Azure

Use a IBM Security QRadar Azure Content Extension para monitorar de perto sua Azure.

Importante: Para evitar erros de conteúdo nesta extensão de conteúdo, mantenha as DSMs associadas até hoje. Os DSMs são atualizados como parte das atualizações automáticas. Se as atualizações automáticas não estiverem ativadas, faça o download da versão mais recente dos DSMs associados a partir de IBM® Fix Central (https://www.ibm.com/support/fixcentral).

IBM Segurança QRadar Extensão de conteúdo Azure

IBM Segurança QRadar Azure Extensão de conteúdo 2.1.3

A tabela a seguir mostra as expressões regulares atualizadas em IBM Segurança QRadar Azure Extensão de Conteúdo 2.1.3.

Tabela 1. Expressões regulares atualizadas no IBM Segurança QRadar Azure Extensão de conteúdo 2.1.3
Tipo Nome da Propriedade Novo Regex
CEP Nome da Operação operationName":"(.*?)"

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 2.1.2

A tabela a seguir mostra os nomes de propriedades atualizados em IBM Segurança QRadar Azure Extensão de Conteúdo 2.1.2

Tabela 2. Nomes de Propriedades Atualizados no IBM Security QRadar Azure Content Extension 2.1.2
Tipo ID da propriedade Nome da propriedade antiga Nome Rebaseado (Novo Nome da Propriedade)
CEP

DEFAULTCUSTOMEVENT14

 AccountID ID da conta
CEP

DEFAULTCUSTOMEVENT11

 BytesReceived Bytes Recebidos
CEP

DEFAULTCUSTOMEVENT12

 BytesSent Bytes Sent
CEP

002a5618-8f44-41bc-b5aa-bc02153a7d84

 ID da Máquina Identificador da Máquina
CEP

DEFAULTCUSTOMEVENT13

 ObjectType ObjectType
CEP

c3615010-0cb6-43b5-b921-4bcf7737b8ea

 Id do processo ID de processo
CEP

e7da1cc0-5bf0-48de-86a9-6af817266c7f

 Nome do Usuário de Destino Nome do usuário de destino

A tabela a seguir mostra as expressões de expressão regular atualizadas em IBM Security QRadar Azure Content Extension 2.1.2

Tabela 3. Expressões Regex atualizadas no IBM Security QRadar Azure Content Extension 2.1.2
Tipo ID da propriedade Nome da Propriedade Antigo Regex Novo Regex
CEP f7a8e3d5-1902-4acf-afe3-e2c4b928d90e Diretório de Arquivos path":\s"(.*?)" path ": [\s]?" ([^ "] +)"
CEP NOME_DE_ARQUIVO_PADRÃO Nome do Arquivo name":\s"(.*?)" nome ": [\s]?" ([^ "] +)"

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 2.1.1

A tabela a seguir mostra as novas propriedades customizadas em IBM Segurança QRadar Azure Extensão de Conteúdo (Content Extension) 2.1.1.

Tabela 4. Propriedades Customizadas no IBM Security QRadar Azure Content Extension 2.1.1
Nome Otimizada Grupo de Captura Expressão regular
Atributo Novo Valor Não 1 modifiedProperties":.*?newValue":"\\"(admin|administrator)\\""

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 2.1.0

A tabela a seguir mostra as novas propriedades customizadas em IBM Segurança QRadar Azure Extensão de Conteúdo (Content Extension) 2.1.0.

Tabela 5. Propriedades customizadas no IBM Security QRadar Azure Content Extension 2.1.0
Nome Otimizada Grupo de Captura Expressão regular
Código do erro Sim 1 errorCode":(.*?),
Motivo Sim 1 failureReason":"(.*?)"
Agente do usuário Não 1 userAgent":"(.*?)"

Todas as regras, relatórios e pesquisas salvas foram removidos e adicionados à extensão de conteúdo “ IBM Security” QRadar para casos de uso em nuvem híbrida.

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 2.0.0

A tabela a seguir mostra as propriedades customizadas novas e atualizadas no IBM Security QRadar Azure Content Extension 2.0.0.

Tabela 6. Propriedades customizadas no IBM Security QRadar Azure Content Extension 2.0.0
Nome Otimizada Grupo de Captura Expressão regular
Número da conta Sim 1 userStates":.*?"accountName":\s"(.*?)"
Gravidade do alerta Não 1 / "gravidade"
Comando Sim 1 commandLine":\s"(.*?)"
Diretório de Arquivos Sim 1 path":\s"(.*?)"
Nome do Arquivo Sim 1 name":\s"(.*?)"
Nome do grupo Sim 1 securityResources":.*?resourceGroups\/([^\/]+)
ID de logon Sim 1 logonId":\s"(.*?)"
ID da Máquina Sim 1 securityResources":.*?\/virtualMachines\/(.*?)"
Message Não 1 / "descrição"
Id do processo Sim 1 processId":(.*?)
Região Sim 1 "sourceMaterials":.*?location\/(.*?)"
ID da assinatura Não 1 azureSubscriptionId":\s"(.*?)"
Categoria da ameaça Não 1 malwareStates":.*?"category":\s"(.*?)"
Família de ameaça Não 1 family":\s"(.*?)"
Remediação da ameaça Não 1 /"recommendedActions"[]
Pontuação de ameaça Não 1 hostStates":.*?"riskScore":\s"(.*?)"
Nome Principal do Usuário Não 1 userPrincipalName":\s"(.*?)"

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 1.1.2

A tabela a seguir mostra as propriedades customizadas novas e atualizadas em IBM Segurança QRadar Azure Extensão de Conteúdo 1.1.2.

Tabela 7. Propriedades Customizadas no IBM Security QRadar Azure Content Extension 1.1.2
Nome Otimizada Grupo de Captura Expressão regular
Nome Distinto Não 1 \buserPrincipalName":"([^@]*)
Nome do grupo Sim 1 Group.DisplayName".*?newValue":"(?:\\"){0,1}(.*?)(?:\\"){0,1}"}
ID de Segurança do Grupo Não 1 Group.ObjectID".*?newValue":"(?:\\"){0,1}(.*?)(?:\\"){0,1}"}
ID do objeto de destino Não 1 targetResources":\[\{"id":"(.*?)"

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 1.1.1

A tabela a seguir mostra as propriedades customizadas novas e atualizadas em IBM Segurança QRadar Azure Extensão de Conteúdo 1.1.1.

Tabela 8. Propriedades customizadas no IBM Security QRadar Azure Content Extension 1.1.1
Nome Otimizada Grupo de Captura Expressão regular
AccountID Sim 1 properties.*?id":"(.*?)"
Gravidade do alerta Não 1 gravidade ":" (. *?) ";
MFA Usados Sim 1 RequestSequence.*?succeeded":(.*?),
ID de objeto Sim 1 PrincipalId\\":\\"([^\\].*?)\\",\\"PrincipalType\\":

targetResources.*?id":"(.*?)"

PrincipalId\\":\\"(.*?)\\",\\"PrincipalType\\":
ObjectType Sim 1 compromisedEntity":"(.*?)"

\" Scope \\": \\". * \/(. *?) \\"

targetResources.*?displayName":"(.*?)"
Nome da função Sim 1 Role.DisplayName.*?oldValue.*?,"newValue":"\\"(.*?)\\"

\broleName\\":\\"(.*?)\\"

roleDefinitions\/(.*?)\\",

targetResources.*?displayName":"(.*?)"

RoleDefinition.DisplayName.*?oldValue.*?,"newValue":"\\"(.*?)\\"
Nome do Usuário de Destino Sim 1 PrincipalId\\":\\"([^"]*)\\",\\"RoleDefinitionId\\":

\btype":"Request".*?id":"(.*?)"
ID do usuário Sim 1 objectidentifier":"(.*?)"
ID do Volume Sim 1 \bosDisk.*?osType.*?name\\":\\"(.*?)\\"

"scope":"[^"]*\/disks\/(.*?)(?:\/|\")

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 1.1.0

IBM Security QRadar Azure Content Extension V1.1.0 inclui propriedades customizadas para Microsoft Azure Active Directory.

A tabela a seguir mostra as propriedades customizadas no IBM Segurança QRadar Azure Content Extension 1.1.0.

Tabela 9. Propriedades customizadas no IBM Security QRadar Azure Content Extension 1.1.0
Nome Otimizada Grupo de Captura Expressão regular
Região Sim 1 \bcountryOrRegion":"([^\"]*)
ID do recurso Não 1 \bresourceId":"([^\"]*)
Nome do Serviço Sim 1 \bdisplayName":"([^"]*?)","type":"ServicePrincipal"
Estação de Trabalho de Origem Sim 1 \bidentity":"([^\"]*)
ID do Locatário Não 1 \btenantId":"([^\"]*)
Nome Principal do Usuário Não 1 \buserPrincipalName":"([^\"]*)
PUID do Usuário Não 1 \bUser\.PUID",.*?newValue":["\\]+([^"\\]*)

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 1.0.2

No IBM Security QRadar Azure Content Extension V1.0.2, o QID da propriedade customizada Nome do Usuário de Destino é atualizado.

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 1.0.1

A tabela a seguir mostra as propriedades customizadas no IBM Security QRadar Azure Content Extension 1.0.1

Tabela 10.. Propriedades Customizadas no IBM Security QRadar Azure Content Extension 1.0.1
Nome Otimizada Grupo de Captura Expressão regular
Bytes Recebidos Sim 1

\"receivedBytes\":(\d+)
BytesSent Sim 1 \"sentBytes\":(\d+)
Nome do Arquivo Sim 1 \" arquivo \": ". * \/ ([^ "] +)"
Nome do grupo Sim 1 "scope":"[^"]*\/resourceGroups\/([^\/]+)

"resourceId":"[^"]*\/RESOURCEGROUPS\/([^"]*?)\/

resourceGroupName=([^\t]+)
Gateway de rede local Não 1 "scope":"[^"]*\/localNetworkGateways\/([^"]*)"
ID da Máquina Sim 1

"scope":"[^"]*\/virtualMachines\/(.*?)(?:\/|\")

resourceId=.*?\/virtualMachines\/(.*?)\s
Message Não 1 \" Mensagem \": \" (. *?) \"

\" mensagem \": \" (. *?) \"
Interface de Rede Não 1 "scope":"[^"]*\/networkInterfaces\/([^"]*)"
Grupo de Segurança de Redes Não 1 "resourceId":"[^"]*\/NETWORKSECURITYGROUPS\/([^"]*)"

"scope":"[^"]*\/networkSecurityGroups\/([^"]*)"
Observador de Rede Não 1 "scope":"[^"]*\/networkWatchers\/([^"]*)"
ID da operação Não 1 \"operationId\":\"(.*?)\"

operationId=([^\t]+)
Nome do IP Público Não 1 "scope":"[^"]*\/publicIPAddresses\/([^"]*)"
Região Sim 1

site\"\:\"([^\"]+)

location \ " \: \" ([^ \"]] +)
ID do recurso Não 1 resourceId=([^\t]+)

\"resourceId\":\"(.*?)\"
Nome da função Sim 1 roleDefinitions\/(.*?)\\",
Nome da Regra Sim 1 \"ruleName\":\"(.*?)\"
Regra de segurança Não 1 "scope":"[^"]*\/securityRules\/([^"]*)"
ID da assinatura Não 1 subscriptionId=([^\t]+)

"scope":"[^"]*\/subscriptions\/([^\/]+)

"resourceId":"[^"]*\/SUBSCRIPTIONS\/([^"]*?)\/
Nome do Usuário de Destino Sim 1 PrincipalId\\":\\"([^\\].*?)\\",
Agente do usuário Não 1 \"userAgent\":\"(.*?)\"
rede virtual Não 1 "scope":"[^"]*\/virtualNetworks\/([^"]*)"

(Voltar para o topo)

IBM Segurança QRadar Azure Extensão de conteúdo 1.0.0

A tabela a seguir mostra as regras incluídas no IBM Security QRadar Azure Content Extension 1.0.0.

Tabela 11 Regras no IBM Security QRadar Azure Content Extension 1.0.0
Tipo Nome Descrição
Regra Nuvem Azure: Regra de Segurança Foi Excluída Detecta quando uma regra de segurança é excluída.
Regra Nuvem Azure: Grupo de Segurança de Rede Foi Criado ou Atualizado Detecta quando um grupo de segurança é criado ou atualizado.
Regra Nuvem Azure: Rede Virtual Excluída Detecta quando uma rede virtual é excluída.
Regra Nuvem Azure: Sub-rede de Rede Virtual Excluída Detecta quando uma sub-rede de rede virtual é excluída.
Regra Nuvem Azure: Conexão de Gateway de Rede Virtual Excluída Detecta quando uma conexão de gateway de rede virtual é excluída.
Regra Nuvem Azure: Conexão de Rede Local Excluída Detecta quando um gateway de rede local é excluído.
Regra Nuvem Azure: Regra de Segurança Foi Criada ou Atualizada Detecta quando uma regra de segurança é criada ou atualizada.
Regra Nuvem Azure: Peer de Rede Virtual Excluído Detecta quando um peer de rede virtual é excluído.
Regra Nuvem Azure: Observador de Rede Foi Excluído Detecta quando um Observador de Rede é excluído.
Regra Nuvem Azure: Grupo de Segurança de Rede Foi Excluído Detecta quando um grupo de segurança de rede é excluído.

A tabela a seguir mostra os relatórios no IBM Security QRadar Azure Content Extension 1.0.0.

Tabela 12. Relatórios no IBM Security QRadar Azure Content Extension 1.0.0
Nome do Relatório Descrição
Conexões Virtuais de Aplicativos da Web Azure Excluídas - Semanal Fornece maior monitoramento e tendência para conexões virtuais do aplicativo da web Azure.
Conexões Virtuais de Aplicativos da Web Azure Excluídas - Mensal Fornece maior monitoramento e tendência para conexões virtuais do aplicativo da web Azure.
Rede Virtual Azure Criada ou Atualizada - Semanal Fornece maior monitoramento e tendência para redes virtuais Azure.
Rede Virtual Azure Criada ou Atualizada - Mensal Fornece maior monitoramento e tendência para redes virtuais Azure.
Grupo de Segurança de Rede Azure Criado ou Atualizado - Semanal Fornece maior monitoramento e tendência para grupos de segurança do Azure.
Grupo de Segurança de Rede Azure Criado ou Atualizado - Mensal Fornece maior monitoramento e tendência para grupos de segurança do Azure.
Segurança de Rede Azure Criada ou Atualizada - Semanal Fornece maior monitoramento e tendência para regras de segurança do Azure.
Segurança de Rede Azure Criada ou Atualizada - Mensal Fornece maior monitoramento e tendência para regras de segurança do Azure.
Regra de Segurança Azure Excluída - Semanal Fornece maior monitoramento e tendência para regras de segurança do Azure.
Regra de Segurança Azure Excluída - Mensal Fornece maior monitoramento e tendência para regras de segurança do Azure.

A tabela a seguir mostra as procuras salvas no IBM Security QRadar Azure Content Extension 1.0.0

Tabela 13. Procuras Salvas no IBM Security QRadar Azure Content Extension 1.0.0
Nome Descrição
Azure: Regra de Segurança Excluída Esta procura é usada pelos relatórios Regra de Segurança Excluída.
Azure: Grupo de Segurança de Rede Criado ou Atualizado Esta procura é usada pelos relatórios Grupo de Segurança Criado ou Atualizado.
Azure: Regra de Segurança Criada ou Atualizada Esta procura é usada pelos relatórios Regra de Segurança Criada ou Atualizada.
Azure: Rede Virtual Criada ou Atualizada Esta procura é usada pelos relatórios Rede Virtual Criada ou Atualizada.
Azure: Conexões Virtuais de Aplicativo da Web Excluídas Esta procura é usada pelos relatórios Conexões Virtuais de Aplicativo da Web Excluídas.

(Voltar para o topo)