Fortinet FortiAnalyzer

IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張は、Fortinet FortiAnalyzer 用のカスタム プロパティ、レポート、および保存された検索を追加します。

重要: このコンテンツ拡張でコンテンツ・エラーが発生しないようにするために、関連付けられた DSM を最新の状態に維持してください。 DSMは自動更新の一部として更新される。 自動アップデートが有効になっていない場合は、関連する DSM の最新バージョンを IBM® Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードしてください。

IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.4.1

次の表では、 IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.4.1で変更されたカスタム・プロパティーを示しています。

表 1. IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.4.0
名前 最適化済み キャプチャー・グループ 正規表現
アプリケーション はい 1 \bapp="([^"]*)";
アプリケーション・カテゴリー はい 1 \bapp_?cat="([^"]*)";

IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.4.0

次の表では、 IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.4.0で変更されたカスタム・プロパティーを示しています。

表 2. IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.4.0
名前 最適化済み キャプチャー・グループ 正規表現
アクション はい 1 ¥baction="([^"]*)"
アクティブ・セッション数 はい 1 ¥btotalsession=(¥d+)
アプリケーション いいえ 1 \bapp="([^"]*)"
アプリケーション・カテゴリー いいえ 1 ¥bapp_?cat="([^"]*)"
Application Type はい 1 ¥bapp_?type="([^"]*)"
BytesReceived はい 1 ¥brcvd(?:byte)?=(¥d+)
BytesSent はい 1 ¥bsent(?:byte)?=(¥d+)
カテゴリーの説明 はい 1 \bcat_?desc="([^"]*)"
CPU 使用率 (CPU_Usage) はい 1 \bcpu=(\d+)
出張先の国 いいえ 1 ¥bdstcountry="(.*?)"
宛先インターフェース はい 1 ¥bdst_?intf?="([^"]*)"
宛先インターフェース・ロール いいえ 1 ¥bdstintfrole="([^"]*)"
期間 (秒) いいえ 1 ¥bduration=(¥d+)
ファイル名 はい 1 \bfilename="([^"]*)"
ホスト名 はい 1 \bhostname="([^"]*)"
Level いいえ 1 ¥blevel="([^"]*)"
メモリー使用率 はい 1 ¥bmem=(¥d+)
メッセージ いいえ 1 ¥bmsg="([^"]*)"
受信パケット数 いいえ 1 ¥brcvdpkt=(¥d+)
送信パケット数 いいえ 1 ¥bsentpkt=(¥d+)
ポリシー ID いいえ 1 ¥bpolicyid=(¥d+)
ポリシー名 はい 1 ¥bpolicyname="(.*?)"
サービス いいえ 1 \bservice="([^"]*)"
セッション番号 いいえ 1 ¥bsessionid=(¥d+)
送信元の国 いいえ 1 ¥bsrccountry="(.*?)"
ソース・インターフェース いいえ 1 \bsrc_?intf?="([^"]*)"
ソース・インターフェースの役割 いいえ 1 ¥bsrcintfrole="([^"]*)"
状況 はい 1 \bstatus="([^"]*)"
サブタイプ(subtype) はい 1 ¥bsubtype="([^"]*)"
脅威名 はい 1 \bvirus="([^"]*)"
脅威スコア いいえ 1 ¥bcrscore=(¥d+)
脅威の重大度 いいえ 1 ¥bcrlevel="([^"]*)"
脅威のタイプ いいえ 1 ¥bcraction=(¥d+)
タイプ いいえ 1 \btype="([^"]*)"
URL はい 1 ¥burl="([^"]*)"

IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.3.2

「Action」カスタム・プロパティーに新規 ID が割り当てられました。 1.3.2 にアップグレードする前に、既存の「Action」カスタム・プロパティーをすべて削除してください。

「Policy」カスタム・プロパティーの所有者は admin に設定されました。

IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.3.1

次の表では、 IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.3.1で変更されたカスタム・プロパティーを示しています。

表 3. IBM セキュリティー QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.3.1 で変更されたカスタム・プロパティー
名前 最適化済み
アクション はい
期間 (秒) はい
URL はい

以下のカスタム・プロパティーが名前変更されました。

表 4. IBM セキュリティー QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.3.1 で名前変更されたカスタム・プロパティー
名前 変更後の名前
ウィルス名 脅威名

( 上に戻る )

IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.3.0

次の表は、IBM QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.3.0 に含まれている変更点について説明しています。

表 5. Fortinet FortiAnalyzer コンテンツ拡張 1.3.0 の変更点リスト
タイプ 名前 説明
保存済み検索 URLによるブロックされたウェブサイトすべて 集約関数 (min) が追加されました。
保存済み検索 違反タイプごとのアンチウィルス・アクション (Antivirus Actions per Violation Type) フィールド名が二重引用符で囲まれました。
保存済み検索 上位のアクティブ Web ユーザー 基本検索に変換されました。
保存済み検索 上位の許可されたアプリケーション v4 ユーザー・エージェンシー 基本検索に変換されました。
保存済み検索 上位の許可されたカテゴリー v4 基本検索に変換されました。
保存済み検索 トップ 許可されたウェブサイト URL別 集約関数 (min) が追加されました。
保存済み検索 上位の許可された Web サイト v4 ユーザー・エージェンシー 基本検索に変換されました。
保存済み検索 上位のアプリケーション フィールド名が二重引用符で囲まれました。
保存済み検索 上位のアプリケーション (タイプ別) where 節に「"Application Type" is not NULL」が追加されました。
保存済み検索 上位のアプリケーション (タイプ別) v4 ユーザー・エージェンシー 基本検索に変換されました。 「Application Type != 'N/A'」がフィルターに追加されました。
保存済み検索 上位のブロックされたカテゴリー v4 基本検索に変換されました。
保存済み検索 上位のブロックされた Web サイト 基本検索に変換されました。
保存済み検索 最も一般的な宛先の上位の感染ファイル フィールド名が二重引用符で囲まれました。
保存済み検索 上位のサービス (ボリューム別) 集約関数 (sum) が追加されました。
保存済み検索 ボリューム別の上位ソース 集約関数 (sum) が追加されました。
保存済み検索 上位のウィルス・ソース (デバイス別) フィールド名が二重引用符で囲まれました。
保存済み検索 インターフェースごとの上位ウィルス・ソース フィールド名が二重引用符で囲まれました。
保存済み検索 ボリューム別の上位 Web 宛先 フィールド名が二重引用符で囲まれました。 「HH:mm:ss」が日付形式に追加されました。
保存済み検索 Top Web Servers by Volume 集約関数 (sum) が追加されました。
保存済み検索 Web ボリューム (時間別) 非集約フィールドが削除されました。 使用されていない宛先 IP が削除されました。 「HH:mm:ss」が日付形式に追加されました。
レポート Fortigate - Agency User Request - Top Applications by Type 「Top Applications」グラフが「Top Applications by Type」グラフに置換されました。
レポート Fortigate - Operational Report - Initiated from Internet このレポートは削除されました。
カスタム・プロパティー Fortinet アクション Actionに名前変更されました。
カスタム・プロパティー Fortinate アプリ・コントロール Applicationに名前変更されました。
カスタム・プロパティー Fortinet アプリ制御 「Application Category」に名前変更されました。
カスタム・プロパティー アプリケーション制御アプリケーション このカスタム・プロパティーは削除されました。
カスタム・プロパティー Fortinet アプリケーション・タイプ 「Application Type」に名前変更され、正規表現が以下のように更新されました。

[\t,]{1}(?:apptype|app_type)=("{0,1})([\w\/\-.]+)\1
カスタム・プロパティー フォーティネット BytesReceived BytesReceivedに名前変更されました。
カスタム・プロパティー フォーティネット BytesSent BytesSentに名前変更されました。
カスタム・プロパティー Fortinet カテゴリーの説明 「Category Description」に名前変更されました。
カスタム・プロパティー Fortinet 宛先インターフェース 「Destination Interface」に名前変更され、正規表現が以下のように更新されました。

(?:dst_int|dstintf)=("{0,1})([¥w¥-¥/]+)¥1
カスタム・プロパティー Fortinet デバイス名 「デバイス名」に名前変更されました。
カスタム・プロパティー Fortinet ホスト名 このカスタム・プロパティーは削除されました。
カスタム・プロパティー 「ホスト名」 FortiGate このカスタム・プロパティーは削除されました。
カスタム・プロパティー Fortinet ポリシー ID このカスタム・プロパティーは削除されました。
カスタム・プロパティー Fortinet サービス 「Service」に名前変更され、正規表現が以下のように更新されました。

service="([¥w¥-¥/()+& ]+)" AND service=([¥w¥-¥/()+&]+)[¥t ,]{1}
カスタム・プロパティー Fortinet セッション番号 「Session Number」に名前変更され、正規表現が以下のように更新されました。

(SN|sessionid)=(¥d+)
カスタム・プロパティー Fortinet サイト Hostnameに名前変更されました。
カスタム・プロパティー Fortinet ソース・インターフェース 「Source Interface」に名前変更され、正規表現が以下のように更新されました。

(?:src_int|srcintf)=("{0,1})([¥w¥-¥/]+)¥1
カスタム・プロパティー Fortinet 状況 「Status」に名前変更され、正規表現が以下のように更新されました。

status=("{0,1})([¥w¥_¥-]+)¥1
カスタム・プロパティー Fortinet サブタイプ 「Subtype」に名前変更され、正規表現が以下のように更新されました。

subtype=("{0,1})([¥w¥-¥_]+)¥1
カスタム・プロパティー Fortinet タイプ 「Type」に名前変更され、正規表現が以下のように更新されました。

([¥t ,])type=("{0,1})([¥w¥-]+)¥2
カスタム・プロパティー URL リネーム URL
カスタム・プロパティー VirusName 正規表現が以下のように更新されました。

([\t ,])virus=(["]{0,1})(.*?)\2\1

( 上に戻る )

IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.2.0

次の表は、IBM QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.2.0 に含まれている変更点について説明しています。

表 6. Fortinet FortiAnalyzer コンテンツ拡張 1.3.0 の変更点リスト
タイプ 名前 説明
保存済み検索 Fortigate - Top Blocked Applications すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Antivirus Actions per Violation Type すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Memory Usage by Time Period すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Active Web Users すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Active Firewall Sessions by Time Period すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Applications by Type すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Destinations by Volume すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 FortiGate - Top Infected Files for Most Common Destinations すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Infected Files for Most Common Sources すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Requested Web Pages すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Services by Volume すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Services by Volume per Traffic Destination すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Sources by Volume すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Users by Application すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Viruses for Common Sources すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Viruses for Most Common Destinations すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Web Servers by Volume すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Traffic Volume by Destination Interface すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - CPU Usage by Time Period すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - Top Web Sites for Most Active Users すべての Fortigate デバイスが予期されるとおりの結果を返すように、保存済み検索の問題が解決され、検索パラメーターの LOGSOURCETYPENAME (logsourceid) が LOGSOURCETYPENAME (devicetype) に置き換えられました。
保存済み検索 Fortigate - All Blocked Web Sites by URL Rating 無効な AQL 構文のために検索が完了しない問題を解決します。
保存済み検索 FortiGate - FortiGate Allowed Web Sites By URL Rating 無効な AQL 構文のために検索が完了しない問題を解決します。
カスタム・プロパティー ホスト名 正規表現が以下のように更新されました。

hostname=["]{0,1}([A-Za-z0-9\-]*\.(.*?))["]{0,1}[\t ]{1}
カスタム・プロパティー アプリケーション制御アプリケーション 正規表現が以下のように更新されました。

app(\=["]{0,1}(.*?)["]{0,1}[ ,])
カスタム・プロパティー アクション 正規表現が以下のように更新されました。

((action=|status=)["]{0,1}(.*?))["]{0,1}[ \t,] /* [ \t,]

( 上に戻る )

IBM Security QRadar Fortinet FortiAnalyzer コンテンツ拡張 1.1.0

以下の保存済み検索が IBM Security QRadarに追加されました。

  • Fortigate - Active Firewall Sessions by Time Period
  • Fortigate - All Blocked Web Sites by URL Rating
  • Fortigate - Antivirus Actions per Violation Type
  • Fortigate - CPU Usage by Time Period
  • Fortigate - Memory Usage by Time Period
  • Fortigate - Top Active Web Users
  • Fortigate - Top Allowed Applications v4 User Agency
  • Fortigate - Top Allowed Categories v4
  • Fortigate - Top Allowed Web Sites By URL Rating
  • Fortigate - Top Allowed Web Sites v4 User Agency
  • Fortigate - Top Applications
  • Fortigate - Top Applications by Type
  • Fortigate - Top Applications by Type v4 User Agency
  • Fortigate - Top Blocked Applications
  • Fortigate - Top Blocked Categories v4
  • Fortigate - Top Blocked Web Sites
  • Fortigate - Top Destinations by Volume
  • Fortigate - Top Infected Files for Most Common Destinations
  • Fortigate - Top Infected Files for Most Common Sources
  • Fortigate - Top Requested Web Pages
  • Fortigate - Top Services by Volume
  • Fortigate - Top Services by Volume per Traffic Destination
  • Fortigate - Top Sources by Volume
  • Fortigate - Top Users by Application
  • Fortigate - Top Virus Sources
  • Fortigate - Top Virus Sources per Interface
  • Fortigate - Top Viruses for Common Sources
  • Fortigate - Top Viruses for Most Common Destinations
  • Fortigate - Top Web Destinations by Volume
  • Fortigate - Top Web Servers by Volume
  • Fortigate - Top Web Sites for Most Active Users
  • Fortigate - Traffic Volume by Destination Interface
  • Fortigate - Web Volume by Time

以下の表に、 IBM Security QRadarで追加されたカスタム・プロパティーを示します。

表 7.
カスタム・プロパティー 正規表現
アクティブ・セッション数 totalsession=([0-9]+)
アプリケーション制御アプリケーション app (¥ = (. *?) ¥)
CPU 使用率 cpu=([0-9]+)
期間 (秒) duration=(¥d+)
ファイル名 filename=([^¥s]+)
Fortinet アクション (action=| status=)(.*?)\
Fortinet アプリ制御 app=(\"(.*?)\")
Fortinet アプリケーション・カテゴリー (appcat="| app_cat=")(.*?)\"
Fortinet アプリケーション・タイプ (apptype="| app_type=")(.*?)\"
受信した Fortinet バイト ( rcvd=| rcvdbyte=)(.*?)\
Fortinet 送信バイト数 ( sent=| sentbyte=)(.*?)\
Fortinet カテゴリーの説明 (catdesc="|cat_desc=")(.*?)\"
Fortinet 宛先インターフェース ( dst_int="| dstintf=")(¥w*)¥"
Fortinet デバイス名 devname=((\w(\-)?)*)
Fortinet ホスト名 ホスト名=(\"(.*?)\")
Fortinet ポリシー ID policyid(\=(.*?)\ )
Fortinet サービス サービス(=(.*?))
Fortinet セッション番号 (SN=|sessionid=)(.*?)\
Fortinet サイト hostname=(\”[A-Za-z\-]*\.(.*?)\")
Fortinet ソース・インターフェース (src_int="|srcintf=")(¥w*)¥"
Fortinet 状況 status (¥ = (. *?) ¥)
Fortinet サブタイプ subtype(\=(.*?)\ )
Fortinet タイプ type (¥ = (. *?) ¥)
URL url=(\"(.*?)\")
「ホスト名」 FortiGate ホスト名=(\"(.*?)\")
メモリー使用率 mem=([0-9]+)
ポリシー policyid=(¥d+)

IBM Security QRadarに以下のレポートが追加されました。

  • Fortigate - Agency User Request - Allowed Web Sites
  • Fortigate - Agency User Request - Blocked Web Sites
  • Fortigate - Agency User Request - Category
  • Fortigate - Agency User Request - Top Allowed Applications
  • Fortigate - Agency User Request - Top Applications by Type
  • Fortigate - Agency User Request - Web Volume
  • Fortigate - Monthly - Personal Relationships
  • Fortigate - Monthly Status - Hardware Stats
  • Fortigate - Monthly Status - Traffic Volume
  • Fortigate - Monthly Status - Web Filter
  • Fortigate - Operational Report - Application Control
  • Fortigate - Operational Report - Initiated from Inside - Sites
  • Fortigate - Operational Report - Initiated from Inside - Sources and Dests
  • Fortigate - Operational Report - Initiated from Internet
  • Fortigate - Operational Report - Malicious Web Sites
  • Fortigate - Operational Report - Top Virus Destinations
  • Fortigate - Operational Report - Top Virus Sources

( 上に戻る )