IBM Defender Data Protect 샘플 이벤트 메시지
다음 샘플 이벤트 메시지를 사용하여 IBM QRadar 와의 성공적인 통합을 확인합니다.
중요: 서식 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 다음 캐리지 리턴이나 줄 바꿈 문자를 모두 제거하세요.
샘플 1: 다음 샘플 이벤트 메시지는 IBM® Defender Data Protect에서 수집된 API 감사 이벤트를 보여줍니다
<14>2024-11-18T00:35:53.543843+00:00 ibm.defenderdataprotect.test api_audit[32031]: {"username":"test@example.com","domain":"Example","method":"PUT","urlPath":"/v2/data-protect/protection-groups/3802051382822844:11111:111/runs","requestTimestamp":1731890153542,"requestHeader":{"Accept":["application/json, text/plain, */*"],"Accept-Encoding":["gzip, deflate, br, zstd"],"Accept-Language":["en-US,en;q=0.5"],"Connection":["close"],"Content-Type":["application/json"],"Dnt":["1"],"Exampletoken":["xxxxx/xxxx="],"Origin":["https://usea-prod.storage-defender.example.com"],"Requestinitiatortype":["UIUser"],"Sec-Fetch-Dest":["empty"],"Sec-Fetch-Mode":["cors"],"Sec-Fetch-Site":["same-origin"],"Sfdctoken":["xxxxx/xxxxxxx="],"User-Agent":["Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:132.0) Gecko/20100101 Firefox/132.0"],"X-Amzn-Trace-Id":["Root=1-673a8be9-xxxxxxxxx"],"X-Cohesity-Service-Context":["Mcm"],"X-Envoy-Attempt-Count":["1"],"X-Envoy-Decorator-Operation":["iris.ibm-defender-prod.svc.cluster.local:80/*"],"X-Envoy-Expected-Rq-Timeout-Ms":["3600000"],"X-Envoy-External-Address":["10.0.0.0"],"X-Envoy-Peer-Metadata":["xxxxx="],"X-Envoy-Peer-Metadata-Id":["router~x.0.x.195~istio-ingressgateway-xx-tq7rt.istio-system~istio-system.svc.cluster.local"],"X-Forwarded-For":["","x.x.x.x,1.1.11.111, ::1"],"X-Forwarded-Port":["443"],"X-Forwarded-Proto":["https"],"X-Impersonate-Tenant-Id":[""],"X-Request-Id":["xxxx-15fa-xxxx-xx-11111"],"X-Session-Locale":["en-us"]},"clientAddress":"127.0.0.1:80","sessionId":"xxxxxx="}
<14>2024-11-18T00:35:53.849714+00:00 ibm.defenderdataprotect.test api_audit[32031]: {"username":"test@example.com","domain":"Example","method":"PUT","urlPath":"/v2/data-protect/protection-groups/11111:2222:1111/runs","requestTimestamp":1731890153542,"statusCode":207,"responseHeader":{"Content-Encoding":["gzip"],"Content-Security-Policy":["default-src 'self' 'unsafe-inline' 'unsafe-eval'; img-src https: data:; font-src data: https:; worker-src blob:"],"Content-Type":["application/json"],"Permissions-Policy":["geolocation=(), midi=(), sync-xhr=(), microphone=(), camera=(), magnetometer=(), gyroscope=(), fullscreen=(), payment=()"],"Referrer-Policy":["strict-origin-when-cross-origin"],"Strict-Transport-Security":["max-age=31536000; includeSubDomains"],"Vary":["Accept-Encoding"],"X-Content-Type-Options":["nosniff"],"X-Frame-Options":["SAMEORIGIN"],"X-Ratelimit-Limit":["600"],"X-Ratelimit-Remaining":["586"],"X-Ratelimit-Reset":["1731890162"],"X-Xss-Protection":["1; mode=block"]},"responseTime":305827792} | QRadar 필드 이름 | 강조 표시된 페이로드 필드 이름 |
|---|---|
| 이벤트 ID | 페이로드에 statusCode 필드가 있는 경우, 메서드 + statusCode 필드 값이 이벤트 ID입니다. 그렇지 않으면 메서드 필드 값은 이벤트 ID입니다. |
| 이벤트 카테고리 | 페이로드 헤더의 api_감사 |
| 소스 IP | clientAddress |
| 소스 포트 | 소스 포트에 사용되는 값은 콜론 뒤에 표시되는 clientAddress 값 뒤에 표시됩니다. 예를 들어, 80 |
| 사용자 이름 | 사용자 이름 |
| 디바이스 시간 | 페이로드에 responseTime 필드가 있는 경우 responseTime + requestTimestamp 는 디바이스 시간입니다. 그렇지 않으면 requestTimestamp 는 디바이스 시간입니다. |
샘플 2: 다음 샘플 이벤트 메시지는 IBM Defender Data Protect에서 수집한 데이터 보호 이벤트를 보여줍니다.
<14>2024-11-25T11:25:41+00:00 ibm.defenderdataprotect.test dataprotection_events: {"EventMessage" : "Finishing restore task", "Timestamp" : "2024-11-25T11:25:41.321Z", "ClusterInfo" : {"ClusterId" : "3802051382822844", "ClusterName" : "test-pok-dp-3"}, "EventType" : "kRestore", "EnvironmentType" : "kPhysicalFiles", "RegisteredSource" : {"EntityType" : "kPhysical", "EntityId" : "23247", "EntityName" : "Physical Servers"}, "RestoreTarget" : {"EntityType" : "kPhysical", "EntityId" : "23279", "EntityName" : "10.11.0.1"}, "BackupJobName" : "AD-File-Cloud", "BackupJobId" : "11622", "Entities" : [{"EntityType" : "kPhysical", "EntityId" : "23248", "EntityName" : "10.10.1.1"}], "Error" : {"ErrorCode" : "kYodaError", "ErrorMessage" : "Error while calling FileStat for /B/: [kNotFound]: Bridge error: Directory not present: /DefaultStorageDomain/magneto_1259898576551640_1728507997137_11622_12308/fs//B/"}, "TaskId" : "547103", "AttributeMap" : {"RestoreType" : "kRestoreFiles"}}| QRadar 필드 이름 | 강조 표시된 페이로드 필드 이름 |
|---|---|
| 이벤트 ID | 페이로드에 오류 필드가 있는 경우, 오류 필드의 EventMessage 필드 값 + _error가 이벤트 ID입니다. 그렇지 않으면 EventMessage 필드 값은 이벤트 ID입니다. |
| 이벤트 카테고리 | 페이로드 헤더의 데이터보호_이벤트 |
| 소스 IP | EntityName |
| Event Time | 시간소인 |
샘플 3: 다음 샘플 이벤트 메시지는 IBM Defender Data Protect에서 수집한 클러스터 감사 이벤트를 보여줍니다.
<14>2024-12-03T00:00:28-05:00 ibm.defenderdataprotect.test cluster_audit: {"Timestamp" : "2024-12-02T19:00:00.862-05:00", "AttributeMap" : {}, "EntityType" : "Access Token", "EntityId" : "user1", "EntityName" : "user1", "User" : "user1", "Domain" : "local", "Action" : "Create", "Description" : "user1@local has generated new access token for user user1 on domain LOCAL from 10.0.0.1.", "IP" : "10.0.0.1", "ClusterInfo" : "ClusterName: test-aaa-dp-3, ClusterId: xxxxxx", "ServiceContext" : 4} | QRadar 필드 이름 | 강조 표시된 페이로드 필드 이름 |
|---|---|
| 이벤트 ID | 액션 + EntityType |
| 이벤트 카테고리 | 클러스터_감사 페이로드 헤더에서 |
| 소스 IP | IP |
| Username | 사용자 |
| Device Name | 시간소인 |