| de opciones de configuración de protocolo

Opciones de configuración del protocolo de la API REST de Akamai Kona

Para recibir eventos de la plataforma Akamai Kona, configure un origen de registro para usar el protocolo DE API REST Kona de Akamai.

El protocolo de la API de REST Kona de Akamai es un protocolo saliente/activo que consulta la plataforma Akamai Kona y envía eventos a la consola JSA.

En la tabla siguiente se describen los parámetros que requieren valores específicos para la recopilación de eventos KONA DE AKAMAI.

Tabla 1: Parámetros de fuente de registro KONA DE AKAMAI
Parámetro	Valor
Tipo de fuente de registro	Akamai KONA
Configuración de protocolo	Akamai Kona REST API
Host	El valor de Host se proporciona durante el aprovisionamiento de SIEM OPEN API en el Centro de control Luna de Akamai. El host es una dirección URL base única que contiene información sobre los derechos adecuados para consultar los eventos de seguridad. Este parámetro es un campo de contraseña porque parte del valor contiene información secreta del cliente.
Token de cliente	El token de cliente es uno de los dos parámetros de seguridad. Este token se empareja con El secreto de cliente para crear las credenciales de cliente. Este token se puede encontrar después de aprovisionar la API SIEM OPEN de Akamai.
Secreto de cliente	El secreto de cliente es uno de los dos parámetros de seguridad. Este secreto se combina con el token de cliente para crear las credenciales de cliente. Este token se puede encontrar después de aprovisionar la API SIEM OPEN de Akamai.
Token de acceso	El token de acceso es un parámetro de seguridad que se utiliza con las credenciales de cliente para autorizar el acceso de cliente de API para recuperar los eventos de seguridad. Este token se puede encontrar después de aprovisionar la API SIEM OPEN de Akamai.
ID de configuración de seguridad	El ID de configuración de seguridad es el ID de cada configuración de seguridad para la que desea recuperar los eventos de seguridad. Este ID se puede encontrar en la sección Integración de SIEM de su portal Akamai Luna. Puede especificar varios IDs de configuración en una lista separada por comas. Por ejemplo: `configID1,configID2`.
Usar proxy	Si JSA accede a Amazon Web Service mediante un proxy, habilite Usar proxy. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos IP de proxy o Nombre de host .
Adquirir automáticamente un certificado de servidor	Seleccione Sí para que JSA descargue automáticamente el certificado del servidor y comience a confiar en el servidor de destino.
Repetición	Intervalo de tiempo entre las consultas de origen de registro a la API de SIEM de Akamai para eventos nuevos. El intervalo de tiempo puede ser en horas (H), minutos (M) o días (D). El valor predeterminado es de 1 minuto.
Aceleración de EPS	Número máximo de eventos por segundo. El valor predeterminado es 5000.

Opciones de configuración del protocolo de la API REST de AWS S3 de Amazon

El protocolo de la API DE REST de AWS de Amazon es un protocolo saliente/activo que recopila registros de AWS CloudTrail de buckets de Amazon S3.

Nota:

Es importante asegurarse de que no falten datos cuando recopila registros de Amazon S3 para usarlos con un DSM personalizado u otras integraciones no compatibles. Debido a la forma en que las API de S3 devuelven los datos, todos los archivos deben estar en un orden en aumento alfabético cuando se enumera la ruta completa. Asegúrese de que el nombre de la ruta completa incluya una fecha y hora completas en formato ISO9660 (ceros principales en todos los campos y un formato de fecha AAAA-MM-DD).

Tenga en cuenta la siguiente ruta de archivo:

<Name>test-bucket</Name> Prefix>Mylogs/ </Prefix><Marker> MyLogs/2018-8-9/2018-08-09T23-5925.log.g</Marker> <MaxKeys>1000</MaxKeys><IsTruncated> false<IsTruncated> </ListBucketResult>

El nombre completo del archivo en el marcador es MyLogs/2018-8-9/2018-08-09T23-59-25.955097.log.gz y el nombre de la carpeta se escribe como 2018-8-9 en lugar de 2018-08-09como . Este formato de fecha causa un problema cuando se presentan los datos del 10 de septiembre de 2018. Cuando se ordena, la fecha muestra como 2018-8-10 y los archivos no se ordenan cronológicamente:

2018-10-1

2018-11-1

2018-12-31

2018-8-10

2018-8-9

2018-9-1

Después de que los datos del 9 de agosto de 2018 entren en JSA, no volverá a ver los datos hasta el 1 de septiembre de 2018, ya que los ceros principales no se usaron en el formato de fecha. Después de septiembre, no volverá a ver datos hasta 2019. Los ceros principales se utilizan en la fecha (ISO 9660) para que este problema no se produzca.

Mediante el uso de ceros principales, los archivos y carpetas se ordenan cronológicamente:

2018-08-09

2018-08-10

2018-09-01

2018-10-01

2018-11-01

2018-12-01

2018-12-31

Un origen de registro puede recuperar datos de solo una región, así que utilice un origen de registro diferente para cada región. Incluya el nombre de la carpeta de región en la ruta de archivo para el valor del prefijo de directorio cuando utilice el método de recopilación de eventos de prefijo de directorio para configurar el origen del registro.

En la tabla siguiente se describen los valores de parámetros comunes para recopilar eventos de auditoría mediante el método de recopilación de prefijos de directorio o el método de recopilación de eventos SQS. Estos métodos de recopilación utilizan el protocolo de la API REST de AWS S3 de Amazon.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo de la API REST de AWS de Amazon:

Tabla 2: Parámetros de origen de registro comunes del protocolo DE LA API REST de AWS AWS S3 cuando se utiliza el método de prefijo de directorio o el método SQS
Parámetro	Descripción
Configuración de protocolo	Amazon AWS S3 REST API
Identificador de origen de registro	Escriba un nombre único para el origen del registro. El identificador de origen de registro puede ser cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede ser el mismo valor que el nombre del origen del registro. Si tiene más de un origen de registro amazon AWS CloudTrail configurado, es posible que desee identificar el primer origen de registro como `awscloudtrail1`, el segundo origen de registro como `awscloudtrail2`y el tercer origen de registro como `awscloudtrail3`.
Método de autenticación	ID de clave de acceso / clave secreta : autenticación estándar que se puede utilizar desde cualquier lugar. Función de IAM de la instancia EC2 : si su host administrado se ejecuta en una instancia AWS EC2, al elegir esta opción se utiliza el rol de IAM de los metadatos de la instancia asignados a la instancia para la autenticación; no se requieren claves. Este método solo funciona para hosts administrados que se ejecutan dentro de un contenedor AWS EC2.
Clave de acceso	El ID de clave de acceso que se generó cuando configuró las credenciales de seguridad para su cuenta de usuario de AWS Si seleccionó id. / clave secreta de clave de acceso o asumir el rol de IAM, se muestra el parámetro Clave de acceso .
Clave secreta	La clave secreta que se generó cuando configuró las credenciales de seguridad para su cuenta de usuario de AWS. Si seleccionó id. / clave secreta de clave de acceso o asumir el rol de IAM, se muestra el parámetro Clave secreta .
Asumir un rol de IAM	Habilite esta opción mediante la autenticación con una clave de acceso o un rol de IAM de instancia EC2. Luego, puede asumir temporalmente un rol de IAM para el acceso.
Asuma el ARN de rol	El ARN completo del rol a asumir. Debe comenzar con "arn:" y no puede contener ningún espacio de entrada o de seguimiento, ni espacios dentro del ARN. Si habilitó Asumir un rol de IAM, se mostrará el parámetro Asumir ARN de función .
Asumir el nombre de la sesión del rol	El nombre de la sesión de la función que se asumirá. El valor predeterminado es QRadarAWSSession. Déjelo como predeterminado si no necesita cambiarlo. Este parámetro solo puede contener caracteres alfanuméricos superiores y minúsculas, guiones bajos o cualquiera de los siguientes caracteres: =,.@- Si habilitó Asumir un rol de IAM, se mostrará el parámetro Asumir función nombre de sesión .
Formato de evento	AWS Cloud Trail JSON Firewall de red de AWS Registros de flujo de AWS VPC Cisco Umbrella CSB LÍNEA POR LÍNEA W3C
Nombre de región	La región en la que se encuentra la cola SQS o el bucket de AWS S3. Example: us-east-1, eu-west-1, ap-northeast-3
Usar como fuente de registro de puerta de enlace	Seleccione esta opción para que los eventos recopilados fluyan a través del motor de análisis de tráfico JSA y para que JSA detecte automáticamente uno o varios orígenes de registro.
Mostrar opciones avanzadas	Seleccione esta opción si desea personalizar los datos del evento.
Patrón de archivo	Esta opción está disponible cuando establece Mostrar opciones avanzadas en Sí. Escriba un regex para el patrón de archivo que coincida con los archivos que desea extraer; por ejemplo, .*?\.json\.gz
Directorio local	Esta opción está disponible cuando establece Mostrar opciones avanzadas en Sí. El directorio local del recopilador de eventos de destino. El directorio debe existir antes de que el protocolo de la API de REST de AWS S3 intente recuperar eventos.
URL del punto de conexión S3	Esta opción está disponible cuando establece Mostrar opciones avanzadas en Sí. La URL del punto de conexión que se utiliza para consultar la API de REST de AWS S3. Si la URL del punto de conexión es diferente a la predeterminada, escriba la URL del punto de conexión. El valor predeterminado es https:// s3.amazonaws.com
Usar acceso al estilo de ruta S3	Fuerza las solicitudes S3 a usar el acceso al estilo de ruta. AWS está en desuso de este método. Sin embargo, es posible que sea necesario cuando utilice otras API compatibles con S3.
Usar proxy	Si JSA accede a Amazon Web Service mediante un proxy, habilite Usar proxy. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure el campo IP de proxy o Nombre de host.
Repetición	Con qué frecuencia se realiza una encuesta para buscar nuevos datos. Si usa el método de recopilación de eventos SQS, las notificaciones de eventos SQS pueden tener un valor mínimo de 10 (segundos). Dado que la encuesta de cola SQS puede realizarse con más frecuencia, se puede usar un valor menor. Si utiliza el método de recopilación de eventos de prefijo de directorio, Use un prefijo específico tiene un valor mínimo de 60 (segundos) o 1M. Dado que cada solicitud de lista a un bucket de AWS S3 supone un costo para la cuenta propietaria del bucket, un valor de recurrencia más pequeño aumenta el costo. Escriba un intervalo de tiempo para determinar la frecuencia con la que se analiza el directorio remoto en busca de archivos de registro de eventos nuevos. El valor mínimo es de 1 minuto. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, 2H = 2 horas, 15 M = 15 minutos.
Aceleración de EPS	Número máximo de eventos por segundo que se envían a la canalización de flujo. El valor predeterminado es 5000. Asegúrese de que el valor del acelerador de EPS sea mayor que la velocidad de entrada o que el procesamiento de datos pueda quedarse atrás.

En la tabla siguiente se describen los valores de parámetros específicos para recopilar eventos de auditoría mediante el método de recopilación de eventos de prefijo de directorio:

Tabla 3: Parámetros de origen de registro del protocolo DE LA API REST de Amazon AWS S3 cuando se utiliza el método de prefijo de directorio
Parámetro	Descripción
Método de recopilación de S3	Seleccione Usar un prefijo específico.
Nombre del bucket	Nombre del bucket de AWS S3 en el que se almacenan los archivos de registro.
Prefijo de directorio	La ubicación del directorio raíz en el bucket de AWS S3 desde donde se recuperan los registros de CloudTrail; por ejemplo, AWSLogs/<`AccountNumber`>/CloudTrial/<`RegionName`>/ Para extraer archivos del directorio raíz de un bucket, debe usar una barra diagonal (/) en la ruta del archivo de prefijo de directorio . Nota: Al cambiar el valor del prefijo de directorio , se borra el marcador del archivo persistente. Todos los archivos que coincidan con el nuevo prefijo se descargan en la siguiente extracción. La ruta del archivo de prefijo de directorio no puede comenzar con una barra diagonal (/) a menos que solo se use la barra diagonal hacia adelante para recopilar datos desde la raíz del bucket. Si la ruta del archivo de prefijo de directorio se utiliza para especificar carpetas, no debe iniciar la ruta del archivo con una barra diagonal (por ejemplo, use `folder1/folder2` en su lugar).

En la tabla siguiente se describen los parámetros que requieren valores específicos para recopilar eventos de auditoría mediante el método de recopilación de eventos SQS:

Tabla 4: Parámetros de origen de registro del protocolo DE LA API REST de Amazon AWS S3 cuando se utiliza el método SQS
Parámetro	Descripción
Método de recopilación de S3	Seleccione Notificaciones de eventos SQS.
URL de cola SQS	La dirección URL completa que comienza con , para la cola SQS que está configurada para recibir notificaciones de eventos ObjectCreated desde S3.

Registros de flujo de Amazon VPC

La integración de JSA para los registros de flujo de Amazon VPC (nube privada virtual) recopila registros de flujo de VPC desde un bucket de Amazon S3 mediante una cola SQS.

Nota:

Esta integración admite el formato predeterminado para los registros de flujo de Amazon VPC y cualquier formato personalizado que contenga campos de la versión 3, 4 o 5. Sin embargo, todos los campos de la versión 2 deben estar incluidos en su formato personalizado. El formato predeterminado incluye estos campos:

${version} ${account-id} ${interface-id} ${srcaddr} ${dstaddr} ${srcport} ${dstport} $ {protocol} ${packets} ${bytes} ${start} ${end} ${action} ${log-status}

Para integrar los registros de flujo de Amazon VPC con JSA, realice los siguientes pasos:

Si las actualizaciones automáticas no están habilitadas, descargue e instale la versión más reciente de los registros de flujo de Amazon VPC PARA RPM desde el https://support.juniper.net/support/downloads/ en su consola JSA.
- RPM común de protocolo
- RPM DEL PROTOCOLO DE LA API REST DE AWS S3
Nota:
Si va a instalar rpm para habilitar campos de flujo de VPC relacionados con AWS adicionales en la ventana Detalles del flujo de actividad de la red QRadar, los siguientes servicios deben reiniciarse antes de que estén visibles. No es necesario reiniciar los servicios para que el protocolo funcione.
- hostcontexto
  
  Para reiniciar hostcontexto, consulte QRadar: servicio hostcontext y el impacto del reinicio de un servicio.
- Tomcat
  
  En la consola, haga clic en la ficha Administrador y, a continuación, haga clic en Advanced > Restart Web Server.
Configure sus registros de flujo de Amazon VPC para publicar los registros de flujo en un bucket de S3.
Cree la cola SQS que se utiliza para recibir ObjectCreated notificaciones del bucket de S3 que utilizó en el paso 2.
Cree credenciales de seguridad para su cuenta de usuario de AWS.

Agregue un origen de registro de flujos de Amazon VPC en la consola de JSA .

Nota:

Un procesador de flujo debe estar disponible y debe tener licencia para recibir los registros de flujo. A diferencia de otros orígenes de registro, los eventos del registro de flujo de AWS VPC no se envían a la pestaña Registrar actividad . Se envían a la pestaña Actividad de red .

En la tabla siguiente se describen los parámetros que requieren valores específicos para recopilar eventos de los registros de flujo de Amazon VPC:

Tabla 5: Parámetros de origen de registro de flujo de Amazon VPC
Parámetro	Valor
Tipo de fuente de registro	Un tipo de origen de registro personalizado
Configuración de protocolo	Amazon AWS S3 REST API
Recolector de eventos de destino	Recopilador de eventos o procesador de eventos que recibe y analiza los eventos de este origen de registro. Nota: Esta integración recopila eventos sobre los registros de flujo de Amazon VPC. No recopila flujos. No puede usar un recopilador de flujos ni un procesador de flujos como recolector de eventos de destino.
Identificador de origen de registro	Escriba un nombre único para el origen del registro. El identificador de origen de registro puede ser cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede ser el mismo valor que el nombre del origen del registro. Si configuró más de un origen de registro de flujo de Los registros de Amazon VPC, es posible que desee asignar un nombre de manera identificable. Por ejemplo, puede identificar el primer origen de registro como y el segundo origen `vpcflowlogs1` de registro como `vpcflowlogs2`.
Método de autenticación	ID de clave de acceso / Clave secreta Autenticación estándar que se puede usar desde cualquier lugar. Para obtener más información, consulte Configuración de credenciales de seguridad para su cuenta de usuario de AWS. Función de IAM de la instancia EC2 Si el host administrado se ejecuta en una instancia de AWS EC2, al elegir esta opción se utiliza el rol de IAM desde los metadatos de la instancia asignados a la instancia para la autenticación. No se necesitan claves. Este método solo funciona para hosts administrados que se ejecutan dentro de un contenedor AWS EC2.
Asumir el rol de IAM	Habilite esta opción mediante la autenticación con una clave de acceso o un rol de IAM de instancia EC2. Luego, puede asumir temporalmente un rol de IAM para el acceso. Esta opción solo está disponible cuando se utiliza el método de recopilación de notificaciones de eventos SQS. Para obtener más información acerca de cómo crear usuarios de IAM y asignar roles, consulte Creación de un usuario de administración de identidad y acceso (IAM) en la consola de administración de AWS.
Formato de evento	Registros de flujo de AWS VPC
Método de recopilación de S3	Notificaciones de eventos SQS
Nombre de host de destino de flujo de VPC	Nombre de host o dirección IP del procesador de flujo al que desea enviar los registros de VPC. Nota: Para que JSA acepte tráfico de flujo IPFIX, debe configurar un origen de flujo NetFlow/IPFIX que use UDP. La mayoría de las implementaciones pueden usar un default_Netflow origen de flujo y establecer el nombre de host de destino de flujo de VPC en el nombre de host de ese host administrado. Si el host administrado configurado con el origen de flujo NetFlow/IPFIX es el mismo que el recopilador de eventos de destino elegido anteriormente en la configuración, puede establecer el nombre de host de destino de flujo de VPC en `localhost`.
Puerto de destino de flujo de VPC	El puerto para el procesador de flujo al que desea enviar los registros de VPC. Nota: Este puerto debe ser el mismo que el puerto de supervisión especificado en el origen de flujo NetFlow. El puerto para el origen de flujo de default_Netflow es 2055
URL de cola SQS	La dirección URL completa que comienza con https:// para la cola SQS que está configurada para recibir notificaciones de eventos ObjectCreated desde S3.
Nombre de región	La región que está asociada con la cola SQS y el bucket S3. Ejemplo: us-east-1, eu-west-1, ap-northeast-3
Mostrar opciones avanzadas	El valor predeterminado es No. Seleccione Sí si desea personalizar los datos del evento.
Patrón de archivo	Esta opción está disponible cuando establece Mostrar opciones avanzadas en Sí. Escriba un regex para el patrón de archivo que coincida con los archivos que desea extraer; por ejemplo, `.*? \.json\.gz`
Directorio local	Esta opción está disponible cuando establece Mostrar opciones avanzadas en Sí. El directorio local del recopilador de eventos de destino. El directorio debe existir antes de que el AWS S3 REST API PROTOCOL intente recuperar eventos.
URL del punto de conexión S3	Esta opción está disponible cuando establece Mostrar opciones avanzadas en Sí. La URL de punto de conexión que se utiliza para consultar la API de REST de AWS. Si la URL del punto de conexión es diferente a la predeterminada, escriba la URL del punto de conexión. El valor predeterminado es http://s3.amazonaws.com.
Usar proxy	Si JSA accede a Amazon Web Service mediante un proxy, habilite Usar proxy. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy.
Repetición	La frecuencia con la que el protocolo de la API REST de AWS S3 de Amazon se conecta a la API de la nube de Amazon, comprueba si hay archivos nuevos y, si los existen, los recupera. Cada acceso a un bucket de AWS S3 supone un costo para la cuenta propietaria del bucket. Por lo tanto, un valor de recurrencia más pequeño aumenta el costo. Escriba un intervalo de tiempo para determinar la frecuencia con la que se analiza el directorio remoto en busca de archivos de registro de eventos nuevos. El valor mínimo es de 1 minuto. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, 2H = 2 horas, 15 M = 15 minutos.
Aceleración de EPS	Número máximo de eventos por segundo que se envían a la canalización de flujo. El valor predeterminado es 5000. Asegúrese de que el valor del acelerador de EPS sea mayor que la velocidad de entrada o que el procesamiento de datos pueda quedarse atrás.

Para enviar registros de flujo de VPC a la aplicación JSA Cloud Visibility para su visualización, realice los siguientes pasos:
1. En la consola, haga clic en la ficha Administrador y, a continuación, haga clic en Configuración del sistema > Configuración del sistema.
2. Haga clic en el menú Configuración del procesador de flujo y, en el campo de codificación de campo adicional IPFix , elija el formato TLV o TLV y Carga .
3. Haga clic en Guardar.
4. En la barra de menú de la pestaña Administrador , haga clic en Implementar configuración completa y confirme los cambios.
  
  Advertencia:
  Cuando implemente la configuración completa, se reiniciarán los servicios JSA. Durante este tiempo, no se recopilan eventos ni flujos, y no se generan infracciones.
5. Actualice su navegador.

Especificaciones de registros de flujo de Amazon VPC

En la tabla siguiente se describen las especificaciones para recopilar registros de flujo de Amazon VPC.

Tabla 6: Especificaciones de registros de flujo de Amazon VPC
Parámetro	Valor
Fabricante	Amazon
Nombre de DSM	Un tipo de origen de registro personalizado
Nombre de archivo RPM	PROTOCOLO DE LA API DE REST de AWS S3
Versiones compatibles	Registros de flujo v5
Protocolo	PROTOCOLO DE LA API DE REST de AWS S3
Formato de evento	IPFIX mediante el uso de fuentes de flujo JSA
Tipos de eventos registrados	Flujos de red
¿Se detecta automáticamente?	No
¿Incluye identidad?	No
¿Incluye propiedades personalizadas?	No
Más información	(https:// docs.aws.amazon.com/vpc/latest/userguide/flowlogs. html)

Publicación de registros de flujo en un bucket de S3

Complete estos pasos para publicar registros de flujo en un bucket de S3.

Inicie sesión en la consola de administración de AWS y, luego, en el menú Servicios , vaya al panel de VPC.
Active la casilla de verificación para el ID de VPC para el que desea crear registros de flujo.
Haga clic en la ficha Registros de flujo .

Haga clic en Crear registro de flujo y, a continuación, configure los siguientes parámetros:

Tabla 7: Crear parámetros de registro de flujo
Parámetro	Descripción
Filtro	Seleccione Aceptar, Rechazar o Todo.
Destino	Seleccione Enviar a un bucket de S3.
S3 Buket ARN	Escriba el ARN para el bucket de S3. arn:aws;s3:::myTestBucket arn:aws:s3:::myTestBucket/testFlows

Haga clic en Crear.

Cree la cola SQS que se utiliza para recibir notificaciones ObjectCreated.

Cree la cola SQS que se utiliza para recibir notificaciones ObjectCreated

Debe crear una cola SQS y configurar las notificaciones de S3 ObjectCreated en la consola de administración de AWS cuando utilice el protocolo DE API de AWS REST de Amazon.

Para crear la cola SQS y configurar las notificaciones de S3 ObjectCreated, consulte la documentación de la API de REST de AWS acerca de La creación de notificaciones de ObjectCreated.

Configuración de credenciales de seguridad para su cuenta de usuario de AWS

Debe tener su clave de acceso de cuenta de usuario de AWS y los valores de clave de acceso secreto antes de poder configurar un origen de registro en JSA.

Inicie sesión en la consola de IAM (https://console.aws.amazon.com/iam/)..
Seleccione Usuarios en el panel de navegación izquierdo y, a continuación, seleccione su nombre de usuario en la lista.
Para crear las claves de acceso, haga clic en la ficha Credenciales de seguridad y, en la sección Claves de acceso , haga clic en Crear clave de acceso.
Descargue el archivo CSV que contiene las claves o copie y guarde las claves.

Nota:
Guarde el ID de clave de acceso y la clave de acceso secreta. Los necesita cuando configure un origen de registro en JSA.

Solo puede ver la clave de acceso secreta cuando se crea.

Opciones de configuración del protocolo de Amazon Web Services

El protocolo Amazon Web Services para JSA recopila registros de AWS CloudTrail de los registros de Amazon CloudWatch.

En la tabla siguiente se describen los parámetros específicos del protocolo de Amazon Web Services:

Tabla 8: Parámetros de origen de registro de Amazon Web Services
Parámetro	Descripción
Configuración de protocolo	Seleccione Amazon Web Services en la lista Configuración de protocolo.
Método de autenticación	ID de clave de acceso / clave secreta : autenticación estándar que se puede utilizar desde cualquier lugar. Función de IAM de la instancia EC2 : si su host administrado de JSA se ejecuta en una instancia AWS EC2, al elegir esta opción se utiliza el rol de IAM desde los metadatos que se asignan a la instancia para la autenticación; no se requieren claves. Este método solo funciona para hosts administrados que se ejecutan dentro de un contenedor AWS EC2.
Clave de acceso	El ID de clave de acceso que se generó cuando configuró las credenciales de seguridad para su cuenta de usuario de AWS. Si seleccionó id. de clave de acceso / clave secreta, se mostrará el parámetro Clave de acceso .
Clave secreta	La clave secreta que se generó cuando configuró las credenciales de seguridad para su cuenta de usuario de AWS. Si seleccionó id. de clave de acceso / clave secreta, se mostrará el parámetro Clave de acceso .
Regiones	Active la casilla de verificación para cada región que esté asociada con Amazon Web Service desde la que desea recopilar registros.
Otras regiones	Escriba los nombres de cualquier región adicional que esté asociada con Amazon Web Service desde la que desea recopilar registros. Para recopilar desde varias regiones, utilice una lista separada por comas, como se muestra en el ejemplo siguiente: `region1,region2`
Servicio de AWS	El nombre de Amazon Web Service. En la lista aws Service , seleccione CloudWatch Logs.
Grupo de registros	El nombre del grupo de registros de Amazon CloudWatch desde el que desea recopilar registros. Nota: Un único origen de registro recopila los registros de CloudWatch de un grupo de registros a la vez. Si desea recopilar registros de varios grupos de registros, cree un origen de registro independiente para cada grupo de registros
Flujo de registro (opcional)	El nombre de la secuencia de registro dentro de un grupo de registros. Si desea recopilar registros de todas las secuencias de registro de un grupo de registros, deje este campo en blanco.
Patrón de filtro (opcional)	Escriba un patrón para filtrar los eventos recopilados. Este patrón no es un filtro regex. Solo se recopilan de CloudWatch Logs los eventos que contienen el valor exacto que especificó. Si escribe ACCEPT como valor de patrón de filtro, solo se recopilan los eventos que contienen la palabra ACCEPT, como se muestra en el ejemplo siguiente. {LogStreamName: LogStreamTest,Timestamp: 0, Message: ACCEPT OK,IngestionTime: 0,EventId: 0}
Extraer evento original	Para reenviar solo el evento original que se agregó a los registros de CloudWatch a JSA, seleccione esta opción. Los registros de CloudWatch envuelven los eventos que reciben con metadatos adicionales. El evento original es el valor de la clave de mensaje que se extrae del registro de CloudWatch. El siguiente ejemplo de evento de registro de CloudWatch muestra el evento original que se extrae del texto en negrita del registro de CloudWatch: {"owner":"123456789012","subscriptionFilters": ["allEvents"],"logEvents": [{"id":"35093963143971327215510178578576502306458824699048362100","mes sage":"{\"eventVersion\":\"1.05\",\"userIdentity\": {\"type\":\"AssumedRole\",\"principalId\":\"ARO1GH58EM3ESYDW3XHP6:test _session\",\"arn\":\"arn:aws:sts::123456789012:assumed-role/ CVDevABRoleToBeAssumed/ test_visibility_session\",\"accountId\":\"123456789012\",\"accessKeyId \":\"ASIAXXXXXXXXXXXXXXXX\",\"sessionContext\":{\"sessionIssuer\": {\"type\":\"Role\",\"principalId\":\"AROAXXXXXXXXXXXXXXXXX\",\"arn\":\ "arn:aws:iam::123456789012:role/ CVDevABRoleToBeAssumed\",\"accountId\":\"123456789012\",\"userName\":\ "CVDevABRoleToBeAssumed\"},\"webIdFederationData\":{},\"attributes\": {\"mfaAuthenticated\":\"false\",\"creationDate\":\"2019-11-13T17:01:54 Z\"}}},\"eventTime\":\"2019-11-13T17:43:18Z\",\"eventSource\":\"cloudt rail.amazonaws.com\",\"eventName\":\"DescribeTrails\",\"awsRegion\":\" apnortheast- 1\",\"sourceIPAddress\":\"192.0.2.1\",\"requestParameters\": null,\"responseElements\":null,\"requestID\":\"41e62e80- b15d-4e3f-9b7e-b309084dc092\",\"eventID\":\"904b3fda-8e48-46c0-a923- f1bb2b7a2f2a\",\"readOnly\":true,\"eventType\":\"AwsApiCall\",\"recipi entAccountId\":\"123456789012\"}","timestamp":1573667733143}],"message Type":"DATA_MESSAGE","logGroup":"CloudTrail/ DefaultLogGroup","logStream":"123456789012_CloudTrail_us-east-2_2"}
Usar como fuente de registro de puerta de enlace	Si no desea definir un identificador de origen de registro personalizado para los eventos, asegúrese de que esta casilla de verificación esté desactivada.
Patrón de identificador de origen de registro	Si seleccionó Usar como fuente de registro de puerta de enlace, utilice esta opción para definir un identificador de origen de registro personalizado para los eventos que se están procesando. Utilice pares clave-valor para definir el identificador de origen de registro personalizado. La clave es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. Este valor también admite grupos de captura que se pueden usar para personalizar aún más la clave. Defina varios pares clave-valor escribiendo cada patrón en una nueva línea. Se evalúan varios patrones en el orden en que se enumeran. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. En los siguientes ejemplos, se muestran varias funciones de par clave-valor. Patrones : VPC=\sREJECT\sFAILURE $1=\s(RECHAZAR)\sOK VPC-$1-$2=\s(ACCEPT)\s(OK) Eventos - {LogStreamName: LogStreamTest,Marca de hora: 0,Mensaje: ACEPTAR, IngestiónTime: 0,EventId: 0} Identificador de origen de registro personalizado resultante : VPC-ACCEPT-OK
Usar proxy	Si JSA accede a Amazon Web Service mediante un proxy, seleccione esta opción. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
Adquirir automáticamente certificados de servidor	Seleccione Sí para que JSA descargue automáticamente el certificado del servidor y comience a confiar en el servidor de destino. Puede usar esta opción para inicializar un origen de registro recién creado y obtener certificados, o para reemplazar certificados vencidos.
Aceleración de EPS	El límite superior para la cantidad máxima de eventos por segundo (EPS). El valor predeterminado es 5000. Si la opción Usar como fuente de registro de puerta de enlace está seleccionada, este valor es opcional. Si el valor del parámetro Throttle EPS se deja en blanco, JSA no impone ningún límite de EPS.

Opciones de configuración del protocolo Apache Kafka

JSA usa el protocolo Apache Kafka para leer flujos de datos de eventos de temas en un clúster de Kafka que usa la API de consumidor. Un tema es una categoría o nombre de feed en Kafka donde se almacenan y publican los mensajes. El protocolo Apache Kafka es un protocolo saliente o activo, y se puede usar como fuente de registro de puerta de enlace mediante un tipo de origen de registro personalizado.

El protocolo Apache Kafka admite temas de casi cualquier escala. Puede configurar varios hosts de recopilación JSA (EP/ECs) para que se recopilen a partir de un solo tema; por ejemplo, todos los firewalls. Para obtener más información, consulte la documentación de Kafka.

En la tabla siguiente se describen los parámetros específicos del protocolo de Apache Kafka:

Tabla 9: Parámetros de protocolo de Apache Kafka
Parámetro	Descripción
Lista de servidores de Bootstrap	El <hostname/ip>:<port> el servidor de arranque (o servidores). Se pueden especificar varios servidores en una lista separada por comas, como en este ejemplo: `hostname1:9092,10.1.1.1:9092`
Grupo de consumidores	Una cadena o etiqueta únicas que identifica al grupo de consumidores al que pertenece este origen de registro. Cada registro que se publica en un tema de Kafka se entrega a una instancia de consumidor dentro de cada grupo de consumidores suscriptores. Kafka usa estas etiquetas para equilibrar los registros en todas las instancias de consumidor de un grupo.
Método de suscripción a temas	El método que se utiliza para suscribirse a temas de Kafka. Utilice la opción Lista de temas para especificar una lista específica de temas. Utilice la opción Coincidencia de patrón regex para especificar una expresión regular que coincida con los temas disponibles.
Lista de temas	Una lista de nombres de temas a los que se debe suscribir. La lista debe estar separada por comas; por ejemplo: `Topic1,Topic2,Topic3`. Esta opción solo se muestra cuando la lista de temas está seleccionada en la opción Método de suscripción a temas .
Patrón de filtro de temas	Una expresión regular que coincide con los temas a los que desea suscribirse. Esta opción solo se muestra cuando la coincidencia de patrón Regex está seleccionada en la opción Método de suscripción a tema .
Usar autenticación SASL	Esta opción muestra las opciones de configuración de autenticación SASL. Cuando se usa sin autenticación de cliente, debe colocar una copia del certificado de servidor en el `/opt/qradar/conf/ trusted_certificates/` directorio.
Usar autenticación de cliente	Muestra las opciones de configuración de autenticación del cliente.
/Key Store/Tipo de almacén de confianza	El formato de archivo de archivo para el almacén de claves y el tipo de almacén de confianza. Las siguientes opciones están disponibles para el formato de archivo de archivo: JKS PKCS12
Nombre de archivo de Trust Store	El nombre del archivo truststore. La truststore debe colocarse en /opt/qradar/conf/trusted_certificates/kafka/. El archivo contiene el nombre de usuario y la contraseña.
Nombre de archivo de Keystore	El nombre del archivo de almacén de claves. El almacén de claves debe colocarse en /opt/qradar/conf/trusted_certificates/kafka/. El archivo contiene el nombre de usuario y la contraseña.
Usar como fuente de registro de puerta de enlace	Esta opción permite que los eventos recopilados pasen por el motor de análisis de tráfico JSA y detecten automáticamente los orígenes de registro adecuados.
Patrón de identificador de origen de registro	Define un identificador de origen de registro personalizado para los eventos que se están procesando, si la casilla Usar como fuente de registro de puerta de enlace está activada. Los pares clave-valor se utilizan para definir el identificador de origen de registro personalizado. La clave es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. Este valor también admite grupos de captura que se pueden usar para personalizar aún más la clave. Los pares de valor de varias claves se definen escribiendo cada patrón en una nueva línea. Se evalúan varios patrones en el orden en que se enumeran. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. En los siguientes ejemplos, se muestran varias funciones de par clave-valor. Patrones `VPC=\sREJECT\sFAILURE` `$1=\s(REJECT)\sOK` `VPC-$1-$2=\s(ACCEPT)\s(OK)` Eventos `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origen de registro personalizado resultante `VPC-ACCEPT-OK`
Reemplazo de la secuencia de caracteres	Reemplaza secuencias de caracteres literales específicas en la carga de eventos a caracteres reales. Hay disponibles una o más de las siguientes opciones: Carácter de nueva línea (CR LF) (\r\n) Carácter de fuente de línea (\n) Carácter de devolución de transporte (\r) Carácter de pestaña (\t) Carácter de espacio (\s)
Aceleración de EPS	Número máximo de eventos por segundo (EPS). No se aplica ninguna limitación si el campo está vacío.

Configuración de Apache Kafka para habilitar la autenticación de cliente
Configuración de Apache Kafka para habilitar la autenticación SASL
Solución de problemas de Apache Kafka

Configuración de Apache Kafka para habilitar la autenticación de cliente

En esta tarea se explica cómo habilitar la autenticación de cliente con Apache Kafka.

Asegúrese de que los puertos que utiliza el servidor Kafka no estén bloqueados por un firewall.

Para habilitar la autenticación de cliente entre los consumidores de Kafka (JSA) y un corredor de Kafka, se deben generar una clave y un certificado para cada agente y cliente del clúster. Los certificados también deben estar firmados por una autoridad de certificación (CA).

En los pasos siguientes, puede generar una CA, firmar los certificados de cliente y agente con ella, y agregarla a las tiendas de confianza de cliente y agente. También puede generar las claves y certificados mediante el uso de la herramienta de claves Java y OpenSSL. Alternativamente, se puede usar una CA externa junto con varias CA, una para firmar certificados de agente y otra para certificados de cliente.

Genere el almacén de confianza, el almacén de claves, la clave privada y el certificado de CA.

Nota:
Reemplace PASSWORD, VALIDITY, SERVER_ALIAS y CLIENT_ALIAS en los siguientes comandos con los valores adecuados.
1. Genere almacén de claves del servidor.
  
  Nota:
  El nombre común (CN) de los certificados de agente debe coincidir con el nombre de dominio completo (FQDN) del servidor/host. El cliente de Kafka Consumer que usa JSA compara el CN con el nombre de dominio DNS para asegurarse de que se está conectando al agente correcto en lugar de uno malicioso. Asegúrese de ingresar el FQDN para el valor CN/Primer y Apellido cuando genere el almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -validity VALIDITY -genkey
2. Generar certificado de CA.
  
  Nota:
  Este certificado de CA se puede usar para firmar todos los certificados de agente y cliente.
  
  openssl req -new -x509 -keyout ca-key -out ca-cert -days VALIDITY
3. Cree un almacén de confianza del servidor e importe certificado de CA.
  
  keytool -keystore kafka.server.truststore.jks -alias CARoot -import -file ca-cert
4. Cree el almacén de confianza del cliente e importe certificado de CA.
  
  keytool -keystore kafka.client.truststore.jks -alias CARoot -import -file ca-cert
5. Genere un certificado de servidor y firme con la CA.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -certreq -file cert-file openssl x509 -req -CA ca-cert -CAkey ca-key -in cert-file -out cert-signed -days VALIDITY -CAcreateserial
6. Importe certificado de CA en el almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias CARoot -import -file ca-cert
7. Importe certificado de servidor firmado al almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -import -file cert-signed
8. Exporte el certificado de servidor al archivo BINARIO DER.
  
  Nota:
  El keytool -exportcert comando usa el formato DER de forma predeterminada. Coloque el certificado en el directorio trusted_certificates/ de cualquier EP que se comunique con Kafka. Necesita el certificado de servidor para cada servidor de arranque que utilice en la configuración. De lo contrario, JSA rechaza la conexión TLS con el servidor.
  
  keytool -exportcert -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -file SEVER_ALIAS.der
9. Genere un almacén de claves del cliente.
  
  keytool -keystore kafka.client.keystore.jks -alias CLIENT_ALIAS -validity VALIDITY -genkey
10. Genere un certificado de cliente y firme con la CA.
  
  keytool -keystore kafka.client.keystore.jks -alias CLIENT_ALIAS -certreq -file client-cert-file
  
  openssl x509 -req -CA-cert -CAkey ca-key -in client-cert-file -out client-cert-firmado -días VALIDEZ -CAcreateserial
11. Importe el certificado de CA en el almacén de claves del cliente.
  
  keytool -keystore kafka.client.keystore.jks -alias CARoot -import -file ca-cert
12. Importe certificado de cliente firmado al almacén de claves del cliente.
  
  keytool -keystore kafka.client.keystore.jks -alias CLIENT_ALIAS -import -file client-cert-signed
13. Copie el almacén de claves del cliente y el almacén de confianza, y a JSA.
  1. Copie el kafka.client.keystore.jks y kafka.client.truststore.jks a /opt/qradar/conf/trusted_certificates/kafka/ en cada uno de los procesadores de eventos para los que está configurado el origen del registro.
  2. Copie los certificados de servidor <filename>.der que se generaron para cada agente a /opt/qradar/conf/trusted_certificates/.
Configure los corredores de Kafka para la autenticación de cliente.
1. Busque la sección Configuración del servidor de socket .
2. Complete 1 de las siguientes opciones:
  - Si no utiliza la autenticación SASL, cambie listeners=PLAINTEXT://:<port> a listeners=SSL://:<PORT> y agregue security.inter.broker.protocol=SSL.
  - Si utiliza la autenticación SASL, cambie listeners=PLAINTEXT://:<port> a listeners=SSL://:<PORT> y agregue security.inter.broker.protocol=SASL_SSL
3. Cambie listeners=PLAINTEXT://:<port> a listeners=SSL://:<PORT>.
4. Agregue las siguientes propiedades para forzar la comunicación cifrada entre los corredores y entre los corredores y los clientes. Ajuste las rutas, los nombres de archivos y las contraseñas a medida que las necesite. Estas propiedades son el almacén de confianza y el almacén de claves del servidor:
  
  ssl.client.auth=required
  
  ssl.keystore.location=/somefolder/kafka.server.keystore.jks
  
  ssl.keystore.password=test1234
  
  ssl.key.password=test1234
  
  ssl.truststore.location=/somefolder/kafka.server.truststore.jks
  
  ssl.truststore.password=test1234
  
  Nota:
  Dado que las contraseñas se almacenan en texto sin formato en el server.properties, se recomienda que el acceso al archivo está restringido por medio de permisos del sistema de archivos.
5. Reinicie los corredores de Kafka que tenían sus server.properties modificaciones.

Configuración de Apache Kafka para habilitar la autenticación SASL

En esta tarea se explica cómo habilitar la autenticación SASL con Apache Kafka sin autenticación de cliente SSL.

Si usa la autenticación SASL con la autenticación de cliente habilitada, consulte Configuración de Apache Kafka para habilitar la autenticación de cliente.

Asegúrese de que los puertos que utiliza el servidor Kafka no estén bloqueados por un firewall.
Para habilitar la autenticación de cliente entre los consumidores de Kafka (JSA) y un corredor de Kafka, se deben generar una clave y un certificado para cada agente y cliente del clúster. Los certificados también deben estar firmados por una autoridad de certificación (CA).

En los pasos siguientes, puede generar una CA, firmar los certificados de cliente y agente con ella y agregarla a las tiendas de confianza del agente. También puede generar las claves y certificados mediante el uso de la herramienta de claves Java y OpenSSL. Alternativamente, se puede usar una CA externa junto con varias CA, una para firmar certificados de agente y otra para certificados de cliente.

Genere el almacén de confianza, el almacén de claves, la clave privada y el certificado de CA.

Nota:
Reemplace PASSWORD, VALIDITY, SERVER_ALIAS y CLIENT_ALIAS en los siguientes comandos con los valores adecuados.
1. Genere almacén de claves del servidor.
  
  Nota:
  El nombre común (CN) de los certificados de agente debe coincidir con el nombre de dominio completo (FQDN) del servidor/host. El cliente de Kafka Consumer que usa JSA compara el CN con el nombre de dominio DNS para asegurarse de que se está conectando al agente correcto en lugar de uno malicioso. Asegúrese de ingresar el FQDN para el valor CN/Primer y Apellido cuando genere el almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -validity VALIDITY -genkey
2. Generar certificado de CA.
  
  Nota:
  Este certificado de CA se puede usar para firmar todos los certificados de agente y cliente.
  
  openssl req -new -x509 -keyout ca-key -out ca-cert -days VALIDITY
3. Cree un almacén de confianza del servidor e importe certificado de CA.
  
  keytool -keystore kafka.server.truststore.jks -alias CARoot -import -file ca-cert
4. Genere un certificado de servidor y firme con la CA.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -certreq -file cert-file
  
  openssl x509 -req -CA ca-cert -CAkey ca-key -in cert-file -out cert-signed -days VALIDITY -CAcreateserial
5. Importe certificado de CA en el almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias CARoot -import -file ca-cert
6. Importe certificado de servidor firmado al almacén de claves del servidor.
  
  keytool -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -import -file cert-signed
7. Exporte el certificado de servidor al archivo BINARIO DER.
  
  Nota:
  El keytool -exportcert comando usa el formato DER de forma predeterminada. Coloque el certificado en el directorio trusted_certificates/ de cualquier EP que se comunique con Kafka. Necesita el certificado de servidor para cada servidor de arranque que utilice en la configuración. De lo contrario, JSA rechaza la conexión TLS con el servidor.
  
  keytool -exportcert -keystore kafka.server.keystore.jks -alias SERVER_ALIAS -file SEVER_ALIAS.der
Configure los corredores de Kafka para la autenticación de cliente.
1. Busque la sección Configuración del servidor de socket y, luego, cambie listeners=PLAINTEXT://:<port>to listeners=SSL://:<PORT>.
2. Agregue las siguientes propiedades para forzar la comunicación cifrada entre los corredores y entre los corredores y los clientes. Ajuste las rutas, los nombres de archivos y las contraseñas a medida que las necesite. Estas propiedades son el almacén de confianza y el almacén de claves del servidor:
  
  security.inter.broker.protocol=SASL_SSL
  
  ssl.client.auth=none
  
  ssl.keystore.location=/somefolder/kafka.server.keystore.jks
  
  ssl.keystore.password=test1234
  
  ssl.key.password=test1234
  
  ssl.truststore.location=/somefolder/kafka.server.truststore.jks
  
  ssl.truststore.password=test1234
  
  Nota:
  Dado que las contraseñas se almacenan en texto sin formato en el server.properties, se recomienda que el acceso al archivo está restringido mediante permisos del sistema de archivos.
3. Reinicie los corredores de Kafka a los que se modificó el server.properties.

Solución de problemas de Apache Kafka

Esta referencia proporciona opciones de solución de problemas para configurar Apache Kafka para habilitar la autenticación de cliente.

Tabla 10: Solución de problemas para la autenticación de cliente de Apache Kafka
Problema	Solución
La opción Usar como fuente de registro de puerta de enlace está seleccionada en la configuración del origen del registro, pero los orígenes de registro no se detectan automáticamente.	Los eventos que se transmiten desde Kafka deben contener un encabezado syslog válido que cumpla con RFC3164 o RFC5424, para que JSA pueda determinar correctamente el identificador de origen de registro de cada evento.
No se recibe ningún evento y se muestra el siguiente error en el formulario de configuración del origen del registro: "`Encountered an error while attempting to fetch topic metadata... Please verify the configuration information`".	Compruebe que el servidor de arranque y los detalles de puerto que se ingresan en la configuración son válidos. Si la autenticación de cliente está habilitada, compruebe lo siguiente: Las contraseñas que se ingresan son correctas. Los archivos del almacén de confianza del cliente y keystore están presentes en la carpeta /opt/qradar/conf/trusted_certificates/kafka/ y los nombres de archivo especificados coinciden. Los certificados de servidor (<filename>.der) están presentes en la carpeta /opt/qradar/conf/trusted_certificates/ .
No se recibe ningún evento y se muestra el siguiente error en el formulario de configuración del origen del registro: "`The user specified list of topics did not contain any topics that exists in the Kafka cluster. Please verify the topic list`".	Cuando utiliza las opciones de lista de temas para suscribirse a los temas, JSA intenta comprobar los temas disponibles en el clúster de Kafka en los temas especificados cuando se inicia inicialmente el origen del registro. Si ningún tema coincide entre lo que se escribió en la configuración y lo que está disponible en el clúster, se le presenta este mensaje. Compruebe los nombres de temas que se introducen en la configuración; también, considere el uso de la opción Coincidencia de patrón Regex para suscribirse a temas.
Cuando se cambia cualquier valor de parámetro en el archivo de propiedades del servidor Kafka, no se reciben los resultados esperados.	Desactive y vuelva a habilitar el origen de registro de Kafka.

Opciones de configuración del protocolo DE LA API REST del servicio de seguridad web Blue Coat

Para recibir eventos del Servicio de seguridad web de Blue Coat, configure un origen de registro para usar el protocolo REST API de REST del servicio de seguridad web Blue Coat.

El protocolo DE LA API DE REST del servicio de seguridad web Blue Coat es un protocolo saliente/activo que consulta la API de sincronización del servicio de seguridad web de Blue Coat y recupera datos de registro recientemente endurecidos de la nube.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo DE API REST del servicio de seguridad web Blue Coat:

Tabla 11: Parámetros del protocolo DE LA API REST del servicio de seguridad web Blue Coat
Parámetro	Descripción
Nombre de usuario de LA API	El nombre de usuario de LA API que se utiliza para autenticar con el Servicio de seguridad web Blue Coat. El nombre de usuario de la API se configura a través del Portal de Pulso de amenazas de Blue Coat.
Contraseña	La contraseña que se utiliza para autenticar con el Servicio de seguridad web de Blue Coat.
Confirmar contraseña	Confirmación del campo Contraseña .
Usar proxy	Cuando configure un proxy, todo el tráfico del origen del registro viaja a través del proxy para que JSA tenga acceso al servicio de seguridad web de Blue Coat. Configure los campos IP o nombre de host de proxy, puerto de proxy, nombre de usuario de proxy y contraseña de proxy. Si el proxy no requiere autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco.
Repetición	Puede especificar cuándo el registro recopila datos. El formato es M/H/D para meses/horas/días. El valor predeterminado es 5 M.
Aceleración de EPS	El límite superior para la cantidad máxima de eventos por segundo (EPS). El valor predeterminado es 5000.

Opciones de configuración del protocolo de la API REST de Centrify Redrock

El protocolo DE API REST de Centrify Redrock es un protocolo saliente/activo para JSA que recopila eventos de Centrify Identity Platform.

El protocolo DE API REST Centrify Redrock admite la plataforma de identidad Centrify y la plataforma de seguridad de identidad De CyberArk.

Los siguientes parámetros requieren valores específicos para recopilar eventos de Centrify Identity Platform:

Tabla 12: Centrify Redrock API Protocolo REST API Parámetros de origen de registro
Parámetro	Valor
Tipo de fuente de registro	Plataforma de identidad centrify
Configuración de protocolo	Centrify Redrock REST API
Identificador de origen de registro	Un nombre único para el origen del registro. El identificador de origen de registro puede ser cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede ser el mismo valor que el nombre del origen del registro. Si tiene más de un origen de registro de Centrify Identity Platform configurado, es posible que desee identificar el primer origen de registro como `centrify1`, el segundo origen de registro como `centrify2`, y el tercer origen de registro como `centrify3`.
ID de inquilino	El ID de cliente o inquilino único asignado de Centrify.
URL del inquilino	Url de inquilino generada automáticamente para el ID de inquilino especificado. Por ejemplo, `tenantId.my.centrify.com`
Nombre de usuario	El nombre de usuario que está asociado con el servicio de nube para Centrify Identity Platform.
Contraseña	La contraseña que está asociada con el nombre de usuario de Centrify Identity Platform.
Filtro de registro de eventos	Seleccione el nivel de registro de los eventos que desea recuperar. La información, las advertencias y los errores son seleccionables. Debe seleccionar al menos un filtro.
Permitir certificados no confiables	Habilite esta opción para permitir certificados autofirmados y no de confianza. No habilite esta opción para inquilinos alojados en SaaS. Sin embargo, si es necesario, puede habilitar esta opción para otras configuraciones de inquilino. El certificado debe descargarse en formato binario codificado PEM o DER y luego colocarse en el directorio /opt/ qradar/conf/trusted_certificates/ con extensión de archivo .cert o .crt.
Usar proxy	Cuando se configura un proxy, todo el tráfico de la API rest centrify Redrock viaja a través del proxy. Configure los campos Servidor proxy, puerto proxy, nombre de usuario de proxy y contraseña de proxy . Si el proxy no requiere autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco.
Aceleración de EPS	Número máximo de eventos por segundo. El valor predeterminado es 5000.
Repetición	El intervalo de tiempo puede ser en horas (H), minutos (M) o días (D). El valor predeterminado es de 5 minutos (5M).

Opciones de configuración del protocolo Cisco Firepower EStreamer

Para recibir eventos de un servicio Cisco Firepower eStreamer (Event Streamer), configure una fuente de registro para usar el protocolo Cisco Firepower eStreamer.

El protocolo Cisco Firepower eStreamer se conocía anteriormente como protocolo eStreamer del centro de defensa Sourcefire.

El protocolo cisco firepower eStreamer es un protocolo de entrada/pasivo.

Los archivos de eventos se transmiten a JSA para que se procesen después de configurar el CISCO Firepower Management Center DSM.

En la tabla siguiente se describen los parámetros específicos del protocolo Cisco Firepower eStreamer:

Tabla 13: Parámetros del protocolo Cisco Firepower EStreamer
Parámetro	Descripción
Configuración de protocolo	Cisco Firepower eStreamer
Puerto del servidor	Número de puerto en el que los servicios cisco Firepower eStreamer está configurado para aceptar solicitudes de conexión. El puerto predeterminado que JSA usa para Cisco Firepower eStreamer es 8302.
Nombre de archivo de Keystore	La ruta del directorio y el nombre de archivo de la clave privada del almacén de claves y el certificado asociado. De forma predeterminada, la secuencia de comandos de importación crea el archivo de almacén de claves en el directorio siguiente: /opt/qradar/conf/estreamer.keystore.
Nombre de archivo de Truststore	La ruta del directorio y el nombre del archivo de los archivos del almacén de confianza. El archivo de almacén de confianza contiene los certificados de confianza del cliente. De forma predeterminada, la secuencia de comandos de importación crea el archivo truststore en el directorio siguiente: /opt/qradar/conf/estreamer.truststore.
Solicitar datos adicionales	Seleccione esta opción para solicitar datos adicionales del Centro de administración de energía de fuego de Cisco; por ejemplo, los datos adicionales incluyen la dirección IP original de un evento.
Dominio	Nota: Las solicitudes de transmisión de dominios solo se admiten para eStreamer versión 6.x. Deje el campo de dominio en blanco para eStreamer versión 5.x. Dominio desde el que se transmiten los eventos. El valor del campo Dominio debe ser un dominio completo. Esto significa que todos los antepasados del dominio deseado deben enumerarse comenzando por el dominio de nivel superior y terminando por el dominio leaf al que desea solicitar eventos. Ejemplo: Global es el dominio de nivel superior, B es un dominio de segundo nivel que es un subdominio de Global, y C es un dominio de tercer nivel y un dominio leaf que es un subdominio de B. Para solicitar eventos de C, escriba el siguiente valor para el parámetro Domain : Global \ B \ C

Opciones de configuración del protocolo Cisco NSEL

Para supervisar los flujos de paquetes NetFlow desde un dispositivo de seguridad adaptable (ASA) de Cisco, configure el origen del registro de eventos de seguridad de red (NSEL) de Cisco.

El protocolo Cisco NSEL es un protocolo de entrada/pasivo. Para integrar Cisco NSEL con JSA, debe crear manualmente un origen de registro para recibir eventos NetFlow. JSA no descubre ni crea automáticamente fuentes de registro para eventos syslog desde Cisco NSEL.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo Cisco NSEL:

Tabla 14: Parámetros de protocolo Cisco NSEL
Parámetro	Descripción
Configuración de protocolo	Cisco NSEL
Identificador de origen de registro	Si la red contiene dispositivos conectados a una consola de administración, puede especificar la dirección IP del dispositivo individual que creó el evento. Un identificador único para cada uno, como una dirección IP, impide que las búsquedas de eventos identifiquen la consola de administración como el origen de todos los eventos.
Puerto de recolección	El número de puerto UDP que Cisco ASA utiliza para reenviar eventos NSEL. JSA usa el puerto 2055 para datos de flujo en procesadores de flujo JSA. Debe asignar un puerto UDP diferente en cisco Adaptive Security Appliance para NetFlow.

Opciones de configuración del protocolo VMware de EMC

Para recibir datos de eventos del servicio web VMWare para entornos virtuales, configure un origen de registro para usar el protocolo VMWare de EMC.

El protocolo VMware de EMC es un protocolo saliente/activo.

JSA admite los siguientes tipos de eventos para el protocolo VMware de EMC:

Información de cuenta
Aviso
Advertencia
Error
Información del sistema
Configuración del sistema
Error del sistema
Todocoleccion
Evento sospechoso
Acceso denegado
Información
Autenticación
Seguimiento de sesión

En la siguiente tabla se describen los parámetros específicos de protocolo para el protocolo VMware de EMC:

Tabla 15: Parámetros del protocolo VMware de EMC
Parámetro	Descripción
Configuración de protocolo	VMware de EMC
Identificador de origen de registro	El valor de este parámetro debe coincidir con el parámetro IP de VMware .
VMware IP	La dirección IP del servidor VMWare ESXi. El protocolo VMware anexa la dirección IP de su servidor VMware ESXi con HTTPS antes de que el protocolo solicite datos de evento.

Opciones de configuración de protocolo reenviado

Para recibir eventos de otra consola en la implementación, configure un origen de registro para usar el protocolo reenvío.

El protocolo reenviado es un protocolo entrante/pasivo que se utiliza normalmente para reenviar eventos a otra consola JSA . Por ejemplo, la consola A tiene la consola B configurada como destino fuera del sitio. Los datos de los orígenes de registro detectados automáticamente se reenvían a la consola B. Los orígenes de registro creados manualmente en la consola A también se deben agregar como origen de registro a la consola B con el protocolo reenviado.

Opciones de configuración de Google Cloud Pub/sub protocol

El protocolo Google Cloud Pub/Sub es un protocolo saliente/activo para JSA que recopila registros de Google Cloud Platform (GCP).

Si las actualizaciones automáticas no están habilitadas, descargue el RPM del protocolo GoogleCloudPubSub desde el https://support.juniper.net/support/downloads/.

Nota:

El protocolo Google Cloud Pub/Sub se admite en el parche 6 o posterior de JSA 7.3.2.

En la siguiente tabla se describen los parámetros específicos de protocolo para recopilar registros de Google Cloud Pub/Sub con el protocolo Google Cloud Pub/Sub:

Tabla 16: Parámetros de origen de Google Cloud Pub/Sub log para Google Cloud Pub/Sub
Parámetro	Descripción
Tipo de credencial de cuenta de servicio	Especifique de dónde vienen las credenciales de cuenta de servicio requeridas. Asegúrese de que la cuenta de servicio asociada tiene el rol pub/sub suscriptor o el permiso pubsub.subscriptions.consume más específico en el nombre de suscripción configurado en GCP. Clave administrada por el usuario Se proporciona en el campo Clave de cuenta de servicio ingresando el texto JSON completo desde una clave de cuenta de servicio descargada. Clave administrada de GCP Asegúrese de que el host administrado de JSA se ejecuta en una instancia de computación de GCP y que los ámbitos de acceso de la API de nube incluyen Cloud Pub/Sub.
Nombre de suscripción	Nombre completo de la suscripción a Cloud Pub/Sub. Por ejemplo, proyectos/mi-proyecto/suscripciones/mi-suscripción.
Usar como fuente de registro de puerta de enlace	Seleccione esta opción para que los eventos recopilados fluyan a través del motor de análisis de tráfico JSA y para que JSA detecte automáticamente uno o varios orígenes de registro. Cuando seleccione esta opción, el patrón de identificador de origen de registro se puede usar opcionalmente para definir un identificador de origen de registro personalizado para los eventos que se procesan.
Patrón de identificador de origen de registro	Cuando está seleccionada la opción Usar como fuente de registro de puerta de enlace , utilice esta opción para definir un identificador de origen de registro personalizado para los eventos que se procesan. Si el patrón de identificador de origen de registro no está configurado, JSA recibe eventos como orígenes de registro genéricos desconocidos. El campo Patrón de identificador de origen de registro acepta pares clave-valor, como key=value, para definir el identificador de origen de registro personalizado para los eventos que se están procesando y para que los orígenes de registro se descubran automáticamente cuando corresponda. La clave es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. El valor (patrón regex) también admite grupos de captura que se pueden utilizar para personalizar aún más la clave (cadena de formato de identificador). Se pueden definir varios pares clave-valor escribiendo cada patrón en una nueva línea. Cuando se utilizan varios patrones, se evalúan hasta que se encuentre una coincidencia. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. Los siguientes ejemplos muestran la funcionalidad de par clave-valor múltiple: Patrones `VPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2=\s(ACCEPT)\s(OK)` Eventos `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origen de registro personalizado resultante `VPC-ACCEPT-OK`
Usar proxy	Seleccione esta opción para que JSA se conecte al GCP mediante un proxy. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
IP de proxy o nombre de host	El ip o nombre de host del servidor proxy.
Puerto proxy	Número de puerto que se utiliza para comunicarse con el servidor proxy. El valor predeterminado es 8080.
Nombre de usuario de proxy	Obligatorio solo cuando el proxy requiere autenticación.
Contraseña de proxy	Obligatorio solo cuando el proxy requiere autenticación.
Aceleración de EPS	El límite superior para la cantidad máxima de eventos por segundo (EPS) que este origen de registro no debe superar. El valor predeterminado es 5000. Si la opción Usar como fuente de registro de puerta de enlace está seleccionada, este valor es opcional. Si el valor del parámetro Throttle EPS se deja en blanco, JSA no impone ningún límite de EPS.

Configuración de Google Cloud Pub/Sub para integrarse con JSA
Creación de un pub/subtema y una suscripción en Google Cloud Console
Creación de una cuenta de servicio y una clave de cuenta de servicio en Google Cloud Console para acceder a la suscripción a Pub/Sub
Llenar un pub/sub tema con datos
Agregar una fuente de registro de Google Cloud Pub/Sub en JSA

Configuración de Google Cloud Pub/Sub para integrarse con JSA

Antes de que pueda agregar un origen de registro en JSA, debe crear una suscripción y un tema de pub/sub, crear una cuenta de servicio para tener acceso a la suscripción a pub/sub y, luego, llenar el tema pub/sub con datos.

Para configurar Google Cloud Pub/Sub para que se integre con JSA, realice las siguientes tareas:

Creación de un pub/subtema y una suscripción en Google Cloud Console
Creación de una cuenta de servicio y una clave de cuenta de servicio en Google Cloud Console para acceder a la suscripción a Pub/Sub
Llenar un pub/sub tema con datos

Creación de un pub/subtema y una suscripción en Google Cloud Console

Un tema de Google Cloud Pub/Sub es dónde se publican los datos. Uno o más suscriptores pueden consumir estos datos mediante una suscripción.

Una suscripción en Google Cloud Pub/Sub es una vista de los datos del tema de un solo suscriptor o de un grupo de suscriptores. Para recopilar datos de Pub/Sub, JSA necesita una suscripción dedicada al tema que no sea compartida por ningún otro SIEM, proceso empresarial, etc. Sin embargo, varios recolectores de eventos JSA dentro de la misma implementación pueden usar la misma suscripción para cargar el consumo del equilibrio desde el mismo tema mediante el uso de la opción Origen de registro de puerta de enlace.

Cree un tema. Si ya tiene un tema que contenga los datos que desea enviar a JSA, omita este paso.
1. Inicie sesión en Google Cloud Platform.
2. En el menú de navegación, seleccione Pub/Sub > Temas y, a continuación, haga clic en CREAR TEMA.
3. En el campo ID de tema, escriba un nombre para el tema.
4. En la sección Cifrado, asegúrese de que la clave administrada por Google esté seleccionada y, a continuación, haga clic en CREAR TEMA.

Cree una suscripción.

En el menú de navegación Pub/Sub, seleccione Suscripciones.

Haga clic en Crear suscripción y, a continuación, configure los parámetros.

En la siguiente tabla se describen los valores de parámetros necesarios para crear una suscripción en Google Cloud Pub/Sub:

Tabla 17: Google Cloud Pub/Sub Crear parámetros de suscripción para Google Cloud Pub/Sub
Parámetro	Descripción
ID de suscripción	Escriba un nuevo nombre de suscripción.
Seleccione un tema de Cloud Pub/Sub	Seleccione un tema de la lista.
Tipo de entrega	Habilite la extracción.
Vencimiento de la suscripción	Habilite Caducar después de varios días a (365) y, a continuación, escriba el número de días que desea mantener la suscripción en el campo Días; por ejemplo 31.
Fecha límite de acuse de recibo	Para asegurarse de que los mensajes se procesen una sola vez, escriba 60 en el campo Segundos .
Duración de la retención de mensajes	En el campo Días, escriba la cantidad de días que desea conservar mensajes no conocidos; por ejemplo, 7. JSA reconoce los mensajes después de consumirlos. Nota: Para asegurarse de que los mensajes se procesan una sola vez, no seleccione Conservar mensajes reconocidos.
Puerto proxy	Número de puerto que se utiliza para comunicarse con el servidor proxy. El valor predeterminado es 8080.
Nombre de usuario de proxy	Obligatorio solo cuando el proxy requiere autenticación.
Contraseña de proxy	Obligatorio solo cuando el proxy requiere autenticación.
Aceleración de EPS	El límite superior para la cantidad máxima de eventos por segundo (EPS) que este origen de registro no debe superar. El valor predeterminado es 5000. Si la opción Usar como fuente de registro de puerta de enlace está seleccionada, este valor es opcional. Si el valor del parámetro Throttle EPS se deja en blanco, JSA no impone ningún límite de EPS.

Haga clic en CREAR.

Creación de una cuenta de servicio y una clave de cuenta de servicio en Google Cloud Console para acceder a la suscripción a Pub/Sub

Se debe crear una cuenta de servicio para que JSA se autentique con las API de Google Cloud Pub/Sub.

La clave de cuenta de servicio contiene las credenciales de la cuenta de servicio en formato JSON.

Cree una cuenta de servicio.

Omita este paso si se aplica una de las siguientes condiciones:
- Ya tiene una cuenta de servicio que desea usar.
- Tiene un dispositivo todo en uno JSA o un recopilador de eventos JSA que recopila eventos de una instancia de computación de JSA Cloud Platform y utiliza la clave administrada GCP como la opción Tipo de cuenta de servicio .
1. Inicie sesión en Google Cloud Platform.
2. En el menú de navegación IAM & Admin , seleccione Cuentas de servicio y, a continuación, haga clic en CREAR CUENTA DE SERVICIO.
3. En el campo Cuenta de servicio , escriba un nombre para la cuenta de servicio.
4. En el campo Descripción de la cuenta de servicio, escriba una descripción para la cuenta de servicio.
5. Haga clic en CREAR.
Crear una clave de cuenta de servicio: las credenciales de cuenta de servicio con formato JSON se descargan a su computadora desde su navegador web. Si utiliza la opción Clave administrada por usuario para el parámetro Clave de cuenta de servicio al configurar un origen de registro en JSA, necesitará el valor de clave de cuenta de servicio. Si usa la opción clave administrada GCP , omita este paso.
- Inicie sesión en Google Cloud Platform.
- En el menú de navegación, seleccione Cuentas de servicio de IAM y administrador >.
- Seleccione su cuenta de servicio en la lista de correo electrónico y, a continuación, seleccione Crear clave en la lista Acciones .
- Seleccione JSON para el tipo de clave y, a continuación, haga clic en CREAR.
Asignar permisos a una cuenta de servicio: se debe crear una cuenta de servicio para que JSA se autentique con las API de Google Cloud Pub/Sub. Si ya tiene una cuenta de servicio, omita este paso. Si tiene un dispositivo all-in-one JSA o un recopilador de eventos JSA que recopila eventos desde una instancia de computación de Google Cloud Platform y utiliza la clave administrada de GCP como la opción Tipo de cuenta de servicio, omita este paso.
1. Inicie sesión en Google Cloud Platform.
2. En el menú de navegación, seleccione IAM y Admin > IAM y, a continuación, haga clic en Agregar.
3. Seleccione la cuenta de servicio que creó en el paso 1 o, si usa claves administradas de GCP, seleccione la cuenta de servicio que se asigna a la instancia de computación que utiliza su instalación de JSA.
4. En la lista Rol , seleccione Suscriptor de pub/sub. Cuando usa la función pub/sub suscriptor, la cuenta de servicio lee y consume mensajes de temas de pub/sub. Si desea limitar aún más los permisos, puede crear un rol personalizado con el permiso pubsub.subscriptions.consum y asignarlo solo a una suscripción específica.
5. Haga clic en GUARDAR.

Llenar un pub/sub tema con datos

Algunos servicios de Google Cloud Platform pueden escribir datos en temas de pub/sub mediante un receptor de registro o stackdriver Agents que se pueden instalar en instancias de Google Compute Engine.

Asegúrese de tener un tema de pub/sub y una configuración de suscripción en Google Cloud Platform.

Un caso de uso común es recopilar la actividad de administrador del registro de auditoría de nube desde Google Cloud Platform. Utilice el siguiente ejemplo para crear el receptor de exportación de registro.

Inicie sesión en Google Cloud Platform.
En el menú de navegación, haga clic en Registro > Visor de registros.
En la lista Recursos auditados , selecciona Google Project.
En la lista Filtrar por etiqueta o búsqueda de texto , seleccione Convertir a filtro avanzado.
En el campo Filtro avanzado , escriba el logName:"logs/cloudaudit.googleapis.comcomando ".
Haga clic en CREAR FREGADERO.

Agregar una fuente de registro de Google Cloud Pub/Sub en JSA

Configure un origen de registro en JSA para usar un tipo de fuente de registro personalizado o un tipo de fuente de registro de Juniper que admita el protocolo Google Cloud Pub/Sub.

Puede utilizar el protocolo Google Cloud Pub/Sub para recuperar cualquier tipo de evento del servicio Google Cloud Pub/Sub. Juniper proporciona DSM para algunos servicios de Google Cloud. Cualquier servicio que no tenga un DSM se puede manejar mediante un tipo de origen de registro personalizado.

Si desea usar un DSM existente para analizar datos, seleccione la opción Usar como puerta de enlace fuente de registro para crear más orígenes de registro a partir de datos recopilados por esta configuración. Alternativamente, si los orígenes de registro no se detectan automáticamente, puede crearlos manualmente mediante Syslog para la opción Parámetro tipo de protocolo .

Inicie sesión en JSA.
En la pestaña Admin , haga clic en el icono de la aplicación JSA Log Source Management.
Haga clic en Nuevo origen de registro > origen de registro único.
En la página Seleccionar un tipo de fuente de registro , seleccione un tipo de fuente de registro personalizado o un tipo de fuente de registro de Juniper que admita el protocolo Google Cloud Pub/Sub.
En la página Seleccionar un tipo de protocolo , en la lista Seleccionar tipo de protocolo , seleccione Google Pub/Sub Protocol.
En la página Configurar los parámetros de origen de registro, configure los parámetros de origen de registro y, a continuación, haga clic en Configurar parámetros de protocolo. Para obtener más información acerca de cómo configurar los parámetros del protocolo Google Cloud Pub/Sub, consulte Agregar una fuente de registro de Google Cloud Pub/Sub en JSA.
Pruebe la conexión para asegurarse de que la conectividad, la autenticación y la autorización funcionen. Si está disponible, vea los eventos de ejemplo de la suscripción.
1. Haga clic en Probar parámetros de protocolo y, a continuación, haga clic en Iniciar prueba.
2. Para corregir cualquier error, haga clic en Configurar parámetros de protocolo y, a continuación, vuelva a probar el protocolo.

Opciones de protocolo de LA API REST de informes de actividad de Google G Suite

El protocolo API DE REST de informes de actividad de Google G Suite es un protocolo de salida/activo para JSA que recupera registros de Google G Suite.

El protocolo API DE REST de informes de actividad de Google G Suite se admite en el parche 6 o posterior de JSA 7.3.2.

En la siguiente tabla se describen los parámetros específicos del protocolo de la API REST de informes de actividad de Google G Suite:

Tabla 18: Informes de actividad de Google G Suite Parámetros de origen de registro de la API DE REST
Parámetro	Descripción
Identificador de origen de registro	Escriba un nombre único para el origen del registro. El identificador de origen de registro puede ser cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede ser el mismo valor que el nombre del origen del registro. Si tiene más de un origen de registro de Google G Suite configurado, es posible que desee crear identificadores únicos. Por ejemplo, puede identificar el primer origen de registro como `googlegsuite1`, el segundo origen de registro como `googlegsuite2`y el tercer origen de registro como `googlegsuite3`.
Cuenta de usuario	Cuenta de usuario de Google, que tiene privilegios de informes.
Credenciales de cuenta de servicio	Autoriza el acceso a las API de Google para recuperar los eventos. Las credenciales de cuenta de servicio están contenidas en un archivo formateado JSON que descarga al crear una nueva cuenta de servicio en Google Cloud Platform.
Usar proxy	Si JSA accede a Google G Suite mediante un proxy, active esta opción. Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
Repetición	Intervalo de tiempo entre las consultas de origen del registro a la API de informes de actividad de Google G Suite para eventos nuevos. El intervalo de tiempo puede ser en horas (H), minutos (M) o días (D). El valor predeterminado es de 5 minutos.
Aceleración de EPS	Número máximo de eventos por segundo.
Retraso del evento	El retraso, en segundos, para recopilar datos. Los registros de Google G Suite funcionan en un eventual sistema de entrega. Para garantizar que no se pierdan datos, los registros se recopilan con retraso. El retraso predeterminado es de 7200 segundos (2 horas) y se puede establecer de tan solo 0 segundos.

Preguntas frecuentes sobre el protocolo DE LA API de REST de informes de actividad de Google G Suite

¿Tienes una pregunta? Consulte estas preguntas y respuestas frecuentes para ayudarlo a comprender el protocolo DE LA API REST de informes de actividad de Google G Suite

¿Para qué se utiliza la opción de retraso de eventos?
¿Cómo funciona la opción de retraso de eventos?
¿Qué valor uso para la opción de retraso de eventos?

¿Para qué se utiliza la opción de retraso de eventos?

La opción de retraso de eventos se utiliza para evitar que se pierdan eventos. Los eventos que se pierden, en este contexto, se producen porque están disponibles después de que el protocolo actualizó su rango de consulta a un período de tiempo más nuevo que la hora de llegada del evento. Si se produjo un evento pero no se publicó en la API de REST de informes de actividad de Google G Suite, cuando el protocolo consulta el tiempo de creación de ese evento, el protocolo no obtiene ese evento.

Ejemplo 1: En el siguiente ejemplo, se muestra cómo se puede perder un evento.

El protocolo consulta la API DE REST de los informes de actividad de Google G Suite a las 2:00 p. m. para recopilar eventos entre las 13:00 y las 13:59. La respuesta a la API de REST de informes de actividad de Google G Suite devuelve los eventos disponibles en la API DE REST de informes de actividad de Google G Suite entre las 13:00 y las 13:59. El protocolo funciona como si se recopilasen todos los eventos. Luego, envía la siguiente consulta a la API de REST de informes de actividad de Google G Suite a las 15:00 para ver los eventos ocurridos entre las 14:00 y las 2:59 p. m. El problema de esta situación es que es posible que la API REST de informes de actividad de Google G Suite no incluya todos los eventos ocurridos entre las 13:00 y las 13:59. Si se produce un evento a las 13:58, es posible que no esté disponible en la API DE REST de los informes de actividad de Google G Suite hasta las 14:03. Sin embargo, el protocolo ya se ha consultado el rango de tiempo de 13:00 a 13:59, y no puede volver a consultar ese rango sin tener eventos duplicados. Este retraso puede tardar varias horas.

Ejemplo 2: En el ejemplo siguiente se muestra el ejemplo 1, excepto en este caso, se agrega un retraso de 15 minutos.

En este ejemplo, se usa una demora de 15 minutos cuando el protocolo realiza llamadas de consulta. Cuando el protocolo hace una llamada de consulta a la API de REST de informes de actividad de Google G Suite a las 2:00 p. m., recopila los eventos ocurridos entre la 1:00 y la 13:45. El protocolo funciona como si se recopilasen todos los eventos. Luego, envía la siguiente consulta a la API de REST de informes de actividad de Google G Suite a las 15:00 y recopila todos los eventos ocurridos entre las 13:45 y las 14:45. En lugar de perder el evento, como en el ejemplo 1, se recoge en la siguiente llamada de consulta entre las 13:45 y las 14:45.

Ejemplo 3: En el ejemplo siguiente se muestra el ejemplo 2, excepto en este caso, los eventos están disponibles un día después.

Si el evento se produjo a las 13:58, pero solo llegó a estar disponible para la API de REST de informes de actividad de Google G Suite a las 13:57 del día siguiente, el retraso del evento del ejemplo 2 no obtendrá ese evento. En su lugar, el retraso del evento debe establecerse en un valor superior, en este caso 24 horas.

¿Cómo funciona la opción de retraso de eventos?

En lugar de consultar desde el último evento recibido hasta la hora actual, el protocolo consulta desde el último evento recibido hasta la hora actual : < retraso del evento>. El retraso del evento es en segundos. Por ejemplo, un retraso de 15 minutos (900 segundos) significa que solo hace una consulta hasta hace 15 minutos. Esta consulta le da 15 minutos a la API de REST de informes de actividad de Google G Suite para que un evento esté disponible antes de que se pierda. Cuando la hora actual , < retraso del evento> es menor que la última hora recibida del evento, el protocolo no consulta la API de REST de informes de actividad de Google G Suite. En su lugar, espera a que pase la condición antes de realizar la consulta.

¿Qué valor uso para la opción de retraso de eventos?

La API de REST de informes de actividad de Google G Suite puede retrasar la disponibilidad de un evento. Para evitar que se pierda ningún evento, puede establecer el valor de la opción Del parámetro Event Delay en 168 horas (una semana). Sin embargo, cuanto mayor sea el retraso del evento, menos tiempo real son los resultados. Por ejemplo, con un retraso de evento de 24 horas, verá eventos 24 horas después de que se produzcan en lugar de inmediatamente. El valor depende de cuánto riesgo esté dispuesto a asumir y de la importancia de los datos en tiempo real. El retraso predeterminado de 2 horas (7200 segundos) proporciona un valor que se establece en tiempo real y también evita que se pierdan la mayoría de los eventos. Para obtener más información acerca del retraso, consulte Conservación de datos y tiempos de retraso.

Opciones de configuración del protocolo de recepción HTTP

Para recopilar eventos desde dispositivos que reenvía solicitudes HTTP o HTTPS, configure un origen de registro para usar el protocolo HTTP Receiver.

El protocolo de recepción HTTP es un protocolo de entrada/pasivo. El receptor HTTP actúa como un servidor HTTP en el puerto de escucha configurado y convierte el cuerpo de solicitud de cualquier solicitud POST recibida en eventos. Es compatible con solicitudes HTTPS y HTTP.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo receptor HTTP:

Tabla 19: Parámetros del protocolo de recepción HTTP
Parámetro	Descripción
Configuración de protocolo	En la lista, seleccione Receptor HTTP.
Identificador de origen de registro	La dirección IP, el nombre de host o cualquier nombre para identificar el dispositivo. Debe ser único para el tipo de origen del registro.
Tipo de comunicación	Seleccione HTTP o HTTP o HTTP y autenticación de cliente.
Ruta de certificado de cliente	Si selecciona HTTP y Autenticación de cliente como tipo de comunicación, debe establecer la ruta absoluta al certificado de cliente. Debe copiar el certificado de cliente a la consola de JSA o al recopilador de eventos para el origen del registro.
Versión TLS	Las versiones de TLS que se pueden usar con este protocolo. Para usar la versión más segura, seleccione la opción TLSv1.2 . Cuando selecciona una opción con varias versiones disponibles, la conexión HTTPS negocia la versión más alta disponible tanto para el cliente como para el servidor.
Puerto de escucha	El puerto que usa JSA para aceptar eventos de receptor HTTP entrantes. El puerto predeterminado es 12469. Nota: No utilice el puerto 514. El puerto 514 es utilizado por la escucha syslog estándar.
Patrón de mensaje	De forma predeterminada, el HTTP POST completo se procesa como un evento único. Para dividir el POST en varios eventos de una sola línea, proporcione una expresión regular para indicar el inicio de cada evento.
Usar como fuente de registro de puerta de enlace	Seleccione esta opción para que los eventos recopilados fluyan a través del motor de análisis de tráfico JSA y para que JSA detecte automáticamente uno o varios orígenes de registro.
Longitud máxima de carga (byte)	El tamaño máximo de carga de un solo evento en bytes. El evento se divide cuando su tamaño de carga supera este valor. El valor predeterminado es 8192 y no debe ser mayor que 32767.
Longitud máxima de solicitud del método POST (MB)	El tamaño máximo de un cuerpo de solicitud de método POST en MB. Si un tamaño de cuerpo de solicitud POST supera este valor, se devuelve un código de estado HTTP 413. El valor predeterminado es 5 y no debe ser mayor que 10.
Aceleración de EPS	La cantidad máxima de eventos por segundo (EPS) que no desea que este protocolo supere. El valor predeterminado es 5000.

Opciones de configuración del protocolo JDBC

JSA usa el protocolo JDBC para recopilar información de tablas o vistas que contienen datos de eventos de varios tipos de base de datos.

El protocolo JDBC es un protocolo de salida/activo. JSA no incluye un controlador MySQL para JDBC. Si está utilizando un DSM o un protocolo que requiere un controlador MySQL JDBC, debe descargar e instalar el MySQL Connector/J independiente de la plataforma desde http://dev.mysql.com/downloads/connector/j/.

Copie el archivo java (JAR) a /opt/qradar/jars.
Si utiliza JSA 7.3.1, también debe copiar el archivo JAR a/opt/ibm/si/services/ecs-ecingress/eventgnosis/lib/q1labs/.
Reinicie el servicio Tomcat escribiendo uno de los siguientes comandos:
- Si usa JSA 2014.8, escriba service tomcat restart
- Si usa JSA 7.3.0 o JSA 7.3.1, escriba systemctl restart tomcat
Reinicie los servicios de recopilación de eventos escribiendo uno de los siguientes comandos:
- Si usa JSA 2014.8, escriba service ecs-ec restart
- Si utiliza JSA 7.3.0, escriba systemctl restart ecs-ec
- Si utiliza JSA 7.3.1, escriba systemctl restart ecs-ec-ingress

En la tabla siguiente se describen los parámetros específicos del protocolo JDBC:

Tabla 20: Parámetros de protocolo JDBC
Parámetro	Descripción
Nombre del origen del registro	Escriba un nombre único para el origen del registro.
Descripción del origen del registro (opcional)	Escriba una descripción para el origen del registro.
Tipo de fuente de registro	Seleccione el módulo de soporte de dispositivos (DSM) que usa el protocolo JDBC de la lista Tipo de origen de registro .
Configuración de protocolo	JDBC
Identificador de origen de registro	Escriba un nombre para el origen del registro. El nombre no puede contener espacios y debe ser único entre todos los orígenes de registro del tipo de origen de registro que está configurado para usar el protocolo JDBC. Si el origen del registro recopila eventos de un único dispositivo que tiene una dirección IP estática o nombre de host, utilice la dirección IP o el nombre de host del dispositivo como todo o parte del valor del identificador de origen de registro ; por ejemplo, 192.168.1.1 o JDBC192.168.1.1. Si el origen del registro no recopila eventos de un solo dispositivo que tenga una dirección IP estática o nombre de host, puede usar cualquier nombre único para el valor del identificador de origen de registro; por ejemplo, JDBC1, JDBC2.
Tipo de base de datos	Seleccione el tipo de base de datos que contiene los eventos.
Nombre de la base de datos	El nombre de la base de datos a la que desea conectarse.
IP o nombre de host	La dirección IP o el nombre de host del servidor de base de datos.
Puerto	Ingrese el puerto JDBC. El puerto JDBC debe coincidir con el puerto de escucha que está configurado en la base de datos remota. La base de datos debe permitir conexiones TCP entrantes. La base de datos debe permitir conexiones TCP entrantes. El rango válido es 1 - 65535. Los valores predeterminados son: MSDE - 1433 - 5432 MySQL - 3306 Sybase - 5000 Oracle: 1521 Informix - 9088 Db2 - 50000 Si se utiliza una instancia de base de datos con el tipo de base de datos MSDE, los administradores deben dejar el parámetro Port en blanco en la configuración del origen del registro.
Nombre de usuario	Una cuenta de usuario para JSA en la base de datos.
Contraseña	La contraseña necesaria para conectarse a la base de datos.
Confirmar contraseña	La contraseña necesaria para conectarse a la base de datos.
Dominio de autenticación (solo MSDE)	Si no seleccionó Usar Microsoft JDBC, dominio de autenticación se mostrará. El dominio para MSDE que es un dominio de Windows. Si la red no usa un dominio, deje este campo en blanco.
Instancia de base de datos (solo MSDE o Informix)	La instancia de la base de datos, si es necesario. Las bases de datos MSDE pueden incluir varias instancias de SQL Server en un servidor. Cuando se utiliza un puerto no estándar para la base de datos o se bloquea el acceso al puerto 1434 para la resolución de base de datos SQL, el parámetro Instancia de base de datos debe estar en blanco en la configuración del origen del registro.
Consulta predefinida (opcional)	Seleccione una consulta de base de datos predefinida para el origen del registro. Si una consulta predefinida no está disponible para el tipo de origen del registro, los administradores pueden seleccionar ninguna.
Nombre de la tabla	Nombre de la tabla o vista que incluye los registros de eventos. El nombre de la tabla puede incluir los siguientes caracteres especiales: signo de dólar ($), signo de número (#), guión (_), guión (-) y punto (.).
Seleccionar lista	La lista de campos que se incluyen cuando se sondean eventos en la tabla. Puede usar una lista separada por comas o escribir un asterisco (*) para seleccionar todos los campos de la tabla o vista. Si se define una lista separada por comas, la lista debe contener el campo que se define en el Campo de comparación.
Comparar el campo	Un valor numérico o campo de marca de hora de la tabla o vista que identifica los nuevos eventos que se agregan a la tabla entre consultas. Permite que el protocolo identifique eventos que fueron sondados anteriormente por el protocolo para asegurarse de que no se crean eventos duplicados.
Usar instrucciones preparadas	Las instrucciones preparadas permiten que el origen del protocolo JDBC configure la instrucción SQL y, luego, ejecute la instrucción SQL varias veces con diferentes parámetros. Por razones de seguridad y rendimiento, la mayoría de las configuraciones de protocolo JDBC pueden usar instrucciones preparadas.
Fecha y hora de inicio (opcional)	Seleccione o ingrese la fecha y hora de inicio para la encuesta de base de datos. El formato es aaaa-mm-dd HH:mm, donde HH se especifica mediante un reloj de 24 horas. Si este parámetro está vacío, el sondeo comienza inmediatamente y se repite en el intervalo de sondeo especificado. Este parámetro se utiliza para establecer la hora y la fecha en que el protocolo se conecta a la base de datos de destino para inicializar la recopilación de eventos. Se puede usar junto con el intervalo de sondeo para configurar programaciones específicas para las encuestas de base de datos. Por ejemplo, para asegurarse de que la encuesta se realiza a los cinco minutos de la hora, cada hora, o para asegurarse de que la encuesta se realiza exactamente a la 1:00 a. m. cada día. Este parámetro no se puede usar para recuperar filas de tabla anteriores de la base de datos de destino. Por ejemplo, si establece el parámetro en Last Week, el protocolo no recupera todas las filas de tabla de la semana anterior. El protocolo recupera las filas que son más recientes que el valor máximo del campo de comparación en la conexión inicial.
Intervalo de sondeo	Escriba la cantidad de tiempo entre las consultas a la tabla de eventos. Para definir un intervalo de sondeo más largo, anexe H durante horas o M durante minutos al valor numérico El intervalo máximo de sondeo es de una semana.
Aceleración de EPS	Número de eventos por segundo (EPS) que no desea que supere este protocolo. El rango válido es de 100 a 20 000.
Mecanismo de seguridad (solo Db2)	En la lista, seleccione el mecanismo de seguridad compatible con su servidor Db2. Si no desea seleccionar un mecanismo de seguridad, seleccione Ninguno. El valor predeterminado es Ninguno. Para obtener más información acerca de los mecanismos de seguridad compatibles con entornos de Db2, consulte la https://support.juniper.net/support/downloads/.
Usar comunicación de canalización denominada (solo MSDE)	Si no seleccionó Usar Microsoft JDBC, se mostrará Usar comunicación de canalización con nombre. Las bases de datos de MSDE requieren el nombre de usuario y el campo de contraseña para usar un nombre de usuario y contraseña de autenticación de Windows, y no el nombre de usuario y contraseña de la base de datos. La configuración del origen del registro debe usar la canalización predeterminada denominada en la base de datos MSDE.
Nombre del clúster de base de datos (solo MSDE)	Si seleccionó Usar comunicación de canal con nombre, se mostrará el parámetro Usar comunicación de canalización con nombre. Si está ejecutando el servidor SQL Server en un entorno de clúster, defina el nombre del clúster para garantizar que funcione correctamente las funciones de comunicación de canalización con nombre.
Usar NTLMv2 (solo MSDE)	Si no seleccionó Usar Microsoft JDBC, se mostrará Usar NTLMv2 . Seleccione esta opción si desea que las conexiones MSDE usen el protocolo NTLMv2 cuando se comuniquen con servidores SQL que requieren autenticación NTLMv2. Esta opción no interrumpe las comunicaciones de las conexiones MSDE que no requieren autenticación NTLMv2. No interrumpe las comunicaciones para conexiones MSDE que no requieren autenticación NTLMv2.
Usar Microsoft JDBC (solo MSDE)	Si desea usar el controlador de Microsoft JDBC, debe habilitar Usar Microsoft JDBC.
Usar SSL (solo MSDE)	Seleccione esta opción si su conexión admite SSL. Esta opción aparece solo para MSDE.
Certificado SSL Nombre de host	Este campo es obligatorio cuando se habilita Usar Microsoft JDBC y Usar SSL . Este valor debe ser el nombre de dominio completo (FQDN) del host. No se permite la dirección IP. Para obtener más información acerca de los certificados SSL y JDBC, consulte los procedimientos en los siguientes vínculos: QRadar: Configurar JDBC mediante SSL con un certificado autofirmado Configuración de JDBC mediante SSL con un certificado firmado externamente
Usar Oracle Encryption	La configuración de Cifrado e integridad de datos de Oracle también se conoce como Oracle Advanced Security. Si está seleccionada, las conexiones de Oracle JDBC requieren que el servidor admita configuraciones similares de Oracle Data Encryption como el cliente.
Configuración regional de base de datos (solo Informix)	En el caso de las instalaciones multilingües, utilice este campo para especificar el idioma que se va a usar.
Conjunto de códigos (solo Informix)	El parámetro Code-Set se muestra después de elegir un idioma para instalaciones multilingües. Utilice este campo para especificar el conjunto de caracteres que se va a usar.
Habilitado	Active esta casilla de verificación para habilitar el origen del registro. De forma predeterminada, la casilla de verificación está activada.
Credibilidad	En la lista, seleccione credibilidad del origen del registro. El rango es de 0 a 10. La credibilidad indica la integridad de un evento o delito determinado por la calificación de credibilidad de los dispositivos de origen. La credibilidad aumenta si varias fuentes informan sobre el mismo evento. El valor predeterminado es 5.
Recolector de eventos de destino	Seleccione el recopilador de eventos de destino para usar como destino para el origen del registro.
Eventos de unección	Active la casilla Eventos de agrupación para habilitar el origen del registro para agrupar eventos (agrupación). De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos de coalescing de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga de eventos de la tienda	Active la casilla Carga de eventos de almacenamiento para habilitar el origen del registro para almacenar la información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

JDBC: Opciones de configuración del protocolo SiteProtector

Puede configurar fuentes de registro para usar el protocolo Java Database Connectivity (JDBC) - SiteProtector para sondear remotamente las bases de datos de IBM Proventia Management SiteProtector en busca de eventos.

El protocolo JDBC - SiteProtector es un protocolo saliente/activo que combina información de las tablas SensorData1 y SensorDataAVP1 en la creación de la carga de origen de registro. Las tablas SensorData1 y SensorDataAVP1 se encuentran en la base de datos de IBM Proventia Management SiteProtector. La cantidad máxima de filas que el protocolo JDBC - SiteProtector puede sondear en una sola consulta es de 30 000 filas.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo JDBC - SiteProtector:

Tabla 21: JDBC - Parámetros del protocolo SiteProtector
Parámetro	Descripción
Configuración de protocolo	JDBC: SiteProtector
Tipo de base de datos	En la lista, seleccione MSDE como el tipo de base de datos que se utilizará para el origen del evento.
Nombre de la base de datos	Escriba `RealSecureDB` como el nombre de la base de datos a la que puede conectarse el protocolo.
IP o nombre de host	La dirección IP o el nombre de host del servidor de base de datos.
Puerto	Número de puerto que usa el servidor de base de datos. El puerto de configuración JDBC SiteProtector debe coincidir con el puerto de escucha de la base de datos. La base de datos debe tener habilitadas las conexiones TCP entrantes. Si define una instancia de base de datos con MSDE como tipo de base de datos, debe dejar el parámetro Port en blanco en la configuración de origen del registro.
Nombre de usuario	Si desea realizar un seguimiento del acceso a una base de datos mediante el protocolo JDBC, puede crear un usuario específico para su sistema JSA .
Dominio de autenticación	Si selecciona MSDE y la base de datos está configurada para Windows, debe definir un dominio de Windows. Si la red no usa un dominio, deje este campo en blanco.
Instancia de base de datos	Si selecciona MSDE y tiene varias instancias de SQL Server en un servidor, defina la instancia a la que desea conectarse. Si usa un puerto no estándar en la configuración de la base de datos o si el acceso se bloquea al puerto 1434 para la resolución de base de datos SQL, debe dejar el parámetro Instancia de base de datos en blanco en su configuración.
Consulta predefinida	La consulta de base de datos predefinida para el origen del registro. Las consultas de base de datos predefinidas solo están disponibles para conexiones de origen de registro especiales.
Nombre de la tabla	`SensorData1`
Nombre de la vista de AVP	`SensorDataAVP`
Nombre de la vista de respuesta	`SensorDataResponse`
Seleccionar lista	Escriba `*` para incluir todos los campos de la tabla o vista.
Comparar el campo	`SensorDataRowID`
Usar instrucciones preparadas	Las instrucciones preparadas permiten que el origen del protocolo JDBC configure la instrucción SQL y, luego, ejecute la instrucción SQL varias veces con diferentes parámetros. Por motivos de seguridad y rendimiento, utilice instrucciones preparadas. Puede desactivar esta casilla de verificación para usar un método alternativo de consulta que no use instrucciones precompiladas.
Incluir eventos de auditoría	Especifica para recopilar eventos de auditoría desde IBM Proventia Management SiteProtector.
Fecha y hora de inicio	Opcional. Fecha y hora de inicio para cuando el protocolo puede comenzar a sondear la base de datos.
Intervalo de sondeo	La cantidad de tiempo entre las consultas a la tabla de eventos. Puede definir un intervalo de sondeo más largo anexando H durante horas o M durante minutos al valor numérico. Valores numéricos sin sondeo de designador H o M en segundos.
Aceleración de EPS	Número de eventos por segundo (EPS) que no desea que supere este protocolo.
Configuración regional de base de datos	Para instalaciones multilingües, utilice el campo configuración regional de base de datos para especificar el idioma que se utilizará.
Conjunto de códigos de base de datos	Para instalaciones multilingües, utilice el campo Codeset para especificar el conjunto de caracteres que se utilizará.
Usar comunicación de canal denominada	Si usa la autenticación de Windows, habilite este parámetro para permitir la autenticación en el servidor de AD. Si usa autenticación de SQL, desactive la comunicación de canalización denominada.
Nombre del clúster de la base de datos	El nombre del clúster para garantizar que las comunicaciones de canalización con nombre funcionen correctamente.
Usar NTLMv2	Fuerza las conexiones MSDE a usar el protocolo NTLMv2 con servidores SQL que requieren autenticación NTLMv2. La casilla usar NTLMv2 no interrumpe las comunicaciones para conexiones MSDE que no requieren autenticación NTLMv2.
Usar SSL	Habilita el cifrado SSL para el protocolo JDBC.
Idioma de origen del registro	Seleccione el idioma de los eventos generados por el origen del registro. El idioma de origen del registro ayuda al sistema a analizar eventos de dispositivos o sistemas operativos externos que pueden crear eventos en varios idiomas.

Opciones de configuración del protocolo NSM de Juniper Networks

Para recibir juniper Networks NSM y la puerta de enlace de servicio seguro (SSG) de Juniper Networks registra eventos, configure un origen de registro para usar el protocolo NSM de Juniper Networks.

El protocolo NSM de Juniper Networks es un protocolo de entrada/pasivo.

En la tabla siguiente se describen los parámetros específicos del protocolo del Administrador de redes y seguridad de Juniper Networks:

Tabla 22: Parámetros del protocolo NSM de Juniper Networks
Parámetro	Descripción
Tipo de fuente de registro	Gerente de red y seguridad de Juniper Networks
Configuración de protocolo	NSM de Juniper

Opciones de configuración del protocolo del recolector de registros binarios de Juniper Security

Puede configurar un origen de registro para usar el protocolo Security Binary Log Collector. Con este protocolo, los dispositivos juniper pueden enviar eventos de auditoría, sistema, firewall y sistema de prevención de intrusiones (SPI) en formato binario a JSA.

El protocolo recolector de registros binarios de seguridad en un protocolo pasivo o entrante.

El formato de registro binario de los dispositivos de la puerta de enlace de servicios serie SRX de Juniper o de la serie J se transmite mediante el protocolo UDP. Debe especificar un puerto único para la transmisión de eventos con formato binario. El puerto syslog estándar 514 no se puede usar para eventos binarios formateados. El puerto predeterminado que se asigna para recibir eventos binarios de transmisión de dispositivos Juniper es el puerto 40798.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo recolector de registros binarios de seguridad de Juniper:

Tabla 23: Parámetros de protocolo de recolector de registros binarios de Seguridad de Juniper
Parámetro	Descripción
Configuración de protocolo	Recolector de registros binarios de seguridad
Ubicación del archivo de plantilla XML	La ruta al archivo XML utilizado para descodificar el flujo binario desde la puerta de enlace de servicios de la serie SRX de Juniper o el dispositivo de la serie J de Juniper. De forma predeterminada, el módulo de soporte de dispositivos (DSM) incluye un archivo XML para decodificar la secuencia binario. El archivo XML se encuentra en el directorio siguiente: /opt/qradar/conf/security_log.xml.

Opciones de configuración del protocolo de registro

Para recibir eventos de hosts remotos, configure un origen de registro para usar el protocolo archivo de registro.

El protocolo de archivo de registro es un protocolo saliente/activo que está diseñado para sistemas que escriben registros de eventos diarios. No es apropiado usar el protocolo archivo de registro para los dispositivos que anexan información a sus archivos de eventos.

Los archivos de registro se recuperan uno a la vez mediante SFTP, FTP, SCP o FTPS. El protocolo de archivo de registro puede administrar texto sin formato, archivos comprimidos o archivos de archivos. Los archivos deben contener archivos de texto sin formato que se puedan procesar línea a línea. Cuando el protocolo archivo de registro descarga un archivo de evento, la información que se recibe en el archivo actualiza la pestaña Actividad de registro . Si se escribe más información en el archivo después de completar la descarga, la información anexa no se procesa.

En la tabla siguiente se describen los parámetros específicos del protocolo del archivo de registro:

Tabla 24: Parámetros de protocolo de archivo de registro
Parámetro	Descripción
Configuración de protocolo	Archivo de registro
Tipo de servicio	Seleccione el protocolo que se utilizará al recuperar archivos de registro desde un servidor remoto. SFTP- Protocolo de transferencia segura de archivos (predeterminado) FTP: protocolo de transferencia de archivos FTPS: protocolo de transferencia de archivos seguro SCP - Protocolo de copia segura AWS: Amazon Web Services El servidor que especifique en el campo IP remota o Nombre de host debe habilitar el subsistema SFTP para recuperar archivos de registro con SCP o SFTP.
Puerto remoto	Si el host remoto usa un número de puerto no estándar, debe ajustar el valor de puerto para recuperar eventos.
Archivo de clave SSH	Si el sistema está configurado para usar autenticación de clave, escriba la clave SSH. Cuando se utiliza un archivo de clave SSH, se omite el campo Contraseña remota . La clave SSH debe estar ubicada en el directorio /opt/qradar/conf/keys . Nota: El campo Archivo de clave SSH ya no acepta una ruta de archivo. No puede contener "/" o "~". Debe escribir el nombre de archivo de la clave SSH. Las claves de las configuraciones existentes se copian en el directorio /opt/qradar/ conf/keys . Para garantizar la singularidad, las claves deben tener "<`Timestamp`>" anexada al nombre del archivo.
Directorio remoto	En el caso de FTP, si los archivos de registro se encuentran en el directorio principal de usuarios remotos, puede dejar el directorio remoto en blanco. Un campo de directorio remoto en blanco admite sistemas en los que un cambio en el comando del directorio de trabajo (CWD) está restringido.
Recursiva	Habilite esta casilla de verificación para permitir que las conexiones FTP o SFTP busquen de forma recursiva los datos de eventos en subcarpetas del directorio remoto. Los datos que se recopilan de las subcarpetas dependen de las coincidencias con la expresión regular en el patrón de archivo FTP. La opción recursiva no está disponible para conexiones SCP.
Patrón de archivo FTP	La expresión regular (regex) que se necesita para identificar los archivos que se descargarán desde el host remoto.
Modo de transferencia FTP	Para transferencias ASCII a través de FTP, debe seleccionar `NONE` en el campo Procesador y `LINEBYLINE` en el campo Generador de eventos.
Versión DE TLS FTP	Las versiones de TLS que se pueden usar con conexiones FTPS. Para usar la versión más segura, seleccione la opción TLSv1.2 . Cuando selecciona una opción con varias versiones disponibles, la conexión FTPS negocia la versión más alta disponible tanto para el cliente como para el servidor. Esta opción solo se puede configurar si seleccionó FTPS en el parámetro Service Type .
Repetición	Intervalo de tiempo para determinar la frecuencia con la que se analiza el directorio remoto en busca de archivos de registro de eventos nuevos. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, una recurrencia de 2H escanea el directorio remoto cada 2 horas.
Ejecutar al guardar	Inicia la importación del archivo de registro inmediatamente después de guardar la configuración del origen del registro. Cuando está activada, esta casilla de verificación borra la lista de archivos descargados y procesados anteriormente. Después de la primera importación de archivo, el protocolo archivo de registro sigue la hora de inicio y el programa de recurrencia definidos por el administrador.
Aceleración de EPS	Número de eventos por segundo (EPS) que el protocolo no puede superar.
¿Cambiar el directorio local?	Cambia el directorio local del recopilador de eventos de destino para almacenar registros de eventos antes de procesarlos.
Directorio local	El directorio local del recopilador de eventos de destino. El directorio debe existir antes de que el protocolo del archivo de registro intente recuperar eventos.
Codificación de archivos	Codificación de caracteres que utilizan los eventos del archivo de registro.
Separador de carpetas	El carácter que se utiliza para separar las carpetas del sistema operativo. La mayoría de las configuraciones pueden usar el valor predeterminado en el campo Separador de carpetas. Este campo está diseñado para sistemas operativos que utilizan un carácter diferente para definir carpetas separadas. Por ejemplo, los períodos que separan las carpetas en sistemas de central central.

Configurar JSA para usar FTPS para el protocolo de archivo de registro

Para configurar FTPS para el protocolo del archivo de registro, debe colocar certificados SSL de servidor en todos los recolectores de eventos JSA que se conectan al servidor FTP. Si el certificado SSL no es RSA 2048, cree un nuevo certificado SSL.

El siguiente comando proporciona un ejemplo de crear un certificado en un sistema LINUX mediante Open SSL:

openssl req -newkey rsa:2048 -nodes -keyout ftpserver.key -x509 -days 365 -out ftpserver.crt

Los archivos del servidor FTP que tengan una extensión de archivo .crt se deben copiar en el directorio de trusted_certificates /opt/qradar/conf/ en cada uno de sus recolectores de eventos.

Opciones de configuración del protocolo de centros de eventos de Microsoft Azure

El protocolo de centros de eventos de Microsoft Azure para JSA recopila eventos de Centros de eventos de Microsoft Azure.

Nota:

De forma predeterminada, cada recopilador de eventos puede recopilar eventos desde hasta 1000 particiones antes de que se acaben los controladores de archivos. Si desea recopilar a partir de más particiones, puede ponerse en contacto con el Soporte al cliente de Juniper para obtener información y asistencia de ajuste avanzados.

Los siguientes parámetros requieren valores específicos para recopilar eventos de dispositivos de Centros de eventos de Microsoft Azure:

Tabla 25: Parámetros de origen de registro de centros de eventos de Microsoft Azure
Parámetro	Valor
Usar cadena de conexión del centro de eventos	Autentique con un Centro de eventos de Azure mediante una cadena de conexión. Nota: La capacidad de desactivar este conmutador está en desuso.
Cadena de conexión del hub de eventos	Cadena de autorización que proporciona acceso a un centro de eventos. Por ejemplo, `Endpoint=sb://<Namespace Name>.servicebus.windows.net/;SharedAccess KeyNam Key Name>;SharedAccessKey=<SAS Key>; EntityPath=<Event Hub Name>`
Grupo de consumidores	Especifica la vista que se utiliza durante la conexión. Cada grupo de consumidores mantiene su propio seguimiento de sesiones. Cualquier conexión que comparta grupos de consumidores e información de conexión comparte información de seguimiento de sesión.
Usar cadena de conexión de cuenta de almacenamiento	Se autentica con una cuenta de Azure Storage mediante una cadena de conexión. Nota: La capacidad de desactivar este conmutador está en desuso.
Cadena de conexión de cuenta de almacenamiento	Cadena de autorización que proporciona acceso a una cuenta de almacenamiento. Por ejemplo, `DefaultEndpointsProtocol=https;Account Name=<Stor Account Name>AccountKey=<StorageAccount Key>;EndpointSuffix=core.windows.net`
Formatear eventos de Azure Linux a Syslog	Formatea los registros de Azure Linux a un formato syslog de una sola línea que se asemeja al registro syslog estándar desde sistemas Linux.
Usar como fuente de registro de puerta de enlace	Seleccione esta opción para que los eventos recopilados fluyan a través del motor de análisis de tráfico JSA y para que JSA detecte automáticamente uno o varios orígenes de registro. Cuando seleccione esta opción, el patrón de identificador de origen de registro se puede usar opcionalmente para definir un identificador de origen de registro personalizado para los eventos que se están procesando.
Patrón de identificador de origen de registro	Cuando está seleccionada la opción Usar como fuente de registro de puerta de enlace , utilice esta opción para definir un identificador de origen de registro personalizado para los eventos que se procesan. Si el patrón de identificador de origen de registro no está configurado, JSA recibe eventos como orígenes de registro genéricos desconocidos. El campo Patrón de identificador de origen de registro acepta pares clave-valor, como key=value, para definir el identificador de origen de registro personalizado para los eventos que se están procesando y para que los orígenes de registro se descubran automáticamente cuando corresponda. La clave es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. El valor (patrón regex) también admite grupos de captura que se pueden utilizar para personalizar aún más la clave (cadena de formato de identificador). Se pueden definir varios pares clave-valor escribiendo cada patrón en una nueva línea. Cuando se utilizan varios patrones, se evalúan hasta que se encuentre una coincidencia. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. Los siguientes ejemplos muestran la funcionalidad de par de valores de varios claves: Patrones`VPC=\sREJECT\sFAILURE$1=\s(REJECT)\sOKVPC-$1-$2=\s(ACCEPT)\s(OK)` Eventos`{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origen de registro personalizado resultante`VPC-ACCEPT-OK`
Usar análisis predictivo	Si habilita este parámetro, un algoritmo extrae patrones de identificadores de origen de registro de eventos sin ejecutar el regex para cada evento, lo que aumenta la velocidad de análisis. Habilite el análisis predictivo solo para tipos de origen de registro que espera recibir altas tasas de eventos y que requieren un análisis más rápido.
Usar proxy	Cuando configure un proxy, todo el tráfico del origen del registro viaja a través del proxy para tener acceso al Centro de eventos de Azure. Después de habilitar este parámetro, configure los campos IP o nombre de host del proxy, puerto de proxy, nombre de usuario de proxy y contraseña de proxy . Si el proxy no necesita autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco. Nota: La autenticación de resumen para proxy no se admite en Java SDK para centros de eventos de Azure. Para obtener más información, consulte Centros de eventos de Azure: SDK de cliente.
IP de proxy o nombre de host	La dirección IP o el nombre de host del servidor proxy. Este parámetro aparece cuando se habilita Usar proxy .
Puerto proxy	Número de puerto utilizado para comunicarse con el proxy. El valor predeterminado es 8080. Este parámetro aparece cuando se habilita Usar proxy .
Nombre de usuario de proxy	Nombre de usuario para acceder al servidor proxy. Este parámetro aparece cuando se habilita Usar proxy.
Contraseña de proxy	La contraseña para acceder al servidor proxy. Este parámetro aparece cuando se habilita Usar proxy .
Aceleración de EPS	Número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.

En la tabla siguiente se describen los parámetros de origen de registro de centros de eventos de Microsoft Azure que están en desuso:

Tabla 26: Parámetros de origen de registro de centros de eventos de Microsoft Azure en desuso
Parámetro	Valor
En desuso: nombre del espacio de nombres	Esta opción se muestra si la opción Usar cadena de conexión de centro de eventos está desactivada. El nombre del directorio de nivel superior que contiene las entidades del centro de eventos en la interfaz de usuario de Centros de eventos de Microsoft Azure.
En desuso: nombre del centro de eventos	Esta opción se muestra si la opción Usar cadena de conexión de centro de eventos está desactivada. Identificador del centro de eventos al que desea acceder. El nombre del concentrador de eventos debe coincidir con una de las entidades del centro de eventos dentro del espacio de nombres.
En desuso: nombre de clave SAS	Esta opción se muestra si la opción Usar cadena de conexión de centro de eventos está desactivada. El nombre de la firma de acceso compartido (SAS) identifica al publicador de eventos.
En desuso: clave SAS	Esta opción se muestra si la opción Usar cadena de conexión de centro de eventos está desactivada. La clave de firma de acceso compartido (SAS) autentica al publicador de eventos.
Desusado: nombre de cuenta de almacenamiento	Esta opción se muestra si la opción Usar cadena de conexión de cuenta de almacenamiento está desactivada. El nombre de la cuenta de almacenamiento que almacena los datos del Centro de eventos. El nombre de cuenta de almacenamiento forma parte del proceso de autenticación necesario para tener acceso a los datos de la cuenta de Azure Storage.
En desuso: clave de cuenta de almacenamiento	Esta opción se muestra si la opción Usar cadena de conexión de cuenta de almacenamiento está desactivada. Una clave de autorización que se utiliza para la autenticación de cuenta de almacenamiento. La clave de cuenta de almacenamiento forma parte del proceso de autenticación necesario para tener acceso a los datos en la cuenta de Almacenamiento de Azure.

Configuración de centros de eventos de Microsoft Azure para comunicarse con JSA
Solución de problemas del protocolo de centros de eventos de Microsoft Azure

Configuración de centros de eventos de Microsoft Azure para comunicarse con JSA

El protocolo de centros de eventos de Microsoft Azure recopila eventos que se encuentran dentro de un centro de eventos. Este protocolo recopila eventos independientemente del origen, siempre que estén dentro del Centro de eventos. Sin embargo, es posible que estos eventos no sean parables para un DSM existente.

Para recuperar eventos en JSA, debe crear una cuenta de almacenamiento de Microsoft Azure y una entidad de centro de eventos en el espacio de nombres de Azure Event Hub. Para cada espacio de nombres, el puerto 5671 debe estar abierto. Para cada cuenta de almacenamiento, el puerto 443 debe estar abierto.

Nota:

Estos puertos deben estar abiertos como puertos salientes en el recopilador de eventos JSA.

El nombre de host del espacio de nombres suele ser [Namespace Name].servicebus.windows.net y el nombre de host de la cuenta de almacenamiento suele ser [Storage_Account_Name].blob.core.windows.net. El Centro de eventos debe tener al menos una firma de acceso compartido creada con la Política de escucha y al menos un grupo de consumidores.

Nota:

El protocolo de centros de eventos de Microsoft Azure no se puede conectar mediante un servidor proxy.

Obtenga una cadena de conexión de cuenta de almacenamiento de Microsoft Azure.

La cadena de conexión de la cuenta de almacenamiento contiene autenticación para el nombre de cuenta de almacenamiento y la clave de cuenta de almacenamiento que se usa para tener acceso a los datos en la cuenta de Azure Storage.
1. Inicie sesión en el Portal de Azure.
2. En el panel de control, en la sección Todos los recursos , seleccione una cuenta de almacenamiento.
3. En la lista Todos los tipos, desactive Seleccionar todos. En el cuadro de búsqueda de elementos de filtro, escriba Storage Accountsy, a continuación, seleccione Cuentas de almacenamiento en la lista
4. En el menú Cuenta de almacenamiento , seleccione Claves de acceso.
5. Registre el valor del nombre de cuenta de Almacenamiento . Utilice este valor para el valor de parámetro Nombre de cuenta de almacenamiento cuando configure un origen de registro en JSA.
6. En la sección clave 1 o clave 2 , registre los siguientes valores.
  - Clave : utilice este valor para el valor del parámetro Clave de cuenta de almacenamiento cuando configure un origen de registro en JSA.
  - Cadena de conexión : utilice este valor para el valor de parámetro Cadena de conexión de cuenta de almacenamiento cuando configure un origen de registro en JSA.
  La mayoría de las cuentas de almacenamiento usan core.window.net para el sufijo de punto final, pero este valor puede cambiar según su ubicación. Por ejemplo, una cuenta de almacenamiento relacionada con el gobierno puede tener un valor de sufijo de punto de conexión diferente. Puede usar los valores Nombre de cuenta de almacenamiento y Clave de cuenta de almacenamiento , o puede usar el valor Cadena de conexión de cuenta de almacenamiento para conectarse a la cuenta de almacenamiento. Puede usar key1 o key2.
  
  Nota:
  Para conectarse a un Centro de eventos de Microsoft Azure, debe poder crear un blob de bloque en la cuenta de Almacenamiento de Azure que seleccione. Los tipos de blob de página y apéndice no son compatibles con el protocolo de centros de eventos de Microsoft Azure.
JSA crea un contenedor que se denomina qradar en el blob de almacenamiento proporcionado.

Propina:
A través del SDK de Azure Event Hubs, JSA usa un contenedor en el blob de cuentas de almacenamiento configurado para rastrear el consumo de eventos desde el Centro de eventos. Un contenedor denominado qradar se crea automáticamente para almacenar los datos de seguimiento o puede crear manualmente el contenedor.
Obtenga una cadena de conexión del centro de eventos de Microsoft Azure.

La cadena de conexión del concentrador de eventos contiene el nombre del espacio de nombres, la ruta al centro de eventos dentro del espacio de nombres y la información de autenticación de firma de acceso compartido (SAS).
1. Inicie sesión en el Portal de Azure.
2. En el panel de control, en la sección Todos los recursos , seleccione un Centro de eventos. Registre este valor para usar como el valor del parámetro Namespace al configurar un origen de registro en JSA.
3. En la sección Entidades , seleccione Centro de eventos. Registre este valor para usar en el valor del parámetro Nombre del centro de eventos cuando configure un origen de registro en JSA.
4. En la lista Todos los tipos , desactive Seleccionar todos. En el cuadro de búsqueda de elementos de filtro , escriba event huby, a continuación, seleccione Espacio de nombres de centros de eventos en la lista.
5. En la sección Hub de eventos, seleccione el concentrador de eventos que desea usar de la lista. Registre este valor para usar en el valor del parámetro Nombre del centro de eventos cuando configure un origen de registro en JSA.
6. En la sección Configuración , seleccione Políticas de acceso compartido.
  
  Nota:
  En la sección Entidades, asegúrese de que la opción Grupos de consumidores esté en la lista. Si aparece hubs de eventos, vuelva al paso c del 2 .
  1. Seleccione una POLÍTICA que contenga una escucha DE RECLAMOS. Registre este valor para usar en el valor del parámetro nombre de clave SAS cuando configure un origen de registro en JSA.
  2. Registre los valores para los siguientes parámetros:
    - Clave principal o secundaria
      
      Utilice el valor para el valor del parámetro clave SAS cuando configure un origen de registro en JSA. La clave principal y la secundaria son funcionalmente iguales.
    - Clave principal de cadena de conexión o clave secundaria de cadena de conexión
      
      Utilice este valor para el valor del parámetro Cadena de conexión de centro de eventos cuando configure un origen de registro en JSA. La clave de cadena principal de conexión y la clave secundaria de cadena de conexión son funcionalmente iguales.
      
      Ejemplo:
      Puede usar los valores nombre del espacio de nombres, nombre del concentrador de eventos, nombre de clave SAS y clave SAS , o puede usar el valor cadena de conexión del hub de eventos para conectarse al concentrador de eventos.
  3. En la sección Entidades , seleccione Grupos de consumidores. Registre el valor que se va a usar para el valor de parámetro Grupo de consumidores cuando configure un origen de registro en JSA.
  Nota:
  No utilice el grupo de consumidores $Default que se crea automáticamente. Utilice un grupo de consumidores existente que no esté en uso o cree un nuevo grupo de consumidores. Cada grupo de consumidores debe ser utilizado por un solo dispositivo, como JSA.

Solución de problemas del protocolo de centros de eventos de Microsoft Azure

Para resolver problemas con el protocolo de centros de eventos de Microsoft Azure, use la información de soporte y solución de problemas. Encuentre los errores mediante el uso de las herramientas de prueba de protocolo en la aplicación Administración de fuentes de registro de Juniper Secure Analytics.

Solución de problemas general

Los siguientes pasos se aplican a todos los errores de entrada del usuario. El procedimiento general de solución de problemas contiene los primeros pasos para seguir cualquier error con el protocolo de centros de eventos de Microsoft Azure.

Si la opción Usar cadena de conexión de centro de eventos o Usar cadena de conexión de cuenta de almacenamiento está desactivada, des lugar a Activar. Para obtener más información acerca de cómo obtener las cadenas de conexión, consulte Configuración de centros de eventos de Microsoft Azure para comunicarse con JSA.
Confirme que la cadena de conexión del centro de eventos de Microsoft Azure sigue el formato del ejemplo siguiente. Asegúrese de que el valor del parámetro entityPath sea el nombre del centro de eventos.
Después de guardar y cerrar el origen del registro, por motivos de seguridad, ya no puede ver los valores introducidos. Si no ve los valores, indíquelos y confirme su validez.
Confirme que la cadena de conexión de la cuenta de almacenamiento de Microsoft Azure sigue el formato del siguiente ejemplo.
Después de guardar y cerrar el origen del registro, por motivos de seguridad, ya no puede ver los valores introducidos. Si no ve los valores, vuelva a ingresarlos y confirme su validez.
Opcional: para la solución de problemas, establezca Usar como un origen de registro de puerta de enlace en Desactivado y establezca Formatear eventos de Azure Linux en Syslog en Activado. Esto obliga a que todos los eventos pasen por el tipo de origen de registro seleccionado. Esto puede determinar rápidamente si están llegando eventos mínimos y si no hay ningún problema de red o acceso.

Si deja Usar como fuente de registro de puerta de enlace establecido en Activado, asegúrese de que los eventos no llegan a JSA como desconocidos, almacenados o genéricos de sim. Si lo son, podría explicar por qué el protocolo parece no funcionar.
Asegúrese de que el grupo de consumidores proporcionado existe para el centro de eventos seleccionado. Para obtener más información, consulte Configuración de centros de eventos de Microsoft Azure para comunicarse con JSA.
Habilite la opción Adquirir automáticamente certificado de servidor o confirme que el certificado se agrega manualmente en JSA.
Asegurarse de que el tiempo del sistema JSA sea preciso; si el tiempo del sistema no es en tiempo real, es posible que tenga problemas de red.
Asegúrese de que el puerto 443 está abierto al host de la cuenta de almacenamiento. El host de cuenta de almacenamiento suele ser <Storage_Account_Name>.<something>, donde <something> generalmente se refiere al sufijo de punto de conexión.
Asegúrese de que el puerto 5671 esté abierto en el host del centro de eventos. El host de concentrador de eventos suele ser el <Endpoint> de la cadena de conexión del concentrador de eventos.

Para obtener más información, consulte:

Excepción de formato de cadena de conexión ilegal
Excepción de almacenamiento
Excepción de entidad ilegal
Excepción de sintaxis de URI
Excepción de clave no válida
Excepción de tiempo de espera
Otras excepciones

Excepción de formato de cadena de conexión ilegal

Síntomas

Error: "Asegúrese de que los parámetros de la cadena de conexión del centro de eventos o del centro de eventos son válidos".

"Esta excepción se produce cuando la cadena de conexión del centro de eventos o la información de hub de eventos que se proporciona no cumple con los requisitos para ser una cadena de conexión válida. Se intentará consultar el contenido en el siguiente intervalo de reintento".

Causas

La cadena de conexión del centro de eventos no coincide con las especificaciones establecidas por Microsoft. Este error también puede producirse si se copian caracteres inesperados, como el espacio en blanco, en la cadena de conexión del centro de eventos.

Resolver el problema

Siga estos pasos para resolver el error de cadena de conexión ilegal.

Asegúrese de que la cadena de conexión de la cuenta de almacenamiento sea válida y aparezca en un formato similar al del ejemplo siguiente:

Cuando mueva la cadena de conexión del centro de eventos del Portal de Azure a JSA, asegúrese de que no se agregan más espacios en blanco ni caracteres invisibles. Alternativamente, antes de copiar la cadena, asegúrese de no copiar ningún caracter adicional ni espacio en blanco.

Excepción de almacenamiento

Síntomas

Error: "No se puede conectar con la cuenta de almacenamiento [Nombre de cuenta de almacenamiento]. Asegúrese de que la cadena de conexión de la cuenta de almacenamiento sea válida y que JSA pueda conectarse a [Nombre de host de cuenta de almacenamiento]".

"Se produjo un error que representa una excepción para el servicio de almacenamiento de Microsoft Azure. Se intentará consultar el contenido en el siguiente intervalo de reintento".

Causas

Los errores de excepción de almacenamiento representan problemas que se producen cuando se autentica con una cuenta de almacenamiento o cuando se comunica con una cuenta de almacenamiento. Se intenta consultar el contenido en el siguiente intervalo de reintento. Hay dos problemas comunes que pueden producirse debido a una excepción de almacenamiento.

La cadena de conexión de la cuenta de almacenamiento no es válida.
Los problemas de red impiden que JSA se comunique con la cuenta de almacenamiento.

Resolver el problema

Siga estos pasos para resolver el error de excepción de almacenamiento.

Asegúrese de que la cadena de conexión de la cuenta de almacenamiento es válida y que se muestra en un formato similar al del ejemplo siguiente.
Asegúrese de que JSA pueda comunicarse con el host de cuenta de almacenamiento en el puerto 443.
Asegúrese de que JSA pueda comunicarse con el centro de eventos en los puertos 5671 y 5672.
Compruebe que la hora del sistema en JSA coincide con la hora actual. La configuración de seguridad de la cuenta de almacenamiento evita que los tiempos no coincidan entre el servidor (cuenta de almacenamiento) y el cliente (JSA).
Asegúrese de que un certificado se descarga de forma manual o con la opción Adquirir automáticamente certificados de servidor . Los certificados se descargan desde <Storage Account Name>.blob.core.windows.net.

Excepción de entidad ilegal

Síntomas

Error: "No se puede encontrar una entidad, como el Centro de eventos. Compruebe que la información proporcionada del Centro de eventos es válida. Esta excepción se produce cuando la cadena de conexión del centro de eventos o la información de hub de eventos que se proporciona no cumple los requisitos para ser una cadena de conexión válida. Se intentará consultar el contenido en el siguiente intervalo de reintento".

Error: "No se encontró la entidad de mensajería 'sb://qahub4.servicebus.windows.net/notreal'. Para saber más, visite https://aka.ms/sbResourceMgrExceptions."

Error: "com.microsoft.azure.eventhubs.IlegalEntityException: no se encontró la entidad de mensajería 'sb:// qahub4.servicebus.windows.net/notreal'. Para obtener más información, visite https://aka.ms/ sbResourceMgrExceptions".

Causas

El concentrador de eventos (entidad) no existe o la cadena de conexión del concentrador de eventos no contiene una referencia a un concentrador de eventos (entidad).

Resolver el problema

Siga estos pasos para resolver el error de entidad ilegal.

Asegúrese de que la cadena de conexión del concentrador de eventos contiene la sección entitypath y que hace referencia al nombre de los concentradores de eventos. Por ejemplo,
Compruebe que el concentrador de eventos existe en el Portal de Azure y que la ruta de concentrador de eventos hace referencia a la entitypath que desea conectarse.
Compruebe que el grupo de consumidores se creó y se escribió correctamente en el campo Grupo de consumidores .

Excepción de sintaxis de URI

Síntomas

Error: "El URI de la cuenta de almacenamiento está malformado. Asegúrese de que la información de la Cuenta de almacenamiento sea válida y esté debidamente formateada. No se puede conectar con el host".

Error: "No se pudo analizar el texto como una referencia URI. Para obtener más información, consulte el "Mensaje de error sin formato". Se intentará consultar el contenido en el siguiente intervalo de reintento".

Causas

El URI que se forma a partir de la cadena de conexión de la cuenta de almacenamiento no es válido. El URI se forma a partir de los DefaultEndpointsProtocol, AccountName, campos y EndpointSuffix . Si uno de estos campos se altera, puede producirse esta excepción.

Resolver el problema

Vuelva a copiar la cadena de conexión de la cuenta de almacenamiento desde el Portal de Azure. Se muestra de manera similar al ejemplo siguiente:

Excepción de clave no válida

Síntomas

Error: "La clave de cuenta de almacenamiento no era válida. No se puede conectar con el host".

Error: "Se encontró una clave no válida. Este error suele asociarse con contraseñas o claves de autorización. Para obtener más información, consulte el "Mensaje de error sin formato". Se intentará consultar el contenido en el siguiente intervalo de reintento".

Causas

La clave que se forma a partir de la cadena de conexión de la cuenta de almacenamiento no es válida. La clave de cuenta de almacenamiento está en la cadena de conexión. Si se altera la clave, es posible que no sea válida.

Resolver el problema

Desde azure portal, vuelva a copiar la cadena de conexión de la cuenta de almacenamiento. Se muestra de manera similar al ejemplo siguiente:

Excepción de tiempo de espera

Síntomas

Error: "Asegúrese de que no hay problemas relacionados con la red que impidan la conexión. Además, asegúrese de que las cadenas de conexión de la cuenta de almacenamiento y el centro de eventos sean válidas".

Error: "El servidor no respondió a la operación solicitada dentro del tiempo especificado, que está controlado por OperationTimeout. Es posible que el servidor haya completado la operación solicitada. Esta excepción puede deberse a retrasos en la red u otras infraestructuras. Se intentará consultar el contenido en el siguiente intervalo de reintento".

Causas

La causa más común es que la información de la cadena de conexión no es válida. La red puede estar bloqueando la comunicación, lo que da como resultado un tiempo de espera. Aunque es poco común, es posible que el período de espera predeterminado (60 segundos) no sea lo suficientemente largo debido a la congestión de la red.

Resolver el problema

Siga estos pasos para resolver el error de excepción de tiempo de espera.

Cuando copie la cadena de conexión del centro de eventos del Portal de Azure a JSA, asegúrese de que no se agregan más espacios en blanco ni caracteres invisibles. Alternativamente, antes de copiar la cadena, asegúrese de no copiar ningún caracter adicional ni espacio en blanco.
Compruebe que la cadena de conexión de la cuenta de almacenamiento es válida y que aparece en un formato similar al del ejemplo siguiente:
Asegúrese de que JSA pueda comunicarse con el host de cuenta de almacenamiento en el puerto 443 y con el concentrador de eventos en los puertos 5671 y 5672.
Asegúrese de que un certificado se descarga de forma manual o con la opción Adquirir automáticamente certificados de servidor . Los certificados se descargan desde <Storage Account Name>.blob.core.windows.net
Avanzado: hay un parámetro oculto que puede aumentar el tiempo de espera predeterminado de 60 segundos. Póngase en contacto con el servicio de atención al cliente de Juniper para obtener ayuda para aumentar el tiempo de espera.

Otras excepciones

Síntomas

Error: "Asegúrese de que no hay problemas relacionados con la red que impidan la conexión. Además, asegúrese de que las cadenas de conexión de la cuenta de almacenamiento y el centro de eventos sean válidas".

Error: "Se produjo un error. Para obtener más información, consulte el \"Mensaje de error sin formato\". Se intentará consultar el contenido en el siguiente intervalo de reintento"

Causas

Las excepciones de esta categoría son desconocidas para el protocolo y son inesperadas. Estas excepciones pueden ser difíciles de solucionar y, por lo general, requieren investigación para resolver.

Resolver el problema

Siga estos pasos para resolver el error. Podrían resolver algunos de los problemas más comunes.

Asegúrese de que la cadena de conexión del concentrador de eventos usa el mismo formato o un formato similar como se muestra en el siguiente ejemplo:

Cuando mueva la cadena de conexión del centro de eventos del Portal de Azure a JSA, asegúrese de que no se agregan más espacios en blanco ni caracteres invisibles. Alternativamente, antes de copiar la cadena, asegúrese de no copiar ningún caracter adicional ni espacio en blanco.
Asegúrese de que la cadena de conexión de la cuenta de almacenamiento es válida y que se muestra en un formato similar al siguiente ejemplo:
Asegúrese de que JSA pueda comunicarse con el host de la cuenta de almacenamiento en el puerto 443 y con el concentrador de eventos en los puertos 5671 y 5672.
Compruebe que un certificado se descarga manualmente o con la opción Adquirir automáticamente certificados de servidor. Los certificados se descargan desde <Storage Account Name>.blob.core.windows.net.
Compruebe que la hora del sistema en JSA coincide con la hora actual. La configuración de seguridad de la cuenta de almacenamiento evita que los tiempos no coincidan entre el servidor (cuenta de almacenamiento) y el cliente (JSA).

Preguntas frecuentes sobre el protocolo de centros de eventos de Microsoft Azure

Use estas preguntas y respuestas más frecuentes para ayudarlo a comprender el protocolo de centros de eventos de Microsoft Azure.

¿Por qué necesito una cuenta de almacenamiento para conectarme a un centro de eventos?

Debe tener una cuenta de almacenamiento para el protocolo de centros de eventos de Microsoft Azure para administrar el arrendamiento y las particiones de un concentrador de eventos.

¿Por qué el protocolo de Centros de eventos de Microsoft Azure usa la cuenta de almacenamiento?

El protocolo de Centros de eventos de Microsoft Azure usa la cuenta de almacenamiento para rastrear la propiedad de la partición. Este protocolo crea archivos de blob en la cuenta de almacenamiento de Azure en el directorio <Event Hub Name> → < Nombre del grupo> de proveedores. Cada archivo de blob se relaciona con una partición numerada que administra el concentrador de eventos.

¿Cuántos datos necesita almacenar la cuenta de almacenamiento?

La cantidad de datos que se deben almacenar en una cuenta de almacenamiento es la cantidad de particiones que se multiplican por ~150 bytes.

¿Mi cuenta de almacenamiento debe contener eventos?

No. Almacenar los registros en el almacenamiento es una opción proporcionada por Microsoft. Sin embargo, el protocolo no utiliza esta opción.

¿Cómo es un archivo blob creado por el protocolo de Centros de eventos de Microsoft Azure?

En el siguiente ejemplo, se muestra lo que se almacena en un archivo de blob creado por el protocolo:

{"offset":"@latest","sequenceNumber":0,"partitionId":"3","epoch":8,"owner":"","token":""}”

¿Puedo usar la misma cuenta de almacenamiento con otros centros de eventos?

No hay restricciones sobre cuántos centros de eventos pueden almacenar datos en una cuenta de almacenamiento. Puede usar la misma cuenta de almacenamiento para todos los orígenes de registro en el mismo entorno JSA. Esto crea una única ubicación para todas las carpetas y archivos de administración de particiones del centro de eventos.

¿Qué hago si el protocolo no recopila eventos?

Si el protocolo parece estar funcionando y las herramientas de prueba de protocolo pasan todas las pruebas y no ve eventos, siga estos pasos para confirmar si se publicaron eventos.

Confirme que el centro de eventos debe recopilar eventos. Si la configuración lateral de Azure no es correcta, es posible que el centro de eventos no recopile los eventos.
Si el origen de registro Usar como puerta de enlace está habilitado, realice una búsqueda de carga de los eventos que recopila el origen de registro del Hub de eventos. Si no está seguro de cómo deberían ser los eventos, vaya al paso 4.
Si la opción Usar como fuente de registro de puerta de enlace está habilitada y el protocolo no recopila eventos, pruebe el mismo origen de registro con la puerta de enlace deshabilitada. Al establecer usar como fuente de registro de puerta de enlace como deshabilitado, todos los eventos recopilados se ven obligados a usar el origen de registro que está conectado al protocolo. Si llegan eventos cuando el uso como fuente de registro de puerta de enlace está deshabilitado, pero los eventos no llegan cuando usar como fuente de registro de puerta de enlace está habilitado, es posible que haya un problema con las opciones de identificador de origen de registro o que el análisis de tráfico no pueda coincidir automáticamente los eventos con un DSM.
Si identificó en los pasos 2 o 3 que los eventos no se presentan en el origen de registro esperado, es posible que haya un problema con los orígenes de registro del centro de eventos logsourceidentifierpattern. Por problemas relacionados con el patrón de identificador de origen de registro del centro de eventos, es posible que deba ponerse en contacto con el Soporte al cliente de Juniper.

¿Por qué necesito abrir los puertos para dos IP diferentes que tienen puertos diferentes?

Necesita dos IP diferentes para tener puertos diferentes abiertos, ya que el protocolo del centro de eventos de Microsoft Azure se comunica entre el host de concentrador de eventos y el host de cuenta de almacenamiento.

La conexión del centro de eventos usa el Protocolo de cola avanzada de mensajes (AMQP) con los puertos 5671 y 5672. La cuenta de almacenamiento usa HTTPS con los puertos 443. Dado que la cuenta de almacenamiento y el centro de eventos tienen IP diferentes, debe abrir dos puertos diferentes.

¿Puedo recopilar eventos <Service/Product> mediante el protocolo de Centros de eventos de Microsoft?

El protocolo Centros de eventos de Microsoft recopila todos los eventos que se envían al concentrador de eventos, pero no todos los eventos son parsados por un DSM compatible. Para obtener una lista de los DSM compatibles, consulte DSM compatibles con JSA.

¿Qué hace la opción Formatear eventos de Azure Linux a Syslog?

Esta opción toma el evento De Azure Linux, que se envuelve en un formato JSON con metadatos, y lo convierte a un formato syslog estándar. A menos que haya una razón específica por la que se requieren los metadatos en la carga, active esta opción. Cuando esta opción está deshabilitada, las cargas no se comparan con los DSM de Linux.

Opciones de configuración del protocolo de la API DE REST de Microsoft Defender para puntos de conexión SIEM

Configure un Microsoft Defender para el protocolo DE API REST DE SIEM de punto de conexión para recibir eventos de los módulos de soporte de dispositivos (DSM) compatibles.

El protocolo DE LA API DE REST de Microsoft Defender para puntos de conexión SIEM es un protocolo activo/saliente.

Nota:

Debido a un cambio en el conjunto de API de Microsoft Defender a partir del 25 de noviembre de 2021, Microsoft ya no permite la incorporación de nuevas integraciones con su API SIEM. Las integraciones existentes siguen funcionando. La API de transmisión se puede usar con el protocolo de centros de eventos de Microsoft Azure para proporcionar eventos y reenvío de alertas a JSA.

Para obtener más información acerca del servicio y su configuración, consulte Configurar Microsoft 365 Defender para transmitir eventos de búsqueda avanzada a su Centro de eventos de Azure.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo DE API DE REST de Microsoft Defender para el punto de conexión SIEM:

Tabla 27: Microsoft Defender para el punto de conexión SIEM REST API Protocolo
Parámetro	Valor
Tipo de fuente de registro	Defensor de Microsoft 365
Configuración de protocolo	API REST de Microsoft Defender para el punto de conexión SIEM
URL del servidor de autorización	La dirección URL del servidor que proporciona la autorización para obtener un token de acceso. El token de acceso se utiliza como autorización para recopilar eventos de Microsoft 365 Defender. La DIRECCIÓN URL del servidor de autorización utiliza el siguiente formato: `"https://login.microsoftonline.com/<Tenant_ID>/oauth2/token”` donde <Tenant_ID> es un UUID.
Recursos	Recurso que se usa para tener acceso a los eventos de la API DE SIEM de Microsoft 365 Defender.
ID de cliente	Garantiza que el usuario esté autorizado a obtener un token de acceso.
Secreto de cliente	El valor secreto de cliente solo se muestra una vez y, luego, ya no es visible. Si no tiene acceso al valor secreto de cliente , póngase en contacto con el administrador de Microsoft Azure para solicitar un nuevo secreto de cliente.
Región	Seleccione las regiones asociadas con la API de SIEM de Microsoft 365 Defender desde las que desea recopilar registros.
Otra región	Escriba los nombres de cualquier región adicional que esté asociada con la API SIEM de Microsoft 365 Defender de la que desea recopilar registros. Utilice una lista separada por comas; por ejemplo, region1,region2.
Usar puntos de conexión GCC	Habilite o desactive el uso de puntos de conexión GCC y GCC High & DOD . Los puntos de conexión de GCC y GCC High & DOD son puntos de conexión para los clientes del gobierno de EE. UU. Propina: Cuando este parámetro está habilitado, no puede configurar el parámetro Regions . Para obtener más información, consulte Microsoft Defender for Endpoint para clientes del gobierno de EE. UU.
Tipo GCC	Seleccione GCC o GCC High & DOD. GCC: Nube de comunidad gubernamental de Microsoft GCC High & DoD: Cumple con las regulaciones del Departamento de Defensa.
Usar proxy	Si se configura un proxy para JSA, todo el tráfico del origen del registro viaja a través del proxy para que JSA pueda tener acceso a la API SIEM de Microsoft 365 Defender. Configure los campos Servidor proxy, puerto proxy, nombre de usuario de proxy y contraseña de proxy . Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
Repetición	Puede especificar la frecuencia con la que el registro recopila datos. El formato es M/H/D por minutos/horas/días. El valor predeterminado es 5 M.
Aceleración de EPS	El límite superior para la cantidad máxima de eventos por segundo (EPS). El valor predeterminado es 5000.

Si necesita crear máquinas virtuales (VM) y probar la conexión entre Microsoft Defender para endpoint y JSA, consulte Microsoft Defender para el laboratorio de evaluación de punto de conexión.

Opciones de configuración del protocolo DHCP de Microsoft

Para recibir eventos de los servidores Microsoft DHCP, configure un origen de registro para usar el protocolo DHCP de Microsoft.

El protocolo DHCP de Microsoft es un protocolo de salida/activo.

Para leer los archivos de registro, las rutas de carpeta que contienen un recurso compartido administrativo (C$) requieren privilegios NetBIOS en el recurso compartido administrativo (C$). Los administradores locales o de dominio tienen privilegios suficientes para acceder a los archivos de registro en recursos compartidos administrativos.

Los campos del protocolo DHCP de Microsoft que admiten rutas de archivo permiten a los administradores definir una letra de unidad con la información de ruta. Por ejemplo, el campo puede contener el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público, pero no puede contener el directorio c:/LogFiles .

Nota:

El protocolo de autenticación de Microsoft NTLMv2 no es compatible con el protocolo DHCP de Microsoft.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo DHCP de Microsoft:

Tabla 28: Parámetros de protocolo DHCP de Microsoft
Parámetro	Descripción
Configuración de protocolo	Microsoft DHCP
Identificador de origen de registro	Escriba un nombre de host único u otro identificador único del origen del registro.
Dirección del servidor	La dirección IP o el nombre de host del servidor MICROSOFT DHCP.
Dominio	Escriba el dominio para su servidor MICROSOFT DHCP. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para tener acceso al servidor DHCP.
Contraseña	Escriba la contraseña necesaria para tener acceso al servidor DHCP.
Confirmar contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Ruta de la carpeta	La ruta del directorio a los archivos de registro DHCP. El valor predeterminado es /WINDOWS/system32/dhcp/
Patrón de archivo	La expresión regular (regex) que identifica los registros de eventos. Los archivos de registro deben contener una abreviatura de tres caracteres para un día de la semana. Utilice uno de los siguientes patrones de archivo: Inglés: Patrón de archivo IPv4: `DhcpSrvLog-(?:Sun\|Mon\|Tue\|Wed\|Thu\|Fri\|Sat) \.log`. Patrón de archivo IPv6: `DhcpV6SrvLog-(?:Sun\|Mon\|Tue\|Wed\|Thu\|Fri\|Sat) \.log`. Patrón de archivo IPv4 e IPv6 mixto: Dhcp.SrvLog- (?:Sun\| lunes\| Mar\| Mie\| Thu\| Viernes\| Sat)\.log. Patrón de archivo IPv4 e IPv6 mixto: `Dhcp.SrvLog-(?:Sun\|Mon\|Tue\|Wed\|Thu\|Fri\|Sat) \.log`. Polaco: Patrón de archivo IPv4: `DhcpSrvLog-(?:Pia\|Pon\|Sob\|Wto\|Sro\|Csw\|Nie) \.log`. Patrón de archivo IPv6: `DhcpV6SrvLog-(?:Pt\|Pon\|So\|Wt\|Si\|Csw\|Nie) \.log`.
Recursiva	Seleccione esta opción si desea que el patrón de archivo busque en las subcarpetas.
Versión para SMB	La versión de SMB que se utilizará: AUTO : detecta automáticamente en la versión más alta que el cliente y el servidor acuerdan usar. SMB1 - Fuerza el uso de SMB1. SMB1 usa el `jCIFS.jar` archivo (Java ARchive). Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para usar SMB2 o SMB3. SMB2 - Fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3 - Fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión de SMB específica (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada sea compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones de SMB están habilitadas en el servidor windows especificado.
Intervalo de sondeo (en segundos)	Número de segundos entre las consultas a los archivos de registro para buscar datos nuevos. El intervalo mínimo de sondeo es de 10 segundos. El intervalo máximo de sondeo es de 3.600 segundos.
Eventos de aceleración por segundo	Número máximo de eventos que el protocolo DHCP puede reenviar por segundo. El valor mínimo es 100 EPS. El valor máximo es de 20 000 EPS.
Codificación de archivos	Codificación de caracteres que utilizan los eventos del archivo de registro.
Habilitado	Cuando esta opción no está habilitada, el origen del registro no recopila eventos y el origen del registro no se cuenta en el límite de licencia.
Credibilidad	La credibilidad es una representación de la integridad o validez de los eventos creados por un origen de registro. El valor de credibilidad asignado a un origen de registro puede aumentar o disminuir según los eventos entrantes o ajustarse como respuesta a las reglas de eventos creadas por el usuario. La credibilidad de los eventos de las fuentes del registro contribuye al cálculo de la magnitud de la infracción y puede aumentar o disminuir el valor de la magnitud de una infracción.
Recolector de eventos de destino	Especifica el recopilador de eventos JSA que sondear el origen de registro remoto. Use este parámetro en una implementación distribuida para mejorar el rendimiento del sistema de la consola moviendo la tarea de sondeo a un recopilador de eventos.
Eventos de unección	Aumenta el recuento de eventos cuando se produce el mismo evento varias veces en un intervalo de tiempo corto. Los eventos coalesced proporcionan una forma de ver y determinar la frecuencia con la que se produce un único tipo de evento en la pestaña Actividad de registro. Cuando esta casilla de verificación está desactivada, los eventos se visualizan individualmente y los eventos no se agrupan. Los orígenes de registro nuevos y detectados automáticamente heredan el valor de esta casilla de verificación de la configuración de configuración del sistema en la ficha Administrador . Puede usar esta casilla de verificación para invalidar el comportamiento predeterminado de la configuración del sistema de un origen de registro individual.

Opciones de configuración del protocolo de Microsoft Exchange

Para recibir eventos de SMTP, OWA y eventos de seguimiento de mensajes de servidores de Microsoft Exchange 2007, 2010, 2013 y 2017, configure un origen de registro para usar el protocolo Microsoft Exchange.

El protocolo Microsoft Exchange es un protocolo de salida/activo

Para leer los archivos de registro, las rutas de carpeta que contienen un recurso compartido administrativo (C$) requieren privilegios NetBIOS en el recurso compartido administrativo (C$). Los administradores locales o de dominio tienen privilegios suficientes para acceder a los archivos de registro en recursos compartidos administrativos.

Los campos para el protocolo de Microsoft Exchange que admiten rutas de archivo permiten a los administradores definir una letra de unidad con la información de ruta. Por ejemplo, el campo puede contener el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público, pero no puede contener el directorio c:/LogFiles .

Nota:

El protocolo de Microsoft Exchange no admite sesión de Microsoft Exchange 2003 ni el protocolo de autenticación de Microsoft NTLMv2.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo de Microsoft Exchange:

Tabla 29: Parámetros de protocolo de Microsoft Exchange
Parámetro	Descripción
Configuración de protocolo	Microsoft Exchange
Identificador de origen de registro	Escriba la dirección IP, el nombre de host o el nombre para identificar el origen del registro.
Dirección del servidor	La dirección IP o el nombre de host de su microsoft exchange server.
Dominio	Escriba el dominio para el servidor de Microsoft Exchange. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para tener acceso al servidor de Microsoft Exchange.
Contraseña	Escriba la contraseña necesaria para tener acceso al servidor de Microsoft Exchange.
Confirmar contraseña	Escriba la contraseña necesaria para tener acceso al servidor de Microsoft Exchange.
Ruta de la carpeta de registro SMTP	La ruta del directorio para tener acceso a los archivos de registro SMTP. La ruta predeterminada del archivo es Program Files/Microsoft/Exchange Server/TransportRoles/Logs/ProtocolLog Cuando la ruta de la carpeta está despejada, la recopilación de eventos SMTP se deshabilita.
Ruta de la carpeta de registro de OWA	La ruta del directorio para acceder a los archivos de registro de OWA. La ruta predeterminada del archivo es Windows/system32/LogFiles/W3SVC1 Cuando la ruta de la carpeta está despejada, la recopilación de eventos OWA se deshabilita.
Ruta de la carpeta de registro MSGTRK	La ruta del directorio para acceder a los registros de seguimiento de mensajes. La ruta predeterminada del archivo es Program Files/Microsoft/Exchange Server/TransportRoles/Logs/MessageTracking El seguimiento de mensajes está disponible en servidores de Microsoft Exchange 2017 o 2010 a los que se les asigna el rol de servidor transporte de concentrador, buzón de correo o transporte perimetral.
Usar patrones de archivo personalizados	Active esta casilla de verificación para configurar patrones de archivo personalizados. Deje la casilla de verificación despejada para usar los patrones de archivo predeterminados.
Patrón de archivo MSGTRK	La expresión regular (regex) que se utiliza para identificar y descargar los registros de MSTRK. Se procesan todos los archivos que coincidan con el patrón de archivos. El patrón de archivo predeterminado es MSGTRK\d+-\d+\.(?:log\| REGISTRO)$ Se procesan todos los archivos que coincidan con el patrón de archivos.
Patrón de archivo MSGTRKMD	La expresión regular (regex) que se utiliza para identificar y descargar los registros de MSGTRKMD. Se procesan todos los archivos que coincidan con el patrón de archivos. El patrón de archivo predeterminado es MSGTRKMD\d+-\d+\.(?:log\| REGISTRO)$ Se procesan todos los archivos que coincidan con el patrón de archivos.
Patrón de archivo MSGTRKMS	La expresión regular (regex) que se utiliza para identificar y descargar los registros de MSGTRKMS. Se procesan todos los archivos que coincidan con el patrón de archivos. El patrón de archivo predeterminado es MSGTRKMS\d+-\d+\.(?:log\| REGISTRO)$ Se procesan todos los archivos que coincidan con el patrón de archivos.
Patrón de archivo MSGTRKMA	La expresión regular (regex) que se utiliza para identificar y descargar los registros de MSGTRKMA. Se procesan todos los archivos que coincidan con el patrón de archivos. El patrón de archivo predeterminado es MSGTRKMA\d+-\d+\.(?:log\| Se procesan todos los archivos que coincidan con el patrón de archivos.
Patrón de archivo SMTP	La expresión regular (regex) que se utiliza para identificar y descargar los registros smtp. Se procesan todos los archivos que coincidan con el patrón de archivos. El patrón de archivo predeterminado es .*\.(?:log\| REGISTRO)$ Se procesan todos los archivos que coincidan con el patrón de archivos.
Patrón de archivo OWA	La expresión regular (regex) que se utiliza para identificar y descargar los registros de OWA. Se procesan todos los archivos que coincidan con el patrón de archivos. El patrón de archivo predeterminado es .*\.(?:log\| REGISTRO)$ Se procesan todos los archivos que coincidan con el patrón de archivos.
Fuerza de lectura del archivo	Si la casilla de verificación está desactivada, el archivo de registro solo se lee cuando JSA detecta un cambio en el tiempo modificado o en el tamaño del archivo.
Recursiva	Si desea que el patrón de archivo busque subcarpetas, utilice esta opción. De forma predeterminada, la casilla de verificación está activada.
Versión para SMB	Seleccione la versión de SMB que desea usar. AUTO : detecta automáticamente en la versión más alta que el cliente y el servidor acuerdan usar. SMB1 - Fuerza el uso de SMB1. SMB1 utiliza el `jCIFS.jar` archivo (Java ARchive) Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para usar SMB2 o SMB3. SMB2 - Fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3 : fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión de SMB específica (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada sea compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones de SMB están habilitadas en el servidor windows especificado.
Intervalo de sondeo (en segundos)	Escriba el intervalo de sondeo, que es el número de segundos entre las consultas a los archivos de registro para buscar datos nuevos. El valor predeterminado es de 10 segundos.
Eventos de aceleración/segundo	Número máximo de eventos que el protocolo de Microsoft Exchange puede reenviar por segundo.
Codificación de archivos	Codificación de caracteres que utilizan los eventos del archivo de registro.

Opciones de configuración del protocolo de la API de seguridad de Microsoft Graph

Para recibir eventos de la API de seguridad de Microsoft Graph, configure un origen de registro en JSA para usar el protocolo de la API de seguridad de Microsoft Graph.

El protocolo de la API de seguridad de Microsoft Graph es un protocolo de salida/activo. Es posible que su DSM también use este protocolo. Para obtener una lista de los DSM compatibles, consulte DSM compatibles con JSA.

Los siguientes parámetros requieren valores específicos para recopilar eventos de los servidores de Seguridad de Microsoft Graph:

Tabla 30: Parámetros de origen de registro de seguridad de Microsoft Graph
Parámetro	Valor
Tipo de fuente de registro	Un tipo de origen de registro personalizado o un DSM específico que use este protocolo.
Configuración de protocolo	API de seguridad de Microsoft Graph
ID de inquilino	El valor de ID de inquilino que se usa para la autenticación de Microsoft Azure Active Directory.
ID de cliente	El valor del parámetro Client ID de la configuración de la aplicación de Microsoft Azure Active Directory.
Secreto de cliente	El valor del parámetro Client Secret de la configuración de la aplicación de Microsoft Azure Active Directory.
Filtro de eventos	Recuperar eventos mediante el filtro de consulta de la API de security Graph de Microsoft. Por ejemplo, la severidad eq 'alta'. No escriba "filter=" antes del parámetro filter.
Usar proxy	Si JSA tiene acceso a la API de seguridad de Microsoft Graph por proxy, active esta casilla de verificación. Si el proxy requiere autenticación, configure los campos Nombre de host o IP del proxy, puerto de proxy, nombre de usuario de proxy y proxy . Si el proxy no requiere autenticación, configure los campos Nombre de host de proxy o IP y Puerto de proxy .
IP de proxy o nombre de host	La dirección IP o el nombre de host del servidor proxy. Si Usar proxy se establece en False, esta opción se oculta.
Puerto proxy	Número de puerto que se utiliza para comunicarse con el proxy. El valor predeterminado es 8080. Si Usar proxy se establece en False, esta opción se oculta.
Nombre de usuario de proxy	Nombre de usuario que se utiliza para comunicarse con el proxy. Si Usar proxy se establece en False, esta opción se oculta.
Contraseña de proxy	La contraseña que se utiliza para acceder al proxy. Si Usar proxy se establece en False, esta opción se oculta.
Repetición	Escriba un intervalo de tiempo que comience en la hora de inicio para determinar la frecuencia con la que la encuesta analiza los datos nuevos. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, 2H - 2 horas, 15M - 15 minutos. El valor predeterminado es 1M.
Aceleración de EPS	Número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.
Mostrar opciones avanzadas	Para configurar las opciones avanzadas para la recopilación de eventos, establezca esta opción en. Nota: Los valores de opción avanzadas están vigentes incluso si no modifica los valores.
Punto de conexión de inicio de sesión	Especifique el punto de conexión de inicio de sesión de Azure AD. El valor predeterminado es login.microsoftonline.com. Si deshabilita Mostrar opciones avanzadas, esta opción se ocultará.
Punto de conexión de API de gráficos	Especifique la DIRECCIÓN URL de la API de seguridad de Microsoft Graph. El valor predeterminado es https://graph.microsoft.com. Si deshabilita Mostrar opciones avanzadas, esta opción se ocultará.

Configuración de la API de seguridad de Microsoft Graph para comunicarse con JSA

Integre la API de seguridad de Microsoft Graph con JSA antes de usar el protocolo.

Para integrar la API de seguridad de Microsoft Graph con JSA, necesita Microsoft Azure Active Directory.

Si las actualizaciones automáticas no están habilitadas, las RPM estarán disponibles para su descarga en las descargas de Juniper. Descargue e instale la versión más reciente de las siguientes RPM en su consola JSA.
- RPM común de protocolo
- Protocolo RPM de la API de seguridad de Microsoft Graph
Configure el servidor de la API de seguridad de Microsoft Graph para reenviar eventos a JSA siguiendo estas instrucciones:
1. Cómo: Usar el portal para crear una aplicación y una entidad de servicio de Azure AD que puedan tener acceso a los recursos
2. Autorización y la API de seguridad de Microsoft Graph
  
  Debe incluir las siguientes funciones de aplicación en el token de acceso:
  - SecurityEvents.Read.All
  - User.Read.All
  - SecurityActions.Read.All
  - IdentityRiskyUser.Read.All
  - IdentityRiskEvent.Read.All
  Nota:
  Debe designar las funciones de la aplicación con permisos de aplicación . Si su entorno no acepta permisos de aplicación , puede usar permisos delegados .
Agregue un origen de registro de protocolo de la API de gráfico de seguridad de Microsoft en la consola JSA mediante un tipo de origen de registro personalizado o un DSM específico que use este protocolo.

Para obtener más información acerca de los DSM compatibles, consulte DSM compatibles con JSA. Para obtener más información acerca de cómo agregar un origen de registro en JSA, consulte Agregar un origen de registro.

Opciones de configuración del protocolo Microsoft IIS

Puede configurar un origen de registro para usar el protocolo Microsoft IIS. Este protocolo admite un único punto de recopilación para los archivos de registro de formato W3C que se encuentran en un servidor web microsoft IIS.

El protocolo Microsoft IIS es un protocolo de salida/activo.

Para leer los archivos de registro, las rutas de carpeta que contienen un recurso compartido administrativo (C$) requieren privilegios NetBIOS en el recurso compartido administrativo (C$). Los administradores locales o de dominio tienen privilegios suficientes para acceder a los archivos de registro en recursos compartidos administrativos.

Los campos del protocolo Microsoft IIS que admiten rutas de archivo permiten a los administradores definir una letra de unidad con la información de ruta. Por ejemplo, el campo puede contener el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público, pero no puede contener el directorio c:/LogFiles .

Nota:

El protocolo de autenticación de Microsoft NTLMv2 no es compatible con el protocolo de Microsoft IIS.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo de Microsoft IIS:

Tabla 31: Parámetros de protocolo de Microsoft IIS
Parámetro	Descripción
Configuración de protocolo	Microsoft IIS
Identificador de origen de registro	Escriba la dirección IP, el nombre de host o un nombre único para identificar el origen del registro.
Dirección del servidor	La dirección IP o el nombre de host del servidor microsoft IIS.
Dominio	Escriba el dominio para el servidor de Microsoft IIS. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para tener acceso al servidor.
Contraseña	Escriba la contraseña necesaria para acceder al servidor.
Confirmar contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Ruta de la carpeta de registro	La ruta del directorio para acceder a los archivos de registro. Por ejemplo, los administradores pueden usar el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público. Sin embargo, el directorio c:/LogFiles no es una ruta de carpeta de registro compatible. Si una ruta de carpeta de registro contiene un recurso compartido administrativo (C$), los usuarios con acceso NetBIOS en el recurso compartido administrativo (C$) tienen los privilegios necesarios para leer los archivos de registro. Los privilegios de administrador de dominio o sistema local también son suficientes para tener acceso a los archivos de registro que se encuentran en un recurso compartido administrativo.
Patrón de archivo	La expresión regular (regex) que identifica los registros de eventos.
Recursiva	Si desea que el patrón de archivo busque subcarpetas, utilice esta opción. De forma predeterminada, la casilla de verificación está activada.
Versión para SMB	Seleccione la versión de SMB que desea usar. AUTO : detecta automáticamente en la versión más alta que el cliente y el servidor acuerdan usar. SMB1 - Fuerza el uso de SMB1. SMB1 usa el `jCIFS.jar` archivo (Java ARchive). Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para usar SMB2 o SMB3. SMB2 - Fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3 - Fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión de SMB específica (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada sea compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones de SMB están habilitadas en el servidor windows especificado.
Intervalo de sondeo (en segundos)	Escriba el intervalo de sondeo, que es el número de segundos entre las consultas a los archivos de registro para buscar datos nuevos. El valor predeterminado es de 10 segundos.
Eventos de aceleración/segundo	La cantidad máxima de eventos que el protocolo IIS puede reenviar por segundo.
Codificación de archivos	Codificación de caracteres que utilizan los eventos del archivo de registro.

Nota:

Si usa registro avanzado de IIS, debe crear una nueva definición de registro. En la ventana Definición de registro , asegúrese de que los siguientes campos estén seleccionados en la sección Campos seleccionados :

Fecha -UTC
Hora de UTC
URI-Stem
URI-querystring
Contentpath
Estado
Nombre del servidor
Referer
Win325Status
Bytes enviados

Opciones de configuración del protocolo de registro de eventos de seguridad de Microsoft

Puede configurar un origen de registro para usar el protocolo registro de eventos de seguridad de Microsoft. Puede usar MicrosoftWindows Management Instrumentation (WMI) para recopilar registros de eventos personalizados o registros de eventos de Agente menos Windows.

La API de WMI requiere que las configuraciones de firewall acepten comunicaciones externas entrantes en el puerto 135 y en cualquier puerto dinámico que se requiera para DCOM. En la lista siguiente se describen las limitaciones del origen de registro de registro de registros de seguridad que usa el protocolo de registro de eventos de seguridad de Microsoft:

Los sistemas que superan los 50 eventos por segundo (eps) pueden superar las capacidades de este protocolo. Utilice WinCollect para sistemas que superen los 50 eps.
Una instalación todo en uno JSA puede admitir hasta 250 orígenes de registro con el protocolo registro de eventos de seguridad de Microsoft.
Los recolectores de eventos JSA dedicados pueden admitir hasta 500 orígenes de registro mediante el protocolo registro de eventos de seguridad de Microsoft.

El protocolo registro de eventos de seguridad de Microsoft es un protocolo de salida/activo. Este protocolo no se sugiere para servidores remotos a los que se accede a través de vínculos de red, por ejemplo, sistemas que tienen tiempos de retraso de ida y vuelta altos, como las redes WAN lentas o satelitales. Puede confirmar retrasos de ida y vuelta mediante el examen de las solicitudes y el tiempo de respuesta que se encuentra entre un ping del servidor. Los retrasos en la red que se crean por conexiones lentas disminuyen la transferencia de datos de EPS disponible para esos servidores remotos. Además, la recopilación de eventos de servidores o controladores de dominio ocupados depende de tiempos de retraso de ida y vuelta bajos para mantenerse al día con los eventos entrantes. Si no puede reducir el tiempo de retraso de ida y vuelta de la red, puede usar WinCollect para procesar los eventos de Windows.

El registro de eventos de seguridad de Microsoft admite las siguientes versiones de software con la API de Instrumentación de administración de MicrosoftWindows (WMI):

Microsoft Windows 2000
Microsoft Windows Server 2003
Microsoft Windows Server 2008
Microsoft Windows Server 2008R3
Microsoft Windows XP
Microsoft Windows Vista
Microsoft Windows 7

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo registro de eventos de seguridad de Microsoft:

Tabla 32: Parámetros del protocolo del registro de eventos de seguridad de Microsoft
Parámetro	Descripción
Configuración de protocolo	Registro de eventos de seguridad de Windows

Registro de eventos de seguridad de Microsoft sobre protocolo MSRPC

El registro de eventos de seguridad de Microsoft mediante el protocolo MSRPC (MSRPC) es un protocolo saliente/activo que recopila eventos de Windows sin instalar un agente en el host de Windows.

El protocolo MSRPC usa la especificación de entorno de computación distribuida de Microsoft o llamada a procedimiento remoto (DCE/RPC) para proporcionar una recopilación de eventos cifrado y sin agente. El protocolo MSRPC ofrece tasas de eventos más altas que el protocolo predeterminado de registro de eventos de seguridad de MicrosoftWindows, que usa WMI/DCOM para la recopilación de eventos.

En la tabla siguiente se enumeran las características compatibles del protocolo MSRPC.

Tabla 33: Características compatibles del protocolo MSRPC
Funciones	Registro de eventos de seguridad de Microsoft sobre protocolo MSRPC
Fabricante	Microsoft
Herramienta de prueba de conexión	La herramienta de prueba MSRPC comprueba la conectividad entre el dispositivo JSA y un host de Windows. La herramienta de prueba MSRPC forma parte del protocolo MSRPC RPM y se puede encontrar en /opt/qradar/jars después de instalar el protocolo.
Tipo de protocolo	El tipo dependiente del sistema operativo del protocolo de procedimiento remoto para la recopilación de eventos. Seleccione una de las siguientes opciones de la lista Tipo de protocolo : MS-EVEN6 - El tipo de protocolo predeterminado para los nuevos orígenes de registro. El tipo de protocolo que usa JSA para comunicarse con Windows Vista y Windows Server 2012 y posteriores. MS-EVEN (para Windows XP/2003) --El tipo de protocolo que JSA utiliza para comunicarse con Windows XP y Windows Server 2003. Microsoft no admite Windows XP y Windows Server 2003. Es posible que el uso de esta opción no sea correcto. detección automática (para configuraciones heredadas): las configuraciones de origen de registro anteriores para el Registro de eventos de seguridad de Microsoft Windows, DSM, usan el tipo de protocolo de detección automática (para configuraciones heredadas ). Actualice al MS_EVEN6 o al tipo de protocolo MS-EVEN (para Windows XP/2003 ).
Velocidad máxima de EPS	Host de 100 EPS y Windows
Tasa máxima de EPS total de MSRPC	Dispositivo 8500 EPS/ JSA 16xx o 18xx
Número máximo de fuentes de registro compatibles	500 fuentes de registro / dispositivo JSA 16xx o 18xx
Soporte de origen de registro masivo	Sí
Cifrado	Sí
Tipos de eventos compatibles	Aplicación Sistema Seguridad Servidor DNS Replicación de archivos Registros del servicio de directorio
Sistemas operativos Windows compatibles	Windows Server 2022 (incluido el núcleo) Windows Server 2019 (incluido el núcleo) Windows Server 2016 (incluido el núcleo) Windows Server 2012 (incluido el núcleo) Windows 10
Permisos necesarios	El usuario de origen del registro debe ser miembro del grupo Lectores de registro de eventos. Si este grupo no está configurado, en la mayoría de los casos, se requieren privilegios de administrador de dominio para sondear un registro de eventos de Windows en un dominio. En algunos casos, el grupo de operadores de copia de seguridad se puede usar según cómo se configuren los objetos de directiva de grupo de Microsoft. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ services\eventlog HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Control\Nls\Language HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft Windows\ CurrentVersion
Archivos RPM necesarios	PROTOCOLO-WindowsEventRPC- `JSA_release-Build_number`.noarch.rpm DSM-MicrosoftWindows-`JSA_release-Build_number`.noarch.rpm DSM-DSMCommon-`JSA_release-Build_number`.noarch.rpm
Requisitos de servicio de Windows	Llamada a procedimiento remoto (RPC) Mapeador de puntos de conexión DE LAR
Requisitos del puerto de Windows	Puerto TCP 135 Puerto TCP 445 Puerto TCP asignado dinámicamente para LAR, desde el puerto 49152 hasta el 65535
Características especiales	Admite eventos cifrados de forma predeterminada.
¿Se detecta automáticamente?	No
¿Incluye identidad?	Sí
¿Incluye propiedades personalizadas?	Un paquete de contenido de seguridad con propiedades de eventos personalizados de Windows está disponible en https://support.juniper.net/support/downloads/.
Aplicación prevista	Recopilación de eventos sin agente para sistemas operativos Windows que pueden admitir 100 EPS por origen de registro.
Compatibilidad con afinación	MSRPC está limitado a 100 HOST EPS/Windows. Para sistemas con mayor tasa de eventos, consulte la Guía del usuario de WinCollect de Juniper Secure Analytics.
Compatibilidad con filtrado de eventos	MSRPC no admite el filtrado de eventos. Consulte la Guía del usuario de WinCollect de Juniper Secure Analytics para esta función.
Más información	Soporte de Microsoft (http://support.microsoft.com/)

A diferencia de WMI/DCOM, el protocolo MSRPC proporciona el doble de EPS. Las tasas de eventos se muestran en la siguiente tabla.

Tabla 34: Contraste entre las tasas de eventos de MSRPC y WMI/DCOM
Nombre	Tipo de protocolo	Tasa máxima de eventos
Registro de eventos de seguridad de Microsoft	WMI/DCOM	Host 50EPS/Windows
Registro de eventos de seguridad de Microsoft en MSRPC	MSRPC	Host 100EPS/Windows

Opciones de configuración del protocolo MQ

Para recibir mensajes de un servicio de cola de mensajes (MQ), configure un origen de registro para usar el protocolo MQ. El nombre de protocolo se muestra en JSA como MQ JMS.

Se admite MQ.

El protocolo MQ es un protocolo saliente/activo que puede monitorear varias colas de mensajes, hasta un máximo de 50 por fuente de registro.

En la tabla siguiente se describen los parámetros específicos del protocolo MQ:

Tabla 35: Parámetros de protocolo MQ
Parámetro	Descripción
Nombre de protocolo	JMS de MQ
IP o nombre de host	La dirección IP o el nombre de host del administrador de colas principal.
Puerto	El puerto predeterminado que se utiliza para comunicarse con el administrador de colas principal es 1414.
IP en espera o nombre de host	La dirección IP o el nombre de host del administrador de colas en espera.
Puerto de espera	El puerto que se utiliza para comunicarse con el administrador de colas en espera.
Gestor de colas	El nombre del administrador de colas.
Canal	El canal a través del cual el gestor de colas envía mensajes. El canal predeterminado es SYSTEM. DEF. SVRCONN.
Cola	La cola o lista de colas que se supervisarán. Se especifica una lista de colas con una lista separada por comas.
Nombre de usuario	El nombre de usuario que se utiliza para autenticar con el servicio MQ.
Contraseña	Opcional: la contraseña que se utiliza para autenticarse con el servicio MQ.
Codificación de mensajes entrantes	Codificación de caracteres que utilizan los mensajes entrantes.
Campos computacionales de procesos	Opcional: Seleccione esta opción solo si los mensajes recuperados contienen datos computacionales definidos en un libro de copia COBOL. Los datos binarios de los mensajes se procesan según la definición de campo que se encuentra en el archivo de libro de copia especificado.
Nombre del archivo CopyBook	Este parámetro muestra cuando campos computacionales de proceso está seleccionado. El nombre del archivo copybook que se utilizará para el procesamiento de datos. El archivo del copybook debe colocarse en /store/ec/mqjms/*
Formateador de eventos	Seleccione el formato de evento que se aplicará a cualquier evento que se genere a partir del procesamiento de datos que contengan campos computacionales. De forma predeterminada, no se utiliza ningún formato .
Incluir encabezado de mensaje JMS	Seleccione esta opción para incluir un encabezado en cada evento generado que contenga campos de mensaje JMS como y `JMSMessageID` `JMSTimestamp`.
Aceleración de EPS	El límite para la cantidad máxima de eventos por segundo (EPS).

Opciones de configuración del protocolo DE LA API DE REST de seguimiento de mensajes de Office 365

El protocolo API DE REST de rastreo de mensajes de Office 365 para JSA recopila registros de seguimiento de mensajes de la API de REST de rastreo de mensajes. Este protocolo se utiliza para recopilar registros de correo electrónico de Office 365. El protocolo DE API de REST de seguimiento de mensajes de Office 365 es un protocolo de salida/activo.

Los siguientes parámetros requieren valores específicos para recopilar eventos del seguimiento de mensajes de Office 365:

Tabla 36: Parámetros de origen de registro del protocolo DE LA API REST de seguimiento de mensajes de Office 365
Parámetro	Descripción
Identificador de origen de registro	Un nombre único para el origen del registro. El nombre no puede incluir espacios y debe ser único entre todos los orígenes de registro de este tipo que están configurados con el protocolo API DE REST de seguimiento de mensajes de Office 365.
Correo electrónico de cuenta de usuario de Office 365	Para autenticarse con la API DE REST de rastreo de mensajes de Office 365, proporcione una cuenta de correo electrónico de Office 365 con los permisos adecuados.
Contraseña de cuenta de usuario de Office 365	Para autenticarse con la API de REST de seguimiento de mensajes de Office 365, proporcione la contraseña que está asociada con el correo electrónico de cuenta de usuario de Office 365.
Retraso del evento	El retraso, en segundos, para recopilar datos. Los registros de seguimiento de mensajes de Office 365 funcionan en un sistema de entrega eventual. Para garantizar que no se pierdan datos, los registros se recopilan con retraso. El retraso predeterminado es de 900 segundos (15 minutos) y se puede establecer de tan solo 0 segundos.
Usar proxy	Si se accede al servidor mediante un proxy, active la casilla Usar proxy . Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy. Si el proxy no requiere autenticación, configure los campos Servidor proxy y Puerto proxy .
IP de proxy o nombre de host	La dirección IP o el nombre de host del servidor proxy.
Puerto proxy	Número de puerto que se utiliza para comunicarse con el proxy. El valor predeterminado es 8080.
Nombre de usuario de proxy	Nombre de usuario que se utiliza para tener acceso al servidor proxy cuando el proxy requiere autenticación.
Contraseña de proxy	La contraseña que se utiliza para acceder al servidor proxy cuando el proxy requiere autenticación.
Repetición	El intervalo de tiempo entre las consultas de origen de registro a la API de REST de seguimiento de mensajes de Office 365 para eventos nuevos. El intervalo de tiempo puede ser en horas (H), minutos (M) o días (D). El valor predeterminado es de 5 minutos.
Aceleración de EPS	Número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.

Acceso condicional para la lectura de informes

Si recibe el mensaje de error "Status Code: 401 | Status Reason: Unauthorized", revise la siguiente documentación de políticas de acceso condicional para confirmar que la cuenta de usuario tiene acceso a la aplicación heredada API de seguimiento de mensajes de Office 365:

Para obtener más información acerca de cómo bloquear y desbloquear contenido heredado en las políticas de acceso condicional, consulte Acceso condicional: Bloquear autenticación heredada.
Para obtener más información acerca de cómo crear políticas de acceso condicional para usuarios y grupos, consulte Acceso condicional: usuarios y grupos.
Para obtener más información acerca de cómo crear políticas de acceso condicional para acciones o aplicaciones en la nube, consulte Acceso condicional: acciones o aplicaciones en la nube.
Para obtener más información acerca de cómo conceder o bloquear el acceso a recursos con una política de acceso condicional, consulte Acceso condicional: concesión.

Solución de problemas del protocolo DE API DE REST de seguimiento de mensajes de Office 365

Para resolver problemas con el protocolo DE API DE REST de seguimiento de mensajes de Office 365, use la información de soporte y solución de problemas. Encuentre los errores mediante el uso de las herramientas de prueba de protocolo en la aplicación Administración de fuentes de registro de Juniper Secure Analytics.

Solución de problemas general

Los siguientes pasos se aplican a todos los errores de entrada del usuario. El procedimiento general de solución de problemas contiene los primeros pasos para seguir cualquier error con el protocolo DE API REST de rastreo de mensajes de Office 365.

Si utiliza JSA 7.3.2, actualización de software 3 o posterior, ejecute la herramienta de prueba antes de habilitar el origen del registro. Si la herramienta de prueba no pasa todas las pruebas, se produce un error en el origen del registro cuando está habilitada. Si se produce un error en una prueba, aparecerá un mensaje de error con más información.
Compruebe que el recopilador de eventos seleccionado puede tener acceso al reports.office365.com host. protocolo Este protocolo se conecta mediante HTTPS (puerto 443).
Compruebe que el nombre de usuario y la contraseña de la cuenta de correo electrónico de Office 365 son válidos.
Asegúrese de que la cuenta de correo electrónico de Office 365 tiene los permisos correctos. Para obtener más información, consulte Preguntas frecuentes sobre el protocolo DE API REST de seguimiento de mensajes de Office 365.
Asegúrese de que el acceso no está bloqueado al protocolo de autenticación heredado de servicios web de informes. Para obtener más información, consulte Código de estado HTTP 401.
Vuelva a ingresar todos los campos.
Si está disponible, vuelva a ejecutar la herramienta de prueba.

Para obtener más información, consulte:

Código de estado HTTP 401
Código de estado HTTP 404
Preguntas frecuentes sobre el seguimiento de mensajes de Office 365 del protocolo de LA API de REST

Código de estado HTTP 401

Síntomas

Error: "Código de estado: 401 | Motivo de estado: No autorizado"

Error: "Contraseña o correo electrónico de usuario de Office 365 no válida"

Error: <A response received from the Office 365 Message Trace REST API displays>

Causas

JSA se conectó al protocolo de seguimiento de mensajes de Office 365, pero debido a credenciales de usuario no válidas, no pudo autenticarse.

Resolver el problema

Para resolver el error del código de estado HTTP 401, compruebe que el nombre de usuario de la cuenta de correo electrónico de Office 365 y la contraseña de la cuenta son válidos.

Código de estado HTTP 404

Síntomas

Error: "Código de estado: 404 | Motivo de estado: no encontrado"

Error: "Ocasionalmente, las respuestas 404 están relacionadas con los permisos de cuenta de usuario que no conceden acceso a la API de seguimiento de mensajes"

Error: <A response received from the Office 365 Message Trace REST API displays>

Causas

404 respuestas generalmente se deben a que no se encuentra el servidor. Sin embargo, la API de REST de seguimiento de mensajes de Office 365 puede devolver esta respuesta cuando la cuenta de usuario que se proporcionó no tiene los permisos adecuados. La mayoría de las instancias de esta excepción se producen porque la cuenta de usuario no tiene los permisos necesarios.

Resolver el problema

Para resolver el error del código de estado HTTP 404, asegúrese de que las cuentas de usuario tengan los permisos necesarios. Para obtener más información, consulte Preguntas frecuentes sobre el protocolo DE API REST de seguimiento de mensajes de Office 365.

Preguntas frecuentes sobre el seguimiento de mensajes de Office 365 del protocolo de LA API de REST

¿Tienes una pregunta? Compruebe estas preguntas y respuestas frecuentes para ayudarlo a comprender el protocolo DE API REST de rastreo de mensajes de Office 365.

¿Qué permisos se requieren para recopilar registros de la API de REST de seguimiento de mensajes de Office 365?

Use los mismos permisos administrativos que usa para tener acceso a los informes en la organización de Office 365.

¿Qué información contiene los eventos que recopila un protocolo DE API REST de seguimiento de mensajes de Microsoft Office 365?

Este protocolo devuelve la misma información que se proporciona en el seguimiento de mensaje en el Centro de seguridad y cumplimiento.

Nota:

Los informes extendidos y mejorados no están disponibles cuando se usa la API DE REST de seguimiento de mensajes de Office 365.

¿Para qué se utiliza la opción de retraso de eventos?

La opción de retraso de eventos se utiliza para evitar que se pierdan eventos. Los eventos que se pierden, en este contexto, se producen porque están disponibles después de que el protocolo actualizó su intervalo de consulta a un marco de tiempo más reciente que el de llegada del evento. Si se produjo un evento, pero no se publicó en la API de REST de seguimiento de mensajes de Office 365, cuando el protocolo consulta el tiempo de creación de ese evento, el protocolo no obtiene ese evento.

Ejemplo 1: En el siguiente ejemplo se muestra cómo se puede perder un evento.

El protocolo consulta la API de seguimiento de mensajes de Office 365 a las 2:00 p. m. para recopilar eventos entre 13:00 y 13:59. La respuesta de la API de seguimiento de mensajes de Office 365 devuelve los eventos disponibles en la API de seguimiento de mensajes de Office 365 entre 13:00 y 13:59. El protocolo funciona como si se recopilaran todos los eventos y, luego, envía la siguiente consulta a la API de seguimiento de mensajes de Office 365 a las 15:00 para obtener los eventos que se produjeron entre las 13:45 y las 2:59 p. m. El problema de esta situación es que la API de seguimiento de mensajes de Office 365 puede no incluir todos los eventos que se produjeron entre las 13:00 y las 13:59. Si se produjo un evento a las 13:58, es posible que ese evento no esté disponible en la API de seguimiento de mensajes de Office 365 hasta las 14:03. Sin embargo, el protocolo ya ha consultado el intervalo de tiempo de 13:00 a 13:59, y no puede volver a consultar ese rango sin tener eventos duplicados. Este retraso puede variar entre 1 minuto y 24 horas.

Ejemplo 2: En el siguiente ejemplo se muestra el ejemplo 1, excepto en este caso, se agrega un retraso de 15 minutos.

En este ejemplo, se usa una demora de 15 minutos cuando el protocolo realiza llamadas de consulta. Cuando el protocolo hace una llamada de consulta a la API de seguimiento de mensajes de Office 365 a las 2:00 p. m., recopila los eventos que se produjeron entre 13:00 y 13:45. El protocolo funciona como si se recopilaran todos los eventos, envía la siguiente consulta a la API de seguimiento de mensajes de Office 365 a las 3:00 p. m. y recopila todos los eventos que se produjeron entre las 13:45 y las 2:45 p. m. En lugar de que se pierda el evento, como en el ejemplo 1, se recoge en la siguiente llamada de consulta entre las 13:45 y las 2:45 p. m.

Ejemplo 3: En el siguiente ejemplo se muestra el ejemplo 2, excepto en este caso, los eventos están disponibles un día después.

Si el evento se produjo a las 13:58, pero solo llegó a estar disponible para la API de seguimiento de mensajes de Office 365 a las 13:57 del día siguiente, el retraso del evento que se describe en el ejemplo 2 ya no obtiene ese evento. En su lugar, el retraso del evento debe establecerse en un valor superior, en este caso 24 horas.

¿Cómo funciona la opción de retraso de eventos?

En lugar de realizar consultas desde el último evento recibido hasta la hora actual, el protocolo consulta desde el último evento recibido hasta la hora actual - <event delay>. El retraso del evento es en segundos. Por ejemplo, un retraso de 15 minutos (900 segundos) significa que solo hace una consulta hasta hace 15 minutos. Esta consulta le da a la API de seguimiento de mensajes de Office 365 15 minutos para que un evento esté disponible antes de que se pierda. Cuando la hora <event delay> actual es menor que la última hora de evento recibida, el protocolo no consulta la API de seguimiento de mensajes de Office 365; espera a que pase la condición antes de realizar consultas.

¿Qué valor uso para la opción de retraso de eventos?

La API de seguimiento de mensajes de Office 365 puede retrasar la disponibilidad del evento hasta 24 horas. Para evitar que se falle ningún evento, el valor de opción del parámetro Event Delay se puede establecer en 24 horas. Sin embargo, cuanto mayor sea el retraso del evento, menos tiempo real son los resultados. Con un retraso de evento de 24 horas, los eventos solo se ven 24 horas después de que se produzcan. El valor depende de cuánto riesgo esté dispuesto a asumir y de la importancia de los datos en tiempo real. Este retraso predeterminado de 15 minutos proporciona un valor que se establece en tiempo real y también evita que la mayoría de los eventos se pierdan.

Opciones de configuración del protocolo de la API de REST okta

Para recibir eventos de Okta, configure un origen de registro en JSA mediante el protocolo de la API de REST de Okta.

El protocolo de la API de REST Okta es un protocolo saliente/activo que consulta los eventos okta y los puntos de conexión de la API de los usuarios para recuperar información sobre las acciones que los usuarios de una organización completan.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo de la API de REST Okta:

Tabla 37: Parámetros de protocolo de LA API REST okta
Parámetro	Descripción
Identificador de origen de registro	Un nombre único para el origen del registro. El identificador de origen de registro puede ser cualquier valor válido y no necesita hacer referencia a un servidor específico. El identificador de origen de registro puede ser el mismo valor que el nombre del origen del registro. Si tiene más de un origen de registro Okta configurado, es posible que desee identificar el primer origen de registro como `okta1`, el segundo origen de registro como `okta2`y el tercer origen de registro como `okta3`.
IP o nombre de host	oktaprise.okta.com
Token de autenticación	Un único token de autenticación que se genera en la consola de Okta y se debe usar para todas las transacciones de API.
Usar proxy	Si JSA accede a Okta mediante un proxy, habilite esta opción. Cuando se configura un proxy, todo el tráfico del origen del registro viaja a través del proxy para que JSA acceda a Okta. Si el proxy requiere autenticación, configure los campos Nombre de host, Puerto de proxy, Nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco.
Host	Si selecciona Usar proxy, se mostrará este parámetro.
Puerto proxy	Si selecciona Usar proxy, se mostrará este parámetro.
Nombre de usuario de proxy	Si selecciona Usar proxy, se mostrará este parámetro.
Contraseña de proxy	Si selecciona Usar proxy, se mostrará este parámetro.
Repetición	Intervalo de tiempo para determinar la frecuencia con la que se realiza la encuesta para los datos nuevos. El intervalo de tiempo puede incluir valores en horas (H), minutos (M) o días (D). Por ejemplo, 2H = 2 horas, 15M = 15 minutos, 30 = segundos. El valor predeterminado es 1M.
Aceleración de EPS	Número máximo de eventos por segundo que se envían a la canalización de flujo. El valor predeterminado es 5000. Asegúrese de que el valor del acelerador de EPS sea mayor que la velocidad de entrada o que el procesamiento de datos pueda quedarse atrás.

Opciones de configuración del protocolo OPSEC/LEA

Para recibir eventos en el puerto 18184, configure un origen de registro para usar el protocolo OPSEC/LEA.

El protocolo OPSEC/LEA es un protocolo de salida/activo.

En la tabla siguiente se describen los parámetros específicos del protocolo OPSEC/LEA:

Tabla 38: Parámetros del protocolo OPSEC/LEA
Parámetro	Descripción
Configuración de protocolo	OPSEC/LEA
Identificador de origen de registro	La dirección IP, el nombre de host o cualquier nombre para identificar el dispositivo. Debe ser único para el tipo de origen del registro.
IP del servidor	Escriba la dirección IP del servidor.
Puerto del servidor	Número de puerto que se utiliza para la comunicación OPSEC. El intervalo válido es 0 - 65,536 y el valor predeterminado es 18184.
Usar IP del servidor para el origen del registro	Active la casilla usar IP del servidor para el origen del registro si desea usar la dirección IP del servidor LEA en lugar de la dirección IP del dispositivo administrado para un origen de registro. De forma predeterminada, la casilla de verificación está activada.
Intervalo de informe de estadísticas	El intervalo, en segundos, durante el cual se registra el número de eventos syslog en el archivo qradar.log . El intervalo válido es 4 - 2,147,483,648 y el intervalo predeterminado es 600.
Tipo de autenticación	En la lista, seleccione el tipo de autenticación que desea utilizar para esta configuración LEA. Las opciones son sslca (predeterminada), sslca_clear o clear. Este valor debe coincidir con el método de autenticación que usa el servidor.
Atributo SIC de objeto de aplicación OPSEC (nombre sic)	El nombre de Secure Internal Communications (SIC) es el nombre distinguido (DN) de la aplicación, por ejemplo: CN=LEA, o=fwconsole.. 7psasx.
Atributo SIC de origen de registro (nombre de entidad SIC)	El nombre SIC del servidor, por ejemplo: cn=cp_mgmt,o=fwconsole.. 7psasxz.
Especificar certificado	Active esta casilla de verificación si desea definir un certificado para esta configuración LEA. JSA intenta recuperar el certificado mediante estos parámetros cuando se necesita el certificado.
Nombre de archivo de certificado	Esta opción solo aparece si está seleccionada Especificar certificado. Escriba el nombre de archivo del certificado que desea usar para esta configuración. El archivo de certificado debe estar ubicado en el directorio /opt/qradar/conf/ trusted_certificates/lea .
IP de la autoridad de certificación	Escriba la dirección IP del servidor de Check Point Manager.
Extracción de contraseña de certificado	Escriba la contraseña.
Aplicación OPSEC	Nombre de la aplicación que realiza la solicitud de certificado.
Habilitado	Active esta casilla de verificación para habilitar el origen del registro. De forma predeterminada, la casilla de verificación está activada.
Credibilidad	En la lista, seleccione credibilidad del origen del registro. El rango es de 0 a 10. La credibilidad indica la integridad de un evento o delito determinado por la calificación de credibilidad de los dispositivos de origen. La credibilidad aumenta si varias fuentes informan sobre el mismo evento. El valor predeterminado es 5.
Recolector de eventos de destino	En la lista, seleccione el recopilador de eventos de destino para usar como destino para el origen del registro.
Eventos de unección	Active la casilla Eventos de agrupación para habilitar el origen del registro para agrupar eventos (agrupación). De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos de coalescing de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga de eventos de la tienda	Active la casilla Carga de eventos de almacén para habilitar el origen del registro para almacenar la información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Nota:

Si recibe el mensaje de error No se puede extraer certificado SSL después de una actualización, siga estos pasos:

Desactive la casilla especificar certificado .
Vuelva a ingresar la contraseña para Extracción de contraseña de certificado.

Opciones de configuración del protocolo de escucha de Oracle Database

Para recopilar de forma remota archivos de registro que se generan desde un servidor de base de datos Oracle, configure un origen de registro para usar el origen del protocolo Oracle Database Listener.

El protocolo Oracle Database Listener es un protocolo de salida/activo.

Antes de configurar el protocolo Oracle Database Listener para supervisar los archivos de registro para su procesamiento, debe obtener la ruta del directorio a los archivos de registro de oracle database.

En la tabla siguiente se describen los parámetros específicos del protocolo de Oracle Database Listener:

Tabla 39: Parámetros del protocolo de escucha de Oracle Database
Parámetro	Descripción
Configuración de protocolo	Escucha de base de datos Oracle
Identificador de origen de registro	Escriba la dirección IP, el nombre de host o un nombre único para identificar el origen del registro.
Dirección del servidor	La dirección IP o el nombre de host de su servidor Oracle Database Listener.
Dominio	Escriba el dominio para el servidor de Oracle Database Learner. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para tener acceso al servidor.
Contraseña	Escriba la contraseña necesaria para acceder al servidor.
Confirmar contraseña	Escriba la contraseña necesaria para tener acceso al servidor.
Ruta de la carpeta de registro	Escriba la ruta del directorio para acceder a los archivos de registro de Oracle Database Listener.
Patrón de archivo	La expresión regular (regex) que identifica los registros de eventos.
Fuerza de lectura del archivo	Active esta casilla de verificación para obligar al protocolo a leer el archivo de registro cuando se especifique el tiempo del intervalo de sondeo. Cuando se activa la casilla de verificación, el origen del archivo de registro siempre se examina cuando el intervalo de sondeo especifica, independientemente del último atributo de tiempo modificado o tamaño de archivo. Cuando la casilla de verificación no está activada, el origen del archivo de registro se examina en el intervalo de sondeo si cambian los atributos de tiempo o tamaño del archivo de última modificación.
Recursiva	Si desea que el patrón de archivo busque subcarpetas, utilice esta opción. De forma predeterminada, la casilla de verificación está activada.
Versión para SMB	Seleccione la versión de SMB que desea utilizar: AUTO : detecta automáticamente en la versión más alta que el cliente y el servidor acuerdan usar. SMB1 - Fuerza el uso de SMB1. SMB1 usa el `jCIFS.jar` archivo (Java ARchive). Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para usar SMB2 o SMB3. SMB2 - Fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3 - Fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión de SMB específica (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada sea compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones de SMB están habilitadas en el servidor windows especificado.
Intervalo de sondeo (en segundos)	Escriba el intervalo de sondeo, que es el número de segundos entre las consultas a los archivos de registro para buscar datos nuevos. El valor predeterminado es de 10 segundos.
Eventos de aceleración por segundo	Número máximo de eventos que reenvía el protocolo Oracle Database Listener por segundo.
Codificación de archivos	Codificación de caracteres que utilizan los eventos del archivo de registro.

Opciones de configuración del protocolo SDEE

Puede configurar un origen de registro para usar el protocolo de intercambio de eventos de dispositivo de seguridad (SDEE). JSA usa el protocolo para recopilar eventos de dispositivos que utilizan servidores SDEE.

El protocolo SDEE es un protocolo saliente/activo.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo SDEE:

Tabla 40: Parámetros de protocolo SDEE
Parámetro	Descripción
Configuración de protocolo	SDEE
URL	La DIRECCIÓN URL HTTP o HTTPS que es necesaria para tener acceso al origen del registro, por ejemplo, https://www.mysdeeserver.com/cgi-bin/sdee-server. Para SDEE/CIDEE (Cisco IDS v5.x y posteriores), la dirección URL debe finalizar con `/cgi-bin/sdee-server`. Los administradores con RDEP (Cisco IDS v4.x), la dirección URL debe terminar con `/cgi-bin/event-server`.
Forzar la suscripción	Cuando se activa la casilla de verificación, el protocolo obliga al servidor a soltar la conexión menos activa y aceptar una nueva conexión de suscripción SDEE para el origen del registro.
Espera máxima para bloquear los eventos	Cuando se realiza una solicitud de recopilación y no hay eventos nuevos disponibles, el protocolo habilita un bloque de eventos. El bloque impide que se realice otra solicitud de evento en un dispositivo remoto que no tuvo ningún evento nuevo. Este tiempo de espera está destinado a conservar los recursos del sistema.

Opciones de configuración del protocolo de cola de SMB

Puede configurar un origen de registro para usar el protocolo SMB Tail. Utilice este protocolo para ver eventos en un recurso compartido de Samba remoto y recibir eventos del recurso compartido de Samba cuando se agregan nuevas líneas al registro de eventos.

El protocolo SMB Tail es un protocolo de salida/activo.

En la tabla siguiente se describen los parámetros específicos del protocolo SMB Tail:

Tabla 41: Parámetros del protocolo de cola de SMB
Parámetro	Descripción
Configuración de protocolo	Cola de SMB
Identificador de origen de registro	Escriba la dirección IP, el nombre de host o un nombre único para identificar el origen del registro.
Dirección del servidor	La dirección IP o nombre de host de su servidor de cola de SMB.
Dominio	Escriba el dominio para su servidor de cola de SMB. Este parámetro es opcional si el servidor no está en un dominio.
Nombre de usuario	Escriba el nombre de usuario necesario para acceder al servidor.
Contraseña	Escriba la contraseña necesaria para acceder al servidor.
Confirmar contraseña	Confirme la contraseña necesaria para acceder al servidor.
Ruta de la carpeta de registro	La ruta del directorio para acceder a los archivos de registro. Por ejemplo, los administradores pueden usar el directorio c$/LogFiles/ para un recurso compartido administrativo o el directorio LogFiles/ para una ruta de carpeta de recurso compartido público. Sin embargo, el directorio c:/LogFiles no es una ruta de carpeta de registro compatible. Si una ruta de carpeta de registro contiene un recurso compartido administrativo (C$), los usuarios con acceso NetBIOS en el recurso compartido administrativo (C$) tienen los privilegios necesarios para leer los archivos de registro. Los privilegios de administrador de dominio o sistema local también son suficientes para tener acceso a los archivos de registro que se encuentran en un recurso compartido administrativo.
Patrón de archivo	La expresión regular (regex) que identifica los registros de eventos.
Versión para SMB	Seleccione la versión del bloque de mensajes del servidor (SMB) que desea usar. AUTO : detecta automáticamente en la versión más alta que el cliente y el servidor acuerdan usar. SMB1 - Fuerza el uso de SMB1. SMB1 usa el `jCIFS.jar` archivo (Java ARchive). Nota: SMB1 ya no es compatible. Todos los administradores deben actualizar las configuraciones existentes para usar SMB2 o SMB3. SMB2 - Fuerza el uso de SMB2. SMB2 utiliza el `jNQ.jar` archivo. SMB3 - Fuerza el uso de SMB3. SMB3 utiliza el `jNQ.jar` archivo. Nota: Antes de crear un origen de registro con una versión de SMB específica (por ejemplo: SMBv1, SMBv2 y SMBv3), asegúrese de que la versión de SMB especificada sea compatible con el sistema operativo Windows que se ejecuta en el servidor. También debe comprobar que las versiones de SMB están habilitadas en el servidor windows especificado.
Fuerza de lectura del archivo	Si la casilla de verificación está desactivada, el archivo de registro solo se lee cuando JSA detecta un cambio en el tiempo o el tamaño del archivo modificados.
Recursiva	Si desea que el patrón de archivo busque subcarpetas, utilice esta opción. De forma predeterminada, la casilla de verificación está activada.
Intervalo de sondeo (en segundos)	Escriba el intervalo de sondeo, que es el número de segundos entre las consultas a los archivos de registro para buscar datos nuevos. El valor predeterminado es de 10 segundos.
Eventos de aceleración/segundo	Número máximo de eventos que el protocolo SMB Tail reenvía por segundo.
Codificación de archivos	Codificación de caracteres que utilizan los eventos del archivo de registro.

Opciones de configuración del protocolo SNMPv2

Puede configurar un origen de registro para usar el protocolo SNMPv2 para recibir eventos SNMPv2.

El protocolo SNMPv2 es un protocolo entrante/pasivo.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo SNMPv2:

Tabla 42: Parámetros de protocolo SNMPv2
Parámetro	Descripción
Configuración de protocolo	SNMPv2
Comunidad	El nombre de comunidad SNMP necesario para tener acceso al sistema que contiene eventos SNMP. Por ejemplo, Público.
Incluir OIDs en la carga de eventos	Especifica que la carga de eventos SNMP se construye mediante el uso de pares nombre-valor en lugar del formato de carga de eventos. Cuando selecciona orígenes de registro específicos de la lista Tipos de origen de registro , los OIDs en la carga de eventos son necesarios para procesar los eventos SNMPv2 o SNMPv3.
Eventos de unección	Active esta casilla de verificación para permitir que el origen del registro unifique eventos (agrupación). Los eventos de unificación aumentan el recuento de eventos cuando el mismo evento ocurre varias veces en un breve intervalo de tiempo. Los eventos coalesced proporcionan a los administradores una forma de ver y determinar la frecuencia con la que se produce un único tipo de evento en la pestaña Actividad de registro . Cuando esta casilla de verificación está desactivada, los eventos se muestran individualmente y la información no se agrupa. Los orígenes de registro nuevos y detectados automáticamente heredan el valor de esta casilla de verificación de la configuración de configuración del sistema en la ficha Administrador . Los administradores pueden usar esta casilla de verificación para invalidar el comportamiento predeterminado de la configuración del sistema para un origen de registro individual.
Carga de eventos de la tienda	Active esta casilla de verificación para permitir que el origen del registro almacene la información de carga de un evento. Los orígenes de registro nuevos y detectados automáticamente heredan el valor de esta casilla de verificación de la configuración de configuración del sistema en la ficha Administrador . Los administradores pueden usar esta casilla de verificación para invalidar el comportamiento predeterminado de la configuración del sistema para un origen de registro individual.

Opciones de configuración del protocolo SNMPv3

Puede configurar un origen de registro para usar el protocolo SNMPv3 para recibir eventos SNMPv3.

El protocolo SNMPv3 es un protocolo de entrada/pasivo.

En la tabla siguiente se describen los parámetros específicos del protocolo SNMPv3:

Tabla 43: Parámetros de protocolo SNMPv3
Parámetro	Descripción
Configuración de protocolo	SNMPv3
Identificador de origen de registro	Escriba un nombre único para el origen del registro.
Protocolo de autenticación	El algoritmo que desea usar para autenticar capturas SNMP3: SHA usa el algoritmo hash seguro (SHA) como protocolo de autenticación. MD5 usa el resumen del mensaje 5 (MD5) como protocolo de autenticación.
Contraseña de autenticación	La contraseña para autenticar SNMPv3. La contraseña de autenticación debe incluir un mínimo de 8 caracteres.
Protocolo de descifrado	Seleccione el algoritmo que desea usar para descifrar las trampas de SNMPv3. DES AES128 AES192 AES256 Nota: Si selecciona AES192 o AES256 como algoritmo de descifrado, debe instalar la extensión de criptografía de Java. Para obtener más información acerca de cómo instalar la extensión de criptografía de Java en McAfee ePolicy Orchestrator, consulte Instalación de la extensión de criptografía de Java en JSA.
Contraseña de descifrado	La contraseña para descifrar las trampas de SNMPv3. La contraseña de descifrado debe incluir un mínimo de 8 caracteres.
Usuario	El nombre de usuario que se usó para configurar SNMPv3 en el dispositivo.
Incluir OIDs en la carga de eventos	Especifica que la carga de eventos SNMP se construye mediante el uso de pares nombre-valor en lugar del formato de carga de eventos estándar. Cuando selecciona orígenes de registro específicos de la lista Tipos de origen de registro , los OIDs en la carga de eventos son necesarios para procesar los eventos SNMPv2 o SNMPv3. Nota: Debe incluir los OID en la carga de evento para procesar eventos SNMPv3 para McAfee ePolicy Orchestrator.

Opciones de configuración del protocolo de LA API REST de Seculert Protection

Para recibir eventos de Seculert, configure un origen de registro para usar el protocolo DE API REST de Seculert Protection.

El protocolo API DE REST de Seculert Protection es un protocolo de salida/activo. Seculert Protection proporciona alertas sobre incidentes confirmados de malware que están comunicando activamente o exfiltrando información.

Antes de poder configurar un origen de registro para Seculert, debe obtener su clave DE API desde el portal web de Seculert.

Inicie sesión en el portal web de Seculert.
En el panel, haga clic en la ficha API .
Copie el valor de su clave DE API.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo DE API REST de Seculert Protection:

Tabla 44: Parámetros del protocolo DE LA API REST de protección de Seculert
Parámetro	Descripción
Tipo de fuente de registro	Seculert
Configuración de protocolo	Seculert Protection REST API
Identificador de origen de registro	Escriba la dirección IP o el nombre de host del origen del registro como identificador para eventos de Seculert. Cada fuente de registro adicional que crea cuando tiene varias instalaciones incluye idealmente un identificador único, como una dirección IP o un nombre de host.
Clave de API	La clave de API que se utiliza para autenticar con la API DE REST de Seculert Protection. El valor de la clave API se obtiene del portal web de Seculert.
Usar proxy	Cuando configura un proxy, todo el tráfico del origen del registro viaja a través del proxy para que JSA tenga acceso a la API de REST de seculert Protection. Configure los campos IP o nombre de host de proxy, puerto de proxy, nombre de usuario de proxy y contraseña de proxy . Si el proxy no requiere autenticación, puede dejar los campos Nombre de usuario de proxy y Contraseña de proxy en blanco.
Adquirir automáticamente certificados de servidor	Si selecciona Sí en la lista, JSA descarga el certificado y comienza a confiar en el servidor de destino.
Repetición	Especifique cuándo el registro recopila datos. El formato es M/H/D por minutos/horas/días. El valor predeterminado es 1 M.
Aceleración de EPS	El límite superior para la cantidad máxima de eventos por segundo (eps) para los eventos que se reciben de la API.
Habilitado	Active esta casilla de verificación para habilitar el origen del registro. De forma predeterminada, la casilla de verificación está activada.
Credibilidad	Seleccione la credibilidad del origen del registro. El rango es de 0 a 10. La credibilidad indica la integridad de un evento o delito determinado por la calificación de credibilidad de los dispositivos de origen. La credibilidad aumenta si varias fuentes informan sobre el mismo evento. El valor predeterminado es 5.
Recolector de eventos de destino	Seleccione el recopilador de eventos de destino para usar como destino para el origen del registro.
Eventos de unección	Active esta casilla de verificación para permitir que el origen del registro unifique eventos (agrupación). De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos de coalescing de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga de eventos de la tienda	Active esta casilla de verificación para habilitar el origen del registro para almacenar información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Opciones de configuración del protocolo JDBC de Sophos Enterprise Console

Para recibir eventos de Sophos Enterprise Consoles, configure un origen de registro para usar el protocolo JDBC de Sophos Enterprise Console.

El protocolo JDBC de Sophos Enterprise Console es un protocolo saliente/activo que combina información de carga de los registros de control de aplicaciones, registros de control de dispositivos, registros de control de datos, registros de protección contra manipulaciones y registros de firewall en la tabla vEventsCommonData. Si Sophos Enterprise Console no tiene la interfaz de informes de Sophos, puede usar el protocolo JDBC estándar para recopilar eventos antivirus.

En la tabla siguiente se describen los parámetros del protocolo JDBC de Sophos Enterprise Console:

Tabla 45: Parámetros de protocolo JDBC de Sophos Enterprise Console
Parámetro	Descripción
Configuración de protocolo	JDBC de Sophos Enterprise Console
Identificador de origen de registro	Escriba un nombre para el origen del registro. El nombre no puede contener espacios y debe ser único entre todos los orígenes de registro del tipo de origen de registro que está configurado para usar el protocolo JDBC. Si el origen del registro recopila eventos de un único dispositivo que tiene una dirección IP estática o un nombre de host, use la dirección IP o el nombre de host del dispositivo como todo o parte del valor del identificador de origen de registro ; por ejemplo, 192.168.1.1 o JDBC192.168.1.1. Si el origen del registro no recopila eventos de un solo dispositivo que tenga una dirección IP estática o un nombre de host, puede usar cualquier nombre único para el valor del identificador de origen de registro ; por ejemplo, JDBC1, JDBC2.
Tipo de base de datos	MSDE
Nombre de la base de datos	El nombre de la base de datos debe coincidir con el nombre de la base de datos especificado en el campo Identificador de origen de registro.
Puerto	El puerto predeterminado para MSDE en Sophos Enterprise Console es 1168. El puerto de configuración JDBC debe coincidir con el puerto de escucha de la base de datos de Sophos para comunicarse con JSA. La base de datos de Sophos debe tener habilitadas las conexiones TCP entrantes. Si se utiliza una instancia de base de datos con el tipo de base de datos MSDE, debe dejar el port parámetro en blanco.
Dominio de autenticación	Si la red no usa un dominio, deje este campo en blanco.
Instancia de base de datos	La instancia de la base de datos, si es necesario. Las bases de datos MSDE pueden incluir varias instancias de SQL Server en un servidor. Cuando se utiliza un puerto no estándar para la base de datos o los administradores bloquean el acceso al puerto 1434 para la resolución de base de datos SQL, el parámetro Instancia de base de datos debe estar en blanco.
Nombre de la tabla	`vEventsCommonData`
Seleccionar lista	`*`
Comparar el campo	`InsertedAt`
Usar instrucciones preparadas	Las instrucciones preparadas permiten que el origen del protocolo configure la instrucción SQL y, luego, ejecute la instrucción SQL varias veces con diferentes parámetros. Por razones de seguridad y rendimiento, la mayoría de las configuraciones pueden usar instrucciones preparadas. Desactive esta casilla de verificación para usar un método alternativo de consulta que no use instrucciones compiladas previamente.
Fecha y hora de inicio	Opcional. Fecha y hora de inicio para cuando el protocolo puede comenzar a sondear la base de datos. Si no se define una hora de inicio, el protocolo intenta sondear los eventos después de guardar e implementar la configuración del origen del registro.
Intervalo de sondeo	El intervalo de sondeo, que es la cantidad de tiempo entre las consultas a la base de datos. Puede definir un intervalo de sondeo más largo anexando H durante horas o M durante minutos al valor numérico. El intervalo máximo de sondeo es de 1 semana en cualquier formato de tiempo. Valores numéricos sin sondeo de designador H o M en segundos.
Aceleración de EPS	Número de eventos por segundo (EPS) que no desea que supere este protocolo.
Usar comunicación de canal denominada	Si MSDE está configurado como el tipo de base de datos, los administradores pueden activar esta casilla de verificación para usar un método alternativo a una conexión de puerto TCP/IP. Las conexiones de canalización con nombre para bases de datos MSDE requieren el nombre de usuario y el campo de contraseña para usar un nombre de usuario y contraseña de autenticación de Windows, y no el nombre de usuario y la contraseña de la base de datos. La configuración del origen del registro debe usar la canalización predeterminada denominada en la base de datos MSDE.
Nombre del clúster de la base de datos	Si usa su SQL Server en un entorno de clúster, defina el nombre del clúster para asegurarse de que las comunicaciones de canalización con nombre funcionen correctamente.
Usar NTLMv2	Fuerza las conexiones MSDE a usar el protocolo NTLMv2 con servidores SQL que requieren autenticación NTLMv2. El valor predeterminado de la casilla de verificación está seleccionado. La casilla usar NTLMv2 no interrumpe las comunicaciones para conexiones MSDE que no requieren autenticación NTLMv2.

Opciones de protocolo EStreamer del centro de defensa sourcefire

El protocolo eStreamer del Centro de Defensa de Sourcefire ahora se conoce como protocolo Cisco Firepower eStreamer.

Descripción general del protocolo de redirección de Syslog

El protocolo de redirección syslog es un protocolo entrante/pasivo que se utiliza como alternativa al protocolo Syslog. Utilice este protocolo cuando desee que JSA identifique el nombre de dispositivo específico que envió los eventos. JSA puede escuchar pasivamente eventos de Syslog mediante TCP o UDP en cualquier puerto no utilizado que especifique.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo de redirección Syslog:

Tabla 46: Parámetros del protocolo de redirección Syslog
Parámetro	Descripción
Configuración de protocolo	Redirección de Syslog
Identificador de origen de registro Regex	Escriba un regex para analizar el identificador de origen de registro desde la carga.
Identificador de origen de registro	Escriba un identificador de origen de registro para usar como valor predeterminado. Si el Regex del identificador de origen de registro no puede analizar el identificador de origen de registro desde una carga determinada mediante el regex proporcionado, se utiliza el valor predeterminado.
Cadena de formato Regex del identificador de origen de registro	Formato de cadena para combinar grupos de captura del Regex de identificador de origen de registro. Por ejemplo: "$1" usaría el primer grupo de captura. "$1$2" concatenaría los grupos de captura 1 y 2. "$1 TEXT $2" concatenaría el grupo de captura 1, el literal "TEXTO" y el grupo de captura 2. La cadena resultante se utiliza como nuevo identificador de origen de registro.
Realice una búsqueda de DNS en la coincidencia de Regex	Active la casilla Realizar búsqueda dns en la coincidencia de regex para habilitar la funcionalidad de DNS, que se basa en el valor de parámetro y el regex del identificador de origen de registro . De forma predeterminada, la casilla de verificación no está activada.
Puerto de escucha	Ingrese cualquier puerto no usar y establezca su origen de registro para enviar eventos a JSA en ese puerto.
Protocolo	En la lista, seleccione TCP o UDP. El protocolo de redirección Syslog admite cualquier número de conexiones syslog UDP, pero restringe las conexiones TCP a 2500. Si la secuencia syslog tiene más de 2500 orígenes de registro, debe escribir un segundo origen de registro y escuchar número de puerto.
Habilitado	Active esta casilla de verificación para habilitar el origen del registro. De forma predeterminada, la casilla de verificación está activada.
Credibilidad	En la lista, seleccione credibilidad del origen del registro. El rango es de 0 a 10. La credibilidad indica la integridad de un evento o delito determinado por la calificación de credibilidad de los dispositivos de origen. La credibilidad aumenta si varias fuentes informan sobre el mismo evento. El valor predeterminado es 5.
Recolector de eventos de destino	En la lista, seleccione el recopilador de eventos de destino para usar como destino para el origen del registro.
Eventos de unección	Active la casilla Eventos de agrupación para habilitar el origen del registro para agrupar eventos (agrupación). De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos de coalescing de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga de eventos entrantes	En la lista Carga de eventos entrantes , seleccione el codificador de carga entrante para analizar y almacenar los registros.
Carga de eventos de la tienda	Active la casilla Carga de eventos de almacén para habilitar el origen del registro para almacenar la información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Opciones de configuración del protocolo Syslog multilínea TCP

Puede configurar un origen de registro que use el protocolo syslog de varias líneas TCP. El protocolo syslog tcp multilínea es un protocolo entrante/pasivo que utiliza expresiones regulares para identificar el patrón de inicio y final de eventos multilínea.

El siguiente ejemplo es un evento de varias líneas:

En la tabla siguiente se describen los parámetros específicos del protocolo tcp multilínea syslog:

Tabla 47: Parámetros de protocolo Syslog MULTILINE TCP
Parámetro	Descripción
Configuración de protocolo	Syslog multilínea TCP
Identificador de origen de registro	Escriba una dirección IP o un nombre de host para identificar el origen del registro. Para usar un nombre en su lugar, seleccione Usar nombre de fuente personalizado y complete los parámetros Regex de nombre de origen y cadena de formato de nombre de origen . Nota: Estos parámetros solo están disponibles si Mostrar opciones avanzadas está establecido en Sí.
Puerto de escucha	El puerto predeterminado es 12468.
Método de agregación	El valor predeterminado es La coincidencia inicio/fin. Utilice ID-Linked si desea combinar eventos de varias líneas unidos por un identificador común.
Patrón de inicio de eventos	Este parámetro está disponible cuando se establece el parámetro Método de agregación en coincidencia de inicio/fin. La expresión regular (regex) necesaria para identificar el inicio de una carga de eventos multilínea TCP. Los encabezados syslog suelen comenzar con una marca de fecha u hora. El protocolo puede crear un evento de una sola línea basado únicamente en un patrón de inicio de evento, como una marca de tiempo. Cuando solo hay un patrón de inicio disponible, el protocolo captura toda la información entre cada valor de inicio para crear un evento válido.
Patrón de fin de evento	Este parámetro está disponible cuando se establece el parámetro Método de agregación en coincidencia de inicio/fin. Esta expresión regular (regex) es necesaria para identificar el final de una carga de eventos tcp multilínea. Si el evento syslog termina con el mismo valor, puede usar una expresión regular para determinar el final de un evento. El protocolo puede capturar eventos que se basan únicamente en un patrón de fin de evento. Cuando solo está disponible un patrón final, el protocolo captura toda la información entre cada valor final para crear un evento válido.
Patrón de ID de mensaje	Este parámetro está disponible cuando se establece el parámetro Método de agregación en ID-Linked. Esta expresión regular (regex) se requiere para filtrar los mensajes de carga de eventos. Los mensajes de eventos de varias líneas TCP deben contener un valor de identificación común que se repita en cada línea del mensaje de evento.
Formateador de eventos	Use la opción Multiline de Windows para eventos de varias líneas con formato específico para Windows.
Mostrar opciones avanzadas	El valor predeterminado es No. Seleccione Sí si desea personalizar los datos del evento.
Usar nombre de origen personalizado	Este parámetro está disponible cuando establece Mostrar opciones avanzadas en Sí. Active la casilla de verificación si desea personalizar el nombre de origen con regex.
Nombre de fuente Regex	Este parámetro está disponible al comprobar Usar nombre de origen personalizado. La expresión regular (regex) que captura uno o más valores de cargas de eventos que se manejan mediante este protocolo. Estos valores se utilizan junto con el parámetro Cadena de formato de nombre de origen para establecer un valor de origen o origen para cada evento. Este valor de origen se utiliza para enrutar el evento a un origen de registro con un valor de identificador de origen de registro coincidente.
Cadena de formato de nombre de origen	Este parámetro está disponible al comprobar Usar nombre de origen personalizado. Puede usar una combinación de una o más de las siguientes entradas para formar un valor de origen para cargas de eventos que se procesan mediante este protocolo: Uno o más grupos de captura del Regex de nombre de origen. Para hacer referencia a un grupo de captura, use la notación \x donde x es el índice de un grupo de captura del Regex de nombre de origen. La dirección IP de donde se originaron los datos de eventos. Para hacer referencia a la IP del paquete, utilice el token $PIP$. Caracteres de texto literal. Toda la cadena de formato de nombre de origen puede ser texto proporcionado por el usuario. Por ejemplo, si el Regex de nombre de origen es 'hostname=(.*??)' y desea anexar hostname.com al valor del grupo de captura 1, establezca la cadena de formato de nombre de origen en\1.hostname.com. Si se procesa un evento que contiene hostname=ibm, el valor de origen de la carga del evento se establece en ibm.hostname.com y JSA enruta el evento a un origen de registro con ese identificador de origen de registro.
Usar como fuente de registro de puerta de enlace	Este parámetro está disponible cuando establece Mostrar opciones avanzadas en Sí. Cuando se selecciona, los eventos que fluyen a través del origen del registro se pueden enrutar a otros orígenes de registro, según el nombre de origen etiquetado en los eventos. Cuando esta opción no está seleccionada y usar nombre de origen personalizado no está marcado, los eventos entrantes se etiquetan con un nombre de origen que corresponde al parámetro Identificador de origen de registro.
Aplane los eventos de varias líneas en una sola línea	Este parámetro está disponible cuando establece Mostrar opciones avanzadas en Sí. Muestra un evento en una o varias líneas.
Conservar líneas completas durante la agregación de eventos	Este parámetro está disponible cuando establece Mostrar opciones avanzadas en Sí. Si establece el parámetro Método de agregación en ID vinculado, puede habilitar Conservar líneas completas durante la agregación de eventos para descartar o mantener la parte de los eventos que viene antes del patrón id. de mensaje al concatenar eventos con el mismo patrón de ID.
Límite de tiempo	Número de segundos para esperar a que se produzcan cargas coincidentes adicionales antes de insertar el evento en la canalización de eventos. El valor predeterminado es de 10 segundos.
Habilitado	Active esta casilla de verificación para habilitar el origen del registro.
Credibilidad	Seleccione la credibilidad del origen del registro. El rango es de 0 a 10. La credibilidad indica la integridad de un evento o delito determinado por la calificación de credibilidad de los dispositivos de origen. La credibilidad aumenta si varias fuentes informan sobre el mismo evento. El valor predeterminado es 5.
Recolector de eventos de destino	Seleccione el recopilador de eventos en su implementación que debería alojar el escucha syslog multilínea TCP.
Eventos de unección	Active esta casilla de verificación para permitir que el origen del registro unifique eventos (agrupación). De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos de coalescing de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga de eventos de la tienda	Active esta casilla de verificación para habilitar el origen del registro para almacenar información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Casos de uso de configuración del protocolo De Syslog TCP Multiline

Para establecer el origen de registro de escucha Syslog TCP Multiline para recopilar todos los eventos que se envían desde el mismo sistema, siga estos pasos:

Deje desactive Usar como fuente de registro de puerta de enlace y Usar nombre de origen personalizado .
Introduzca la dirección IP del sistema que envía eventos en el parámetro Identificador de origen de registro .

Figura 1: Un origen de registro JSA recopila eventos enviados desde un único sistema a una escucha de syslog multilínea TCP

Si varios sistemas envían eventos a la escucha TCP Multiline Syslog o si un sistema intermediario está reenviando eventos desde varios sistemas y desea que los eventos se enrute a orígenes de registro independientes según su encabezado syslog o dirección IP, active la casilla Usar como fuente de registro de puerta de enlace.

Nota:
JSA comprueba cada evento para un encabezado syslog compatible con RFC3164 o RFC5424 y, si está presente, usa el ip/nombre de host de ese encabezado como valor de origen para el evento. El evento se enruta a un origen de registro con ese mismo ip o nombre de host como su identificador de origen de registro. Si no hay ningún encabezado de este tipo, JSA usa el valor IP de origen del paquete de red al que llegó el evento como el valor de origen del evento.

Figura 2: Los orígenes de registro JSA separados recopilan eventos enviados desde varios sistemas a un escucha multilínea TCP, mediante el uso del encabezado Syslog.

Figura 3: Los orígenes de registro JSA separados recopilan eventos enviados desde varios sistemas y reenviados a través de un sistema intermedio a una escucha multilínea TCP, mediante el uso del encabezado Syslog.

Para enrutar eventos a separar los orígenes de registro según un valor distinto al ip o nombre de host en su encabezado syslog, siga estos pasos:

Active la casilla de verificación Usar nombre de origen personalizado .
Configure un Regex de nombre de origen y una cadena de formato de nombre de origen para personalizar cómo JSA establece un valor de nombre de origen para enrutar los eventos recibidos a orígenes de registro.

Figura 4: Los orígenes de registro JSA separados recopilan eventos enviados desde varios sistemas y reenviados a través de un sistema intermedio a un escucha multilínea TCP, mediante el uso del regex de nombre de origen y la cadena de formato de nombre de origen.

Opciones de configuración del protocolo Syslog TLS

Configure un origen de registro de protocolo Syslog TLS para recibir eventos de syslog cifrados de hasta 50 dispositivos de red que admitan el reenvío de eventos TLS Syslog para cada puerto de escucha.

El protocolo TLS Syslog es un protocolo de entrada/pasivo. El origen del registro crea un puerto de escucha para los eventos de Syslog TLS entrantes. De forma predeterminada, los orígenes de registro Syslog TLS usan el certificado y la clave que JSA genera. Hasta 50 dispositivos de red pueden reenviar eventos al puerto de escucha del origen del registro. Si crea más fuentes de registro con puertos de escucha únicos, puede configurar hasta 1000 dispositivos de red.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo Syslog TLS:

Tabla 48: Parámetros del protocolo Syslog TLS
Parámetro	Descripción
Configuración de protocolo	Syslog TLS
Identificador de origen de registro	Una dirección IP o nombre de host para identificar el origen del registro.
Puerto de escucha TLS	El puerto de escucha TLS predeterminado es 6514.
Modo de autenticación	El modo en el que usa la conexión TLS para autenticarse. Si selecciona la opción TLS y autenticación de cliente , debe configurar los parámetros de certificado.
Autenticación de certificado de cliente	Seleccione una de las siguientes opciones de la lista: Verificación de lista de permitidos y emisores de CN Certificado de cliente en disco
Usar lista de permitidos de CN	Habilite este parámetro para usar una lista de permitir CN.
Lista de permitidos de CN	Lista de permitidos de nombres comunes de certificados de cliente de confianza. Puede introducir texto sin formato o una expresión regular (regex). Para definir varias entradas, escriba cada una en una línea independiente.
Usar verificación del emisor	Habilite este parámetro para usar la verificación del emisor.
Certificado de emisor raíz/intermedio o clave pública	Ingrese el certificado o la clave pública del emisor raíz/intermedio en formato PEM. Ingrese el certificado, a partir de: ----- CERTIFICADOBEGIN----- y terminando con: certificado -----END----- Ingrese la clave pública a partir de: ----- ----- pública----- y terminando con: clave pública -----END-----
Comprobar revocación de certificado	Comprueba el estado de revocación de certificado en el certificado de cliente. Esta opción requiere conectividad de red a la dirección URL especificada por el campo Puntos de distribución CRL para el certificado de cliente en la extensión X509v3.
Comprobar el uso de certificados	Comprueba el contenido de las extensiones del certificado X509v3 en los campos Uso de clave y Extensión de uso de clave extendido . Para el certificado de cliente entrante, los valores permitidos de uso de claves X509v3 son firma digital y keyAgreement. El valor permitido para el uso extendido de clave X509v3 es autenticación de cliente web TLS. Esta propiedad está deshabilitada de forma predeterminada.
Ruta de certificado de cliente	La ruta absoluta al certificado de cliente en el disco. El certificado se debe almacenar en la consola de JSA o en el recopilador de eventos para este origen de registro. Nota: Asegúrese de que el archivo de certificado que escriba comience por: ----- CERTIFICADOBEGIN----- y termina con lo siguiente: certificado -----END-----
Tipo de certificado de servidor	El tipo de certificado que se utilizará para la autenticación para el certificado de servidor y la clave de servidor. Seleccione una de las siguientes opciones de la lista Tipo de certificado de servidor: Certificado generado Certificado PEM y clave privada Contraseña y cadena de certificados PKCS12 Elija entre el almacén de certificados JSA
Certificado generado	Esta opción está disponible al configurar el tipo de certificado. Si desea usar el certificado y la clave predeterminados generados por JSA para el certificado y la clave de servidor, seleccione esta opción. El certificado generado se denomina syslog-tls.cert en el directorio /opt/ qradar/conf/trusted_certificates/ del recopilador de eventos de destino al que se asigna el origen del registro.
Certificado único y clave privada	Esta opción está disponible al configurar el tipo de certificado. Si desea usar un solo certificado PEM para el certificado de servidor, seleccione esta opción y, a continuación, configure los siguientes parámetros: Ruta de certificado de servidor proporcionada : la ruta absoluta al certificado de servidor. Ruta de clave privada proporcionada : la ruta absoluta a la clave privada. Nota: La clave privada correspondiente debe ser una clave PKCS8 codificada por DER. La configuración falla con cualquier otro formato de clave
Certificado y contraseña PKCS12	Esta opción está disponible al configurar el tipo de certificado. Si desea usar un archivo PKCS12 que contenga el certificado y la clave de servidor, seleccione esta opción y, a continuación, configure los siguientes parámetros: Ruta de certificado PKCS12: escriba la ruta del archivo para el archivo PKCS12 que contiene el certificado y la clave del servidor. PKCS12 Password : escriba la contraseña para acceder al archivo PKCS12. Alias de certificado : si hay más de una entrada en el archivo PKCS12, se debe proporcionar un alias para especificar qué entrada se utilizará. Si solo hay un alias en el archivo PKCS12, deje este campo en blanco.
Elija entre el almacén de certificados JSA	Esta opción está disponible al configurar el tipo de certificado. Puede usar la aplicación Administración de certificados para cargar un certificado desde el almacén de certificados JSA. La aplicación se admite en JSA 7.3.3 Fix Pack 6 o posterior, y JSA 7.4.2 o posterior.
Longitud máxima de carga	La longitud máxima de carga (caracteres) que se muestra para el mensaje TLS Syslog.
Máximo de conexiones	El parámetro Maximum Connections controla cuántas conexiones simultáneas puede aceptar el protocolo Syslog TLS para cada recolector de eventos. Para cada recopilador de eventos, hay un límite de 1000 conexiones, incluidos los orígenes de registro habilitados y deshabilitados, en la configuración de origen de registro Syslog TLS. Propina: Los orígenes de registro detectados automáticamente comparten una escucha con otro origen de registro. Por ejemplo, si utiliza el mismo puerto en el mismo recopilador de eventos, solo cuenta una vez hacia el límite.
Protocolos TLS	El protocolo TLS que utilizará el origen del registro. Seleccione la opción "TLS 1.2 o posterior".
Usar como fuente de registro de puerta de enlace	Envía los eventos recopilados a través del motor de análisis de tráfico JSA para detectar automáticamente el origen de registro adecuado. Si no desea definir un identificador de origen de registro personalizado para eventos, desactive la casilla de verificación. Cuando esta opción no está seleccionada y el patrón de identificador de origen de registro no está configurado, JSA recibe eventos como orígenes de registro genéricos desconocidos.
Patrón de identificador de origen de registro	Use la opción Usar como fuente de registro de puerta de enlace para definir un identificador de origen de registro personalizado para los eventos que se están procesando y para que los orígenes de registro se descubran automáticamente cuando corresponda. Si no configura el patrón de identificador de origen de registro, JSA recibe los eventos como orígenes de registro genéricos desconocidos. Utilice pares clave-valor para definir el identificador de origen de registro personalizado. La clave es la cadena de formato de identificador, que es el valor de origen o origen resultante. El valor es el patrón regex asociado que se utiliza para evaluar la carga actual. Este valor también admite grupos de captura que se pueden usar para personalizar aún más la clave. Defina varios pares clave-valor escribiendo cada patrón en una nueva línea. Se evalúan varios patrones en el orden en que se enumeran. Cuando se encuentra una coincidencia, se muestra un identificador de origen de registro personalizado. En los siguientes ejemplos, se muestran varias funciones de par clave-valor. Patrones - `VPC=\sREJECT\sFAILURE $1=\s(REJECT)\sOK VPC-$1-$2= \s(ACCEPT)\s(OK)` Eventos - `{LogStreamName: LogStreamTest,Timestamp: 0,Message: ACCEPT OK,IngestionTime: 0,EventId: 0}` Identificador de origen de registro personalizado resultante : `VPC-ACCEPT-OK`
Habilitar varias líneas	Agregue varios mensajes en eventos únicos según una coincidencia de inicio/fin o una expresión regular vinculada a ID.
Método de agregación	Este parámetro está disponible cuando habilitar multilínea está activado. ID-Linked : procesa registros de eventos que contienen un valor común al principio de cada línea. Coincidencia de inicio/fin : agrega eventos basados en una expresión regular de inicio o fin (regex).
Patrón de inicio de eventos	Este parámetro está disponible cuando Enable Multiline está activado y el método de agregación se establece en Coincidencia de inicio/fin. La expresión regular (regex) es necesaria para identificar el inicio de una carga de eventos multilínea TCP. Los encabezados de Syslog normalmente comienzan con una fecha o una marca de hora. El protocolo puede crear un evento de una sola línea que se basa únicamente en un patrón de inicio de evento, como una marca de hora. Cuando solo hay un patrón de inicio disponible, el protocolo captura toda la información entre cada valor de inicio para crear un evento válido.
Patrón de fin de evento	Este parámetro está disponible cuando Enable Multiline está activado y el método de agregación se establece en Coincidencia de inicio/fin. Esta expresión regular (regex) es necesaria para identificar el final de una carga de eventos multilínea TCP. Si el evento syslog termina con el mismo valor, puede usar una expresión regular para determinar el final de un evento. El protocolo puede capturar eventos que se basan únicamente en un patrón de fin de evento. Cuando solo está disponible un patrón final, el protocolo captura toda la información entre cada valor final para crear un evento válido.
Patrón de ID de mensaje	Este parámetro está disponible cuando Enable Multiline está activado y el método de agregación se establece en ID vinculado. Esta expresión regular (regex) se requiere para filtrar los mensajes de carga de eventos. Los mensajes de eventos de varias líneas TCP deben contener un valor de identificación común que se repita en cada línea del mensaje de evento.
Límite de tiempo	Este parámetro está disponible cuando Enable Multiline está activado y el método de agregación se establece en ID vinculado. Número de segundos para esperar a que haya más cargas coincidentes antes de insertar el evento en la canalización de eventos. El valor predeterminado es de 10 segundos.
Conservar líneas completas durante la agregación de eventos	Este parámetro está disponible cuando Enable Multiline está activado y el método de agregación se establece en ID vinculado. Si establece el parámetro Método de agregación en ID vinculado, puede habilitar Conservar líneas completas durante la agregación de eventos para descartar o mantener la parte de los eventos que preceden al patrón id. de mensaje. Solo puede habilitar esta función cuando se concatenan eventos con el mismo patrón de ID.
Aplane los eventos de varias líneas en una sola línea	Este parámetro está disponible cuando habilitar multilínea está activado. Muestra un evento en una o varias líneas.
Formateador de eventos	Este parámetro está disponible cuando habilitar multilínea está activado. Use la opción Multiline de Windows para eventos de varias líneas con formato específico para Windows.

Nota:

Después de guardar el origen del registro, se crea un certificado syslog-tls para el origen del registro. El certificado se debe copiar en cualquier dispositivo de la red que esté configurado para reenviar syslog cifrado. Otros dispositivos de red que tengan un archivo de certificado syslog-tls y el número de puerto de escucha TLS se pueden detectar automáticamente como un origen de registro Syslog TLS.

Casos de uso de Tls Syslog
Varios orígenes de registro a través de TLS Syslog

Casos de uso de Tls Syslog

Los siguientes casos de uso representan posibles configuraciones que puede crear:

Certificado de cliente en disco: puede proporcionar un certificado de cliente que permita que el protocolo participe en la autenticación de cliente. Si selecciona esta opción y proporciona el certificado, las conexiones entrantes se validan con el certificado de cliente.
Verificación de lista de permitidos y emisores de CN:

Si seleccionó esta opción, debe copiar el certificado del emisor (con las extensiones de archivo .crt, .cert o .der) en el siguiente directorio:

/opt/qradar/conf/trusted_certificates

Este directorio se encuentra en el recopilador de eventos de destino al que se asigna el origen del registro.

Cualquier certificado de cliente entrante se verifica con los métodos siguientes para comprobar si el certificado fue firmado por el emisor de confianza y otras comprobaciones. Puede elegir uno o ambos métodos para la autenticación de certificado de cliente:
- Lista de permitidos de CN: proporcione una lista de permitidos de nombres comunes de certificados de cliente de confianza. Puede introducir texto sin formato o una expresión regular. Defina varias entradas ingresando cada una en una nueva línea.
- Verificación del emisor: proporcione un certificado de cliente de confianza, un certificado de emisor intermedio o raíz, o una clave pública en formato PEM.
- Comprobar revocación de certificado: comprueba el estado de revocación de certificado en el certificado de cliente. Esta opción necesita conectividad de red a la dirección URL especificada por el campo Puntos de distribución CRL en el certificado de cliente para la extensión X509v3.
- Comprobar uso de certificado: comprueba el contenido de las extensiones del certificado X509v3 en los campos Uso de clave y Extensión de uso de clave extendido . Para el certificado de cliente entrante, los valores permitidos de uso de claves X509v3 son firma digital y keyAgreement. El valor permitido para el uso extendido de clave X509v3 es autenticación de cliente web TLS.
Certificados de servidor proporcionados por el usuario: puede configurar su propio certificado de servidor y su clave privada correspondiente. El proveedor de syslog TLS configurado usa el certificado y la clave. Las conexiones entrantes se presentan con el certificado suministrado por el usuario, en lugar del certificado TLS Syslog generado automáticamente.

Autenticación predeterminada: para usar el método de autenticación predeterminado, utilice los valores predeterminados para los parámetros Modo de autenticación y tipo de certificado. Después de guardar el origen del registro, se crea un certificado syslog-tls para el dispositivo de origen del registro. El certificado se debe copiar a cualquier dispositivo de la red que reenvíe datos syslog cifrados.

Varios orígenes de registro a través de TLS Syslog

Puede configurar varios dispositivos de su red para enviar eventos de syslog cifrados a un único puerto de escucha TLS Syslog. La escucha Syslog TLS actúa como una puerta de enlace, descifra los datos de eventos y los alimenta dentro de JSA a fuentes de registro adicionales configuradas con el protocolo Syslog.

Cuando se usa el protocolo Syslog TLS, hay parámetros específicos que debe usar.

Varios dispositivos dentro de su red que admiten syslog cifrado de TLS pueden enviar eventos cifrados a través de una conexión TCP al puerto de escucha Syslog TLS. El syslog (puerta de enlace) TLS descifra estos eventos cifrados y se inyectan en la canalización de eventos. Los eventos descifrados se enrutan a las fuentes de registro del receptor adecuadas o al motor de análisis de tráfico para la detección automática.

Los eventos se enrutan dentro de JSA a orígenes de registro con un valor de identificador de origen de registro que coincide con el valor de origen de un evento. Para eventos syslog con encabezado syslog compatible con RFC3164-, RFC5425-, o RFC5424, el valor de origen es la dirección IP o el nombre de host del encabezado. En el caso de eventos que no tengan un encabezado compatible, el valor de origen es la dirección IP desde la que se envió el evento syslog.

En JSA, puede configurar varios orígenes de registro con el protocolo Syslog para recibir eventos cifrados que se envían a un único puerto de escucha TLS Syslog desde varios dispositivos.

Nota:

La mayoría de los clientes habilitados para TLS requieren el certificado público del servidor de destino o del escucha para autenticar la conexión del servidor. De forma predeterminada, un origen de registro Syslog TLS genera un certificado denominado syslog-tls.cert en /opt/qradar/conf/trusted_certificates/ en el recopilador de eventos de destino al que se asigna el origen del registro. Este archivo de certificado se debe copiar a todos los clientes que realicen una conexión TLS.

Para agregar un origen de registro a través de TLS Syslog, vaya a Agregar un origen de registro.

Nota:

Debe repetir el procedimiento para agregar un origen de registro para cada dispositivo de su red. También puede agregar varios orígenes de registro de receptores en masa desde la ventana Orígenes de registro. Consulte Agregar fuentes de registro masivas.

Opciones de configuración del protocolo syslog multilínea UDP

Para crear un evento syslog de una sola línea a partir de un evento de varias líneas, configure un origen de registro para usar el protocolo multilínea UDP. El protocolo de syslog multilínea UDP usa una expresión regular para identificar y volver a ensamblar los mensajes de syslog multilínea en una carga de evento único.

El protocolo syslog multiline UDP es un protocolo entrante/pasivo. El evento multilínea original debe contener un valor que se repita en cada línea para que una expresión regular capture ese valor e identifique y vuelva a ensamblar los mensajes syslog individuales que conforman el evento de varias líneas. Por ejemplo, este evento de varias líneas contiene un valor repetido, 2467222, en el campo conn. Este valor de campo se captura para que todos los mensajes syslog que contengan conn=2467222 se combinen en un solo evento.

En la tabla siguiente se describen los parámetros específicos de protocolo para el protocolo syslog multilínea UDP:

Tabla 49: Parámetros del protocolo Syslog multiline UDP
Parámetro	Descripción
Configuración de protocolo	Syslog multilínea UDP
Puerto de escucha	El número de puerto predeterminado que usa JSA para aceptar eventos de Syslog multilínea UDP entrantes es 517. Puede usar un puerto diferente en el rango 1 - 65535. Para editar una configuración guardada para usar un nuevo número de puerto, realice los pasos siguientes: En el campo Listen Port , escriba el nuevo número de puerto para recibir eventos UDP Multiline Syslog. Haga clic en Guardar. Haga clic en Implementar cambios para que este cambio sea efectivo. La actualización de puerto está completa y la recopilación de eventos comienza en el nuevo número de puerto.
Patrón de ID de mensaje	La expresión regular (regex) necesaria para filtrar los mensajes de carga de eventos. Los mensajes de eventos multilínea UDP deben contener un valor de identificación común que se repita en cada línea del mensaje de evento.
Formateador de eventos	Formateador de eventos que formatea las cargas entrantes que detecta el escucha. Seleccione Sin formato para dejar la carga intacta. Seleccione Cisco ACS Multiline para formatear la carga en un evento de una sola línea. En el encabezado syslog de ACS, hay campos total_seg y seg_num. Estos dos campos se utilizan para reorganizar los eventos multilínea de ACS en un evento de una sola línea con el orden correcto cuando seleccione la opción Multiline de ACS de Cisco.
Mostrar opciones avanzadas	El valor predeterminado es No. Seleccione Sí si desea configurar opciones avanzadas.
Usar nombre de origen personalizado	Active la casilla de verificación si desea personalizar el nombre de origen con regex.
Nombre de fuente Regex	Utilice los parámetros Regex de nombre de origen y Cadena de formato de nombre de origen si desea personalizar cómo JSA determina el origen de los eventos que se procesan en esta configuración de Syslog multilínea UDP. En Regex de nombre de origen, escriba un regex para capturar uno o más valores de identificación de cargas de eventos que se manejan mediante este protocolo. Estos valores se usan con la cadena de formato de nombre de origen para establecer un valor de origen o origen para cada evento. Este valor de origen se utiliza para enrutar el evento a un origen de registro con un valor de identificador de origen de registro coincidente cuando la opción Usar como puerta de enlace Origen de registro está habilitada.
Cadena de formato de nombre de origen	Puede usar una combinación de una o más de las siguientes entradas para formar un valor de origen para cargas de eventos que se procesan mediante este protocolo: Uno o más grupos de captura del Regex de nombre de origen. Para hacer referencia a un grupo de captura, use la notación \x donde x es el índice de un grupo de captura del Regex de nombre de origen. La dirección IP de la que se originaron los datos de eventos. Para hacer referencia a la IP del paquete, utilice el token $PIP$. Caracteres de texto literal. Toda la cadena de formato de nombre de origen puede ser texto proporcionado por el usuario. Por ejemplo, CiscoACS\1\2$PIP$, donde \1\2 significa el primer y segundo grupo de captura del valor Regex de nombre fuente , y $PIP$ es la IP del paquete.
Usar como fuente de registro de puerta de enlace	Si esta casilla de verificación está desactivada, los eventos entrantes se envían al origen del registro con el identificador de origen de registro que coincide con la IP desde la que se originaron. Cuando se comprueba, este origen de registro sirve como un único punto de entrada o puerta de enlace para eventos de varias líneas de muchos orígenes para entrar en JSA y procesarse de la misma manera, sin la necesidad de configurar un origen de registro UDP Multiline Syslog para cada origen. Los eventos con un encabezado syslog compatible con RFC3164 o RFC5424 se identifican como originados en el nombre de IP o host en su encabezado, a menos que el parámetro Cadena de formato de nombre de origen esté en uso, en cuyo caso esa cadena de formato se evalúa para cada evento. Estos eventos se enrutan a través de JSA según este valor capturado. Si existen uno o más orígenes de registro con un identificador de origen de registro correspondiente, se les da el evento en función del orden de análisis configurado. Si no aceptan el evento o si no existen orígenes de registro con un identificador de origen de registro coincidente, los eventos se analizan para la detección automática.
Aplane los eventos de varias líneas en una sola línea	Muestra un evento en una o varias líneas. Si esta casilla de verificación está activada, todos los caracteres de devolución de línea y transporte nuevos se quitarán del evento.
Conservar líneas completas durante la agregación de eventos	Elija esta opción para descartar o conservar la parte de los eventos que viene antes del patrón de ID de mensaje cuando el protocolo concatena eventos con el mismo patrón de ID.
Límite de tiempo	Número de segundos para esperar a que se produzcan cargas coincidentes adicionales antes de insertar el evento en la canalización de eventos. El valor predeterminado es de 10 segundos.
Habilitado	Active esta casilla de verificación para habilitar el origen del registro.
Credibilidad	Seleccione la credibilidad del origen del registro. El rango es de 0 a 10. La credibilidad indica la integridad de un evento o delito determinado por la calificación de credibilidad de los dispositivos de origen. La credibilidad aumenta si varias fuentes informan sobre el mismo evento. El valor predeterminado es 5.
Recolector de eventos de destino	Seleccione el recopilador de eventos en su implementación que debería alojar el agente de escucha syslog multilínea UDP.
Eventos de unección	Active esta casilla de verificación para permitir que el origen del registro unifique eventos (agrupación). De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Eventos de coalescing de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.
Carga de eventos de la tienda	Active esta casilla de verificación para habilitar el origen del registro para almacenar información de carga de eventos. De forma predeterminada, los orígenes de registro detectados automáticamente heredan el valor de la lista Carga de eventos de almacén de la configuración del sistema en JSA. Cuando crea un origen de registro o edita una configuración existente, puede invalidar el valor predeterminado configurando esta opción para cada origen de registro.

Opciones de configuración del protocolo VMware VCloud Director

Para recopilar eventos de los entornos virtuales de VMware vCloud Director, cree un origen de registro que use el protocolo VMware vCloud Director, que es un protocolo de salida/activo.

En la tabla siguiente se describen los parámetros específicos del protocolo VMware vCloud Director:

Tabla 50: Parámetros de protocolo de VMware VCloud Director
Parámetro	Descripción
Identificador de origen de registro	El nombre de origen del registro no puede incluir espacios y debe ser único entre todos los orígenes de registro de este tipo que estén configurados con el protocolo VMware vCloud Director.
Configuración de protocolo	VMware vCloud Director
URL de vCloud	La URL que está configurada en su dispositivo VMware vCloud para acceder a la API de REST. La DIRECCIÓN URL debe coincidir con la dirección que está configurada como el campo URL base de la API de REST público VCD en el servidor de vCloud. Por ejemplo, `https:<my.vcloud.server>/api`.
Nombre de usuario	Nombre de usuario necesario para acceder de forma remota al servidor vCloud. Por ejemplo, `console/user@organization`. Si desea configurar una cuenta de solo lectura para usarla con JSA, cree un usuario de vCloud en su organización que tenga el permiso Solo acceso a la consola .
Contraseña	La contraseña necesaria para acceder de forma remota al servidor vCloud.
Intervalo de sondeo (en segundos)	La cantidad de tiempo entre consultas al servidor vCloud para eventos nuevos. El intervalo de sondeo predeterminado es de 10 segundos.
Aceleración de EPS	Número máximo de eventos por segundo (EPS). El valor predeterminado es 5000.
Habilitar opciones avanzadas	Active esta opción para configurar más parámetros.
Dimensiones de la API	Si selecciona Habilitar opciones avanzadas, se mostrará este parámetro. Número de registros que se devolverán por llamada a la API. El máximo es de 128.
Habilitar SDK de vCloud heredado	Si selecciona Habilitar opciones avanzadas, se mostrará este parámetro. Para conectarse a vCloud 5.1 o anterior, habilite esta opción.
Versión de la API de vCloud	Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar SDK de vCloud heredado, este parámetro ya no se muestra. La versión de vCloud que se utiliza en su solicitud de API. Esta versión debe coincidir con una versión compatible con la instalación de vCloud. Utilice los siguientes ejemplos para ayudarlo a determinar qué versión es compatible con su instalación de vCloud: API de vCloud 33.0 (vCloud Director 10.0) API de vCloud 32.0 (vCloud Director 9.7) API de vCloud 31.0 (vCloud Director 9.5) API de vCloud 30.0 (vCloud Director 9.1) API de vCloud 29.0 (vCloud Director 9.0)
Permitir certificados no confiables	Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar SDK de vCloud heredado, este parámetro ya no se muestra. Cuando se conecta a vCloud 5.1 o posterior, debe habilitar esta opción para permitir certificados autofirmados y no de confianza. El certificado debe descargarse en formato binario codificado PEM o DER y, luego, colocarse en el `/opt/qradar/conf/ trusted_certificates/` directorio con una `.cert or .crt` extensión de archivo.
Usar proxy	Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar SDK de vCloud heredado, este parámetro ya no se muestra. Si se accede al servidor mediante un proxy, active la casilla Usar proxy . Si el proxy requiere autenticación, configure los campos Servidor proxy, Puerto de proxy, nombre de usuario de proxy y Contraseña de proxy . Si el proxy no requiere autenticación, configure el campo IP de proxy o Nombre de host.
IP de proxy o nombre de host	Si selecciona Usar proxy, se mostrará este parámetro. Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar SDK de vCloud heredado, este parámetro ya no se muestra.
Puerto proxy	Si selecciona Usar proxy, se mostrará este parámetro. Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar SDK de vCloud heredado, este parámetro ya no se muestra. Número de puerto que se utiliza para comunicarse con el proxy. El valor predeterminado es 8080.
Nombre de usuario de proxy	Si selecciona Usar proxy, se mostrará este parámetro. Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar SDK de vCloud heredado, este parámetro ya no se muestra.
Contraseña de proxy	Si selecciona Usar proxy, se mostrará este parámetro. Si selecciona Habilitar opciones avanzadas y, a continuación, selecciona Habilitar SDK de vCloud heredado, este parámetro ya no se muestra.

EN ESTA PÁGINA

Opciones de configuración de protocolo

Opciones de configuración del protocolo de la API REST de Akamai Kona

Opciones de configuración del protocolo de la API REST de AWS S3 de Amazon

Registros de flujo de Amazon VPC

Especificaciones de registros de flujo de Amazon VPC

Publicación de registros de flujo en un bucket de S3

Cree la cola SQS que se utiliza para recibir notificaciones ObjectCreated

Configuración de credenciales de seguridad para su cuenta de usuario de AWS

Opciones de configuración del protocolo de Amazon Web Services

Opciones de configuración del protocolo Apache Kafka

Configuración de Apache Kafka para habilitar la autenticación de cliente

Configuración de Apache Kafka para habilitar la autenticación SASL

Solución de problemas de Apache Kafka

Opciones de configuración del protocolo DE LA API REST del servicio de seguridad web Blue Coat

Opciones de configuración del protocolo de la API REST de Centrify Redrock

Opciones de configuración del protocolo Cisco Firepower EStreamer

Opciones de configuración del protocolo Cisco NSEL

Opciones de configuración del protocolo VMware de EMC

Opciones de configuración de protocolo reenviado

Opciones de configuración de Google Cloud Pub/sub protocol

Configuración de Google Cloud Pub/Sub para integrarse con JSA

Creación de un pub/subtema y una suscripción en Google Cloud Console

Creación de una cuenta de servicio y una clave de cuenta de servicio en Google Cloud Console para acceder a la suscripción a Pub/Sub

Llenar un pub/sub tema con datos

Agregar una fuente de registro de Google Cloud Pub/Sub en JSA

Opciones de protocolo de LA API REST de informes de actividad de Google G Suite

Preguntas frecuentes sobre el protocolo DE LA API de REST de informes de actividad de Google G Suite

Opciones de configuración del protocolo de recepción HTTP

Opciones de configuración del protocolo JDBC

JDBC: Opciones de configuración del protocolo SiteProtector

Opciones de configuración del protocolo NSM de Juniper Networks

Opciones de configuración del protocolo del recolector de registros binarios de Juniper Security

Opciones de configuración del protocolo de registro

Configurar JSA para usar FTPS para el protocolo de archivo de registro

Opciones de configuración del protocolo de centros de eventos de Microsoft Azure

Configuración de centros de eventos de Microsoft Azure para comunicarse con JSA

Solución de problemas del protocolo de centros de eventos de Microsoft Azure

Excepción de formato de cadena de conexión ilegal

Excepción de almacenamiento

Excepción de entidad ilegal

Excepción de sintaxis de URI

Excepción de clave no válida

Excepción de tiempo de espera

Otras excepciones

Preguntas frecuentes sobre el protocolo de centros de eventos de Microsoft Azure

¿Por qué necesito una cuenta de almacenamiento para conectarme a un centro de eventos?

¿Por qué el protocolo de Centros de eventos de Microsoft Azure usa la cuenta de almacenamiento?

¿Cuántos datos necesita almacenar la cuenta de almacenamiento?

¿Mi cuenta de almacenamiento debe contener eventos?

¿Cómo es un archivo blob creado por el protocolo de Centros de eventos de Microsoft Azure?

¿Puedo usar la misma cuenta de almacenamiento con otros centros de eventos?

¿Qué hago si el protocolo no recopila eventos?

¿Por qué necesito abrir los puertos para dos IP diferentes que tienen puertos diferentes?

¿Puedo recopilar eventos <Service/Product> mediante el protocolo de Centros de eventos de Microsoft?

¿Qué hace la opción Formatear eventos de Azure Linux a Syslog?

Opciones de configuración del protocolo de la API DE REST de Microsoft Defender para puntos de conexión SIEM

Opciones de configuración del protocolo DHCP de Microsoft

Opciones de configuración del protocolo de Microsoft Exchange

Opciones de configuración del protocolo de la API de seguridad de Microsoft Graph

Configuración de la API de seguridad de Microsoft Graph para comunicarse con JSA

Opciones de configuración del protocolo Microsoft IIS

Opciones de configuración del protocolo de registro de eventos de seguridad de Microsoft

Registro de eventos de seguridad de Microsoft sobre protocolo MSRPC

Opciones de configuración del protocolo MQ

Opciones de configuración del protocolo DE LA API DE REST de seguimiento de mensajes de Office 365

Solución de problemas del protocolo DE API DE REST de seguimiento de mensajes de Office 365

Código de estado HTTP 401

Código de estado HTTP 404

Preguntas frecuentes sobre el seguimiento de mensajes de Office 365 del protocolo de LA API de REST

¿Qué permisos se requieren para recopilar registros de la API de REST de seguimiento de mensajes de Office 365?

¿Qué información contiene los eventos que recopila un protocolo DE API REST de seguimiento de mensajes de Microsoft Office 365?

¿Para qué se utiliza la opción de retraso de eventos?

¿Cómo funciona la opción de retraso de eventos?

¿Qué valor uso para la opción de retraso de eventos?

Opciones de configuración del protocolo de la API de REST okta

Opciones de configuración del protocolo OPSEC/LEA

Opciones de configuración del protocolo de escucha de Oracle Database

Opciones de configuración del protocolo SDEE

Opciones de configuración del protocolo de cola de SMB