IBM Security QRadar osquery Custom Properties Content Extension を使用して、osquery を使用して Linux® デバイスを詳細に監視します。
注: 「親ファイル名」 カスタム・プロパティーが
Cisco AMP 1.0.0から提供されている場合、このコンテンツ拡張はインストールされません。 このコンテンツ拡張をインストールする前に、
「Parent Filename」を削除してください。
重要: このコンテンツ拡張でコンテンツ・エラーが発生しないようにするために、関連付けられた DSM を最新の状態に維持してください。 DSMは自動更新の一部として更新される。 自動アップデートが有効になっていない場合は、関連する DSM の最新バージョンを
IBM® Fix Central (https://www.ibm.com/support/fixcentral) からダウンロードしてください。
IBM Security QRadar osquery カスタム・プロパティー・コンテンツ拡張
IBM Security QRadar osquery カスタム・プロパティー・コンテンツ拡張 1.0.2
次の表では、 IBM Security QRadar osquery カスタム・プロパティー・コンテンツ拡張 1.0.2の新規および更新されたカスタム・プロパティーを示しています。
表 1. IBM セキュリティー QRadar osquery Custom Properties コンテンツ拡張 1.0.2 の新規および更新されたカスタム・プロパティー
| 名前 |
最適化済み |
正規表現キャプチャー・グループ |
正規表現 |
| プロセス ID |
はい |
1 |
x_forwarded_for_header_value="([^"]*)" |
IBM Security QRadar osquery カスタム・プロパティー・コンテンツ拡張 1.0.1
次の表では、 IBM Security QRadar osquery カスタム・プロパティー・コンテンツ拡張 1.0.1の新規および更新されたカスタム・プロパティーを示しています。
表 2. IBM セキュリティー QRadar osquery Custom Properties コンテンツ拡張 1.0.1 の新規および更新されたカスタム・プロパティー
| 名前 |
最適化済み |
正規表現キャプチャー・グループ |
式 |
| コンテナー・イメージ |
はい |
1 |
- 正規表現
- ¥bimage":"([^¥s"]+)".*action":"added"
- JSON
- /"columns"/"image"
|
| コンテナー・イメージ ID |
はい |
1 |
- 正規表現
- ¥bimage_id":"([^¥s"]+)".*action":"added"
- JSON
- /"columns"/"image_id"
|
IBM Security QRadar osquery カスタム・プロパティー・コンテンツ拡張 1.0.0
次の表では、 IBM Security QRadar osquery カスタム・プロパティー・コンテンツ拡張 1.0.0のカスタム・プロパティーを示しています。
表 3. IBM セキュリティー QRadar osquery カスタム・プロパティー・コンテンツ拡張 1.0.0 のカスタム・プロパティー
| 名前 |
最適化済み |
正規表現キャプチャー・グループ |
式 |
| コンテナー ID |
はい |
1 |
- 正規表現
- ¥bid":"([^¥s"]+)"
- ¥bcontainer_id":"([^¥s"]+)"
- JSON
- /"columns"/"id"
- /"columns"/"container_id"
|
| コンテナー・イメージ |
いいえ |
1 |
- 正規表現
- ¥bimage":"([^¥s"]+)".*action":"added"
- JSON
- /"columns"/"image"
|
| コンテナー・イメージ ID |
いいえ |
1 |
- 正規表現
- ¥bimage_id":"([^¥s"]+)".*action":"added"
- JSON
- /"columns"/"image_id"
|
| コンテナー名 |
いいえ |
1 |
- 正規表現
- ¥bcontainer_name":"¥/{0,1}([^¥"]+)
|
| 宛先マウント・ポイント |
いいえ |
|
- JSON
- /"columns"/"destination"
|
| ファイル・ディレクトリー |
はい |
1 |
- 正規表現
- ¥btarget_path[¥":¥s]+([^¥"]+)¥/[^¥"]+
|
| ファイル拡張子 |
はい |
1 |
- 正規表現
- \btarget_path":".*?\/[^\/]+\.([^\/\.]*?)"
|
| ファイルの許可 |
はい |
|
- JSON
- /"columns"/"mode"
|
| ファイル名 |
はい |
1 |
- 正規表現
- ¥btarget_path[¥":¥s]+[^¥"]+¥/([^¥"¥/]+)"
|
| GroupID |
はい |
|
- JSON
- /"columns"/"gid"
|
| イメージ・タグ |
いいえ |
1 |
- 正規表現
- ¥btags":"([^¥"]+)"
- JSON
- /"columns"/"tags"
|
| 親プロセスの名前 |
はい |
1 |
- 正規表現
- ¥bparent_process_name":"([^¥"]+)".*"action":"added"
- JSON
- /"columns"/"parent_process_name"
|
| 親プロセス・パス |
はい |
1 |
- 正規表現
- parent_process_path":"([^¥"]+)".*?"action":"added"
- JSON
- /"columns"/"parent_process_path"
|
| 特権コンテナー |
はい |
1 |
- 正規表現
- ¥bprivileged":"(¥d)".*"action":"added"
- JSON
- /"columns"/"privileged"
|
| プロセス・コマンド行 |
はい |
1 |
- 正規表現
- cmdline":"(.*?)".*"action":"added"
- JSON
- /"columns"/"cmdline"
|
| プロセス ID |
いいえ |
1 |
- 正規表現
- ¥bpid":"(¥d+)"
- JSON
- /"columns"/"pid"
|
| プロセス名 |
はい |
1 |
- 正規表現
- ¥bprocess_name":"([^¥"]+)".*action":"added
- JSON
- /"columns"/"process_name"
|
| ルールの詳細 |
はい |
|
- JSON
- /"columns"/"rule_details"
|
| SHA256 ハッシュ |
はい |
1 |
- 正規表現
- ¥bsha256":¥s*"([^¥"]+)".*action":"added
- JSON
- /"columns"/"sha256"
|
| ソース・マウント・ポイント |
はい |
|
- JSON
- /"columns"/"source"
|
| ターゲット・ユーザー名 |
はい |
|
- JSON
- /"columns"/"header"
- /"columns"/"username"
|
| ユーザー ID |
はい |
|
- JSON
- /"columns"/"uid"
|