Mensagens do evento de amostra do Forcepoint V-Series Content Gateway
Use essas mensagens de eventos de amostra para confirmar a integração bem-sucedida com IBM QRadar.
Importante: Devido a questões de formatação, cole o formato de mensagem em um editor de texto e, em seguida, remova qualquer retorno de carro ou caracteres de alimentação de linha.
Mensagens de amostra do Forcepoint V-Series Content Gateway quando você usa o protocolo Syslog
Amostra 1: a mensagem do evento de amostra a seguir mostra que o acesso foi bloqueado pelo websense.
<159>Jul 16 16:37:26 forcepoint.vseries.test LEEF:1.0|Forcepoint|Security|8.5.3|transaction:blocked|sev=7 cat=1504 usrName=qradar1 loginID=qradar1 src=10.223.7.33 srcPort=34311 srcBytes=0 dstBytes=0 dst=10.10.10.10 dstPort=443 proxyStatus-code=403 serverStatus-code=0 duration=66 method=POST disposition=1064 contentType=- reason=0-17336-Generic.Content.Web.RTSS policy=Super Administrator**IM Chat and Conferencing Policy role=8 userAgent=Mozilla/5.0 (Windows NT 6.1; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/74.0.3729.169 Safari/537.36 url=https://www.qradar.example.test/psettings/jobs/profile-shared-with-recruiter logRecordSource=%<logRecordSource> | Nome do campo QRadar | Valores destacados na carga útil do evento |
|---|---|
| ID de Evento | disposition |
| Categoria | cat |
| IP de origem | src |
| Porta de Origem | srcPort |
| IP de destino | dst |
| Porta de destino | dstPort |
| Nome de usuário | usrName |
Amostra 2: a mensagem do evento de amostra a seguir mostra que o acesso foi permitido pelo websense.
<159>Jun 25 10:45:18 forcepoint.vseries.test LEEF:1.0|Forcepoint|Security|8.5.3|transaction:permitted|sev=1 cat=209 usrName=testUser loginID=testID src=10.252.88.231 srcPort=7434 srcBytes=636 dstBytes=63385 dst=10.10.10.10 dstPort=443 proxyStatus-code=200 serverStatus-code=200 duration=32 method=GET disposition=1065 contentType=text/html; charset\=utf-8 reason=0-14057-Generic.Content.Web.RTSS policy=testPolicy Videos from testCompany role=8 userAgent=Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/72.0.3626.121 Safari/537.36 url=https://www.qradar.example.test/watch?v\=VsxpUZaggcw logRecordSource=%<logRecordSource>| Nome do campo QRadar | Valores destacados na carga útil do evento |
|---|---|
| ID de Evento | disposition |
| Categoria | cat |
| IP de origem | src |
| Porta de Origem | srcPort |
| IP de destino | dst |
| Porta de destino | dstPort |
| Nome de usuário | usrName |