Opciones de configuración del protocolo | JSA 7.5.0

Opciones de configuración del protocolo REST API de Kona de Akamai

Para recibir eventos de su plataforma Kona de Akamai, configure un origen de registro para utilizar el protocolo REST API de Kona de Akamai.

El protocolo REST API de Kona de Akamai es un protocolo saliente/activo que consulta la plataforma Kona de Akamai y envía eventos a la consola de JSA.

En la siguiente tabla se describen los parámetros que requieren valores específicos para la colección de eventos de Akamai KONA DSM.

Tabla 1: Parámetros de origen de registro de Akamai KONA DSM
Parámetro	Valor
Tipo de origen de registro	Akamai KONA
Configuración del protocolo	Akamai Kona REST API
Anfitrión	El valor Host se proporciona durante el aprovisionamiento de la API abierta de SIEM en el Centro de control de Akamai Luna. El host es una dirección URL base única que contiene información sobre los derechos adecuados para consultar los eventos de seguridad. Este parámetro es un campo de contraseña porque parte del valor contiene información secreta del cliente.
Token de cliente	El token de cliente es uno de los dos parámetros de seguridad. Este token se combina con Client Secret para crear las credenciales de cliente. Este token se puede encontrar después de aprovisionar la API abierta de Akamai SIEM.
Secreto de cliente	El secreto de cliente es uno de los dos parámetros de seguridad. Este secreto se combina con el token de cliente para crear las credenciales de cliente. Este token se puede encontrar después de aprovisionar la API abierta de Akamai SIEM.
Token de acceso	El token de acceso es un parámetro de seguridad que se usa con las credenciales del cliente para autorizar el acceso del cliente de API para recuperar los eventos de seguridad. Este token se puede encontrar después de aprovisionar la API abierta de Akamai SIEM.
ID de configuración de seguridad	El identificador de configuración de seguridad es el identificador de cada configuración de seguridad para la que desea recuperar eventos de seguridad. Este ID se puede encontrar en la sección Integración de SIEM de su portal de Akamai Luna. Puede especificar varios ID de configuración en una lista separada por comas. Por ejemplo: `configID1,configID2`.
Usar proxy	Si JSA accede al Amazon Web Service mediante un proxy, habilite Usar proxy. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos IP del proxy o Nombre de host .
Adquirir automáticamente certificado de servidor	Seleccione Sí para que JSA descargue automáticamente el certificado del servidor y comience a confiar en el servidor de destino.
Repetición	El intervalo de tiempo entre las consultas del origen de registro a la API de Akamai SIEM para eventos nuevos. El intervalo de tiempo puede ser en horas (H), minutos (M) o días (D). El valor predeterminado es 1 minuto.
Acelerador EPS	Número máximo de eventos por segundo. El valor predeterminado es 5000.

Opciones de configuración del protocolo de la API de REST de Amazon AWS S3

El protocolo de la API REST de Amazon AWS es un protocolo saliente/activo que recopila registros de AWS CloudTrail de buckets de Amazon S3.

Nota:

Es importante asegurarse de que no falten datos cuando recopile registros de Amazon S3 para utilizarlos con un DSM personalizado u otras integraciones no compatibles. Debido a la forma en que las API de S3 devuelven los datos, todos los archivos deben estar en un orden alfabético creciente cuando se muestra la ruta completa. Asegúrese de que el nombre completo de la ruta incluya una fecha y hora completas en formato ISO9660 (ceros iniciales en todos los campos y un formato de fecha AAAA-MM-DD).

Considere la siguiente ruta de archivo:

<Name>test-bucket</Name> Prefix>Mylogs/ </Prefix><Marker> MyLogs/2018-8-9/2018-08-09T23-5925.log.g</Marker> <MaxKeys>1000</MaxKeys><IsTruncated> false<IsTruncated> </ListBucketResult>

El nombre completo del archivo en el marcador es MyLogs/2018-8-9/2018-08-09T23-59-25.955097.log.gz y el nombre de la carpeta se escribe como 2018-8-9 en lugar de 2018-08-09. Este formato de fecha causa un problema cuando se presentan los datos del 10 de septiembre de 2018. Cuando se ordenan, la fecha se muestra como 2018-8-10 y los archivos no se ordenan cronológicamente:

2018-10-1

2018-11-1

2018-12-31

2018-8-10

2018-8-9

2018-9-1

Después de que los datos del 9 de agosto de 2018 lleguen a JSA, no volverá a ver los datos hasta el 1 de septiembre de 2018 porque no se usaron ceros iniciales en el formato de fecha. Después de septiembre, no volverá a ver datos hasta 2019. Los ceros iniciales se utilizan en la fecha (ISO 9660) para que este problema no se produzca.

Mediante el uso de ceros iniciales, los archivos y carpetas se ordenan cronológicamente:

2018-08-09

2018-08-10

2018-09-01

2018-10-01

2018-11-01

2018-12-01

2018-12-31

Un origen de registro solo puede recuperar datos de una región, así que use un origen de registro diferente para cada región. Incluya el nombre de la carpeta de región en la ruta de acceso del archivo para el valor de prefijo de directorio cuando utilice el método de recopilación de eventos de prefijo de directorio para configurar el origen del registro.

En la tabla siguiente se describen los valores de parámetro comunes para recopilar eventos de auditoría mediante el método de recopilación de prefijos de directorio o el método de recopilación de eventos SQS. Estos métodos de recopilación utilizan el protocolo de la API de REST de Amazon AWS S3.

En la siguiente tabla se describen los parámetros específicos del protocolo para el protocolo de la API REST de Amazon AWS:

Tabla 2: Parámetros de origen de registros comunes del protocolo de la API de REST de Amazon AWS S3 cuando se utiliza el método de prefijo de directorio o el método SQS
Parámetro	Descripción
Configuración del protocolo	API de REST de Amazon AWS S3
Identificador de origen de registro	Escriba un nombre único para el origen del registro. El identificador de origen de registro puede tener cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede tener el mismo valor que el nombre de origen de registro. Si tiene configurado más de un origen de registro de Amazon AWS CloudTrail, es posible que desee identificar el primer origen de registro como `awscloudtrail1` , el segundo origen de registro como `awscloudtrail2` , y el tercer origen de registro como `awscloudtrail3` .
Método de autenticación	ID de clave de acceso / clave secreta: autenticación estándar que se puede usar desde cualquier lugar. Rol de IAM de instancia EC2: si el host administrado se ejecuta en una instancia AWS EC2, al elegir esta opción, se utiliza el rol de IAM de los metadatos de instancia asignados a la instancia para la autenticación; No se requieren llaves. Este método solo funciona para hosts administrados que se ejecutan dentro de un contenedor AWS EC2.
Tecla de acceso	El ID de clave de acceso que se generó al configurar las credenciales de seguridad para su cuenta de usuario de AWS Si seleccionó ID de clave de acceso/clave secreta o Asumir rol de IAM, se muestra el parámetro Access Key .
Clave secreta	La clave secreta que se generó al configurar las credenciales de seguridad para su cuenta de usuario de AWS. Si seleccionó ID de clave de acceso/clave secreta o Asumir rol de IAM, se muestra el parámetro Secret Key .
Asumir un rol de IAM	Active esta opción mediante la autenticación con una clave de acceso o un rol de IAM de instancia EC2. A continuación, puede asumir temporalmente un rol de IAM para el acceso.
Asumir el rol ARN	El ARN completo del rol que se va a asumir. Debe comenzar con "arn:" y no puede contener espacios iniciales o finales, ni espacios dentro del ARN. Si habilitó Assume an IAM Role, se muestra el parámetro Assume Role ARN .
Asumir rol Nombre de sesión	Nombre de sesión de la función que se va a asumir. El valor predeterminado es QRadarAWSSession. Déjelo como predeterminado si no necesita cambiarlo. Este parámetro solo puede contener caracteres alfanuméricos en mayúsculas y minúsculas, guiones bajos o cualquiera de los siguientes caracteres: =,.@- Si ha habilitado Assume an IAM Role, se muestra el parámetro Assume Role Session Name (Asumir rol de nombre de sesión).
Formato del evento	Seguimiento de la nube de AWS JSON Firewall de red de AWS Registros de flujo de AWS VPC Cisco Umbrella CSB LINEBYLINE W3C
Nombre de la región	La región en la que se encuentra la cola de SQS o el bucket de AWS S3. Example: us-east-1, eu-west-1, ap-northeast-3
Uso como origen de registro de puerta de enlace	Seleccione esta opción para que los eventos recopilados fluyan a través del motor de análisis de tráfico de JSA y para que JSA detecte automáticamente uno o más orígenes de registro.
Mostrar opciones avanzadas	Seleccione esta opción si desea personalizar los datos del evento.
Patrón de archivo	Esta opción está disponible cuando se establece Mostrar opciones avanzadas en Sí. Escriba un regex para el patrón de archivo que coincida con los archivos que desea extraer; Por ejemplo, .*?\.json\.gz
Directorio local	Esta opción está disponible cuando se establece Mostrar opciones avanzadas en Sí. El directorio local del recopilador de eventos de destino. El directorio debe existir antes de que el protocolo de la API de REST de AWS S3 intente recuperar eventos.
URL del punto de conexión de S3	Esta opción está disponible cuando se establece Mostrar opciones avanzadas en Sí. La URL del punto de enlace que se utiliza para consultar la API de REST de AWS S3. Si la URL del punto de conexión es diferente de la predeterminada, escriba la dirección URL del punto de conexión. El valor predeterminado es https:// s3.amazonaws.com
Usar acceso de estilo de ruta de S3	Fuerza las solicitudes de S3 a utilizar el acceso de estilo de ruta. AWS desaprueba este método. Sin embargo, es posible que sea necesario cuando utilice otras API compatibles con S3.
Usar proxy	Si JSA accede al Amazon Web Service mediante un proxy, habilite Usar proxy. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure el campo IP del proxy o Nombre de host .
Repetición	Con qué frecuencia se realiza una encuesta para buscar nuevos datos. Si utiliza el método de recopilación de eventos SQS, las notificaciones de eventos SQS pueden tener un valor mínimo de 10 (segundos). Dado que el sondeo de la cola SQS puede ocurrir con más frecuencia, se puede utilizar un valor inferior. Si utiliza el método de recopilación de eventos de prefijo de directorio, Usar un prefijo específico tiene un valor mínimo de 60 (segundos) o 1 M. Dado que cada solicitud listBucket a un bucket de AWS S3 incurre en un costo para la cuenta propietaria del bucket, un valor de periodicidad menor aumenta el costo. Escriba un intervalo de tiempo para determinar la frecuencia con la que se examina el directorio remoto en busca de nuevos archivos de registro de eventos. El valor mínimo es 1 minuto. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, 2H = 2 horas, 15 M = 15 minutos.
Acelerador EPS	Número máximo de eventos por segundo que se envían a la canalización de flujo. El valor predeterminado es 5000. Asegúrese de que el valor del acelerador de EPS sea superior a la velocidad de entrada o que el procesamiento de datos podría quedarse atrás.

En la tabla siguiente se describen los valores de parámetro específicos para recopilar eventos de auditoría mediante el método de recopilación de eventos de prefijo de directorio:

Tabla 3: Parámetros de origen de registro del protocolo de la API de REST de Amazon AWS S3 cuando se utiliza el método de prefijo de directorio
Parámetro	Descripción
Método de recolección de S3	Seleccione Usar un prefijo específico.
Nombre del bucket	El nombre del bucket de AWS S3 donde se almacenan los archivos de registro.
Prefijo de directorio	La ubicación del directorio raíz en el bucket de AWS S3 desde donde se recuperan los registros de CloudTrail; por ejemplo, AWSLogs/<`AccountNumber`>/CloudTrial/<`RegionName`>/ Para extraer archivos del directorio raíz de un bucket, debe usar una barra diagonal (/) en la ruta del archivo de prefijo de directorio . Nota: Al cambiar el valor del prefijo de directorio , se borra el marcador de archivo persistente. Todos los archivos que coinciden con el nuevo prefijo se descargan en la siguiente extracción. La ruta del archivo de prefijo de directorio no puede comenzar con una barra diagonal (/) a menos que solo se utilice la barra diagonal para recopilar datos de la raíz del bucket. Si la ruta de acceso del archivo con prefijo de directorio se usa para especificar carpetas, no debe comenzar la ruta del archivo con una barra diagonal (por ejemplo, usar `folder1/folder2` en su lugar).

En la tabla siguiente se describen los parámetros que requieren valores específicos para recopilar eventos de auditoría mediante el método de recopilación de eventos SQS:

Tabla 4: Parámetros de origen de registro del protocolo de REST API de Amazon AWS S3 al utilizar el método SQS
Parámetro	Descripción
Método de recolección de S3	Seleccione SQS Event Notifications (Notificaciones de eventos de SQS).
URL de la cola SQS	La dirección URL completa que comienza por , para la cola SQS que está configurada para recibir notificaciones de eventos ObjectCreated de S3.

Registros de flujo de Amazon VPC

La integración de JSA para los registros de flujo de Amazon VPC (nube privada virtual) recopila registros de flujo de VPC de un bucket de Amazon S3 mediante una cola de SQS.

Nota:

Esta integración admite el formato predeterminado para Amazon VPC Flow Logs y cualquier formato personalizado que contenga campos de las versiones 3, 4 o 5. Sin embargo, todos los campos de la versión 2 deben incluirse en el formato personalizado. El formato predeterminado incluye estos campos:

${version} ${account-id} ${interface-id} ${srcaddr} ${dstaddr} ${srcport} ${dstport} $ {protocol} ${packets} ${bytes} ${start} ${end} ${action} ${log-status}

Para integrar Amazon VPC Flow Logs con JSA, siga estos pasos:

Si las actualizaciones automáticas no están habilitadas, descargue e instale la versión más reciente de Amazon VPC Flow Logs DSM RPM desde el https://support.juniper.net/support/downloads/ en la consola de JSA.
- RPM común de protocolo
- RPM DEL PROTOCOLO DE API REST DE AWS S3
Nota:
Si va a instalar RPM para habilitar campos de flujo de VPC adicionales relacionados con AWS en la ventana QRadar Network Activity Flow Details, los siguientes servicios deben reiniciarse antes de que estén visibles. No es necesario reiniciar los servicios para que el protocolo funcione.
- hostcontext
  
  Para reiniciar hostcontext, consulte QRadar: servicio hostcontext y el impacto de un reinicio del servicio.
- gato
  
  En la consola, haga clic en la ficha Administrador y, a continuación, haga clic en Opciones avanzadas > Reiniciar servidor web.
Configure sus registros de flujo de Amazon VPC para publicar los registros de flujo en un bucket de S3.
Cree la cola SQS que se utiliza para recibir ObjectCreated notificaciones del bucket de S3 que utilizó en el paso 2.
Cree credenciales de seguridad para su cuenta de usuario de AWS.

Añada un origen de registro de Amazon VPC Flow Logs en la consola de JSA .

Nota:

Un procesador de flujo debe estar disponible y con licencia para recibir los registros de flujo. A diferencia de otros orígenes de registros, los eventos de AWS VPC Flow Log no se envían a la pestaña Log Activity . Se envían a la pestaña Actividad de red .

En la siguiente tabla se describen los parámetros que requieren valores específicos para recopilar eventos de los registros de flujo de Amazon VPC:

Tabla 5: Parámetros del origen del registro de Amazon VPC Flow Logs
Parámetro	Valor
Tipo de origen de registro	Un tipo de origen de registro personalizado
Configuración del protocolo	Amazon AWS S3 REST API
Recopilador de eventos de destino	El recopilador o procesador de eventos que recibe y analiza los eventos de este origen de registro. Nota: Esta integración recopila eventos sobre Amazon VPC Flow Logs. No recoge flujos. No puede utilizar un recopilador de flujo ni un procesador de flujo como recopilador de eventos de destino.
Identificador de origen de registro	Escriba un nombre único para el origen del registro. El identificador de origen de registro puede tener cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede tener el mismo valor que el nombre de origen de registro. Si configuró más de un origen de registro de registros de flujo de Amazon VPC, es posible que desee asignarle un nombre identificable. Por ejemplo, puede identificar el primer origen de registro como `vpcflowlogs1` y el segundo origen de registro como `vpcflowlogs2`.
Método de autenticación	ID de clave de acceso / clave secreta Autenticación estándar que se puede utilizar desde cualquier lugar. Para obtener más información, consulte Configuración de credenciales de seguridad para su cuenta de usuario de AWS. Rol de IAM de instancia EC2 Si el host administrado se ejecuta en una instancia AWS EC2, al elegir esta opción, se utiliza el rol de IAM de los metadatos de instancia asignados a la instancia para la autenticación. No se necesitan llaves. Este método solo funciona para hosts administrados que se ejecutan dentro de un contenedor AWS EC2.
Asumir el rol de IAM	Active esta opción mediante la autenticación con una clave de acceso o un rol de IAM de instancia EC2. A continuación, puede asumir temporalmente un rol de IAM para el acceso. Esta opción solo está disponible cuando se utiliza el método de recopilación de notificaciones de eventos de SQS. Para obtener más información acerca de la creación de usuarios de IAM y la asignación de roles, consulte Creación de un usuario de Identity and Access Management (IAM) en la consola de administración de AWS.
Formato del evento	Registros de flujo de AWS VPC
Método de recolección de S3	Notificaciones de eventos de SQS
Nombre de host de destino de flujo de VPC	El nombre de host o la dirección IP del procesador de flujo al que desea enviar los registros de la VPC. Nota: Para que JSA acepte tráfico de flujo IPFIX, debe configurar un origen de flujo NetFlow/IPFIX que utilice UDP. La mayoría de las implementaciones pueden utilizar un origen de flujo default_Netflow y establecer el nombre de host de destino de flujo de VPC en el nombre de host de ese host administrado. Si el host administrado configurado con el origen de flujo NetFlow/IPFIX es el mismo que el recopilador de eventos de destino elegido anteriormente en la configuración, puede establecer el nombre de host de destino del flujo de VPC en .`localhost`
Puerto de destino de flujo de VPC	El puerto del procesador de flujo al que desea enviar los registros de VPC. Nota: Este puerto debe ser el mismo que el puerto de supervisión especificado en el origen de flujo de NetFlow. El puerto para el origen de flujo de default_Netflow es 2055
URL de la cola SQS	La dirección URL completa que comienza por https://, para la cola SQS que está configurada para recibir notificaciones de eventos ObjectCreated desde S3.
Nombre de la región	Región asociada a la cola de SQS y al bucket de S3. Ejemplo: us-east-1, eu-west-1, ap-northeast-3
Mostrar opciones avanzadas	El valor predeterminado es No. Seleccione Sí si desea personalizar los datos del evento.
Patrón de archivo	Esta opción está disponible cuando se establece Mostrar opciones avanzadas en Sí. Escriba un regex para el patrón de archivo que coincida con los archivos que desea extraer; por ejemplo `.*? \.json\.gz`
Directorio local	Esta opción está disponible cuando se establece Mostrar opciones avanzadas en Sí. El directorio local del recopilador de eventos de destino. El directorio debe existir antes de que AWS S3 REST API PROTOCOL intente recuperar eventos.
URL del punto de conexión de S3	Esta opción está disponible cuando se establece Mostrar opciones avanzadas en Sí. La URL del punto de enlace que se utiliza para consultar la API de REST de AWS. Si la URL del punto de conexión es diferente de la predeterminada, escriba la dirección URL del punto de conexión. El valor predeterminado es http://s3.amazonaws.com.
Usar proxy	Si JSA accede al Amazon Web Service mediante un proxy, habilite Usar proxy. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy.
Repetición	Con qué frecuencia el protocolo de REST API de Amazon AWS S3 se conecta a la API en la nube de Amazon, comprueba si hay archivos nuevos y, si existen, los recupera. Cada acceso a un bucket de AWS S3 incurre en un costo para la cuenta propietaria del bucket. Por lo tanto, un valor de recurrencia menor aumenta el costo. Escriba un intervalo de tiempo para determinar la frecuencia con la que se examina el directorio remoto en busca de nuevos archivos de registro de eventos. El valor mínimo es 1 minuto. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, 2H = 2 horas, 15 M = 15 minutos.
Acelerador EPS	Número máximo de eventos por segundo que se envían a la canalización de flujo. El valor predeterminado es 5000. Asegúrese de que el valor del acelerador de EPS sea superior a la velocidad de entrada o que el procesamiento de datos podría quedarse atrás.

Para enviar registros de flujo de VPC a la aplicación JSA Cloud Visibility para su visualización, siga estos pasos:
1. En la consola, haga clic en la ficha Administrador y, a continuación, haga clic en Configuración del sistema > Configuración del sistema.
2. Haga clic en el menú Flow Processor Settings (Configuración del procesador de flujo ) y, en el campo IPFix additional field encoding (Codificación de campos IPFix ), elija el formato TLV o TLV y carga útil .
3. Haga clic en Guardar.
4. En la barra de menús de la pestaña Administrador , haga clic en Implementar configuración completa y confirme los cambios.
  
  Advertencia:
  Cuando implemente la configuración completa, se reiniciarán los servicios de JSA. Durante este tiempo, no se recopilan eventos y flujos, y no se generan ofensas.
5. Actualice su navegador.

Especificaciones de Amazon VPC Flow Logs

En la siguiente tabla se describen las especificaciones para recopilar registros de flujo de Amazon VPC.

Tabla 6: Especificaciones de Amazon VPC Flow Logs
Parámetro	Valor
Fabricante	Amazona
Nombre DSM	Un tipo de origen de registro personalizado
Nombre de archivo RPM	PROTOCOLO DE API REST DE AWS S3
Versiones compatibles	Registros de flujo v5
Protocolo	PROTOCOLO DE API REST DE AWS S3
Formato del evento	IPFIX mediante orígenes de flujo JSA
Tipos de eventos grabados	Flujos de red
¿Detectado automáticamente?	No
¿Incluye identidad?	No
¿Incluye propiedades personalizadas?	No
Más información	(https:// docs.aws.amazon.com/vpc/latest/userguide/flowlogs. html)

Publicar registros de flujo en un bucket de S3

Complete estos pasos para publicar registros de flujo en un bucket de S3.

Inicie sesión en la consola de administración de AWS y, a continuación, en el menú Servicios , vaya al panel de VPC.
Active la casilla de verificación del ID de VPC para el que desea crear registros de flujo.
Haga clic en la pestaña Registros de flujo .

Haga clic en Crear registro de flujo y, a continuación, configure los siguientes parámetros:

Tabla 7: Crear parámetros de registro de flujo
Parámetro	Descripción
Filtro	Seleccione Aceptar, Rechazar o Todo.
Destino	Seleccione Enviar a un bucket de S3.
S3 Bucket ARN	Escriba el ARN del bucket de S3. arn:aws;s3:::myTestBucket arn:aws:s3:::myTestBucket/testFlows

Haga clic en Crear.

Cree la cola SQS que se utiliza para recibir notificaciones de ObjectCreated.

Crear la cola SQS que se utiliza para recibir notificaciones de ObjectCreated

Debe crear una cola de SQS y configurar las notificaciones de S3 ObjectCreated en la consola de administración de AWS cuando utilice el protocolo de la API REST de Amazon AWS.

Para crear la cola de SQS y configurar las notificaciones de ObjectCreated de S3, consulte la documentación de la API de REST de AWS S3 sobre la creación de notificaciones creadas por objetos.

Configuración de credenciales de seguridad para su cuenta de usuario de AWS

Debe tener la clave de acceso de su cuenta de usuario de AWS y los valores de clave de acceso secreta antes de poder configurar un origen de registro en JSA.

Inicie sesión en la consola de IAM (https://console.aws.amazon.com/iam/).
Seleccione Usuarios en el panel de navegación izquierdo y, a continuación, seleccione su nombre de usuario en la lista.
Para crear las claves de acceso, haga clic en la ficha Credenciales de seguridad y, en la sección Claves de acceso , haga clic en Crear clave de acceso.
Descargue el archivo CSV que contiene las claves o copie y guarde las claves.

Nota:
Guarde el ID de clave de acceso y la clave de acceso secreta. Los necesita cuando configura un origen de registro en JSA.

Puede ver la clave de acceso secreta solo cuando se crea.

Opciones de configuración del protocolo de Amazon Web Services

El protocolo de Amazon Web Services para JSA recopila registros de AWS CloudTrail de los registros de Amazon CloudWatch.

En la siguiente tabla se describen los parámetros específicos del protocolo Amazon Web Services:

Tabla 8: Parámetros de origen de registro de Amazon Web Services
Parámetro	Descripción
Configuración del protocolo	Seleccione Amazon Web Services en la lista Protocol Configuration (Configuración del protocolo).
Método de autenticación	ID de clave de acceso / clave secreta: autenticación estándar que se puede utilizar desde cualquier lugar. Rol de IAM de instancia EC2: si el host administrado de JSA se ejecuta en una instancia EC2 de AWS, al elegir esta opción, se utiliza el rol de IAM a partir de los metadatos asignados a la instancia para la autenticación; No se requieren llaves. Este método solo funciona para hosts administrados que se ejecutan dentro de un contenedor AWS EC2.
Tecla de acceso	El ID de clave de acceso que se generó al configurar las credenciales de seguridad para su cuenta de usuario de AWS. Si seleccionó ID de clave de acceso / clave secreta, se muestra el parámetro Clave de acceso .
Clave secreta	La clave secreta que se generó al configurar las credenciales de seguridad para su cuenta de usuario de AWS. Si seleccionó ID de clave de acceso / clave secreta, se muestra el parámetro Clave de acceso .
Regiones	Seleccione la casilla de verificación para cada región asociada al Amazon Web Service del que desea recopilar registros.
Otras regiones	Escriba los nombres de las regiones adicionales asociadas al Amazon Web Service de las que desea recopilar registros. Para recopilar de varias regiones, use una lista separada por comas, como se muestra en el ejemplo siguiente: `region1,region2`
Servicio de AWS	Nombre de Amazon Web Service. En la lista AWS Service , seleccione CloudWatch Logs.
Grupo de registro	Nombre del grupo de registros de Amazon CloudWatch del que desea recopilar registros. Nota: Un único origen de registros recopila registros de CloudWatch de 1 grupo de registros a la vez. Si desea recopilar registros de varios grupos de registros, cree un origen de registro independiente para cada grupo de registros.
Secuencia de registro (opcional)	Nombre de la secuencia de registro dentro de un grupo de registros. Si desea recopilar registros de todas las secuencias de registros de un grupo de registros, deje este campo en blanco.
Patrón de filtro (opcional)	Escriba un patrón para filtrar los eventos recopilados. Este patrón no es un filtro regex. Solo los eventos que contienen el valor exacto especificado se recopilan de CloudWatch Logs. Si escribe ACCEPT como valor de patrón de filtro, sólo se recopilan los eventos que contienen la palabra ACCEPT, como se muestra en el ejemplo siguiente. {LogStreamName: LogStreamTest,Timestamp: 0, Message: ACCEPT OK,IngestionTime: 0,EventId: 0}
Extraer evento original	Para reenviar solo el evento original que se agregó a los registros de CloudWatch a JSA, seleccione esta opción. Los registros de CloudWatch encapsulan los eventos que reciben con metadatos adicionales. El evento original es el valor de la clave de mensaje que se extrae del registro de CloudWatch. El siguiente ejemplo de evento de registros de CloudWatch muestra el evento original que se extrae del registro de CloudWatch en negrita: {"owner":"123456789012","subscriptionFilters": ["allEvents"],"logEvents": [{"id":"35093963143971327215510178578576502306458824699048362100","mes sage":"{\"eventVersion\":\"1.05\",\"userIdentity\": {\"type\":\"AssumedRole\",\"principalId\":\"ARO1GH58EM3ESYDW3XHP6:test _session\",\"arn\":\"arn:aws:sts::123456789012:assumed-role/ CVDevABRoleToBeAssumed/ test_visibility_session\",\"accountId\":\"123456789012\",\"accessKeyId \":\"ASIAXXXXXXXXXXXXXXXX\",\"sessionContext\":{\"sessionIssuer\": {\"type\":\"Role\",\"principalId\":\"AROAXXXXXXXXXXXXXXXXX\",\"arn\":\ "arn:aws:iam::123456789012:role/ CVDevABRoleToBeAssumed\",\"accountId\":\"123456789012\",\"userName\":\ "CVDevABRoleToBeAssumed\"},\"webIdFederationData\":{},\"attributes\": {\"mfaAuthenticated\":\"false\",\"creationDate\":\"2019-11-13T17:01:54 Z\"}}},\"eventTime\":\"2019-11-13T17:43:18Z\",\"eventSource\":\"cloudt rail.amazonaws.com\",\"eventName\":\"DescribeTrails\",\"awsRegion\":\" apnortheast- 1\",\"sourceIPAddress\":\"192.0.2.1\",\"requestParameters\": null,\"responseElements\":null,\"requestID\":\"41e62e80- b15d-4e3f-9b7e-b309084dc092\",\"eventID\":\"904b3fda-8e48-46c0-a923- f1bb2b7a2f2a\",\"readOnly\":true,\"eventType\":\"AwsApiCall\",\"recipi entAccountId\":\"123456789012\"}","timestamp":1573667733143}],"message Type":"DATA_MESSAGE","logGroup":"CloudTrail/ DefaultLogGroup","logStream":"123456789012_CloudTrail_us-east-2_2"}
Usar como origen de registro de puerta de enlace	Si no desea definir un identificador de origen de registro personalizado para eventos, asegúrese de que esta casilla esté desactivada.
Patrón de identificador de origen de registro	Si seleccionó Usar como origen de registro de puerta de enlace, utilice esta opción para definir un identificador de origen de registro personalizado para los eventos que se están procesando. Utilice pares clave-valor para definir el identificador de origen de registro personalizado. La clave es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. Este valor también admite grupos de captura que se pueden usar para personalizar aún más la clave. Defina varios pares clave-valor escribiendo cada patrón en una línea nueva. Se evalúan varios patrones en el orden en que se enumeran. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. Los ejemplos siguientes muestran varias funciones de par clave-valor. Patrones: VPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2=\s(ACCEPT)\s(OK) Eventos: {LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0} Identificador de origen de registro personalizado resultante: VPC-ACCEPT-OK
Usar proxy	Si JSA accede a Amazon Web Service mediante un proxy, seleccione esta opción. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
Adquirir automáticamente certificados de servidor	Seleccione Sí para que JSA descargue automáticamente el certificado del servidor y comience a confiar en el servidor de destino. Puede usar esta opción para inicializar un origen de registro recién creado y obtener certificados, o para reemplazar certificados caducados.
Acelerador EPS	El límite superior para el número máximo de eventos por segundo (EPS). El valor predeterminado es 5000. Si se selecciona la opción Usar como origen de registro de puerta de enlace , este valor es opcional. Si el valor del parámetro EPS Throttle se deja en blanco, JSA no impone ningún límite de EPS.

Opciones de configuración del protocolo Apache Kafka

JSA usa el protocolo Apache Kafka para leer secuencias de datos de eventos de temas en un clúster de Kafka que usa la API del consumidor. Un tema es una categoría o nombre de feed en Kafka donde se almacenan y publican los mensajes. El protocolo Apache Kafka es un protocolo saliente o activo y se puede utilizar como origen de registro de puerta de enlace mediante un tipo de origen de registro personalizado.

El protocolo Apache Kafka admite temas de casi cualquier escala. Puede configurar varios hosts de recopilación JSA (EP/EC) para recopilar de un solo tema; por ejemplo, todos los firewalls. Para obtener más información, consulte la Documentación de Kafka.

En la tabla siguiente se describen los parámetros específicos del protocolo Apache Kafka:

Tabla 9: Parámetros del protocolo Apache Kafka
Parámetro	Descripción
Lista de servidores de arranque	El puerto <hostname/ip>:<> el servidor (o servidores) de arranque. Se pueden especificar varios servidores en una lista separada por comas, como en este ejemplo: `hostname1:9092,10.1.1.1:9092`
Grupo de consumidores	Una cadena o etiqueta única que identifica el grupo de consumidores al que pertenece este origen de registro. Cada registro que se publica en un tema de Kafka se entrega a una instancia de consumidor dentro de cada grupo de consumidores suscritos. Kafka utiliza estas etiquetas para equilibrar la carga de los registros en todas las instancias de consumidor de un grupo.
Método de suscripción por tema	El método que se utiliza para suscribirse a temas de Kafka. Utilice la opción Lista de temas para especificar una lista específica de temas. Utilice la opción Coincidencia de patrones Regex para especificar una expresión regular que coincida con los temas disponibles.
Lista de temas	Una lista de nombres de temas a los que suscribirse. La lista debe estar separada por comas; Por ejemplo: `Topic1,Topic2,Topic3`. Esta opción sólo se muestra cuando se selecciona Mostrar temas para la opción Método de suscripción de temas .
Patrón de filtro de tema	Una expresión regular que coincida con los temas a los que se va a suscribir. Esta opción sólo se muestra cuando se selecciona Coincidencia de patrones Regex para la opción Método de suscripción de temas .
Usar autenticación SASL	Esta opción muestra las opciones de configuración de autenticación SASL. Cuando se utiliza sin autenticación de cliente, debe colocar una copia del certificado de servidor en el `/opt/qradar/conf/ trusted_certificates/` directorio.
Usar autenticación de cliente	Muestra las opciones de configuración de autenticación de cliente.
/Key Store/Trust Store Type	El formato de archivo de almacenamiento para el tipo de almacén de claves y almacén de confianza. Las siguientes opciones están disponibles para el formato de archivo de almacenamiento: JKS PKCS12
Nombre de archivo del almacén de confianza	Nombre del archivo de almacén de confianza. El almacén de confianza debe colocarse en /opt/qradar/conf/trusted_certificates/ kafka/. El archivo contiene el nombre de usuario y la contraseña.
Nombre de archivo del almacén de claves	Nombre del archivo de almacén de claves. El almacén de claves debe colocarse en /opt/qradar/conf/trusted_certificates/ kafka/. El archivo contiene el nombre de usuario y la contraseña.
Usar como origen de registro de puerta de enlace	Esta opción permite que los eventos recopilados pasen por el motor de análisis de tráfico de JSA y detecten automáticamente los orígenes de registro adecuados.
Patrón de identificador de origen de registro	Define un identificador de origen de registro personalizado para los eventos que se están procesando, si la casilla Usar como origen de registro de puerta de enlace está activada. Los pares clave-valor se utilizan para definir el identificador de origen de registro personalizado. La clave es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. Este valor también admite grupos de captura que se pueden usar para personalizar aún más la clave. Los pares de valores de clave múltiple se definen escribiendo cada patrón en una nueva línea. Se evalúan varios patrones en el orden en que se enumeran. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. Los ejemplos siguientes muestran varias funciones de par clave-valor. Patrones `VPC=\sREJECT\sFAILURE` `$1=\s(REJECT)\sOK` `VPC-$1-$2=\s(ACCEPT)\s(OK)` Eventos `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origen de registro personalizado resultante `VPC-ACCEPT-OK`
Reemplazo de secuencia de caracteres	Reemplaza secuencias de caracteres literales específicos en la carga de eventos a caracteres reales. Una o más de las siguientes opciones están disponibles: Carácter Newline(CR LF) (\r\n) Carácter de avance de línea (\n) Carácter de retorno de carro (\r) Carácter de tabulación (\t) Carácter de espacio (\s)
Acelerador EPS	El número máximo de eventos por segundo (EPS). No se aplica ninguna limitación si el campo está vacío.

Configuración de Apache Kafka para habilitar la autenticación de cliente
Configuración de Apache Kafka para habilitar la autenticación SASL
Solución de problemas de Apache Kafka

Configuración de Apache Kafka para habilitar la autenticación de cliente

En esta tarea se explica cómo habilitar la autenticación de cliente con Apache Kafka.

Asegúrese de que los puertos utilizados por el servidor Kafka no estén bloqueados por un firewall.

Para habilitar la autenticación de cliente entre los consumidores de Kafka (JSA) y un agente de Kafka, se deben generar una clave y un certificado para cada intermediario y cliente del clúster. Los certificados también deben estar firmados por una autoridad de certificación (CA).

En los pasos siguientes, generará una CA, firmará los certificados de cliente y agente con ella y la agregará a los almacenes de confianza de cliente y corredor. También puede generar las claves y los certificados mediante Java keytool y OpenSSL. Como alternativa, se puede usar una CA externa junto con varias CA, una para firmar certificados de agente y otra para certificados de cliente.

Genere el almacén de confianza, el almacén de claves, la clave privada y el certificado de CA.

Nota:
Reemplace PASSWORD, VALIDITY, SERVER_ALIAS y CLIENT_ALIAS en los siguientes comandos con los valores apropiados.
1. Generar almacén de claves del servidor.
  
  Nota:
  El nombre común (CN) de los certificados de intermediario debe coincidir con el nombre de dominio completo (FQDN) del servidor o host. El cliente Kafka Consumer que utiliza JSA compara el CN con el nombre de dominio DNS para asegurarse de que se está conectando al intermediario correcto en lugar de uno malicioso. Asegúrese de especificar el FQDN para el valor CN/nombre y apellido cuando genere el almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -validity VALIDITY -genkey
2. Generar certificado de CA.
  
  Nota:
  Este certificado de CA se puede utilizar para firmar todos los certificados de agente y cliente.
  
  openssl req -new -x509 -keyout ca-key -out ca-cert -days VALIDITY
3. Cree un almacén de confianza del servidor e importe el certificado de CA.
  
  keytool -keystore kafka.server.truststore.jks -alias CARoot -import -file ca-cert
4. Cree un almacén de confianza de cliente e importe el certificado de CA.
  
  keytool -keystore kafka.client.truststore.jks -alias CARoot -import -file ca-cert
5. Genere un certificado de servidor y fírmelo con la CA.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -certreq -file cert-file openssl x509 -req -CA ca-cert -CAkey ca-key -in cert-file -out cert-signed -days VALIDITY -CAcreateserial
6. Importe el certificado de CA en el almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias CARoot -import -file ca-cert
7. Importe el certificado de servidor firmado al almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -import -file cert-signed
8. Exporte el certificado de servidor al archivo binario DER.
  
  Nota:
  El keytool -exportcert comando utiliza el formato DER de forma predeterminada. Coloque el certificado en el directorio trusted_certificates/ de cualquier EP que se comunique con Kafka. Necesita el certificado de servidor para cada servidor de arranque que utilice en la configuración. De lo contrario, JSA rechaza el protocolo de enlace TLS con el servidor.
  
  keytool -exportcert -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -file SEVER_ALIAS.der
9. Genere un almacén de claves de cliente.
  
  keytool -keystore kafka.client.keystore.jks -alias CLIENT_ALIAS -validity VALIDITY -genkey
10. Genere un certificado de cliente y fírmelo con la CA.
  
  keytool -keystore kafka.client.keystore.jks -alias CLIENT_ALIAS -certreq -file client-cert-file
  
  openssl x509 -req -CA ca-cert -CAkey ca-key -in client-cert-file -out client-cert-signed -days VALIDITY -CAcreateserial
11. Importe el certificado de CA en el almacén de claves del cliente.
  
  keytool -keystore kafka.client.keystore.jks -alias CARoot -import -file ca-cert
12. Importe el certificado de cliente firmado al almacén de claves del cliente.
  
  keytool -keystore kafka.client.keystore.jks -alias CLIENT_ALIAS -import -file client-cert-signed
13. Copie el almacén de claves del cliente y el almacén de confianza a JSA.
  1. Copie el kafka.client.keystore.jks y kafka.client.truststore.jks en /opt/qradar/conf/trusted_certificates/kafka/ en cada uno de los procesadores de eventos para los que está configurado el origen de registro.
  2. Copie los certificados de servidor <filename>.der que se generaron para cada intermediario en /opt/qradar/conf/trusted_certificates/.
Configure los intermediarios de Kafka para la autenticación de cliente.
1. Busque la sección Configuración del servidor de sockets .
2. Complete 1 de las siguientes opciones:
  - Si no utiliza la autenticación SASL, cambie listeners=PLAINTEXT://:<port> a listeners=SSL://:<PORT > y agregue security.inter.broker.protocol=SSL.
  - Si utiliza la autenticación SASL, cambie listeners=PLAINTEXT://:<port> a listeners=SSL://:<PORT > y agregue security.inter.broker.protocol=SASL_SSL
3. Cambie listeners=PLAINTEXT://:<port> a listeners=SSL://:<PORT>.
4. Agregue las siguientes propiedades para forzar la comunicación cifrada entre los agentes y entre los agentes y los clientes. Ajuste las rutas, los nombres de archivo y las contraseñas a medida que los necesite. Estas propiedades son el almacén de confianza y el almacén de claves del servidor:
  
  ssl.client.auth=required
  
  ssl.keystore.location=/somefolder/kafka.server.keystore.jks
  
  ssl.keystore.password=test1234
  
  ssl.key.password=test1234
  
  ssl.truststore.location=/somefolder/kafka.server.truststore.jks
  
  ssl.truststore.password=test1234
  
  Nota:
  Dado que las contraseñas se almacenan en texto sin formato en el server.properties, se recomienda que el acceso al archivo esté restringido mediante permisos del sistema de archivos.
5. Reinicie los corredores de Kafka que tenían su server.properties modificado.

Configuración de Apache Kafka para habilitar la autenticación SASL

Esta tarea describe cómo habilitar la autenticación SASL con Apache Kafka sin autenticación de cliente SSL.

Si utiliza la autenticación SASL con la autenticación de cliente habilitada, consulte Configuración de Apache Kafka para habilitar la autenticación de cliente.

Asegúrese de que los puertos utilizados por el servidor Kafka no estén bloqueados por un firewall.
Para habilitar la autenticación de cliente entre los consumidores de Kafka (JSA) y los corredores de Kafka, se debe generar una clave y un certificado para cada agente y cliente del clúster. Los certificados también deben estar firmados por una autoridad de certificación (CA).

En los pasos siguientes, generará una CA, firmará los certificados de cliente y agente con ella y agréguela a los almacenes de confianza del intermediario. También puede generar las claves y los certificados mediante Java keytool y OpenSSL. Como alternativa, se puede usar una CA externa junto con varias CA, una para firmar certificados de agente y otra para certificados de cliente.

Genere el almacén de confianza, el almacén de claves, la clave privada y el certificado de CA.

Nota:
Reemplace PASSWORD, VALIDITY, SERVER_ALIAS y CLIENT_ALIAS en los siguientes comandos con los valores apropiados.
1. Generar almacén de claves del servidor.
  
  Nota:
  El nombre común (CN) de los certificados de intermediario debe coincidir con el nombre de dominio completo (FQDN) del servidor o host. El cliente Kafka Consumer que utiliza JSA compara el CN con el nombre de dominio DNS para asegurarse de que se está conectando al intermediario correcto en lugar de uno malicioso. Asegúrese de especificar el FQDN para el valor CN/nombre y apellido cuando genere el almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -validity VALIDITY -genkey
2. Generar certificado de CA.
  
  Nota:
  Este certificado de CA se puede utilizar para firmar todos los certificados de agente y cliente.
  
  openssl req -new -x509 -keyout ca-key -out ca-cert -days VALIDITY
3. Cree un almacén de confianza del servidor e importe el certificado de CA.
  
  keytool -keystore kafka.server.truststore.jks -alias CARoot -import -file ca-cert
4. Genere un certificado de servidor y fírmelo con la CA.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -certreq -file cert-file
  
  openssl x509 -req -CA ca-cert -CAkey ca-key -in cert-file -out cert-signed -days VALIDITY -CAcreateserial
5. Importe el certificado de CA en el almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias CARoot -import -file ca-cert
6. Importe el certificado de servidor firmado al almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -import -file cert-signed
7. Exporte el certificado de servidor al archivo binario DER.
  
  Nota:
  El keytool -exportcert comando utiliza el formato DER de forma predeterminada. Coloque el certificado en el directorio trusted_certificates/ de cualquier EP que se comunique con Kafka. Necesita el certificado de servidor para cada servidor de arranque que utilice en la configuración. De lo contrario, JSA rechaza el protocolo de enlace TLS con el servidor.
  
  keytool -exportcert -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -file SEVER_ALIAS.der
Configure los intermediarios de Kafka para la autenticación de cliente.
1. Busque la sección Configuración del servidor de socket y, a continuación, cambie listeners=PLAINTEXT://:<port>to listeners=SSL://:<PORT>.
2. Agregue las siguientes propiedades para forzar la comunicación cifrada entre los agentes y entre los agentes y los clientes. Ajuste las rutas, los nombres de archivo y las contraseñas a medida que los necesite. Estas propiedades son el almacén de confianza y el almacén de claves del servidor:
  
  security.inter.broker.protocol=SASL_SSL
  
  ssl.client.auth=none
  
  ssl.keystore.location=/somefolder/kafka.server.keystore.jks
  
  ssl.keystore.password=test1234
  
  ssl.key.password=test1234
  
  ssl.truststore.location=/somefolder/kafka.server.truststore.jks
  
  ssl.truststore.password=test1234
  
  Nota:
  Dado que las contraseñas se almacenan en texto sin formato en server.properties, se recomienda que el acceso al archivo esté restringido mediante permisos del sistema de archivos.
3. Reinicie los brokers de Kafka a los que se les modificó server.properties.

Solución de problemas de Apache Kafka

Esta referencia proporciona opciones de solución de problemas para configurar Apache Kafka para habilitar la autenticación de cliente.

Tabla 10: Solución de problemas para la autenticación de cliente Apache Kafka
Emitir	Solución
La opción Usar como origen de registro de puerta de enlace está seleccionada en la configuración del origen del registro, pero los orígenes de registro no se detectan automáticamente.	Los eventos que se transmiten desde Kafka deben contener un RFC3164 Syslog válido o un encabezado compatible con RFC5424, para que JSA pueda determinar correctamente el identificador de origen de registro de cada evento.
No se recibe ningún evento y se muestra el siguiente error en el formulario de configuración del origen del registro: "`Encountered an error while attempting to fetch topic metadata... Please verify the configuration information`."	Compruebe que los detalles del servidor de arranque y del puerto que se especifican en la configuración son válidos. Si la autenticación de cliente está habilitada, compruebe lo siguiente: Las contraseñas introducidas son correctas. Los archivos del almacén de confianza del cliente y del almacén de claves están presentes en la carpeta /opt/qradar/conf/trusted_certificates/kafka/ y los nombres de archivo especificados coinciden. Los certificados del servidor (<filename>.der) están presentes en la carpeta /opt/qradar/conf/trusted_certificates/.
No se recibe ningún evento y se muestra el siguiente error en el formulario de configuración del origen del registro: "`The user specified list of topics did not contain any topics that exists in the Kafka cluster. Please verify the topic list`."	Cuando utiliza las opciones Lista de temas para suscribirse a temas, JSA intenta verificar los temas disponibles en el clúster de Kafka para los temas especificados cuando se inicia inicialmente el origen de registro. Si ningún tema coincide entre lo que se introdujo en la configuración y lo que está disponible en el clúster, se le presentará este mensaje. Verifique los nombres de tema que se ingresan en la configuración; Además, considere el uso de la opción Regex Pattern Matching para suscribirse a temas.
Cuando se cambia cualquier valor de parámetro en el archivo de propiedades en el servidor de Kafka, no se reciben los resultados esperados.	Desactive y, a continuación, vuelva a habilitar el origen de registro de Kafka.

Opciones de configuración del protocolo de la API de REST de Blue Coat Web Security Service

Para recibir eventos de Blue Coat Web Security Service, configure un origen de registro para usar el protocolo REST API de Blue Coat Web Security Service.

El protocolo REST API de Blue Coat Web Security Service es un protocolo saliente/activo que consulta la API de sincronización del servicio Blue Coat Web Security y recupera datos de registro reforzados recientemente de la nube.

En la tabla siguiente se describen los parámetros específicos del protocolo para la API de REST del servicio de seguridad web de Blue Coat:

Tabla 11: Parámetros del protocolo REST API del servicio de seguridad web Blue Coat
Parámetro	Descripción
Nombre de usuario de la API	El nombre de usuario de la API que se usa para autenticarse con Blue Coat Web Security Service. El nombre de usuario de la API se configura a través del Blue Coat Threat Pulse Portal.
Contraseña	La contraseña que se usa para autenticarse con Blue Coat Web Security Service.
Confirmar contraseña	Confirmación del campo Contraseña .
Usar proxy	Cuando configura un proxy, todo el tráfico del origen del registro viaja a través del proxy para que JSA acceda al servicio Blue Coat Web Security. Configure los campos IP o nombre de host del proxy, Puerto del proxy, Nombre de usuario del proxy y Contraseña del proxy. Si el proxy no requiere autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco.
Repetición	Puede especificar cuándo se recopilan datos en el registro. El formato es M/H/D para meses/horas/días. El valor predeterminado es 5 M.
Acelerador EPS	El límite superior para el número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.

Opciones de configuración del protocolo de la API REST de Centrify Redrock

El protocolo REST API de Centrify Redrock es un protocolo saliente/activo para JSA que recopila eventos de Centrify Identity Platform.

El protocolo REST API de Centrify Redrock admite la plataforma de identidad Centrify y la plataforma de seguridad de identidad de CyberArk.

Los siguientes parámetros requieren valores específicos para recopilar eventos de Centrify Identity Platform:

Tabla 12: Parámetros de origen de registro del protocolo REST API REST de Centrify Redrock
Parámetro	Valor
Tipo de origen de registro	Plataforma de identidad Centrify
Configuración del protocolo	Centrify Redrock REST API
Identificador de origen de registro	Un nombre único para el origen del registro. El identificador de origen de registro puede tener cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede tener el mismo valor que el nombre de origen de registro. Si tiene más de un origen de registro de Centrify Identity Platform configurado, es posible que desee identificar el primer origen de registro como `centrify1`, el segundo origen de registro como `centrify2`, y el tercer origen de registro como `centrify3`.
ID de inquilino	Centrify asignó un ID único de cliente o inquilino.
URL del inquilino	URL de inquilino generada automáticamente para el ID de inquilino especificado. Por ejemplo `tenantId.my.centrify.com`
Nombre de usuario	Nombre de usuario asociado al servicio en la nube para Centrify Identity Platform.
Contraseña	La contraseña asociada al nombre de usuario de Centrify Identity Platform.
Filtro de registro de eventos	Seleccione el nivel de registro de los eventos que desea recuperar. Información, Advertencia y Error son seleccionables. Se debe seleccionar al menos un filtro.
Permitir certificados que no sean de confianza	Active esta opción para permitir certificados autofirmados que no sean de confianza. No habilite esta opción para inquilinos alojados en SaaS. Sin embargo, si es necesario, puede habilitar esta opción para otras configuraciones de inquilinos. El certificado debe descargarse en formato binario codificado PEM o DER y, a continuación, colocarse en el directorio /opt/ qradar/conf/trusted_certificates/ con la extensión de archivo .cert o .crt.
Usar proxy	Cuando se configura un proxy, todo el tráfico de la API de REST de Centrify Redrock viaja a través del proxy. Configure los campos Servidor proxy, Puerto proxy, Nombre de usuario proxy y Contraseña de proxy . Si el proxy no requiere autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco.
Acelerador EPS	Número máximo de eventos por segundo. El valor predeterminado es 5000.
Repetición	El intervalo de tiempo puede ser en horas (H), minutos (M) o días (D). El valor predeterminado es 5 minutos (5M).

Opciones de configuración del protocolo Cisco Firepower EStreamer

Para recibir eventos de un servicio Cisco Firepower eStreamer (Event Streamer), configure un origen de registro para utilizar el protocolo Cisco Firepower eStreamer.

El protocolo Cisco Firepower eStreamer se conocía anteriormente como protocolo eStreamer de Sourcefire Defense Center.

El protocolo Cisco firepower eStreamer es un protocolo entrante/pasivo.

Los archivos de eventos se transmiten a JSA para ser procesados después de configurar Cisco Firepower Management Center DSM.

La siguiente tabla describe los parámetros específicos del protocolo para el protocolo Cisco Firepower eStreamer:

Tabla 13: Parámetros del protocolo Cisco Firepower EStreamer
Parámetro	Descripción
Configuración del protocolo	Cisco Firepower eStreamer
Puerto del servidor	El número de puerto en el que los servicios Cisco Firepower eStreamer está configurado para aceptar solicitudes de conexión. El puerto predeterminado que JSA utiliza para Cisco Firepower eStreamer es 8302.
Nombre de archivo del almacén de claves	La ruta de acceso al directorio y el nombre de archivo de la clave privada del almacén de claves y el certificado asociado. De forma predeterminada, el script de importación crea el archivo de almacén de claves en el siguiente directorio: /opt/qradar/conf/estreamer.keystore.
Nombre de archivo del almacén de confianza	La ruta de acceso al directorio y el nombre de archivo de los archivos del almacén de confianza. El archivo de almacén de confianza contiene los certificados en los que confía el cliente. De forma predeterminada, el script de importación crea el archivo truststore en el siguiente directorio: /opt/qradar/conf/estreamer.truststore.
Solicitar datos adicionales	Seleccione esta opción para solicitar datos adicionales de Cisco Firepower Management Center, por ejemplo, datos adicionales incluyen la dirección IP original de un evento.
Dominio	Nota: Las solicitudes de streaming de dominio solo se admiten para eStreamer versión 6.x. Deje el campo Dominio en blanco para eStreamer versión 5.x. El dominio desde donde se transmiten los eventos. El valor del campo Dominio debe ser un dominio completo. Esto significa que todos los antepasados del dominio deseado deben aparecer en la lista, comenzando con el dominio de nivel superior y terminando con el dominio leaf al que desea solicitar eventos. Ejemplo: Global es el dominio de nivel superior, B es un dominio de segundo nivel que es un subdominio de Global y C es un dominio de tercer nivel y un dominio leaf que es un subdominio de B. Para solicitar eventos de C, escriba el siguiente valor para el parámetro Domain : Global \ B \ C

Opciones de configuración del protocolo Cisco NSEL

Para supervisar flujos de paquetes NetFlow desde un Cisco Adaptive Security Appliance (ASA), configure el origen del protocolo Cisco Network Security Event Logging (NSEL).

El protocolo Cisco NSEL es un protocolo entrante/pasivo. Para integrar Cisco NSEL con JSA, debe crear manualmente un origen de registro para recibir eventos de NetFlow. JSA no descubre ni crea automáticamente orígenes de registro para eventos syslog de Cisco NSEL.

La tabla siguiente describe los parámetros específicos del protocolo para el protocolo Cisco NSEL:

Tabla 14: Parámetros del protocolo Cisco NSEL
Parámetro	Descripción
Configuración del protocolo	Cisco NSEL
Identificador de origen de registro	Si la red contiene dispositivos conectados a una consola de administración, puede especificar la dirección IP del dispositivo individual que creó el evento. Un identificador único para cada uno, como una dirección IP, impide que las búsquedas de eventos identifiquen a la consola de administración como el origen de todos los eventos.
Puerto colector	El número de puerto UDP que Cisco ASA utiliza para reenviar eventos NSEL. JSA utiliza el puerto 2055 para los datos de flujo en los procesadores de flujo JSA. Debe asignar un puerto UDP diferente en Cisco Adaptive Security Appliance para NetFlow.

Opciones de configuración del protocolo VMware de EMC

Para recibir datos de eventos del servicio web VMWare para entornos virtuales, configure un origen de registro para utilizar el protocolo VMWare de EMC.

El protocolo VMware de EMC es un protocolo saliente/activo.

JSA admite los siguientes tipos de eventos para el protocolo VMware de EMC:

Información de la cuenta
Notar
Advertencia
Error
Sistema informativo
Configuración del sistema
Error del sistema
Todocoleccion
Evento sospechoso misceláneo
Acceso denegado
Información
Autenticación
Seguimiento de sesiones

La siguiente tabla describe los parámetros específicos del protocolo para el protocolo VMware de EMC:

Tabla 15: Parámetros del protocolo VMware de EMC
Parámetro	Descripción
Configuración del protocolo	EMC VMware
Identificador de origen de registro	El valor de este parámetro debe coincidir con el parámetro IP de VMware .
VMware IP	La dirección IP del servidor ESXi de VMWare. El protocolo VMware anexa la dirección IP del servidor VMware ESXi con HTTPS antes de que el protocolo solicite datos de eventos.

Opciones de configuración del protocolo reenviado

Para recibir eventos de otra consola de la implementación, configure un origen de registro para usar el protocolo reenviado.

El protocolo reenviado es un protocolo entrante/pasivo que normalmente se utiliza para reenviar eventos a otra consola JSA . Por ejemplo, la consola A tiene la consola B configurada como destino fuera del sitio. Los datos de los orígenes de registro descubiertos automáticamente se reenvían a la consola B. Los orígenes de registro creados manualmente en la consola A también deben agregarse como origen de registro a la consola B con el protocolo reenviado.

Opciones de configuración del protocolo Pub/Sub de Google Cloud

El protocolo Google Cloud Pub/Sub es un protocolo saliente/activo para JSA que recopila registros de Google Cloud Platform (GCP).

Si las actualizaciones automáticas no están habilitadas, descarga el RPM del protocolo GoogleCloudPubSub desde el https://support.juniper.net/support/downloads/.

Nota:

El protocolo Pub/Sub de Google Cloud es compatible con JSA 7.3.2 parche 6 o posterior.

En la siguiente tabla se describen los parámetros específicos del protocolo para recopilar registros de Google Cloud Pub/Sub con el protocolo Google Cloud Pub/Sub:

Tabla 16: Parámetros de origen de registro de Google Cloud Pub/Sub para Google Cloud Pub/Sub
Parámetro	Descripción
Tipo de credencial de cuenta de servicio	Especifique de dónde provienen las credenciales de cuenta de servicio necesarias. Asegúrate de que la cuenta de servicio asociada tenga el rol de suscriptor de pub/suscripción o el permiso pubsub.subscriptions.consume más específico en el nombre de suscripción configurado en GCP. Clave administrada por el usuario Se proporciona en el campo Clave de cuenta de servicio al ingresar el texto JSON completo de una clave de cuenta de servicio descargada. Clave administrada de GCP Asegúrate de que el host administrado de JSA se esté ejecutando en una instancia de GCP Compute y de que los ámbitos de acceso a la API de Cloud incluyan Cloud Pub/Sub.
Nombre de suscripción	Nombre completo de la suscripción a Cloud Pub/Sub. Por ejemplo, projects/my-project/subscriptions/my-subscription.
Usar como origen de registro de puerta de enlace	Seleccione esta opción para que los eventos recopilados fluyan a través del motor de análisis de tráfico de JSA y para que JSA detecte automáticamente uno o más orígenes de registro. Al seleccionar esta opción, el patrón de identificador de origen de registro se puede utilizar opcionalmente para definir un identificador de origen de registro personalizado para los eventos que se están procesando.
Patrón de identificador de origen de registro	Cuando se selecciona la opción Usar como origen de registro de puerta de enlace , utilice esta opción para definir un identificador de origen de registro personalizado para los eventos que se procesan. Si el patrón de identificador de origen de registro no está configurado, JSA recibe eventos como orígenes de registro genéricos desconocidos. El campo Patrón de identificador de origen de registro acepta pares clave-valor, como key=value, para definir el identificador de origen de registro personalizado para los eventos que se están procesando y para que los orígenes de registro se detecten automáticamente cuando corresponda. Key es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. El valor (patrón regex) también admite grupos de captura que se pueden utilizar para personalizar aún más la clave (cadena de formato de identificador). Se pueden definir varios pares clave-valor escribiendo cada patrón en una nueva línea. Cuando se utilizan varios patrones, se evalúan en orden hasta que se encuentra una coincidencia. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. En los ejemplos siguientes se muestra la funcionalidad de varios pares clave-valor: Patrones `VPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2=\s(ACCEPT)\s(OK)` Eventos `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origen de registro personalizado resultante `VPC-ACCEPT-OK`
Usar proxy	Selecciona esta opción para que JSA se conecte al GCP mediante un proxy. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
IP de proxy o nombre de host	La IP o el nombre de host del servidor proxy.
Puerto proxy	Número de puerto que se utiliza para comunicarse con el servidor proxy. El valor predeterminado es 8080.
Nombre de usuario del proxy	Solo es necesario cuando el proxy requiere autenticación.
Contraseña de proxy	Solo es necesario cuando el proxy requiere autenticación.
Acelerador EPS	El límite superior para el número máximo de eventos por segundo (EPS) que este origen de registro no debe superar. El valor predeterminado es 5000. Si se selecciona la opción Usar como origen de registro de puerta de enlace , este valor es opcional. Si el valor del parámetro EPS Throttle se deja en blanco, JSA no impone ningún límite de EPS.

Configuración de Google Cloud Pub/Sub para integrarlo con JSA
Crear un tema de publicación/suscripción en Google Cloud Console
Crear una cuenta de servicio y una clave de cuenta de servicio en Google Cloud Console para acceder a la suscripción de pub/suscripción
Rellenar un tema Pub/Sub con datos
Añadir una fuente de registro de Google Cloud Pub/Sub en JSA

Configuración de Google Cloud Pub/Sub para integrarlo con JSA

Antes de poder agregar un origen de registro en JSA, debe crear un tema y una suscripción de Pub/Sub, crear una cuenta de servicio para acceder a la suscripción de Pub/Sub y, a continuación, rellenar el tema de Pub/Sub con datos.

Para configurar Google Cloud Pub/Sub para que se integre con JSA, realiza las siguientes tareas:

Crear un tema de publicación/suscripción en Google Cloud Console
Crear una cuenta de servicio y una clave de cuenta de servicio en Google Cloud Console para acceder a la suscripción de pub/suscripción
Rellenar un tema Pub/Sub con datos

Crear un tema de publicación/suscripción en Google Cloud Console

Un tema en Google Cloud Pub/Sub es dónde se publican los datos. Uno o más suscriptores pueden consumir estos datos mediante una suscripción.

Una suscripción en Google Cloud Pub/Sub es una vista de los datos temáticos de un solo suscriptor o un grupo de suscriptores. Para recopilar datos de Pub/Sub, JSA necesita una suscripción dedicada al tema que no sea compartida por ningún otro SIEM, proceso de negocio, etc. Sin embargo, varios recopiladores de eventos JSA dentro de la misma implementación pueden usar la misma suscripción para equilibrar la carga del consumo del mismo tema mediante la opción Origen de registro de puerta de enlace.

Crear un tema. Si ya tiene un tema que contiene los datos que desea enviar a JSA, omita este paso.
1. Inicia sesión en Google Cloud Platform.
2. En el menú de navegación, seleccione Pub/Sub > Temas y, a continuación, haga clic en CREAR TEMA.
3. En el campo Id. de tema, escriba un nombre para el tema.
4. En la sección Cifrado, asegúrese de que la opción Clave administrada por Google esté seleccionada y, a continuación, haga clic en CREAR TEMA.

Cree una suscripción.

En el menú de navegación Pub/Sub, seleccione Suscripciones.

Haga clic en Crear suscripción y, a continuación, configure los parámetros.

En la siguiente tabla se describen los valores de parámetro necesarios para crear una suscripción en Google Cloud Pub/Sub:

Tabla 17: Google Cloud Pub/Sub Crear parámetros de suscripción para Google Cloud Pub/Sub
Parámetro	Descripción
ID de suscripción	Escriba un nuevo nombre de suscripción.
Seleccionar un tema de Cloud Pub/Sub	Seleccione un tema de la lista.
Tipo de entrega	Habilite la extracción.
Caducidad de la suscripción	Habilite Caducar después de tantos días en (365) y, a continuación, escriba el número de días que desea mantener la suscripción en el campo Días; por ejemplo, 31.
Fecha límite de acuse de recibo	Para asegurarse de que los mensajes se procesan solo una vez, escriba 60 en el campo Segundos .
Duración de la retención de mensajes	En el campo Días, escriba el número de días que desea conservar los mensajes no confirmados; por ejemplo, 7. JSA reconoce los mensajes después de consumirlos. Nota: Para asegurarse de que los mensajes se procesan solo una vez, no seleccione Conservar mensajes confirmados.
Puerto proxy	Número de puerto que se utiliza para comunicarse con el servidor proxy. El valor predeterminado es 8080.
Nombre de usuario del proxy	Solo es necesario cuando el proxy requiere autenticación.
Contraseña de proxy	Solo es necesario cuando el proxy requiere autenticación.
Acelerador EPS	El límite superior para el número máximo de eventos por segundo (EPS) que este origen de registro no debe superar. El valor predeterminado es 5000. Si se selecciona la opción Usar como origen de registro de puerta de enlace , este valor es opcional. Si el valor del parámetro EPS Throttle se deja en blanco, JSA no impone ningún límite de EPS.

Haga clic en CREAR.

Crear una cuenta de servicio y una clave de cuenta de servicio en Google Cloud Console para acceder a la suscripción de pub/suscripción

Se debe crear una cuenta de servicio para que JSA se autentique con las API de Google Cloud Pub/Sub.

La clave de la cuenta de servicio contiene las credenciales de la cuenta de servicio en formato JSON.

Cree una cuenta de servicio.

Omita este paso si se cumple una de las condiciones siguientes:
- Ya tiene una cuenta de servicio que desea usar.
- Tienes un dispositivo JSA All-in-One o un recopilador de eventos JSA que recopila eventos de una instancia de JSA Cloud Platform Compute y estás usando la clave administrada de GCP como opción Tipo de cuenta de servicio .
1. Inicia sesión en Google Cloud Platform.
2. En el menú de navegación de IAM & Admin, seleccione Cuentas de servicio y, a continuación, haga clic en CREAR CUENTA DE SERVICIO.
3. En el campo Cuenta de servicio , escriba un nombre para la cuenta de servicio.
4. En el campo Descripción de la cuenta de servicio , escriba una descripción para la cuenta de servicio.
5. Haga clic en CREAR.
Crear una clave de cuenta de servicio: las credenciales de la cuenta de servicio con formato JSON se descargan en el equipo desde el explorador web. Si usa la opción Clave administrada por el usuario para el parámetro Clave de cuenta de servicio al configurar un origen de registro en JSA, necesitará el valor de clave de cuenta de servicio. Si usas la opción Clave administrada de GCP , omite este paso.
- Inicia sesión en Google Cloud Platform.
- En el menú de navegación, seleccione IAM & Admin > Service Accounts.
- Seleccione su cuenta de servicio en la lista Correo electrónico y, a continuación, seleccione Crear clave en la lista Acciones .
- Seleccione JSON para el tipo de clave y, a continuación, haga clic en CREAR.
Asignar permisos a una cuenta de servicio: se debe crear una cuenta de servicio para que JSA se autentique con las API de Google Cloud Pub/Sub. Si ya tiene una cuenta de servicio, omita este paso. Si tienes un dispositivo todo en uno JSA o un recopilador de eventos JSA que recopila eventos de una instancia informática de Google Cloud Platform y usas la clave administrada de GCP como opción Tipo de cuenta de servicio, omite este paso.
1. Inicia sesión en Google Cloud Platform.
2. En el menú de navegación, seleccione IAM & Admin > IAM y, a continuación, haga clic en Agregar.
3. Selecciona la cuenta de servicio que creaste en el paso 1 o, si usas las claves administradas de GCP, selecciona la cuenta de servicio asignada a la instancia informática que usa tu instalación de JSA.
4. En la lista Rol , seleccione Suscriptor de pub/Sub. Cuando se usa el rol de suscriptor de Pub/Sub, la cuenta de servicio lee y consume mensajes de temas de Pub/Sub. Si desea limitar aún más los permisos, puede crear un rol personalizado con el permiso pubsub.subscriptions.consume y asignarlo solo a una suscripción específica.
5. Haga clic en GUARDAR.

Rellenar un tema Pub/Sub con datos

Algunos servicios de Google Cloud Platform pueden escribir datos en temas de Pub/Sub mediante un receptor de registro o mediante agentes de Stackdriver que se pueden instalar en instancias de Google Compute Engine.

Asegúrate de tener un tema de publicación/suscripción y una configuración de suscripción en Google Cloud Platform.

Un caso de uso común es recopilar la actividad administrativa del registro de auditoría en la nube de Google Cloud Platform. Utilice el ejemplo siguiente para crear el receptor de exportación de registros.

Inicia sesión en Google Cloud Platform.
En el menú de navegación, haga clic en Registro > Visor de registros.
En la lista Recursos auditados , selecciona Proyecto de Google.
En la lista Filtrar por etiqueta o búsqueda de texto , seleccione Convertir en filtro avanzado.
En el campo Filtro avanzado , escriba el logName:"logs/cloudaudit.googleapis.comcomando ".
Haga clic en CREAR RECEPTOR.

Añadir una fuente de registro de Google Cloud Pub/Sub en JSA

Configura una fuente de registro en JSA para usar un tipo de fuente de registro personalizada o un tipo de fuente de registro de Juniper que admita el protocolo Pub/Sub de Google Cloud.

Puedes utilizar el protocolo Google Cloud Pub/Sub para recuperar cualquier tipo de evento del servicio Google Cloud Pub/Sub. Juniper ofrece DSM para algunos servicios de Google Cloud. Cualquier servicio que no tenga un DSM se puede controlar mediante un tipo de origen de registro personalizado.

Si desea utilizar un DSM existente para analizar datos, seleccione la opción Usar como origen de registro de puerta de enlace para crear más orígenes de registro a partir de los datos recopilados por esta configuración. Como alternativa, si los orígenes de registro no se detectan automáticamente, puede crearlos manualmente mediante Syslog para la opción Tipo de parámetro Protocolo .

Inicie sesión en JSA.
En la pestaña Administrador , haga clic en el icono de la aplicación JSA Log Source Management.
Haga clic en Nuevo origen de registro > único origen de registro.
En la página Seleccionar un tipo de fuente de registro , selecciona un tipo de fuente de registro personalizada o un tipo de fuente de registro de Juniper que admita el protocolo Pub/Sub de Google Cloud.
En la página Seleccionar un tipo de protocolo , en la lista Seleccionar tipo de protocolo , seleccione Google Pub/Sub Protocol.
En la página Configurar los parámetros del origen del registro , configure los parámetros del origen del registro y, a continuación, haga clic en Configurar parámetros de protocolo. Para obtener más información sobre cómo configurar los parámetros del protocolo de Google Cloud Pub/Sub, consulta el artículo Añadir una fuente de registro de Google Cloud Pub/Sub en JSA.
Pruebe la conexión para asegurarse de que la conectividad, la autenticación y la autorización funcionan. Si está disponible, vea eventos de muestra de la suscripción.
1. Haga clic en Probar parámetros de protocolo y, a continuación, haga clic en Iniciar prueba.
2. Para corregir cualquier error, haga clic en Configurar parámetros de protocolo y, a continuación, vuelva a probar el protocolo.

Opciones del protocolo de la API de REST de Google G Suite que informa

El protocolo REST API de informes de actividad de Google G Suite es un protocolo saliente/activo para JSA que recupera registros de Google G Suite.

El protocolo REST API de informes de actividad de Google G Suite es compatible con JSA 7.3.2 parche 6 o posterior.

En la siguiente tabla se describen los parámetros específicos del protocolo para el protocolo de la API de REST de informes de actividad de Google G Suite:

Tabla 18: Informes de actividad de Google G Suite Parámetros de origen de registro del protocolo de REST API
Parámetro	Descripción
Identificador de origen de registro	Escriba un nombre único para el origen del registro. El identificador de origen de registro puede tener cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede tener el mismo valor que el nombre de origen de registro. Si tienes configurada más de una fuente de registro de Google G Suite, es posible que desees crear identificadores únicos. Por ejemplo, puede identificar el primer origen de registro como `googlegsuite1`, el segundo origen de registro como `googlegsuite2`, y el tercer origen de registro como `googlegsuite3`.
Cuenta de usuario	Cuenta de usuario de Google, que tiene privilegios de informes.
Credenciales de la cuenta de servicio	Autoriza el acceso a las API de Google para recuperar los eventos. Las credenciales de la cuenta de servicio se encuentran en un archivo con formato JSON que se descarga al crear una nueva cuenta de servicio en Google Cloud Platform.
Usar proxy	Si JSA accede a Google G Suite mediante un proxy, habilite esta opción. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
Repetición	El intervalo de tiempo entre las consultas de origen de registro a la API de informes de actividad de Google G Suite para eventos nuevos. El intervalo de tiempo puede ser en horas (H), minutos (M) o días (D). El valor predeterminado es de 5 minutos.
Acelerador EPS	Número máximo de eventos por segundo.
Retraso del evento	El retraso, en segundos, para recopilar datos. Los registros de Google G Suite funcionan en un eventual sistema de entrega. Para garantizar que no se pierdan datos, los registros se recopilan con retraso. El retraso predeterminado es de 7200 segundos (2 horas) y se puede establecer tan bajo como 0 segundos.

Preguntas frecuentes sobre el protocolo REST API de Google G Suite Informes de actividad

¿Tienes alguna pregunta? Consulta estas preguntas y respuestas frecuentes para entender el protocolo de la API de REST de informes de actividad de Google G Suite

¿Para qué se utiliza la opción de retraso de eventos?
¿Cómo funciona la opción de retraso de eventos?
¿Qué valor utilizo para la opción de retraso de evento?

¿Para qué se utiliza la opción de retraso de eventos?

La opción de retraso de eventos se utiliza para evitar que se pierdan eventos. En este contexto, los eventos perdidos se producen porque están disponibles después de que el protocolo actualizó su intervalo de consulta a un período de tiempo más reciente que la hora de llegada del evento. Si se produjo un evento pero no se publicó en la API de REST de informes de actividad de Google G Suite, cuando el protocolo consulta la hora de creación de ese evento, el protocolo no obtiene ese evento.

Ejemplo 1: En el ejemplo siguiente se muestra cómo se puede perder un evento.

El protocolo consulta la API de REST de informes de actividad de Google G Suite a las 2:00 PM para recopilar eventos entre la 1:00 PM y la 1:59 PM. La respuesta de la API de REST de informes de actividad de Google G Suite devuelve los eventos que están disponibles en la API de REST de informes de actividad de Google G Suite entre la 1:00 p. m. y la 1:59 p.m. El protocolo funciona como si se recopilaran todos los eventos. Luego, envía la siguiente consulta a la API de REST de informes de actividad de Google G Suite a las 3:00 PM para obtener eventos que ocurrieron entre las 2:00 PM y las 2:59 PM. El problema con este escenario es que es posible que la API de REST de informes de actividad de Google G Suite no incluya todos los eventos que ocurrieron entre la 1:00 p. m. y la 1:59 p.m. Si un evento se produjo a la 13:58 horas, es posible que ese evento no esté disponible en la API de REST de los informes de actividad de Google G Suite hasta las 14:03 p. m. Sin embargo, el protocolo ya consultó el intervalo de tiempo de 1:00 p.m. a 1:59 p.m., y no puede volver a consultar ese rango sin obtener eventos duplicados. Este retraso puede tardar varias horas.

Ejemplo 2: En el ejemplo siguiente se muestra el ejemplo 1, excepto que en este escenario se agrega un retraso de 15 minutos.

En este ejemplo se utiliza un retraso de 15 minutos cuando el protocolo realiza llamadas de consulta. Cuando el protocolo realiza una llamada de consulta a la API de REST de informes de actividad de Google G Suite a las 2:00 PM, recopila los eventos que ocurrieron entre la 1:00 y la 1:45 PM. El protocolo funciona como si se recopilaran todos los eventos. Luego, envía la siguiente consulta a la API de REST de informes de actividad de Google G Suite a las 3:00 PM y recopila todos los eventos que ocurrieron entre la 1:45 PM y las 2:45 PM. En lugar de perderse el evento, como en el ejemplo 1, se detecta en la siguiente llamada de consulta entre la 1:45 p.m. y las 2:45 p.m.

Ejemplo 3: En el ejemplo siguiente se muestra el ejemplo 2, excepto que en este escenario los eventos están disponibles un día después.

Si el evento se produjo a la 1:58 p. m., pero solo estuvo disponible para la API de REST de informes de actividad de Google G Suite a la 1:57 p. m. del día siguiente, el retraso del evento del ejemplo 2 no obtiene ese evento. En su lugar, el retraso del evento debe establecerse en un valor superior, en este caso 24 horas.

¿Cómo funciona la opción de retraso de eventos?

En lugar de consultar desde la hora del último evento recibido hasta la hora actual, el protocolo consulta desde la hora del último evento recibido hasta la hora actual : <retraso del evento>. El retraso del evento es en segundos. Por ejemplo, un retraso de 15 minutos (900 segundos) significa que realiza consultas hace solo 15 minutos. Esta consulta le da a la API de REST de informes de actividad de Google G Suite 15 minutos para que un evento esté disponible antes de que se pierda. Cuando la hora actual ( retraso <evento> es menor que la hora del último evento recibido, el protocolo no consulta la API de REST de informes de actividad de Google G Suite. En su lugar, espera a que pase la condición antes de consultar.

¿Qué valor utilizo para la opción de retraso de evento?

La API de REST de informes de actividad de Google G Suite puede retrasar la disponibilidad de un evento. Para evitar que se pierda ningún evento, puede establecer el valor de la opción Retraso de evento en 168 horas (una semana). Sin embargo, cuanto mayor sea el retraso del evento, menos tiempo real serán los resultados. Por ejemplo, con un retraso de evento de 24 horas, verá los eventos 24 horas después de que ocurran en lugar de inmediatamente. El valor depende de cuánto riesgo esté dispuesto a asumir y cuán importantes sean los datos en tiempo real. El retraso predeterminado de 2 horas (7200 segundos) proporciona un valor que se establece en tiempo real y también evita que se pierdan la mayoría de los eventos. Para obtener más información acerca del retraso, consulte Retención de datos y tiempos de retraso.

Opciones de configuración del protocolo del receptor HTTP

Para recopilar eventos de dispositivos que reenvían solicitudes HTTP o HTTPS, configure un origen de registro para usar el protocolo Receptor HTTP.

El protocolo de receptor HTTP es un protocolo entrante/pasivo. El receptor HTTP actúa como un servidor HTTP en el puerto de escucha configurado y convierte el cuerpo de la solicitud de cualquier solicitud POST recibida en eventos. Admite solicitudes HTTPS y HTTP.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo del receptor HTTP:

Tabla 19: Parámetros del protocolo del receptor HTTP
Parámetro	Descripción
Configuración del protocolo	En la lista, seleccione Receptor HTTP.
Identificador de origen de registro	La dirección IP, el nombre de host o cualquier nombre para identificar el dispositivo. Debe ser único para el tipo de origen de registro.
Tipo de comunicación	Seleccione HTTP o HTTP, o HTTP y autenticación de cliente.
Ruta de acceso del certificado de cliente	Si selecciona HTTP y autenticación de cliente como tipo de comunicación, debe establecer la ruta absoluta al certificado de cliente. Debe copiar el certificado de cliente en la consola de JSA o en el recopilador de eventos del origen del registro.
Versión TLS	Las versiones de TLS que se pueden usar con este protocolo. Para utilizar la versión más segura, seleccione la opción TLSv1.2 . Cuando selecciona una opción con varias versiones disponibles, la conexión HTTPS negocia la versión más alta disponible tanto para el cliente como para el servidor.
Puerto de escucha	El puerto que usa JSA para aceptar eventos entrantes del receptor HTTP. El puerto predeterminado es 12469. Nota: No utilice el puerto 514. El puerto 514 es utilizado por el agente de escucha estándar de Syslog.
Patrón de mensajes	De forma predeterminada, todo el HTTP POST se procesa como un solo evento. Para dividir el POST en varios eventos de una sola línea, proporcione una expresión regular para indicar el inicio de cada evento.
Usar como origen de registro de puerta de enlace	Seleccione esta opción para que los eventos recopilados fluyan a través del motor de análisis de tráfico de JSA y para que JSA detecte automáticamente uno o más orígenes de registro.
Longitud máxima de la carga útil (Byte)	Tamaño máximo de carga de un solo evento en bytes. El evento se divide cuando el tamaño de su carga supera este valor. El valor predeterminado es 8192 y no debe ser mayor que 32767.
Método POST máximo Longitud de solicitud (MB)	Tamaño máximo del cuerpo de una solicitud de método POST en MB. Si el tamaño del cuerpo de una solicitud POST supera este valor, se devuelve un código de estado HTTP 413. El valor predeterminado es 5 y no debe ser mayor que 10.
Acelerador EPS	El número máximo de eventos por segundo (EPS) que no desea que se supere este protocolo. El valor predeterminado es 5000.

Opciones de configuración del protocolo JDBC

JSA utiliza el protocolo JDBC para recopilar información de tablas o vistas que contienen datos de eventos de varios tipos de bases de datos.

El protocolo JDBC es un protocolo saliente/activo. JSA no incluye un controlador MySQL para JDBC. Si está utilizando un DSM o protocolo que requiere un controlador JDBC de MySQL, debe descargar e instalar el conector MySQL/J independiente de la plataforma desde http://dev.mysql.com/downloads/connector/j/.

Copie el archivo de archivo Java (JAR) en /opt/qradar/jars.
Si utiliza JSA 7.3.1, también debe copiar el archivo JAR en/opt/ibm/si/services/ecs-ecingress/eventgnosis/lib/q1labs/.
Reinicie el servicio Tomcat escribiendo uno de los siguientes comandos:
- Si usa JSA 2014.8, escriba service tomcat restart
- Si utiliza JSA 7.3.0 o JSA 7.3.1, escriba systemctl restart tomcat
Reinicie los servicios de recopilación de eventos escribiendo uno de los siguientes comandos:
- Si usa JSA 2014.8, escriba service ecs-ec restart
- Si utiliza JSA 7.3.0, escriba systemctl restart ecs-ec
- Si utiliza JSA 7.3.1, escriba systemctl restart ecs-ec-ingress

En la tabla siguiente se describen los parámetros específicos del protocolo JDBC:

Tabla 20: Parámetros del protocolo JDBC
Parámetro	Descripción
Nombre del origen del registro	Escriba un nombre único para el origen del registro.
Descripción del origen del registro (opcional)	Escriba una descripción para el origen del registro.
Tipo de origen de registro	Seleccione el módulo de compatibilidad de dispositivos (DSM) que utiliza el protocolo JDBC en la lista Tipo de origen de registro .
Configuración del protocolo	JDBC
Identificador de origen de registro	Escriba un nombre para el origen del registro. El nombre no puede contener espacios y debe ser único entre todos los orígenes de registro del tipo de origen de registro configurado para utilizar el protocolo JDBC. Si el origen de registro recopila eventos de un único dispositivo que tiene una dirección IP estática o un nombre de host, utilice la dirección IP o el nombre de host del dispositivo como todo o parte del valor Identificador de origen de registro ; por ejemplo, 192.168.1.1 o JDBC192.168.1.1. Si el origen de registro no recopila eventos de un único dispositivo que tenga una dirección IP estática o un nombre de host, puede usar cualquier nombre único para el valor Identificador de origen de registro; por ejemplo, JDBC1, JDBC2.
Tipo de base de datos	Seleccione el tipo de base de datos que contiene los eventos.
Nombre de la base de datos	Nombre de la base de datos a la que desea conectarse.
IP o nombre de host	La dirección IP o el nombre de host del servidor de base de datos.
Puerto	Introduzca el puerto JDBC. El puerto JDBC debe coincidir con el puerto de escucha configurado en la base de datos remota. La base de datos debe permitir conexiones TCP entrantes. La base de datos debe permitir conexiones TCP entrantes. El rango válido es 1 - 65535. Los valores predeterminados son: MSDE - 1433 Postgres - 5432 MySQL - 3306 Sybase - 5000 Oráculo - 1521 Informix - 9088 Db2 - 50000 Si se usa una instancia de base de datos con el tipo de base de datos MSDE, los administradores deben dejar el parámetro Port en blanco en la configuración del origen del registro.
Nombre de usuario	Una cuenta de usuario para JSA en la base de datos.
Contraseña	La contraseña necesaria para conectarse a la base de datos.
Confirmar contraseña	La contraseña necesaria para conectarse a la base de datos.
Dominio de autenticación (sólo MSDE)	Si no seleccionó Usar Microsoft JDBC, se mostrará Dominio de autenticación . El dominio para MSDE que es un dominio de Windows. Si su red no utiliza ningún dominio, deje este campo en blanco.
Instancia de base de datos (sólo MSDE o Informix)	La instancia de base de datos, si es necesario. Las bases de datos MSDE pueden incluir varias instancias de SQL Server en un servidor. Cuando se usa un puerto no estándar para la base de datos o se bloquea el acceso al puerto 1434 para la resolución de la base de datos SQL, el parámetro Instancia de base de datos debe estar en blanco en la configuración del origen del registro.
Consulta predefinida (opcional)	Seleccione una consulta de base de datos predefinida para el origen del registro. Si una consulta predefinida no está disponible para el tipo de origen de registro, los administradores pueden seleccionar ninguna.
Nombre de la tabla	Nombre de la tabla o vista que incluye los registros de eventos. El nombre de la tabla puede incluir los siguientes caracteres especiales: signo de dólar ($), signo de número (#), guión bajo (_), guión en (-) y punto (.).
Seleccionar lista	Lista de campos que se incluirán cuando se sondee la tabla para eventos. Puede utilizar una lista separada por comas o escribir un asterisco (*) para seleccionar todos los campos de la tabla o vista. Si se define una lista separada por comas, la lista debe contener el campo definido en el campo Comparar.
Comparar campo	Un valor numérico o un campo de marca de tiempo de la tabla o vista que identifica los nuevos eventos que se agregan a la tabla entre consultas. Permite que el protocolo identifique eventos que el protocolo sondeó previamente para garantizar que no se crean eventos duplicados.
Usar declaraciones preparadas	Las instrucciones preparadas permiten que el origen del protocolo JDBC configure la instrucción SQL y, a continuación, ejecute la instrucción SQL varias veces con diferentes parámetros. Por motivos de seguridad y rendimiento, la mayoría de las configuraciones de protocolo JDBC pueden utilizar instrucciones preparadas.
Fecha y hora de inicio (opcional)	Seleccione o escriba la fecha y hora de inicio del sondeo de la base de datos. El formato es aaaa-mm-dd HH:mm, donde HH se especifica utilizando un reloj de 24 horas. Si este parámetro está vacío, el sondeo comienza inmediatamente y se repite en el intervalo de sondeo especificado. Este parámetro se usa para establecer la hora y la fecha en que el protocolo se conecta a la base de datos de destino para inicializar la recopilación de eventos. Se puede usar junto con el parámetro Intervalo de sondeo para configurar programaciones específicas para los sondeos de la base de datos. Por ejemplo, para asegurarse de que la encuesta ocurra cinco minutos después de la hora, cada hora, o para asegurarse de que la encuesta ocurra exactamente a la 1:00 a.m. todos los días. Este parámetro no se puede utilizar para recuperar filas de tabla antiguas de la base de datos de destino. Por ejemplo, si establece el parámetro en Última semana, el protocolo no recupera todas las filas de tabla de la semana anterior. El protocolo recupera filas que son más recientes que el valor máximo del campo Comparar en la conexión inicial.
Intervalo de sondeo	Especifique la cantidad de tiempo entre consultas en la tabla de eventos. Para definir un intervalo de sondeo más largo, anexe H para horas o M para minutos al valor numérico El intervalo máximo de sondeo es de una semana.
Acelerador EPS	El número de eventos por segundo (EPS) que no desea que supere este protocolo. El rango válido es de 100 a 20.000.
Mecanismo de seguridad (solo Db2)	En la lista, seleccione el mecanismo de seguridad soportado por el servidor Db2. Si no desea seleccionar un mecanismo de seguridad, seleccione Ninguno. El valor predeterminado es Ninguno. Para obtener más información acerca de los mecanismos de seguridad soportados por entornos Db2, consulte el https://support.juniper.net/support/downloads/.
Usar comunicación de canalización con nombre (solo MSDE)	Si no seleccionó Usar Microsoft JDBC, se mostrará Usar comunicación de canalización con nombre . Las bases de datos MSDE requieren el campo de nombre de usuario y contraseña para utilizar un nombre de usuario y contraseña de autenticación de Windows y no el nombre de usuario y la contraseña de la base de datos. La configuración del origen de registro debe utilizar la canalización con nombre predeterminada en la base de datos MSDE.
Nombre del clúster de base de datos (sólo MSDE)	Si seleccionó Usar comunicación de canalización con nombre, se mostrará el parámetro Usar comunicación de canalización con nombre . Si ejecuta SQL Server en un entorno de clúster, defina el nombre del clúster para asegurarse de que la comunicación por canalización con nombre funciona correctamente.
Utilice NTLMv2 (sólo MSDE)	Si no seleccionó Usar Microsoft JDBC, se muestra Usar NTLMv2 . Seleccione esta opción si desea que las conexiones MSDE utilicen el protocolo NTLMv2 cuando se comunican con servidores SQL Server que requieren autenticación NTLMv2. Esta opción no interrumpe las comunicaciones para conexiones MSDE que no requieren autenticación NTLMv2. No interrumpe las comunicaciones para conexiones MSDE que no requieren autenticación NTLMv2.
Usar Microsoft JDBC (sólo MSDE)	Si desea utilizar el controlador JDBC de Microsoft, debe habilitar Usar Microsoft JDBC.
Usar SSL (sólo MSDE)	Seleccione esta opción si su conexión admite SSL. Esta opción sólo aparece para MSDE.
Nombre de host del certificado SSL	Este campo es obligatorio cuando están habilitadas Usar Microsoft JDBC y Usar SSL . Este valor debe ser el nombre de dominio completo (FQDN) del host. La dirección IP no está permitida. Para obtener más información acerca de los certificados SSL y JDBC, consulte los procedimientos en los siguientes vínculos: QRadar: Configuración de JDBC a través de SSL con un certificado autofirmado Configuración de JDBC a través de SSL con un certificado firmado externamente
Usar Oracle Encryption	La configuración de cifrado e integridad de datos de Oracle también se conoce como seguridad avanzada de Oracle. Si se seleccionan, las conexiones JDBC de Oracle requieren que el servidor admita una configuración de Oracle Data Encryption similar a la del cliente.
Configuración regional de la base de datos (sólo Informix)	Para instalaciones multilingües, utilice este campo para especificar el idioma que desea utilizar.
Conjunto de códigos (sólo Informix)	El parámetro Code-Set se muestra después de elegir un idioma para instalaciones multilingües. Utilice este campo para especificar el juego de caracteres que se va a utilizar.
Habilitado	Seleccione esta casilla de verificación para habilitar el origen del registro. De forma predeterminada, la casilla de verificación está seleccionada.
Credibilidad	En la lista, seleccione la Credibilidad del origen del registro. El rango es 0 - 10. La credibilidad indica la integridad de un evento u ofensa según lo determinado por la calificación de credibilidad de los dispositivos fuente. La credibilidad aumenta si varias fuentes informan del mismo evento. El valor predeterminado es 5.
Recopilador de eventos de destino	Seleccione el recopilador de eventos de destino que desea usar como destino del origen del registro.
Eventos coalescentes	Active la casilla Eventos coalescentes para permitir que el origen del registro se fusione (agrupe) eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos coalescentes de la Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga útil del evento de la tienda	Seleccione la casilla de verificación Almacenar carga de eventos para permitir que el origen del registro almacene información de la carga del evento. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

JDBC: Opciones de configuración del protocolo SiteProtector

Puede configurar orígenes de registro para utilizar el protocolo Java Database Connectivity (JDBC) - SiteProtector para sondear remotamente las bases de datos de IBM Proventia Management SiteProtector en busca de eventos.

El protocolo JDBC - SiteProtector es un protocolo saliente/activo que combina información de las tablas SensorData1 y SensorDataAVP1 en la creación de la carga del origen del registro. Las tablas SensorData1 y SensorDataAVP1 se encuentran en la base de datos IBM Proventia Management SiteProtector. El número máximo de filas que el protocolo JDBC - SiteProtector puede sondear en una sola consulta es de 30.000 filas.

En la tabla siguiente se describen los parámetros específicos del protocolo JDBC - SiteProtector:

Tabla 21: JDBC - Parámetros del protocolo SiteProtector
Parámetro	Descripción
Configuración del protocolo	JDBC - SiteProtector
Tipo de base de datos	En la lista, seleccione MSDE como el tipo de base de datos que se utilizará para el origen del evento.
Nombre de la base de datos	Escriba `RealSecureDB` como el nombre de la base de datos a la que se puede conectar el protocolo.
IP o nombre de host	La dirección IP o el nombre de host del servidor de base de datos.
Puerto	Número de puerto utilizado por el servidor de base de datos. El puerto de configuración de JDBC SiteProtector debe coincidir con el puerto de escucha de la base de datos. La base de datos debe tener habilitadas las conexiones TCP entrantes. Si define una instancia de base de datos con MSDE como tipo de base de datos, debe dejar el parámetro Port en blanco en la configuración del origen del registro.
Nombre de usuario	Si desea realizar un seguimiento del acceso a una base de datos mediante el protocolo JDBC, puede crear un usuario específico para su sistema JSA .
Dominio de autenticación	Si selecciona MSDE y la base de datos está configurada para Windows, debe definir un dominio de Windows. Si su red no utiliza ningún dominio, deje este campo en blanco.
Instancia de base de datos	Si selecciona MSDE y tiene varias instancias de SQL Server en un servidor, defina la instancia a la que desea conectarse. Si usa un puerto no estándar en la configuración de la base de datos o si se bloquea el acceso al puerto 1434 para la resolución de la base de datos SQL, debe dejar el parámetro Instancia de base de datos en blanco en la configuración.
Consulta predefinida	La consulta de base de datos predefinida para el origen de registro. Las consultas de base de datos predefinidas solo están disponibles para conexiones de origen de registro especiales.
Nombre de la tabla	`SensorData1`
Nombre de vista de AVP	`SensorDataAVP`
Nombre de vista de respuesta	`SensorDataResponse`
Seleccionar lista	Escriba `*` para incluir todos los campos de la tabla o vista.
Comparar campo	`SensorDataRowID`
Usar declaraciones preparadas	Las instrucciones preparadas permiten que el origen del protocolo JDBC configure la instrucción SQL y, a continuación, ejecute la instrucción SQL varias veces con diferentes parámetros. Por motivos de seguridad y rendimiento, utilice instrucciones preparadas. Puede desactivar esta casilla para utilizar un método alternativo de consulta que no utilice instrucciones precompiladas.
Incluir eventos de auditoría	Especifica que se recopilen eventos de auditoría de IBM Proventia Management SiteProtector.
Fecha y hora de inicio	Opcional. Fecha y hora de inicio para cuando el protocolo puede comenzar a sondear la base de datos.
Intervalo de sondeo	Cantidad de tiempo entre consultas y la tabla de eventos. Puede definir un intervalo de sondeo más largo anexando H para horas o M para minutos al valor numérico. Valores numéricos sin sondeo del designador H o M en segundos.
Acelerador EPS	El número de eventos por segundo (EPS) que no desea que supere este protocolo.
Configuración regional de la base de datos	Para instalaciones multilingües, utilice el campo Configuración regional de base de datos para especificar el idioma que se va a utilizar.
Conjunto de códigos de base de datos	Para instalaciones multilingües, utilice el campo Conjunto de códigos para especificar el juego de caracteres que se va a utilizar.
Usar comunicación de canalización con nombre	Si usa la autenticación de Windows, habilite este parámetro para permitir la autenticación en el servidor de AD. Si utiliza la autenticación SQL, deshabilite la comunicación de canalización con nombre.
Nombre del clúster de base de datos	Nombre del clúster para garantizar que las comunicaciones de canalización con nombre funcionen correctamente.
Usar NTLMv2	Fuerza las conexiones MSDE a utilizar el protocolo NTLMv2 con servidores SQL Server que requieren autenticación NTLMv2. La casilla de verificación Usar NTLMv2 no interrumpe las comunicaciones para conexiones MSDE que no requieren autenticación NTLMv2.
Usar SSL	Habilita el cifrado SSL para el protocolo JDBC.
Idioma de origen del registro	Seleccione el idioma de los eventos generados por el origen del registro. El idioma de origen del registro ayuda al sistema a analizar eventos de dispositivos externos o sistemas operativos que pueden crear eventos en varios idiomas.

Opciones de configuración del protocolo NSM de Juniper Networks

Para recibir eventos de registros de NSM y Secure Service Gateway (SSG) de Juniper Networks, configure un origen de registro para usar el protocolo NSM de Juniper Networks.

El protocolo NSM de Juniper Networks es un protocolo entrante/pasivo.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo Administrador de seguridad y redes de Juniper Networks:

Tabla 22: Parámetros del protocolo NSM de Juniper Networks
Parámetro	Descripción
Tipo de origen de registro	Gerente de redes y seguridad de Juniper Networks
Configuración del protocolo	NSM de Juniper

Opciones de configuración del protocolo Juniper Security Binary Log Collector

Puede configurar un origen de registro para que utilice el protocolo Security Binary Log Collector. Con este protocolo, los dispositivos de Juniper pueden enviar eventos de auditoría, sistema, firewall y sistema de prevención de intrusiones (IPS) en formato binario a JSA.

El protocolo Security Binary Log Collector en un protocolo entrante/pasivo.

El formato de registro binario de la puerta de enlace de servicios de la serie SRX de Juniper o de los dispositivos de la serie J se transmite mediante el protocolo UDP. Debe especificar un puerto único para transmitir eventos con formato binario. El puerto syslog estándar 514 no se puede utilizar para eventos con formato binario. El puerto predeterminado asignado para recibir eventos binarios de streaming desde dispositivos Juniper es el puerto 40798.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo Juniper Security Binary Log Collector:

Tabla 23: Parámetros del protocolo del recopilador de registros binarios de Juniper Security
Parámetro	Descripción
Configuración del protocolo	Recopilador de registros binarios de seguridad
Ubicación del archivo de plantilla XML	La ruta al archivo XML utilizado para descodificar la secuencia binaria desde la puerta de enlace de servicios de la serie SRX de Juniper o del dispositivo de la serie J de Juniper. De forma predeterminada, el módulo de compatibilidad de dispositivos (DSM) incluye un archivo XML para descodificar la secuencia binaria. El archivo XML se encuentra en el siguiente directorio: /opt/qradar/conf/security_log.xml.

Opciones de configuración del protocolo de archivo de registro

Para recibir eventos de hosts remotos, configure un origen de registro para usar el protocolo Archivo de registro.

El protocolo de archivo de registro es un protocolo saliente/activo diseñado para sistemas que escriben registros de eventos diarios. No es adecuado utilizar el protocolo Archivo de registro para dispositivos que anexan información a sus archivos de eventos.

Los archivos de registro se recuperan de uno en uno mediante SFTP, FTP, SCP o FTPS. El protocolo Log File puede administrar texto sin formato, archivos comprimidos o archivos comprimidos. Los archivos deben contener archivos de texto sin formato que se puedan procesar línea a línea. Cuando el protocolo Archivo de registro descarga un archivo de evento, la información que se recibe en el archivo actualiza la ficha Actividad de registro . Si se escribe más información en el archivo después de completar la descarga, la información adjunta no se procesa.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo de archivo de registro:

Tabla 24: Parámetros del protocolo de archivo de registro
Parámetro	Descripción
Configuración del protocolo	Archivo de registro
Tipo de servicio	Seleccione el protocolo que se utilizará al recuperar archivos de registro de un servidor remoto. SFTP - Protocolo seguro de transferencia de archivos (predeterminado) FTP - Protocolo de transferencia de archivos FTPS - Protocolo de transferencia de archivos seguro SCP - Protocolo de copia segura AWS - Amazon Web Services El servidor que especifique en el campo IP remota o Nombre de host debe permitir que el subsistema SFTP recupere archivos de registro con SCP o SFTP.
Puerto remoto	Si el host remoto utiliza un número de puerto no estándar, debe ajustar el valor del puerto para recuperar eventos.
Archivo de clave SSH	Si el sistema está configurado para utilizar la autenticación de claves, escriba la clave SSH. Cuando se utiliza un archivo de clave SSH, se ignora el campo Contraseña remota . La clave SSH debe estar ubicada en el directorio /opt/qradar/conf/keys . Nota: El campo Archivo de clave SSH ya no acepta una ruta de archivo. No puede contener "/" ni "~". Debe escribir el nombre de archivo para la clave SSH. Las claves de las configuraciones existentes se copian en el directorio /opt/qradar/ conf/keys . Para garantizar la exclusividad, las claves deben tener "<`Timestamp`>" anexado al nombre del archivo.
Directorio remoto	Para FTP, si los archivos de registro están en el directorio principal de usuarios remotos, puede dejar el directorio remoto en blanco. Un campo de directorio remoto en blanco admite sistemas en los que está restringido un cambio en el comando del directorio de trabajo (CWD).
Recursivo	Active esta casilla de verificación para permitir que las conexiones FTP o SFTP busquen datos de eventos de forma recursiva en las subcarpetas del directorio remoto. Los datos que se recopilan de las subcarpetas dependen de las coincidencias con la expresión regular del patrón de archivo FTP. La opción Recursiva no está disponible para conexiones SCP.
Patrón de archivo FTP	La expresión regular (regex) que se necesita para identificar los archivos que se van a descargar desde el host remoto.
Modo de transferencia FTP	Para transferencias ASCII a través de FTP, debe seleccionar `NONE` en el campo Procesador y `LINEBYLINE` en el campo Generador de eventos .
Versión de FTP TLS	Las versiones de TLS que se pueden usar con conexiones FTPS. Para utilizar la versión más segura, seleccione la opción TLSv1.2 . Cuando selecciona una opción con varias versiones disponibles, la conexión FTPS negocia la versión más alta disponible tanto para el cliente como para el servidor. Esta opción solo se puede configurar si seleccionó FTPS en el parámetro Tipo de servicio .
Repetición	El intervalo de tiempo para determinar la frecuencia con la que se examina el directorio remoto en busca de nuevos archivos de registro de eventos. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, una recurrencia de 2H escanea el directorio remoto cada 2 horas.
Ejecutar en Guardar	Inicia la importación del archivo de registro inmediatamente después de guardar la configuración del origen del registro. Cuando se selecciona, esta casilla de verificación borra la lista de archivos descargados y procesados anteriormente. Después de la primera importación de archivos, el protocolo Archivo de registro sigue la hora de inicio y la programación de periodicidad definida por el administrador.
Acelerador EPS	El número de eventos por segundo (EPS) que el protocolo no puede superar.
¿Cambiar directorio local?	Cambia el directorio local del recopilador de eventos de destino para almacenar los registros de eventos antes de procesarlos.
Directorio local	El directorio local del recopilador de eventos de destino. El directorio debe existir antes de que el protocolo de archivo de registro intente recuperar eventos.
Codificación de archivos	La codificación de caracteres que utilizan los eventos del archivo de registro.
Separador de carpetas	Carácter que se utiliza para separar carpetas del sistema operativo. La mayoría de las configuraciones pueden usar el valor predeterminado en el campo Separador de carpetas . Este campo está destinado a sistemas operativos que utilizan un carácter diferente para definir carpetas independientes. Por ejemplo, períodos que separan carpetas en sistemas mainframe.

Configurar JSA para usar FTPS para el protocolo de archivo de registro

Para configurar FTPS para el protocolo de archivo de registro, debe colocar certificados SSL de servidor en todos los recopiladores de eventos JSA que se conecten al servidor FTP. Si su certificado SSL no es RSA 2048, cree un nuevo certificado SSL.

El comando siguiente proporciona un ejemplo de cómo crear un certificado en un sistema LINUX mediante SSL abierto:

openssl req -newkey rsa:2048 -nodes -keyout ftpserver.key -x509 -days 365 -out ftpserver.crt

Los archivos del servidor FTP que tienen una extensión de archivo .crt deben copiarse en el directorio trusted_certificates /opt/qradar/conf/ de cada uno de los recopiladores de eventos.

Opciones de configuración del protocolo de Microsoft Azure Event Hubs

El protocolo Microsoft Azure Event Hubs para JSA recopila eventos de Microsoft Azure Event Hubs.

Nota:

De forma predeterminada, cada recopilador de eventos puede recopilar eventos de hasta 1000 particiones antes de que se quede sin identificadores de archivos. Si desea recopilar más particiones, puede ponerse en contacto con el servicio de atención al cliente de Juniper para obtener información y asistencia avanzadas para realizar ajustes.

Los siguientes parámetros requieren valores específicos para recopilar eventos de los dispositivos de Microsoft Azure Event Hubs:

Tabla 25: Parámetros de origen de registro de Centros de eventos de Microsoft Azure
Parámetro	Valor
Usar la cadena de conexión del Centro de eventos	Autenticación con un Centro de eventos de Azure mediante una cadena de conexión. Nota: La capacidad de desactivar este interruptor está en desuso.
Cadena de conexión del Centro de eventos	Cadena de autorización que proporciona acceso a un Centro de eventos. Por ejemplo `Endpoint=sb://<Namespace Name>.servicebus.windows.net/;SharedAccess KeyNam Key Name>;SharedAccessKey=<SAS Key>; EntityPath=<Event Hub Name>`
Grupo de consumidores	Especifica la vista que se utiliza durante la conexión. Cada grupo de consumidores mantiene su propio seguimiento de sesiones. Cualquier conexión que comparta grupos de consumidores e información de conexión comparte información de seguimiento de sesión.
Usar la cadena de conexión de la cuenta de almacenamiento	Se autentica con una cuenta de almacenamiento de Azure mediante una cadena de conexión. Nota: La capacidad de desactivar este interruptor está en desuso.
Cadena de conexión de la cuenta de almacenamiento	Cadena de autorización que proporciona acceso a una cuenta de almacenamiento. Por ejemplo `DefaultEndpointsProtocol=https;Account Name=<Stor Account Name>AccountKey=<StorageAccount Key>;EndpointSuffix=core.windows.net`
Formatear eventos de Azure Linux en Syslog	Formatea los registros de Azure Linux a un formato syslog de una sola línea similar al registro syslog estándar de los sistemas Linux.
Uso como origen de registro de puerta de enlace	Seleccione esta opción para que los eventos recopilados fluyan a través del motor de análisis de tráfico de JSA y para que JSA detecte automáticamente uno o más orígenes de registro. Al seleccionar esta opción, el patrón de identificador de origen de registro se puede utilizar opcionalmente para definir un identificador de origen de registro personalizado para los eventos que se están procesando.
Patrón de identificador de origen de registro	Cuando se selecciona la opción Usar como origen de registro de puerta de enlace , utilice esta opción para definir un identificador de origen de registro personalizado para los eventos que se procesan. Si el patrón de identificador de origen de registro no está configurado, JSA recibe eventos como orígenes de registro genéricos desconocidos. El campo Patrón de identificador de origen de registro acepta pares clave-valor, como key=value, para definir el identificador de origen de registro personalizado para los eventos que se están procesando y para que los orígenes de registro se detecten automáticamente cuando corresponda. Key es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. El valor (patrón regex) también admite grupos de captura que se pueden utilizar para personalizar aún más la clave (cadena de formato de identificador). Se pueden definir varios pares clave-valor escribiendo cada patrón en una nueva línea. Cuando se utilizan varios patrones, se evalúan en orden hasta que se encuentra una coincidencia. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. En los ejemplos siguientes se muestra la funcionalidad del par varios clave-valores: Patrones `VPC=\sREJECT\sFAILURE` `$1=\s(REJECT)\sOK` `VPC-$1-$2=\s(ACCEPT)\s(OK)` Eventos `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origen de registro personalizado resultante `VPC-ACCEPT-OK`
Usar análisis predictivo	Si habilita este parámetro, un algoritmo extrae patrones de identificador de origen de registro de eventos sin ejecutar el regex para cada evento, lo que aumenta la velocidad de análisis. Habilite el análisis predictivo solo para los tipos de origen de registro que espera que reciban altas tasas de eventos y que requieran un análisis más rápido.
Usar proxy	Cuando se configura un proxy, todo el tráfico del origen de registro viaja a través del proxy para acceder al Centro de eventos de Azure. Después de habilitar este parámetro, configure los campos IP proxy o nombre de host, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no necesita autenticación, puede dejar en blanco los campos Nombre de usuario de proxy y Contraseña de proxy . Nota: La autenticación implícita para proxy no se admite en Java SDK para Azure Event Hubs. Para obtener más información, consulte Centros de eventos de Azure: SDK de cliente.
IP de proxy o nombre de host	La dirección IP o el nombre de host del servidor proxy. Este parámetro aparece cuando Usar proxy está habilitado.
Puerto proxy	El número de puerto utilizado para comunicarse con el proxy. El valor predeterminado es 8080. Este parámetro aparece cuando Usar proxy está habilitado.
Nombre de usuario del proxy	El nombre de usuario para acceder al servidor proxy. Este parámetro aparece cuando Usar proxy está habilitado.
Contraseña de proxy	La contraseña para acceder al servidor proxy. Este parámetro aparece cuando Usar proxy está habilitado.
Acelerador EPS	El número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.

En la tabla siguiente se describen los parámetros de origen de registro de Centros de eventos de Microsoft Azure que están en desuso:

Tabla 26: Parámetros de origen de registro de Microsoft Azure Event Hubs obsoletos
Parámetro	Valor
En desuso: nombre del espacio de nombres	Esta opción se muestra si la opción Usar cadena de conexión del Centro de eventos está desactivada. Nombre del directorio de nivel superior que contiene las entidades del Centro de eventos en la interfaz de usuario de Centros de eventos de Microsoft Azure.
Obsoleto: nombre del centro de eventos	Esta opción se muestra si la opción Usar cadena de conexión del Centro de eventos está desactivada. Identificador del Centro de eventos al que desea tener acceso. El nombre del Centro de eventos debe coincidir con una de las entidades del Centro de eventos dentro del espacio de nombres.
Obsoleto: nombre de clave SAS	Esta opción se muestra si la opción Usar cadena de conexión del Centro de eventos está desactivada. El nombre de la firma de acceso compartido (SAS) identifica al publicador del evento.
Obsoleto: clave SAS	Esta opción se muestra si la opción Usar cadena de conexión del Centro de eventos está desactivada. La clave de firma de acceso compartido (SAS) autentica al publicador del evento.
Obsoleto: nombre de la cuenta de almacenamiento	Esta opción se muestra si la opción Usar cadena de conexión de cuenta de almacenamiento está desactivada. Nombre de la cuenta de almacenamiento que almacena los datos del Centro de eventos. El nombre de la cuenta de almacenamiento forma parte del proceso de autenticación necesario para tener acceso a los datos de la cuenta de almacenamiento de Azure.
Obsoleto: clave de cuenta de almacenamiento	Esta opción se muestra si la opción Usar cadena de conexión de cuenta de almacenamiento está desactivada. Una clave de autorización que se usa para la autenticación de la cuenta de almacenamiento. La clave de la cuenta de almacenamiento forma parte del proceso de autenticación necesario para tener acceso a los datos de la cuenta de almacenamiento de Azure.

Configuración de Centros de eventos de Microsoft Azure para comunicarse con JSA
Solución de problemas del protocolo de Centros de eventos de Microsoft Azure

Configuración de Centros de eventos de Microsoft Azure para comunicarse con JSA

El protocolo Microsoft Azure Event Hubs recopila eventos que se encuentran dentro de un Event Hub. Este protocolo recopila eventos independientemente del origen, siempre que estén dentro del Centro de eventos. Sin embargo, es posible que un DSM existente no pueda analizar estos eventos.

Para recuperar eventos en JSA, debe crear una cuenta de almacenamiento de Microsoft Azure y una entidad de Centro de eventos en el espacio de nombres del Centro de eventos de Azure. Para cada espacio de nombres, el puerto 5671 debe estar abierto. Para cada cuenta de almacenamiento, el puerto 443 debe estar abierto.

Nota:

Estos puertos deben estar abiertos como puertos de salida en el recopilador de eventos JSA.

El nombre de host del espacio de nombres suele [Namespace Name].servicebus.windows.net ser y el nombre de host de la cuenta de almacenamiento suele [Storage_Account_Name].blob.core.windows.netser . El Centro de eventos debe tener al menos una firma de acceso compartido creada con la directiva de escucha y al menos un grupo de consumidores.

Nota:

El protocolo Microsoft Azure Event Hubs no se puede conectar mediante un servidor proxy.

Obtenga una cadena de conexión de cuenta de almacenamiento de Microsoft Azure.

La cadena de conexión de la cuenta de almacenamiento contiene la autenticación para el nombre de la cuenta de almacenamiento y la clave de la cuenta de almacenamiento que se usa para acceder a los datos de la cuenta de almacenamiento de Azure.
1. Inicie sesión en el Portal de Azure.
2. En el panel, en la sección Todos los recursos , seleccione una cuenta de almacenamiento.
3. En la lista Todos los tipos, deshabilite Seleccionar todo. En el cuadro de búsqueda de elementos de filtro, escriba Storage Accountsy, a continuación, seleccione Cuentas de almacenamiento en la lista
4. En el menú Cuenta de almacenamiento , seleccione Claves de acceso.
5. Registre el valor del nombre de la cuenta de almacenamiento. Use este valor para el valor del parámetro Nombre de cuenta de almacenamiento cuando configure un origen de registro en JSA.
6. En la sección clave 1 o clave 2 , registre los siguientes valores.
  - Clave: use este valor para el valor del parámetro Clave de cuenta de almacenamiento cuando configure un origen de registro en JSA.
  - Cadena de conexión: use este valor para el valor del parámetro Cadena de conexión de la cuenta de almacenamiento cuando configure un origen de registro en JSA.
  La mayoría de las cuentas de almacenamiento usan core.window.net el sufijo de extremo, pero este valor puede cambiar dependiendo de su ubicación. Por ejemplo, una cuenta de almacenamiento relacionada con el gobierno puede tener un valor de sufijo de extremo diferente. Puede usar los valores Nombre de la cuenta de almacenamiento y Clave de la cuenta de almacenamiento , o puede usar el valor de Cadena de conexión de la cuenta de almacenamiento para conectarse a la cuenta de almacenamiento. Puede usar key1 o key2.
  
  Nota:
  Para conectarse a un Centro de eventos de Microsoft Azure, debe poder crear un blob en bloque en la cuenta de almacenamiento de Azure que seleccione. Los tipos de blob de página y anexado no son compatibles con el protocolo Centros de eventos de Microsoft Azure.
JSA crea un contenedor denominado qradar en el blob de almacenamiento proporcionado.

Propina:
A través del SDK de Azure Event Hubs, JSA usa un contenedor en el blob de cuentas de almacenamiento configurado para realizar un seguimiento del consumo de eventos desde el Centro de eventos. Se crea automáticamente un contenedor denominado qradar para almacenar los datos de seguimiento, o puede crear manualmente el contenedor.
Obtenga una cadena de conexión del Centro de eventos de Microsoft Azure.

La cadena de conexión del Centro de eventos contiene el nombre del espacio de nombres, la ruta de acceso al Centro de eventos dentro del espacio de nombres y la información de autenticación de la firma de acceso compartido (SAS).
1. Inicie sesión en el Portal de Azure.
2. En el panel, en la sección Todos los recursos, seleccione un centro de eventos. Registre este valor para usarlo como valor del parámetro Nombre de espacio de nombres cuando configure un origen de registro en JSA.
3. En la sección Entidades, seleccione Centro de eventos. Registre este valor para usarlo con el valor del parámetro Nombre del centro de eventos cuando configure un origen de registro en JSA.
4. En la lista Todos los tipos , deshabilite Seleccionar todo. En el cuadro de búsqueda de elementos de filtro , escriba event huby, a continuación, seleccione Espacio de nombres de Centros de eventos en la lista.
5. En la sección Centro de eventos, seleccione el centro de eventos que desea usar en la lista. Registre este valor para usarlo con el valor del parámetro Nombre del centro de eventos cuando configure un origen de registro en JSA.
6. En la sección Configuración, seleccione Directivas de acceso compartido.
  
  Nota:
  En la sección Entidades, asegúrese de que aparece la opción Grupos de consumidores. Si Event Hubs aparece en la lista, vuelva al paso 2 c.
  1. Seleccione una POLÍTICA que contenga un CLAIMS de escucha. Registre este valor para usarlo con el valor del parámetro Nombre de clave de SAS cuando configure un origen de registro en JSA.
  2. Registre los valores de los siguientes parámetros:
    - Clave principal o clave secundaria
      
      Utilice el valor del valor del parámetro SAS Key cuando configure un origen de registro en JSA. La clave principal y la clave secundaria son funcionalmente las mismas.
    - Cadena de conexión-clave principal o Cadena de conexión clave secundaria
      
      Use este valor para el valor del parámetro Cadena de conexión del Centro de eventos cuando configure un origen de registro en JSA. La clave principal de cadena de conexión y la clave secundaria de cadena de conexión son funcionalmente las mismas.
      
      Ejemplo:
      Puede usar los valores Nombre del espacio de nombres, Nombre del centro de eventos, Nombre de clave de SAS y Clave de SAS , o puede usar el valor de Cadena de conexión del Centro de eventos para conectarse al Centro de eventos.
  3. En la sección Entidades, seleccione Grupos de consumidores. Registre el valor que se usará para el valor del parámetro Grupo consumidor al configurar un origen de registro en JSA.
  Nota:
  No utilice el grupo de consumidores $Default que se crea automáticamente. Utilice un grupo de consumidores existente que no esté en uso o cree un nuevo grupo de consumidores. Cada grupo de consumidores debe ser utilizado por un solo dispositivo, como JSA.

Solución de problemas del protocolo de Centros de eventos de Microsoft Azure

Para resolver problemas con el protocolo Centros de eventos de Microsoft Azure, use la información de solución de problemas y soporte técnico. Encuentre los errores mediante las herramientas de prueba de protocolo de la aplicación Juniper Secure Analytics Log Source Management.

Solución general de problemas

Los siguientes pasos se aplican a todos los errores de entrada del usuario. El procedimiento general de solución de problemas contiene los primeros pasos para seguir cualquier error con el protocolo Centros de eventos de Microsoft Azure.

Si la opción Usar cadena de conexión del Centro de eventos o Usar cadena de conexión de cuenta de almacenamiento está desactivada, cámbiela a Activado. Para obtener más información acerca de cómo obtener las cadenas de conexión, consulte Configuración de Centros de eventos de Microsoft Azure para comunicarse con JSA.
Confirme que la cadena de conexión del centro de eventos de Microsoft Azure sigue el formato del ejemplo siguiente. Asegúrese de que el valor del parámetro entityPath sea el nombre del centro de eventos.
Después de guardar y cerrar el origen del registro, por motivos de seguridad, ya no podrá ver los valores introducidos. Si no ve los valores, introdúzcalos y, a continuación, confirme su validez.
Confirme que la cadena de conexión de la cuenta de almacenamiento de Microsoft Azure sigue el formato del ejemplo siguiente.
Después de guardar y cerrar el origen del registro, por motivos de seguridad, ya no podrá ver los valores introducidos. Si no ve los valores, vuelva a escribirlos y, a continuación, confirme su validez.
Opcional: Para solucionar problemas, establezca Usar como origen de registro de puerta de enlace en Desactivado y establezca Formato de eventos de Azure Linux en Syslog en Activado. Esto obliga a que todos los eventos pasen por el tipo de origen de registro seleccionado. Esto puede determinar rápidamente si están llegando eventos mínimos y si no hay ningún problema de red o acceso.

Si deja Usar como origen de registro de puerta de enlace establecido en Activado, asegúrese de que los eventos no lleguen a JSA como desconocidos, almacenados o genéricos de sim. Si lo son, podría explicar por qué el protocolo parece no estar funcionando.
Asegúrese de que existe el grupo de consumidores proporcionado para el centro de eventos seleccionado. Para obtener más información, consulte Configuración de Centros de eventos de Microsoft Azure para comunicarse con JSA.
Habilite la opción Adquirir automáticamente certificado de servidor o confirme que el certificado se agregó manualmente en JSA.
Asegúrese de que la hora del sistema JSA sea precisa; Si la hora del sistema no es en tiempo real, es posible que tenga problemas de red.
Asegúrese de que el puerto 443 esté abierto para el host de la cuenta de almacenamiento. El host de la cuenta de almacenamiento suele <Storage_Account_Name>.<something>ser , donde <something> normalmente se hace referencia al sufijo del extremo.
Asegúrese de que el puerto 5671 esté abierto en el host del centro de eventos. El host del centro de eventos suele ser el <Endpoint> de la cadena de conexión del centro de eventos.

Para obtener más información, consulte:

Excepción de formato de cadena de conexión no válida
Excepción de almacenamiento
Excepción de entidad ilegal
Excepción de sintaxis de URI
Excepción de clave no válida
Excepción de tiempo de espera
Otras excepciones

Excepción de formato de cadena de conexión no válida

Síntomas

Error: "Asegúrese de que la cadena de conexión del Centro de eventos o los parámetros del Centro de eventos sean válidos".

"Esta excepción se produce cuando la cadena de conexión del Centro de eventos o la información del Centro de eventos que se proporciona no cumple los requisitos para ser una cadena de conexión válida. Se intentará consultar el contenido en el próximo intervalo de reintentos".

Causas

La cadena de conexión del Centro de eventos no coincide con las especificaciones establecidas por Microsoft. Este error también puede producirse si se copian caracteres inesperados, como espacios en blanco, en la cadena de conexión del centro de eventos.

Resolver el problema

Siga estos pasos para resolver el error de cadena de conexión no válida.

Asegúrese de que la cadena de conexión de la cuenta de almacenamiento sea válida y aparezca en un formato similar al del ejemplo siguiente:

Cuando mueva la cadena de conexión del centro de eventos de Azure Portal a JSA, asegúrese de que no se agregan espacios en blanco adicionales ni caracteres invisibles. Como alternativa, antes de copiar la cadena, asegúrese de no copiar caracteres adicionales ni espacios en blanco.

Excepción de almacenamiento

Síntomas

Error: "No se puede conectar a la cuenta de almacenamiento [nombre de la cuenta de almacenamiento]. Asegúrese de que la cadena de conexión de la cuenta de almacenamiento sea válida y de que JSA pueda conectarse a [Nombre de host de la cuenta de almacenamiento]".

"Se ha producido un error que representa una excepción para el servicio de almacenamiento de Microsoft Azure. Se intentará consultar el contenido en el próximo intervalo de reintentos".

Causas

Los errores de excepción de almacenamiento representan problemas que se producen al autenticarse con una cuenta de almacenamiento o al comunicarse con una cuenta de almacenamiento. Se intenta consultar el contenido en el siguiente intervalo de reintentos. Hay dos problemas comunes que pueden producirse debido a una excepción de almacenamiento.

La cadena de conexión de la cuenta de almacenamiento no es válida.
Los problemas de red impiden que JSA se comunique con la cuenta de almacenamiento.

Resolver el problema

Siga estos pasos para resolver el error de excepción de almacenamiento.

Asegúrese de que la cadena de conexión de la cuenta de almacenamiento sea válida y se muestre en un formato similar al del ejemplo siguiente.
Asegúrese de que JSA pueda comunicarse con el host de la cuenta de almacenamiento en el puerto 443.
Asegúrese de que JSA pueda comunicarse con el centro de eventos en los puertos 5671 y 5672.
Verifique que la hora del sistema en JSA coincida con la hora actual. La configuración de seguridad de la cuenta de almacenamiento evita tiempos no coincidentes entre el servidor (cuenta de almacenamiento) y el cliente (JSA).
Asegúrese de que un certificado se descarga manualmente o mediante la opción Adquirir certificados de servidor automáticamente . Los certificados se descargan desde <Storage Account Name>.blob.core.windows.net.

Excepción de entidad ilegal

Síntomas

Error: "No se encuentra una entidad, como el Centro de eventos. Compruebe que la información del Centro de eventos proporcionada es válida. Esta excepción se produce cuando la cadena de conexión del Centro de eventos o la información del Centro de eventos proporcionada no cumple los requisitos para ser una cadena de conexión válida. Se intentará consultar el contenido en el próximo intervalo de reintentos".

Error: "No se pudo encontrar la entidad de mensajería 'sb://qahub4.servicebus.windows.net/notreal'. Para saber más visite https://aka.ms/sbResourceMgrExceptions."

Error: "com.microsoft.azure.eventhubs.IllegalEntityException: la entidad de mensajería 'sb:// qahub4.servicebus.windows.net/notreal' No se pudo encontrar. Para saber más, visite https://aka.ms/ sbResourceMgrExceptions."

Causas

El centro de eventos (entidad) no existe o la cadena de conexión del centro de eventos no contiene una referencia a un centro de eventos (entidad).

Resolver el problema

Siga estos pasos para resolver su error de entidad ilegal.

Asegúrese de que la cadena de conexión del centro de eventos contiene la sección entitypath y de que hace referencia al nombre del centro de eventos. Por ejemplo
Compruebe que el centro de eventos existe en Azure Portal y que la ruta del centro de eventos hace referencia a la ruta de acceso a la entitypath que desea conectarse.
Compruebe que el grupo de consumidores se ha creado y especificado correctamente en el campo Grupo de consumidores .

Excepción de sintaxis de URI

Síntomas

Error: "El URI de la cuenta de almacenamiento está mal formado. Asegúrese de que la información de la cuenta de almacenamiento sea válida y tenga el formato correcto. No se puede conectar con el host".

Error: "No se pudo analizar el texto como referencia de URI. Para obtener más información, consulte el "Mensaje de error sin procesar". Se intentará consultar el contenido en el próximo intervalo de reintentos".

Causas

El URI que se forma a partir de la cadena de conexión de la cuenta de almacenamiento no es válido. El URI se forma a partir de los DefaultEndpointsProtocol, AccountName, campos y EndpointSuffix . Si se modifica uno de estos campos, puede producirse esta excepción.

Resolver el problema

Vuelva a copiar la cadena de conexión de la cuenta de almacenamiento desde el Portal de Azure. Se muestra similar al siguiente ejemplo:

Excepción de clave no válida

Síntomas

Error: "La clave de la cuenta de almacenamiento no era válida. No se puede conectar con el host".

Error: "Se encontró una clave no válida. Este error se asocia comúnmente con contraseñas o claves de autorización. Para obtener más información, consulte el "Mensaje de error sin procesar". Se intentará consultar el contenido en el próximo intervalo de reintentos".

Causas

La clave que se forma a partir de la cadena de conexión de la cuenta de almacenamiento no es válida. La clave de la cuenta de almacenamiento se encuentra en la cadena de conexión. Si se modifica la clave, es posible que deje de ser válida.

Resolver el problema

Desde Azure Portal, vuelva a copiar la cadena de conexión de la cuenta de almacenamiento. Se muestra similar al siguiente ejemplo:

Excepción de tiempo de espera

Síntomas

Error: "Asegúrese de que no haya problemas relacionados con la red que impidan la conexión. Además, asegúrese de que las cadenas de conexión del Centro de eventos y de la cuenta de almacenamiento sean válidas".

Error: "El servidor no respondió a la operación solicitada dentro del tiempo especificado, que se controla mediante OperationTimeout. Es posible que el servidor haya completado la operación solicitada. Esta excepción puede deberse a retrasos en la red u otras infraestructuras. Se intentará consultar el contenido en el próximo intervalo de reintentos".

Causas

La causa más común es que la información de la cadena de conexión no es válida. Es posible que la red esté bloqueando la comunicación, lo que provoca un tiempo de espera. Aunque es poco frecuente, es posible que el período de tiempo de espera predeterminado (60 segundos) no sea lo suficientemente largo debido a la congestión de la red.

Resolver el problema

Siga estos pasos para resolver el error de excepción de tiempo de espera.

Cuando copie la cadena de conexión del centro de eventos de Azure Portal a JSA, asegúrese de que no se hayan agregado espacios en blanco adicionales ni caracteres invisibles. Como alternativa, antes de copiar la cadena, asegúrese de no copiar caracteres adicionales ni espacios en blanco.
Compruebe que la cadena de conexión de la cuenta de almacenamiento es válida y aparece en un formato similar al del ejemplo siguiente:
Asegúrese de que JSA pueda comunicarse con el host de la cuenta de almacenamiento en el puerto 443 y con el centro de eventos en los puertos 5671 y 5672.
Asegúrese de que un certificado se descarga manualmente o mediante la opción Adquirir certificados de servidor automáticamente . Los certificados se descargan desde <Storage Account Name>.blob.core.windows.net
Avanzado: hay un parámetro oculto que puede aumentar el tiempo de espera predeterminado de 60 segundos. Póngase en contacto con el servicio de atención al cliente de Juniper para obtener ayuda para aumentar el tiempo de espera.

Otras excepciones

Síntomas

Error: "Asegúrese de que no haya problemas relacionados con la red que impidan la conexión. Además, asegúrese de que las cadenas de conexión del Centro de eventos y de la cuenta de almacenamiento sean válidas".

Error: "Se ha producido un error. Para obtener más información, consulte el \"Mensaje de error sin procesar\". Se intentará consultar el contenido en el próximo intervalo de reintentos"

Causas

Las excepciones en esta categoría son desconocidas para el protocolo y son inesperadas. Estas excepciones pueden ser difíciles de solucionar y, por lo general, requieren investigación para resolverlas.

Resolver el problema

Siga estos pasos para resolver el error. Podrían resolver algunos de los problemas más comunes.

Asegúrese de que la cadena de conexión del centro de eventos usa el mismo formato o uno similar que se muestra en el ejemplo siguiente:

Cuando mueva la cadena de conexión del centro de eventos de Azure Portal a JSA, asegúrese de que no se agregan espacios en blanco adicionales ni caracteres invisibles. Como alternativa, antes de copiar la cadena, asegúrese de no copiar caracteres adicionales ni espacios en blanco.
Asegúrese de que la cadena de conexión de la cuenta de almacenamiento sea válida y se muestre en un formato similar al del ejemplo siguiente:
Asegúrese de que JSA pueda comunicarse con el host de la cuenta de almacenamiento en el puerto 443 y con el centro de eventos en los puertos 5671 y 5672.
Compruebe que un certificado se descarga manualmente o mediante la opción Adquirir certificados de servidor automáticamente. Los certificados se descargan desde <Storage Account Name>.blob.core.windows.net.
Verifique que la hora del sistema en JSA coincida con la hora actual. La configuración de seguridad de la cuenta de almacenamiento evita tiempos no coincidentes entre el servidor (cuenta de almacenamiento) y el cliente (JSA).

Preguntas más frecuentes sobre el protocolo Microsoft Azure Event Hubs

Use estas preguntas y respuestas más frecuentes como ayuda para comprender el protocolo de Centros de eventos de Microsoft Azure.

¿Por qué necesito una cuenta de almacenamiento para conectarme a un centro de eventos?

Debe tener una cuenta de almacenamiento para el protocolo Centros de eventos de Microsoft Azure para administrar la concesión y las particiones de un centro de eventos.

¿Por qué el protocolo Microsoft Azure Event Hubs usa la cuenta de almacenamiento?

El protocolo Microsoft Azure Event Hubs usa la cuenta de almacenamiento para realizar un seguimiento de la propiedad de la partición. Este protocolo crea archivos blob en la cuenta de almacenamiento de Azure en el directorio <Nombre del centro de eventos> → <Nombre del grupo del consumidor> Cada archivo blob se relaciona con una partición numerada administrada por el centro de eventos.

¿Cuántos datos necesita almacenar la cuenta de almacenamiento?

La cantidad de datos que deben almacenarse en una cuenta de almacenamiento es el número de particiones que se multiplican por ~150 bytes.

¿Es necesario que mi cuenta de almacenamiento contenga eventos?

No. Almacenar los registros en el almacenamiento es una opción proporcionada por Microsoft. Sin embargo, el protocolo no utiliza esta opción.

¿Qué aspecto tiene un archivo blob creado por el protocolo Microsoft Azure Event Hubs?

En el ejemplo siguiente se muestra lo que se almacena en un archivo blob creado por el protocolo:

{"offset":"@latest","sequenceNumber":0,"partitionId":"3","epoch":8,"owner":"","token":""}”

¿Puedo usar la misma cuenta de almacenamiento con otros centros de eventos?

No hay restricciones sobre cuántos centros de eventos pueden almacenar datos en una cuenta de almacenamiento. Puede usar la misma cuenta de almacenamiento para todos los orígenes de registro en el mismo entorno JSA. Esto crea una única ubicación para todas las carpetas y archivos de administración de particiones del concentrador de eventos.

¿Qué hago si el protocolo no recopila eventos?

Si el protocolo parece funcionar y las herramientas de prueba de protocolo pasan todas las pruebas y no ve eventos, siga estos pasos para confirmar si se publican eventos.

Confirme que hay eventos que el centro de eventos debe recopilar. Si la configuración del lado de Azure no es correcta, es posible que el centro de eventos no recopile los eventos.
Si el uso como origen de registro de puerta de enlace está habilitado, realice una búsqueda de carga útil para los eventos que recopila el origen de registro del Centro de eventos. Si no está seguro de cómo deberían ser los eventos, vaya al paso 4.
Si la opción Usar como origen de registro de puerta de enlace está habilitada y el protocolo no recopila eventos, pruebe el mismo origen de registro con la puerta de enlace deshabilitada. Al establecer Usar como origen de registro de puerta de enlace en deshabilitado, todos los eventos recopilados se ven obligados a usar el origen de registro que está conectado al protocolo. Si los eventos llegan cuando el uso como origen de registro de puerta de enlace está deshabilitado, pero los eventos no llegan cuando el uso como origen de registro de puerta de enlace está habilitado, es posible que haya un problema con las opciones del identificador de origen de registro o que el análisis de tráfico no pueda hacer coincidir automáticamente los eventos con un DSM.
Si identificó en los pasos 2 o 3 que los eventos no se incluyen en el origen de registro esperado, es posible que haya un problema con los orígenes logsourceidentifierpatternde registro del centro de eventos. Para problemas relacionados con el patrón de identificador de origen del registro del centro de eventos, es posible que deba ponerse en contacto con el servicio de atención al cliente de Juniper.

¿Por qué necesito abrir los puertos para dos IP diferentes que tienen puertos diferentes?

Necesita dos direcciones IP diferentes para tener puertos diferentes abiertos, ya que el protocolo Centro de eventos de Microsoft Azure se comunica entre el host del centro de eventos y el host de la cuenta de almacenamiento.

La conexión del centro de eventos usa el Protocolo avanzado de Message Queue Server (AMQP) con los puertos 5671 y 5672. La cuenta de almacenamiento usa HTTPS con los puertos 443. Dado que la cuenta de almacenamiento y el centro de eventos tienen direcciones IP diferentes, debe abrir dos puertos diferentes.

¿Puedo recopilar eventos <Servicio o producto> mediante el protocolo Centros de eventos de Microsoft?

El protocolo Microsoft Event Hubs recopila todos los eventos que se envían al centro de eventos, pero no todos los eventos son analizados por un DSM compatible. Para obtener una lista de los DSM admitidos, consulte DSM compatibles con JSA.

¿Qué hace la opción Formatear eventos de Azure Linux en Syslog?

Esta opción toma el evento Linux de Azure, que está encapsulado en un formato JSON con metadatos, y lo convierte a un formato syslog estándar. A menos que haya una razón específica por la que se requieren los metadatos de la carga, habilite esta opción. Cuando esta opción está deshabilitada, las cargas no se analizan con los DSM de Linux.

Opciones de configuración del protocolo API REST de Microsoft Defender para puntos de conexión

Configure un protocolo de API de REST de Microsoft Defender for Endpoint Endpoint para recibir eventos de los módulos de compatibilidad de dispositivos (DSM) compatibles.

El protocolo de la API REST de SIEM de Microsoft Defender para extremos es un protocolo saliente/activo.

Nota:

Debido a un cambio en el conjunto de API de Microsoft Defender a partir del 25 de noviembre de 2021, Microsoft ya no permite la incorporación de nuevas integraciones con su API SIEM. Las integraciones existentes siguen funcionando. La API de streaming se puede usar con el protocolo Microsoft Azure Event Hubs para proporcionar reenvío de eventos y alertas a JSA.

Para obtener más información sobre el servicio y su configuración, consulte Configuración de Microsoft 365 Defender para transmitir eventos de Advanced Hunting al Azure Event Hub.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo Microsoft Defender for Endpoint SIEM REST API:

Tabla 27: Microsoft Defender para el protocolo API REST SIEM de punto de conexión
Parámetro	Valor
Tipo de origen de registro	Microsoft 365 Defender
Configuración del protocolo	API de REST de SIEM de Microsoft Defender para puntos de conexión
URL del servidor de autorización	La dirección URL del servidor que proporciona la autorización para obtener un token de acceso. El token de acceso se usa como autorización para recopilar eventos de Microsoft 365 Defender. La dirección URL del servidor de autorización utiliza el formato siguiente: `"https://login.microsoftonline.com/<Tenant_ID>/oauth2/token”` donde <Tenant_ID> es un UUID.
Recurso	El recurso que se usa para acceder a los eventos de la API SIEM de Microsoft 365 Defender.
ID de cliente	Garantiza que el usuario esté autorizado para obtener un token de acceso.
Secreto de cliente	El valor del secreto de cliente se muestra solo una vez y, a continuación, ya no es visible. Si no tiene acceso al valor Secreto de cliente , póngase en contacto con el administrador de Microsoft Azure para solicitar un nuevo secreto de cliente.
Región	Seleccione las regiones asociadas a la API de SIEM de Microsoft 365 Defender de las que desea recopilar registros.
Otra región	Escriba los nombres de las regiones adicionales asociadas a la API SIEM de Microsoft 365 Defender de la que desea recopilar registros. Utilice una lista separada por comas; por ejemplo, región1,región2.
Usar puntos de conexión de GCC	Habilite o deshabilite el uso de los puntos finales GCC y GCC High & DOD . Los puntos de conexión GCC y GCC High & DOD son puntos de conexión para los clientes del gobierno de EE. UU. Propina: Cuando este parámetro está habilitado, no puede configurar el parámetro Regions . Para obtener más información, consulte Microsoft Defender for Endpoint para clientes del gobierno de EE. UU.
Tipo GCC	Seleccione GCC o GCC High & DOD. GCC: La nube de la comunidad gubernamental de Microsoft GCC High & DoD: Cumple con las regulaciones del Departamento de Defensa.
Usar proxy	Si se configura un proxy para JSA, todo el tráfico del origen del registro viaja a través del proxy para que JSA pueda acceder a la API de SIEM de Microsoft 365 Defender. Configure los campos Servidor proxy, Puerto proxy, Nombre de usuario proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
Repetición	Puede especificar la frecuencia con la que el registro recopila datos. El formato es M/H/D para minutos/horas/días. El valor predeterminado es 5 M.
Acelerador EPS	El límite superior para el número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.

Si necesita crear máquinas virtuales (VM) y probar la conexión entre Microsoft Defender para Endpoint y JSA, consulte el laboratorio de evaluación de Microsoft Defender for Endpoint.

Opciones de configuración del protocolo DHCP de Microsoft

Para recibir eventos de los servidores DHCP de Microsoft, configure un origen de registro para usar el protocolo DHCP de Microsoft.

El protocolo DHCP de Microsoft es un protocolo saliente/activo.

Para leer los archivos de registro, las rutas de carpeta que contienen un recurso compartido administrativo (C$) requieren privilegios NetBIOS en el recurso compartido administrativo (C$). Los administradores locales o de dominio tienen privilegios suficientes para acceder a los archivos de registro en recursos compartidos administrativos.

Los campos para el protocolo DHCP de Microsoft que admiten rutas de archivo permiten a los administradores definir una letra de unidad con la información de la ruta de acceso. Por ejemplo, el campo puede contener el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público, pero no puede contener el directorio c:/LogFiles .

Nota:

El protocolo de autenticación de Microsoft NTLMv2 no es compatible con el protocolo DHCP de Microsoft.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo DHCP de Microsoft:

Tabla 28: Parámetros del protocolo DHCP de Microsoft
Parámetro	Descripción
Configuración del protocolo	DHCP de Microsoft
Identificador de origen de registro	Escriba un nombre de host único u otro identificador exclusivo del origen del registro.
Dirección del servidor	La dirección IP o el nombre de host del servidor DHCP de Microsoft.
Dominio	Escriba el dominio del servidor DHCP de Microsoft. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para tener acceso al servidor DHCP.
Contraseña	Escriba la contraseña necesaria para tener acceso al servidor DHCP.
Confirmar contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Ruta de carpeta	La ruta de acceso al directorio a los archivos de registro DHCP. El valor predeterminado es /WINDOWS/system32/dhcp/
Patrón de archivo	Expresión regular (regex) que identifica los registros de eventos. Los archivos de registro deben contener una abreviatura de tres caracteres para un día de la semana. Utilice uno de los siguientes patrones de archivo: Inglés: Patrón de archivo IPv4: `DhcpSrvLog-(?:Sun\|Mon\|Tue\|Wed\|Thu\|Fri\|Sat) \.log`. Patrón de archivo IPv6: `DhcpV6SrvLog-(?:Sun\|Mon\|Tue\|Wed\|Thu\|Fri\|Sat) \.log`. Patrón de archivo IPv4 e IPv6 mixto: Dhcp.SrvLog- (?:Sun\|Lun\|Mar\|Mié\|Jue\|vie\|Sábado)\.log. Patrón de archivo IPv4 e IPv6 mixto: `Dhcp.SrvLog-(?:Sun\|Mon\|Tue\|Wed\|Thu\|Fri\|Sat) \.log`. Polaco: Patrón de archivo IPv4: `DhcpSrvLog-(?:Pia\|Pon\|Sob\|Wto\|Sro\|Csw\|Nie) \.log`. Patrón de archivo IPv6: `DhcpV6SrvLog-(?:Pt\|Pon\|So\|Wt\|Si\|Csw\|Nie) \.log`.
Recursivo	Seleccione esta opción si desea que el patrón de archivo busque en las subcarpetas.
Versión SMB	La versión de SMB que se va a utilizar: AUTO: detecta automáticamente a la versión más alta que el cliente y el servidor acuerdan usar. SMB1: fuerza el uso de SMB1. SMB1 utiliza el `jCIFS.jar` archivo (Java ARchive). Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para utilizar SMB2 o SMB3. SMB2: fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3: fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión específica de SMB (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada es compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones SMB están habilitadas en el Windows Server especificado.
Intervalo de sondeo (en segundos)	Número de segundos entre consultas a los archivos de registro para comprobar si hay datos nuevos. El intervalo mínimo de sondeo es de 10 segundos. El intervalo máximo de sondeo es de 3.600 segundos.
Eventos del acelerador/seg	Número máximo de eventos que el protocolo DHCP puede reenviar por segundo. El valor mínimo es 100 EPS. El valor máximo es de 20.000 EPS.
Codificación de archivos	La codificación de caracteres que utilizan los eventos del archivo de registro.
Habilitado	Cuando esta opción no está habilitada, el origen de registro no recopila eventos y el origen de registro no se cuenta en el límite de licencias.
Credibilidad	La credibilidad es una representación de la integridad o validez de los eventos creados por un origen de registro. El valor de credibilidad que se asigna a un origen de registro puede aumentar o disminuir en función de los eventos entrantes o ajustarse como respuesta a las reglas de eventos creadas por el usuario. La credibilidad de los eventos a partir de fuentes de registro contribuye al cálculo de la magnitud de la ofensa y puede aumentar o disminuir el valor de magnitud de una ofensa.
Recopilador de eventos de destino	Especifica el recopilador de eventos JSA que sondea el origen del registro remoto. Utilice este parámetro en una implementación distribuida para mejorar el rendimiento del sistema de la consola moviendo la tarea de sondeo a un recopilador de eventos.
Eventos coalescentes	Aumenta el recuento de eventos cuando el mismo evento ocurre varias veces en un corto intervalo de tiempo. Los eventos fusionados proporcionan una manera de ver y determinar la frecuencia con la que se produce un único tipo de evento en la ficha Actividad de registro. Cuando esta casilla está desactivada, los eventos se ven individualmente y los eventos no se agrupan. Los orígenes de registro nuevos y detectados automáticamente heredan el valor de esta casilla de verificación de la configuración del sistema de la ficha Admin . Puede utilizar esta casilla para invalidar el comportamiento predeterminado de la configuración del sistema para un origen de registro individual.

Opciones de configuración del protocolo de Microsoft Exchange

Para recibir eventos de SMTP, OWA y eventos de seguimiento de mensajes de servidores de Microsoft Exchange 2007, 2010, 2013 y 2017, configure un origen de registro para usar el protocolo de Microsoft Exchange.

El protocolo Microsoft Exchange es un protocolo saliente/activo

Para leer los archivos de registro, las rutas de carpeta que contienen un recurso compartido administrativo (C$) requieren privilegios NetBIOS en el recurso compartido administrativo (C$). Los administradores locales o de dominio tienen privilegios suficientes para acceder a los archivos de registro en recursos compartidos administrativos.

Los campos del protocolo de Microsoft Exchange que admiten rutas de acceso de archivo permiten a los administradores definir una letra de unidad con la información de la ruta de acceso. Por ejemplo, el campo puede contener el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público, pero no puede contener el directorio c:/LogFiles .

Nota:

El protocolo Microsoft Exchange no admite Microsoft Exchange 2003 ni el protocolo de autenticación de Microsoft NTLMv2 Session.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo de Microsoft Exchange:

Tabla 29: Parámetros de protocolo de Microsoft Exchange
Parámetro	Descripción
Configuración del protocolo	Microsoft Exchange
Identificador de origen de registro	Escriba la dirección IP, el nombre de host o el nombre para identificar el origen del registro.
Dirección del servidor	La dirección IP o el nombre de host del servidor de Microsoft Exchange.
Dominio	Escriba el dominio del servidor de Microsoft Exchange. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para tener acceso al servidor de Microsoft Exchange.
Contraseña	Escriba la contraseña necesaria para tener acceso al servidor de Microsoft Exchange.
Confirmar contraseña	Escriba la contraseña necesaria para tener acceso al servidor de Microsoft Exchange.
Ruta de la carpeta de registro SMTP	La ruta de acceso al directorio para tener acceso a los archivos de registro SMTP. La ruta de acceso predeterminada del archivo es Archivos de programa/Microsoft/Exchange Server/ TransportRoles/Logs/ProtocolLog Cuando la ruta de acceso a la carpeta está clara, se deshabilita la recopilación de eventos SMTP.
Ruta de acceso a la carpeta de registro de OWA	La ruta de acceso al directorio para tener acceso a los archivos de registro de OWA. La ruta de archivo predeterminada es Windows/system32/LogFiles/W3SVC1 Cuando la ruta de acceso a la carpeta está clara, la colección de eventos de OWA se deshabilita.
Ruta de acceso a la carpeta de registro MSGTRK	La ruta de acceso al directorio para tener acceso a los registros de seguimiento de mensajes. La ruta de acceso predeterminada del archivo es Archivos de programa/Microsoft/Exchange Server/ TransportRoles/Logs/MessageTracking El seguimiento de mensajes está disponible en los servidores de Microsoft Exchange 2017 o 2010 que tienen asignada la función de servidor Transporte de concentradores, Buzón de correo o Transporte perimetral.
Usar patrones de archivo personalizados	Active esta casilla para configurar patrones de archivo personalizados. Deje la casilla de verificación desactivada para usar los patrones de archivo predeterminados.
Patrón de archivo MSGTRK	La expresión regular (regex) que se utiliza para identificar y descargar los registros de MSTRK. Se procesan todos los archivos que coinciden con el patrón de archivo. El patrón de archivo predeterminado es MSGTRK\d+-\d+\.(?:log\|LOG)$ Se procesan todos los archivos que coinciden con el patrón de archivo.
Patrón de archivo MSGTRKMD	La expresión regular (regex) que se utiliza para identificar y descargar los registros de MSGTRKMD. Se procesan todos los archivos que coinciden con el patrón de archivo. El patrón de archivo predeterminado es MSGTRKMD\d+-\d+\.(?:log\|LOG)$ Se procesan todos los archivos que coinciden con el patrón de archivo.
Patrón de archivo MSGTRKMS	Expresión regular (regex) que se usa para identificar y descargar los registros de MSGTRKMS. Se procesan todos los archivos que coinciden con el patrón de archivo. El patrón de archivo predeterminado es MSGTRKMS\d+-\d+\.(?:log\|LOG)$ Se procesan todos los archivos que coinciden con el patrón de archivo.
Patrón de archivo MSGTRKMA	La expresión regular (regex) que se utiliza para identificar y descargar los registros MSGTRKMA. Se procesan todos los archivos que coinciden con el patrón de archivo. El patrón de archivo predeterminado es MSGTRKMA\d+-\d+\.(?:log\| Se procesan todos los archivos que coinciden con el patrón de archivo.
Patrón de archivo SMTP	Expresión regular (regex) que se usa para identificar y descargar los registros SMTP. Se procesan todos los archivos que coinciden con el patrón de archivo. El patrón de archivo predeterminado es .*\.(?:log\|LOG)$ Se procesan todos los archivos que coinciden con el patrón de archivo.
Patrón de archivo OWA	Expresión regular (regex) que se usa para identificar y descargar los registros de OWA. Se procesan todos los archivos que coinciden con el patrón de archivo. El patrón de archivo predeterminado es .*\.(?:log\|LOG)$ Se procesan todos los archivos que coinciden con el patrón de archivo.
Forzar lectura de archivos	Si la casilla está desactivada, el archivo de registro es de sólo lectura cuando JSA detecta un cambio en la hora o el tamaño de archivo modificados.
Recursivo	Si desea que el patrón de archivo busque subcarpetas, utilice esta opción. De forma predeterminada, la casilla de verificación está activada.
Versión SMB	Seleccione la versión de SMB que desea utilizar. AUTO: detecta automáticamente a la versión más alta que el cliente y el servidor acuerdan usar. SMB1: fuerza el uso de SMB1. SMB1 utiliza el `jCIFS.jar` archivo (Java ARchive) Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para utilizar SMB2 o SMB3. SMB2: fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3 – Fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión específica de SMB (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada es compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones SMB están habilitadas en el Windows Server especificado.
Intervalo de sondeo (en segundos)	Escriba el intervalo de sondeo, que es el número de segundos entre consultas a los archivos de registro para comprobar si hay datos nuevos. El valor predeterminado es de 10 segundos.
Eventos del acelerador/segundo	El número máximo de eventos que el protocolo Microsoft Exchange puede reenviar por segundo.
Codificación de archivos	La codificación de caracteres que utilizan los eventos del archivo de registro.

Opciones de configuración del protocolo de API de Microsoft Graph Security

Para recibir eventos de la API de seguridad de Microsoft Graph, configure un origen de registro en JSA para usar el protocolo de API de seguridad de Microsoft Graph.

El protocolo Microsoft Graph Security API es un protocolo saliente/activo. Es posible que el DSM también utilice este protocolo. Para obtener una lista de los DSM admitidos, consulte DSM compatibles con JSA.

Los siguientes parámetros requieren valores específicos para recopilar eventos de los servidores de Microsoft Graph Security:

Tabla 30: Parámetros de origen del registro de seguridad de Microsoft Graph
Parámetro	Valor
Tipo de origen de registro	Un tipo de origen de registro personalizado o un DSM específico que utilice este protocolo.
Configuración del protocolo	API de seguridad de Microsoft Graph
ID de inquilino	El valor de identificador de inquilino que se usa para la autenticación de Microsoft Azure Active Directory.
ID de cliente	El valor del parámetro Client ID de la configuración de la aplicación de Microsoft Azure Active Directory.
Secreto de cliente	El valor del parámetro Secreto de cliente de la configuración de la aplicación de Microsoft Azure Active Directory.
Filtro de eventos	Recuperar eventos mediante el filtro de consulta de la API Security Graph de Microsoft. Por ejemplo, la gravedad eq 'alta'. No escriba "filter=" antes del parámetro filter.
Usar proxy	Si JSA accede a la API de seguridad de Microsoft Graph por proxy, habilite esta casilla de verificación. Si el proxy requiere autenticación, configure los campos Nombre de host o IP del proxy, Puerto del proxy, Nombre de usuario del proxy y Proxy . Si el proxy no requiere autenticación, configure los campos Nombre de host del proxy o Puerto IP y Puerto proxy .
IP de proxy o nombre de host	La dirección IP o el nombre de host del servidor proxy. Si Usar proxy se establece en False, esta opción se oculta.
Puerto proxy	Número de puerto que se utiliza para comunicarse con el proxy. El valor predeterminado es 8080. Si Usar proxy se establece en False, esta opción se oculta.
Nombre de usuario del proxy	Nombre de usuario que se utiliza para comunicarse con el proxy. Si Usar proxy se establece en False, esta opción se oculta.
Contraseña de proxy	La contraseña que se utiliza para tener acceso al proxy. Si Usar proxy se establece en False, esta opción se oculta.
Repetición	Escriba un intervalo de tiempo que comience a la hora de inicio para determinar la frecuencia con la que el sondeo busca datos nuevos. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, 2H - 2 horas, 15M - 15 minutos. El valor predeterminado es 1M.
Acelerador EPS	El número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.
Mostrar opciones avanzadas	Para configurar las opciones avanzadas para la recopilación de eventos, establezca esta opción en activado. Nota: Los valores de las opciones avanzadas están vigentes incluso si no modifica los valores.
Punto de conexión de inicio de sesión	Especifique el punto de conexión de inicio de sesión de Azure AD. El valor predeterminado es login.microsoftonline.com. Si desactiva Mostrar opciones avanzadas, esta opción queda oculta.
Punto de conexión de la API Graph	Especifique la dirección URL de la API de seguridad de Microsoft Graph. El valor predeterminado es https://graph.microsoft.com. Si desactiva Mostrar opciones avanzadas, esta opción queda oculta.

Configuración de la API de seguridad de Microsoft Graph para comunicarse con JSA

Integre la API de seguridad de Microsoft Graph con JSA antes de usar el protocolo.

Para integrar la API de seguridad de Microsoft Graph con JSA, necesita Microsoft Azure Active Directory.

Si las actualizaciones automáticas no están habilitadas, los RPM están disponibles para su descarga desde Descargas de Juniper. Descargue e instale la versión más reciente de los siguientes RPM en su consola JSA.
- RPM común de protocolo
- RPM del protocolo de API de seguridad de Microsoft Graph
Configure el servidor de API de Microsoft Graph Security para reenviar eventos a JSA siguiendo estas instrucciones:
1. Procedimiento para usar el portal para crear una aplicación y una entidad de servicio de Azure AD que puedan acceder a los recursos
2. Autorización y la API de seguridad de Microsoft Graph
  
  Debe incluir los siguientes roles de aplicación en el token de acceso:
  - SecurityEvents.Read.All
  - User.Read.All
  - SecurityActions.Read.All
  - IdentityRiskyUser.Read.All
  - IdentityRiskEvent.Read.All
  Nota:
  Debe designar los roles de aplicación con permisos de aplicación . Si su entorno no acepta permisos de aplicación , puede usar permisos delegados .
Agregue un origen de registro del protocolo Microsoft Security Graph API en la consola JSA utilizando un tipo de origen de registro personalizado o un DSM específico que use este protocolo.

Para obtener más información acerca de los DSM admitidos, consulte DSM compatibles con JSA. Para obtener más información acerca de cómo agregar un origen de registro en JSA, consulte Agregar un origen de registro.

Opciones de configuración del protocolo Microsoft IIS

Puede configurar un origen de registro para utilizar el protocolo Microsoft IIS. Este protocolo admite un único punto de recopilación para los archivos de registro de formato W3C que se encuentran en un servidor web de Microsoft IIS.

El protocolo Microsoft IIS es un protocolo saliente/activo.

Para leer los archivos de registro, las rutas de carpeta que contienen un recurso compartido administrativo (C$) requieren privilegios NetBIOS en el recurso compartido administrativo (C$). Los administradores locales o de dominio tienen privilegios suficientes para acceder a los archivos de registro en recursos compartidos administrativos.

Los campos del protocolo Microsoft IIS que admiten rutas de acceso de archivo permiten a los administradores definir una letra de unidad con la información de la ruta de acceso. Por ejemplo, el campo puede contener el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público, pero no puede contener el directorio c:/LogFiles .

Nota:

El protocolo de autenticación de Microsoft NTLMv2 no es compatible con el protocolo Microsoft IIS.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo Microsoft IIS:

Tabla 31: Parámetros de protocolo de Microsoft IIS
Parámetro	Descripción
Configuración del protocolo	Microsoft IIS
Identificador de origen de registro	Escriba la dirección IP, el nombre de host o un nombre único para identificar el origen del registro.
Dirección del servidor	La dirección IP o el nombre de host del servidor Microsoft IIS.
Dominio	Escriba el dominio para el servidor Microsoft IIS. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para tener acceso al servidor.
Contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Confirmar contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Ruta de acceso a la carpeta de registro	La ruta de acceso al directorio para tener acceso a los archivos de registro. Por ejemplo, los administradores pueden usar el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público. Sin embargo, el directorio c:/LogFiles no es una ruta de carpeta de registro compatible. Si una ruta de acceso a la carpeta de registro contiene un recurso compartido administrativo (C$), los usuarios con acceso NetBIOS en el recurso compartido administrativo (C$) tienen los privilegios necesarios para leer los archivos de registro. Los privilegios de administrador del sistema local o del dominio también son suficientes para tener acceso a los archivos de registro que se encuentran en un recurso compartido administrativo.
Patrón de archivo	Expresión regular (regex) que identifica los registros de eventos.
Recursivo	Si desea que el patrón de archivo busque subcarpetas, utilice esta opción. De forma predeterminada, la casilla de verificación está activada.
Versión SMB	Seleccione la versión de SMB que desea utilizar. AUTO: detecta automáticamente a la versión más alta que el cliente y el servidor acuerdan usar. SMB1: fuerza el uso de SMB1. SMB1 utiliza el `jCIFS.jar` archivo (Java ARchive). Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para utilizar SMB2 o SMB3. SMB2: fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3: fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión específica de SMB (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada es compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones SMB están habilitadas en el Windows Server especificado.
Intervalo de sondeo (en segundos)	Escriba el intervalo de sondeo, que es el número de segundos entre consultas a los archivos de registro para comprobar si hay datos nuevos. El valor predeterminado es de 10 segundos.
Eventos del acelerador/segundo	Número máximo de eventos que el protocolo IIS puede reenviar por segundo.
Codificación de archivos	La codificación de caracteres que utilizan los eventos del archivo de registro.

Nota:

Si utiliza el registro avanzado de IIS, debe crear una nueva definición de registro. En la ventana Definición de registro , asegúrese de que los campos siguientes estén seleccionados en la sección Campos seleccionados :

Fecha-UTC
Hora-UTC
URI-Stem
URI-Querystring
ContentPath
Estado
Nombre del servidor
Referente
Win325Status
Bytes enviados

Opciones de configuración del protocolo de registro de eventos de seguridad de Microsoft

Puede configurar un origen de registro para usar el protocolo Registro de eventos de seguridad de Microsoft. Puede usar Instrumental de administración de MicrosoftWindows (WMI) para recopilar registros de eventos personalizados o registros de eventos de Windows sin agente.

La API de WMI requiere que las configuraciones de firewall acepten comunicaciones externas entrantes en el puerto 135 y en cualquier puerto dinámico necesario para DCOM. En la lista siguiente se describen las limitaciones del origen de registro que utiliza el protocolo de registro de sucesos de seguridad de Microsoft:

Los sistemas que superen los 50 eventos por segundo (eps) pueden superar las capacidades de este protocolo. Utilice WinCollect para sistemas que superen los 50 eps.
Una instalación todo en uno de JSA puede admitir hasta 250 orígenes de registro con el protocolo Registro de eventos de seguridad de Microsoft.
Los recopiladores de eventos JSA dedicados pueden admitir hasta 500 orígenes de registros mediante el protocolo de registro de eventos de seguridad de Microsoft.

El protocolo Microsoft Security Event Log es un protocolo saliente/activo. Este protocolo no se recomienda para servidores remotos a los que se accede a través de vínculos de red, por ejemplo, sistemas que tienen altos tiempos de retardo de ida y vuelta, como las redes satelitales o WAN lentas. Puede confirmar los retrasos de ida y vuelta examinando las solicitudes y el tiempo de respuesta que hay entre un ping del servidor. Los retrasos de red creados por conexiones lentas disminuyen el rendimiento de EPS disponible para esos servidores remotos. Además, la recopilación de eventos de servidores o controladores de dominio ocupados depende de los bajos tiempos de retraso de ida y vuelta para mantenerse al día con los eventos entrantes. Si no puede reducir el tiempo de retraso de ida y vuelta de la red, puede usar WinCollect para procesar eventos de Windows.

El registro de eventos de seguridad de Microsoft admite las siguientes versiones de software con la API de Instrumental de administración de MicrosoftWindows (WMI):

Microsoft Windows 2000
Microsoft Windows Server 2003
Microsoft Windows Server 2008
Microsoft Windows Server 2008R3
Microsoft Windows XP
Microsoft Windows Vista
Microsoft Windows 7

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo de registro de eventos de seguridad de Microsoft:

Tabla 32: Parámetros del protocolo de registro de eventos de seguridad de Microsoft
Parámetro	Descripción
Configuración del protocolo	Registro de eventos de seguridad de Windows

Registro de eventos de seguridad de Microsoft a través del protocolo MSRPC

El registro de eventos de seguridad de Microsoft sobre el protocolo MSRPC (MSRPC) es un protocolo saliente/activo que recopila eventos de Windows sin instalar un agente en el host de Windows.

El protocolo MSRPC utiliza la especificación Microsoft Distributed Computing Environment/Remote Procedure Call (DCE/RPC) para proporcionar una recopilación de eventos cifrados y sin agente. El protocolo MSRPC proporciona tasas de eventos más altas que el protocolo predeterminado de registro de eventos de seguridad de MicrosoftWindows, que utiliza WMI/DCOM para la recopilación de eventos.

En la tabla siguiente se enumeran las características compatibles del protocolo MSRPC.

Tabla 33: Características compatibles del protocolo MSRPC
Funciones	Registro de eventos de seguridad de Microsoft a través del protocolo MSRPC
Fabricante	Microsoft
Herramienta de prueba de conexión	La herramienta de prueba MSRPC comprueba la conectividad entre el dispositivo JSA y un host Windows. La herramienta de prueba MSRPC forma parte del RPM del protocolo MSRPC y se puede encontrar en /opt/qradar/jars después de instalar el protocolo.
Tipo de protocolo	El tipo dependiente del sistema operativo del protocolo de procedimiento remoto para la recopilación de eventos. Seleccione una de las siguientes opciones en la lista Tipo de protocolo : MS-EVEN6: el tipo de protocolo predeterminado para los nuevos orígenes de registro. Tipo de protocolo que usa JSA para comunicarse con Windows Vista y Windows Server 2012 y versiones posteriores. MS-EVEN (para Windows XP/2003) - El tipo de protocolo que utiliza JSA para comunicarse con Windows XP y Windows Server 2003. Windows XP y Windows Server 2003 no son compatibles con Microsoft. Es posible que el uso de esta opción no se realice correctamente. detección automática (para configuraciones heredadas): las configuraciones de origen de registros anteriores para el DSM del registro de eventos de seguridad de Microsoft Windows usan el tipo de protocolo de detección automática (para configuraciones heredadas). Actualice al tipo de protocolo MS_EVEN6 o MS-EVEN (para Windows XP/2003).
Tasa máxima de EPS	100 EPS / Windows host
Tasa máxima de EPS global de MSRPC	Dispositivo 8500 EPS / JSA 16xx o 18xx
Número máximo de orígenes de registro admitidos	500 orígenes de registro / dispositivo JSA 16xx o 18xx
Compatibilidad con orígenes de registros masivos	Sí
Encriptación	Sí
Tipos de eventos admitidos	Aplicación Sistema Seguridad Servidor DNS Replicación de archivos Registros del servicio de directorio
Sistemas operativos Windows compatibles	Windows Server 2022 (incluido Core) Windows Server 2019 (incluido Core) Windows Server 2016 (incluido Core) Windows Server 2012 (incluido Core) Ventanas 10
Permisos necesarios	El usuario del origen del registro debe ser miembro del grupo Lectores del registro de eventos. Si este grupo no está configurado, en la mayoría de los casos se requieren privilegios de administrador de dominio para sondear un registro de eventos de Windows en un dominio. En algunos casos, el grupo de operadores de copia de seguridad se puede usar dependiendo de cómo estén configurados los objetos de directiva de grupo de Microsoft. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ services\eventlog HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\Nls\Language HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft Windows\ CurrentVersion
Archivos RPM requeridos	PROTOCOLO-WindowsEventRPC- `JSA_release-Build_number`.noarch.rpm DSM-MicrosoftWindows-`JSA_release-Build_number`.noarch.rpm DSM-DSMCommon-`JSA_release-Build_number`.noarch.rpm
Requisitos del servicio de Windows	Llamada a procedimiento remoto (RPC) Mapeador de extremos de RPC
Requisitos de puerto de Windows	Puerto TCP 135 Puerto TCP 445 Puerto TCP asignado dinámicamente para RPC, desde el puerto 49152 hasta el 65535
Características especiales	Admite eventos cifrados de forma predeterminada.
¿Detectado automáticamente?	No
¿Incluye identidad?	Sí
¿Incluye propiedades personalizadas?	Un paquete de contenido de seguridad con propiedades de eventos personalizados de Windows está disponible en https://support.juniper.net/support/downloads/.
Aplicación prevista	Recopilación de eventos sin agente para sistemas operativos Windows compatibles con 100 EPS por origen de registro.
Compatibilidad con el ajuste	MSRPC está limitado a 100 EPS / host de Windows. Para sistemas con tasas de eventos más altos, consulte la Guía del usuario de WinCollect de Juniper Secure Analytics.
Compatibilidad con el filtrado de eventos	MSRPC no admite el filtrado de eventos. Consulte la Guía del usuario de WinCollect de Juniper Secure Analytics para conocer esta función.
Más información	Soporte técnico de Microsoft (http://support.microsoft.com/)

A diferencia de WMI/DCOM, el protocolo MSRPC proporciona el doble de EPS. Las tasas de eventos se muestran en la siguiente tabla.

Tabla 34: Contraste entre las tasas de eventos MSRPC y WMI/DCOM
Nombre	Tipo de protocolo	Tasa máxima de eventos
Registro de eventos de seguridad de Microsoft	WMI/DCOM	50EPS / Windows host
Registro de eventos de seguridad de Microsoft a través de MSRPC	MSRPC	Host 100EPS / Windows

Opciones de configuración del protocolo MQ

Para recibir mensajes de un servicio de cola de mensajes (MQ), configure un origen de registro para utilizar el protocolo MQ. El nombre del protocolo se muestra en JSA como MQ JMS.

MQ es compatible.

El protocolo MQ es un protocolo saliente/activo que puede supervisar varias colas de mensajes, hasta un máximo de 50 por origen de registro.

En la tabla siguiente se describen los parámetros específicos del protocolo MQ:

Tabla 35: Parámetros del protocolo MQ
Parámetro	Descripción
Nombre del protocolo	MQ JMS
IP o nombre de host	La dirección IP o el nombre de host del gestor de colas principal.
Puerto	El puerto predeterminado que se utiliza para comunicarse con el gestor de colas principal es 1414.
IP en espera o nombre de host	La dirección IP o el nombre de host del gestor de colas en espera.
Puerto en espera	El puerto que se usa para comunicarse con el administrador de colas en espera.
Administrador de colas	Nombre del gestor de colas.
Canal	El canal a través del cual el gestor de colas envía mensajes. El canal predeterminado es SYSTEM. DEF. SVRCONN.
Cola	La cola o lista de colas que se van a supervisar. Se especifica una lista de colas con una lista separada por comas.
Nombre de usuario	El nombre de usuario que se utiliza para autenticarse con el servicio MQ.
Contraseña	Opcional: La contraseña que se utiliza para autenticarse con el servicio MQ.
Codificación de mensajes entrantes	La codificación de caracteres que utilizan los mensajes entrantes.
Campos computacionales de procesos	Opcional: Seleccione esta opción sólo si los mensajes recuperados contienen datos computacionales definidos en un cuaderno COBOL. Los datos binarios de los mensajes se procesan de acuerdo con la definición de campo que se encuentra en el archivo de cuaderno especificado.
Nombre de archivo CopyBook	Este parámetro se muestra cuando se selecciona Campos computacionales de proceso . Nombre del archivo de cuaderno que se va a utilizar para procesar datos. El archivo del cuaderno debe colocarse en /store/ec/mqjms/*
Formateador de eventos	Seleccione el formato de evento que se aplicará a cualquier evento que se genere a partir del procesamiento de datos que contengan campos computacionales. De forma predeterminada, se utiliza Sin formato .
Incluir encabezado de mensaje JMS	Seleccione esta opción para incluir un encabezado en cada evento generado que contenga campos de mensaje JMS, como el `JMSMessageID` y `JMSTimestamp`.
Acelerador EPS	El límite para el número máximo de eventos por segundo (EPS).

Opciones de configuración del protocolo de API de REST de seguimiento de mensajes de Office 365

El protocolo de API de REST de seguimiento de mensajes de Office 365 para JSA recopila registros de seguimiento de mensajes de la API de REST de seguimiento de mensajes. Este protocolo se usa para recopilar registros de correo electrónico de Office 365. El protocolo de API de REST de seguimiento de mensajes de Office 365 es un protocolo saliente/activo.

Los siguientes parámetros requieren valores específicos para recopilar eventos del seguimiento de mensajes de Office 365:

Tabla 36: Parámetros de origen de registro del protocolo de API de REST de seguimiento de mensajes de Office 365
Parámetro	Descripción
Identificador de origen de registro	Un nombre único para el origen del registro. El nombre no puede incluir espacios y debe ser único entre todos los orígenes de registro de este tipo configurados con el protocolo de API de REST de seguimiento de mensajes de Office 365.
Correo electrónico de la cuenta de usuario de Office 365	Para autenticarse con la API de REST de seguimiento de mensajes de Office 365, proporcione una cuenta de correo electrónico de Office 365 con los permisos adecuados.
Contraseña de cuenta de usuario de Office 365	Para autenticarse con la API de REST de seguimiento de mensajes de Office 365, proporcione la contraseña asociada al correo electrónico de la cuenta de usuario de Office 365.
Retraso del evento	El retraso, en segundos, para recopilar datos. Los registros de seguimiento de mensajes de Office 365 funcionan en un sistema de entrega eventual. Para garantizar que no se pierdan datos, los registros se recopilan con retraso. El retraso predeterminado es de 900 segundos (15 minutos) y se puede establecer tan bajo como 0 segundos.
Usar proxy	Si se accede al servidor mediante un proxy, active la casilla Usar proxy . Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy. Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
IP de proxy o nombre de host	La dirección IP o el nombre de host del servidor proxy.
Puerto proxy	Número de puerto que se utiliza para comunicarse con el proxy. El valor predeterminado es 8080.
Nombre de usuario del proxy	Nombre de usuario que se utiliza para tener acceso al servidor proxy cuando el proxy requiere autenticación.
Contraseña de proxy	La contraseña que se utiliza para tener acceso al servidor proxy cuando el proxy requiere autenticación.
Repetición	El intervalo de tiempo entre las consultas de origen de registro a la API de REST de seguimiento de mensajes de Office 365 para nuevos eventos. El intervalo de tiempo puede ser en horas (H), minutos (M) o días (D). El valor predeterminado es de 5 minutos.
Acelerador EPS	El número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.

Acceso condicional para leer informes

Si recibe el mensaje de error "Status Code: 401 | Status Reason: Unauthorized," revise la siguiente documentación de directivas de acceso condicional para confirmar que la cuenta de usuario tiene acceso a la aplicación heredada API de seguimiento de mensajes de Office 365:

Para obtener más información sobre cómo bloquear y desbloquear contenido heredado en las directivas de acceso condicional, consulte Acceso condicional: bloquear autenticación heredada.
Para obtener más información acerca de la creación de directivas de acceso condicional para usuarios y grupos, vea Acceso condicional: usuarios y grupos.
Para obtener más información sobre cómo crear directivas de acceso condicional para aplicaciones o acciones en la nube, consulte Acceso condicional: aplicaciones o acciones en la nube.
Para obtener más información acerca de cómo conceder o bloquear el acceso a recursos con una directiva de acceso condicional, vea Acceso condicional: concesión.

Solución de problemas del protocolo de API de REST de seguimiento de mensajes de Office 365

Para resolver problemas con el protocolo de API de REST de seguimiento de mensajes de Office 365, use la información de solución de problemas y soporte técnico. Encuentre los errores mediante las herramientas de prueba de protocolo de la aplicación Juniper Secure Analytics Log Source Management.

Solución general de problemas

Los siguientes pasos se aplican a todos los errores de entrada del usuario. El procedimiento general de solución de problemas contiene los primeros pasos para seguir cualquier error con el protocolo de la API de REST de seguimiento de mensajes de Office 365.

Si utiliza JSA 7.3.2, actualización de software 3 o posterior, ejecute la herramienta de prueba antes de habilitar el origen del registro. Si la herramienta de prueba no supera todas las pruebas, se producirá un error en el origen del registro cuando está habilitado. Si una prueba falla, aparece un mensaje de error con más información.
Compruebe que el recopilador de eventos seleccionado puede tener acceso a la reports.office365.com host. Este protocolo se conecta mediante HTTPS (puerto 443).
Compruebe que el nombre de usuario y la contraseña de la cuenta de correo electrónico de Office 365 son válidos.
Asegúrese de que la cuenta de correo electrónico de Office 365 tiene los permisos correctos. Para obtener más información, vea Preguntas más frecuentes sobre el protocolo de API de REST de seguimiento de mensajes de Office 365.
Asegúrese de que el acceso no está bloqueado al protocolo de autenticación heredado de Reporting Web Services. Para obtener más información, consulte Código de estado HTTP 401.
Vuelva a introducir todos los campos.
Si está disponible, vuelva a ejecutar la herramienta de prueba.

Para obtener más información, consulte:

Código de estado HTTP 401
Código de estado HTTP 404
Preguntas más frecuentes sobre el protocolo de API de REST de seguimiento de mensajes de Office 365

Código de estado HTTP 401

Síntomas

Error: "Código de estado: 401 | Motivo del estado: No autorizado"

Error: "correo electrónico o contraseña de cuenta de usuario de Office 365 no válidos"

Error: <A response received from the Office 365 Message Trace REST API displays>

Causas

JSA se conectó al protocolo de seguimiento de mensajes de Office 365, pero debido a credenciales de usuario no válidas, no pudo autenticarse.

Resolver el problema

Para resolver el error de código de estado HTTP 401, compruebe que el nombre de usuario de la cuenta de correo electrónico de Office 365 y la contraseña de la cuenta son válidos.

Código de estado HTTP 404

Síntomas

Error: "Código de estado: 404 | Motivo del estado: No encontrado"

Error: "Ocasionalmente, las respuestas 404 están relacionadas con los permisos de la cuenta de usuario que no conceden acceso a la API de seguimiento de mensajes"

Error: <A response received from the Office 365 Message Trace REST API displays>

Causas

Las respuestas 404 generalmente se deben a que no se encontró el servidor. Sin embargo, la API de REST de seguimiento de mensajes de Office 365 puede devolver esta respuesta cuando la cuenta de usuario que se proporcionó no tiene los permisos adecuados. La mayoría de las instancias de esta excepción se producen porque la cuenta de usuario no tiene los permisos necesarios.

Resolver el problema

Para resolver el error de código de estado HTTP 404, asegúrese de que las cuentas de usuario tengan los permisos necesarios. Para obtener más información, vea Preguntas más frecuentes sobre el protocolo de API de REST de seguimiento de mensajes de Office 365.

Preguntas más frecuentes sobre el protocolo de API de REST de seguimiento de mensajes de Office 365

¿Tienes alguna pregunta? Consulte estas preguntas y respuestas más frecuentes que le ayudarán a comprender el protocolo de la API de REST de seguimiento de mensajes de Office 365.

¿Qué permisos se requieren para recopilar registros de la API de REST de seguimiento de mensajes de Office 365?

Use los mismos permisos administrativos que usa para tener acceso a los informes en la organización de Office 365.

¿Qué información contienen los eventos recopilados por un protocolo de API de REST de seguimiento de mensajes de Microsoft Office 365?

Este protocolo devuelve la misma información que se proporciona en el seguimiento de mensajes del Centro de seguridad y cumplimiento.

Nota:

Los informes extendidos y mejorados no están disponibles cuando se usa la API de REST de seguimiento de mensajes de Office 365.

¿Para qué se utiliza la opción de retraso de eventos?

La opción de retraso de eventos se utiliza para evitar que se pierdan eventos. En este contexto, los eventos omitidos se producen porque están disponibles después de que el protocolo actualizó su intervalo de consulta a un período de tiempo más reciente que la hora de llegada del evento. Si se produjo un evento pero no se publicó en la API de REST de seguimiento de mensajes de Office 365, cuando el protocolo consulta la hora de creación de ese evento, el protocolo no obtiene ese evento.

Ejemplo 1: En el ejemplo siguiente se muestra cómo se puede perder un evento.

El protocolo consulta la API de seguimiento de mensajes de Office 365 a las 14:00 para recopilar eventos entre la 13:00 y la 13:59. La respuesta de la API de seguimiento de mensajes de Office 365 devuelve los eventos que están disponibles en la API de seguimiento de mensajes de Office 365 entre la 13:00 y la 13:59. El protocolo funciona como si se recopilaran todos los eventos y, a continuación, envía la siguiente consulta a la API de seguimiento de mensajes de Office 365 a las 3:00 p.m. para obtener los eventos que ocurrieron entre la 1:45 p.m. y las 2:59 p.m. El problema con este escenario es que es posible que la API de seguimiento de mensajes de Office 365 no incluya todos los eventos que ocurrieron entre la 1:00 p.m. y la 1:59 p.m. Si un evento se produjo a la 1:58 p.m., es posible que ese evento no esté disponible en la API de seguimiento de mensajes de Office 365 hasta las 2:03 p.m. Sin embargo, el protocolo ya ha consultado el intervalo de tiempo de 1:00 p.m. a 1:59 p.m., y no puede volver a consultar ese rango sin obtener eventos duplicados. Este retraso puede variar entre 1 minuto y 24 horas.

Ejemplo 2: En el ejemplo siguiente se muestra el ejemplo 1, excepto que en este escenario se agrega un retraso de 15 minutos.

En este ejemplo se utiliza un retraso de 15 minutos cuando el protocolo realiza llamadas de consulta. Cuando el protocolo realiza una llamada de consulta a la API de seguimiento de mensajes de Office 365 a las 2:00 PM, recopila los eventos que se produjeron entre la 1:00 y la 1:45 PM. El protocolo funciona como si se recopilaran todos los eventos, envía la siguiente consulta a la API de seguimiento de mensajes de Office 365 a las 3:00 PM y recopila todos los eventos que ocurrieron entre la 1:45 PM y las 2:45 PM. En lugar de que el evento se pierda, como en el ejemplo 1, se detecta en la siguiente llamada de consulta entre la 1:45 p.m. y las 2:45 p.m.

Ejemplo 3: En el ejemplo siguiente se muestra el ejemplo 2, excepto que en este escenario los eventos están disponibles un día después.

Si el evento se produjo a la 1:58 p.m., pero solo estuvo disponible para la API de seguimiento de mensajes de Office 365 a la 1:57 p.m. del día siguiente, el retraso del evento que se describe en el ejemplo 2 ya no recibe ese evento. En su lugar, el retraso del evento debe establecerse en un valor superior, en este caso 24 horas.

¿Cómo funciona la opción de retraso de eventos?

En lugar de consultar desde la hora del último evento recibido hasta la hora actual, el protocolo consulta desde la hora del último evento recibido hasta la hora actual - <event delay>. El retraso del evento es en segundos. Por ejemplo, un retraso de 15 minutos (900 segundos) significa que realiza consultas hace solo 15 minutos. Esta consulta le da a la API de seguimiento de mensajes de Office 365 15 minutos para que un evento esté disponible antes de que se pierda el evento. Cuando la hora actual es <event delay> menor que la hora del último evento recibido, el protocolo no consulta la API de seguimiento de mensajes de Office 365; espera a que pase la condición antes de consultar.

¿Qué valor utilizo para la opción de retraso de evento?

La API de seguimiento de mensajes de Office 365 puede retrasar la disponibilidad del evento hasta 24 horas. Para evitar que se pierda ningún evento, el valor de la opción Retraso de evento se puede establecer en 24 horas. Sin embargo, cuanto mayor sea el retraso del evento, menos tiempo real serán los resultados. Con un retraso de eventos de 24 horas, los eventos solo se ven 24 horas después de que ocurran. El valor depende de cuánto riesgo esté dispuesto a asumir y cuán importantes sean los datos en tiempo real. Este retraso predeterminado de 15 minutos proporciona un valor que se establece en tiempo real y también evita que se pierdan la mayoría de los eventos.

Opciones de configuración del protocolo REST API de Okta

Para recibir eventos de Okta, configure un origen de registro en JSA mediante el protocolo de API de REST de Okta.

El protocolo de API de REST de Okta es un protocolo saliente/activo que consulta los eventos de Okta y los puntos finales de la API de usuarios para recuperar información sobre las acciones que completan los usuarios de una organización.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo de la API REST de Okta:

Tabla 37: Parámetros del protocolo de API REST de Okta
Parámetro	Descripción
Identificador de origen de registro	Un nombre único para el origen del registro. El identificador de origen de registro puede tener cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede tener el mismo valor que el nombre del origen de registro. Si tiene más de un origen de registro de Okta configurado, es posible que desee identificar el primer origen de registro como `okta1`, el segundo origen de registro como `okta2`, y el tercer origen de registro como `okta3`.
IP o nombre de host	oktaprise.okta.com
Token de autenticación	Un único token de autenticación generado por la consola de Okta y que debe usarse para todas las transacciones de la API.
Usar proxy	Si JSA accede a Okta mediante un proxy, habilite esta opción. Cuando se configura un proxy, todo el tráfico del origen del registro viaja a través del proxy para que JSA acceda a Okta. Si el proxy requiere autenticación, configure los campos Nombre de host, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco.
Nombre de host	Si selecciona Usar proxy, se muestra este parámetro.
Puerto proxy	Si selecciona Usar proxy, se muestra este parámetro.
Nombre de usuario del proxy	Si selecciona Usar proxy, se muestra este parámetro.
Contraseña de proxy	Si selecciona Usar proxy, se muestra este parámetro.
Repetición	Un intervalo de tiempo para determinar con qué frecuencia se realiza el sondeo de datos nuevos. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, 2H = 2 horas, 15M = 15 minutos, 30 = segundos. El valor predeterminado es 1M.
Acelerador EPS	Número máximo de eventos por segundo que se envían a la canalización de flujo. El valor predeterminado es 5000. Asegúrese de que el valor del acelerador de EPS sea superior a la velocidad de entrada o que el procesamiento de datos podría quedarse atrás.

Opciones de configuración del protocolo OPSEC/LEA

Para recibir eventos en el puerto 18184, configure un origen de registro para utilizar el protocolo OPSEC/LEA.

El protocolo OPSEC/LEA es un protocolo saliente/activo.

En la tabla siguiente se describen los parámetros específicos del protocolo OPSEC/LEA:

Tabla 38: Parámetros del protocolo OPSEC/LEA
Parámetro	Descripción
Configuración del protocolo	OPSEC/LEA
Identificador de origen de registro	La dirección IP, el nombre de host o cualquier nombre para identificar el dispositivo. Debe ser único para el tipo de origen de registro.
IP del servidor	Escriba la dirección IP del servidor.
Puerto del servidor	Número de puerto que se utiliza para la comunicación OPSEC. El intervalo válido es 0 - 65.536 y el predeterminado es 18184.
Usar IP de servidor para el origen del registro	Active la casilla Usar IP de servidor para origen de registro si desea usar la dirección IP del servidor LEA en lugar de la dirección IP del dispositivo administrado para un origen de registro. De forma predeterminada, la casilla de verificación está activada.
Intervalo del informe de estadísticas	El intervalo, en segundos, durante el cual se registra el número de eventos syslog en el archivo qradar.log . El intervalo válido es 4 - 2.147.483.648 y el intervalo predeterminado es 600.
Tipo de autenticación	En la lista, seleccione el Tipo de autenticación que desea usar para esta configuración LEA. Las opciones son sslca (predeterminado), sslca_clear o clear. Este valor debe coincidir con el método de autenticación utilizado por el servidor.
Atributo SIC del objeto de aplicación OPSEC (nombre SIC)	El nombre de las comunicaciones internas seguras (SIC) es el nombre distintivo (DN) de la aplicación, por ejemplo: CN=LEA, o=fwconsole. 7PSASX.
Atributo SIC de origen del registro (nombre de entidad SIC)	El nombre SIC del servidor, por ejemplo: cn=cp_mgmt,o=fwconsole.. 7psasxz.
Especificar certificado	Active esta casilla si desea definir un certificado para esta configuración LEA. JSA intenta recuperar el certificado utilizando estos parámetros cuando el certificado es necesario.
Nombre de archivo del certificado	Esta opción sólo aparece si está seleccionada la opción Especificar certificado. Escriba el nombre de archivo del certificado que desea usar para esta configuración. El archivo de certificado debe estar ubicado en el directorio /opt/qradar/conf/ trusted_certificates/lea .
IP de la autoridad de certificación	Escriba la dirección IP del servidor de Check Point Manager.
Extraer contraseña de certificado	Escriba la contraseña.
Aplicación OPSEC	Nombre de la aplicación que realiza la solicitud de certificado.
Habilitado	Active esta casilla para habilitar el origen del registro. De forma predeterminada, la casilla de verificación está activada.
Credibilidad	En la lista, seleccione la Credibilidad del origen del registro. El rango es 0 - 10. La credibilidad indica la integridad de un evento u ofensa según lo determinado por la calificación de credibilidad de los dispositivos fuente. La credibilidad aumenta si varias fuentes informan del mismo evento. El valor predeterminado es 5.
Recopilador de eventos de destino	En la lista, seleccione el recopilador de eventos de destino que desea utilizar como destino del origen de registro.
Eventos coalescentes	Active la casilla Eventos de fusión para permitir que el origen del registro se fusione (agrupe) eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos coalescentes de la Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga útil del evento de la tienda	Active la casilla Almacenar carga de evento para permitir que el origen del registro almacene información de la carga del evento. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Nota:

Si recibe el mensaje de error No se puede extraer el certificado SSL después de una actualización, siga estos pasos:

Desactive la casilla Especificar certificado .
Vuelva a escribir la contraseña para Extraer contraseña de certificado.

Opciones de configuración del protocolo de escucha de Oracle Database

Para recopilar de forma remota archivos de registro que se generan desde un servidor de base de datos Oracle, configure un origen de registro para utilizar el origen del protocolo de escucha de base de datos de Oracle.

El protocolo de escucha de base de datos de Oracle es un protocolo saliente/activo.

Antes de configurar el protocolo de escucha de base de datos de Oracle para supervisar el procesamiento de los archivos de registro, debe obtener la ruta de acceso al directorio a los archivos de registro de la base de datos de Oracle.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo de escucha de base de datos de Oracle:

Tabla 39: Parámetros del protocolo de escucha de Oracle Database
Parámetro	Descripción
Configuración del protocolo	Escucha de base de datos Oracle
Identificador de origen de registro	Escriba la dirección IP, el nombre de host o un nombre único para identificar el origen del registro.
Dirección del servidor	La dirección IP o el nombre de host del servidor de escucha de base de datos de Oracle.
Dominio	Escriba el dominio para el servidor de Oracle Database Learner. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para tener acceso al servidor.
Contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Confirmar contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Ruta de acceso a la carpeta de registro	Escriba la ruta del directorio para acceder a los archivos de registro de Oracle Database Listener.
Patrón de archivo	Expresión regular (regex) que identifica los registros de eventos.
Forzar lectura de archivos	Active esta casilla para forzar al protocolo a leer el archivo de registro cuando se especifique el momento del intervalo de sondeo. Cuando se activa la casilla, el origen del archivo de registro siempre se examina cuando se especifica el intervalo de sondeo, independientemente de la hora de la última modificación o del atributo de tamaño de archivo. Cuando la casilla no está activada, el origen del archivo de registro se examina en el intervalo de sondeo si cambian los atributos de hora o tamaño de archivo de la última modificación.
Recursivo	Si desea que el patrón de archivo busque subcarpetas, utilice esta opción. De forma predeterminada, la casilla de verificación está activada.
Versión SMB	Seleccione la versión de SMB que desea usar: AUTO: detecta automáticamente a la versión más alta que el cliente y el servidor acuerdan usar. SMB1: fuerza el uso de SMB1. SMB1 utiliza el `jCIFS.jar` archivo (Java ARchive). Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para utilizar SMB2 o SMB3. SMB2: fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3: fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión específica de SMB (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada es compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones SMB están habilitadas en el Windows Server especificado.
Intervalo de sondeo (en segundos)	Escriba el intervalo de sondeo, que es el número de segundos entre consultas a los archivos de registro para comprobar si hay datos nuevos. El valor predeterminado es de 10 segundos.
Eventos del acelerador/seg	El número máximo de eventos que el protocolo de escucha de base de datos de Oracle reenvía por segundo.
Codificación de archivos	La codificación de caracteres que utilizan los eventos del archivo de registro.

Opciones de configuración del protocolo SDEE

Puede configurar un origen de registro para usar el protocolo de intercambio de eventos de dispositivos de seguridad (SDEE). JSA utiliza el protocolo para recopilar eventos de dispositivos que utilizan servidores SDEE.

El protocolo SDEE es un protocolo saliente/activo.

En la tabla siguiente se describen los parámetros específicos del protocolo SDEE:

Tabla 40: Parámetros del protocolo SDEE
Parámetro	Descripción
Configuración del protocolo	SDEE
URL	La dirección URL HTTP o HTTPS necesaria para tener acceso al origen del registro, por ejemplo, https://www.mysdeeserver.com/cgi-bin/sdee-server. Para SDEE/CIDEE (Cisco IDS v5.x y posterior), la URL debe terminar con `/cgi-bin/sdee-server`. Administradores con RDEP (Cisco IDS v4.x), la URL debe terminar en `/cgi-bin/event-server`.
Forzar suscripción	Cuando se activa la casilla, el protocolo obliga al servidor a eliminar la conexión menos activa y aceptar una nueva conexión de suscripción SDEE para el origen del registro.
Espera máxima para bloquear eventos	Cuando se realiza una solicitud de recopilación y no hay nuevos eventos disponibles, el protocolo habilita un bloqueo de eventos. El bloqueo impide que se realice otra solicitud de evento a un dispositivo remoto que no haya tenido ningún evento nuevo. Este tiempo de espera está destinado a conservar los recursos del sistema.

Opciones de configuración del protocolo de cola SMB

Puede configurar un origen de registro para usar el protocolo SMB Tail. Use este protocolo para ver eventos en un recurso compartido remoto de Samba y recibir eventos del recurso compartido de Samba cuando se agreguen nuevas líneas al registro de eventos.

El protocolo SMB Tail es un protocolo saliente/activo.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo SMB Tail:

Tabla 41: Parámetros del protocolo de cola SMB
Parámetro	Descripción
Configuración del protocolo	Cola SMB
Identificador de origen de registro	Escriba la dirección IP, el nombre de host o un nombre único para identificar el origen del registro.
Dirección del servidor	La dirección IP o el nombre de host del servidor SMB Tail.
Dominio	Escriba el dominio para su servidor SMB Tail. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para acceder al servidor.
Contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Confirmar contraseña	Confirme la contraseña necesaria para tener acceso al servidor.
Ruta de acceso a la carpeta de registro	La ruta de acceso al directorio para tener acceso a los archivos de registro. Por ejemplo, los administradores pueden usar el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público. Sin embargo, el directorio c:/LogFiles no es una ruta de carpeta de registro compatible. Si una ruta de acceso a la carpeta de registro contiene un recurso compartido administrativo (C$), los usuarios con acceso NetBIOS en el recurso compartido administrativo (C$) tienen los privilegios necesarios para leer los archivos de registro. Los privilegios de administrador del sistema local o del dominio también son suficientes para tener acceso a los archivos de registro que se encuentran en un recurso compartido administrativo.
Patrón de archivo	Expresión regular (regex) que identifica los registros de eventos.
Versión SMB	Seleccione la versión del bloque de mensajes del servidor (SMB) que desea utilizar. AUTO: detecta automáticamente a la versión más alta que el cliente y el servidor acuerdan usar. SMB1: fuerza el uso de SMB1. SMB1 utiliza el `jCIFS.jar` archivo (Java ARchive). Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para utilizar SMB2 o SMB3. SMB2: fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3: fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión específica de SMB (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada es compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones SMB están habilitadas en el Windows Server especificado.
Forzar lectura de archivos	Si la casilla de verificación está desactivada, el archivo de registro se lee solo cuando JSA detecta un cambio en la hora o el tamaño del archivo modificados.
Recursivo	Si desea que el patrón de archivo busque subcarpetas, utilice esta opción. De forma predeterminada, la casilla de verificación está seleccionada.
Intervalo de sondeo (en segundos)	Escriba el intervalo de sondeo, que es el número de segundos entre consultas a los archivos de registro para comprobar si hay datos nuevos. El valor predeterminado es de 10 segundos.
Eventos del acelerador/segundo	Número máximo de eventos que el protocolo SMB Tail reenvía por segundo.
Codificación de archivos	La codificación de caracteres que utilizan los eventos del archivo de registro.

Opciones de configuración del protocolo SNMPv2

Puede configurar un origen de registro para que utilice el protocolo SNMPv2 para recibir eventos SNMPv2.

El protocolo SNMPv2 es un protocolo entrante/pasivo.

En la tabla siguiente se describen los parámetros específicos del protocolo SNMPv2:

Tabla 42: Parámetros del protocolo SNMPv2
Parámetro	Descripción
Configuración del protocolo	SNMPv2
Comunidad	Nombre de comunidad SNMP necesario para tener acceso al sistema que contiene eventos SNMP. Por ejemplo, Público.
Incluir OID en la carga del evento	Especifica que la carga de eventos SNMP se construye utilizando pares nombre-valor en lugar del formato de carga de eventos. Cuando se seleccionan orígenes de registro específicos de la lista Tipos de orígenes de registro , se requieren OID en caso de carga para procesar eventos SNMPv2 o SNMPv3.
Eventos coalescentes	Active esta casilla para permitir que el origen del registro se fusione (agrupe) eventos. Los eventos coalescentes aumentan el número de eventos cuando el mismo evento ocurre varias veces en un corto intervalo de tiempo. Los eventos fusionados proporcionan a los administradores una forma de ver y determinar la frecuencia con la que se produce un único tipo de evento en la ficha Actividad de registro . Cuando esta casilla está desactivada, los eventos se muestran individualmente y la información no se agrupa. Los orígenes de registro nuevos y detectados automáticamente heredan el valor de esta casilla de verificación de la configuración del sistema de la ficha Admin . Los administradores pueden usar esta casilla para invalidar el comportamiento predeterminado de la configuración del sistema para un origen de registro individual.
Carga útil del evento de la tienda	Active esta casilla para permitir que el origen de registro almacene la información de carga de un evento. Los orígenes de registro nuevos y detectados automáticamente heredan el valor de esta casilla de verificación de la configuración del sistema de la ficha Admin . Los administradores pueden usar esta casilla para invalidar el comportamiento predeterminado de la configuración del sistema para un origen de registro individual.

Opciones de configuración del protocolo SNMPv3

Puede configurar un origen de registro para que utilice el protocolo SNMPv3 para recibir eventos SNMPv3.

El protocolo SNMPv3 es un protocolo entrante/pasivo.

En la tabla siguiente se describen los parámetros específicos del protocolo SNMPv3:

Tabla 43: Parámetros del protocolo SNMPv3
Parámetro	Descripción
Configuración del protocolo	SNMPv3
Identificador de origen de registro	Escriba un nombre único para el origen del registro.
Protocolo de autenticación	El algoritmo que desea utilizar para autenticar capturas SNMP3: SHA utiliza el algoritmo de hash seguro (SHA) como protocolo de autenticación. MD5 utiliza Message Digest 5 (MD5) como protocolo de autenticación.
Contraseña de autenticación	La contraseña para autenticar SNMPv3. Su contraseña de autenticación debe incluir un mínimo de 8 caracteres.
Protocolo de descifrado	Seleccione el algoritmo que desea utilizar para descifrar las capturas SNMPv3. DES AES128 AES192 AES256 Nota: Si selecciona AES192 o AES256 como algoritmo de descifrado, debe instalar la extensión de criptografía de Java. Para obtener más información acerca de la instalación de Java Cryptography Extension en McAfee ePolicy Orchestrator, consulte Instalación de Java Cryptography Extension en JSA.
Contraseña de descifrado	La contraseña para descifrar las capturas SNMPv3. Su contraseña de descifrado debe incluir un mínimo de 8 caracteres.
Usuario	Nombre de usuario que se utilizó para configurar SNMPv3 en el dispositivo.
Incluir OID en la carga del evento	Especifica que la carga de eventos SNMP se construye mediante pares nombre-valor en lugar del formato de carga de evento estándar. Cuando se seleccionan orígenes de registro específicos de la lista Tipos de orígenes de registro , se requieren OID en caso de carga para procesar eventos SNMPv2 o SNMPv3. Nota: Debe incluir OID en la carga del evento para procesar eventos SNMPv3 para McAfee ePolicy Orchestrator.

Opciones de configuración del protocolo REST API de Seculert Protection

Para recibir eventos de Seculert, configure un origen de registro para utilizar el protocolo REST API de Seculert Protection.

El protocolo REST API de Seculert Protection es un protocolo saliente/activo. Seculert Protection proporciona alertas sobre incidentes confirmados de malware que están comunicando o exfiltrando información activamente.

Antes de poder configurar un origen de registro para Seculert, debe obtener su clave API en el portal web de Seculert.

Inicie sesión en el portal web de Seclert.
En el panel, haga clic en la pestaña API .
Copie el valor de su clave de API.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo REST API de Seculert Protection:

Tabla 44: Parámetros del protocolo REST API de protección Seculert
Parámetro	Descripción
Tipo de origen de registro	Seculert
Configuración del protocolo	API REST de protección de Seculert
Identificador de origen de registro	Escriba la dirección IP o el nombre de host del origen de registro como identificador de eventos de Seculert. Cada origen de registro adicional que se crea cuando tiene varias instalaciones idealmente incluye un identificador único, como una dirección IP o un nombre de host.
Clave de API	La clave de API que se usa para autenticarse con la API de REST de Seculert Protection. El valor de la clave API se obtiene del portal web de Seclert.
Usar proxy	Cuando se configura un proxy, todo el tráfico del origen del registro viaja a través del proxy de JSA para acceder a la API de REST de Seculert Protection. Configure los campos IP o nombre de host del proxy, Puerto del proxy, Nombre de usuario del proxy y Contraseña del proxy . Si el proxy no requiere autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco.
Adquirir automáticamente certificados de servidor	Si selecciona Sí en la lista, JSA descarga el certificado y comienza a confiar en el servidor de destino.
Repetición	Especifique cuándo recopila datos el registro. El formato es M/H/D para minutos/horas/días. El valor predeterminado es 1 M.
Acelerador EPS	El límite superior para el número máximo de eventos por segundo (eps) para los eventos que se reciben de la API.
Habilitado	Active esta casilla para habilitar el origen del registro. De forma predeterminada, la casilla de verificación está activada.
Credibilidad	Seleccione la Credibilidad del origen del registro. El rango es 0 - 10. La credibilidad indica la integridad de un evento u ofensa según lo determinado por la calificación de credibilidad de los dispositivos fuente. La credibilidad aumenta si varias fuentes informan del mismo evento. El valor predeterminado es 5.
Recopilador de eventos de destino	Seleccione el recopilador de eventos de destino que desea usar como destino del origen del registro.
Eventos coalescentes	Active esta casilla para permitir que el origen del registro se fusione (agrupe) eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos coalescentes de la Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga útil del evento de la tienda	Active esta casilla para permitir que el origen de registro almacene información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Opciones de configuración del protocolo JDBC de Sophos Enterprise Console

Para recibir eventos de Sophos Enterprise Consoles, configure un origen de registro para utilizar el protocolo JDBC de Sophos Enterprise Console.

El protocolo JDBC de Sophos Enterprise Console es un protocolo saliente/activo que combina información de carga útil de registros de control de aplicaciones, registros de control de dispositivos, registros de control de datos, registros de protección contra manipulaciones y registros de firewall en la tabla vEventsCommonData. Si Sophos Enterprise Console no tiene Sophos Reporting Interface, puede utilizar el protocolo JDBC estándar para recopilar eventos antivirus.

En la siguiente tabla se describen los parámetros del protocolo JDBC de Sophos Enterprise Console:

Tabla 45: Parámetros del protocolo JDBC de Sophos Enterprise Console
Parámetro	Descripción
Configuración del protocolo	JDBC de Sophos Enterprise Console
Identificador de origen de registro	Escriba un nombre para el origen del registro. El nombre no puede contener espacios y debe ser único entre todos los orígenes de registro del tipo de origen de registro configurado para utilizar el protocolo JDBC. Si el origen de registro recopila eventos de un único dispositivo que tiene una dirección IP estática o un nombre de host, utilice la dirección IP o el nombre de host del dispositivo como todo o parte del valor Identificador de origen de registro ; por ejemplo, 192.168.1.1 o JDBC192.168.1.1. Si el origen de registro no recopila eventos de un único dispositivo que tenga una dirección IP estática o un nombre de host, puede usar cualquier nombre único para el valor Identificador de origen de registro ; por ejemplo, JDBC1, JDBC2.
Tipo de base de datos	MSDE
Nombre de la base de datos	El nombre de la base de datos debe coincidir con el nombre de la base de datos especificado en el campo Identificador de origen de registro .
Puerto	El puerto predeterminado para MSDE en Sophos Enterprise Console es 1168. El puerto de configuración de JDBC debe coincidir con el puerto de escucha de la base de datos de Sophos para comunicarse con JSA. La base de datos de Sophos debe tener habilitadas las conexiones TCP entrantes. Si se utiliza una instancia de base de datos con el tipo de base de datos MSDE, debe dejar el parámetro Port en blanco.
Dominio de autenticación	Si su red no utiliza ningún dominio, deje este campo en blanco.
Instancia de base de datos	La instancia de base de datos, si es necesario. Las bases de datos MSDE pueden incluir varias instancias de SQL Server en un servidor. Cuando se usa un puerto no estándar para la base de datos o los administradores bloquean el acceso al puerto 1434 para la resolución de la base de datos SQL, el parámetro Instancia de base de datos debe estar en blanco.
Nombre de la tabla	`vEventsCommonData`
Seleccionar lista	`*`
Comparar campo	`InsertedAt`
Usar declaraciones preparadas	Las instrucciones preparadas permiten al origen del protocolo configurar la instrucción SQL y, a continuación, ejecutar la instrucción SQL varias veces con diferentes parámetros. Por motivos de seguridad y rendimiento, la mayoría de las configuraciones pueden utilizar instrucciones preparadas. Desactive esta casilla para utilizar un método alternativo de consulta que no utilice instrucciones precompiladas.
Fecha y hora de inicio	Opcional. Fecha y hora de inicio para cuando el protocolo puede comenzar a sondear la base de datos. Si no se define una hora de inicio, el protocolo intenta sondear eventos después de guardar e implementar la configuración del origen de registro.
Intervalo de sondeo	El intervalo de sondeo, que es la cantidad de tiempo entre consultas a la base de datos. Puede definir un intervalo de sondeo más largo anexando H para horas o M para minutos al valor numérico. El intervalo máximo de sondeo es de 1 semana en cualquier formato de tiempo. Valores numéricos sin sondeo del designador H o M en segundos.
Acelerador EPS	El número de eventos por segundo (EPS) que no desea que supere este protocolo.
Usar comunicación de canalización con nombre	Si MSDE está configurado como el tipo de base de datos, los administradores pueden activar esta casilla para utilizar un método alternativo a una conexión de puerto TCP/IP. Las conexiones de canalización con nombre para bases de datos MSDE requieren el campo nombre de usuario y contraseña para utilizar un nombre de usuario y contraseña de autenticación de Windows y no el nombre de usuario y la contraseña de la base de datos. La configuración del origen de registro debe utilizar la canalización con nombre predeterminada en la base de datos MSDE.
Nombre del clúster de base de datos	Si utiliza SQL Server en un entorno de clúster, defina el nombre del clúster para asegurarse de que las comunicaciones de canalización con nombre funcionan correctamente.
Usar NTLMv2	Fuerza las conexiones MSDE a utilizar el protocolo NTLMv2 con servidores SQL Server que requieren autenticación NTLMv2. El valor predeterminado de la casilla de verificación está activado. La casilla de verificación Usar NTLMv2 no interrumpe las comunicaciones para conexiones MSDE que no requieren autenticación NTLMv2.

Opciones de protocolo EStreamer de Sourcefire Defense Center

El protocolo eStreamer de Sourcefire Defense Center ahora se conoce como protocolo Cisco Firepower eStreamer.

Descripción general del protocolo de redireccionamiento de Syslog

El protocolo de redireccionamiento de Syslog es un protocolo entrante/pasivo que se utiliza como alternativa al protocolo Syslog. Utilice este protocolo cuando desee que JSA identifique el nombre específico del dispositivo que envió los eventos. JSA puede escuchar pasivamente eventos de Syslog mediante TCP o UDP en cualquier puerto no utilizado que especifique.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo de redireccionamiento Syslog:

Tabla 46: Parámetros del protocolo de redireccionamiento syslog
Parámetro	Descripción
Configuración del protocolo	Redireccionamiento de Syslog
Identificador de origen de registro Regex	Introduzca un regex para analizar el identificador de origen de registro de la carga.
Identificador de origen de registro	Escriba un identificador de origen de registro para usarlo de forma predeterminada. Si el identificador de origen de registro Regex no puede analizar el identificador de origen de registro de una carga determinada mediante el regex que se proporciona, se utiliza el valor predeterminado.
Identificador de origen de registro Cadena de formato Regex	Cadena de formato para combinar grupos de captura desde el Regex del identificador de origen de registro. Por ejemplo: "$1" usaría el primer grupo de captura. "$1$2" concatenaría los grupos de captura 1 y 2. "$1 TEXTO $2" concatenaría el grupo de captura 1, el literal "TEXTO" y el grupo de captura 2. La cadena resultante se usa como el nuevo identificador de origen de registro.
Realizar búsqueda DNS en Regex Match	Active la casilla Realizar búsqueda DNS en Regex Match, para habilitar la funcionalidad DNS, que se basa en el identificador de origen de registro Regex y el valor del parámetro. De forma predeterminada, la casilla no está activada.
Puerto de escucha	Ingrese cualquier puerto no utilizado y configure su origen de registro para enviar eventos a JSA en ese puerto.
Protocolo	En la lista, seleccione TCP o UDP. El protocolo de redireccionamiento de Syslog admite cualquier número de conexiones syslog UDP, pero restringe las conexiones TCP a 2500. Si la secuencia syslog tiene más de 2500 orígenes de registro, debe especificar un segundo origen de registro y un número de puerto de escucha.
Habilitado	Active esta casilla para habilitar el origen del registro. De forma predeterminada, la casilla de verificación está activada.
Credibilidad	En la lista, seleccione la Credibilidad del origen del registro. El rango es 0 - 10. La credibilidad indica la integridad de un evento u ofensa según lo determinado por la calificación de credibilidad de los dispositivos fuente. La credibilidad aumenta si varias fuentes informan del mismo evento. El valor predeterminado es 5.
Recopilador de eventos de destino	En la lista, seleccione el recopilador de eventos de destino que desea utilizar como destino del origen de registro.
Eventos coalescentes	Active la casilla Eventos de fusión para permitir que el origen del registro se fusione (agrupe) eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos coalescentes de la Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga de evento entrante	En la lista Carga de eventos entrantes , seleccione el codificador de carga entrante para analizar y almacenar los registros.
Carga útil del evento de la tienda	Active la casilla Almacenar carga de evento para permitir que el origen del registro almacene información de la carga del evento. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Opciones de configuración del protocolo TCP Multiline Syslog

Puede configurar un origen de registro que utilice el protocolo syslog multilínea TCP. El protocolo syslog multilínea TCP es un protocolo entrante/pasivo que utiliza expresiones regulares para identificar el patrón de inicio y fin de los eventos multilínea.

El ejemplo siguiente es un evento multilínea:

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo syslog multilínea TCP:

Tabla 47: Parámetros del protocolo TCP Multiline Syslog
Parámetro	Descripción
Configuración del protocolo	TCP Multiline Syslog
Identificador de origen de registro	Escriba una dirección IP o un nombre de host para identificar el origen del registro. Para usar un nombre en su lugar, seleccione Usar nombre de origen personalizado y rellene los parámetros Source Name Regex y Source Name Formatting String . Nota: Estos parámetros sólo están disponibles si Mostrar opciones avanzadas está establecido en Sí.
Puerto de escucha	El puerto predeterminado es 12468.
Método de agregación	El valor predeterminado es Coincidencia de inicio/fin. Utilice ID-Linked si desea combinar eventos de varias líneas unidos por un identificador común.
Patrón de inicio de evento	Este parámetro está disponible cuando se establece el parámetro Método de agregación en Coincidencia de inicio/fin. Expresión regular (regex) necesaria para identificar el inicio de una carga de eventos multilínea TCP. Los encabezados de syslog suelen comenzar con una marca de fecha u hora. El protocolo puede crear un evento de una sola línea que se basa únicamente en un patrón de inicio de evento, como una marca de tiempo. Cuando solo hay disponible un patrón de inicio, el protocolo captura toda la información entre cada valor inicial para crear un evento válido.
Patrón de fin de evento	Este parámetro está disponible cuando se establece el parámetro Método de agregación en Coincidencia de inicio/fin. Esta expresión regular (regex) que se requiere para identificar el final de una carga de eventos multilínea TCP. Si el evento syslog termina con el mismo valor, puede utilizar una expresión regular para determinar el final de un evento. El protocolo puede capturar eventos que se basan únicamente en un patrón de fin de evento. Cuando solo hay disponible un patrón final, el protocolo captura toda la información entre cada valor final para crear un evento válido.
Patrón de ID de mensaje	Este parámetro está disponible cuando se establece el parámetro Aggregation Method en ID-Linked. Esta expresión regular (regex) necesaria para filtrar los mensajes de carga de eventos. Los mensajes de sucesos multilínea TCP deben contener un valor de identificación común que se repita en cada línea del mensaje de suceso.
Formateador de eventos	Use la opción Multilínea de Windows para eventos multilínea con formato específico para Windows.
Mostrar opciones avanzadas	El valor predeterminado es No. Seleccione Sí si desea personalizar los datos del evento.
Usar nombre de origen personalizado	Este parámetro está disponible cuando se establece Mostrar opciones avanzadas en Sí. Active la casilla si desea personalizar el nombre de origen con regex.
Nombre de origen Regex	Este parámetro está disponible cuando marca Usar nombre de origen personalizado. Expresión regular (regex) que captura uno o más valores de cargas de eventos controladas por este protocolo. Estos valores se usan junto con el parámetro Source Name Formatting String para establecer un valor de origen u origen para cada evento. Este valor de origen se usa para enrutar el evento a un origen de registro con un valor de identificador de origen de registro coincidente.
Cadena de formato de nombre de origen	Este parámetro está disponible cuando marca Usar nombre de origen personalizado. Puede usar una combinación de una o varias de las siguientes entradas para formar un valor de origen para las cargas de eventos que procesa este protocolo: Uno o varios grupos de captura del Regex de nombre de origen. Para hacer referencia a un grupo de captura, utilice la notación \x, donde x es el índice de un grupo de captura del nombre de origen Regex. La dirección IP de donde se originaron los datos del evento. Para hacer referencia a la IP del paquete, utilice el token $PIP$. Caracteres de texto literales. Toda la cadena de formato de nombre de origen puede ser texto proporcionado por el usuario. Por ejemplo, si el Regex del nombre de origen es 'hostname=(.*?)' y desea anexar hostname.com al valor del grupo de captura 1, establezca la cadena de formato de nombre de origen en\1.hostname.com. Si se procesa un evento que contiene hostname=ibm, el valor de origen de la carga del evento se establece en ibm.hostname.com y JSA enruta el evento a un origen de registro con ese identificador de origen de registro.
Uso como origen de registro de puerta de enlace	Este parámetro está disponible cuando se establece Mostrar opciones avanzadas en Sí. Cuando se selecciona, los eventos que fluyen a través del origen de registro se pueden enrutar a otros orígenes de registro, según el nombre de origen etiquetado en los eventos. Cuando esta opción no está seleccionada y Usar nombre de origen personalizado no está marcada, los eventos entrantes se etiquetan con un nombre de origen que corresponde al parámetro Identificador de origen de registro.
Aplanar eventos multilínea en una sola línea	Este parámetro está disponible cuando se establece Mostrar opciones avanzadas en Sí. Muestra un evento en una sola línea o en varias.
Conservar líneas enteras durante la agregación de eventos	Este parámetro está disponible cuando se establece Mostrar opciones avanzadas en Sí. Si establece el parámetro Aggregation Method en ID-Linked, puede habilitar Retain Entire Lines during Event Aggregation para descartar o mantener la parte de los eventos que precede a Message ID Pattern al concatenar eventos con el mismo patrón de ID.
Plazo	Número de segundos que se deben esperar a que se realicen cargas adicionales coincidentes antes de que el evento se inserte en la canalización de eventos. El valor predeterminado es de 10 segundos.
Habilitado	Active esta casilla para habilitar el origen del registro.
Credibilidad	Seleccione la credibilidad del origen del registro. El rango es 0 - 10. La credibilidad indica la integridad de un evento u ofensa según lo determinado por la calificación de credibilidad de los dispositivos fuente. La credibilidad aumenta si varias fuentes informan del mismo evento. El valor predeterminado es 5.
Recopilador de eventos de destino	Seleccione el recopilador de eventos de la implementación que debe hospedar el agente de escucha de Syslog multilínea TCP.
Eventos coalescentes	Active esta casilla para permitir que el origen del registro se fusione (agrupe) eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos coalescentes de la Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga útil del evento de la tienda	Active esta casilla para permitir que el origen de registro almacene información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Casos de uso de configuración del protocolo TCP Multiline Syslog

Para establecer el origen de registro de escucha de TCP Multiline Syslog para recopilar todos los eventos que se envían desde el mismo sistema, siga estos pasos:

Deje desactivado Usar como origen de registro de puerta de enlace y Usar nombre de origen personalizado .
Escriba la dirección IP del sistema que envía eventos en el parámetro Identificador de origen de registro .

Figura 1: Un origen de registro JSA recopila eventos enviados desde un único sistema a un agente de escucha de syslog multilínea TCP

Si varios sistemas envían eventos al agente de escucha TCP Multiline Syslog, o si un sistema intermediario reenvía eventos desde varios sistemas y desea que los eventos se enruten a orígenes de registro independientes en función de su encabezado syslog o dirección IP, active la casilla Usar como origen de registro de puerta de enlace.

Nota:
JSA comprueba cada evento en busca de un encabezado syslog compatible con RFC3164 o RFC5424 y, si está presente, utiliza la dirección IP o el nombre de host de ese encabezado como valor de origen del evento. El evento se enruta a un origen de registro con la misma IP o nombre de host que su identificador de origen de registro. Si no hay tal encabezado presente, JSA utiliza el valor IP de origen del paquete de red al que llegó el evento como el valor de origen del evento.

Figura 2: Los orígenes de registro JSA independientes recopilan eventos enviados desde varios sistemas a un agente de escucha TCP multilínea, mediante el encabezado syslog.

Figura 3: Los orígenes de registro JSA independientes recopilan eventos enviados desde varios sistemas y reenviados a través de un sistema intermedio a un agente de escucha TCP multilínea, mediante el encabezado syslog.

Para enrutar eventos a orígenes de registro independientes en función de un valor distinto de la IP o el nombre de host en su encabezado syslog, siga estos pasos:

Active la casilla Usar nombre de origen personalizado .
Configure un Regex de nombre de origen y una cadena de formato de nombre de origen para personalizar la forma en que JSA establece un valor de nombre de origen para enrutar los eventos recibidos a orígenes de registro.

Figura 4: Los orígenes de registro JSA independientes recopilan eventos enviados desde varios sistemas y reenviados a través de un sistema intermedio a un agente de escucha TCP multilínea, mediante el uso de la cadena de formato de nombre de origen Regex y de nombre de origen.

Opciones de configuración del protocolo TLS Syslog

Configure un origen de registro del protocolo TLS Syslog para recibir eventos syslog cifrados de hasta 50 dispositivos de red que admitan el reenvío de eventos TLS Syslog para cada puerto de escucha.

El protocolo TLS Syslog es un protocolo entrante/pasivo. El origen del registro crea un puerto de escucha para los eventos Syslog TLS entrantes. De forma predeterminada, los orígenes de registro de TLS Syslog usan el certificado y la clave generados por JSA. Hasta 50 dispositivos de red pueden reenviar eventos al puerto de escucha del origen de registro. Si crea más orígenes de registro con puertos de escucha únicos, puede configurar hasta 1000 dispositivos de red.

En la tabla siguiente se describen los parámetros específicos del protocolo TLS Syslog:

Tabla 48: Parámetros del protocolo TLS Syslog
Parámetro	Descripción
Configuración del protocolo	TLS Syslog
Identificador de origen de registro	Una dirección IP o un nombre de host para identificar el origen del registro.
Puerto de escucha TLS	El puerto de escucha TLS predeterminado es 6514.
Modo de autenticación	El modo que utiliza la conexión TLS para autenticarse. Si selecciona la opción TLS y autenticación de cliente , debe configurar los parámetros del certificado.
Autenticación de certificados de cliente	Seleccione una de las siguientes opciones de la lista: Lista de permitidos de CN y verificación del emisor Certificado de cliente en disco
Usar lista de permitidos de CN	Habilite este parámetro para usar una lista de permitidos CN.
Lista de permitidos de CN	La lista de permitidos de nombres comunes de certificados de cliente de confianza. Puede introducir texto sin formato o una expresión regular (regex). Para definir varias entradas, introduzca cada una en una línea separada.
Usar la verificación del emisor	Habilite este parámetro para usar la verificación del emisor.
Certificado de emisor raíz/intermedio o clave pública	Introduzca el certificado o la clave pública del emisor raíz/intermedio en formato PEM. Introduzca el certificado, empezando por: -----COMENZAR CERTIFICADO----- y terminando con: -----CERTIFICADO FINAL----- Introduzca la clave pública empezando por: -----COMENZAR CLAVE PÚBLICA----- y terminando con: -----FINALIZAR CLAVE PÚBLICA-----
Comprobar la revocación del certificado	Comprueba el estado de revocación del certificado con el certificado de cliente. Esta opción requiere conectividad de red con la dirección URL especificada por el campo Puntos de distribución CRL para el certificado de cliente en la extensión X509v3.
Comprobar el uso del certificado	Comprueba el contenido de las extensiones de certificado X509v3 en los campos de extensión Uso de clave y Uso extendido de claves . Para el certificado de cliente entrante, los valores allow de X509v3 Key Usage son digitalSignature y keyAgreement. El valor allow para el uso extendido de claves X509v3 es Autenticación de cliente web TLS. Esta propiedad está deshabilitada de forma predeterminada.
Ruta de acceso del certificado de cliente	La ruta absoluta al certificado de cliente en el disco. El certificado debe almacenarse en la consola de JSA o en el recopilador de eventos para este origen de registro. Nota: Asegúrese de que el archivo de certificado que especifique comience con: -----COMENZAR CERTIFICADO----- y termina con: -----CERTIFICADO FINAL-----
Tipo de certificado de servidor	Tipo de certificado que se va a usar para la autenticación del certificado de servidor y la clave de servidor. Seleccione una de las siguientes opciones en la lista Tipo de certificado de servidor : Certificado generado Certificado PEM y clave privada Cadena de certificados y contraseña PKCS12 Elija entre el almacén de certificados JSA
Certificado generado	Esta opción está disponible al configurar el Tipo de certificado. Si desea utilizar el certificado y la clave predeterminados generados por JSA para el certificado de servidor y la clave de servidor, seleccione esta opción. El certificado generado se denomina syslog-tls.cert en el directorio /opt/ qradar/conf/trusted_certificates/ del recopilador de eventos de destino al que está asignado el origen del registro.
Certificado único y clave privada	Esta opción está disponible al configurar el Tipo de certificado. Si desea utilizar un único certificado PEM para el certificado de servidor, seleccione esta opción y, a continuación, configure los siguientes parámetros: Ruta de certificado de servidor proporcionada: la ruta absoluta al certificado de servidor. Ruta de clave privada proporcionada: la ruta absoluta a la clave privada. Nota: La clave privada correspondiente debe ser una clave PKCS8 codificada en DER. La configuración falla con cualquier otro formato de clave
Certificado y contraseña PKCS12	Esta opción está disponible al configurar el Tipo de certificado. Si desea utilizar un archivo PKCS12 que contenga el certificado de servidor y la clave de servidor, seleccione esta opción y, a continuación, configure los siguientes parámetros: Ruta de certificado PKCS12: escriba la ruta de acceso del archivo PKCS12 que contiene el certificado de servidor y la clave de servidor. Contraseña PKCS12: escriba la contraseña para acceder al archivo PKCS12. Alias de certificado: si hay más de una entrada en el archivo PKCS12, se debe proporcionar un alias para especificar qué entrada usar. Si solo hay un alias en el archivo PKCS12, deje este campo en blanco.
Elija entre el almacén de certificados JSA	Esta opción está disponible al configurar el Tipo de certificado. Puede utilizar la aplicación Administración de certificados para cargar un certificado desde el almacén de certificados JSA. La aplicación es compatible con JSA 7.3.3 Fix Pack 6 o posterior, y JSA 7.4.2 o posterior.
Longitud máxima de la carga útil	La longitud máxima de la carga útil (caracteres) que se muestra para el mensaje TLS Syslog.
Número máximo de conexiones	El parámetro Maximum Connections controla cuántas conexiones simultáneas puede aceptar el protocolo TLS Syslog para cada recopilador de eventos. Para cada recopilador de eventos, hay un límite de 1000 conexiones, incluidos los orígenes de registro habilitados y deshabilitados, en la configuración del origen de registro de TLS Syslog. Propina: Los orígenes de registro detectados automáticamente comparten un agente de escucha con otro origen de registro. Por ejemplo, si usa el mismo puerto en el mismo recopilador de eventos, solo cuenta una vez para el límite.
Protocolos TLS	El protocolo TLS que va a usar el origen del registro. Seleccione la opción "TLS 1.2 o posterior".
Usar como origen de registro de puerta de enlace	Envía los eventos recopilados a través del motor de análisis de tráfico de JSA para detectar automáticamente el origen de registro adecuado. Si no desea definir un identificador de origen de registro personalizado para eventos, desactive la casilla de verificación. Cuando esta opción no está seleccionada y el patrón de identificador de origen de registro no está configurado, JSA recibe eventos como orígenes de registro genéricos desconocidos.
Patrón de identificador de origen de registro	Use la opción Usar como origen de registro de puerta de enlace para definir un identificador de origen de registro personalizado para los eventos que se están procesando y para que los orígenes de registro se detecten automáticamente cuando corresponda. Si no configura el patrón de identificador de origen de registro, JSA recibe eventos como orígenes de registro genéricos desconocidos. Utilice pares clave-valor para definir el identificador de origen de registro personalizado. La clave es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. Este valor también admite grupos de captura que se pueden usar para personalizar aún más la clave. Defina varios pares clave-valor escribiendo cada patrón en una línea nueva. Se evalúan varios patrones en el orden en que se enumeran. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. Los ejemplos siguientes muestran varias funciones de par clave-valor. Patrones - `VPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2= \s(ACCEPT)\s(OK)` Eventos - `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origen de registro personalizado resultante: `VPC-ACCEPT-OK`
Habilitar multilínea	Agregue varios mensajes en eventos únicos basados en una coincidencia de inicio/fin o una expresión regular vinculada al ID.
Método de agregación	Este parámetro está disponible cuando la opción Habilitar multilínea está activada. Vinculado a ID: procesa registros de eventos que contienen un valor común al principio de cada línea. Coincidencia de inicio/fin: agrega eventos basados en una expresión regular inicial o final (regex).
Patrón de inicio de evento	Este parámetro está disponible cuando Habilitar multilínea está activado y el método de agregación está establecido en Coincidencia de inicio/fin. La expresión regular (regex) es necesaria para identificar el inicio de una carga de eventos multilínea TCP. Los encabezados de syslog suelen comenzar con una marca de fecha u hora. El protocolo puede crear un evento de una sola línea que se basa únicamente en un patrón de inicio de evento, como una marca de tiempo. Cuando solo hay disponible un patrón de inicio, el protocolo captura toda la información entre cada valor inicial para crear un evento válido.
Patrón de fin de evento	Este parámetro está disponible cuando Habilitar multilínea está activado y el método de agregación está establecido en Coincidencia de inicio/fin. Esta expresión regular (regex) es necesaria para identificar el final de una carga de eventos multilínea TCP. Si el evento syslog termina con el mismo valor, puede utilizar una expresión regular para determinar el final de un evento. El protocolo puede capturar eventos que se basan únicamente en un patrón de fin de evento. Cuando solo hay disponible un patrón final, el protocolo captura toda la información entre cada valor final para crear un evento válido.
Patrón de ID de mensaje	Este parámetro está disponible cuando Habilitar multilínea está activado y el método de agregación se establece en Vinculado a ID. Esta expresión regular (regex) necesaria para filtrar los mensajes de carga de eventos. Los mensajes de sucesos multilínea TCP deben contener un valor de identificación común que se repita en cada línea del mensaje de suceso.
Plazo	Este parámetro está disponible cuando Habilitar multilínea está activado y el método de agregación se establece en Vinculado a ID. Número de segundos que se deben esperar a que haya más cargas coincidentes antes de que el evento se inserte en la canalización de eventos. El valor predeterminado es de 10 segundos.
Conservar líneas enteras durante la agregación de eventos	Este parámetro está disponible cuando Habilitar multilínea está activado y el método de agregación se establece en Vinculado a ID. Si establece el parámetro Aggregation Method en ID-Linked, puede habilitar Retain Entire Lines during Event Aggregation para descartar o mantener la parte de los eventos que precede a Message ID Pattern. Puede habilitar esta función solo cuando concatena eventos con el mismo patrón de identificador.
Aplanar eventos multilínea en una sola línea	Este parámetro está disponible cuando la opción Habilitar multilínea está activada. Muestra un evento en una sola línea o en varias.
Formateador de eventos	Este parámetro está disponible cuando la opción Habilitar multilínea está activada. Use la opción Multilínea de Windows para eventos multilínea con formato específico para Windows.

Nota:

Después de guardar el origen de registro, se crea un certificado syslog-tls para el origen de registro. El certificado debe copiarse en cualquier dispositivo de la red que esté configurado para reenviar syslog cifrado. Otros dispositivos de red que tengan un archivo de certificado syslog-tls y el número de puerto de escucha TLS se pueden detectar automáticamente como un origen de registro TLS Syslog.

Casos de uso de TLS Syslog
Varios orígenes de registro a través de TLS syslog

Casos de uso de TLS Syslog

Los siguientes casos de uso representan posibles configuraciones que puede crear:

Certificado de cliente en disco: puede proporcionar un certificado de cliente que permita al protocolo participar en la autenticación de cliente. Si selecciona esta opción y proporciona el certificado, las conexiones entrantes se validan con el certificado de cliente.
Lista de permitidos de CN y verificación del emisor –

Si seleccionó esta opción, debe copiar el certificado de emisor (con las extensiones de archivo .crt, .cert o .der) en el siguiente directorio:

/opt/qradar/conf/trusted_certificates

Este directorio se encuentra en el recopilador de eventos de destino al que está asignado el origen del registro.

Cualquier certificado de cliente entrante se comprueba mediante los siguientes métodos para comprobar si el certificado fue firmado por el emisor de confianza y otras comprobaciones. Puede elegir uno o ambos métodos para la autenticación de certificados de cliente:
- Lista de permitidos de CN: proporciona una lista de permitidos de nombres comunes de certificados de cliente de confianza. Puede introducir texto sin formato o una expresión regular. Defina varias entradas introduciendo cada una en una nueva línea.
- Verificación del emisor: proporcione un certificado de emisor raíz o intermedio de un certificado de cliente de confianza, o una clave pública en formato PEM.
- Comprobar revocación de certificados: comprueba el estado de revocación del certificado con el certificado de cliente. Esta opción necesita conectividad de red a la dirección URL especificada por el campo Puntos de distribución CRL en el certificado de cliente para la extensión X509v3.
- Comprobar uso del certificado: comprueba el contenido de las extensiones de certificado X509v3 en los campos de extensión Uso de clave y Uso extendido de claves. Para el certificado de cliente entrante, los valores allow de X509v3 Key Usage son digitalSignature y keyAgreement. El valor allow para el uso extendido de claves X509v3 es Autenticación de cliente web TLS.
Certificados de servidor proporcionados por el usuario: puede configurar su propio certificado de servidor y la clave privada correspondiente. El proveedor Syslog TLS configurado utiliza el certificado y la clave. Las conexiones entrantes se presentan con el certificado proporcionado por el usuario, en lugar del certificado TLS Syslog generado automáticamente.

Autenticación predeterminada: para utilizar el método de autenticación predeterminado, utilice los valores predeterminados de los parámetros Modo de autenticación y Tipo de certificado. Después de guardar el origen de registro, se crea un certificado syslog-tls para el dispositivo de origen de registro. El certificado debe copiarse en cualquier dispositivo de la red que reenvíe datos syslog cifrados.

Varios orígenes de registro a través de TLS syslog

Puede configurar varios dispositivos de la red para enviar eventos syslog cifrados a un único puerto de escucha TLS Syslog. El agente de escucha de TLS Syslog actúa como puerta de enlace, descifra los datos de eventos y los alimenta dentro de JSA a orígenes de registro adicionales configurados con el protocolo Syslog.

Cuando se utiliza el protocolo TLS Syslog, hay parámetros específicos que debe utilizar.

Varios dispositivos dentro de su red que admiten syslog cifrado TLS pueden enviar eventos cifrados a través de una conexión TCP al puerto de escucha TLS Syslog. Estos eventos cifrados son descifrados por el syslog TLS (puerta de enlace) y se inyectan en la canalización de eventos. Los eventos descifrados se enrutan a los orígenes de registro del receptor adecuados o al motor de análisis de tráfico para la detección automática.

Los eventos se enrutan dentro de JSA para registrar orígenes con un valor de identificador de origen de registro que coincide con el valor de origen de un evento. Para eventos syslog con un encabezado syslog compatible, RFC3164 RFC5425 o RFC5424, el valor de origen es la dirección IP o el nombre de host del encabezado. Para los eventos que no tienen un encabezado compatible, el valor de origen es la dirección IP desde la que se envió el evento syslog.

En JSA, puede configurar varios orígenes de registro con el protocolo Syslog para recibir eventos cifrados que se envían a un único puerto de escucha TLS Syslog desde varios dispositivos.

Nota:

La mayoría de los clientes habilitados para TLS requieren el servidor de destino o el certificado público del agente de escucha para autenticar la conexión del servidor. De forma predeterminada, un origen de registro de TLS Syslog genera un certificado denominado syslog-tls.cert en /opt/qradar/conf/trusted_certificates/ en el recopilador de eventos de destino al que está asignado el origen de registro. Este archivo de certificado debe copiarse a todos los clientes que realicen una conexión TLS.

Para agregar un origen de registro a través de TLS Syslog, vaya a Agregar un origen de registro.

Nota:

Debe repetir el procedimiento para agregar un origen de registro para cada dispositivo de la red. También puede agregar varios orígenes de registro del receptor de forma masiva desde la ventana Orígenes de registro. Consulte Agregar orígenes de registros masivos.

Opciones de configuración del protocolo UDP Multiline Syslog

Para crear un evento syslog de una sola línea a partir de un evento multilínea, configure un origen de registro para usar el protocolo multilínea UDP. El protocolo syslog multilínea UDP utiliza una expresión regular para identificar y volver a ensamblar los mensajes syslog multilínea en una carga de evento único.

El protocolo syslog multilínea UDP es un protocolo entrante/pasivo. El evento multilínea original debe contener un valor que se repita en cada línea para que una expresión regular capture ese valor e identifique y vuelva a ensamblar los mensajes syslog individuales que componen el evento multilínea. Por ejemplo, este evento multilínea contiene un valor repetido, 2467222, en el campo conn. Este valor de campo se captura para que todos los mensajes syslog que contengan conn=2467222 se combinen en un único evento.

En la tabla siguiente se describen los parámetros específicos del protocolo para el protocolo syslog multilínea UDP:

Tabla 49: Parámetros del protocolo UDP Multiline Syslog
Parámetro	Descripción
Configuración del protocolo	UDP Multiline Syslog
Puerto de escucha	El número de puerto predeterminado que utiliza JSA para aceptar eventos UDP Multiline Syslog entrantes es 517. Puede utilizar un puerto diferente en el intervalo 1 - 65535. Para editar una configuración guardada para usar un nuevo número de puerto, siga estos pasos: En el campo Puerto de escucha , escriba el nuevo número de puerto para recibir eventos UDP Multiline Syslog. Haga clic en Guardar. Haga clic en Implementar cambios para que este cambio sea efectivo. La actualización del puerto se ha completado y la recopilación de eventos comienza en el nuevo número de puerto.
Patrón de ID de mensaje	La expresión regular (regex) necesaria para filtrar los mensajes de carga de eventos. Los mensajes de eventos multilínea UDP deben contener un valor de identificación común que se repita en cada línea del mensaje de evento.
Formateador de eventos	El formateador de eventos que da formato a las cargas entrantes detectadas por el agente de escucha. Seleccione Sin formato para dejar la carga intacta. Seleccione Cisco ACS Multiline para formatear la carga útil en un evento de una sola línea. En el encabezado syslog de ACS, hay campos total_seg y seg_num. Estos dos campos se utilizan para reorganizar los eventos multilínea de ACS en un evento de una sola línea con el orden correcto cuando se selecciona la opción Cisco ACS Multiline.
Mostrar opciones avanzadas	El valor predeterminado es No. Seleccione Sí si desea configurar opciones avanzadas.
Usar nombre de origen personalizado	Active la casilla si desea personalizar el nombre de origen con regex.
Nombre de origen Regex	Utilice los parámetros Source Name Regex y Source Name Formatting String si desea personalizar la forma en que JSA determina el origen de los eventos procesados por esta configuración de UDP Multiline Syslog. En Source Name Regex, escriba un regex para capturar uno o más valores de identificación de las cargas de eventos controladas por este protocolo. Estos valores se utilizan con la cadena de formato de nombre de origen para establecer un valor de origen u origen para cada evento. Este valor de origen se usa para enrutar el evento a un origen de registro con un valor de identificador de origen de registro coincidente cuando la opción Usar como origen de registro de puerta de enlace está habilitada.
Cadena de formato de nombre de origen	Puede usar una combinación de una o varias de las siguientes entradas para formar un valor de origen para las cargas de eventos que procesa este protocolo: Uno o varios grupos de captura del Regex de nombre de origen. Para hacer referencia a un grupo de captura, utilice la notación \x, donde x es el índice de un grupo de captura del nombre de origen Regex. La dirección IP desde la que se originaron los datos del evento. Para hacer referencia a la IP del paquete, utilice el token $PIP$. Caracteres de texto literales. Toda la cadena de formato de nombre de origen puede ser texto proporcionado por el usuario. Por ejemplo, CiscoACS\1\2$PIP$, donde \1\2 significa primer y segundo grupo de captura del valor Regex del nombre de origen y $PIP$ es la IP del paquete.
Usar como origen de registro de puerta de enlace	Si esta casilla está desactivada, los eventos entrantes se envían al origen de registro con el identificador de origen de registro que coincide con la dirección IP desde la que se originaron. Cuando se marca, este origen de registro sirve como punto de entrada único o puerta de enlace para que los eventos multilínea de muchos orígenes entren en JSA y se procesen de la misma manera, sin necesidad de configurar un origen de registro UDP Multiline Syslog para cada origen. Los eventos con un encabezado syslog compatible con RFC3164 o RFC5424 se identifican como originarios de la IP o el nombre de host en su encabezado, a menos que el parámetro Source Name Formatting String esté en uso, en cuyo caso esa cadena de formato se evalúa para cada evento. Cualquier evento de este tipo se enruta a través de JSA en función de este valor capturado. Si existen uno o más orígenes de registro con un identificador de origen de registro correspondiente, se les asigna el evento según el orden de análisis configurado. Si no aceptan el evento, o si no existen orígenes de registro con un identificador de origen de registro coincidente, los eventos se analizan para la detección automática.
Aplanar eventos multilínea en una sola línea	Muestra un evento en una sola línea o en varias. Si se activa esta casilla, todos los caracteres de retorno de línea nueva y carro se quitan del evento.
Conserve líneas enteras durante la agregación de eventos	Elija esta opción para descartar o mantener la parte de los eventos que precede a Patrón de identificador de mensaje cuando el protocolo concatena eventos con el mismo patrón de identificador.
Plazo	Número de segundos que se deben esperar a que se realicen cargas adicionales coincidentes antes de que el evento se inserte en la canalización de eventos. El valor predeterminado es de 10 segundos.
Habilitado	Active esta casilla para habilitar el origen del registro.
Credibilidad	Seleccione la credibilidad del origen del registro. El rango es 0 - 10. La credibilidad indica la integridad de un evento u ofensa según lo determinado por la calificación de credibilidad de los dispositivos fuente. La credibilidad aumenta si varias fuentes informan del mismo evento. El valor predeterminado es 5.
Recopilador de eventos de destino	Seleccione el recopilador de eventos de la implementación que debe hospedar el agente de escucha de Syslog multilínea UDP.
Eventos coalescentes	Active esta casilla para permitir que el origen del registro se fusione (agrupe) eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos coalescentes de la Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga útil del evento de la tienda	Active esta casilla para permitir que el origen de registro almacene información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de Configuración del sistema en JSA. Al crear un origen de registro o editar una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Opciones de configuración del protocolo VMware vCloud Director

Para recopilar eventos de entornos virtuales de VMware vCloud Director, cree un origen de registro que utilice el protocolo VMware vCloud Director, que es un protocolo saliente/activo.

En la siguiente tabla se describen los parámetros específicos del protocolo VMware vCloud Director:

Tabla 50: Parámetros del protocolo de VMware vCloud Director
Parámetro	Descripción
Identificador de origen de registro	El nombre del origen de registro no puede incluir espacios y debe ser único entre todos los orígenes de registro de este tipo configurados con el protocolo VMware vCloud Director.
Configuración del protocolo	VMware vCloud Director
URL de vCloud	La URL configurada en el dispositivo VMware vCloud para acceder a la API de REST. La URL debe coincidir con la dirección configurada como el campo URL base de la API de REST pública de VCD en el servidor de vCloud. Por ejemplo, `https:<my.vcloud.server>/api`.
Nombre de usuario	El nombre de usuario necesario para acceder de forma remota a vCloud Server. Por ejemplo, `console/user@organization`. Si desea configurar una cuenta de solo lectura para usarla con JSA, cree un usuario de vCloud en su organización que tenga el permiso Solo acceso a la consola.
Contraseña	La contraseña necesaria para acceder de forma remota a vCloud Server.
Intervalo de sondeo (en segundos)	La cantidad de tiempo entre las consultas al servidor de vCloud para eventos nuevos. El intervalo de sondeo predeterminado es de 10 segundos.
Acelerador EPS	El número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.
Habilitar opciones avanzadas	Active esta opción para configurar más parámetros.
Tamaño de página de API	Si selecciona Habilitar opciones avanzadas, se muestra este parámetro. Número de registros que se van a devolver por llamada a la API. El máximo es 128.
Habilitar el SDK de vCloud heredado	Si selecciona Habilitar opciones avanzadas, se muestra este parámetro. Para conectarse a vCloud 5.1 o versiones anteriores, habilite esta opción.
Versión de la API de vCloud	Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar vCloud SDK heredado, este parámetro ya no se muestra. La versión de vCloud que se utiliza en la solicitud de API. Esta versión debe coincidir con una versión compatible con la instalación de vCloud. Utilice los siguientes ejemplos como ayuda para determinar qué versión es compatible con su instalación de vCloud: vCloud API 33.0 (vCloud Director 10.0) vCloud API 32.0 (vCloud Director 9.7) vCloud API 31.0 (vCloud Director 9.5) vCloud API 30.0 (vCloud Director 9.1) vCloud API 29.0 (vCloud Director 9.0)
Permitir certificados que no sean de confianza	Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar vCloud SDK heredado, este parámetro ya no se muestra. Cuando se conecte a vCloud 5.1 o posterior, debe habilitar esta opción para permitir certificados autofirmados que no sean de confianza. El certificado debe descargarse en formato binario codificado PEM o DER y luego colocarse en el directorio con una `.cert or .crt` extensión de `/opt/qradar/conf/ trusted_certificates/` archivo.
Usar proxy	Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar vCloud SDK heredado, este parámetro ya no se muestra. Si se accede al servidor mediante un proxy, active la casilla Usar proxy . Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure el campo IP del proxy o Nombre de host .
IP de proxy o nombre de host	Si selecciona Usar proxy, se muestra este parámetro. Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar vCloud SDK heredado, este parámetro ya no se muestra.
Puerto proxy	Si selecciona Usar proxy, se muestra este parámetro. Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar vCloud SDK heredado, este parámetro ya no se muestra. Número de puerto que se utiliza para comunicarse con el proxy. El valor predeterminado es 8080.
Nombre de usuario del proxy	Si selecciona Usar proxy, se muestra este parámetro. Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar vCloud SDK heredado, este parámetro ya no se muestra.
Contraseña de proxy	Si selecciona Usar proxy, se muestra este parámetro. Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar vCloud SDK heredado, este parámetro ya no se muestra.

EN ESTA PÁGINA

Opciones de configuración de protocolo

Opciones de configuración del protocolo REST API de Kona de Akamai

Opciones de configuración del protocolo de la API de REST de Amazon AWS S3

Registros de flujo de Amazon VPC

Especificaciones de Amazon VPC Flow Logs

Publicar registros de flujo en un bucket de S3

Crear la cola SQS que se utiliza para recibir notificaciones de ObjectCreated

Configuración de credenciales de seguridad para su cuenta de usuario de AWS

Opciones de configuración del protocolo de Amazon Web Services

Opciones de configuración del protocolo Apache Kafka

Configuración de Apache Kafka para habilitar la autenticación de cliente

Configuración de Apache Kafka para habilitar la autenticación SASL

Solución de problemas de Apache Kafka

Opciones de configuración del protocolo de la API de REST de Blue Coat Web Security Service

Opciones de configuración del protocolo de la API REST de Centrify Redrock

Opciones de configuración del protocolo Cisco Firepower EStreamer

Opciones de configuración del protocolo Cisco NSEL

Opciones de configuración del protocolo VMware de EMC

Opciones de configuración del protocolo reenviado

Opciones de configuración del protocolo Pub/Sub de Google Cloud

Configuración de Google Cloud Pub/Sub para integrarlo con JSA

Crear un tema de publicación/suscripción en Google Cloud Console

Crear una cuenta de servicio y una clave de cuenta de servicio en Google Cloud Console para acceder a la suscripción de pub/suscripción

Rellenar un tema Pub/Sub con datos

Añadir una fuente de registro de Google Cloud Pub/Sub en JSA

Opciones del protocolo de la API de REST de Google G Suite que informa

Preguntas frecuentes sobre el protocolo REST API de Google G Suite Informes de actividad

Opciones de configuración del protocolo del receptor HTTP

Opciones de configuración del protocolo JDBC

JDBC: Opciones de configuración del protocolo SiteProtector

Opciones de configuración del protocolo NSM de Juniper Networks

Opciones de configuración del protocolo Juniper Security Binary Log Collector

Opciones de configuración del protocolo de archivo de registro

Configurar JSA para usar FTPS para el protocolo de archivo de registro

Opciones de configuración del protocolo de Microsoft Azure Event Hubs

Configuración de Centros de eventos de Microsoft Azure para comunicarse con JSA

Solución de problemas del protocolo de Centros de eventos de Microsoft Azure

Excepción de formato de cadena de conexión no válida

Excepción de almacenamiento

Excepción de entidad ilegal

Excepción de sintaxis de URI

Excepción de clave no válida

Excepción de tiempo de espera

Otras excepciones

Preguntas más frecuentes sobre el protocolo Microsoft Azure Event Hubs

¿Por qué necesito una cuenta de almacenamiento para conectarme a un centro de eventos?

¿Por qué el protocolo Microsoft Azure Event Hubs usa la cuenta de almacenamiento?

¿Cuántos datos necesita almacenar la cuenta de almacenamiento?

¿Es necesario que mi cuenta de almacenamiento contenga eventos?

¿Qué aspecto tiene un archivo blob creado por el protocolo Microsoft Azure Event Hubs?

¿Puedo usar la misma cuenta de almacenamiento con otros centros de eventos?

¿Qué hago si el protocolo no recopila eventos?

¿Por qué necesito abrir los puertos para dos IP diferentes que tienen puertos diferentes?

¿Puedo recopilar eventos <Servicio o producto> mediante el protocolo Centros de eventos de Microsoft?

¿Qué hace la opción Formatear eventos de Azure Linux en Syslog?

Opciones de configuración del protocolo API REST de Microsoft Defender para puntos de conexión

Opciones de configuración del protocolo DHCP de Microsoft

Opciones de configuración del protocolo de Microsoft Exchange

Opciones de configuración del protocolo de API de Microsoft Graph Security

Configuración de la API de seguridad de Microsoft Graph para comunicarse con JSA

Opciones de configuración del protocolo Microsoft IIS

Opciones de configuración del protocolo de registro de eventos de seguridad de Microsoft

Registro de eventos de seguridad de Microsoft a través del protocolo MSRPC

Opciones de configuración del protocolo MQ

Opciones de configuración del protocolo de API de REST de seguimiento de mensajes de Office 365

Solución de problemas del protocolo de API de REST de seguimiento de mensajes de Office 365

Código de estado HTTP 401

Código de estado HTTP 404

Preguntas más frecuentes sobre el protocolo de API de REST de seguimiento de mensajes de Office 365

¿Qué permisos se requieren para recopilar registros de la API de REST de seguimiento de mensajes de Office 365?

¿Qué información contienen los eventos recopilados por un protocolo de API de REST de seguimiento de mensajes de Microsoft Office 365?

¿Para qué se utiliza la opción de retraso de eventos?

¿Cómo funciona la opción de retraso de eventos?

¿Qué valor utilizo para la opción de retraso de evento?

Opciones de configuración del protocolo REST API de Okta

Opciones de configuración del protocolo OPSEC/LEA

Opciones de configuración del protocolo de escucha de Oracle Database

Opciones de configuración del protocolo SDEE

Opciones de configuración del protocolo de cola SMB