Journalisation SIEM Syslog, LEEF et CEF

1. Accédez à la page Config>Notifications et sélectionnez Siem Settings (Paramètres SIEM) dans le menu du panneau de gauche.

2. Cliquez sur Add New SIEM Connector (Ajouter un nouveau connecteur SIEM) pour configurer un nouvel événement, un audit système ou une notification de journal d’intégrité du système au format CEF, LEEF ou Syslog.

3. Sélectionnez l’une des options disponibles et cliquez sur Ajouter pour terminer la configuration et ajouter la nouvelle configuration du connecteur SIEM à la liste DES SIEM actifs.

Pour une incident_id ou une event_id, vous pouvez utiliser les URL suivantes pour afficher des détails relatifs dans l’interface utilisateur Web de l’appliance Juniper ATP.

Remplacez « JATP_HOSTNAME_HERE » par le nom d’hôte de votre appliance Juniper ATP et remplacez « 000000 » par le event_id ou le incident_id.

• https://JATP_HOSTNAME_HERE/admin/index.html?incident_id=000000

• https://JATP_HOSTNAME_HERE/admin/index.html?event_id=000000

Note:

Si aucune session de connexion n’est actuellement active, le système vous invite à saisir un identifiant/mot de passe.

1. Pour afficher un rapport récent, supprimer ou modifier une configuration SIEM existante, cliquez sur Afficher, Supprimer ou Modifier, respectivement, dans le tableau SIEM actif pour une ligne de configuration sélectionnée.

2. Modifiez, modifiez ou supprimez les paramètres et les champs actuels comme vous le souhaitez, puis cliquez sur Enregistrer.

Les notifications d’alertes pour les événements SIEM ou les audits système ne sont disponibles que si les paramètres de messagerie sortant sont configurés à partir du menu Configuration>Système.

Les descriptions des paramètres d’alerte d’événements sont fournies dans les tableaux suivants.

Tableau 1 : Paramètres SIEM des événements

Type	Sélectionnez le type de notification de connecteur SIEM à configurer : Événement
Format	Sélectionnez CEF ou Syslog comme format de sortie de notification.
Gravité des programmes malveillants	Pour filtrer les notifications de journaux en fonction des résultats de la gravité des programmes malveillants, choisissez : Tous les logiciels malveillants | Critique, élevé ou med | Critique ou élevé
Générer sur	Sélectionnez Trigger ou By Schedule pour définir la méthode de génération d’un journal d’événements SIEM. Si l’option « Par annexe » est sélectionnée, sélectionnez un jour, puis saisissez une heure au format 00 h 00 ou 0 h 00 pour définir le jour et l’heure à laquelle l’alerte doit être générée.
Nom de l’hôte	Saisissez le nom d’hôte du serveur CEF ou Syslog.
Numéro de port	Saisissez le numéro de port du serveur CEF ou Syslog.

Tableau 2 : Paramètres SIEM d’audit système

Type	Sélectionnez le type de notification SIEM à configurer : Audit système
Format	Sélectionnez CEF ou Syslog comme format de sortie de notification.
Type d’événement	Sélectionnez le ou les types d’événements à inclure dans la notification d’alerte : Connexion/Déconnexion | Échec des connexions | Ajouter/mettre à jour des utilisateurs | Paramètres système | Redémarre
Format	Sélectionnez CEF ou Syslog comme format de sortie du journal.
Générer sur	Sélectionnez Trigger ou By Schedule pour définir la méthode de génération d’un journal d’audit du système SIEM. Si l’option « Par annexe » est sélectionnée, sélectionnez un jour, puis saisissez une heure au format 00 h 00 ou 0 h 00 pour définir le jour et l’heure à laquelle l’alerte doit être générée.

Tableau 3 : Paramètres SIEM d’intégrité du système

Type	Sélectionnez le type de journal du connecteur SIEM à configurer : Intégrité du système
Santé	Sélectionnez le ou les types de rapport d’intégrité à inclure dans le journal SIEM : Santé globale | Retard de traitement
Format	Sélectionnez CEF ou Syslog comme format de sortie du journal. Notez que si vous sélectionnez Syslog comme paramètre SIEM lors de la configuration des alertes d’intégrité du système, vous pouvez afficher ou masquer le nom d’hôte ou le nom du processus dans les messages Syslog envoyés depuis l’appliance Juniper ATP : show hostname et Show Process Name.
Générer sur	Sélectionnez Trigger ou By Schedule pour définir la méthode de génération d’un journal d’audit du système SIEM. Si l’option « Par annexe » est sélectionnée, sélectionnez un jour, puis saisissez une heure au format 00 h 00 ou 0 h 00 pour définir le jour et l’heure à laquelle l’alerte doit être générée.

Lors de la configuration d’une appliance Juniper ATP pour générer des notifications d’alerte au format CEF ou Syslog, un administrateur doit confirmer que le serveur SIEM trap-sink rsyslog prend en charge le CEF. La sortie du CEF est accessible pour l’analyse uniquement sur le serveur rsyslog et ne peut pas être consultée à partir de l’interface CLI ou de l’interface web de l’appliance Juniper ATP.

Le format d’événement commun (CEF) et le format LEEF (Log Event Extended Format) sont des formats syslog standard ouverts pour la gestion des journaux et l’interopérabilité des informations de sécurité provenant de différents équipements, appliances réseau et applications. Ce format de journal ouvert est adopté par Juniper ATP Appliance pour l’envoi d’événements malveillants, d’audits système et de notifications d’intégrité du système vers le canal configuré.

Lorsque les événements LEEF sont reçus, QRadar analyse le trafic et inspecte le trafic d’événements pour identifier le trafic de l’équipement ou de l’appliance d’envoi. Lorsque l’analyse du trafic identifie une source d’événements, les 25 premiers événements sont catégorisés en tant qu’événements SIM DSM de journal générique, le nom de l’événement étant défini en tant qu’événement de journal inconnu. Une fois le trafic d’événements identifié, QRadar crée une source de journal pour catégoriser et étiqueter les événements transférés depuis l’appliance ou le logiciel d’envoi. Les événements envoyés par l’équipement d’envoi sont consultables dans QRadar sur l’onglet Activité du journal.

Pour plus d’informations, reportez-vous au guide LEEF (Log Event Extended Format) QRadar à l’adresse https://www.ibm.com/support/knowledgecenter/SS42VS_DSM/b_Leef_format_guide.pdf .

Note:

Pour plus d’informations sur l’installation du plug-in DSM de l’appliance Juniper ATP, reportez-vous à la section Installation du DSM QRadar Juniper ATP Appliance pour les alertes LEEF.

Le format CEF standard est :

Le format CEF de Juniper ATP Appliance est le suivant :

Le format CEF contient les informations les plus pertinentes sur l’événement malveillant, l’audit du système ou l’intégrité du système, ce qui permet aux utilisateurs d’événements d’analyser et d’utiliser les données de manière interopérable. Pour intégrer des événements, le format de message syslog est utilisé comme mécanisme de transport. Ce mécanisme est structuré de manière à inclure un préfixe commun appliqué à chaque message, et contient la date et le nom d’hôte comme indiqué ci-dessous :

Voici le préfixe commun comme illustré dans Splunk :

Voici le format d’en-tête prioritaire pour Syslog :

La priorité Syslog est 134.

Syslog Facility est au niveau de l’utilisateur et la gravité syslog est avis. Le nom d’hôte et le nom du processus sont configurés à partir de la page de configuration des paramètres SIEM en vérifiant les options Show Hostname et Show Process Name (voir figure ci-dessus).

Les définitions des champs CEF principaux ainsi que le champ d’extension CEF Key=Value Pair Définitions sont fournies dans les sections suivantes.

Tableau 4 : Définitions des champs

Définition	Définition
Version	Un nombre entier qui identifie la version du format CEF. Ces informations permettent de déterminer ce que représentent les champs suivants. Exemple : 0
Version de l’équipement du fournisseur d’équipements	Chaînes qui identifient de manière unique le type d’équipement d’envoi. Pas deux produits Déc utilisent la même paire équipement-fournisseur et équipement-produit, bien qu’il n’y ait pas d’autorité centrale qui gère ces paires. Assurez-vous d’attribuer des paires de noms uniques. Exemple : JATP| Cortex|3.6.0.12
ID de signature/ID de classe d’événement	Identifiant unique au format CEF qui identifie le type d’événement. Il peut s’agir d’une chaîne ou d’un nombre entier. L’ID de classe d’événements identifie le type d’événement signalé. Exemple (l’un de ces types) : http |email| cnc| soumission| exploit| datatheft
Nom du malware	Chaîne indiquant le nom du malware. Exemple : TROJAN_FAREIT. DC
Cartographie des risques de gravité/incident	Un nombre entier qui reflète la gravité de l’événement. Pour l’appliance Juniper ATP CEF, la valeur de gravité est une plage de risque d’incident allant de 0 à 10 Exemple : 9.
ID externe	Le numéro d’incident de l’appliance Juniper ATP. Exemple : externalId=1003
ID d’événement	Id d’événement de l’appliance Juniper ATP. Exemple : eventId=13405
Extension	Une collection de paires clé-valeur ; les clés font partie d’un ensemble prédéfini. Un événement peut contenir n’importe quel nombre de paires clé-valeur dans n’importe quel ordre, séparés par des espaces. Note: Consultez les définitions de ces étiquettes de champ d’extension fournies dans la section : CEF Extension Field Key=Value Pair Definitions.

Pointe:

Le format d’horodatage pour Syslog est M D H:i:s

L’exemple ceF suivant est défini par champ et par étiquette :

Le format CEF de Juniper ATP Appliance est le suivant :