Cisco AMP 샘플 이벤트 메시지
이 샘플 이벤트를 사용하여 QRadar와의 성공적인 통합을 확인하십시오.
중요: 형식화 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 후 캐리지 리턴 또는 줄 바꾸기 문자를 제거하십시오.
RabbitMQ 프로토콜을 사용하는 경우 Cisco AMP 샘플 메시지
다음 샘플 이벤트 메시지는 DFC 위협이 발견되었음을 표시합니다.
{"id":6629038896162275332,"timestamp":1543443393,"timestamp_nanoseconds":258000000,"date":"2018-11-28T22:16:33+00:00","event_type":"DFC Threat Detected","event_type_id":1090519084,"detection_id":"6629038896162275330","connector_guid":"connector_guid","group_guids":["group_guids"],"severity":"High","computer":{"connector_guid":"connector_guid","hostname":"example.com","external_ip":"172.16.0.0","user":"root","active":true,"network_addresses":[{"ip":"172.16.0.0","mac":"00-00-5E-00-53-00"}],"links":{"computer":"computer","trajectory":"trajectory","group":"group"}},"network_info":{"remote_ip": "172.16.0.1","remote_port": 443,"local_ip": "10.51.100.0","local_port": 55807,"nfm":{"direction":"Outgoing connection from","protocol":"UDP"},"parent":{"process_id":2608,"disposition":"Clean","file_name":"chrome.exe","identity": {"sha256": "sha256","sha1": "sha1","md5": "md5"}}}}| QRadar 필드 이름 | 강조표시된 페이로드 필드 이름 |
|---|---|
| 이벤트 ID | 이벤트 유형 ID |
| 카테고리 | CiscoAMP |
| 소스 IP | 로컬 IP |
| 소스 포트 | 로컬 포트 |
| 네트워크 주소 | 원격 IP |
| 대상 포트 | 원격 포트 |
| 로그 소스 시간 | 시간소인 |