Beyond Security AVDS 취약성 스캐너 추가

Beyond Security AVDS(Automated Vulnerability Detection System) 어플라이언스는 AXIS(Asset Export Information Source) 형식으로 취약성 데이터를 작성합니다. AXIS 형식 파일은 가져올 수 있는 XML 파일에서 가져올 수 있습니다.

이 태스크에 대한 정보

Beyond Security AVDS 취약성을 QRadar와 성공적으로 통합하려면 취약성 데이터를 AXIS 형식의 XML 결과 파일에 게시하도록 Beyond Security AVDS 어플라이언스를 구성해야 합니다. XML 취약성 데이터는 SFTP(Secure File Transfer Protocol)를 사용하여 액세스할 수 있는 원격 서버에 게시되어야 합니다. 원격 서버라는 용어는 게시된 XML 스캔 결과 파일을 호스트할 수 있는 임의의 어플라이언스, 써드파티 호스트 또는 네트워크 스토리지 위치를 의미합니다.

Beyond Security AVDS 취약성을 포함하는 가장 최근의 XML 결과는 스캔 스케줄이 시작될 때 가져오게 됩니다. 스캔 스케줄은 Beyond Security AVDS가 작성한 취약성 데이터를 가져오는 빈도를 판별합니다. Beyond Security AVDS 어플라이언스를 QRadar에 추가한 후 스캔 스케줄을 작성하여 스캔 결과 파일을 가져오십시오. 스캔 스케줄의 취약성은 스캔 스케줄이 완료된 후 자산 탭을 업데이트합니다.

프로시저

  1. 관리 탭을 클릭하십시오.
  2. VA 스캐너 아이콘을 클릭하십시오.
  3. 추가를 클릭하십시오.
  4. 스캐너 이름 필드에 Beyond Security AVDS 스캐너를 식별할 이름을 입력하십시오.
  5. 관리 호스트 목록에서 다음 플랫폼 중 하나를 기반으로 하는 옵션을 선택하십시오.
    • QRadar Console에서 스캐너 디바이스와의 통신을 담당하는 관리 호스트를 선택하십시오.
    • ' QRadar on Cloud'에서 스캐너가 클라우드에서 호스팅되는 경우 QRadar® 콘솔을 관리 호스트로 사용할 수 있습니다. 그렇지 않으면, 스캐너 디바이스와의 통신을 담당하는 데이터 게이트웨이를 선택하십시오.
  6. 유형 목록에서 Beyond Security AVDS를 선택하십시오.
  7. 원격 호스트 이름 필드에 Beyond Security AVDS 스캐너로부터 게시된 스캔 결과를 포함하는 시스템의 IP 주소 또는 호스트 이름을 입력하십시오.
  8. 다음 인증 옵션 중 하나를 선택하십시오.
    옵션 설명
    로그인 사용자 이름
    사용자 이름과 비밀번호로 인증하려면 다음을 수행하십시오.
    1. 로그인 사용자 이름 필드에 원격 호스트로부터 스캔 결과를 검색할 권한이 있는 사용자 이름을 입력하십시오.
    2. 로그인 비밀번호 필드에 사용자 이름과 연관된 비밀번호를 입력하십시오.
    키 권한 부여 사용
    키 기반 인증 파일로 인증하려면 다음을 수행하십시오.
    1. 키 인증 사용 선택란을 선택하십시오.
    2. 개인 키 파일 필드에 키 파일에 대한 디렉토리 경로를 입력하십시오.

    키 파일의 기본 디렉토리는 /opt/qradar/conf/vis.ssh.key입니다.

    키 파일이 없는 경우 vis.ssh.key 파일을 작성해야 합니다.
    중요: vis.ssh.key 파일에는 vis qradar 소유권이 있어야 합니다. 예를 들면 다음과 같습니다.
    # ls -al /opt/qradar/conf/vis.ssh.key
-rw------- 1 vis qradar 1679 Aug  7 06:24 /opt/qradar/conf/vis.ssh.key
  9. 원격 디렉토리 필드에 스캔 결과 파일의 디렉토리 위치를 입력하십시오.
  10. 파일 이름 패턴 필드에 정규식 (regex) 을 입력하여 원격 디렉토리에 지정된 파일 목록을 필터링하십시오. 모든 일치하는 파일이 처리에 포함됩니다.

    기본값은 .*\.xml입니다. .*\.xml 패턴은 원격 디렉토리의 모든 xml 파일을 가져옵니다.

  11. 최대 보고서 수명 (일) 필드에 스캔 결과 파일의 최대 파일 수명을 입력하십시오. 보고서 파일의 지정된 날짜 및 시간소인보다 오래된 파일은 스케줄된 스캔이 시작될 때 제외됩니다. 기본값은 7일입니다.
  12. 중복 무시 옵션을 구성하려면 다음을 수행하십시오.
    • 스캔 스케줄에서 이미 처리한 파일을 추적하려면 이 선택란을 선택하십시오. 이 옵션은 스캔 결과 파일이 두 번 처리되는 것을 방지합니다.
    • 스캔 스케줄이 시작될 때마다 취약성 스캔 결과를 가져오려면 이 선택란을 선택 취소하십시오. 이 옵션은 다중 취약성이 한 개의 자산과 연관되게 할 수 있습니다.
    결과 파일을 10일 이내에 스캔하지 않으면 파일이 추적 목록에서 제거되고 다음 번 스캔 스케줄이 시작될 때 처리됩니다.
  13. 스캐너의 CIDR 범위를 구성하려면 다음을 수행하십시오.
    1. 스캔에 대한 CIDR 범위를 입력하거나 찾아보기 를 클릭하여 네트워크 목록에서 CIDR 범위를 선택하십시오.
    2. 추가를 클릭하십시오.
  14. 저장을 클릭하십시오.
  15. 관리 탭에서 변경사항 배치를 클릭하십시오.

다음에 수행할 작업

이제 스캔 스케줄을 작성할 준비가 되었습니다. 취약성 스캔 스케줄링을 참조하십시오.