IBM QRadar

Ерөнхий тойм

Энэ холболт нь GravityZone-ийн үйл явдлуудыг IBM QRadar ашиглан илүү сайн хянах боломжийг олгоно. Bitdefender DSM for QRadar нь төхөөрөмж дэмжих модуль (device support module) бөгөөд үйл явдлуудыг QRadar-ын өндөр болон доод түвшний аюулын ангиллын дагуу ангилна. Ингэснээр QRadar-ын администратор нарийн төвөгтэй хайлт хийх, олон төрлийн үйл явдал болон эх сурвалжийн хооронд харьцуулан уялдуулах (cross-correlation), мөн GravityZone технологийн давхаргуудаас мэдээлсэн нарийвчилсан мэдээллийг ашигласан аюул хайх (threat-hunting) үйл ажиллагаа явуулах боломжтой болно.

Урьдчилсан нөхцөл

• IBM QRadar On-premises 7.3.3 хувилбар (Patch 6).
• Bitdefender GravityZone On-premises хамгийн багадаа 6.23.x хувилбар бөгөөд Syslog протоколыг TCP эсвэл UDP-ээр идэвхжүүлсэн байх.

Үйл явдал илгээхийг идэвхжүүлэх

GravityZone-ийг QRadar instance рүү Syslog протоколоор үйл явдал илгээхийг зөвшөөрөхийн тулд:

1. 1
   GravityZone Control Center-т холбогдоно.
2. 2
   Configuration хуудас руу очиж Miscellaneous дарна.
3. 3
   Enable Syslog сонголтын хайрцгийг тэмдэглэнэ.
4. 4
   QRadar instance-ийн IP хаяг, сонгосон протокол, Syslog сонсож буй портыг оруулна.
5. 5
   Өгөгдлийг Syslog сервер рүү илгээх формат болгон Common Event Format (CEF)-ийг сонгоно.
6. 6
   Action баганад байгаа Add товчийг дарна.

QRadar instance дээр хүлээн авахыг хүссэн үйл явдлуудыг сонгохын тулд:

1. 1
   GravityZone Control Center-т холбогдоно.
2. 2
   Цэсний мөрийн баруун талд байгаа Notification товчийг дараад Settings дүрсийг дарна.
3. 3
   Enable Notification хэсэгт GravityZone-оос хүлээн авахыг хүссэн мэдэгдлийн төрлүүдийг сонгоод Log to server сонголтын хайрцгийг тэмдэглэнэ.

Дэлгэрэнгүйг Notification Types сэдвээс үзнэ үү.

QRadar дээр аппликейшныг суулгах

Bitdefender DSM for QRadar-ийг IBM QRadar дээр суулгахын тулд:

1. 1
   IBM QRadar-т нэвтэрнэ.
2. 2
   Admin табыг дарна.
3. 3
   System Configuration хэсэгт Extensions Management дарна. Шинэ цонх нээгдэнэ.
4. 4
   Баруун талын Add товчийг дараад суулгах багцыг Browse хийж олно.
5. 5
   Install immediately-г сонгоод Add дарна.
6. 6
   Install дарна.

Суулгаж дууссаны дараа аппликейшныг Extensions Management цонхноос олох боломжтой.

Лог эх сурвалжийг тохируулах

Дараах тохиргооны алхмууд QRadar-ын 7.5.0 Update Package 3 хүртэлх хувилбаруудад өөр байж болно. Дэлгэрэнгүйг IBM-ийн албан ёсны баримт бичгээс үзнэ үү.

QRadar instance дээр аюулгүй байдлын үйл явдлыг хүлээн авахын тулд:

1. 1
   Admin руу орж QRadar Log Source Management аппликейшны дүрсийг дарна.
2. 2
   Log Sources-г сонгоно.
3. 3
   +New Log Source товчоор шинэ лог эх сурвалж үүсгэнэ.
4. 4
   Single Log Source эсвэл Multiple Log Sources-ийн аль нэгийг сонгоно.
5. 5
   Bitdefender CEF Syslog лог эх сурвалжийн төрлийг хайж сонгоно. Үргэлжлүүлэхийн тулд Step 2: Select Protocol Type товчийг дарна.
6. 6
   Syslog протоколын төрлийг хайж сонгоно. Үргэлжлүүлэхийн тулд Step 3: Configure Log Source Parameters товчийг дарна.
7. 7
   Лог эх сурвалжийн параметрүүдийг хүссэнээрээ тохируулна. Үргэлжлүүлэхийн тулд Step 3: Configure Protocol Parameters товчийг дарна.
8. 8
   Протоколын параметрүүдийг тохируулна. Log source identifier нь GravityZone appliance-ийн hostname байна. Анхдагч hostname нь gzva.
9. 9
   Finish дарна.

Хадгалсан хайлтууд

Аюулгүй байдлын үйл явдлыг тодорхойлоход туслахын тулд Bitdefender DSM for QRadar нь хоёр хадгалсан хайлттай:

• Bitdefender “Malware - Still Infected Hosts”(On-prem) – Antimalware болон HyperDetect модулиудын үйл явдлыг нэгтгэнэ. Харгалзах технологиор шалгасан зүйлийг үл тоосон, сэргээсэн эсвэл хэвээр байгаа үйл явдлуудыг харах боломжтой. Үйл явдлууд нь IP хаяг, хэрэглэгчийн нэр, компьютерийн нэр, хортой кодын төрөл, хортой кодын нэр, үйлдлийн төлөв зэрэг дэлгэрэнгүйг өгнө.
• Bitdefender “Threats Overview”(On-prem) – Antimalware, Antiphishing, Advanced Threat Control, Security for Exchange, HyperDetect, Sandbox Analyzer, Advanced Anti-Exploit, Content Control, Security for Storage болон Ransomware Mitigation модулиудын үйл явдлыг нэгтгэнэ. Үйл явдлууд нь IP хаяг, хэрэглэгчийн нэр, компьютерийн нэр, үйлдлийн төлөв зэрэг дэлгэрэнгүйг өгнө.

Эдгээр хайлтыг ашиглахын тулд доорх алхмуудыг дагана:

1. 1
   Log Activity табыг дарна.
2. 2
   Хуудасны зүүн дээд талаас Quick Searches дарна. Таны өөрийн болон урьдчилан тодорхойлсон бүх хадгалсан хайлтын жагсаалт харагдана.

Хэрэв хоёр хайлт жагсаалтад байхгүй бол:

1. 1
   Хуудасны зүүн дээд талын Search товчийг дараад New Search-ийг сонгоно.
2. 2
   Текстийн талбарт хайлтын нэрийг бичих эсвэл Available Saved Searches-ээс сонгоно.
3. 3
   Load товчийг дарна.
4. 4
   Ачаалсны дараа Include in my Quick Searches сонголтын хайрцгийг тэмдэглэнэ.
5. 5
   Хуудасны баруун доод талын Search товчийг дарна. Дууссаны дараа хайлтыг Quick Searches жагсаалтаас харах боломжтой.

Хайж буй хайлтаа сонгон тохирох бүх үйл явдлыг жагсаана.

Үйл явдлыг харах, өгөгдлийг судлах

Энэ холболт нь үйл явдлуудыг бодит цагт харах, өөрчилж болох хүсэлтүүдээр (queries) зохих ёсоор судлах боломжийг олгоно.

Үйл явдлыг судлахын тулд:

1. 1
   Log Activity таб руу орно.
2. 2
   Quick Searches дарна.
3. 3
   Bitdefender “Malware - Still infected hosts”(On-prem) эсвэл Bitdefender “Threats Overview”(On-prem)-г сонгоно.
4. 4
   Харгалзах анхдагч хүсэлтийг өөрчлөх эсвэл хэвээр ашиглана.

Bitdefender “Malware - Still infected hosts”(On-prem)-ийн анхдагч хүсэлт:

SELECT DVC as "IP Address", "Target User Name", "Target Computer Name", "Malware Type", "Malware Name", "Action State" FROM events WHERE LOGSOURCETYPENAME(devicetype) = 'Bitdefender CEF Syslog' and QIDNAME(qid) IN('AntiMalware','HyperDetect Activity') and "Malware Type" IN ('file', 'http', 'cookie', 'pop3', 'smtp', 'process', 'boot', 'registry', 'stream') and "Action State" IN('still present', 'ignored', 'restored')

Bitdefender “Threats Overview”(On-prem)-ийн анхдагч хүсэлт:

SELECT DVC as "IP Address", "Target User Name", "Target Computer Name", "Action State" FROM events WHERE LOGSOURCETYPENAME(devicetype) = 'Bitdefender CEF Syslog' and QIDNAME(qid) IN('Antiphishing','AntiMalware','Behavioral scanning','Exchange Malware Detected', 'HyperDetect Activity', 'HVI', 'Sandbox Analyzer Detection', 'Exploit Mitigation', 'Web Control', 'Storage Antimalware', 'Ransomware Detection') and ("Event Type" NOT IN (NULL,'N/A','None') OR "Malware Type" NOT IN (NULL,'N/A','None') OR "Exploit Type" NOT IN (NULL,'N/A','None') OR "Threat Name" NOT IN (NULL,'N/A','None') OR "Attack Type" NOT IN (NULL,'N/A','None') OR "Application Control Block Type" NOT IN (NULL,'N/A','None'))

5. 5
   Search дарна.
6. 6
   Сонирхсон үйл явдал дээрээ давхар товшино. Дэлгэрэнгүйг Event Information цонхноос харж болно.
7. 7
   Мөн тэр цонхонд үйл явдлыг CEF форматаар харах боломжтой.

GravityZone-ийн үйл явдлын талаар илүү мэдээлэл авахыг хүсвэл Syslog Event Types хэсгийг үзнэ үү.