Mensagem do evento de amostra do Cisco AMP
Use este evento de amostra para verificar uma integração bem-sucedida com QRadar.
Importante: Devido a questões de formatação, cole o formato de mensagem em um editor de texto e, em seguida, remova qualquer retorno de carro ou caracteres de alimentação de linha.
Mensagem de amostra do Cisco AMP ao usar o protocolo RabbitMQ
A mensagem de evento de amostra a seguir mostra que uma ameaça do DFC é detectada.
{"id":6629038896162275332,"timestamp":1543443393,"timestamp_nanoseconds":258000000,"date":"2018-11-28T22:16:33+00:00","event_type":"DFC Threat Detected","event_type_id":1090519084,"detection_id":"6629038896162275330","connector_guid":"connector_guid","group_guids":["group_guids"],"severity":"High","computer":{"connector_guid":"connector_guid","hostname":"example.com","external_ip":"172.16.0.0","user":"root","active":true,"network_addresses":[{"ip":"172.16.0.0","mac":"00-00-5E-00-53-00"}],"links":{"computer":"computer","trajectory":"trajectory","group":"group"}},"network_info":{"remote_ip": "172.16.0.1","remote_port": 443,"local_ip": "10.51.100.0","local_port": 55807,"nfm":{"direction":"Outgoing connection from","protocol":"UDP"},"parent":{"process_id":2608,"disposition":"Clean","file_name":"chrome.exe","identity": {"sha256": "sha256","sha1": "sha1","md5": "md5"}}}}| Nome do campo QRadar | Nome do campo de carga útil destacado |
|---|---|
| ID de Evento | event_type_id |
| Categoria | CiscoAMP |
| IP de origem | ip_local |
| Porta de Origem | porta_local |
| Endereços de rede | ip_remoto |
| Porta de destino | remote_port |
| Horário da origem de log | registro de data e horário |