Linux

A IBM Security QRadar Linux® extensão de conteúdo adiciona novas propriedades de eventos personalizados para Linux.

Importante: Para evitar erros de conteúdo nesta extensão de conteúdo, mantenha as DSMs associadas até hoje. Os DSMs são atualizados como parte das atualizações automáticas. Se as atualizações automáticas não estiverem ativadas, faça o download da versão mais recente dos DSMs associados a partir de IBM® Fix Central (https://www.ibm.com/support/fixcentral).

IBM Security QRadar Linux Extensões de conteúdo

Propriedades personalizadas na extensão de conteúdo “ Linux ” 1.1.4

A tabela a seguir mostra as novas propriedades personalizadas na extensão de conteúdo IBM Security QRadar Linux 1.1.4.

Tabela 1. Novas propriedades personalizadas na extensão de conteúdo “ Linux ” 1.1.4
Nome Otimizada Grupo de Captura Expressão regular
Aplicativo Sim 1 [> \.\s ]([\/_)(\w-]+)(?:\[\d+]:\s|\s+\d+\s+-\s+-)

Propriedades Customizadas na extensão de conteúdo Linux 1.1.3

A tabela a seguir mostra as novas propriedades customizadas na extensão de conteúdo IBM Security QRadar Linux 1.1.3 .

Tabela 2. Novas propriedades customizadas na extensão de conteúdo Linux 1.1.3
Nome Otimizada Grupo de Captura Expressão regular
Extensão de Arquivo Sim 1 item = \d + name=" (?: [^ \"] + \ /) * .. * ?\. ([^ \.] *? (?:\. [\.] *?){0,1}) "
Tabela 3. Novos nomes de propriedades no Linux 1.1.3 extensão de conteúdo
Nome da propriedade antiga Novo Nome de Propriedade
GroupID ID do grupo
ID da Máquina Identificador da Máquina
Process CommandLine Comando
Id do processo ID de processo
UrlHost Host de URL

Propriedades Customizadas na extensão de conteúdo Linux 1.1.2

A tabela a seguir mostra as novas propriedades customizadas na extensão de conteúdo IBM Security QRadar Linux 1.1.2 .

Tabela 4. Novas propriedades customizadas no Linux 1.1.2 extensão de conteúdo
Nome Otimizada Grupo de Captura Expressão regular
Tipo Não 1 type=([^\s]*)
Nome da Conta do Assunto Sim 1 Account Name:\s+(.*?)\s+Account Domain:

Propriedades Personalizadas em extensão de conteúdo Linux 1.1.1

A tabela a seguir mostra as propriedades customizadas atualizadas na extensão de conteúdo IBM Security QRadar Linux 1.1.1 .

Tabela 5.. Propriedades customizadas na extensão de conteúdo Linux 1.1.1
Nome Otimizada Grupo de Captura Expressão regular
Diretório de Arquivos Sim 1 nome=" (. *?) \/ "
ID de processo Sim 1

\bpid=(\d+)

\bpid=(\d+)

\[(\d+)\]\:\s

\bpid=(\d+)

pid=(\d+)

pid=(\d+)

A descrição para a propriedade File directory foi atualizada.

O ID de expressão para o Filename foi atualizado para evitar problemas com outro pacote de conteúdo.

Propriedades customizadas na extensão de conteúdo do Linux 1.1.0

A tabela a seguir mostra as propriedades customizadas na extensão de conteúdo IBM Security QRadar Linux 1.1.0 .

Tabela 6.. Propriedades customizadas na extensão de conteúdo do Linux 1.1.0
Nome Otimizada Grupo de Captura Expressão regular
Arquitetura Sim 1 arch=([0-9a-fA-F]+)
ID de auditoria Sim 1 auid=(\d+)
Tipo de Chamada Sim 1 syscall=(\d+)
Comando Sim 1 crontab\[\d+\]:\s+\(.*?\)\s+([^\s]+)
Argumentos de Comando Sim 1 argc=\d+ ((a\d+="[^";]+?" ?)+)
Diretório de Arquivos codificados Sim 1 item=\d+ name=((?:[A-F0-9]{2})*(?=2F(?:[A-F0-9]{2})*\s))

item=\d+ name=([A-F0-9]+)
Filename codificado Sim 1 item=\d+ name=(?:(?:[A-F0-9]{2})+2F)*([A-F0-9]+)
Código do erro Sim 1 exit=([^\s]+)
Diretório de Arquivos Sim 1 item=\d+ name=\"([^\s\"]+)(?=\/)

exe=\"([\/\w]+)(?=\/)

cwd="(.*?)"

name="(.*?)"\s
Extensão de Arquivo Sim 1 item=\d+ name="(?:[^\"]+\/)*.*?\.([^\.]*?(?:\.[^\.]*?){0,1})"
Permissões de Arquivo Sim 1 mode=(\d+)
Nome do Arquivo Sim 1 exe=\".*?\/([^\/]*?)\"

item=\d+ name="(?:[^\"]+\/)*([^\"]+)"
Nome do grupo Sim 1 grupo = ([^,] +)
Diretório Inicial Não 1 PWD=(.*?)\s;
ID da Máquina Sim 1 ^(?:\S+\s+){3}(\S+)

\bnode=([^\s]+)
ID do Processo Principal Não 1 ppid=(\d+)
Process CommandLine Sim 1 CMD \((.*?)\)

COMMAND = (. *)
Id do processo Não 1 pid=(\d+)

\bpid=(\d+)
Nome do Processo Sim 1 comm="(\w+)"
Número de registro Sim 1 msg=audit\(.*?:(\d+)\)
ID do terminal Não 1 tty=pts(\d+)
UrlHost Sim 1 (?:(?:http|ftp|tcp|ssl|https):\/\/)(.*?)(?=$|\s|\\|\"|\/|\:|\|)
As propriedades do cliente a seguir são removidas na extensão de conteúdo IBM Security QRadar Linux 1.1.0 :
  • Nome de Computador
  • Diretório De Processo

(Voltar para o topo)

Propriedades customizadas na extensão de conteúdo do Linux 1.0.1

A tabela a seguir mostra as propriedades customizadas na extensão de conteúdo IBM Security QRadar Linux 1.0.1 .

Tabela 7. Propriedades customizadas na extensão de conteúdo do Linux 1.0.1
Nome Otimizada Grupo de Captura Expressão regular
Nome de Computador Não 1 \bnode=([^\s]+)
Diretório de Arquivos Sim 1

exe=\"([\/\w]+)(?=\/)

PWD=([\/\w]+)(?=\/)

script=([\/\w]+)(?=\/)

item=\d+ name="([^\"]*)\/[^\\]+?"
Nome do Arquivo Sim 1

exe=\".*?\/([^\/]*?)\"

PWD=.*\/([^\/]*?);

script=.*\/([^,]*),\saccount

item=\d+ name="[^\"]+\/([^\"]+)"
ID do grupo Sim 1

(?i)gid=(\d+)

uid\/euid\/gid\/egid\s=\s\d+\/\d+\/(\d+)
Process CommandLine Sim 1 ocomm="([^\"]+)
Id do processo Não 1 \bpid=(\d+)
Nome do Processo Não 1

exe=".*\/([^"]+)"

START\:\s([^\s]+)

EXIT\:\s([^\s]+)

exe=\"[^\"]+\/([^"]+)
Caminho do Processo Não 1 exe="([^"]+)"
ID do usuário Sim 1 (?i)uid=(\d+)

(Voltar para o topo)

Propriedades customizadas na extensão de conteúdo do Linux 1.0.0

A tabela a seguir mostra as propriedades customizadas na extensão de conteúdo IBM Security QRadar Linux 1.0.0 .

Tabela 8. Propriedades customizadas na extensão de conteúdo do Linux 1.0.0
Nome Otimizada Grupo de Captura Expressão regular
Aplicativo Não 1 (\w+)\[\d+\]\:\s
Comando Não 1 COMMAND=([^\s]+)

running\s([^\s]+)\scommand
Nome de Computador Não 1 node=([^\s]+)
ID do grupo efetivo Não 1 uid\/euid\/gid\/egid\s=\s\d+\/\d+\/\d+\/(\d+)
ID do usuário efetivo Não 1 euid=(\d+)

uid\/euid\/gid\/egid\s=\s\d+\/(\d+)
Diretório de Arquivos Sim

Sim

 1

1

exe=\"([\/\w]+)(?=\/)

PWD=([\/\w]+)(?=\/)

script=([\/\w]+)(?=\/)
Nome do Arquivo Sim

Sim

 1

1

exe=\".*?\/([^\/]*?)\"

PWD=.*\/([^\/]*?);

script=.*\/([^,]*),\saccount
Nome do grupo Não 1

grupo = ([^,] +)
GroupID Não 1

gid=(\d+)

uid\/euid\/gid\/egid\s=\s\d+\/\d+\/(\d+)
Diretório Inicial Não 1

home=([^,]+)
Direção de Processo Não 1

direction=([^\s]+)
Id do processo Não 1

pid=(\d+)

\[(\d+)\]\:\s
Nome do Processo Não 1

exe=".*\/([^"]+)"

START\:\s([^\s]+)

EXIT\:\s([^\s]+)
Shell Não 1 shell=([^,]+)
ID do usuário Não 1

uid\/euid\/gid\/egid\s=\s(\d+)\/

uid=(\d+)

(Voltar para o topo)