Obtén información práctica de los registros de auditoría de tu plan Enterprise de Miro con el conector de Miro para IBM QRadar. Detecta, prioriza y responde a las amenazas de seguridad más rápido y usa esta integración para asimilar sin esfuerzo los datos de registro de auditoría de Miro directamente en tu sistema IBM QRadar SIEM.
El conector está disponible para QRadar 7.4.2+.
- Obtén información práctica mediante el monitoreo de la actividad clave de los usuarios a fin de tomar decisiones más informadas.
- Obtén monitoreo y visibilidad en tiempo real. Automatiza la ingestión de datos de los registros de auditoría de Miro directamente a IBM QRadar, sin necesidad de exportar datos manualmente o crear mapas.
- Optimiza el monitoreo de seguridad. Supervisa y detecta fácilmente amenazas o violaciones de políticas, y protege los datos confidenciales de tu organización.
- Acelera el análisis de incidentes y su resolución mediante las alertas priorizadas de QRadar.
Esta guía describe los pasos para instalar y configurar IBM QRadar para el plan Enterprise de Miro.
Vista general
IBM QRadar es un producto SIEM (administración de información y eventos de seguridad) para empresas. Recopila datos de registro de clientes empresariales, sus dispositivos de red, activos de host y sistemas operativos, aplicaciones, vulnerabilidades y las actividades y el comportamiento de los usuarios.
La aplicación de Miro para IBM QRadar usa la API de registros de auditoría para importar los registros de auditoría de Miro Enterprise a IBM QRadar.
Requisitos previos
- Descarga e instala el DSM personalizado de Miro Audit Logs desde el IBM App Exchange
- Instala Universal Cloud REST API Protocol
Configura Orígenes de registro para Miro
Sigue estos pasos para configurar la nueva Gestión de orígenes de registro.
1. Para agregar un nuevo origen de registro en IBM QRadar, primero asegúrate de que la aplicación Log Source Management esté instalada en tu consola de QRadar en la admin pestaña.Configuración de fuentes de registro de Miro en QRadar
2. Después de ser redirigido a una nueva pestaña, selecciona Log Sources.Cómo gestionar las fuentes de registro en QRadar
3. Haz clic en Nueva fuente de registro y selecciona Fuente de registro individual.Agregar una nueva fuente de registro
5. Busca y selecciona la API Universal Cloud REST como el tipo de protocolo. Luego haz clic en Paso 3: Configurar parámetros de origen de registro.Seleccionar tipo de protocolo
6. Configura los siguientes parámetros de fuente de registro y deja los parámetros restantes como predeterminados:
- Nombre: Campo de texto. Es decir: Miro Audit Logs
- Extensión: MiroAuditLogsCustom_ext
- Coalescing Events: desactivado
Luego haz clic en Paso 4: Configurar parámetros del protocolo.
Configurar parámetros de la fuente de registro
⚠️ Para evitar que IBM QRadar agrupe todos los eventos en uno solo, es importante asegurarse de que la opción Coalescing Events esté desactivada.
7. Configura los siguientes parámetros del protocolo, dejando los parámetros restantes como predeterminados:
- Identificador de la fuente de registros: Campo de texto. Es decir: miro-test
- Flujo de trabajo: Miro-Workflow.xml archivo de contenido
- Valores de parámetros del flujo de trabajo: Agrega el token de autenticación SIEM de Miro al Miro-Workflow-Parameter-Values.xml
<Value name="access_token" value="" />
Luego haz clic en Paso 5: Probar parámetros del protocolo.Probar los parámetros del protocolo
8. Para comprobar si los parámetros del protocolo se configuraron correctamente, haz clic en Iniciar prueba, o bien omite este paso haciendo clic en Omitir prueba y finalizar.Prueba de parámetros del protocolo
9. Si decides probar los parámetros del protocolo y todo está configurado correctamente, verás la página Probar parámetros del protocolo con una marca de verificación verde. Prueba de parámetros de protocolo exitosa
10. Una vez que hagas clic en Finalizar el nuevo origen de registro debería mostrarse y estar habilitado.Nuevo origen de registro mostrado y habilitado
11. Una vez que se haya creado el origen de registro, debes desplegar los cambios. Ve a la admin pestaña en la consola de IBM QRadar y haz clic en Deploy Changes. Desplegar cambios del origen de registro
Crear un nuevo mapeo de eventos en IBM QRadar (opcional)
A continuación, debes crear un nuevo mapeo de eventos en IBM QRadar.
1. Una vez que tu origen de registro esté desplegado, puedes ver tu actividad de registro en la pestaña Log Activity en la consola de IBM QRadar. Puedes filtrar los eventos de registro por origen de registro haciendo clic en la opción Add Filter.Origen de registro desplegado en el registro de actividad en QRadar
2. Selecciona Fuente de registros [indexada] como parámetro, elige la Fuente de registros que creaste en los pasos anteriores (en este ejemplo, Miro Enterprise Test) y haz clic en Añadir filtro.Fuente de registros desplegada en el registro de actividad en QRadar
3. Después de añadir el filtro nuevo ahora puedes seleccionar el rango de tiempo. Por ejemplo, Últimas 12 horas.Seleccionar el rango de tiempo para el filtro nuevo
4. Crea un nuevo mapa de eventos en IBM QRadar para Eventos desconocidos en la integración de Miro. La nueva fuente de registro con evento desconocido
5. Selecciona el evento Unknown, haz clic en la opción Actions y luego selecciona la opción DSM Editor. Editar un evento desconocido
6. En el Editor DSM haz clic en la pestaña Mapeo de eventos y luego haz clic en más para añadir un evento.Editando un nuevo mapa de eventos
7. Para crear un nuevo mapa de eventos debes proporcionar los siguientes parámetros:
- Event ID: debe coincidir con el Event type de esta guía de IBM y debe ser único.
- Categoría de evento: evento
Una vez que hayas agregado el ID de evento y la Categoría de evento, debes agregar un Registro de QID haciendo clic en el enlace Elegir QID. Consulta la guía de IBM. Creación de mapas de eventos
8. En la ventana modal de Registros de QID, configura los siguientes parámetros:
- Nombre: campo de texto. Es decir: SCIM de la organización habilitado
- Descripción: campo de descripción
- Categoría de alto nivel: equipo de QRadar como se sugirió en el campo Categoría
-
Categoría de nivel bajo: Equipo de QRadar, como se sugiere en el campo Subcategoría
⚠️ Para obtener más información sobre las categorías de IBM, consulta la documentación de IBM QRadar
Luego haz clic en Guardar.Guardando la configuración del registro QID
9. Una vez creado el Registro QID, puedes seleccionarlo haciendo clic en Aceptar. Selección del registro QID guardado
Cómo editar un Registro QID existente (opcional)
2. Copia el id de la respuesta anterior y luego selecciona la carpeta data_classification, el elemento qid_records y qid_record_id. Luego filtra por qid_record_id > Path > Value, pega el id copiado y haz clic en Probar.
4. El atributo de descripción se actualizará en consecuencia.