Box 샘플 이벤트 메시지

이 샘플 이벤트 메시지를 사용하여 IBM QRadar와의 성공적인 통합을 확인하십시오.

중요: 형식화 문제로 인해 메시지 형식을 텍스트 편집기에 붙여넣은 후 캐리지 리턴 또는 줄 바꾸기 문자를 제거하십시오.

Box REST 프로토콜을 사용하는 경우 Box 샘플 메시지

샘플 1: 다음 샘플 이벤트 메시지는 IP 주소 10.0.0.1에서 사용자 사용자 이름이 Box에 애플리케이션 키를 추가했음을 표시합니다.

{"source":{"type":"application","name":"QRadarBox","api_key":"aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"},"created_by":{"type":"user","id":"262196057","name":"User Name","login":"user.name@domain.test"},"created_at":"2016-02-10T07:49:07-08:00","event_id":"403702014","event_type":"APPLICATION_PUBLIC_KEY_ADDED","ip_address":"10.0.0.1","type":"event","session_id":null,"additional_details":null}

표 1. 강조표시된 필드
QRadar 필드 이름	강조표시된 페이로드 필드 이름
username	name
디바이스 시간	created_at
이벤트 ID	event_type
소스 IP 주소	ip_address

샘플 2: 다음 샘플 이벤트 메시지는Suspicious Location경보가 생성되었습니다.Download활동을 일부 이름사용자가 수행합니다.

{"source":null,"created_by":{"type":"user","id":"2","name":"Unknown User","login":""},"action_by":null,"created_at":"2019-12-20T11:38:56-08:00","event_id":"97f1b31f-f143-4777-81f8-1b557b39ca33","event_type":"SHIELD_ALERT","ip_address":"10.1.2.3","type":"event","session_id":null,"additional_details":{"shield_alert":{"rule_category":"Suspicious Locations","rule_id":"123","rule_name":"Suspicious Location","risk_score":60,"alert_summary":{"alert_activities":[{"occurred_at":"2019-12-20T11:37:05-08:00","event_type":"Download","item_name":"xyz.txt","item_type":"file","item_id":"127","item_path":"ABC/DEF","ip_info":{"ip":"10.2.3.4","latitude":"44.9727","longitude":"-65.8609","registrant":"Registrant Company Name","country_code":"CA","city_name":"Saint John","region_name":"New Brunswick"},"service_name":"Box Excel Online Previewer"}]},"alert_id":2398,"priority":"medium","user":{"id":2320,"name":"Some name","email":"some@domain.test"},"link":"https://app.box.com/master/shield/alerts/123412341234","created_at":"2019-12-20T11:37:15-08:00"}}}

표 2. 강조표시된 필드
QRadar 필드 이름	강조표시된 페이로드 필드 이름
디바이스 시간	created_at
소스 IP 주소	ip_address
이벤트 ID	rule_category event_type 값이 SHIELD_ALERT인 경우 Box Shield 경보가 표시되고 이벤트 ID에 rule_category 필드가 사용됩니다.
심각도	risk_score risk_score 필드 심각도 값 범위는 1-100입니다. QRadar에서 심각도 값 범위는 1-10입니다. QRadar 는 risk_score 필드 심각도 값을 10으로 나눈 후 가장 가까운 정수로 반올림합니다.
username	name