IBM QRadar-тай GravityZone Cloud-ийг хэрхэн холбох вэ?

Ерөнхий тойм

Энэ интеграци нь GravityZone-ийн үйл явдлыг IBM QRadar ашиглан илүү сайн хянах боломж олгоно. Bitdefender DSM for QRadar нь үйл явдлуудыг QRadar-ийн дээд болон доод түвшний аюулын ангилалд хуваарилдаг төхөөрөмж дэмжлэгийн модуль (device support module) юм. Ингэснээр QRadar администратор нарийн хайлт, олон төрөл, эх сурвалжийн үйл явдлын хоорондын харьцуулалт хийж, GravityZone технологийн давхаргуудын тайлагнасан дэлгэрэнгүй мэдээллийг ашигласан аюул хайх (threat-hunting) ажиллагаа явуулах боломжтой.

Урьдчилсан нөхцөл

• IBM QRadar 7.3.3 (Patch 6) хувилбар эсвэл IBM QRadar Cloud

QRadar дээр апп суулгах

IBM QRadar дээр Bitdefender DSM for QRadar-ийг суулгахын тулд:

1. 1IBM QRadar-т нэвтэрнэ.

2. 2Admin табыг дарна.

3. 3System Configuration хэсгийн доорх Extensions Management-ийг дарна. Шинэ цонх нээгдэнэ.

4. 4Баруун талын Add товчийг дараад суулгалтын багцыг Browse хийж сонгоно.

5. 5Install immediately-г сонгоод Add дарна.

6. 6Install дарна.

Суулгалт дууссаны дараа аппликейшнийг Extensions Management цонхноос харж болно.

HTTP Receiver-ийг тохируулах

Доорх тохиргооны алхамууд IBM QRadar 7.5.0 Update Package 3 хүртэлх хувилбаруудад өөр байж болно. Дэлгэрэнгүйг IBM-ийн албан ёсны баримтаас үзнэ үү.

QRadar дээр HTTP Receiver-ийг тохируулахын тулд:

1. 1IBM QRadar-т нэвтэрнэ.

2. 2Admin-д орж QRadar Log Source Management аппликейшний дүрсийг дарна.

3. 3Log Sources-ийг сонгоно.

4. 4+New Log Source товчоор шинэ log source үүсгэнэ.

5. 5Single Log Source эсвэл Multiple Log Sources-ийн аль нэгийг сонгоно.

6. 6Bitdefender JSON HTTP log source төрлийг хайж сонгоно. Үргэлжлүүлэхийн тулд Step 2: Select Protocol Type товчийг дарна.

7. 7HTTP Receiver протоколын төрлийг хайж сонгоно. Үргэлжлүүлэхийн тулд Step 3: Configure Log Source Parameters товчийг дарна.

8. 8Log source-ийн параметрүүдийг хүссэнээрээ тохируулна. Зарим тохиргоо урьдчилан хийгдсэн байдаг бөгөөд үндсэн утгыг нь хэвээр үлдээж эсвэл өөрийн хэрэгцээнд тохируулж болно. Үргэлжлүүлэхийн тулд Step 3: Configure Protocol Parameters товчийг дарна.

9. 9Протоколын параметрүүдийг тохируулна. Log source identifier нь таны GravityZone console-ийн вэб хаяг юм.

> Тэмдэглэл: Холболтын төрөл HTTPS, TLS хувилбар TLSv1.2 байгаа эсэх, listen port зөв тохируулагдсан эсэхийг шалгана.

10. 10Параметрүүдээ турших ба тохиргоог дуусгана.

HTTP Receiver-ийг GravityZone Event Push API Service-д бүртгэх

HTTP Receiver-ийг ашиглахын тулд GravityZone Event Push API Service-ийг QRadar instance руу үйл явдал илгээхээр тохируулах шаардлагатай.

Эхлээд доорх алхмаар GravityZone Control Center-т API түлхүүр үүсгэнэ.

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2My Account руу орно.

3. 3API keys хэсэгт Add дарна.

4. 4Event Push Service нүдийг тэмдэглээд Generate дарна. Шинэ цонхонд API түлхүүр харагдана. Түлхүүрийг аюулгүй газар хадгалаарай.

5. 5Өөрчлөлтийг хадгалахын тулд Save дарна.

6. 6API key болон Access URL-ийг санаж авна.

Одоо Postman эсвэл өөрийн сонгосон өөр API туршилтын хэрэгслээр GravityZone Event Push API Service-ээр үйл явдал илгээж эхэлж болно. API-ийн ерөнхий боломжийн талаар Public API баримтаас үзнэ үү.

API туршилтын хэрэгсэлд хүсэлтээ setPushEventSettings аргаар, дараах зааврын дагуу тохируулна.

• Шаардлагатай URL нь CONTROL_CENTER_APIs_ACCESS_URL/v1.0/jsonrpc/push хэлбэртэй бөгөөд CONTROL_CENTER_APIs_ACCESS_URL-ийг өөрийн GravityZone Access URL-ээр солино.
• Authorization-ийн төрөл basic байна.
• Username нь өмнө авсан API түлхүүр байна.
• Та энэ хүсэлтийн жишээг ашиглан тохируулж болно.

Хүсэлт амжилттай бол хариу true утгатай байна. Хэдхэн минутын дараа QRadar instance-д хүссэн үйл явдлуудыг харах боломжтой.

Хадгалсан хайлтууд

Аюулгүй байдлын үйл явдлыг илрүүлэхэд туслахын тулд Bitdefender DSM for QRadar нь үйл явдлыг өгч буй модулиас хамааран доор тодорхойлсон хэд хэдэн хадгалсан хайлт агуулна.

Content Control

• Bitdefender-Blocked Apps Activity Report – Advanced Search Time Range — блоклосон аппликейшний үйл явдлыг нэгтгэж, сүүлд блоклосон огноо, компьютерийн IP, аппликейшний зам зэрэг мэдээллийг харуулна.
• Bitdefender-Blocked Apps Affected Objects – Advanced Search Time Range — блоклосон аппликейшний нэгтгэсэн үйл явдлыг төвлөрүүлнэ. Энэ түргэн хайлт нь тухайн аппликейшний шилдэг 10 хэрэглэгч ба тэдгээрийн IP хаяг, сүүлд блоклосон огноо, нийт илрүүлэлтийн тоо зэрэг мэдээллийг өгнө. Дурын мөр дээр хоёр товшвол тухайн мөрийг бүрдүүлж буй үйл явдлууд гарна.
• Bitdefender-Blocked Websites Activity Report – Advanced Search Time Range — тодорхой вэб сайтуудыг блоклосон үйл явдлыг төвлөрүүлнэ. Сүүлд блоклосон огноо, компьютерийн IP, URL-ийг харж болно.

Firewall

• Bitdefender-Firewall Events Activity Report – Advanced Search Time Range — блоклосон траффикийн үйл явдлыг төвлөрүүлнэ. Сүүлд блоклосон огноо, компьютерийн IP, Source IP, блоклосон траффикийн Protocol ID-г харж болно.
• Bitdefender-Firewall Events Blocking Actions – Advanced Search Time Range — траффик блоклосон үйл явдлыг төвлөрүүлнэ. Энэ түргэн хайлт нь сүүлийн аппликейшний зам, TCP/IP протоколын ID, төлөв зэрэг үйл явдлын нэмэлт мэдээллийг өгнө.
• Bitdefender-Firewall Events Top 10 Source Ips – Advanced Search Time Range — траффик блоклосон нэгтгэсэн үйл явдлыг төвлөрүүлнэ. Энэ түргэн хайлт нь шилдэг 10 хост ба блоклосон үйл явдлын тоог өгнө.

HyperDetect

• Bitdefender-HyperDetected activity report – Advanced Search Time Range — аюул илэрсэн үйл явдлыг төвлөрүүлж, илрүүлсэн цаг, хортой программын нэр, файлын зам, төгсгөлийн төхөөрөмжийн IP зэрэг дэлгэрэнгүй мэдээллийг өгнө.
• Bitdefender-HyperDetected Detections by Threats – Advanced Search Time Range — аюулын нэгтгэсэн үйл явдлыг төвлөрүүлж, HyperDetect модулийн хамгийн их илрүүлсэн аюулууд болон илрүүлэлтийн тоог харуулна.
• Bitdefender-HyperDetected Still Infected Hosts – Advanced Search Time Range — аюул илэрсэн боловч устгагдаагүй (төгсгөлийн төхөөрөмж дээр одоо ч байж болзошгүй) хостуудад төвлөрсөн аюулын үйл явдлыг нэгтгэнэ.
• Bitdefender-HyperDetected Top 10 Threats – Advanced Search Time Range — аюулын нэгтгэсэн үйл явдлыг төвлөрүүлнэ. Энэ хайлт нь HyperDetect модулийн илрүүлсэн шилдэг 10 аюул ба илрүүлэлтийн тоог өгнө.

Incident Sensor

• Bitdefender-Incident Activity Report – Advanced Search Time Range — GravityZone платформын үүсгэсэн инцидентийн үйл явдлыг төвлөрүүлнэ. Ийм үйл явдлын incident ID, инцидентийн ноцтой байдал, хортой программ илэрсэн бол илрүүлэлтийн нэрийг харж болно.
• Bitdefender-Incidents Detection by Attack Types – Advanced Search Time Range — GravityZone платформын үүсгэсэн инцидентийн нэгтгэсэн үйл явдлыг төвлөрүүлнэ. Энэ түргэн хайлт нь илэрсэн халдлагын төрлөөр бүх инцидентийг харах боломж олгоно.
• Bitdefender-Incidents High Severity – Advanced Search Time Range — GravityZone платформын үүсгэсэн өндөр ноцтой инцидентийн үйл явдлыг төвлөрүүлнэ. Энэ түргэн хайлт нь өндөр ноцтой тохиолдолд төвлөрч, тэдгээрээс үүссэн нийт үйл явдлын хэмжээг хурдан ойлгоход тусална.

Antimalware

• Bitdefender-Malware Activity Report – Advanced Search Time Range — хортой программ илэрсэн үйл явдлыг төвлөрүүлнэ. Илрүүлсэн цаг, хортой программын нэр, файлын зам, төгсгөлийн төхөөрөмжийн IP зэрэг мэдээллийг харж болно.
• Bitdefender-Malware Detections by Threats – Advanced Search Time Range — хортой программ илэрсэн нэгтгэсэн үйл явдлыг төвлөрүүлнэ. Энэ түргэн хайлт нь хамгаалагдсан төгсгөлийн төхөөрөмжүүд дээр нэг хортой программ хэдэн удаа илэрснийг харуулна.
• Bitdefender-Malware Still Infected Hosts – Advanced Search Time Range — шалгасан зүйлийг үл тоосон, сэргээсэн эсвэл одоо ч байгаа үйл явдлыг төвлөрүүлнэ. IP хаяг, хэрэглэгчийн нэр, компьютерийн нэр, хортой программын төрөл ба нэр, үйлдлийн төлөв зэрэг мэдээллийг харж болно.
• Bitdefender-Malware Top 10 Threats – Advanced Search Time Range — хортой программ илэрсэн нэгтгэсэн үйл явдлыг төвлөрүүлнэ. Энэ түргэн хайлт нь Antimalware модулийн илрүүлсэн шилдэг 10 аюул ба илрүүлэлтийн тоог өгнө.

Эдгээр хайлтыг ашиглахын тулд:

1. 1Log Activity табыг дарна.

2. 2Хуудасны зүүн дээд хэсгээс Quick Searches-ийг дарна. Хэрэглэгчийн болон урьдчилан тодорхойлсон бүх хадгалсан хайлтын жагсаалт харагдана.

Хайлтууд харагдахгүй бол:

1. Хуудасны зүүн дээд хэсгээс Search товчийг дараад New Search-ийг сонгоно.
2. Хайлтын нэрийг текст талбарт бичих эсвэл Available Saved Searches-ээс сонгоно.
3. Load товчийг дарна.
4. Ачаалагдсаны дараа Include in my Quick Searches нүдийг тэмдэглэнэ.
5. Хуудасны баруун доод хэсгээс Search товчийг дарна. Дууссаны дараа хайлтыг Quick Searches жагсаалтаас харж болно.

3. 3Холбогдох бүх үйл явдлыг жагсаахын тулд сонирхсон хайлтаа сонгоно.

Үйл явдлыг харах ба судлах

Энэ интеграци нь үйл явдлыг бодит цагт харж, тохируулж болдог хайлтаар сайтар судлах боломж олгоно.

Үйл явдлыг судлахын тулд:

1. 1Log Activity табад орно.

2. 2Quick Searches-ийг дарна.

3. 3Урьдчилан тодорхойлсон хайлтыг сонгоно.

4. 4Холбогдох үндсэн хайлтыг ашиглах эсвэл өөрчилнө.

5. 5Search дарна.

6. 6Сонирхсон үйл явдал дээрээ хоёр товшино. Дэлгэрэнгүйг Event Information цонхноос харна.

Мөн энэ цонхноос үйл явдлыг JSON хэлбэрээр харж болно.

GravityZone-ийн үйл явдлын талаарх дэлгэрэнгүйг Event Types хуудсаас үзнэ үү.