定義済み LEEF イベント属性
ログ・イベント拡張フォーマット (LEEF) は、イベント・ペイロード用の多数の定義済みイベント属性をサポートします。
LEEF は、定義済み LEEF イベント属性である名前と値のペアの固有リストを使用します。 これらのキーは、 IBM® Security QRadar®に対して識別可能なフィールドの概要を示します。 可能な場合はアプライアンス上でこれらのキーを使用しますが、イベント・ペイロードはこのリストによって制限されません。 LEEF は拡張可能であり、アプライアンスまたはアプリケーションのイベント・ペイロードにはさらに多くのキーを追加することができます。
以下の表では、定義済みイベント属性を説明しています。
| キー | 値のタイプ | 正規化イベント・フィールド? 「はい」または「いいえ」 | 説明 |
|---|---|---|---|
| cat | ストリング | はい | イベント・カテゴリーの省略形は、 QRadarに転送される LEEF イベントに関するより具体的な情報で EventID フィールドを拡張するために使用されます。 LEEF ヘッダーの cat および EventID フィールドは、アプライアンス・イベントを QRadar Identifier (QID) マップ・エントリーにマップするのに役立ちます。 EventID は、QID マップの最初の列を表し、カテゴリーは 2 番目の列を表します。 制約事項: イベント・カテゴリーの値は、複数の言語をサポートする製品間で一貫性があり、静的でなければなりません。 製品が複数言語のイベントをサポートしている場合、cat フィールドには数値またはテキスト値を使用できます。 cat フィールドの値は、アプライアンスまたはアプリケーションの言語を変更した場合でも、翻訳してはなりません。
|
cat (続き) |
ストリング | はい | 例 1: cat キーを使用して EventID を拡張し、イベントを説明するための追加情報を含めます。 EventID がユーザー・ログイン・イベントとして定義されている場合は、カテゴリーを使用してイベントをさらに分類します (成功ログインまたは失敗ログインなど)。 cat キーを使用して、EventID をさらに定義することができます。イベントからの追加の詳細を使用すると、複数のイベントを区別することができます (類似するイベント・タイプで同じ EventID が使用されている場合など)。 LEEF:1.0|Microsoft|Exchange|2013|Login Event|cat=Failed LEEF:1.0|Microsoft|Exchange|2013|Login Event|cat=Success 例 2: cat キーを使用して上位のイベント・カテゴリーを定義し、EventID を使用して下位のイベント・カテゴリーを定義します。 この状況は、EventID が QID マップのどの値にも一致しない場合に重要になることがあります。 EventID が QID マップ内のどの値にも一致しない場合、 QRadar は、カテゴリーおよびその他のキーを使用して、イベントの一般的な性質をさらに判別することができます。 この「フォールバック」により、イベントが不明として識別されなくなり、 QRadar は、イベント・ペイロードのキー属性フィールドからの既知の情報に基づいてイベントを分類できます。以下に例を示します。 LEEF:1.0|Microsoft|Endpoint|2015| Conficker_worm|cat=Detected |
| devTime | 日付 | はい | LEEF イベントを送信するアプライアンスまたはアプリケーションで生成される未加工のイベント日時。 QRadar は、 devTime キーを devTimeFormat とともに使用して、アプライアンスまたはアプリケーションからのイベント時刻を識別し、適切にフォーマット設定します。 devTime 値が 10 桁または 13 桁のエポック値である場合、devTimeFormat ストリングは不要です。 そうでない場合は、 devTime キーと devTimeFormat キーを一緒に使用して、イベントの時刻が QRadarによって正確に解析されるようにする必要があります。 Syslog ヘッダー内に日時スタンプが含まれていても、イベント・ペイロード内に devTime があれば、これを使用してイベント時刻が識別されます。 Syslog ヘッダーの日時スタンプはフォールバック ID ですが、devTime がイベント時刻を識別する際の優先方式です。 |
| devTimeFormat | ストリング | いいえ | devTime keyの未加工の日時にフォーマットを適用します。 イベント・ログに devTime が含まれている場合は、devTimeFormat キーは必須です。 詳しくは、 カスタム・イベント日付形式を参照してください。 |
| proto | 整数またはキーワード | はい | イベントのトランスポート・プロトコルを識別します。 キーワードまたは整数値のリストについては、Internet Assigned Numbers Authority の Web サイトを参照してください。 http://www.iana.org/assignments/protocol-numbers/protocol-numbers.xml |
| sev | 整数 | はい | イベントの重大度を示します。 1 は、イベントの重大度が最も低いことを示します。 10 は、イベントの重大度が最も高いことを示します。 属性の制限: 1 から 10 まで |
| src | IPv4 または IPv6 アドレス | はい | イベント・ソースの IP アドレス。 |
| dst | IPv4 または IPv6 アドレス | はい | イベント宛先の IP アドレス。 |
| srcPort | 整数 | はい | イベントの送信元ポート。 属性の制限: 0 から 65535 まで |
| dstPort | 整数 | はい | イベントの宛先ポート。 属性の制限: 0 から 65535 まで |
| srcPreNAT | IPv4 または IPv6 アドレス | はい | ネットワーク・アドレス変換 (NAT) 前のイベント・メッセージの送信元 IP アドレス。 |
| dstPreNAT | IPv4 または IPv6 アドレス | はい | ネットワーク・アドレス変換 (NAT) 前のイベント・メッセージの宛先アドレス。 |
srcPostNAT |
IPv4 または IPv6 アドレス | はい | ネットワーク・アドレス変換 (NAT) 実行後のメッセージの送信元 IP アドレス。 |
| dstPostNAT | IPv4 または IPv6 アドレス | はい | ネットワーク・アドレス変換 (NAT) 実行後のメッセージの宛先 IP アドレス。 |
| usrName | ストリング | はい | イベントに関連したユーザー名。 属性の制限: 255 |
| srcMAC | MAC アドレス | はい | イベント・ソースの MAC アドレス (16 進数)。 MAC アドレスは、コロンで区切られた、2 桁の 16 進数字の 6 つのグループで構成されます。以下に例を示します。
|
| dstMAC | MAC アドレス | はい | イベント宛先の MAC アドレス (16 進数)。 MAC アドレスは、コロンで区切られた、2 桁の 16 進数字の 6 つのグループで構成されます。以下に例を示します。
|
| srcPreNATPort | 整数 | はい | ネットワーク・アドレス変換 (NAT) 前のイベント・ソースのポート番号。 属性の制限: 0 から 65535 まで |
| dstPreNATPort | 整数 | はい | ネットワーク・アドレス変換 (NAT) 前のイベント宛先のポート番号。 属性の制限: 0 から 65535 まで |
| srcPostNATPort | 整数 | はい | ネットワーク・アドレス変換 (NAT) 後のイベント・ソースのポート番号。 属性の制限: 0 から 65535 まで |
| dstPostNATPort | 整数 | はい | ネットワーク・アドレス変換 (NAT) 後のイベント宛先のポート番号。 属性の制限: 0 から 65535 まで |
| identSrc | IPv4 または IPv6 アドレス | はい | ID ソースは、イベントを真のユーザー ID または真のコンピューター ID で接続できる、追加の IPv4 アドレスまたは IPv6 アドレスを表します。 例 1: ユーザーをネットワーク ID に接続します。 ユーザー X は、ノートブックからログインし、ネットワーク上の共有システムに接続します。 このユーザーのアクティビティーによるイベントの生成時に、ペイロード内の identSrc を使用して、詳細な IP アドレス情報を含めることができます。 QRadar は、 usernameなどのペイロード情報とともにイベント内の identSrc 情報を使用して、ユーザー X が bob.smithであることを識別します。 以下の ID キーは、イベント・ペイロード内に identSrcs があることに依存します。 identHostName identNetBios identGrpName identMAC |
| identHostName | ストリング | キー | イベントに結合されている真のホスト名をさらに識別するための、identSrc に関連付けられているホスト名情報。 identHostName パラメーターが QRadar で使用できるのは、デバイスが identSrc キーと identHostName の両方をイベント・ペイロードで一緒に提供する場合のみです。 属性の制限: 255 |
| identNetBios | ストリング | はい | NetBIOS の名前解決により ID イベントをさらに識別するための、identSrc に関連付けられている NetBIOS 名。 identNetBios パラメーターが QRadar で使用できるのは、デバイスが identSrc キーと identNetBios の両方をイベント・ペイロードで一緒に提供する場合のみです。 属性の制限: 255 |
| identGrpName | ストリング | はい | グループの名前解決により ID イベントをさらに識別するための、identSrc に関連付けられているグループ名。 identGrpName パラメーターが QRadar で使用できるのは、デバイスが identSrc キーと identGrpName の両方をイベント・ペイロードで一緒に提供する場合のみです。 属性の制限: 255 |
| identMAC | MAC アドレス | はい | LEEF フォーマットでの将来の使用のために予約済みです。 |
| vSrc | IPv4 または IPv6 アドレス | いいえ | 仮想イベント・ソースの IP アドレス。 |
| vSrcName | ストリング | いいえ | 仮想イベント・ソースの名前。 属性の制限: 255 |
| accountName | ストリング | いいえ | イベントに関連付けられているアカウント名。 属性の制限: 255 |
| srcBytes | 整数 | いいえ | イベント・ソースからのバイト数を示します。 |
| dstBytes | 整数 | いいえ | イベント宛先へのバイト数を示します。 |
| srcPackets | 整数 | いいえ | イベント・ソースからのパケット数を示します。 |
| dstPackets | 整数 | いいえ | イベント宛先へのパケット数を示します。 |
totalPackets |
整数 | いいえ | 送信元と宛先との間で送信されるパケットの総数を示します。 |
| role | ストリング | いいえ | イベントを作成したユーザー・アカウントに関連付けられている role のタイプ。管理者、ユーザー、ドメイン管理者など。 |
| realm | ストリング | いいえ | ユーザー・アカウントに関連付けられている realm。 デバイスに応じて、例えば会計やリモート・オフィスなど、一般的なグループや、地域に基づいたものにできます。 |
| policy | ストリング | いいえ | ユーザー・アカウントに関連付けられている policy。 この policy は通常は、ユーザー・アカウントに結合されているセキュリティー・ポリシーまたはグループ・ポリシーです。 |
| resource | ストリング | いいえ | ユーザー・アカウントに関連付けられている resource。 この resource は通常、コンピューター名です。 |
| url | ストリング | いいえ | イベントに含まれる URL 情報。 |
| groupID | ストリング | いいえ | ユーザー・アカウントに関連付けられている groupID 。 |
| domain | ストリング | いいえ | ユーザー・アカウントに関連付けられている domain 。 |
| isLoginEvent | ブール・ストリング | いいえ | イベントがユーザー・ログインに関連付けられているかどうかを識別します。以下に例を示します。 isLoginEvent=true isLoginEvent=false このキーは LEEF 仕様では予約されていますが、 QRadarでは実装されていません。 属性の制限: true または false |
| isLogoutEvent | ブール・ストリング | いいえ | イベントがユーザー・ログアウトに関連付けられているかどうかを識別します。以下に例を示します。 isLogoutEvent=true isLogoutEvent=false このキーは LEEF 仕様では予約されていますが、 QRadarでは実装されていません。 属性の制限: true または false |
| identSecondlp | IPv4 または IPv6 アドレス | いいえ | ID セカンド IP アドレスは、セカンダリー IP アドレスが含まれているデバイス・イベントを関連付けるために使用される、IPv4 アドレスまたは IPv6 アドレスを表します。 セカンダリー IP アドレスは、ルーター、スイッチ、または仮想 LAN (VLAN) デバイス・イベントによりイベントに含めることができます。 このキーは LEEF 仕様では予約されていますが、 QRadarでは実装されていません。 |
| calLanguage 属性の制限: 2 |
ストリング | いいえ | 翻訳を許可し、 QRadar が翻訳言語で生成されたイベントの日時を正しく解析するようにするための、デバイス時刻 (devTime) キーの言語を識別します。 calLanaguage フィールドには、イベントのデバイス時刻のイベント言語を表す、2 つの英数字を含めることができます。 すべての calLanguage 英数字は、ISO 639-1 フォーマットに準拠します。以下に例を示します。 calLanguage=fr devTime=avril 09 2014 12:30:55 calLanguage=de devTime=Di 30 Jun 09 14:56:11 このキーは LEEF 仕様で予約されていますが、現在 QRadarには実装されていません。 属性の制限: 2 |
| calCountryOrRegion | ストリング | いいえ | calLanguage キーを拡張して、イベント・デバイス時刻の国または地域を含むことができる追加の翻訳情報を提供します (devTime)。 鍵 calCountryOrRegion は、 calLanguage 鍵と一緒に使用する必要があります。 calCountryOrRegion フィールドには、イベントのデバイス時刻にイベントの国または地域を表す、2 つの英数字を含めることができます。 すべての calCountryOrRegion 英数字は、ISO 3166 フォーマットに準拠します。以下に例を示します。 calLanguage=de calCountryOrRegion=DE devTime=Di 09 Jun 2014 12:30:55 calLanguage=en calCountryOrRegion=US devTime=Tue 30 Jun 09 このキーは LEEF 仕様では予約されていますが、 QRadarでは実装されていません。 属性の制限: 2 |
key=([^\t]+)です。- vSrc の入力は
vSrc=([^\t]+)です。 - vSrcName の入力は
vSrcName=([^\t]+)です。 - accountName の入力は
accountName=([^\t]+)です。
- 区切り文字として # を使用する場合、vSrc の入力は
vSrc=([^#]+)です。 - 区切り文字として | を使用する場合、vSrc の入力は
vSrc=([^|]+)です。
QRadar V7.3.2 以降には、事前定義 LEEF イベント属性とカスタム LEEF イベント属性の両方のカスタム・プロパティーのプロパティー自動検出が組み込まれています。 プロパティーの自動検出により、正規表現を使用することなく、カスタム・プロパティーの構成が容易になります。