SysFlow 샘플 이벤트 메시지
이 샘플 이벤트 메시지를 사용하여 IBM QRadar와의 성공적인 통합을 확인하십시오.
중요: 형식화 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 후 캐리지 리턴 또는 줄 바꾸기 문자를 제거하십시오.
Syslog 프로토콜을 사용할 때 SysFlow 샘플 메시지
다음 샘플 이벤트 메시지는 sip:sport 포트에서 dip:dport 포트로의 네트워크 연결이 설정되었음을 표시합니다.
{"version":"2","type":"NF","opflags":["CONNECT","CLOSE"],"ret":0,"ts":1606893550815035002,"endts":1606893550820977528,"schema":2,"proc":{"acmdline":["/bin/nc -N 10.11.9.73 8080","/home/test /events.sh ./events.sh","/bin/bash ","/usr/sbin/sshd ","/usr/sbin/sshd ","/usr/sbin/sshd -D"],"aexe":["/bin/nc","/home/test/events.sh","/bin/bash","/usr/sbin/sshd","/usr/sbin/sshd","/usr/sbin/sshd"],"aname":["nc","events.sh","bash","sshd","sshd","sshd"],"apid":["30994","30973","28002","28001","27997","945"],"args":"-N 10.11.9.73 8080","cmdline":"/bin/nc -N 10.11.9.73 8080","createts":1606893550811545514,"entry":false,"exe":"/bin/nc","gid":1001,"group":"","name":"nc","oid":"dbe8ba0d16effeb6","pid":30994,"tid":30994,"tty":1,"uid":1001,"user":""},"pproc":{"args":"./events.sh","cmdline":"/home/test/events.sh ./events.sh","createts":1606893550765789258,"entry":false,"exe":"/home/test/events.sh","gid":1001,"group":"","name":"events.sh","oid":"c208bed1b606ad31","pid":30973,"tty":true,"uid":1001,"user":""},"net":{"dip":"10.11.9.73","dport":8080,"ip":["10.11.22.176","10.11.9.73"],"port":["42944","8080"],"proto":6,"sip":"10.11.22.176","sport":42944},"flow":{"rbytes":0,"rops":0,"wbytes":0,"wops":0},"node":{"id":"local","ip":"127.0.0.1"},"policies":[{"id":"Process Created a Network Connection","desc":"Process Created a Network Connection","priority":0,"tags":[]}]}
| QRadar 필드 이름 | 강조표시된 필드 이름 |
|---|---|
| 이벤트 카테고리 | type |
| 명령 | CONNECT + 0 |
| 디바이스 시간 | ts |
| username | proc + user (비어 있지 않은 경우) |
| 소스 IP | net + sip |
| 소스 포트 | net + sport |
| 대상 IP | net + dip |
| 대상 포트 | net + dport |
| 프로토콜 | net + proto |