收集 Qualys 掃描記錄

支援的國家/地區：

這個剖析器會從 Qualys Scan JSON 記錄中擷取欄位、將時間戳記標準化，並對應至 UDM。這個外掛程式會處理各種 Qualys 事件類型，包括一般事件和使用者登入，並在 UDM 欄位中填入相關安全性資訊和中繼資料。

事前準備

請確認您已完成下列事前準備事項：

  • Google Security Operations 執行個體。
  • 具備 Qualys VMDR 控制台的特殊存取權。

選用：在 Qualys 建立專屬 API 使用者

  1. 登入 Qualys 控制台。
  2. 前往使用者。
  3. 依序點選「新增」>「使用者」。
  4. 輸入使用者所需的一般資訊。
  5. 選取「User Role」(使用者角色) 分頁標籤。
  6. 確認角色已勾選「API 存取權」核取方塊。
  7. 按一下 [儲存]。

找出專屬的 Qualys API 網址

選項 1

按照平台識別一節所述，找出網址。

選項 2

  1. 登入 Qualys 控制台。
  2. 依序前往「說明」>「關於」。
  3. 捲動畫面，即可在「資安營運中心 (SOC)」下方查看這項資訊。
  4. 複製 Qualys API 網址。

設定動態饋給

如要設定動態消息，請按照下列步驟操作：

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態饋給」。
  3. 在下一個頁面中，按一下「設定單一動態饋給」。
  4. 在「Feed name」(動態饋給名稱) 欄位中，輸入動態饋給名稱，例如 Qualys Scan Logs。
  5. 選取「第三方 API」做為「來源類型」。
  6. 選取「Qualys Scan」做為記錄類型。
  7. 點選「下一步」。
  8. 指定下列輸入參數的值：
    • 使用者名稱：輸入專用使用者的使用者名稱。
    • 密鑰：輸入專屬使用者的密碼。
    • API 完整路徑：提供純 Qualys API 伺服器網址 (例如 qualysapi.qg2.apps.qualys.eu)。
    • 「API Type」：選取要擷取的掃描類型。
  9. 點選「下一步」。
  10. 在「完成」畫面中檢查動態消息設定，然後按一下「提交」。

UDM 對應表

記錄欄位 UDM 對應 邏輯
Category security_result.category_details 直接從 Category 欄位對應。
ID metadata.product_log_id 直接從「ID」欄位對應。已轉換為字串。
LaunchDatetime metadata.event_timestamp 如果沒有 ScanInput.ScanDatetime 和 UpdateDate，則做為事件時間戳記。以「ISO8601」格式剖析。
Ref additional.fields[1].key
additional.fields[1].value.string_value		 如果沒有 ScanReference，則對應至 additional.fields，鍵為「ScanReference」。
ScanDetails.Status security_result.detection_fields[0].key
security_result.detection_fields[0].value		 對應至 security_result.detection_fields，鍵為「ScanDetails Status」。
ScanInput.Network.ID additional.fields[0].key
additional.fields[0].value.string_value		 已對應至 additional.fields，並使用「ScanInput Network ID」鍵。
ScanInput.Network.Name additional.fields[1].key
additional.fields[1].value.string_value		 對應至 additional.fields，索引鍵為「ScanInput Network Name」。
ScanInput.OptionProfile.ID additional.fields[2].key
additional.fields[2].value.string_value		 已對應至 additional.fields，並使用「ScanInput Option Profile ID」鍵。
ScanInput.OptionProfile.Name additional.fields[3].key
additional.fields[3].value.string_value		 對應至 additional.fields，索引鍵為「ScanInput Option Profile Name」。
ScanInput.ScanDatetime metadata.event_timestamp 如有，則做為事件時間戳記。以「ISO8601」格式剖析。
ScanInput.Title metadata.description 直接從「ScanInput.Title」欄位對應。
ScanInput.Username principal.user.userid 直接從「ScanInput.Username」欄位對應。
ScanReference additional.fields[4].key
additional.fields[4].value.string_value		 已對應至 additional.fields，鍵為「ScanReference」。
Statement metadata.description 如果沒有 ScanInput.Title 和 Title，則直接從 Statement 欄位對應。
Status security_result.detection_fields[0].key
security_result.detection_fields[0].value		 對應至 security_result.detection_fields，鍵為「Status」。
SubCategory security_result.description 直接從「SubCategory」欄位對應。
Technologies[].ID security_result.detection_fields[0].value 直接從 Technologies[].ID 欄位對應。已轉換為字串。重複 security_result 物件的一部分。
Technologies[].Name security_result.detection_fields[1].value 直接從「Technologies[].Name」欄位對應。重複 security_result 物件的一部分。
Technologies[].Rationale security_result.detection_fields[2].value 直接從「Technologies[].Rationale」欄位對應。重複 security_result 物件的一部分。
Title metadata.description 如果沒有 ScanInput.Title 和 Statement，則直接從 Title 欄位對應。
Type additional.fields[2].key
additional.fields[2].value.string_value		 已對應至 additional.fields，並使用「類型」鍵。
UpdateDate metadata.event_timestamp 如果沒有 ScanInput.ScanDatetime，則會做為事件時間戳記。以「ISO8601」格式剖析。
Userlogin target.user.userid 直接從 Userlogin 欄位對應。如果存在 Userlogin，請設為「AUTHTYPE_UNSPECIFIED」。設為「GENERIC_EVENT」。如果存在 Userlogin，則變更為「USER_LOGIN」。如果 metadata_event_type 為「GENERIC_EVENT」且 ScanInput.Username 存在，則變更為「USER_UNCATEGORIZED」。設為「QUALYS_SCAN」。設為「QUALYS_SCAN」。為每項技術設為「ID」。重複 security_result 物件的一部分。為每項技術設為「名稱」。重複 security_result 物件的一部分。針對每項技術設為「理由」。重複 security_result 物件的一部分。

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。