收集 Qualys 漏洞管理日志

此解析器可处理键值 (KV) 或 JSON 格式的 Qualys 漏洞管理日志。它会提取漏洞详情、主机信息和扫描元数据，并将它们映射到 UDM。解析器还会处理不同的日志结构，优先进行 KV 解析，并在必要时回退到 JSON，并将 DetectionList 数组拆分为各个漏洞事件。

准备工作

确保您满足以下前提条件：

• Google Security Operations 实例。
• 对 Qualys VMDR 控制台的特权访问权限。

可选：在 Qualys 中创建专用 API 用户

1. 登录 Qualys 控制台。
2. 转到用户。
3. 依次点击新建 > 用户。
4. 输入用户所需的一般信息。
5. 选择用户角色标签页。
6. 确保该角色已选中 API 访问权限复选框。
7. 点击保存。

确定您的具体 Qualys API 网址

选项 1

按照平台标识中所述，确定您的网址。

选项 2

1. 登录 Qualys 控制台。
2. 依次前往帮助 > 关于。
3. 滚动页面，在“安全运维中心 (SOC)”下查看此信息。
4. 复制 Qualys API 网址。

设置 Feed

您可以通过两种不同的入口点在 Google SecOps 平台中设置 Feed：

• SIEM 设置 > Feed
• 内容中心 > 内容包

通过“SIEM 设置”>“Feed”设置 Feed

如需配置 Feed，请按以下步骤操作：

1. 依次前往 SIEM 设置 > Feed。
2. 点击添加新 Feed。
3. 在下一页上，点击配置单个 Feed。
4. 在 Feed 名称字段中，输入 Feed 的名称，例如 Qualys VM 日志。
5. 选择第三方 API 作为来源类型。
6. 选择 Qualys VM 作为日志类型。
7. 点击下一步。
8. 为以下输入参数指定值：
   • 用户名：输入用户名。
   • 密钥：输入密码。
   • API 完整路径：提供 Qualys API 服务器网址（例如 https://<qualys_base_url>/api/2.0/fo/asset/host/?action=list），其中 <qualys_base_url> 是您的账号所在的 Qualys API 服务器的基本网址。
9. 点击下一步。
10. 在最终确定界面中检查 Feed 配置，然后点击提交。

设置来自内容中心的 Feed

为以下字段指定值：

• 用户名：输入用户名。
• 密钥：输入密码。
• API 完整路径：提供 Qualys API 服务器网址（例如 https://<qualys_base_url>/api/2.0/fo/asset/host/?action=list），其中 <qualys_base_url> 是您的账号所在的 Qualys API 服务器的基本网址。

高级选项

• Feed 名称：用于标识 Feed 的预填充值。
• 来源类型：用于将日志收集到 Google SecOps 中的方法。
• 资源命名空间：与 Feed 关联的命名空间。
• 提取标签：应用于相应 Feed 中所有事件的标签。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。