Importação de usuário

Use as APIs para incluir importações de servidor de diretório ou de tabela de referências para o recurso Importar Usuário do UEBA

Ponto de entrada

https://<<Qradar ip>>/console/plugins/<UBA app id>/app_proxy/user_import

Terminais

Método de HTTP Terminal Tipo de mídia
POST /cert dados de formulário/partes múltiplas
POST /imports application/json

Esquema da API.
Esquema da API.
Esquema da API.

Importando de um servidor LDAP com um arquivo de certificado

Para importar de um servidor LDAP com uma autoridade de certificação, conclua as etapas a seguir.
  1. Obtenha o ID do aplicativo UEBA acessando UEBA Configurações no navegador e consultando a URL na barra de endereço (entre "plugins" e "app_proxy") ou abrindo uma conexão SSH com a máquina QRadar® Console e emitindo o seguinte: psql -U qradar -c "select id from installed_application where name = 'User Entity Analytics';"
    Nota: você usará o ID do aplicativo ao criar a URL usada nos comandos cURL .
  2. Se você desejar criar uma nova importação do servidor de diretório que usa um certificado, use a API Cert para fazer upload do arquivo de certificado: curl -X POST -F 'importId=0' -F 'file=@<PATH/TO/CERT/FILE>' -H "Content-Type: multipart/form-data" -H "SEC: <AUTHORIZED_SERVICE_TOKEN>" https://<QR_IP_ADDRESS>/console/plugins/<APP_ID>/app_proxy/user_import/cert
    Nota: você usará a saída do comando cURL no corpo da solicitação de POST que cria a nova importação
  3. Use a API Imports para criar a nova importação
  4. Insira o comando a seguir: curl -X POST -H "Content-Type: application/json" -H "SEC: <AUTHORIZED_SERVICE_TOKEN>" -d '{"pollingInterval": 24,"configName": "<CONFIG_NAME>", "retrievalLimit": 500000, "dataSource":"LDAP", "configLdap": {"filter": "(objectClass=person)", "ssl": false,"host": "<SERVER_IP_OR_HOSTNAME>", "password": "", "username": "", "paged": true,"baseDN": "<BASE_DN>", "ca": {"expiryTime": "<FROM_CERT_API>", "filename":"<FROM_CERT_API>"}, "port": 389}}' https://<QRADAR_IP_ADDRESS>/console/plugins/<APP_ID>/app_proxy/user_import/imports

Importando de um servidor LDAP sem um arquivo de certificado

Para importar de um servidor LDAP sem um arquivo de certificado, conclua as etapas a seguir.
  1. Obtenha o ID do aplicativo UEBA acessando UEBA Configurações no navegador e consultando a URL na barra de endereço (entre "plugins" e "app_proxy") ou abrindo uma conexão SSH com a máquina QRadar Console e emitindo o seguinte: psql -U qradar -c "select id from installed_application where name = 'User Entity Analytics';"
    Nota: você usará o ID do aplicativo ao criar a URL usada nos comandos cURL .
  2. Use a API Imports para criar a nova importação
  3. Insira o comando a seguir: curl -X POST -H "Content-Type: application/json" -H "SEC: <AUTHORIZED_SERVICE_TOKEN>" -d '{"pollingInterval": 24,"configName": "<CONFIG_NAME>", "retrievalLimit": 500000, "dataSource":"LDAP", "configLdap": {"filter": "(objectClass=person)", "ssl": false,"host": "<SERVER_IP_OR_HOSTNAME>", "password": "", "username": "", "paged": true,"baseDN": "<BASE_DN>", "ca": {"expiryTime": "", "filename":""}, "port": 389}}' https://<QRADAR_IP_ADDRESS>/console/plugins/<APP_ID>/app_proxy/user_import/imports

Importando de uma tabela de referência

Para importar de uma tabela de referência, conclua as etapas a seguir
  1. Obtenha o ID do aplicativo UEBA acessando UEBA Configurações no navegador e consultando a URL na barra de endereço (entre "plugins" e "app_proxy") ou abrindo uma conexão SSH com a máquina QRadar Console e inserindo o comando a seguir: psql -U qradar -c "select id from installed_application where name = 'User Entity Analytics';"
    Nota: você usará o ID do aplicativo ao criar a URL usada nos comandos cURL .
  2. A maioria dos usuários opta por usar a interface da web para criar uma nova importação de tabela de referência. Entretanto, a API Imports também é suportada.
    Nota: A tabela de referência já deve existir no sistema QRadar e deve ser usada como o CONFIG_NAME
  3. Insira o comando a seguir: curl -X POST -d '{"pollingInterval": 24, "configName": "<CONFIG_NAME>","retrievalLimit": 500000, "dataSource": "REF"}' -H "Content-Type:application/json" -H "SEC: <AUTHORIZED_SERVICE_TOKEN>" https://<QRADAR_IP_ADDRESS>/console/plugins/<APP_ID>/app_proxy/user_import/imports