아루바 인트로스피트

IBM QRadar DSM for Aruba Introspect는 Aruba Introspect 디바이스에서 이벤트를 수집합니다.

다음 표에서는 Aruba Introspect DSM에 대한 스펙을 설명합니다.
표 1. Aruba Introspect DSM 스펙
스펙 값
제조업체 아루바
DSM 이름 아루바 인트로스피트
RPM 파일 이름 DSM-ArubaIntrospect-QRadar_version-build_number.noarch.rpm
지원되는 버전 1.6
프로토콜 Syslog
이벤트 형식 이름-값 쌍 (NVP)
기록되는 이벤트 유형

보안

시스템

내부 활동

반출

감염

명령 제어 (& C)
자동 감지 여부 예
ID 포함 여부 아니오
사용자 정의 특성 포함 여부 아니오
자세한 정보 Aruba웹 사이트 (https://www.arubanetworks.com)
Aruba Introspect를 QRadar와 통합하려면 다음 단계를 완료하십시오.
  1. 자동 업데이트가 활성화되어 있지 않은 경우 IBM® 지원 웹사이트(http://www.ibm.com/support)에서 최신 버전의 RPM을 다운로드하세요.
    • DSMCommon RPM
    • ArubaIntrospect DSM RPM
  2. syslog 이벤트를 QRadar에 전송하도록 Aruba Introspect 디바이스를 구성하십시오.
  3. QRadar 가 자동으로 로그 소스를 발견하지 못하는 경우 QRadar Console에 Aruba Introspect 로그 소스를 추가하십시오. 다음 표에서는 Aruba Introspect 이벤트 콜렉션에 대한 특정 값이 필요한 매개변수를 설명합니다.
    표 2. Aruba Introspect 로그 소스 매개변수
    매개변수 값
    로그 소스 유형 아루바 인트로스피트
    프로토콜 구성 Syslog
    로그 소스 ID

    로그 소스의 고유 ID입니다.
  4. QRadar 가 올바르게 구성되었는지 확인하려면 다음 표를 검토하여 구문 분석된 이벤트 메시지의 예제를 확인하십시오.
    다음 표는 Aruba Introspect에 대한 샘플 이벤트 메시지를 표시합니다.
    표 3. Aruba Introspect 샘플 이벤트 메시지
    이벤트 이름 하위 레벨 카테고리 샘플 로그 메시지
    클라우드 유출 Suspicious Activity 
    May  6 20:04:38 <Server>May  7 03:04:38 lab-an-node msg_type=alert detection_time="2016-05-06 20:04:23 -07:00" alert_name="Large DropBox Upload" alert_type="Cloud Exfiltration" alert_category="Network Access" alert_severity=60 alert_confidence=20 attack_stage=Exfiltration user_name=<Username> src_host_name=example.com src_ip=<Source_IP_address> dest_ip=Destination_IP_address1>,<Destination_IP_address2>,... description="User <Username> on host example.com uploaded 324.678654 MB to Dropbox on May 05, 2016; compared with users in the whole Enterprise who uploaded an average of 22.851 KB  during the same day" alert_id=xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx_xxxxxxxxxxxxxxxx_Large_DropBox_Upload