IBM QRadar Packet Capture
IBM® QRadar® 패킷 캡처용 IBM QRadar DSM은 IBM 보안 패킷 캡처 장치에서 이벤트를 수집합니다.
다음 표에서는 IBM QRadar Packet Capture DSM의 스펙을 설명합니다.
| 스펙 | 값 |
|---|---|
| 제조업체 | IBM |
| DSM 이름 | IBM QRadar Packet Capture |
| RPM 파일 이름 | DSM-IBMQRadarPacketCapture-QRadar_version-build_number.noarch.rpm |
| 지원되는 버전 | IBM QRadar Packet Capture V7.2.3 - V7.2.7 IBM QRadar Network Packet Capture V7.3.0 |
| 프로토콜 | Syslog |
| 이벤트 형식 | LEEF |
| 기록되는 이벤트 유형 | 모든 이벤트 |
| 자동 감지 여부 | 예 |
| ID 포함 여부 | 아니오 |
| 사용자 정의 특성 포함 여부 | 아니오 |
| 자세한 정보 | IBM Docs (https://www.ibm.com/support/knowledgecenter/SS42VS_latest/com.ibm.qradar.doc/c_pcap_introduction.html) |
IBM QRadar Packet Capture를 QRadar와 통합하려면 다음 단계를 완료하십시오.
- 자동 업데이트가 사용으로 설정되지 않은 경우 IBM Support웹 사이트 에서 다음 RPM의 최신 버전을 다운로드하여 QRadar
Console에 설치하십시오.
- DSMCommon RPM
- IBM QRadar 패킷 캡처 DSM RPM
- QRadar에 syslog 이벤트를 전송하도록 IBM QRadar Packet Capture 디바이스를 구성하십시오.
- QRadar 가 자동으로 로그 소스를 발견하지 못하는 경우 QRadar 콘솔에서 IBM QRadar Packet Capture 로그 소스를 추가하십시오. 다음 표에서는 IBM QRadar Packet Capture에서 이벤트를 수집하기 위해 특정 값이 필요한 매개변수를 설명합니다.
표 2. IBM QRadar Packet Capture 로그 소스 매개변수 매개변수 값 로그 소스 유형 IBM QRadar Packet Capture 프로토콜 구성 Syslog - QRadar 가 올바르게 구성되었는지 확인하려면 다음 표를 검토하여 구문 분석된 이벤트 메시지의 예제를 확인하십시오.중요: 형식화 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 후 캐리지 리턴 또는 줄 바꾸기 문자를 제거하십시오.다음 표는 IBM QRadar Packet Capture의 샘플 이벤트 메시지를 표시합니다.
표 3. IBM QRadar Packet Capture 샘플 메시지 이벤트 이름 하위 레벨 카테고리 샘플 로그 메시지 사용자가 추가됨 사용자 계정이 추가됨 May 10 00:01:04 <Server>LEEF: 2.0|IBM|QRadar PacketCapture|7.2.7.255-1G|UserAdded|cat=Admin msg=User<Username> has been added다음 표는 IBM QRadar Network Packet Capture의 샘플 이벤트 메시지를 표시합니다.표 4. IBM QRadar Network Packet Capture 샘플 메시지 이벤트 이름 하위 레벨 카테고리 샘플 로그 메시지 패킷 캡처 통계 정보 <14>Mar 1 20:39:41 <Server> LEEF:2.0|IBM|Packet Capture|7.3.0|1|^|captured_packets=8844869^captured_packets_udp=4077106^captured_bytes_udp=379169082^total_packets=9090561^captured_bytes=2793801918^captured_bytes_tcp=2379568101^compression_ratio=27.4^captured_packets_tcp=4356387^oldest_packet=2017-03-01T20:39:41.915555490Z^total_bytes=2853950159