QRadar

Versión de integración: 56.0

Despliegues de QRadar admitidos

Esta integración admite implementaciones de QRadar locales y en la nube.

Acceso de red a QRadar

Acceso a la API de Google Security Operations a QRadar: permite el tráfico a través del puerto 443 (HTTPS) o según se haya configurado en tu entorno.

Definir permisos de QRadar

Si creas un usuario y un perfil de seguridad de Google SecOps específicos en QRadar (como se indica en los pasos siguientes), obtendrás un control más granular sobre los permisos. Este enfoque es opcional, pero recomendable.

Una integración de QRadar también puede funcionar con una cuenta de administrador.

Crear un usuario de Google SecOps {:.hide-from-toc}

1. En QRadar, haga clic en el icono de la parte superior izquierda.

2. Vaya a Administrar y haga clic en Usuarios.

3. Haz clic en Nuevo y rellena la información para crear un usuario administrador.

Crear un perfil de seguridad de Google SecOps

1. Ve a Administración > Gestión de usuarios > Perfiles de seguridad.

2. Crea un perfil con los siguientes ajustes:

   • Precedencia de permisos: sin restricciones
   • Orígenes del registro: todos los grupos de orígenes del registro
   • Red: todas
   • Dominios: todos los dominios

   

Implementar cambios

Haz clic en Implementar en la pantalla.

Crear un servicio autorizado para acceder a la API

1. Vaya a Administrar > Gestión de usuarios > Servicios autorizados.

2. Crea un servicio con los siguientes ajustes:

   • Nombre del servicio: Siemplify_Application_User
   • Rol de usuario: administrador
   • Perfil de seguridad: administrador
   • Fecha de vencimiento: sin vencimiento

3. Copia la clave de autenticación generada y úsala en los ajustes de integración de Google SecOps (asistente de implementación).

Configurar la integración de QRadar en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar una integración en Google SecOps, consulta Configurar integraciones.

Parámetros de integración

Usa los siguientes parámetros para configurar la integración:

Acciones

Consulta de flujos similares

Descripción

Ejecuta una consulta AQL predefinida para encontrar flujos relacionados con la entidad de dirección IP de Google SecOps especificada.

Parámetros

Ejemplo de caso práctico de guía

Obtiene información de QRadar sobre los flujos registrados para la dirección IP específica durante los últimos x minutos.

Fecha de ejecución

Esta acción se ejecuta en la entidad Dirección IP.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "flows": [
      {
        "destinationflags": 27,
        "destinationpackets": 5.0,
        "sourcebytes": 522.0,
        "protocolid": 6,
        "sourceip": "195.200.72.148",
        "destinationbytes": 571.0,
        "lastpackettime": 1585057251000,
        "sourceflags": 27,
        "sourcepackets": 5.0,
        "qid": 53268795,
        "flowtype": 0,
        "destinationip": "37.28.155.22",
        "firstpackettime": 1585057224000,
        "category": 18448,
        "source hostname": null,
        "destination hostname": null
      },
      {
        "destinationflags": null,
        "destinationpackets": 0.0,
        "sourcebytes": 78.0,
        "protocolid": 17,
        "sourceip": "195.200.72.148",
        "destinationbytes": 0.0,
        "lastpackettime": 1585057220000,
        "sourceflags": null,
        "sourcepackets": 1.0,
        "qid": 53258563,
        "flowtype": 0,
        "destinationip": "8.8.8.8",
        "firstpackettime": 1585057177000,
        "category": 18438,
        "source hostname": null,
        "destination hostname": null
      },
      ...
    ]
}

Panel de casos

Consulta de eventos similares

Descripción

Ejecuta una consulta AQL predefinida para buscar eventos relacionados con las entidades de dirección IP, nombre de host o nombre de usuario de Google SecOps especificadas.

Parámetros

Ejemplo de casos prácticos

Obtiene información de QRadar sobre los eventos registrados para la entidad especificada durante los últimos x minutos.

Fecha de ejecución

Esta acción se ejecuta en las siguientes entidades:

• Dirección IP
• Nombre de host
• Usuario

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "events": [
      {
        "starttime": 1585288010745,
        "protocolid": 255,
        "sourceip": "10.0.100.250",
        "logsourceid": 62,
        "qid": 18750001,
        "sourceport": 0,
        "eventcount": 1,
        "magnitude": 10,
        "identityip": "0.0.0.0",
        "destinationip": "10.0.100.250",
        "destinationport": 0,
        "category": 10008,
        "username": null,
        "hostname": null
      },
      {
        "starttime": 1585288010745,
        "protocolid": 255,
        "sourceip": "10.0.100.250",
        "logsourceid": 62,
        "qid": 18750001,
        "sourceport": 0,
        "eventcount": 1,
        "magnitude": 10,
        "identityip": "0.0.0.0",
        "destinationip": "10.0.100.250",
        "destinationport": 0,
        "category": 10008,
        "username": null,
        "hostname": null
      },
      ...
    ]
}

Panel de casos

Búsqueda de AQL de QRadar

Descripción

Ejecuta una consulta AQL arbitraria en la instancia de QRadar. La acción devuelve un resultado en formato CSV.

Parámetros

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "events": [
        {
            "username": "None",
            "category": 4003,
            "starttime": 1548682790158,
            "destinationip": "1.1.1.1",
            "eventcount": 13,
            "qid": 20257872,
            "magnitude": 3,
            "destinationport": 53,
            "protocolid": 17,
            "sourceport": 50597,
            "identityip": "1.1.1.1",
            "sourceip": "1.1.1.1",
            "logsourceid": 71
        }, {
            "username": "None",
            "category": 8053,
            "starttime": 1548682800217,
            "destinationip": "1.1.1.1",
            "eventcount": 1,
            "qid": 20280296,
            "magnitude": 3,
            "destinationport": 443,
            "protocolid": 6,
            "sourceport": 49230,
            "identityip": "1.1.1.1",
            "sourceip": "1.1.1.1",
            "logsourceid": 71
        }
    ]
}

Panel de casos

Ping

Descripción

Prueba la conectividad con una instancia de QRadar.

Parámetros

N/A

Casos prácticos previstos

Comprobar si el acceso al sistema de destino se realiza correctamente o no con los parámetros proporcionados en la configuración de la integración en la página de Google Security Operations Marketplace.

Resultados de la acción

Resultado de la secuencia de comandos

Panel de casos

Buscar un valor en un conjunto de referencias

Descripción

Comprueba si un valor se incluye en un conjunto de referencias específico.

Parámetros

Ejemplo de caso práctico de guía

Se ha detectado que una IP es maliciosa en la ejecución de un playbook. Comprueba si aparece en el conjunto de referencia Malicious_IPs.

Fecha de ejecución

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "timeout_type": "FIRST_SEEN",
    "number_of_elements": 1,
    "data": [
      {
        "last_seen": 1611149814345,
        "first_seen": 1611149814345,
        "source": "admin",
        "value": "192.168.10.230",
        "domain_id": null
      }
    ],
    "creation_time": 1440695740583,
    "name": "Critical Assets",
    "namespace": "SHARED",
    "element_type": "IP",
    "collection_id": 20
  }

Panel de casos

Buscar un valor en un mapa de referencia

Descripción

Comprueba si un valor aparece en un mapa de referencia específico.

Parámetros

Ejemplo de caso práctico de guía

Comprueba si un nombre de usuario tiene permiso para acceder a una IP determinada en función de los valores del mapa de referencia.

Fecha de ejecución

Esta acción no se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "data": {
        "1001": {
            "last_seen": 1583903726952,
            "first_seen": 1583903726952,
            "source": "reference data api",
            "value": "jack"
        }
    }
}

Panel de casos

Buscar un valor en el mapa de referencia de conjuntos

Descripción

Comprueba si un valor se incluye en un mapa de referencia específico de conjuntos.

Parámetros

Ejemplo de casos prácticos

Comprueba si un nombre de usuario tiene permiso para acceder a una IP determinada en función del mapa de referencia de los valores definidos.

Fecha de ejecución

Esta acción se ejecuta en las entidades de Google SecOps.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

"data": {
        "192.168.1.1": [
            {
                "last_seen": 1583912905418,
                "first_seen": 1583912905418,
                "source": "reference data api",
                "value": "jack, john, huey"
            },
            {
                "last_seen": 1583913398524,
                "first_seen": 1583913398524,
                "source": "reference data api",
                "value": "zz"
            },
            {
                "last_seen": 1583913639025,
                "first_seen": 1583913639025,
                "source": "reference data api",
                "value": "jane"
            }
        ]
        }

Panel de casos

Buscar un valor en tablas de referencia

Descripción

Comprueba si un valor aparece en una tabla de referencia específica.

Parámetros

Fecha de ejecución

Esta acción se ejecuta en todas las entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "data": {
        "Source_IP": {
            "port": {
                "last_seen": 1583933682283,
                "first_seen": 1583933682283,
                "source": "reference data api",
                "value": "8080"
            }
        },
        "192.168.1.1": {
            "port": {
                "last_seen": 1583990995600,
                "first_seen": 1583990995600,
                "source": "reference data api",
                "value": "8080"
            }
        }
    }
}

Panel de casos

Buscar una clave en un mapa de referencia

Descripción

Comprueba si una clave aparece en un mapa de referencia específico.

Parámetros

Ejemplo de casos prácticos

Comprueba si un nombre de usuario tiene permiso para acceder a una IP determinada en función de los valores del mapa de referencia.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "data": {
        "1001": {
            "last_seen": 1583903726952,
            "first_seen": 1583903726952,
            "source": "reference data api",
            "value": "jack"
        }
    }
}

Panel de casos

Búsqueda de una clave en el mapa de referencia de conjuntos

Descripción

Comprueba si una clave aparece en un mapa de referencia específico de conjuntos.

Parámetros

Ejemplo de casos prácticos

Comprueba si un nombre de usuario tiene permiso para acceder a una IP determinada en función del mapa de referencia de los valores definidos.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

"data": {
        "192.168.1.1": [
            {
                "last_seen": 1583912905418,
                "first_seen": 1583912905418,
                "source": "reference data api",
                "value": "jack, john, huey"
            },
            {
                "last_seen": 1583913398524,
                "first_seen": 1583913398524,
                "source": "reference data api",
                "value": "zz"
            },
            {
                "last_seen": 1583913639025,
                "first_seen": 1583913639025,
                "source": "reference data api",
                "value": "jane"
            }
        ]
    }

Panel de casos

Mostrar conjuntos de referencias

Descripción

Lista los conjuntos de referencias disponibles en QRadar.

Parámetros

Ejemplo de casos prácticos

Lista los elementos disponibles de la referencia.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

[
    {
        "name": "Critical Assets",
        "element_type": "IP"
    },
    {
        "name": "Asset Reconciliation IPv4 Blocklist",
        "element_type": "IP"
    },
    {
        "name": "Proxy Servers",
        "element_type": "IP"
    }
]

Panel de casos

Mostrar mapas de referencia

Descripción

Lista de mapas de referencia disponibles en QRadar.

Parámetros

Ejemplo de casos prácticos

Lista los elementos disponibles de la referencia.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

[
    {
        "name": "User1",
        "element_type": "ALNIC"
    },
    {
        "name": "User",
        "element_type": "ALNIC"
    }
]

Panel de casos

List Reference Maps of Sets

Descripción

Lista de mapas de referencia de conjuntos disponibles en QRadar.

Parámetros

Ejemplo de casos prácticos

Lista los elementos disponibles de la referencia.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

[
    {
        "name": "CorrelatedAttackMap",
        "element_type": "ALN"
    },
    {
        "name": "TestMapOfSets",
        "element_type": "ALN"
    }
]

Panel de casos

Mostrar tablas de referencia

Descripción

Lista las tablas de referencia disponibles en QRadar.

Parámetros

Ejemplo de casos prácticos

Lista los elementos disponibles de la referencia.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

[
    {
        "name": "TestTable2",
        "element_type": "ALN"
    },
    {
        "name": "TestTable3",
        "element_type": "ALN"
    }
]

Panel de casos

Añadir nota de infracción

Descripción

Añadir una nota a una ofensa de QRadar.

Parámetros

Ejemplo de casos prácticos de la guía

Añade una nota sobre una ofensa de QRadar desde Google SecOps.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Panel de casos

Update Offense

Descripción

Actualiza la infracción de QRadar.

Parámetros

Ejemplo de casos prácticos de la guía

Actualiza el estado de las ofensas de QRadar desde Google SecOps para que se mantenga sincronizado con Google SecOps.

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "last_persisted_time": 1611143659000,
    "username_count": 0,
    "description": "Web\n",
    "rules": [
        {
            "id": 100555,
            "type": "CRE_RULE"
        }
    ],
    "event_count": 0,
    "flow_count": 4,
    "assigned_to": "admin",
    "security_category_count": 1,
    "follow_up": true,
    "source_address_ids": [
        50
    ],
    "source_count": 1,
    "inactive": true,
    "protected": true,
    "closing_user": null,
    "destination_networks": [
        "other"
    ],
    "source_network": "other",
    "category_count": 1,
    "close_time": null,
    "remote_destination_count": 1,
    "start_time": 1610451749000,
    "magnitude": 0,
    "last_updated_time": 1610451887000,
    "credibility": 0,
    "id": 93,
    "categories": [
        "Web"
    ],
    "severity": 0,
    "policy_category_count": 0,
    "log_sources": [],
    "closing_reason_id": null,
    "device_count": 0,
    "first_persisted_time": 1610451722000,
    "offense_type": 1,
    "relevance": 0,
    "domain_id": 0,
    "offense_source": "37.28.155.22",
    "local_destination_address_ids": [],
    "local_destination_count": 0,
    "status": "OPEN"
}

Panel de casos

Obtener cobertura de MITRE de una regla

Descripción

Obtenga detalles de MITRE sobre las reglas de QRadar mediante la aplicación Gestor de casos prácticos.

Parámetros

Fecha de ejecución

Esta acción no se ejecuta en entidades.

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

[{
    "rulename": "Excessive Database Connections"
        "id": "SYSTEM-1431",
        "has_ibm_default": true,
        "last_updated": 1591634177302,
        "mapping": {
            "Discovery": {
                "confidence": "medium",
                "user_override": false,
                "enabled": true,
                "ibm_default": true,
                "id": "TA0007",
                "techniques": {}
            },
            "Initial Access": {
                "confidence": "low",
                "user_override": false,
                "enabled": true,
                "ibm_default": true,
                "id": "TA0001",
                "techniques": {}
            }
        },
        "min-mitre-version": 7
    }
}]

Panel de casos

Búsqueda sencilla de AQL de QRadar

Descripción

Ejecuta una consulta AQL basada en parámetros de QRadar.

Parámetros

Resultados de la acción

Resultado de la secuencia de comandos

Resultado de JSON

{
    "events": [
        {
            "username": "None",
            "category": 4003,
            "starttime": 1548682790158,
            "destinationip": "1.1.1.1",
            "eventcount": 13,
            "qid": 20257872,
            "magnitude": 3,
            "destinationport": 53,
            "protocolid": 17,
            "sourceport": 50597,
            "identityip": "1.1.1.1",
            "sourceip": "1.1.1.1",
            "logsourceid": 71
        }, {
            "username": "None",
            "category": 8053,
            "starttime": 1548682800217,
            "destinationip": "1.1.1.1",
            "eventcount": 1,
            "qid": 20280296,
            "magnitude": 3,
            "destinationport": 443,
            "protocolid": 6,
            "sourceport": 49230,
            "identityip": "1.1.1.1",
            "sourceip": "1.1.1.1",
            "logsourceid": 71
        }
    ]
}

Panel de casos

Conectores

Configurar conectores de QRadar en Google SecOps

Para obtener instrucciones detalladas sobre cómo configurar un conector en Google SecOps, consulta el artículo Configurar el conector.

QRadar Correlation Events Connector V2

Descripción

Conector recomendado. Obtiene las infracciones de QRadar y genera alertas de Google SecOps por cada regla de QRadar añadida a la lista dinámica de Google SecOps. El conector solo obtiene las infracciones de las reglas que se añaden a la lista dinámica de Google SecOps. El conector requiere la versión 10.1 de la API de QRadar como mínimo. El conector crea alertas de Google SecOps basadas en el nombre de la regla de la infracción de QRadar, no en el nombre de la infracción.

Requisitos previos de los conectores

1. Índices de QRadar para los campos obligatorios. El conector QRadar New Correlation Events Connector V2 usa campos adicionales para los eventos asociados con los siguientes delitos: logsource_id, creEventList y Custom Rule Partially Matched. Esos campos deberían estar indexados de forma predeterminada en QRadar, pero es necesario asegurarse de que estos índices estén habilitados. Para comprobar si están habilitados, en la interfaz de usuario web de QRadar, vaya a Administrar > Gestión de índices. En la ventana que se abrirá, encontrarás los siguientes índices. Asegúrate de que estén habilitados:

   • Regla personalizada
   • Origen del registro
   • Regla personalizada parcialmente coincidente

   

   Para obtener más información, consulta Gestión de índices.

2. Recomendaciones de Max Days Backwards: el valor del parámetro del conector Max Days Backwards debe usarse con precaución. Los delitos de QRadar pueden tener muchos eventos y, si se intenta obtenerlos mediante el conector, se puede producir una carga excesiva en el servidor de QRadar o se pueden agotar los tiempos de espera de las solicitudes. Por este motivo, se recomienda asignar al parámetro Max Days Backwards valores lo suficientemente pequeños para asegurarse de que el conector pueda consultar QRadar para obtener eventos del periodo configurado.

Notas de uso de los conectores

Cuando uses el conector, ten en cuenta lo siguiente:

1. QRadar Correlation Events Connector v2 registra todos los eventos insertados por cada delito. Para ello, calcula una suma hash de los eventos usando todos los datos de eventos (todos los campos de eventos devueltos por la API de QRadar) y la usa como identificador único del evento de la infracción. Por lo tanto, los eventos que tienen todos los campos idénticos no se ingieren para la infracción. El primer evento se ingiere y se añade a la infracción relacionada. Sin embargo, los siguientes se descartan por ser duplicados. Esto se debe a la arquitectura de QRadar, ya que los eventos de QRadar no tienen identificadores únicos.

2. QRadar Correlation Events Connector v2 crea alertas basadas en las reglas de listas dinámicas que están presentes en la infracción, no en las infracciones en sí. Por lo tanto, si un evento de la infracción se marca con varias reglas de lista dinámica, se añade a varias alertas de Google SecOps de las reglas de lista dinámica relacionadas.

IBM QRadar usa reglas para monitorizar los eventos y los flujos de tu red con el fin de detectar amenazas de seguridad. Cuando los eventos y los flujos cumplen los criterios de prueba, que se definen en las reglas, se crea una infracción para mostrar que se sospecha que se ha producido un ataque de seguridad o una infracción de las políticas.

El nuevo conector ingiere las infracciones en Google SecOps basándose únicamente en las reglas coincidentes. Estas reglas las definen los usuarios y deben añadirse a la lista dinámica para que Google SecOps solo ingiera las infracciones que sean relevantes para el usuario. Por lo tanto, una vez que se crea una nueva infracción, el conector comprueba las reglas que la han activado (el filtrado de reglas se introdujo en la versión 9 o posterior de la API de QRadar). Si las reglas forman parte de la lista dinámica, el conector prepara la infracción para la ingestión.

Caso práctico de conector

Investigar una infracción

IBM QRadar usa reglas para monitorizar los eventos y los flujos de tu red con el fin de detectar amenazas de seguridad. Cuando los eventos y los flujos cumplen los criterios de prueba definidos en las reglas, se crea una infracción para mostrar que se sospecha que se ha producido un ataque de seguridad o una infracción de las políticas. Sin embargo, saber que se ha cometido una infracción es solo el primer paso. Para identificar cómo, dónde y quién lo hizo, es necesario investigar.

La ventana Resumen de la infracción te ayuda a iniciar la investigación de la infracción proporcionándote contexto para que entiendas lo que ha ocurrido y determines cómo aislar y resolver el problema.

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Reglas de conectores

Lista de bloqueo y lista dinámica

El conector está ingiriendo infracciones en Google SecOps en función de las reglas coincidentes. Estas reglas las definen los usuarios y se añaden a una lista dinámica para asegurarse de que Google SecOps solo ingiera las infracciones que sean de interés o importantes para el usuario.

Compatibilidad con proxies

El conector admite proxies.

Comunicaciones cifradas

El conector admite comunicaciones cifradas (SSL/TLS).

Compatibilidad con Unicode

El conector admite la codificación Unicode para las alertas procesadas.

Conector de QRadar Offenses

Descripción

El conector de infracciones de QRadar se usa para obtener infracciones y crear alertas de Google SecOps basadas en las propias infracciones de QRadar, a diferencia de cómo lo hacen los conectores de otras integraciones, que se basan en los nombres de las reglas de QRadar. El conector tiene un límite en cuanto al número total de eventos que obtendrá por cada delito de QRadar. Una vez alcanzado ese límite, no se ingerirán nuevos eventos. El conector usa la lista dinámica de Google SecOps, pero, de forma predeterminada, si no se ha definido ninguna regla de lista dinámica, obtendrá todas las infracciones devueltas por la API de QRadar. El conector requiere la versión 10.1 o una posterior de la API de QRadar.

El conector se puede considerar una versión más fácil de configurar y usar que se puede utilizar si no es necesario monitorizar e ingerir todos los eventos de infracción de QRadar e ingerirlos en Google SecOps (como hacen los conectores de correlación de integración).

Parámetros del conector

Utiliza los siguientes parámetros para configurar el conector:

Reglas de conectores

Compatibilidad con proxy

El conector admite proxies.

Conector de infracciones de referencia de QRadar

El conector obtiene las infracciones y crea alertas de Google SecOps en función de los nombres de las infracciones de QRadar.

El conector crea una sola alerta de Google SecOps por cada delito de QRadar y no crea alertas adicionales de Google SecOps cuando aparecen nuevos eventos de QRadar.

El conector usa la lista dinámica de Google SecOps. De forma predeterminada, si no se definen reglas de listas dinámicas, el conector obtiene todas las infracciones devueltas por la API de QRadar.

Parámetros del conector

Reglas de conectores

El conector admite proxy.

Eventos del conector

A continuación, se muestra un ejemplo de evento:

{
    "events": [
      {
        "CREName": null,
        "CREDescription": null,
        "EventName": "WinCollect Info",
        "EventDescription": "WinCollect Info",
        "rulename_creEventList": [
          "Destination Asset Weight is Low",
          "Source Asset Weight is Low",
          "Events from Windows Host - Second Rule",
          "Context is Local to Local"
        ],
        "partialmatchlist": [],
        "qid": 63500003,
        "category": 8052,
        "sourceHostname": null,
        "destinationHostname": null,
        "creEventList": [
          100205,
          100211,
          100409,
          100199
        ],
        "credibility": 5,
        "destinationMAC": "01:23:45:ab:cd:ef",
        "destinationIP": "192.0.2.1",
        "destinationPort": 0,
        "destinationv6": "2001:db8:1:1:1:1:1:1",
        "deviceTime": 1583158321000,
        "deviceProduct": "WinCollect",
        "domainID": 0,
        "duration": 10000,
        "endTime": 1583165521106,
        "eventCount": 1,
        "eventDirection": "L2L",
        "processorId": 8,
        "hasIdentity": false,
        "hasOffense": true,
        "highLevelCategory": 8000,
        "isCREEvent": false,
        "magnitude": 6,
        "utf8_payload": "<13>Mar 02 16:12:01 DESKTOP IBM|WinCollect|src=DESKTOP\tos=Windows 10 (Build 18363 64-bit)\tdst=\tsev=3\tlog=Code.SSLConfigServerConnection\tmsg=ApplicationHeartbeat",
        "postNatDestinationIP": "198.51.100.255",
        "postNatDestinationPort": 0,
        "postNatSourceIP": "198.51.100.1",
        "postNatSourcePort": 0,
        "preNatDestinationIP": "198.0.2.255",
        "preNatDestinationPort": 0,
        "preNatSourceIP": "192.0.2.255",
        "preNatSourcePort": 0,
        "protocolName": "Reserved",
        "protocolID": 255,
        "relevance": 9,
        "severity": 3,
        "sourceIP": "192.0.2.1",
        "sourceMAC": "ab:cd:ef:01:23:45",
        "sourcePort": 0,
        "sourcev6": "2001:db8:2:2:2:2:2:2",
        "startTime": 1583165521106,
        "isunparsed": false,
        "userName": null
      }
    ]
}

Empleo

SyncCloseOffenses

Descripción

Cierra las ofensas relacionadas de QRadar para las alertas cerradas de Google SecOps.

Parámetros

¿Necesitas más ayuda? Recibe respuestas de los miembros de la comunidad y de los profesionales de Google SecOps.