Cisco Ironport

A IBM Security QRadar Cisco Ironport Content Extension adiciona novas propriedades personalizadas para o Cisco Ironport.

Importante: Para evitar erros de conteúdo nesta extensão de conteúdo, mantenha as DSMs associadas até hoje. Os DSMs são atualizados como parte das atualizações automáticas. Se as atualizações automáticas não estiverem ativadas, faça o download da versão mais recente dos DSMs associados a partir de IBM® Fix Central (https://www.ibm.com/support/fixcentral).

IBM Security QRadar Extensões de Conteúdo do Cisco Ironport

Extensão de conteúdo do IBM Security QRadar Cisco Ironport 1.1.1

A tabela a seguir mostra as propriedades personalizadas que foram renomeadas no IBM Security QRadar Cisco Ironport Content Extension 1.1.1.

Tabela 1. Propriedades personalizadas renomeadas no IBM Security QRadar Cisco Ironport Content Extension 1.1.1
Nome Anterior Nome atualizado
URL de Referência Referenciador de URL
UrlHost Host de URL
BytesReceived Bytes Recebidos
Recipient_User Destinatários
Originating_User Remetente
Host original Host de Emissor
MessageID ID da Mensagem

IBM Segurança QRadar Cisco Ironport Content Extension 1.1.0

A tabela a seguir mostra as propriedades customizadas novas e atualizadas no IBM Security QRadar Cisco Ironport Content Extension 1.1.0.

Tabela 2. Propriedades Customizadas no IBM Security QRadar Cisco Ironport Content Extension 1.1.0
Nome Otimizada Grupo de Captura Expressão regular
Tag de decisão de ACL Não 1 \d{10}.*?\s.*?\s.*?\s.*?/.*?\s.*?\s.*?\s.*?\s.*?.\s.*?\s.*?\s(.*?)\s
BytesReceived Sim 1 (\d+)\sbytes\sfrom

(\d+)\sbytes\sreceived

(\d+)\s(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)
Tipo de Conteúdo Não 1 mimeType\s(.*?)\s

(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s.*?\s.*?\s.*?\s(.*?)\s
ID de conexão de entrega Não 1 DCID\s(\d+)
Extensão de Arquivo Sim 2

1

 attachment\s'(.*?)\.([^\;\s\?]+)'

(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\/[^\;\s\?]+\.([^\;\s\?]+)
Nome do Arquivo Sim 1 attachment\s'(.*?)'

(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\/([^\;\s\?]+\.[^\;\s\?]+)
ID de conexão de injeção Não 1 ICID\s(\d+)
MessageID Sim 1 MID\s(\d+)
Método Não 1 (GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s
URL de Referência Não 1 referrer\s(.*?)\s

ref:\s(.*?)\s
Nome da Ameaça Sim 1 \s<.*?,.*?,.*?,"(.*?)",
URL Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s([^\;\s]+)
Caminho de URL Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\/]+\/([^\;\s\?]+)
Cadeia de Consultas URL Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\?([^\;\s]+)
Esquema URL Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s([^\;\s\/]*?):\/\/
UrlHost Sim 1 host\s\"(?:www\.)?([^\"]*?)\"

(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:.*?:\/\/)?(?:www\.)?([^\/:\,\"]+)
Agente do usuário Não 1 userAgent\s\"(.*?)\"

ua:\s"(.*?)"\s
Categoria da Web Sim 1 \s\<([^\,]+),

labels=([^\;]+)

(Voltar para o topo)

IBM Segurança QRadar Cisco Ironport Content Extension 1.0.4

A tabela a seguir mostra as propriedades customizadas novas e atualizadas no IBM Security QRadar Cisco Ironport Content Extension 1.0.4.

Tabela 3. Propriedades customizadas no IBM Security QRadar Cisco Ironport Content Extension 1.0.4
Nome Otimizada Grupo de Captura Expressão regular
BytesReceived Sim 1 (\d+)\sbytes\sreceived

(\d+)\s(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)

(\d+)\sbytes\sfrom
Tipo de Conteúdo Sim 1 mimeType\s(.*?)\s

(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s.*?\s.*?\s.*?\s(.*?)\s
Extensão de Arquivo Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\/[^\;\s\?]+\.([^\;\s\?]+)

attachment\s'(.*?)\.([^\;\s\?]+)'
Nome do Arquivo Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\/([^\;\s\?]+\.[^\;\s\?]+)

attachment\s'(.*?)'
ID de conexão de injeção Sim 1 ICID\s(\d+)
Tamanho da Mensagem Sim 1 ready\s(\d+)
MessageID Sim 1 MID\s(\d+)
Método Sim 1 (GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s
Host original Sim 1 (?:F|f)rom[:\s]*<[^>@]*@([^>]*)>
Originating_User Sim 1 (?:F|f)rom[:\s]*<([^>]*)>
Host do destinatário Sim 1 (?:T|t)o[:\s]*<[^>@]*@([^>]*)>
ID do destinatário Sim 1 RID\s(\d+)
Recipient_User Sim 1 (?:T|t)o[:\s]*<([^>]*)>
URL de Referência Sim 1 referrer\s(.*?)\s
URL Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s([^\;\s]+)
Caminho de URL Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\/]+\/([^\;\s\?]+)
Cadeia de Consultas URL Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\?([^\;\s]+)
Esquema URL Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s([^\;\s\/]*?):\/\/
UrlHost Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:.*?:\/\/)?(?:www\.)?([^\/:\,\"]+)

host\s\"(?:www\.)?([^\"]*?)\"
Agente do usuário Sim 1 userAgent\s\"(.*?)\"
Categoria da Web Sim 1 \s\<([^\,]+), labels=([^\;]+)

(Voltar para o topo)

IBM Segurança QRadar Cisco Ironport Content Extension 1.0.3

A tabela a seguir mostra as propriedades customizadas que são novas ou atualizadas no IBM Security QRadar Cisco Ironport Content Extension 1.0.3.

Tabela 4. Propriedades customizadas no IBM Security QRadar Cisco Ironport Content Extension 1.0.3
Nome Otimizada Grupo de Captura Expressão regular
BytesReceived Sim 1 (\d+)\sbytes\sreceived

(\d+)\sbytes\sfrom

(\d+)\s(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)

IBM Security QRadar Extensão de conteúdo do Cisco Ironport 1.0.2

A tabela a seguir mostra as propriedades customizadas que são novas ou atualizadas no IBM Security QRadar Cisco Ironport Content Extension 1.0.2.

Tabela 5. Propriedades customizadas no IBM Security QRadar Cisco Ironport Content Extension 1.0.2
Nome Otimizada Grupo de Captura Expressão regular
Tamanho da Mensagem Sim 1 ready\s(\d+)
MessageID Sim 1 MID\s(\d+)
Host original Sim 1 (?:F|f)rom[:\s]*<[^>@]*@([^>]*)>
Originating_User Sim 1 (?:F|f)rom[:\s]*<([^>]*)>
Host do destinatário Sim 1 (?:T|t)o[:\s]*<[^>@]*@([^>]*)>
Recipient_User Sim 1 (?:T|t)o[:\s]*<([^>]*)>

(Voltar para o topo)

IBM Segurança QRadar Cisco Ironport Content Extension 1.0.1

A tabela a seguir mostra as propriedades customizadas no IBM Security QRadar Cisco Ironport Content Extension 1.0.1.

Tabela 6. Propriedades customizadas no IBM Security QRadar Cisco Ironport Content Extension 1.0.1
Nome Otimizada Grupo de Captura Expressão regular
BytesReceived Não

Não

Não

 1

1

1

 (\d+)\sbytes\sreceived

(\d+)\sbytes\sfrom

(\d+)\s(?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)
Tipo de Conteúdo Não

Não

 1

1

 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s.*?\s.*?\s.*?\s(.*?)\s

mimeType\s(.*?)\s
Extensão de Arquivo Sim

Sim

 1

2

 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\/[^\;\s\?]+\.([^\;\s\?]+)

attachment\s'(.*?)\.([^\;\s\?]+)'
Nome do Arquivo Sim

Sim

 1

1

 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\/([^\;\s\?]+\.[^\;\s\?]+)

attachment\s'(.*?)'
Método Não 1 (GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s
Originating_User Não 1 From:\s<(.*?)>
Recipient_User Sim 1 To:\s<(.*?)>
Assunto Não 1 Subject\s'(.*?)'
URL de Referência Não 1 referrer\s(.*?)\s
URL Sim 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s([^\;\s]+)
Caminho de URL Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\/]+\/([^\;\s\?]+)
Cadeia de Consultas URL Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:[^\;\s\/]*?:\/\/)[^\;\s\?]+\?([^\;\s]+)
Esquema URL Não 1 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s([^\;\s\/]*?):\/\/
UrlHost Sim

Sim

 1

1

 (?:GET|POST|CONNECT|TUNNEL|HEAD|PUT|DELETE)\s(?:.*?:\/\/)?(?:www\.)?([^\/:\,\"]+)

host\s\"(?:www\.)?([^\"]*?)\"
Agente do usuário Não 1 userAgent\s\"(.*?)\"
Categoria da Web Sim

Sim

 1

1

 \s\<([^\,]+),

labels=([^\;]+)

(Voltar para o topo)