NCC 그룹 DDoS 보안

IBM QRadar DSM for NCC Group DDoS Secure는 NCC Group DDoS Secure 디바이스에서 이벤트를 수집합니다.

다음 표에서는 NCC 그룹 DDoS 보안 DSM에 대한 스펙을 설명합니다.
표 1. NCC 그룹 DDoS 보안 DSM 스펙
스펙 값
제조업체 NCC 그룹
DSM 이름 NCC 그룹 DDoS 보안
RPM 파일 이름 DSM-NCCGroupDDoSSecure-QRadar_version-build_number.noarch.rpm
지원되는 버전 5.13.1-2s - 5.16.1-0
프로토콜 Syslog
이벤트 형식 LEEF
기록되는 이벤트 유형 모든 이벤트
자동 감지 여부 예
ID 포함 여부 아니오
사용자 정의 특성 포함 여부 아니오
자세한 정보 NCC Group웹 사이트 (https://www.nccgroup.trust/uk/)
NCC Group DDoS Secure를 QRadar와 통합하려면 다음 단계를 완료하십시오.
  1. 자동 업데이트가 활성화되어 있지 않은 경우 IBM® 지원 웹사이트에서 다음 RPM의 최신 버전을 다운로드하여 QRadar Console에 설치합니다:
    • DSMCommon RPM
    • NCC 그룹 DDoS 보안 DSM RPM
  2. QRadar에 syslog 이벤트를 전송하도록 NCC 그룹 DDoS 보안 디바이스를 구성하십시오.
  3. QRadar 가 자동으로 로그 소스를 발견하지 않으면 QRadar Console에서 NCC 그룹 DDoS 보안 로그 소스를 추가하십시오. 다음 표에서는 NCC 그룹 DDoS Secure에서 이벤트를 수집하기 위해 특정 값이 필요한 매개변수를 설명합니다.
    표 2. NCC 그룹 DDoS 보안 로그 소스 매개변수
    매개변수 값
    로그 소스 유형 NCC 그룹 DDoS 보안
    프로토콜 구성 Syslog
  4. QRadar 가 올바르게 구성되었는지 확인하려면 다음 표를 검토하여 정규화된 이벤트 메시지의 예제를 확인하십시오.
    다음 표는 NCC 그룹 DDoS Secure의 샘플 이벤트 메시지를 표시합니다.
    중요: 형식화 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 후 캐리지 리턴 또는 줄 바꾸기 문자를 제거하십시오.
    표 3. NCC 그룹 DDoS 보안 샘플 메시지
    이벤트 이름 하위 레벨 카테고리 샘플 로그 메시지
    TCP 공격-포트 스캔-END 호스트 포트 스캔 
    <134>LEEF:1.0|NCCGroup|DDoS Secure|5.16.2-1|4078|desc=TCP Attack - Port Scan    sev=4    myip=<IP_address    proto=TCP    scrPort=0    dstPort=0    src=<Source_IP_address>    dst=<Destination_IP_address>    cat=END    devTime=2017-06-05 11:26:00    devTimeFormat=yyyy-MM-dd HH:mm:ss    end=2017-06-05 11:34:33    CurrentPps=0    PeakPps=14    totalPackets=243    realm=<Domain>    action=DROP