Carbon Black Response
QRadar用のCarbon Black Response extensionは、Carbon Black Response Payload用の新しいカスタムイベントプロパティを追加します。
重要: このコンテンツ拡張でコンテンツ・エラーが発生しないようにするために、関連付けられた DSM を最新の状態に維持してください。 DSMは自動更新の一部として更新される。 自動更新が有効になっていない場合は、関連する DSM の最新バージョンを IBM® Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードしてください。
IBM Security QRadar Carbon Black Response 用のカスタム・プロパティー・コンテンツ拡張 1.0.3
次の表では、 IBM Security QRadar Carbon Black Response 用カスタム・プロパティー・コンテンツ拡張 1.0.3で新しく導入された、または更新されたカスタム・プロパティーを示します。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| MD5 ハッシュ | はい | 1 | \smd5=([^\t]+) |
| SHA256 ハッシュ | はい | 1 | sha256=([^\t]+) |
| プロセス ID | はい | 1 | ¥spid=([^¥t]+) |
「ファイル・ハッシュ」 カスタム・プロパティーが削除されました。
IBM Security QRadar Carbon Black Response 用カスタム・プロパティー・コンテンツ拡張 1.0.2
次の表では、 IBM Security QRadar Custom Properties for Carbon Black Response コンテンツ拡張 1.0.2で更新されたカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| プロセス・パス | はい | 1 | process_path=([^¥t]+) |
IBM Security QRadar Carbon Black Response 用のカスタム・プロパティー・コンテンツ拡張 1.0.1
次の表では、 IBM Security QRadar Carbon Black Response 用カスタム・プロパティー・コンテンツ拡張 1.0.1で更新されたカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| プロセス名 | はい | 1 | process_name=([^¥t]+) |
IBM Security QRadar Carbon Black Response 用カスタム・プロパティー・コンテンツ拡張 1.0.0
次の表では、 IBM Security QRadar Carbon Black Response 用カスタム・プロパティー・コンテンツ拡張 1.0.0のカスタム・プロパティーを示しています。
| 名前 | 最適化済み | キャプチャー・グループ | 正規表現 |
|---|---|---|---|
| アラート・タイプ | いいえ | 1 | alert_type=([^¥t]+) |
| コマンド行 | はい | 1 | (?:command_line|cmdline)=“?([^\t]+)“? |
| CB サーバー (CB Server) | いいえ | 1 | cb_server=([^¥t]+) |
| コンピューター名 | はい | 1 | computer_name=([^¥t]+) |
| ドメイン | いいえ | 1 | domain=([^¥t]+) |
| フィード名 | いいえ | 1 | feed_name=([^¥t]+) |
| File Hash | はい | 1 | sha256=([^\t]+) |
| ホスト名 | はい | 1 | hostname=([^¥t]+) |
| ローカル IP | いいえ | 1 | local_ip=([^¥t]+) |
| OS ベンダー | はい | 1 | os_type=([^¥t]+) |
| プロセス ID | いいえ | 1 | ¥spid=([^¥t]+) |
| 親 GUID | いいえ | 1 | parent_guid=([^¥t]+) |
| 親 MD5 | いいえ | 1 | parent_md5=([^\t]+) |
| 親プロセス ID | いいえ | 1 | parent_pid=([^¥t]+) |
| 親パス | いいえ | 1 | parent_path=([^¥t]+) |
| 親プロセスの GUID (Parent Process Guid) | いいえ | 1 | parent_process_guid=([^¥t]+) |
| Path | いいえ | 1 | ¥spath=([^¥t]+) |
| プロセス・コマンド行 | はい | 1 | (?:command_line|cmdline)="?([^\t]+)"? |
| プロセスの方向 | いいえ | 1 | direction=([^¥t]+) |
| プロセス GUID (Process Guid) | いいえ | 1 | ¥sprocess_guid=([^¥t]+) |
| プロセス名 | はい | 1 | process_name=([^¥t]+) |
| プロセス・パス | いいえ | 1 | process_path=([^¥t]+) |
| プロキシー・ドメイン | はい | 1 | proxy_domain=([^¥t]+) |
| プロキシー IP | いいえ | 1 | proxy_ip=([^¥t]+) |
| リモート IP | いいえ | 1 | remote_ip=([^¥t]+) |
| サーバー名 | はい | 1 | (?:-ServerName:|server_name=)([^¥t]+) |
| タイプ | いいえ | 1 | ¥stype=([^¥t]+) |
| 固有 ID | いいえ | 1 | (?:¥suid|unique_id)=([^¥t]+) |
| ウォッチ・リスト名 | いいえ | 1 | watchlist_name=([^¥t]+) |
| Watchlists | いいえ | 1 | watchlists=([^¥t]+) |