Obtenha insights acionáveis dos Logs de Auditoria do seu plano Miro Enterprise com o Miro Connector para IBM QRadar. Detecte, priorize e responda a ameaças de segurança mais rapidamente e use essa integração para ingerir facilmente dados do Miro Audit Log diretamente no seu sistema IBM QRadar SIEM.
O conector está disponível para QRadar 7.4.2+.
- Obtenha insights úteis monitorando as principais atividades dos usuário para permitir uma tomada de decisões mais informada.
- Obtenha monitoramento e visibilidade em tempo real. Automatize a ingestão de dados dos Logs de Auditoria do Miro diretamente no IBM QRadar, sem exigir exportações ou mapeamentos manuais de dados.
- Simplifique o monitoramento de segurança. Monitore e detecte facilmente ameaças ou violações de políticas e proteja os dados confidenciais da sua organização.
- Acelere a análise e a correção de incidentes usando os alertas priorizados do QRadar.
Este guia descreve as etapas para instalar e configurar o IBM QRadar para o plano Miro Enterprise .
Visão geral
O IBM QRadar é um produto de gerenciamento de eventos e informações de segurança empresarial (SIEM). Ele coleta dados de log de clientes corporativos, seus dispositivos de rede, ativos de host e sistemas operacionais, aplicativos, vulnerabilidades e atividades e comportamentos do usuário .
O aplicativo da Miro para IBM QRadar usa a API de logs de auditoria para buscar logs de auditoria do Miro Enterprise no IBM QRadar.
Pré-requisitos
- Baixe e instaleo DSM personalizado Miro Audit Logs doIBM App Exchange
- InstalarProtocolo Universal Cloud REST API
Configurar fontes de log para Miro
Siga estas etapas para configurar o novo Log Source Management.
1. Para adicionar uma nova fonte de log no IBM QRadar, primeiro certifique-se de que o aplicativo Log Source Management esteja instalado no console do QRadar na guiaadmin .Configurando fontes de log para Miro no QRadar
2. Após ser redirecionado para uma nova aba, selecioneFontes de Log.Gerenciando fontes de log no QRadar
3. Clique em Nova fonte de log e selecione Fonte de log única.Adicione uma nova fonte de log
5. Pesquise e selecione Universal Cloud REST API como o tipo de protocolo. Então clique Etapa 3: Configurar parâmetros de origem do log.Selecione o tipo de protocolo
6. Configure os seguintes parâmetros de origem do log, deixando os parâmetros restantes como padrão:
- Nome Campo de texto Ou seja: Registros de auditoria do Miro
- Extensão: MiroAuditLogsExtensão personalizada
- Eventos de Coalescência: desligado
Então clique Passo 4: Configurar parâmetros de protocolo.
Configurar parâmetros de origem de log
⚠️ Para evitar que o IBM QRadar combine todos os eventos em um único evento, é importante certificar-se de que a opção Eventos Coalescentes esteja desativada.
7. Configure os seguintes parâmetros de protocolo, deixando os parâmetros restantes como padrão:
- Identificador da fonte do log: Campo de texto Ou seja: miro-teste
- fluxo de trabalho Arquivo de conteúdo Miro-Workflow.xml
- Valores dos parâmetros do fluxo de trabalho: Adicione o token de autenticação Miro SIEM ao Miro-Workflow-Parameter-Values.xml
<Nome do valor="access_token" valor="" />
Em seguida, clique em Etapa 5: Parâmetros do protocolo de teste.Teste os parâmetros do protocolo
8. Você pode testar se os parâmetros do protocolo foram configurados corretamente clicando em Iniciar teste ou pular esta etapa clicando em Ignorar teste e concluir.Testando parâmetros de protocolo
9. Se você optar por testar os parâmetros do protocolo e tudo estiver configurado corretamente, você verá a página Testar parâmetros do protocolo com uma marca de seleção verde. Teste de parâmetro de protocolo bem-sucedido
10. Depois de clicar em Concluir,a nova Fonte de Log deverá ser exibida e habilitada.Nova fonte de log exibida e habilitada
11. Depois que a origem do log for criada, você precisará implantar as alterações. Vá para a guia admin no console do IBM QRadar e clique em Implementar alterações. Implantar alterações na fonte de log
Crie um novo mapeamento de eventos no IBM QRadar (opcional)
Em seguida, você precisa criar um novo mapeamento de eventos no IBM QRadar.
1. Depois que sua origem de log for implantada, você poderá ver sua atividade de log na guia Atividade de Log no console do IBM QRadar. Você pode filtrar os eventos de log por fonte de log clicando na opção Adicionar filtro .Fonte de log implantada no log de atividades no QRadar
2. Selecione Origem do Log [Indexado] como Parâmetro, escolha a Origem do Log que você criou nas etapas anteriores (neste exemplo, Miro Enterprise Test) e clique em Adicionar Filtro.Fonte de log implantada no log de atividades no QRadar
3. Depois de adicionar o novo filtro, agora você pode selecionar o intervalo de tempo. Por exemplo, Últimas 12 horas.Selecionando um intervalo de tempo para o novo filtro
4. Crie um novo mapeamento de eventos no IBM QRadar para eventos desconhecidos na integração do Miro . A nova fonte de log com evento desconhecido
5. Selecione o evento Desconhecido , clique na opção Ações e depois selecione a opção Editor DSM . Editando um evento desconhecido
6. No Editor DSM, clique na aba mapeamento de Eventos e depois clique no sinal de mais para adicionar um evento.Editando um novo evento de mapeamento
7. Para criar um novo mapeamento de eventos, você precisa fornecer os seguintes parâmetros:
- ID do evento: deve corresponder ao tipo de evento deste guia da IBM e deve ser exclusivo.
- Categoria do evento: evento
Depois de adicionar o ID do evento e a categoria do evento, você precisa adicionar um registro QID clicando no link Escolher QID . Consulte o guia da IBM. Criando mapeamento de eventos
8. Na janela modal Registros QID, configure os seguintes parâmetros:
- Nome: campo de texto. Ou seja: Organização SCIM habilitada
- Descrição Campo de descrição
- Categoria de alto nível: time QRadar conforme sugerido Campo de categoria
-
Categoria de nível baixo: time QRadar conforme campo de subcategoria sugerido
⚠️ Para saber mais sobre as categorias da IBM, leia a documentação do IBM QRadar
Em seguida, clique em Salvar.Salvando a configuração do registro QID
9. Depois que o registro QID for criado, você pode selecioná-lo clicando em Ok. Selecionando o registro QID salvo
Como editar um registro QID existente (opcional)
2. Copie o id da resposta anterior e selecione a pasta data_classification , item qid_records e ID_do_registro_qid. Em seguida, filtre por qid_record_id > Caminho > Valor colando o id copiado e clique em Experimentar.
4. O atributo description será atualizado adequadamente.