Integrieren von Qradar in Microsoft Defender für loT
In diesem Artikel wird beschrieben, wie Microsoft Defender for IoT in QRadar integriert wird.
Die Integration in QRadar unterstützt Folgendes:
Weiterleiten von Azure Defender for IoT-Warnungen an IBM QRadar, um für eine einheitliche IT- und OT-Sicherheitsüberwachung und -Governance zu sorgen
Eine Übersicht über IT- und OT-Umgebungen, anhand der Sie mehrstufige Angriffe erkennen und darauf reagieren können, die häufig IT- und OT-Grenzen überschreiten.
Integration in vorhandene SOC-Workflows
Voraussetzungen
Zugriff auf einen Defender for IoT OT-Sensor als Admin-Benutzer. Weitere Informationen finden Sie unter Lokale Benutzer und Rollen für die OT-Überwachung mit Defender for IoT.
Zugriff auf eine lokale OT-Verwaltungskonsole von Defender for IoT als ein Administratorbenutzer. Weitere Informationen finden Sie unter Lokale Benutzer und Rollen für die OT-Überwachung mit Defender for IoT.
Zugang zum QRadar-Administratorbereich.
Konfigurieren von Syslog-Listener für QRadar
Konfigurieren von Syslog-Listener für die Zusammenarbeit mit QRadar:
Melden Sie sich bei QRadar an, und wählen Sie Admin>Data Sources aus.
Wählen Sie im Fenster „Datenquellen“ die Option Protokollquellen aus.
Wählen Sie im Fenster Modal die Option Hinzufügen aus.
Legen Sie im Dialogfeld Add a log source die folgenden Parameter fest:
Parameter BESCHREIBUNG Protokollquellenname <Sensor name>Protokollquellenbeschreibung <Sensor name>Protokollquellentyp Universal LEEFProtokollkonfiguration SyslogProtokollquellenbezeichner <Sensor name>Hinweis
Der Name des Protokollquellenbezeichners darf keine Leerzeichen enthalten. Es wird empfohlen, Leerzeichen durch einen Unterstrich zu ersetzen.
Wählen Sie Speichern und dann Änderungen bereitstellen aus.
Bereitstellen einer QID für Defender for IoT
Eine QID ist ein QRadar-Ereignisbezeichner. Da alle Defender for IoT-Berichte unter demselben Ereignis (Sensorwarnung) markiert sind, können Sie dieselbe QID für diese Ereignisse in QRadar verwenden.
So stellen Sie eine QID für Defender for IoT bereit
Melden Sie sich an der QRadar-Konsole an.
Erstellen Sie eine Datei mit dem Namen
xsense_qids.Verwenden Sie in der Datei den folgenden Befehl:
,XSense Alert,XSense Alert Report From <XSense Name>,5,7001.Führen Sie
sudo /opt/qradar/bin/qidmap_cli.sh -i -f <path>/xsense_qidsaus.Eine Bestätigungsmeldung wird mit dem Hinweis angezeigt, dass die QID erfolgreich bereitgestellt wurde.
Erstellen von QRadar-Weiterleitungsregeln
Erstellen Sie eine Weiterleitungsregel über Ihre lokale Verwaltungskonsole, um Warnungen an QRadar weiterzuleiten.
Weiterleitungswarnungsregeln werden nur für Warnungen ausgeführt, die nach dem Erstellen der Weiterleitungsregel ausgelöst werden. Warnungen, die sich bereits im System befanden, bevor die Weiterleitungsregel erstellt wurde, sind von der Regel nicht betroffen.
Der folgende Code ist ein Beispiel für an QRadar gesendete Nutzdaten:
<9>May 5 12:29:23 sensor_Agent LEEF:1.0|CyberX|CyberX platform|2.5.0|CyberX platform Alert|devTime=May 05 2019 15:28:54 devTimeFormat=MMM dd yyyy HH:mm:ss sev=2 cat=XSense Alerts title=Device is Suspected to be Disconnected (Unresponsive) score=81 reporter=192.168.219.50 rta=0 alertId=6 engine=Operational senderName=sensor Agent UUID=5-1557059334000 site=Site zone=Zone actions=handle dst=192.168.2.2 dstName=192.168.2.2 msg=Device 192.168.2.2 is suspected to be disconnected (unresponsive).
Beim Konfigurieren der Weiterleitungsregel gilt Folgendes:
Wählen Sie im Bereich Aktionen die Option Qradar aus.
Geben Sie Details zu Host, Port und Zeitzone von QRadar ein.
Optional können Sie die Verschlüsselung aktivieren und dann konfigurieren und/oder auswählen, dass Warnungen extern verwaltet werden sollen.
Weitere Informationen finden Sie unter Weiterleiten von lokalen OT-Warnungsinformationen.
Zuordnen von Benachrichtigungen zu QRadar
Melden Sie sich bei Ihrer QRadar-Konsole an, und wählen Sie QRadar>Protokollaktivität aus.
Wählen Sie Filter hinzufügen aus, und definieren Sie die folgenden Parameter:
Parameter Beschreibung Parameter Log Sources [Indexed]Operator EqualsProtokollquellengruppe OtherProtokollquelle <Xsense Name>Suchen Sie einen unbekannten Bericht, der von Ihrem Defender for IoT-Sensor erkannt wurde, und doppelklicken Sie darauf.
Wählen Sie Map Event (Ereignis zuordnen) aus.
Wählen Sie auf der Seite Modal Log Source Event Folgendes aus:
- High-Level Category: „Suspicious Activity“ + „Low-Level Category“ – „Unknown Suspicious Event“ + „Log“
- Source Type: Beliebig
Klicken Sie auf Suchen.
Wählen Sie in den Ergebnissen die Zeile mit dem Namen „XSense“ und dann OK aus.
Alle Sensorberichte sind von nun an als Sensorwarnungen markiert.
Die folgenden neuen Felder werden in QRadar angezeigt:
UUID: Eindeutiger Warnungsbezeichner, z. B. 1-1555245116250.
Site: Der Standort, an dem die Warnung ermittelt wurde.
Zone: Die Zone, in der die Warnung ermittelt wurde.
Beispiel:
<9>May 5 12:29:23 sensor_Agent LEEF:1.0|CyberX|CyberX platform|2.5.0|CyberX platform Alert|devTime=May 05 2019 15:28:54 devTimeFormat=MMM dd yyyy HH:mm:ss sev=2 cat=XSense Alerts title=Device is Suspected to be Disconnected (Unresponsive) score=81 reporter=192.168.219.50 rta=0 alertId=6 engine=Operational senderName=sensor Agent UUID=5-1557059334000 site=Site zone=Zone actions=handle dst=192.168.2.2 dstName=192.168.2.2 msg=Device 192.168.2.2 is suspected to be disconnected (unresponsive).
Hinweis
Die Weiterleitungsregel, die Sie für QRadar erstellen, verwendet die UUID-API aus der lokalen Verwaltungskonsole. Weitere Informationen finden Sie unter UUID (Verwalten von Warnungen basierend auf der UUID).
Fügen Sie benutzerdefinierte Felder zu den Warnungen hinzu
So fügen Sie benutzerdefinierten Feldern Warnungen hinzu:
Wählen Sie Extract Property (Eigenschaft extrahieren) aus.
Wählen Sie RegEx Based (RegEx-basiert) aus.
Konfigurieren Sie die folgenden Felder:
Parameter BESCHREIBUNG Neue Eigenschaft Einer der folgenden:
– Beschreibung der Sensorwarnung
– Sensorwarnungs-ID
– Sensorwarnungsbewertung
– Sensorwarnungstitel
– Sensorzielname
– Direkte Sensorumleitung
– Sensor-Absender-IP
– Sensor-Absendername
– Sensorwarnungsmodul
– Sensor-QuellgerätnameParsing optimieren Aktivieren Sie. Feldtyp AlphaNumericAktiviert Aktivieren Sie. Protokollquellentyp Universal LEAFProtokollquelle <Sensor Name>Ereignisname Sollte bereits als Sensorwarnung festgelegt sein Erfassungsgruppe 1 RegEx Legen Sie Folgendes fest:
– Sensorwarnungsbeschreibung RegEx:msg=(.*)(?=\t)
– Sensorwarnungs-ID RegEx:alertId=(.*)(?=\t)
– Sensorwarnungsbewertung RegEx:Detected score=(.*)(?=\t)
– Sensorwarnungstitel RegEx:title=(.*)(?=\t)
– Sensorzielname RegEx:dstName=(.*)(?=\t)
– Direkte Sensorumleitung RegEx:rta=(.*)(?=\t)
– Sensor-Absender-IP: RegEx:reporter=(.*)(?=\t)
– Sensor-Absendername RegEx:senderName=(.*)(?=\t)
– Sensor-Alarmierungsmodul RegEx:engine =(.*)(?=\t)
– Sensor-Quellgerätname RegEx:src
Nächste Schritte
Feedback
Bald verfügbar: Im Laufe des Jahres 2024 werden wir GitHub-Tickets als Feedbackmechanismus für Inhalte auslaufen lassen und es durch ein neues Feedbacksystem ersetzen. Weitere Informationen finden Sie unter: https://aka.ms/ContentUserFeedback.
Einreichen und Feedback anzeigen für