Apache

Use a IBM Security QRadar Apache Content Extension para monitorar de perto seus Apache.

Importante: Para evitar erros de conteúdo nesta extensão de conteúdo, mantenha as DSMs associadas até hoje. Os DSMs são atualizados como parte das atualizações automáticas. Se as atualizações automáticas não estiverem ativadas, faça o download da versão mais recente dos DSMs associados a partir de IBM® Fix Central (https://www.ibm.com/support/fixcentral).

Configurar o Apache DSM

Essa extensão de conteúdo requer uma mudança da linha LogFormat do arquivo de configuração do Apache para:


LogFormat "%h %A %l %u %t \"%r\" %>s %p %b \"%{Referer}i\" \"%{User-agent}i\" %a %I %O %D" <log_format_name>

Onde <nome do formato de registro> é um nome de variável que você fornece para definir o formato de registro personalizado.

Para obter mais informações sobre como configurar o DSM Apache HTTP Server , consulte Configurando o Apache HTTP Server com syslog (https://www.ibm.com/docs/en/SS42VS_DSM/com.ibm.dsm.doc/t_DSM_guide_apache_cfg_syslog.html) ou Configurando o Apache HTTP Server com syslog (https://www.ibm.com/docs/en/SS42VS_DSM/com.ibm.dsm.doc/t_DSM_guide_apache_cfg_syslogng.html).

Extensão de conteúdo IBM Security QRadar Apache 1.0.3

A tabela a seguir mostra as propriedades personalizadas que foram atualizadas em IBM Security QRadar Apache Content Extension 1.0.3.

Tabela 1. Propriedades personalizadas no IBM Security QRadar Apache Content Extension 1.0.3
Nome da antiga propriedade Novo nome da propriedade
UrlHost Host de URL
Pacotes para o cliente Pacotes Enviados
Host original Host de Emissor
BytesSent Bytes Sent
BytesReceived Bytes Recebidos
URL de Referência Referenciador de URL

IBM Segurança QRadar Apache Extensão de conteúdo 1.0.2

A tabela a seguir mostra as propriedades customizáveis no IBM Security QRadar Apache Content Extension 1.0.2

Tabela 2. Propriedades Customizadas no IBM Security QRadar Apache Content Extension 1.0.2
Nome Otimizada Grupo de Captura Expressão regular
BytesReceived Sim 1 (? :GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH). * ?" \s\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\s + ([\d |-] +)
BytesSent Sim 1 (? :GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH). ?" \s\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\s +. ?\s + ([\d |-] +)
Host original Sim 1 (? :GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH). * ?" \s (\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})
Camada de Resposta do Servidor Sim 1 (? :GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH). ?" \s\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\s +. ?\s +. * ?\s + ([\d |-] +)

IBM Segurança QRadar Apache Extensão de conteúdo 1.0.1

A tabela a seguir mostra as propriedades customizadas no IBM Segurança QRadar Apache Content Extension 1.0.1.

Tabela 3. Propriedades customizadas no IBM Security QRadar Apache Content Extension 1.0.1
Nome Otimizada Grupo de Captura Expressão regular
URL de Referência Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\"\s\d+\s\d+\s.*?\"(.*?)"
Tempo de resposta do servidor Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\s+.*?\s+.*?\s+([\d|-]+)

IBM Segurança QRadar Apache Extensão de conteúdo 1.0.0

A tabela a seguir mostra as propriedades customizadas no IBM Security QRadar Apache Content Extension 1.0.0

Tabela 4. Propriedades Customizadas no IBM Security QRadar Apache Content Extension 1.0.0
Nome Otimizada Grupo de Captura Expressão regular
BytesReceived Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\s+([\d|-]+)
BytesSent Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}\s+.*?\s+([\d|-]+)
Método Não 1 (GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH)
Host original Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})
Pacotes Enviados Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\d+\s+\d+\s+([\d|-]+)\s
URL de Referência Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\"\s\d+\s\d+\s.*?\"(.*?)"
Código de resposta Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH)\s.*?\s([\d|-]+)
Cadeia de Consultas URL Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH)\s([^\;\s]+)
UrlHost Sim 1 (?:(?:http|ftp|tcp|ssl|https):\/\/)(.*?)(?=$|\s|\\|\"|\/|\:|\|)
Agente do usuário Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE|OPTIONS|TRACE|PATCH).*?\"\s\d+\s\d+\s.*?\".*?"\s+"(.*?)"