ	1	\btenantId":"([^\"]*)
ユーザー・プリンシパル名	いいえ	1	\buserPrincipalName":"([^\"]*)
ユーザー PUID	いいえ	1	\bUser\.PUID",.?newValue":["\\]+([^"\\])

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 1.0.2

IBM Security QRadar Azure コンテンツ拡張 V1.0.2で、「ターゲット・ユーザー名」カスタム・プロパティーの QID が更新されました。

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 1.0.1

次の表では、 IBM Security QRadar Azure コンテンツ拡張 1.0.1のカスタム・プロパティーを示しています。

表 10. IBM セキュリティー QRadar Azure コンテンツ拡張 1.0.1 のカスタム・プロパティー
名前	最適化済み	キャプチャー・グループ	正規表現
受信バイト数 (Bytes Received)	はい	1	\"receivedBytes\":(\d+)
BytesSent	はい	1	\"sentBytes\":(\d+)
ファイル名	はい	1	¥ "file¥": ". * ¥/([^"] +) "
Group Name	はい	1	"scope":"[^"]¥/resourceGroups¥/([^¥/]+) "resourceId":"[^"]¥/RESOURCEGROUPS¥/([^"]*?)¥/ resourceGroupName=([^\t]+)
ローカル・ネットワーク・ゲートウェイ	いいえ	1	"scope":"[^"]¥/localNetworkGateways¥/([^"])"
マシン ID	はい	1	"scope":"[^"]¥/virtualMachines¥/(.?)(?:¥/\|¥") resourceId=.?\/virtualMachines\/(.?)\s
メッセージ	いいえ	1	\"メッセージ\":\"(.?)\" \"message\":\"(.?)\"
ネットワーク・インターフェース	いいえ	1	"scope":"[^"]¥/networkInterfaces¥/([^"])"
ネットワーク・セキュリティー・グループ	いいえ	1	"resourceId":"[^"]¥/NETWORKSECURITYGROUPS¥/([^"])" "scope":"[^"]¥/networkSecurityGroups¥/([^"])"
ネットワーク監視	いいえ	1	"scope":"[^"]¥/networkWatchers¥/([^"])"
操作 ID	いいえ	1	\"operationId\":\"(.*?)\" operationId=([^\t]+)
パブリック IP 名	いいえ	1	"scope":"[^"]¥/publicIPAddresses¥/([^"])"
リージョン	はい	1	site¥"¥:¥"([^¥"]+) location\"\:\"([^\"]+)
リソース ID	いいえ	1	resourceId=([^\t]+) \"resourceId\":\"(.*?)\"
ロール名 (Role Name)	はい	1	roleDefinitions\/(.*?)\\",
ルール名	はい	1	\"ruleName\":\"(.*?)\"
セキュリティー・ルール	いいえ	1	"scope":"[^"]¥/securityRules¥/([^"])"
サブスクリプション ID	いいえ	1	subscriptionId=([^\t]+) "scope":"[^"]¥/subscriptions¥/([^¥/]+) "resourceId":"[^"]¥/SUBSCRIPTIONS¥/([^"]*?)¥/
ターゲット・ユーザー名	はい	1	PrincipalId\\":\\"([^\\].*?)\\",
ユーザー・エージェント	いいえ	1	\"userAgent\":\"(.*?)\"
Virtual Network	いいえ	1	"scope":"[^"]¥/virtualNetworks¥/([^"])"

_{( 上に戻る )}

IBM Security QRadar Azure コンテンツ拡張 1.0.0

次の表では、 IBM Security QRadar Azure コンテンツ拡張 1.0.0に含まれるルールを示しています。

表 11. IBM セキュリティー QRadar Azure コンテンツ拡張 1.0.0 のルール
タイプ	名前	説明
ルール	Azure クラウド: セキュリティー・ルールが削除された	セキュリティー・ルールが削除されたときにそのことを検出します。
ルール	Azure Cloud: ネットワーク・セキュリティー・グループが作成または更新されました	セキュリティー・グループが作成または更新されたときにそのことを検出します。
ルール	Azure Cloud: 仮想ネットワークが削除されました	仮想ネットワークが削除されたときにそのことを検出します。
ルール	Azure Cloud: 仮想ネットワーク・サブネットが削除されました	仮想ネットワークのサブネットが削除されたときにそのことを検出します。
ルール	Azure Cloud: 仮想ネットワーク・ゲートウェイ接続が削除されました	仮想ネットワークのゲートウェイ接続が削除されたときにそのことを検出します。
ルール	Azure Cloud: ローカル・ネットワーク・ゲートウェイが削除されました	ローカル・ネットワークのゲートウェイが削除されたときにそのことを検出します。
ルール	Azure Cloud: セキュリティー・ルールが作成または更新されました	セキュリティー・ルールが作成または更新されたときにそのことを検出します。
ルール	Azure Cloud: 仮想ネットワーク・ピアリングが削除されました	仮想ネットワークのピアリングが削除されたときにそのことを検出します。
ルール	Azure Cloud: Network Watcher が削除された	ネットワーク・ウォッチャーが削除されたときにそのことを検出します。
ルール	Azure Cloud: ネットワーク・セキュリティー・グループが削除されました	ネットワーク・セキュリティー・グループが削除されたときにそのことを検出します。

次の表では、 IBM Security QRadar Azure コンテンツ拡張 1.0.0のレポートを示しています。

表 12. IBM セキュリティー QRadar Azure コンテンツ拡張 1.0.0 のレポート
レポート名	説明
Azure Web Apps 仮想接続の削除-週次	Azure Web アプリの仮想接続をより大規模にモニターし、傾向を特定します。
Azure Web Apps 仮想接続の削除-月次	Azure Web アプリの仮想接続をより大規模にモニターし、傾向を特定します。
Azure 仮想ネットワークの作成または更新-週次	Azure 仮想ネットワークをより大規模にモニターし、傾向を特定します。
Azure 仮想ネットワークの作成または更新-月次	Azure 仮想ネットワークをより大規模にモニターし、傾向を特定します。
Azure ネットワーク・セキュリティー・グループの作成または更新-週次	Azure セキュリティー・グループをより大規模にモニターし、傾向を特定します。
Azure ネットワーク・セキュリティー・グループの作成または更新-月次	Azure セキュリティー・グループをより大規模にモニターし、傾向を特定します。
Azure セキュリティー・ルールの作成または更新-週次	Azure セキュリティー・ルールをより大規模にモニターし、傾向を特定します。
Azure セキュリティー・ルールの作成または更新-月次	Azure セキュリティー・ルールをより大規模にモニターし、傾向を特定します。
Azure セキュリティー・ルールの削除-週次	Azure セキュリティー・ルールをより大規模にモニターし、傾向を特定します。
Azure セキュリティー・ルールの削除-月次	Azure セキュリティー・ルールをより大規模にモニターし、傾向を特定します。

次の表では、 IBM Security QRadar Azure コンテンツ拡張 1.0.0の保存済み検索を示しています。

表13. IBM セキュリティー QRadar Azure コンテンツ拡張 1.0.0 の保存済み検索
名前	説明
Azure: セキュリティー・ルールが削除されました	この検索は「Security Rule Deleted」レポートによって使用されます。
Azure: ネットワーク・セキュリティー・グループの作成または更新	この検索は「Security Group Created or Updated」レポートによって使用されます。
Azure: セキュリティー・ルールの作成または更新	この検索は「Security Rule Created or Updated」レポートによって使用されます。
Azure: 仮想ネットワークが作成または更新されました	この検索は「Virtual Network Created or Updated」レポートによって使用されます。
Azure: 削除された Web アプリの仮想接続 (Web Apps Virtual Connections Deleted)	この検索は「Web Apps Virtual Connections Deleted」レポートによって使用されます。

_{( 上に戻る )}