Configurando uma origem de log TLS

Para criptografar eventos e enviar ao QRadar®, deve-se configurar uma origem de log com um protocolo TLS Syslog para estabelecer comunicação com o QRadar na porta 6514.

Procedimento

Efetue login no QRadar.
Clique na guia Administrador .
No menu de navegação, selecione Origens de Dados.
Clique em Fontes de Log > Incluir.

Configure os parâmetros a seguir:

Tabela 1. Fonte do log TLS para destino do WinCollect 10
Parâmetro	Descrição
Configuração de protocolo	TLS Syslog
Identificador de Fonte de Log	Um endereço IP ou nome do host para identificar a origem de log.
Porta de Atendimento do TLS	A porta de atendimento TLS padrão é 6514.
Modo de autenticação	O modo pelo qual sua conexão TLS é autenticada. Se selecionar a opção Autenticação de cliente e de TLS, você deverá configurar os parâmetros de certificado.
Caminho do certificado de cliente	O caminho absoluto no disco para o certificado de cliente. O certificado deve ser armazenado no QRadar ou Coletor de Eventos para essa origem de log
Tipo de certificado	O tipo de certificado a ser usado para a autenticação para o certificado do servidor e a chave do servidor. Selecione uma das opções a seguir na lista Tipo de certificado: Certificado gerado Certificado único e chave privada PKCS12 Certificado e Senha
Certificado gerado	Esta opção está disponível ao configurar o Tipo de certificado. Se desejar usar o certificado padrão e a chave gerada pelo QRadar para o certificado do servidor e a chave do servidor, selecione essa opção.
Certificado único e chave privada	Esta opção está disponível ao configurar o Tipo de certificado. Se quiser usar um único certificado PEM para o certificado do servidor, selecione essa opção e, em seguida, configure os parâmetros a seguir: Provided Server Certificate Path - O caminho absoluto para o certificado do servidor. Provided Private Key Path - O caminho absoluto para a chave privada. Nota: a chave privada correspondente deve ser uma chave PKCS8 codificada por DER A configuração falha com qualquer outro formato de chave.
PKCS12 Certificado e Senha	Esta opção está disponível ao configurar o Tipo de certificado. Se quiser usar um arquivo PKCS12 que contém o certificado do servidor e a chave do servidor, selecione essa opção e, em seguida, configure os parâmetros a seguir: PKCS12 Certificate Path - Digite o caminho do arquivo para o arquivo PKCS12 que contém o certificado do servidor e a chave do servidor. PKCS12 Password - Digite a senha para acessar o arquivo PKCS12. Certificate Alias - Se houver mais de uma entrada no arquivo PKCS12, um alias deverá ser fornecido para especificar qual entrada usar. Se houver apenas um alias no arquivo PKCS12, deixe esse campo em branco.
Comprimento máximo da carga útil	O comprimento máximo da carga útil (caracteres) exibido para a mensagem do TLS Syslog.
Número máximo de conexões	O parâmetro Maximum Connections controla quantas conexões simultâneas o protocolo TLS Syslog pode aceitar para cada Event Collector. Há um limite de 1000 conexões em todas as configurações de origem de log do syslog do TLS para cada Coletor de eventos O padrão para cada conexão de dispositivo é 50. Nota: origens de log descobertas automaticamente que compartilham um listener com outra origem de log. Por exemplo, se você usar a mesma porta no mesmo coletor de eventos, ela contará apenas uma vez com relação ao limite.
Protocolos TLS	O protocolo TLS a ser usado pela origem de log. Selecione uma das opções a seguir: TLS 1.2 e acima TLS 1.1 e acima TLS 1.0 e acima Para evitar vulnerabilidades de segurança, use o TLS 1.2 e superior.
Usar como uma origem de log de gateway	Envia eventos coletados por meio do QRadar Traffic Analysis Engine para detectar automaticamente a origem de log apropriada. Você deve selecionar isso para que o QRadar detecte / crie a origem de log correta para eventos. Quando essa opção não for selecionada e Padrão de Identificador de Origem de Log não estiver configurado, o QRadar receberá eventos como origens de log genéricas desconhecidas.
Padrão do Identificador de Origem de Log	Se você selecionou Usar como uma origem de log do gateway, use esta opção para definir um identificador de origem de log customizado para eventos que estão sendo processados e para que as origens de log sejam descobertas automaticamente quando aplicável. Se você não configurar o Padrão do identificador de origem de log, o QRadar receberá eventos como origens de log genéricas desconhecidas. Use os pares chave-valor para definir o Identificador de origem de log customizado. A chave é a Sequência de formatação do identificador, que é o valor resultante ou o valor de origem. O valor é o padrão de expressão regular associado que é usado para avaliar a carga útil atual. Esse valor também suporta grupos de captura que podem ser usados para customizar ainda mais a chave. Defina vários pares chave-valor digitando cada padrão em uma nova linha. Vários padrões são avaliados na ordem em que são listados. Quando uma correspondência é localizada, um Identificador de origem de log customizado é exibido. Os exemplos a seguir mostram várias funções de par chave-valor. Padrões `VPC=\sREJECT\sFAILURE` `$1=\s(REJECT)\sOK` `VPC-$1-$2=\s(ACCEPT)\s(OK)` Eventos `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origem de log customizado resultante VPC-ACCEPT-OK
Ativar multilinhas	Agregue várias mensagens em eventos únicos com base em uma Correspondência de Início/Final ou em uma expressão regular ID-Linked.
Método de agregação	Este parâmetro está disponível quando Ativar multilinhas está ativado. ID-Linked - Processa logs de eventos que contêm um valor comum no início de cada linha. Correspondência de início/final - Agrega eventos com base em uma expressão regular de início ou fim (regex).
Padrão de Início do Evento	Este parâmetro está disponível quando Ativar multilinhas está ativado e o Método de agregação está configurado como Iniciar/Terminar correspondência. A expressão regular (regex) que é necessária para identificar o início de uma carga útil do evento multilinhas TCP. Os cabeçalhos de syslog geralmente começam com uma data ou um registro de data e hora. O protocolo pode criar um evento de linha única que seja baseado exclusivamente em um padrão de início de evento, como um registro de data e hora. Quando apenas um padrão de início estiver disponível, o protocolo capturará todas as informações entre cada valor inicial para criar um evento válido.
Padrão de término de evento	Este parâmetro está disponível quando Ativar multilinhas está ativado e o Método de agregação está configurado como Iniciar/Terminar correspondência. Essa expressão regular (regex) que é necessária para identificar o término de uma carga útil do evento de multilinhas do TCP. Se o evento syslog terminar com o mesmo valor, será possível utilizar uma expressão regular para determinar o término de um evento. O protocolo pode capturar eventos que são baseados em apenas um padrão de término de evento. Quando somente um padrão de término estiver disponível, o protocolo capturará todas as informações entre cada valor de término para criar um evento válido.
Padrão de ID de Mensagem	Este parâmetro está disponível quando Ativar multilinhas está ativado e o Método de agregação está configurado como ID-Linked. Essa expressão regular (regex) requeria filtrar as mensagens de carga útil do evento. As mensagens de eventos multilinhas de TCP devem conter um valor de identificação comum que se repete em cada linha da mensagem do evento.
limite de tempo	Este parâmetro está disponível quando Ativar multilinhas está ativado e o Método de agregação está configurado como ID-Linked. O número de segundos a aguardar por mais cargas úteis correspondentes antes que o evento seja enviado por push para o pipeline do evento. O padrão é 10 segundos.
Reter linhas inteiras durante a agregação de evento	Este parâmetro está disponível quando Ativar multilinhas está ativado e o Método de agregação está configurado como ID-Linked. Se você configurar o parâmetro Método de aggregação como ID-Linked, poderá ativar Reter linhas inteiras durante a Aggregação de Eventos para descartar ou manter a parte dos eventos que vem antes do Padrão de ID de mensagem ao concatenar eventos com o mesmo padrão de ID juntos.
Mesclar Linhas Eventos em Linha Única	Este parâmetro está disponível quando Ativar multilinhas está ativado. Mostra um evento em uma única linha ou em várias linhas.
Formatador de Eventos	Este parâmetro está disponível quando Ativar multilinhas está ativado. Use a opção Windows Multiline para eventos multilinhas que são formatados especificamente para Windows.

Clique em Salvar