Fortinet FortiAnalyzer
A extensão de conteúdo do IBM Security QRadar Fortinet FortiAnalyzer adiciona propriedades personalizadas, relatórios e pesquisas salvas para o Fortinet FortiAnalyzer.
Importante: Para evitar erros de conteúdo nesta extensão de conteúdo, mantenha as DSMs associadas até hoje. Os DSMs são atualizados como parte das atualizações automáticas. Se as atualizações automáticas não estiverem ativadas, faça o download da versão mais recente dos DSMs associados a partir de IBM® Fix Central (https://www.ibm.com/support/fixcentral).
- IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.4.1
- IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.4.0
- IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.3.2
- IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.3.1
- IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.3.0
- IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.2.0
- IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.1.0
IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.4.1
A tabela a seguir mostra as propriedades customizadas alteradas no IBM Security QRadar Fortinet FortiAnalyzer Content Extension 1.4.1.
| Nome | Otimizada | Grupo de Captura | Expressão regular |
|---|---|---|---|
| Aplicativo | Sim | 1 | \bapp="([^"]*)"; |
| Categoria do aplicativo | Sim | 1 | \bapp_?cat="([^"]*)"; |
IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.4.0
A tabela a seguir mostra as propriedades customizadas alteradas no IBM Security QRadar Fortinet FortiAnalyzer Content Extension 1.4.0.
| Nome | Otimizada | Grupo de Captura | Expressão regular |
|---|---|---|---|
| Ação | Sim | 1 | \baction="([^"]*)" |
| Sessões Ativas | Sim | 1 | \btotalsession=(\d+) |
| Aplicativo | Não | 1 | \bapp="([^"]*)" |
| Categoria do aplicativo | Não | 1 | \bapp_?cat="([^"]*)" |
| Tipo de aplicativo | Sim | 1 | \bapp_?type="([^"]*)" |
| BytesReceived | Sim | 1 | \brcvd(?:byte)?=(\d+) |
| BytesSent | Sim | 1 | \bsent(?:byte)?=(\d+) |
| Descrição da categoria | Sim | 1 | \bcat_?desc="([^"]*)" |
| CPU_Usage | Sim | 1 | \bcpu=(\d+) |
| País de Destino | Não | 1 | \bdstcountry="(.*?)" |
| Interface de Destino | Sim | 1 | \bdst_?intf?="([^"]*)" |
| Função de Interface de Destino | Não | 1 | \bdstintfrole="([^"]*)" |
| Segundos de Duração | Não | 1 | \bduration=(\d+) |
| Nome do Arquivo | Sim | 1 | \bfilename="([^"]*)" |
| Nome do Host | Sim | 1 | \bhostname="([^"]*)" |
| Nível | Não | 1 | \blevel="([^"]*)" |
| Uso de memória | Sim | 1 | \bmem=(\d+) |
| Message | Não | 1 | \bmsg="([^"]*)" |
| Pacotes Recebidos | Não | 1 | \brcvdpkt=(\d+) |
| Pacotes Enviados | Não | 1 | \bsentpkt=(\d+) |
| ID de política | Não | 1 | \bpolicyid=(\d+) |
| Nome da política | Sim | 1 | \bpolicyname="(.*?)" |
| Serviço | Não | 1 | \bservice="([^"]*)" |
| Número da Sessão | Não | 1 | \bsessionid=(\d+) |
| País de origem | Não | 1 | \bsrccountry="(.*?)" |
| Interface de Origem | Não | 1 | \bsrc_?intf?="([^"]*)" |
| Função de Interface de Origem | Não | 1 | \bsrcintfrole="([^"]*)" |
| Status | Sim | 1 | \bstatus="([^"]*)" |
| Subtipo | Sim | 1 | \bsubtype="([^"]*)" |
| Nome da Ameaça | Sim | 1 | \bvirus="([^"]*)" |
| Pontuação de ameaça | Não | 1 | \bcrscore=(\d+) |
| Severidade da ameaça | Não | 1 | \bcrlevel="([^"]*)" |
| Tipo de ameaça | Não | 1 | \bcraction=(\d+) |
| Tipo | Não | 1 | \btype="([^"]*)" |
| URL | Sim | 1 | \burl="([^"]*)" |
IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.3.2
A propriedade customizada Ação recebeu um novo ID. Exclua qualquer propriedade customizada Action existente antes de fazer upgrade para a 1.3.2.
O proprietário da propriedade customizada Política foi configurado como administrador
.
IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.3.1
A tabela a seguir mostra as propriedades customizadas mudadas no IBM Security QRadar Fortinet FortiAnalyzer Content Extension 1.3.1.
| Nome | Otimizada |
|---|---|
| Ação | Sim |
| Segundos de Duração | Sim |
| URL | Sim |
A propriedade customizada a seguir foi renomeada.
| Nome | Renomeado para |
|---|---|
| Nome do Vírus | Nome da Ameaça |
IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.3.0
A tabela a seguir descreve as mudanças incluídas no IBM QRadar Fortinet FortiAnalyzer Content Extension 1.3.0.
| Tipo | Nome | Descrição |
|---|---|---|
| Procura salva | Todos os websites bloqueados por classificação de URL | Função agregada incluída (mín.). |
| Procura salva | Ações do antivírus por tipo de violação | Nomes de campos entre aspas duplas. |
| Procura salva | Principais usuários da web ativos | Convertido em procura básica. |
| Procura salva | Agência do usuário dos principais aplicativos permitidos na v4 | Convertido em procura básica. |
| Procura salva | Principais categorias permitidas na v4 | Convertido em procura básica. |
| Procura salva | Principais websites permitidos por classificação de URL | Função agregada incluída (mín.). |
| Procura salva | Agência do usuário dos principais websites permitidos na v4 | Convertido em procura básica. |
| Procura salva | Principais Aplicativos | Nomes de campos entre aspas duplas. |
| Procura salva | Principais Aplicativos por Tipo | O "Tipo de aplicativo" incluído não é NULL para a cláusula where. |
| Procura salva | Agência do usuário dos principais aplicativos por tipo na v4 | Convertido em procura básica. O tipo de aplicativo != 'N/A' foi incluído no filtro. |
| Procura salva | Principais categorias bloqueadas na v4 | Convertido em procura básica. |
| Procura salva | Principais websites bloqueados | Convertido em procura básica. |
| Procura salva | Principais arquivos infectados para os destinos mais comuns | Nomes de campos entre aspas duplas. |
| Procura salva | Principais Serviços por Volume | Função agregada incluída (soma). |
| Procura salva | Principais origens por volume | Função agregada incluída (soma). |
| Procura salva | Principais origens de vírus por dispositivo | Nomes de campos entre aspas duplas. |
| Procura salva | Principais origens de vírus por interface | Nomes de campos entre aspas duplas. |
| Procura salva | Principais destinos da web por volume | Nomes de campos entre aspas duplas. HH:mm:ss foi incluído no formato de data. |
| Procura salva | Principais servidores da web por volume | Função agregada incluída (soma). |
| Procura salva | Volume Web por Tempo | Campo não agregado removido. IP de destino removido por não ser usado de nenhuma forma. HH:mm:ss foi incluído no formato de data. |
| Relatório | Fortigate - Solicitação de usuário de agência - Principais aplicativos por tipo | O gráfico Principais aplicativos foi substituído pelo gráfico Principais aplicativos por tipo. |
| Relatório | Fortigate - Relatório operacional - Iniciado na Internet | Este relatório foi removido. |
| Propriedade Customizada | Ação Fortinet | Renomeado Ação. |
| Propriedade Customizada | Controle de aplicativos do Fortinet | Renomeado Aplicativo. |
| Propriedade Customizada | Controle de aplicativos do Fortinet | Categoria de aplicativo foi renomeado. |
| Propriedade Customizada | Aplicativo de controle de aplicativos | Esta propriedade customizada foi removida. |
| Propriedade Customizada | Tipo de Aplicativo Fortinet | Tipo de aplicativo foi renomeado e a expressão regular foi atualizada para: [\t,]{1}(?:apptype|app_type)=("{0,1})([\w\/\-.]+)\1 |
| Propriedade Customizada | BytesReceived do Fortinet | Renomeado BytesReceived. |
| Propriedade Customizada | BytesSent da Fortinet | Renomeado como BytesSent. |
| Propriedade Customizada | Descrição de categoria do Fortinet | Descrição de categoria foi renomeado. |
| Propriedade Customizada | Interface de destino do Fortinet | Interface de destino foi renomeado e a expressão regular foi atualizada para: (?:dst_int|dstintf)=("{0,1})([\w\-\/]+)\1 |
| Propriedade Customizada | Nome do Dispositivo Fortinet | Renomeado Nome do Dispositivo. |
| Propriedade Customizada | Nome do host Fortinet | Esta propriedade customizada foi removida. |
| Propriedade Customizada | Nome do host FortiGate | Esta propriedade customizada foi removida. |
| Propriedade Customizada | ID de Política Fortinet | Esta propriedade customizada foi removida. |
| Propriedade Customizada | Serviço Fortinet | Serviço foi renomeado e a expressão regular foi atualizada para: service="([\w\-\/()+& ]+)" AND service=([\w\-\/()+&]+)[\t ,]{1} |
| Propriedade Customizada | Número de sessão do Fortinet | Número de sessão foi renomeado e a expressão regular foi atualizada para: (SN|sessionid)=(\d+) |
| Propriedade Customizada | Site Fortinet | Renomeado Hostname. |
| Propriedade Customizada | Interface de origem do Fortinet | Interface de origem foi renomeado e a expressão regular foi atualizada para: (?:src_int|srcintf)=("{0,1})([\w\-\/]+)\1 |
| Propriedade Customizada | Status Fortinet | Status foi renomeado e a expressão regular foi atualizada para: status=("{0,1})([\w\_\-]+)\1 |
| Propriedade Customizada | Subtipo Fortinet | Subtipo foi renomeado e a expressão regular foi atualizada para: subtype=("{0,1})([\w\-\_]+)\1 |
| Propriedade Customizada | Tipo de Fortinet | Tipo foi renomeado e a expressão regular foi atualizada para: ([\t ,])type=("{0,1})([\w\-]+)\2 |
| Propriedade Customizada | URL da Fortinet | URL renomeado |
| Propriedade Customizada | VirusName | A expressão regular foi atualizada para: ([\t ,])virus=(["]{0,1})(.*?)\2\1 |
IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.2.0
A tabela a seguir descreve as mudanças incluídas no IBM QRadar Fortinet FortiAnalyzer Content Extension 1.2.0.
| Tipo | Nome | Descrição |
|---|---|---|
| Procura salva | FortiGate - Principais aplicativos bloqueados | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Ações do antivírus por tipo de violação | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Uso de memória por período | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais usuários da web ativos | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Sessões ativas de firewall por período | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais aplicativos por tipo | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais destinos por volume | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais arquivos infectados para os destinos mais comuns | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais arquivos infectados para as origens mais comuns | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais páginas da web solicitadas | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais serviços por volume | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais serviços por volume por destino de tráfego | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais origens por volume | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais usuários por aplicativo | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais vírus para origens comuns | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais vírus para os destinos mais comuns | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais servidores da web por volume | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Volume de tráfego por interface de destino | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Uso de CPU por período | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Procura salva | FortiGate - Principais websites para usuários mais ativos | Resolve um problema na procura salva para substituir LOGSOURCETYPENAME(logsourceid)por LOGSOURCETYPENAME(devicetype)nos parâmetros de procura para garantir que todos os dispositivos do Fortigate retornem os resultados conforme o esperado. |
| Pesquisa salva | FortiGate - Todos os websites bloqueados por classificação de URL | Resolve um problema no qual uma sintaxe AQL inválida impedia a conclusão da procura. |
| Pesquisa salva | FortiGate - Principais websites permitidos por classificação de URL | Resolve um problema no qual uma sintaxe AQL inválida impedia a conclusão da procura. |
| Propriedade Customizada | nome do host | A expressão regular foi atualizada para: hostname=["]{0,1}([A-Za-z0-9\-]*\.(.*?))["]{0,1}[\t ]{1} |
| Propriedade Customizada | Aplicativo de controle de aplicativos | A expressão regular foi atualizada para: app(\=["]{0,1}(.*?)["]{0,1}[ ,]) |
| Propriedade Customizada | Ação | A expressão regular foi atualizada para: ((action=|status=)["]{0,1}(.*?))["]{0,1}[ \t,] /* [ \t,] |
IBM Segurança QRadar Fortinet FortiAnalyzer Extensão de conteúdo 1.1.0
As seguintes procuras salvas foram incluídas no IBM Security QRadar:
- Fortigate - Sessões ativas de firewall por período
- Fortigate - Todos os websites bloqueados por classificação de URL
- Fortigate - Ações do antivírus por tipo de violação
- Fortigate - Uso de CPU por período
- Fortigate - Uso de memória por período
- Fortigate - Principais usuários da web ativos
- Fortigate - Agência do usuário dos principais aplicativos permitidos na v4
- Fortigate - Principais categorias permitidas na v4
- Fortigate - Principais websites permitidos por classificação de URL
- Fortigate - Agência do usuário dos principais websites permitidos na v4
- Fortigate - Principais aplicativos
- Fortigate - Principais aplicativos por tipo
- Fortigate - Agência do usuário dos principais aplicativos por tipo na v4
- Fortigate - Principais aplicativos bloqueados
- Fortigate - Principais categorias bloqueadas na v4
- Fortigate - Principais websites bloqueados
- Fortigate - Principais destinos por volume
- Fortigate - Principais arquivos infectados para os destinos mais comuns
- Fortigate - Principais arquivos infectados para as origens mais comuns
- Fortigate - Principais páginas da web solicitadas
- Fortigate - Principais serviços por volume
- Fortigate - Principais serviços por volume por destino de tráfego
- Fortigate - Principais origens por volume
- Fortigate - Principais usuários por aplicativo
- Fortigate - Principais origens de vírus
- Fortigate - Principais origens de vírus por interface
- Fortigate - Principais vírus para origens comuns
- Fortigate - Principais vírus para os destinos mais comuns
- Fortigate - Principais destinos da web por volume
- Fortigate - Principais servidores da web por volume
- Fortigate - Principais websites para usuários mais ativos
- Fortigate - Volume de tráfego por interface de destino
- Fortigate - Volume da web por tempo
A tabela a seguir mostra as propriedades customizadas que foram incluídas no IBM Security QRadar:
| Propriedade Customizada | Expressão regular |
|---|---|
| Sessões Ativas | totalsession=([0-9]+) |
| Aplicativo de controle de aplicativos | app (\ = (. *?) \) |
| Uso de CPU | cpu=([0-9]+) |
| Segundos de Duração | duration=(\d+) |
| Nome do Arquivo | filename=([^\s]+) |
| Ação Fortinet | (action=| status=)(.*?)\ |
| Controle de aplicativos do Fortinet | app = (\" (. *?) \") |
| Categoria de aplicativos do Fortinet | (appcat="| app_cat=")(.*?)\" |
| Tipo de Aplicativo Fortinet | (apptype="| app_type=")(.*?)\" |
| BytesReceived do Fortinet | ( rcvd=| rcvdbyte=)(.*?)\ |
| BytesSent do Fortinet | ( sent=| sentbyte=)(.*?)\ |
| Descrição de categoria do Fortinet | (catdesc="|cat_desc=")(.*?)\" |
| Interface de destino do Fortinet | ( dst_int="| dstintf=")(\w*)\" |
| Nome do Dispositivo Fortinet | devname=((\w(\-)?)*) |
| Nome do host Fortinet | hostname = (\" (. *?) \") |
| ID de Política Fortinet | policyid(\=(.*?)\ ) |
| Serviço Fortinet | serviço (\ = (. *?) \) |
| Número de sessão do Fortinet | (SN=|sessionid=)(.*?)\ |
| Site Fortinet | hostname=(\”[A-Za-z\-]*\.(.*?)\") |
| Interface de origem do Fortinet | (src_int="|srcintf=")(\w*)\" |
| Status Fortinet | status (\ = (. *?) \) |
| Subtipo Fortinet | subtype(\=(.*?)\ ) |
| Tipo de Fortinet | type (\ = (. *?) \) |
| URL da Fortinet | url = (\" (. *?) \") |
| Nome do host FortiGate | hostname = (\" (. *?) \") |
| Uso de memória | mem=([0-9]+) |
| Política | policyid=(\d+) |
Os relatórios a seguir foram incluídos no IBM Security QRadar:
- Fortigate - Solicitação de usuário de agência - Websites permitidos
- Fortigate - Solicitação de usuário de agência - Websites bloqueados
- Fortigate - Solicitação de usuário de agência - Categoria
- Fortigate - Solicitação de usuário de agência - Principais aplicativos permitidos
- Fortigate - Solicitação de usuário de agência - Principais aplicativos por tipo
- Fortigate - Solicitação de usuário de agência - Volume da web
- Fortigate - Mensal - Relacionamentos pessoais
- Fortigate - Status mensal - Estatísticas de hardware
- Fortigate - Status mensal - Volume de tráfego
- Fortigate - Status mensal - Filtro da web
- Fortigate - Relatório operacional - Controle de aplicativos
- Fortigate - Relatório operacional - Iniciado internamente - Sites
- Fortigate - Relatório operacional - Iniciado internamente - Origens e destinos
- Fortigate - Relatório operacional - Iniciado na Internet
- Fortigate - Relatório operacional - Websites maliciosos
- Fortigate - Relatório operacional - Principais destinos de vírus
- Fortigate - Relatório operacional - Principais origens de vírus