Cisco Ironport

IBM 보안 QRadar Cisco Ironport 콘텐츠 확장에는 Cisco Ironport에 대한 새로운 사용자 지정 속성이 추가됩니다.

중요: 이 컨텐츠 확장에서 컨텐츠 오류를 방지하려면 연관된 DSM을 최신 상태로 유지하십시오. DSM은 자동 업데이트의 일부로 업데이트됩니다. 자동 업데이트가 활성화되지 않은 경우 IBM® Fix Central에서 관련 DSM의 최신 버전을 다운로드하세요(https://www.ibm.com/support/fixcentral).

IBM Security QRadar Cisco Ironport 컨텐츠 확장

IBM 보안 QRadar 시스코 아이언포트 콘텐츠 확장 1.1.1
IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.1.0
IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.0.4
IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.0.3
IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.0.2
IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.0.1

IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.1.1

다음 표는 IBM 보안 QRadar 에서 이름이 변경된 사용자 정의 속성을 보여줍니다. Cisco Ironport Content Extension 1.1.1.

표 1. QRadar 에서 사용자 지정 속성 이름 변경 Cisco Ironport Content 1.1.1
이전 이름	업데이트된 이름
참조자 URL	URL 참조자
UrlHost	URL 호스트
BytesReceived	받은 바이트 수
Recipient_User	수신자
Originating_User	발신인
원래 호스트	발신인 호스트
MessageID	메시지 ID

IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.1.0

다음 표는 IBM Security QRadar Cisco Ironport Content Extension 1.1.0의 신규 및 업데이트된 사용자 정의 특성을 표시합니다.

표 2. IBM 보안 QRadar Cisco Ironport Content Extension 1.1.0 의 사용자 정의 특성
이름	최적화 여부	캡처 그룹	정규식
ACL 결정 태그	아니오	1	\d{10}.?\s.?\s.?\s.?/.?\s.?\s.?\s.?\s.?.\s.?\s.?\s(.?)\s
BytesReceived	예	1	(\d+)\sbytes\sfrom (\d+)\sbytes\sreceived (\d+)\s(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)
컨텐츠 유형	아니오	1	mimeType\s(.?)\s (?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s.?\s.?\s.?\s(.*?)\s
전달 연결 ID	아니오	1	DCID\s(\d+)
파일 확장자	예	2 1	첨부\s'(.?)\.([^\;\s\?]+)' (?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]?:\/\/)[^\;\s\?]+\/[^\;\s\?]+\.([^\;\s\?]+)
파일 이름	예	1	attachment\s'(.?)' (?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]?:\/\/)[^\;\s\?]+\/([^\;\s\?]+\.[^\;\s\?]+)
인젝션 연결 ID	아니오	1	ICID\s(\d+)
MessageID	예	1	MID\s(\d+)
메소드	아니오	1	(GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s
참조자 URL	아니오	1	참조자\s(.?)\s ref:\s(.?)\s
위협 이름	예	1	\s<.?,.?,.?,"(.?)",
URL	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s([^\;\s]+)
URL 경로	아니오	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\/]+\/([^\;\s\?]+)
URL 조회 문자열	아니오	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\?([^\;\s]+)
URL 스킴	아니오	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s([^\;\s\/]*?):\/\/
UrlHost	예	1	호스트\s\"(?:www\.)?([^\"]?)\" (?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:.?:\/\/)?(?:www\.)?([^\/:\,\"]+)
사용자 에이전트	아니오	1	userAgent\s\"(.?)\" ua:\s"(.?)"\s
웹 범주	예	1	\s\<([^\,]+), labels=([^\;]+)

_{(맨 위로 돌아가기)}

IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.0.4

다음 표는 IBM Security QRadar Cisco Ironport Content Extension 1.0.4의 신규 및 업데이트된 사용자 정의 특성을 표시합니다.

표 3. IBM 보안 QRadar Cisco Ironport Content Extension 1.0.4 의 사용자 정의 특성
이름	최적화 여부	캡처 그룹	정규식
BytesReceived	예	1	(\d+)\sbytes\sreceived (\d+)\s(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE) (\d+)\sbytes\sfrom
컨텐츠 유형	예	1	mimeType\s(.?)\s (?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s.?\s.?\s.?\s(.*?)\s
파일 확장자	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]?:\/\/)[^\;\s\?]+\/[^\;\s\?]+\.([^\;\s\?]+) 첨부\s'(.?)\.([^\;\s\?]+)'
파일 이름	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]?:\/\/)[^\;\s\?]+\/([^\;\s\?]+\.[^\;\s\?]+) attachment\s'(.?)'
인젝션 연결 ID	예	1	ICID\s(\d+)
메시지 크기	예	1	ready\s(\d+)
MessageID	예	1	MID\s(\d+)
메소드	예	1	(GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s
원래 호스트	예	1	(?:F\|f)rom[:\s]<[^>@]@([^>]*)>
Originating_User	예	1	(?:F\|f)rom[:\s]<([^>])>
수신자 호스트	예	1	(?:T\|t)o[:\s]<[^>@]@([^>]*)>
수신자 ID	예	1	RID\s(\d+)
Recipient_User	예	1	(?:T\|t)o[:\s]<([^>])>
참조자 URL	예	1	참조자\s(.*?)\s
URL	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s([^\;\s]+)
URL 경로	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\/]+\/([^\;\s\?]+)
URL 조회 문자열	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\?([^\;\s]+)
URL 스킴	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s([^\;\s\/]*?):\/\/
UrlHost	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:.?:\/\/)?(?:www\.)?([^\/:\,\"]+) 호스트\s\"(?:www\.)?([^\"]?)\"
사용자 에이전트	예	1	userAgent\s\"(.*?)\"
웹 범주	예	1	\s\<([^\,]+), labels=([^\;]+)

_{(맨 위로 돌아가기)}

IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.0.3

다음 표는 IBM Security QRadar Cisco Ironport Content Extension 1.0.3에서 새로 추가되거나 업데이트된 사용자 정의 특성을 표시합니다.

표 4. IBM 보안 QRadar Cisco Ironport Content Extension 1.0.3 의 사용자 정의 특성
이름	최적화 여부	캡처 그룹	정규식
BytesReceived	예	1	(\d+)\sbytes\sreceived (\d+)\sbytes\sfrom (\d+)\s(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)

IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.0.2

다음 표는 IBM Security QRadar Cisco Ironport Content Extension 1.0.2에서 새로 추가되거나 업데이트된 사용자 정의 특성을 표시합니다.

표 5. IBM 보안 QRadar Cisco Ironport Content Extension 1.0.2 의 사용자 정의 특성
이름	최적화 여부	캡처 그룹	정규식
메시지 크기	예	1	ready\s(\d+)
MessageID	예	1	MID\s(\d+)
원래 호스트	예	1	(?:F\|f)rom[:\s]<[^>@]@([^>]*)>
Originating_User	예	1	(?:F\|f)rom[:\s]<([^>])>
수신자 호스트	예	1	(?:T\|t)o[:\s]<[^>@]@([^>]*)>
Recipient_User	예	1	(?:T\|t)o[:\s]<([^>])>

_{(맨 위로 돌아가기)}

IBM 보안 QRadar Cisco Ironport 콘텐츠 확장 1.0.1

다음 표는 IBM Security QRadar Cisco Ironport Content Extension 1.0.1의 사용자 정의 특성을 표시합니다.

표 6. IBM 보안 QRadar Cisco Ironport Content Extension 1.0.1 의 사용자 정의 특성
이름	최적화 여부	캡처 그룹	정규식
BytesReceived	아니오 아니오 아니오	1 1 1	(\d+)\sbytes\sreceived (\d+)\sbytes\sfrom (\d+)\s(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)
컨텐츠 유형	아니오 아니오	1 1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s.?\s.?\s.?\s(.?)\s mimeType\s(.*?)\s
파일 확장자	예 예	1 2	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]?:\/\/)[^\;\s\?]+\/[^\;\s\?]+\.([^\;\s\?]+) 첨부\s'(.?)\.([^\;\s\?]+)'
파일 이름	예 예	1 1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]?:\/\/)[^\;\s\?]+\/([^\;\s\?]+\.[^\;\s\?]+) attachment\s'(.?)'
메소드	아니오	1	(GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s
Originating_User	아니오	1	보낸 사람:\s<(.*?)>
Recipient_User	예	1	받는 사람:\s<(.*?)>
제목	아니오	1	Subject\s'(.*?)'
참조자 URL	아니오	1	참조자\s(.*?)\s
URL	예	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s([^\;\s]+)
URL 경로	아니오	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\/]+\/([^\;\s\?]+)
URL 조회 문자열	아니오	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\?([^\;\s]+)
URL 스킴	아니오	1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s([^\;\s\/]*?):\/\/
UrlHost	예 예	1 1	(?:GET\|POST\|CONNECT\|TUNNEL\|HEAD\|PUT\|DELETE)\s(?:.?:\/\/)?(?:www\.)?([^\/:\,\"]+) 호스트\s\"(?:www\.)?([^\"]?)\"
사용자 에이전트	아니오	1	userAgent\s\"(.*?)\"
웹 범주	예 예	1 1	\s\<([^\,]+), labels=([^\;]+)

_{(맨 위로 돌아가기)}