Guia de Administración QRadar SIEM
Guia de Administración QRadar SIEM
Versión 7.2.4
Guía de administración
Nota
Antes de utilizar esta información y el producto al que da soporte, lea la información del apartado “Avisos” en la página
305.
Contenido v
Verificación de los datos restaurados . . . . . . . . . . . . . . . . . . . . . . . . . 135
Contenido vii
Política . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 255
Desconocido. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 256
CRE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257
Explotación potencial . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258
Definido por el usuario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
Auditoría de SIM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261
Descubrimiento de host de VIS . . . . . . . . . . . . . . . . . . . . . . . . . . . . 262
Aplicación . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
Auditoría. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 285
Riesgo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 286
Auditoría de Risk Manager. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
Control . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 288
Perfilador de activos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 290
Avisos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 305
Marcas registradas. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 307
Consideraciones sobre la política de privacidad . . . . . . . . . . . . . . . . . . . . . . . 307
Glosario . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
A . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
B . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
C . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 309
D . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 310
E . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 310
F . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311
G . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311
H . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311
I. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 311
K . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312
L . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312
M . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312
N . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312
O . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313
P . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313
Q . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313
R . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313
S . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 314
T . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315
V . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315
W . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315
Índice. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 317
Esta guía está dirigida a todos los usuarios de QRadar SIEM responsables de
investigar y gestionar la seguridad de la red. Esta guía presupone que tiene acceso
a QRadar SIEM y que conoce la red corporativa y las tecnologías de red.
Documentación técnica
Para buscar documentación del producto IBM Security QRadar en la web, incluida
toda la documentación traducida, acceda al Knowledge Center de IBM
(http://www.ibm.com/support/knowledgecenter/SS42VS/welcome).
Configure perfiles de reenvío para los datos de sucesos que se envían en formato
Puede almacenar los datos históricos por separado y ofrecer búsquedas y analíticas
históricas sin que se vean afectadas las operaciones de seguridad en tiempo real.
Más información...
Si una regla tiene una prueba de dominio, puede restringir la regla para que se
Despliegue de cambios
Puede actualizar los valores de configuración en la pestaña Admin. Los cambios se
guardan en un área intermedia donde se almacenan hasta que despliegue
manualmente los cambios.
Cada vez que acceda a la pestaña Admin y cada vez que cierre una ventana en la
pestaña Admin, un banner en la parte superior de la pestaña Admin mostrará el
siguiente mensaje: Buscando cambios no desplegados. Si se encuentran cambios no
desplegados, el banner se actualiza y proporciona información sobre los cambios
no desplegados.
El mensaje del banner también indica qué tipo de cambio de despliegue se debe
hacer. Elija una de las dos opciones siguientes:
v Desplegar cambios: Pulse el icono Desplegar cambios de la barra de
herramientas de la pestaña Admin para desplegar todos los cambios de
configuración de la sesión actual en su despliegue.
v Desplegar configuración completa: Seleccione Avanzado > Desplegar
configuración completa en el menú de la pestaña Admin para desplegar todos
los valores de configuración en su despliegue. A continuación todos los cambios
desplegados se aplican en el despliegue.
Procedimiento
1. Pulse Preferencias.
2. Opcional: Actualice los detalles de usuario configurables.
Opción Descripción
Parámetro Descripción
Correo electrónico Escriba una dirección de correo electrónico
nueva.
Contraseña Escriba una contraseña nueva.
Confirmar contraseña Vuelva a escribir la nueva contraseña.
Habilitar notificaciones emergentes Los mensajes de notificación emergentes del
sistema se muestran en la esquina inferior
derecha de la interfaz de usuario. Para
inhabilitar las notificaciones emergentes,
desmarque esta casilla de verificación.
3. Pulse Guardar.
Restablecimiento de SIM
Utilice la pestaña Admin para restablecer el módulo SIM. Ahora puede eliminar de
la base de datos y del disco toda la información de delitos, dirección IP de origen y
dirección IP de destino.
Esta opción es útil después de ajustar el despliegue para evitar recibir información
adicional de falsos positivos.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú Avanzado, seleccione Limpiar modelo SIM.
3. Lea la información en la ventana Restablecer módulo de datos SIM.
4. Seleccione una de las siguientes opciones.
Opción Descripción
Limpieza parcial Cierra todos los delitos de la base de datos.
Si selecciona la opción Limpieza parcial,
podrá seleccionar también la casilla de
verificación Desactivar todos los delitos.
Limpieza total Purga todos los datos de SIM actuales e
históricos, incluyendo delitos, direcciones IP
de origen y direcciones IP de destino.
La vista de datos agregados debe generar datos para las reglas de ADE, los
gráficos de series temporales y los informes.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión de datos agregados.
4. Para filtrar la lista de vistas de datos agregados, seleccione una de las
siguientes opciones:
v Seleccione una opción de una de las listas siguientes: Vista, Base de datos,
Mostrar o Visualizar.
v Escriba un ID de datos agregados, un nombre de informe, un nombre de
gráfica o nombre de búsqueda guardada en el campo de búsqueda.
5. Para gestionar una vista de datos agregados, seleccione la vista y luego la
acción adecuada en la barra de herramientas.
v Si se selecciona Inhabilitar vista o Suprimir vista, una ventana mostrará las
dependencias de contenido de la vista de datos agregados. Una vez
inhabilitada o suprimida la vista de datos agregados, los componentes
dependientes ya no utilizarán datos agregados.
v Si habilita una vista de datos agregados inhabilitada, los datos agregados de
la vista suprimida se restauran.
Tabla 3. Descripciones de las columnas de la vista Gestión de datos agregados
Columna Descripción
ID de datos agregados Identificador de los datos agregados
Nombre de búsqueda guardada Nombre definido para la búsqueda
guardada
Nombre de columna Identificador de columna
Veces que se ha buscado Recuento de búsqueda
Datos escritos Tamaño de los datos escritos
Nombre de base de datos Base de datos en la que se ha escrito el
archivo
Hora de la última modificación Indicación de fecha y hora de la última
modificación de los datos
Recuento exclusivo habilitado True o False; los resultados de búsqueda
mostrarán recuentos de sucesos y flujos
exclusivos en lugar de recuentos promedio a
lo largo del tiempo.
API RESTful
Utilice la interfaz de programación de aplicaciones (API) Representational State
Transfer (REST) para realizar consultas HTTPS e integrar IBM Security QRadar con
otras soluciones.
Debe tener permisos del rol de usuario administrativo en QRadar para acceder y
usar las API RESTful. Para obtener más información sobre la gestión de los
permisos del rol de usuario, consulte la publicación IBM Security QRadar SIEM
Guía de administración.
Nota:
Los puntos finales de la API están anotados como experimentales o como estables.
Experimental
Indica que el punto final de la API podría no estar totalmente probado
y podría cambiar o eliminarse en el futuro sin previo aviso.
Estable
Indica que el punto final de la API está totalmente probado y
soportado.
5. Pulse Try it out para recibir respuestas HTTPS con el formato correcto.
El foro de API proporciona más información acerca de la API REST, que incluye las
respuestas a las preguntas más frecuentes y ejemplos de código con anotaciones
que puede utilizar en un entorno de prueba. Para obtener más información,
consulte el foro de API (https://www.ibm.com/developerworks/community/
forums/html/forum?id=b02461a3-9a70-4d73-94e8-c096abe263ca).
Al configurar inicialmente QRadar SIEM, debe crear cuentas de usuario para todos
los usuarios que necesitan acceso a QRadar SIEM. Después de la configuración
inicial, puede editar las cuentas de usuario para asegurarse de que la información
de usuario es actual. También puede añadir y suprimir cuentas de usuario, según
sea necesario.
Asigne los elementos siguientes para cada nueva cuenta de usuario que cree:
v Rol de usuario: Determina los privilegios que se otorgan al usuario para acceder
a las funciones y la información de QRadar SIEM. QRadar SIEM contiene dos
roles de usuario predeterminados: Admin y Todos. Antes de añadir cuentas de
usuario, debe crear más roles de usuario para cumplir los requisitos de permisos
específicos de los usuarios.
v Perfil de seguridad: Determina las redes y los orígenes de registro a los que se
otorga acceso al usuario. QRadar SIEM contiene un perfil de seguridad
predeterminado para los usuarios administrativos. El perfil de seguridad Admin
incluye acceso a todas las redes y a todos los orígenes de registro. Antes de
añadir cuentas de usuario, debe crear más perfiles de seguridad para cumplir los
requisitos de acceso específicos de los usuarios.
Gestión de roles
Con la ventana Roles de usuario puede crear roles de usuario y gestionarlos.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema > Gestión de
usuarios.
3. Pulse el icono Roles de usuario.
4. En la barra de herramientas, pulse Nuevo.
Nota:
a. Un panel de control no muestra información alguna si el rol de usuario no
tiene permiso para ver los datos del panel de control.
b. Si un usuario modifica los paneles de control visualizados, en el próximo
inicio de sesión aparecen los paneles de control definidos correspondientes
al rol de usuario.
7. Pulse Guardar.
8. Cierre la ventana Gestión de roles de usuario.
9. En el menú de la pestaña Admin, pulse Desplegar cambios.
Para localizar rápidamente el rol de usuario que desea editar en la ventana Gestión
de roles de usuario, puede escribir un nombre de rol en el cuadro de texto Tipo
por filtrar. Este cuadro se halla encima del panel izquierdo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema > Gestión de
usuarios.
3. Pulse el icono Roles de usuario.
4. En el panel izquierdo de la ventana Gestión de roles de usuario, seleccione el
rol de usuario que desea editar.
5. En el panel derecho, actualice los permisos según convenga. Consulte el
apartado “Acceso y permisos de los roles de usuario” en la página 25.
6. Modifique las opciones de Paneles de control correspondientes al rol de
usuario según convenga.
7. Pulse Guardar.
8. Cierre la ventana Gestión de roles de usuario.
9. En el menú de la pestaña Admin, pulse Desplegar cambios.
Si hay cuentas de usuario asignadas al rol de usuario que desea suprimir, debe
volver a asignar las cuentas de usuario a otro rol de usuario. El sistema detecta
automáticamente esta condición y le solicitará que actualice las cuentas de usuario.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema > Gestión de
usuarios.
3. Pulse el icono Roles de usuario.
4. En el panel izquierdo de la ventana Gestión de roles de usuario, seleccione el
rol que desea suprimir.
5. En la barra de herramientas, pulse Suprimir.
6. Pulse Aceptar.
v Si hay cuentas de usuario asignadas a este rol de usuario, se abre la ventana
Hay usuarios asignados a este rol de usuario. Vaya al paso 7.
v Si no hay cuentas de usuario asignadas a este rol de usuario, el rol de
usuario se suprime satisfactoriamente. Vaya al paso 8.
7. Vuelva a asignar las cuentas de usuario de la lista a otro rol de usuario:
a. En el cuadro de lista Rol de usuario para asignar, seleccione un rol de
usuario.
b. Pulse Confirmar.
8. Cierre la ventana Gestión de roles de usuario.
9. En el menú de la pestaña Admin, pulse Desplegar cambios.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema > Gestión de
usuarios.
3. Pulse el icono Perfiles de seguridad.
4. En la barra de herramientas de la ventana Gestión de perfiles de seguridad,
pulse Nuevo.
5. Configure los siguientes parámetros:
a. En el campo Nombre del perfil de seguridad, escriba un nombre
exclusivo para el perfil de seguridad. El nombre del perfil de seguridad
debe cumplir los requisitos siguientes: 3 caracteres como mínimo y 30
caracteres como máximo.
b. Opcional Escriba una descripción del perfil de seguridad. El número
máximo de caracteres es de 255.
6. Pulse la pestaña Prioridad de permiso.
7. En el panel Configuración de prioridades de permiso, seleccione una opción
de prioridad de permiso. Consulte el apartado “Prioridades de los permisos”
en la página 13.
8. Configure las redes que desee asignar al perfil de seguridad:
a. Pulse la pestaña Redes.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema > Gestión de
usuarios.
3. Pulse el icono Perfiles de seguridad.
4. En el panel izquierdo, seleccione el perfil de seguridad que desee editar.
5. En la barra de herramientas, pulse Editar.
6. Actualice los parámetros como sea necesario.
7. Pulse Guardar.
8. Si se abre la ventana El perfil de seguridad tiene datos de serie temporal,
seleccione una de las opciones siguientes:
Opción Descripción
Conservar datos antiguos y guardar Seleccione esta opción para conservar los
datos de serie temporal acumulados
anteriormente. Si elige esta opción, pueden
producirse errores cuando los usuarios
asociados a este perfil de seguridad vean los
gráficos de serie temporal.
Ocultar datos antiguos y guardar Seleccione esta opción para ocultar los datos
de serie temporal. Si elige esta opción, la
acumulación de datos de serie temporal se
reinicia después de desplegar los cambios de
configuración.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema Gestión de
usuarios.
3. Pulse el icono Perfiles de seguridad.
4. En el panel izquierdo, seleccione el perfil de seguridad que desee duplicar.
5. En la barra de herramientas, pulse Duplicar.
6. En la ventana de confirmación, escriba un nombre exclusivo para el perfil de
seguridad duplicado.
7. Pulse Aceptar.
8. Actualice los parámetros como sea necesario.
9. Cierre la ventana Gestión de perfiles de seguridad.
10. En el menú de la pestaña Admin, pulse Desplegar cambios.
Si hay cuentas de usuario asignadas a los perfiles de seguridad que desea suprimir,
debe volver a asignar las cuentas de usuario a otro perfil de seguridad. QRadar
SIEM detecta automáticamente esta condición y le solicitará que actualice las
cuentas de usuario.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema > Gestión de
usuarios.
3. Pulse el icono Perfiles de seguridad.
4. En el panel izquierdo, seleccione el perfil de seguridad que desee suprimir.
5. En la barra de herramientas, pulse Suprimir.
6. Pulse Aceptar.
Al configurar inicialmente el sistema, debe crear cuentas de usuario para cada uno
de los usuarios. Después de la configuración inicial, puede que sea necesario crear
más cuentas de usuario y gestionar las cuentas de usuario existentes.
Antes de empezar
Antes de crear una cuenta de usuario, debe asegurarse de que el rol de usuario y
el perfil de seguridad necesarios estén creados.
Cuando cree una cuenta de usuario, debe asignar credenciales de acceso, un rol de
usuario y un perfil de seguridad al usuario. Los roles de usuario definen qué
acciones puede realizar el usuario. Los perfiles de seguridad definen a qué datos
puede acceder el usuario.
Puede crear varias cuentas de usuario que incluyan privilegios administrativos; sin
embargo, cualquier cuenta de usuario que sea gestor administrador puede crear
otras cuentas de usuario administrativo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema > Gestión de
usuarios.
3. Pulse el icono Usuarios.
4. En la barra de herramientas de Gestión de usuarios, pulse Nuevo.
5. Especifique los valores de los parámetros siguientes:
a. En el campo Nombre de usuario, escriba un nombre exclusivo para el
nuevo usuario. El nombre de usuario debe contener 30 caracteres como
máximo.
b. En el campo Contraseña, escriba una contraseña para dar acceso al usuario.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema > Gestión de
usuarios.
3. Pulse el icono Usuarios.
4. Seleccione el usuario que desee suprimir.
5. En la barra de herramientas, pulse Suprimir.
6. Pulse Aceptar.
7. Cierre la ventana Gestión de usuarios.
Gestión de autenticación
En este tema se proporciona información sobre la autenticación y se indica cómo
configurarla.
Para poder configurar RADIUS, TACACS, Active Directory o LDAP como tipo de
autenticación, debe realizar las tareas siguientes:
v Configure el servidor de autenticación antes de configurar la autenticación en
QRadar. Para obtener más información, consulte la documentación del servidor.
v Asegúrese de que el servidor tiene las cuentas de usuario y los niveles de
privilegios adecuados para comunicarse con QRadar. Para obtener más
información, consulte la documentación del servidor.
v Asegúrese de que la hora del servidor de autenticación está sincronizada con la
hora del servidor de QRadar. Para obtener más información sobre el
establecimiento de la hora, consulte el Capítulo 6, “Configurar QRadar SIEM”,
en la página 59.
v Asegúrese de que todos los usuarios tienen las cuentas de usuario y los roles
adecuados para permitir la autenticación con los servidores de proveedor.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema Gestión de
usuarios.
3. Pulse el icono Autenticación.
4. En el cuadro de lista Módulo de autenticación, seleccione Autenticación
RADIUS.
5. Configure los parámetros:
a. En el campo Servidor RADIUS, escriba el nombre de host o la dirección IP
del servidor RADIUS.
b. En el campo Puerto de RADIUS, escriba el puerto del servidor RADIUS.
c. En el cuadro de lista Tipo de autenticación, seleccione el tipo de
autenticación que desee realizar.
Elija una de las opciones siguientes:
Opción Descripción
CHAP El protocolo de autenticación por desafío
mutuo (Challenge Handshake
Authentication Protocol, CHAP) establece
una conexión de protocolo punto a punto
(PPP) entre el usuario y el servidor.
MSCHAP El protocolo de autenticación por desafío
mutuo de Microsoft (MSCHAP) autentica
estaciones de trabajo remotas de Windows.
ARAP El protocolo de acceso remoto de Apple
(Apple Remote Access Protocol, ARAP)
establece autenticación para el tráfico de red
de AppleTalk.
PAP El protocolo de autenticación de contraseñas
(PAP) envía texto en claro entre el usuario y
el servidor.
Opción Descripción
ASCII ASCII (American Standard Code for
Information Interchange) envía el nombre de
usuario y la contraseña en texto en claro, sin
cifrar.
PAP El protocolo de autenticación de contraseñas
(PAP) envía texto en claro entre el usuario y
el servidor. Este es el tipo de autenticación
predeterminado.
CHAP El protocolo de autenticación por desafío
mutuo (Challenge Handshake
Authentication Protocol, CHAP) establece
una conexión de protocolo punto a punto
(PPP) entre el usuario y el servidor.
MSCHAP El protocolo de autenticación por desafío
mutuo de Microsoft (MSCHAP) autentica
estaciones de trabajo remotas de Windows.
MSCHAP2 La versión 2 del protocolo de autenticación
por desafío mutuo de Microsoft (MSCHAP2)
autentica estaciones de trabajo remotas de
Windows mediante la autenticación mutua.
EAPMD5 Protocolo de autenticación extensible que
utiliza el protocolo MD5 (EAPMD5) y
establece una conexión PPP.
Procedimiento
1. Pulse la pestaña Admin.
Parámetro Descripción
URL de servidor Escriba el URL que se utiliza para conectar
con el servidor LDAP; por ejemplo,
ldaps://host:puerto.
Contexto de LDAP Escriba el contexto de LDAP que desea
utilizar; por ejemplo,
DC=QRADAR,DC=INC.
Dominio LDAP Escriba el contexto de LDAP que desea
utilizar; por ejemplo,
DC=QRADAR,DC=INC.
Dominio LDAP Escriba el dominio que desea utilizar; por
ejemplo, qradar.inc.
5. Pulse Guardar.
Antes de empezar
Si tiene previsto habilitar la conexión SSL o TLS con el servidor LDAP, debe
importar el certificado SSL o TLS del servidor LDAP al directorio
/opt/qradar/conf/trusted_certificates en el sistema de consola. Para obtener
más información sobre la configuración del certificado SSL, consulte el apartado
“Configuración de certificados SSL o TLS” en la página 25.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema Gestión de
usuarios.
3. Pulse el icono Autenticación.
4. En el cuadro de lista Módulo de autenticación, seleccione LDAP. Configure los
siguientes parámetros:
Parámetro Descripción
URL de servidor Escriba el URL que se utiliza para conectar
con el servidor LDAP. Por ejemplo,
ldaps://<host>:<puerto>. Puede utilizar
una lista separada por espacios para
especificar varios servidores LDAP.
5. Pulse Guardar.
Ejemplo:
ldap.attributes.displayName=Name
ldap.attributes.email=Email
ldap.attritubes.employeeID=EmployeeID
ldap.attributes.department=Department
6. Verifique que se disponga de permiso de lectura para el archivo de
configuración ldap.properties.
7. Inicie la sesión en la interfaz de usuario de QRadar como administrador.
8. En la pestaña Admin, seleccione Avanzado > Reiniciar el servidor web.
Consejo: Planifique esta tarea para que se lleve a cabo durante una ventana de
mantenimiento, ya que la sesión de los usuarios activos se cierra cuando el
servidor web se reinicia.
Resultados
Los administradores puede pasar el puntero del ratón por encima del campo
Nombre de usuario en las pestañas Actividad de registro y Delitos o por encima
del campo Último usuario en la pestaña Activos para visualizar más información
del usuario de LDAP.
Procedimiento
1. Inicie, mediante SSH, la sesión en el sistema como usuario root.
a. Nombre de usuario: root
b. Contraseña: <contraseña>
2. Escriba el mandato siguiente para crear el directorio /opt/qradar/conf/
trusted_certificates/:
mkdir -p /opt/qradar/conf/trusted_certificates
3. Copie el certificado SSL o TLS del servidor LDAP en el directorio
/opt/qradar/conf/trusted_certificates en el sistema.
4. Verifique que la extensión del archivo de certificado sea .cert, que indica que
el certificado es de confianza. QRadar SIEM solamente carga archivos .cert.
Debe asignar una licencia para cada sistema del despliegue, incluidos los
dispositivos de software. QFlow y Recopiladores de sucesos no necesitan una
licencia.
Hay un periodo de gracia de 14 días para volver a asignar una licencia. Puede
desbloquear una licencia si la clave está cargada, después de que se apliquen
parches a un host mediante un arreglo o después de que se cargue una clave de
desbloqueo. Una vez transcurrido el periodo de gracia, la licencia estará fijada
(bloqueada) al sistema.
Una licencia permanece sin desplegar hasta que se despliega el cambio de licencia.
Debe configurar el sistema de QRadar para que los usuarios puedan utilizar las
herramientas. Empiece por obtener una clave de licencia. Una vez que disponga de
una clave de licencia, debe cargarla a la consola y asignarla a un sistema.
Procedimiento
1. Obtenga una clave de licencia mediante uno de estos métodos:
Antes de empezar
Elija una de las opciones siguientes para obtener ayuda con la clave de licencia:
1. En el caso de una clave de licencia nueva o actualizada, póngase en contacto
con el representante de ventas local.
2. Para cualquier otro problema técnico, póngase en contacto con el servicio de
soporte al cliente.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En la barra de herramientas, pulse Cargar licencia.
5. En el cuadro de diálogo, pulse Seleccionar archivo.
6. En la ventana Carga de archivo, localice y seleccione la clave de licencia.
7. Pulse Abrir.
8. Pulse Cargar.
Resultados
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Licencias.
5. Seleccione una licencia no asignada.
6. Pulse Asignar sistema a licencia.
7. Opcional: Para filtrar la lista de licencias, escriba una palabra clave en el
cuadro de búsqueda Cargar licencia.
8. En la lista de licencias, seleccione una licencia.
9. Seleccione un sistema.
10. Pulse Asignar licencia a sistema.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Licencias.
5. Seleccione la licencia que desee revertir.
6. Pulse Acciones > Revertir asignación.
En la ventana Gestión del sistema y licencias puede ver los detalles de las licencias,
como, por ejemplo, el número de orígenes de registro permitidos y las fechas de
caducidad.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Licencias.
5. Para visualizar la ventana Detalles de licencia actual correspondiente a una
licencia, efectúe una doble pulsación en la licencia que desea ver.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Licencias.
5. En el menú Acciones, seleccione Exportar licencias.
6. Seleccione una de las opciones siguientes:
v Open with: Abre los datos de clave de licencia con la aplicación
seleccionada.
v Save File: Guarda el archivo en el escritorio.
7. Pulse Aceptar.
Gestión de sistemas
Utilice la ventana Gestión del sistema y licencias para gestionar los sistemas del
despliegue.
Utilice las opciones disponibles en la ventana Gestión del sistema y licencias para
gestionar los sistemas del despliegue. Puede ver los detalles de un sistema, asignar
una licencia a un sistema o reiniciar y cerrar un sistema.
Abra la ventana Detalles del sistema para ver información acerca del sistema y la
lista de licencias que se han asignado al sistema.
La lista de licencias proporciona los detalles siguientes sobre cada licencia que se
ha asignado a este sistema:
Tabla 12. Parámetros de licencia
Parámetro Descripción
Identidad de licencia Muestra el nombre del producto de QRadar
que la licencia proporciona.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Para visualizar los detalles del sistema, efectúe una doble pulsación en el
sistema que desea ver.
Puede asignar varias licencias a un sistema. Por ejemplo, además de IBM Security
QRadar SIEM, puede asignar IBM Security QRadar Risk Manager y IBM Security
QRadar Vulnerability Manager al sistema de QRadar Console.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Seleccione un sistema disponible.
6. Pulse Asignar licencia a sistema.
7. Opcional: Para filtrar la lista de licencias, escriba una palabra clave en el
cuadro de búsqueda Cargar licencia.
8. En la lista de licencias, seleccione una licencia.
9. Seleccione un sistema.
10. Pulse Asignar licencia a sistema.
Reinicio de un sistema
Utilice la opción Reiniciar sistema de la ventana Gestión del sistema y licencias
para reiniciar un sistema en el despliegue.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Seleccione el sistema que desee reiniciar.
6. En el menú Acciones, seleccione Reiniciar sistema.
Cierre de un sistema
Utilice la opción Cerrar de la ventana Gestión del sistema y licencias para cerrar
un sistema.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Seleccione el sistema que desee cerrar.
6. En el menú Acciones, seleccione Cerrar.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. En el menú Acciones, seleccione Exportar sistemas.
6. Seleccione una de las opciones siguientes:
v Open with: Abre los datos de clave de licencia con la aplicación
seleccionada.
v Save File: Guarda el archivo en el escritorio.
7. Pulse Aceptar.
Solamente los hosts gestionados que figuran en la lista del cuadro Device Access
tienen acceso al sistema seleccionado. Por ejemplo, si especifica una única dirección
IP, solamente se le otorga a esa dirección IP acceso a la consola. Todos los demás
hosts gestionados estarán bloqueados.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Seleccione el host para el que desea configurar los valores de acceso de
cortafuegos.
6. En el menú Acciones, seleccione Gestionar sistema.
7. Inicie la sesión en la ventana System Setup. El valor predeterminado es:
a. User Name: root
b. Password: <contraseña> El nombre de usuario y la contraseña son
sensibles a las mayúsculas y minúsculas.
8. En el menú, seleccione Managed Host Config > Local Firewall.
9. Configure los siguientes parámetros de acceso de dispositivo:
Opción Descripción
Device Access En el cuadro Device Access, incluya todos
los sistemas de IBM que desea que accedan
a este host gestionado. Solamente tienen
acceso los hosts gestionados que aparecen
listados. Por ejemplo, si especifica una única
dirección IP, solamente se le otorga a esa
dirección IP acceso al host gestionado. Todos
los demás hosts gestionados estarán
bloqueados.
IP Address Escriba la dirección IP del host gestionado
que desea que tenga acceso.
Protocol Seleccione el protocolo que desea utilizar
para permitir el acceso para la dirección IP y
el puerto especificados. Existen las opciones
siguientes:
v UDP: Permite el tráfico UDP.
v TCP: Permite el tráfico TCP.
v Any: Permite todo el tráfico.
Port Escriba el puerto en el que desea habilitar
las comunicaciones.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Seleccione el host para el que desea actualizar los valores de configuración de
host.
6. En el menú Acciones, seleccione Gestionar sistema.
7. Inicie la sesión en la ventana System Setup. El valor predeterminado es:
a. Nombre de usuario: root
b. Contraseña: <contraseña>
El nombre de usuario y la contraseña son sensibles a las mayúsculas y
minúsculas.
8. En el menú, seleccione Managed Host Config > QRadar Setup.
9. En el campo Mail Server, escriba la dirección del servidor de correo que
desea utilizar. QRadar SIEM utiliza este servidor de correo para distribuir
alertas y mensajes de sucesos. Para utilizar el servidor de correo que se
proporciona con QRadar SIEM, escriba localhost.
10. En Enter the global configuration password, escriba la contraseña que desea
utilizar para acceder al host. Vuelva a escribir la contraseña para confirmarla.
11. Pulse Apply Configuration.
Antes de empezar
Si necesita ayuda para determinar cuál es el rol adecuado para cada interfaz,
póngase en contacto con el servicio de soporte al cliente.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
Antes de empezar
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Seleccione el host para el que desea configurar los valores de rol de interfaz.
6. En el menú Acciones, seleccione Gestionar sistema.
7. Inicie la sesión en la ventana System Setup. El valor predeterminado es:
a. Nombre de usuario: root
b. Contraseña: <contraseña>
El nombre de usuario y la contraseña son sensibles a las mayúsculas y
minúsculas.
8. En el menú, seleccione Managed Host Config > Root Password.
9. Actualice la contraseña:
a.New Root Password: Escriba la contraseña raíz necesaria para acceder a
la ventana System Setup.
b. Confirm New Root Password: Vuelva a escribir la contraseña para
confirmarla.
10. Pulse Update Password.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Seleccione el host para el que desea configurar los valores de hora del sistema.
6. En el menú Acciones, seleccione Gestionar sistema.
7. Inicie la sesión en la ventana System Setup.
El nombre de usuario y la contraseña son sensibles a las mayúsculas y
minúsculas.
8. En el menú, seleccione Managed Host Config > System Time.
9. Configure el huso horario:
a. Pulse la pestaña Change time zone.
b. En el cuadro de lista Change timezone to, seleccione el huso horario en el
que se encuentra este host gestionado.
c. Pulse Guardar.
10. Configure el servidor de hora:
a. Pulse la pestaña Time server sync.
Configure los siguientes parámetros:
Tabla 13. Parámetros del servidor de hora
Parámetro Descripción
Timeserver hostnames or addresses Escriba el nombre de host o la dirección IP
del servidor de hora.
Set hardware time too Seleccione esta casilla de verificación si
desea establecer la hora del hardware.
Synchronize on schedule? Seleccione una de las opciones siguientes:
v No: Seleccione esta opción si no desea
sincronizar la hora. Vaya al paso c.
v Sí: Seleccione esta opción si desea
sincronizar la hora.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Gestión del sistema y licencias.
4. En el cuadro de lista Visualizar, seleccione Sistemas.
5. Seleccione el host para el que desea configurar los valores de hora del sistema.
6. En el menú Acciones, seleccione Gestionar sistema.
7. Inicie la sesión en la ventana System Setup. El valor predeterminado es:
a. Nombre de usuario: root
b. Contraseña: <contraseña>
El nombre de usuario y la contraseña son sensibles a las mayúsculas y
minúsculas.
8. En el menú, seleccione Managed Host Config > System Time.
9. Pulse la pestaña Set time.
La página Set Time se divide en pestañas. Debe guardar cada valor antes de
continuar. Por ejemplo, cuando configure la hora del sistema, debe pulsar
Aplicar en el panel Hora del sistema antes de continuar.
10. Establezca la hora del sistema:
a. Seleccione una de las opciones siguientes:
v En el panel de hora del sistema, utilice los cuadros de lista para
seleccionar la fecha y la hora actuales que desee asignar al host
gestionado.
v Pulse Set system time to hardware time.
b. Pulse Aplicar.
11. Establezca la hora del hardware:
a. Seleccione una de las opciones siguientes:
v En el panel de hora del hardware, utilice los cuadros de lista para
seleccionar la fecha y la hora actuales que desee asignar al host
gestionado.
v Pulse Set hardware time to system time.
IBM Security QRadar SIEM utiliza la información que se recopila de los puntos
finales para enriquecer la información del usuario que está asociada con el tráfico y
los sucesos que se producen en la red.
Para asegurarse de que las actividades realizadas por usuarios de ISIM con
privilegios cumplen las políticas de seguridad, puede realizar las tareas siguientes:
Procedimiento
1. Instale Tivoli Directory Integrator en un host que no sea de QRadar. Para
obtener más información sobre cómo instalar y configurar Tivoli Directory
Integrator, consulte la documentación de Tivoli Directory Integrator (TDI).
2. Inicie, mediante SSH, la sesión en la consola como usuario root.
a. Nombre de usuario: root
b. Contraseña: <contraseña>
3. Copie el archivo QRadarIAM_TDI.zip en el servidor de Tivoli Directory
Integrator.
4. En el servidor de Tivoli Directory Integrator, extraiga el archivo
QRadarIAM_TDI.zip en el directorio de soluciones.
5. Configure el servidor de Tivoli Directory Integrator para la integración con
QRadar.
a. Abra el archivo <directorio_soluciones>/solution.properties de Tivoli
Directory Integrator.
b. Quite la marca de comentario de la propiedad com.ibm.di.server.autoload.
Si ya se ha quitado la marca de comentario de esta propiedad, anote el
valor de la propiedad.
c. Seleccione una de las opciones siguientes:
v Cambie los directorios por el directorio autoload.tdi, que contiene la
propiedad com.ibm.di.server.autoload de forma predeterminada.
v Cree un directorio autoload.tdi en el <directorio_soluciones> para
almacenar la propiedad com.ibm.di.server.autoload.
d. Mueva los archivos TDI/QRadarIAM.xml y TDI/QRadarIAM.property del
directorio de Tivoli Directory Integrator al directorio
<directorio_soluciones>/autoload.tdi o al directorio que ha creado en el
paso anterior.
e. Mueva los scripts QradarIAM.bat y QradarIAM.sh del directorio de Tivoli
Directory Integrator a la ubicación desde la que desea iniciar Tivoli
Directory Integrator.
6. Si se requiere la autenticación basada en certificados para que el sistema se
autentique en el servidor de Tivoli Directory Integrator, seleccione una de las
opciones siguientes:
v Para crear e importar un certificado autofirmado, consulte el paso 7.
v Para importar un certificado de autoridad emisora de certificados, consulte
el paso 8.
7. Cree el certificado autofirmado e impórtelo al almacén de confianza de Tivoli
Directory Integrator.
a. Para generar un almacén de claves y un par de claves privada/pública,
escriba el mandato siguiente:
v keytool -genkey -dname cn=<dirección_ip_servidor> -validity
<días_validez> -keystore <archivo_almacén_claves> -storepass
<contraseña> - keypass <contraseña>
v Por ejemplo, keytool -genkey -dname cn=192.168.1.1 -validity 365
-keystore server.jks -storepass secret -keypass secret
Antes de empezar
Procedimiento
1. Inicie, mediante SSH, la sesión en la consola como usuario root.
a. Nombre de usuario: root
b. Contraseña: <contraseña>
2. Para añadir un origen de información de usuario, escriba el mandato siguiente:
UISConfigUtil.sh add <nombre> -t <AD|ISAM|ISIM|ISFIM> [-d descripción]
[-p prop1=valor1,prop2=valor2...,propn=valorn]
Donde:
v <nombre> es el nombre del origen de información de usuario que desea
añadir.
Procedimiento
1. Inicie, mediante SSH, la sesión en la consola como usuario root.
a. Nombre de usuario: root
b. Contraseña: <contraseña>
2. Seleccione una de las opciones siguientes:
a. Escriba el mandato siguiente para recuperar todos los orígenes de
información de usuario: UISConfigUtil.sh get <nombre>
b. Escriba el mandato siguiente para recuperar un origen de información de
usuario determinado:UISConfigUtil.sh get <nombre>
Siendo <nombre> el nombre del origen de información de usuario que desea
recuperar.
Por ejemplo:
[root@vmibm7089 bin]# .UISConfigUtil.sh get "UIS_AD"
Procedimiento
1. Inicie, mediante SSH, la sesión en la consola como usuario root.
a. Nombre de usuario: root
b. Contraseña: <contraseña>
2. Escriba el mandato siguiente para editar un origen de información de usuario:
UISConfigUtil.sh update <nombre> -t <AD|ISAM|ISIM|ISFIM> [-d
descripción] [-p prop1=valor1,prop2=valor2...,propn=valorn]
Donde:
v <nombre> es el nombre del origen de información de usuario que desea
editar.
v <AD|ISAM|ISIM|ISFIM> indica el tipo de origen de información de usuario.
Para actualizar este parámetro, escriba un nuevo valor.
Procedimiento
1. Inicie, mediante SSH, la sesión en la consola como usuario root.
a. Nombre de usuario: root
b. Contraseña: <contraseña>
2. Escriba el mandato siguiente para suprimir un origen de información de
usuario:
UISConfigUtil.sh delete <nombre>
Siendo <nombre> el nombre del origen de información de usuario que desea
suprimir.
Utilice esta tarea para recopilar información de usuario bajo demanda. Si desea
crear la recopilación de información de usuario automática según una
planificación, cree una entrada de trabajo cron. Para obtener más información sobre
los trabajos cron, consulte la documentación de Linux.
Procedimiento
1. Inicie, mediante SSH, la sesión en la consola como usuario root.
a. Nombre de usuario: root
Jerarquía de red
QRadar utiliza la jerarquía de red para comprender el tráfico de red y
proporcionarle la capacidad de ver la actividad de todo el despliegue.
Cuando cree la jerarquía de red, considere el método más eficaz para ver la
actividad de red. No es necesario que la jerarquía de red se parezca al despliegue
físico de la red. QRadar da soporte a cualquier jerarquía de red que pueda
definirse mediante un rango de direcciones IP. Puede basar la red en muchas
variables diferentes, incluidas las unidades de negocio o geográficas.
Al definir la jerarquía de red, debe tener en cuenta los sistemas, los usuarios y los
servidores que se pueden agrupar.
Si el despliegue procesa más de 600.000 flujos, puede crear varios grupos de nivel
superior.
Puede organizar los sistemas y las redes por rol o por patrones de tráfico similares.
Por ejemplo, los servidores de correo, los usuarios de los departamentos, los
laboratorios o los grupos de desarrollo. Con esta organización, puede diferenciar el
comportamiento de red y aplicar políticas de seguridad de gestión de red.
Combine varios CIDR (direccionamiento entre dominios sin uso de clases) o varias
subredes en un solo grupo de red para ahorrar espacio en disco. Por ejemplo:
Tabla 17. Ejemplo de varios CIDR y subredes en un solo grupo de red
Grupo Descripción Direcciones IP
1 Marketing 10.10.5.0/24
10.10.1.4/32
10.10.1.5/32
Añada los servidores clave como objetos individuales y agrupe otros servidores
importantes pero relacionados en objetos de varios CIDR.
Defina un grupo integral que lo incluya todo para que, cuando defina nuevas
redes, se apliquen las políticas adecuadas y los supervisores de comportamiento.
Por ejemplo:
Tabla 18. Ejemplo de un grupo integral
Grupo Subgrupo Dirección IP
Cleveland Varios - Cleveland 10.10.0.0/16
Cleveland Ventas - Cleveland 10.10.8.0/21
Cleveland Marketing - Cleveland 10.10.1.0/24
En la tabla siguiente se proporciona una lista de los valores de CIDR que QRadar
acepta:
Tabla 19. Valores de CIDR aceptables
Longitud de CIDR Máscara Número de redes Hosts
/1 128.0.0.0 128 A 2,147,483,392
/2 192.0.0.0 64 A 1,073,741,696
/3 224.0.0.0 32 A 536,870,848
/4 240.0.0.0 16 A 268,435,424
/5 248.0.0.0 8A 134,217,712
/6 252.0.0.0 4A 67,108,856
/7 254.0.0.0 2A 33,554,428
/8 255.0.0.0 1A 16,777,214
/9 255.128.0.0 128 B 8,388,352
/10 255.192.0.0 64 B 4,194,176
/11 255.224.0.0 32 B 2,097,088
/12 255.240.0.0 16 B 1,048,544
/13 255.248.0.0 8B 524,272
Por ejemplo, una red se llama superred cuando el límite de prefijo contiene menos
bits que la máscara natural (o con clases, "classful") de la red. Por ejemplo, una red
se llama subred cuando el límite de prefijo contiene más bits que la máscara
natural de la red:
v 209.60.128.0 es una dirección de red de clase C con una máscara de /24.
v 209.60.128.0 /22 es un superred que produce:
– 209.60.128.0 /24
– 209.60.129.0 /24
– 209.60.130.0 /24
– 209.60.131.0 /24
v 192.0.0.0 /25
Rango de hosts de subred
0 192.0.0.1-192.0.0.126
1 192.0.0.129-192.0.0.254
v 192.0.0.0 /26
Rango de hosts de subred
0 192.0.0.1 - 192.0.0.62
1 192.0.0.65 - 192.0.0.126
2 192.0.0.129 - 192.0.0.190
3 192.0.0.193 - 192.0.0.254
v 192.0.0.0 /27
Rango de hosts de subred
Los objetos de red son un contenedor para direcciones CIDR. Cualquier dirección
IP cubierta por un rango CIDR en la jerarquía de red se considera una dirección
local. Cualquier dirección IP que no está definida en un rango CIDR de objetos de
red se considera una dirección IP remota. Un CIDR solo puede pertenecer a un
objeto de red aunque subconjuntos de un rango de CIDR pueden pertenecer a otro
objeto de red. El tráfico de red coincide con el CIDR más exacto. Un objeto de red
puede tener varios rangos de CIDR asignados.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Jerarquía de red.
4. En el árbol de menús de la ventana Vistas de red, seleccione el área de la red
en la que desea trabajar.
5. Para añadir objetos de red, siga estos pasos:
a. Pulse Añadir y escriba un nombre exclusivo y una descripción para el
objeto.
b. En la lista Grupo, seleccione el grupo en el que desea añadir el nuevo
objeto de red.
c. Para añadir un grupo, pulse el icono situado junto a la lista Grupo y escriba
un nombre para el grupo.
d. Escriba o seleccione el peso del objeto.
e. Escriba el rango CIDR de este objeto y pulse Añadir.
Actualizaciones automáticas
Puede actualizar automática o manualmente los archivos de configuración para
asegurarse de que los archivos de configuración contienen la información de
seguridad de red más reciente.
El sistema tiene que estar operativo durante suficiente tiempo para recuperar las
actualizaciones semanales. Si no aparece ninguna actualización en la ventana
Actualizaciones, el sistema no ha estado en funcionamiento el tiempo suficiente
para recuperar las actualizaciones semanales o bien no se han emitido
actualizaciones. Si esto ocurre, puede comprobar manualmente si hay
actualizaciones nuevas. Para obtener más información sobre la comprobación de la
existencia de actualizaciones nuevas, consulte el apartado “Cómo comprobar si hay
nuevas actualizaciones” en la página 68.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Actualización automática.
4. Para ver los detalles sobre una actualización, seleccione la actualización.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Actualización automática.
4. En el menú de navegación, pulse Cambiar valores.
5. En la pestaña Básico, seleccione la planificación de las actualizaciones.
6. En la sección Actualizaciones de configuración, seleccione el método que
desea utilizar para actualizar los archivos de configuración.
7. En la sección Actualizaciones de DSM, Explorador, Protocolo, seleccione una
opción para instalar las actualizaciones.
8. En la sección Actualizaciones principales, seleccione una opción para recibir
las actualizaciones más importantes para los nuevos releases.
9. En la sección Actualizaciones secundarias, seleccione una opción para recibir
los parches correspondientes a problemas menores del sistema.
10. Seleccione la casilla de verificación Desplegar automáticamente si desea
desplegar los cambios de actualización automáticamente después de instalar
las actualizaciones.
11. Seleccione la casilla de verificación Reiniciar servicio automáticamente si
desea reiniciar la interfaz de usuario automáticamente después de instalar las
actualizaciones.
12. Pulse la pestaña Avanzado.
13. En el campo Servidor web, escriba el servidor web del cual desea obtener las
actualizaciones. El servidor web predeterminado es https://
qmmunity.q1labs.com/.
14. En el campo Directorio, escriba la ubicación del directorio en el que el
servidor web almacena las actualizaciones. El directorio predeterminado es
autoupdates/.
15. Opcional: En el campo Servidor proxy, escriba el URL del servidor proxy. El
servidor proxy es necesario si el servidor de aplicaciones utiliza un servidor
proxy para conectarse a Internet.
16. Opcional: En el campo Nombre de usuario de proxy, escriba el nombre de
usuario para el servidor proxy. Se necesita un nombre de usuario si se utiliza
un proxy autenticado.
17. En el campo Contraseña de proxy, escriba la contraseña para el servidor
proxy. Se necesita una contraseña si se utiliza un proxy autenticado.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Actualización automática.
4. Opcional: Si desea planificar actualizaciones específicas, seleccione las
actualizaciones que desea planificar.
5. En el cuadro de lista Planificar, seleccione el tipo de actualización que desee
planificar.
6. Seleccione en el calendario la fecha de inicio y la hora en la que desea que se
inicien las actualizaciones planificadas.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Actualización automática.
4. En el menú de navegación, pulse Comprobar si hay actualizaciones.
5. Pulse Obtener nuevas actualizaciones.
El sistema recupera las actualizaciones nuevas desde Fix Central. Este proceso
puede tardar bastante tiempo. Cuando haya terminado, las actualizaciones nuevas
estarán listadas en la ventana Actualizaciones.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Actualización automática.
4. En el menú de navegación, pulse Comprobar si hay actualizaciones.
5. Opcional: Si desea instalar actualizaciones específicas, seleccione las
actualizaciones que desea planificar.
6. En el cuadro de lista Instalar, seleccione el tipo de actualización que desee
instalar.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Actualización automática.
4. En el menú de navegación, pulse Ver historial de actualizaciones.
5. Opcional: En el cuadro de texto Buscar por nombre puede escribir una palabra
clave y luego pulsar Intro para localizar una actualización concreta por nombre.
6. Para investigar una actualización específica, seleccione dicha actualización.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Actualización automática.
4. En el menú de navegación, pulse Restaurar actualizaciones ocultas.
5. Opcional: Para localizar una actualización por nombre, escriba una palabra
clave en el cuadro de texto Buscar por nombre y pulse Intro.
6. Seleccione la actualización oculta que desee restaurar.
7. Pulse Restaurar.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Actualización automática.
4. En el menú de navegación, pulse Ver archivo de registro.
Puede suscribirse a las notificaciones en Fix Central para recibir una notificación
cuando haya actualizaciones nuevas.
Conceptos relacionados:
“Actualizaciones automáticas” en la página 63
Puede actualizar automática o manualmente los archivos de configuración para
asegurarse de que los archivos de configuración contienen la información de
seguridad de red más reciente.
Procedimiento
1. Acceda al servidor Apache. De forma predeterminada, el directorio de
actualización se encuentra en el directorio raíz web del servidor Apache.
Puede colocar el directorio en otra ubicación si configura QRadar en
consecuencia.
2. Cree un directorio de actualización llamado autoupdates/.
3. Opcional: Cree una cuenta de usuario y una contraseña de Apache para
utilizarlas en el proceso de actualización.
4. Descargue el paquete de actualización automática de Fix Central:
http://www.ibm.com/support/fixcentral Encontrará los productos de QRadar
en la lista Grupo de productos de Security Systems de Fix Central.
5. Guarde el archivo de paquete de actualización automática en el servidor
Apache en el directorio autoupdates/ que ha creado.
6. En el servidor Apache, escriba el mandato siguiente para descomprimir el
paquete de actualización automática: tar -zxf updatepackage-
[timestamp].tgz
7. Pulse la pestaña Admin.
8. En el menú de navegación, pulse Configuración del sistema.
9. Pulse Actualización automática.
10. Pulse Cambiar valores.
11. Seleccione la ficha Avanzado.
12. Para dirigir el proceso de actualización al servidor Apache, configure los
parámetros siguientes en el panel Configuración de servidor:
a. En el campo Servidor web, escriba la dirección o la vía de acceso del
directorio del servidor Apache. Si el servidor Apache se ejecuta en puertos
no estándar, añada :<número_puerto> al final de la dirección.
https://qmmunity.q1labs.com/:8080
b. En el campo Directorio, escriba la ubicación del directorio en el que el
servidor web almacena las actualizaciones. El directorio predeterminado es
autoupdates/.
Procedimiento
1. Inicie la sesión en QRadar como usuario root.
2. Escriba el mandato siguiente para crear el directorio de actualizaciones
automáticas: mkdir /opt/qradar/www/autoupdates/
3. Descargue el paquete de actualización automática de Fix Central:
http://www.ibm.com/support/fixcentral Encontrará los productos de QRadar
en la lista Grupo de productos de Security Systems de Fix Central.
4. Guarde el archivo de paquete de actualización automática en el servidor
Apache en el directorio autoupdates/ que ha creado.
5. En la consola de QRadar, escriba el mandato siguiente para descomprimir el
paquete de actualización automática: tar -zxf updatepackage-
[timestamp].tgz
6. Inicie la sesión en la interfaz de usuario de QRadar.
7. En el menú de navegación, pulse Configuración del sistema.
8. Pulse Actualización automática.
Antes de empezar
Procedimiento
1. Descargue el paquete de actualización automática de Fix Central:
http://www.ibm.com/support/fixcentral Encontrará los productos de QRadar
en la lista Grupo de productos de Security Systems de Fix Central.
2. Guarde el archivo de paquete de actualización automática en el servidor de
actualizaciones en el directorio autoupdates/ que ha creado.
3. Escriba el mandato siguiente para descomprimir el paquete de actualización
automática: tar -zxf updatepackage-[timestamp].tgz
4. Inicie la sesión en QRadar como usuario root.
5. Escriba el mandato siguiente para probar el servidor de actualizaciones: lynx
https://<servidor de actualizaciones>/<directorio de actualizaciones>/
manifest_list.
6. Escriba el nombre de usuario y la contraseña del servidor de actualizaciones.
Este panel solamente se visualiza si IBM Security QRadar Vulnerability Manager está
instalado en el sistema.
Periodo de retención de perfil de activo El periodo en días durante el que desea
almacenar la información de perfil de activo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Valores del sistema.
Antes de empezar
Póngase en contacto con el administrador del servidor IF-MAP para obtener una
copia del certificado público del servidor IF-MAP. El certificado debe tener la
extensión de archivo .cert; por ejemplo, ifmapserver.cert.
Procedimiento
1. Inicie, mediante SSH, la sesión en QRadar como usuario root.
2. Copie el certificado en el directorio /opt/qradar/conf/trusted_certificates.
Antes de empezar
Póngase en contacto con el administrador del servidor IF-MAP para obtener una
copia del certificado público del servidor IF-MAP. El certificado debe tener la
extensión de archivo .cert; por ejemplo, ifmapserver.cert.
Procedimiento
1. Inicie, mediante SSH, la sesión en QRadar como usuario root.
2. Acceda al certificado en el directorio /opt/qradar/conf/trusted_certificates.
3. Copie el certificado intermedio SSL y el certificado raíz Verisign SSL en el
servidor IF-MAP como certificados de entidad emisora de certificados. Para
obtener ayuda, póngase en contacto con el administrador del servidor IF-MAP.
4. Escriba el mandato siguiente para crear el archivo de estándares de criptografía
de claves públicas con la extensión .pkcs12: openssl pkcs12 -export -inkey
<clave_privada> -in <certificado> -out <nombre_archivo_pkcs12.pkcs12>
-name "Cliente IFMAP"
5. Escriba el mandato siguiente para copiar el archivo pkcs12 en el directorio
/opt/qradar/conf/key_certificates: cp <nombre_archivo_pkcs12.pkcs12>
/opt/qradar/conf/key_certificates
6. Cree un cliente en el servidor IF-MAP con la autenticación de certificado y
cargue el certificado SSL. Para obtener ayuda, póngase en contacto con el
administrador del servidor IF-MAP.
7. Cambie los permisos del directorio con los mandatos siguientes: chmod 755
/opt/qradar/conf/trusted_certificateschmod 644 /opt/qradar/conf/
trusted_certificates/*.cert
8. Escriba el mandato siguiente para reiniciar el servicio de Tomcat: service
tomcat restart
SSL es un estándar del sector y se utiliza en los sitios web para proteger las
transacciones en línea. Para generar un enlace SSL, un servidor web necesita un
Raíz de confianza
Para establecer todas las conexiones SSL internas entre los componentes, QRadar
no confía en los certificados emitidos por una autoridad reconocida. En lugar de
ello, debe utilizar el certificado del servidor web que está preinstalado en QRadar
Console.
Los certificados SSL que se emiten desde algunos proveedores, como VeriSign,
requieren un certificado intermedio. Debe descargar el certificado intermedio del
proveedor y utilizarlo durante la configuración.
Todos los certificados de confianza para QRadar deben cumplir los requisitos
siguientes:
v El certificado debe ser un certificado X.509 y tener una codificación PEM base64.
v El certificado debe tener la extensión .cert, .crt o .der.
v Los archivos de almacén de claves que contienen certificados deben tener la
extensión .truststore.
v El archivo de certificado debe estar almacenado en el directorio
/opt/qradar/conf/trusted_certificates.
Procedimiento
1. Obtenga un certificado de una entidad emisora de certificados de confianza.
2. Utilice SSH para iniciar la sesión en QRadar Console como usuario root.
3. Para instalar el certificado, escriba el mandato siguiente:
/opt/qradar/bin/install_ssl_cert.sh -i
4. Escriba la ubicación del archivo de clave privada.
No cifre la clave privada cuando instale o sustituya un certificado SSL.
5. Si utiliza un certificado intermedio, escriba la ubicación del archivo de clave
pública y la ubicación del certificado intermedio.
6. Para continuar, especifique Y y pulse Intro.
7. Reinicie el proceso de contexto de host en todos los sistemas que no sean de
consola del despliegue.
a. Utilice ssh para iniciar la sesión como usuario root en el host gestionado
desde la consola.
https://[<dirección IP>]
Ambos entornos IPv4 e IPv6 pueden utilizar un archivo hosts para la conversión
de direcciones. En un entorno IPv6 o mixto, el cliente resuelve la dirección de la
consola por su nombre de host. Debe añadir la dirección IP de la consola IPv6 al
archivo /etc/hosts en el cliente.
Se aceptan los orígenes de flujo, como NetFlow y sFlow, desde direcciones IPv4 e
IPv6. Se aceptan los orígenes de sucesos, como syslog y SNMP, desde direcciones
IPv4 e IPv6. Puede inhabilitar los superflujos y el empaquetado de flujos en un
entorno IPv6.
Restricción:
De forma predeterminada, no puede añadir un host gestionado solo IPv4 a una
consola IPv6 y de modalidad mixta IPv4. Debe ejecutar un script para habilitar un
host gestionado solo IPv4.
Procedimiento
1. Instale QRadar Console seleccionando el direccionamiento IPv6.
2. Después de la instalación, en QRadar Console, escriba el mandato siguiente:
/opt/qradar/bin/setup_v6v4_console.sh
3. Para añadir un host gestionado IPv4, escriba el mandato siguiente:
/opt/qradar/bin/add_v6v4_host.sh
4. Añada el host gestionado mediante el editor de despliegue.
Retención de datos
Configure periodos de retención personalizados para datos concretos.
Los grupos de retención definen las políticas de retención para los sucesos y flujos
que cumplen los requisitos de los filtros personalizados. A medida que QRadar
recibe sucesos y flujos, cada suceso y flujo se compara con los criterios de filtro de
grupo de retención. Cuando un suceso o un flujo coincide con un filtro de grupo
de retención, se almacena en ese grupo de retención hasta se agota el periodo de
tiempo de la política de retención. Esta característica permite configurar varios
grupos de retención.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. Pulse el icono Retención de sucesos o Retención de flujos.
4. Efectúe una doble pulsación en el primer grupo de retención disponible.
5. Configure los siguientes parámetros:
Parámetro Descripción
Nombre Escriba un nombre exclusivo para el grupo
de retención.
Conservar los datos colocados en este grupo Seleccione un periodo de retención. Cuando
durante el periodo de retención se acaba, los datos se
suprimen según el parámetro Suprimir datos
en este grupo.
6. Pulse Guardar.
7. Pulse Guardar de nuevo.
El grupo de retención comienza a almacenar datos que coinciden con los
parámetros de retención inmediatamente.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. Pulse el icono Retención de sucesos o Retención de flujos.
4. Pulse el icono.
5. Seleccione y mueva el grupo de retención necesario a la ubicación correcta.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. Seleccione una de las opciones siguientes:
4. Pulse el icono Retención de sucesos.
5. Pulse el icono Retención de flujos.
6. Seleccione el grupo de retención que desee editar y, a continuación, pulse
Editar.
7. Edite los parámetros. Para obtener más información, consulte el apartado
“Configuración de los grupos de retención” en la página 88.
8. Pulse Guardar.
Cuando se inhabilita un grupo, todos los sucesos o flujos nuevos que coincidan
con los requisitos del grupo inhabilitado se almacenan en el siguiente grupo que
coincida con las propiedades de sucesos o flujos.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. Seleccione una de las opciones siguientes:
4. Pulse el icono Retención de sucesos.
5. Pulse el icono Retención de flujos.
6. Seleccione el grupo de retención que desee inhabilitar y, a continuación, pulse
Habilitar/inhabilitar.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. Seleccione una de las opciones siguientes:
4. Pulse el icono Retención de sucesos.
5. Pulse el icono Retención de flujos.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Notificaciones globales del sistema.
4. Escriba valores para cada parámetro que desee configurar.
5. Por cada parámetro, seleccione Habilitado y Responder si el valor es y luego
seleccione una de las opciones siguientes:
Opción Descripción
Mayor que Se genera una alerta si el valor del
parámetro sobrepasa el valor configurado.
Menor que Se genera una alerta si el valor del
parámetro es inferior al valor configurado.
Debe crear un directorio temporal en el que pueda editar con seguridad las copias
de los archivos, sin peligro de sobrescribir los archivos predeterminados. Después
de editar y guardar el archivo alert-config.xml, debe ejecutar un script que valide
los cambios. El script de validación aplica automáticamente los cambios en un área
Procedimiento
1. Inicie, mediante SSH, la sesión en la consola de QRadar como usuario root.
2. Cree un nuevo directorio temporal que se utilizará para editar de forma
segura las copias de los archivos predeterminados.
3. Para copiar los archivos que están almacenados en el directorio custom_alerts
en el directorio temporal, escriba el mandato siguiente:
cp /store/configservices/staging/globalconfig/templates/
custom_alerts/*.* <nombre_directorio>
La opción <nombre_directorio> es el nombre del directorio temporal que ha
creado.
4. Confirme que los archivos se han copiado satisfactoriamente:
a. Para obtener una lista de los archivos del directorio, escriba el mandato
siguiente:
ls -lah
b. Verifique que el archivo siguiente aparece en la lista:
alert-config.xml
5. Abra el archivo alert-config.xml para su edición.
6. Para crear varios elementos de plantilla, copie el elemento
<template></template>, incluidos las etiquetas y el contenido y, a
continuación, péguelo debajo del elemento <template></template> existente.
Ejemplo
Tabla 26. Parámetros de notificación aceptados
Parámetros comunes Parámetros de suceso Parámetros de flujo
AppName EventCollectorID Type
RuleName DeviceId CompoundAppID
RuleDescription DeviceName FlowSourceIDs
EventName DeviceTime SourceASNList
EventDescription DstPostNATPort DestinationASNList
EventProcessorId SrcPostNATPort InputIFIndexList
Qid DstMACAddress OutputIFIndexList
Category DstPostNATIPAddress AppId
RemoteDestinationIP DstPreNATIPAddress Host
Payload SrcMACAddress Port
Credibility SrcPostNATIPAddress SourceBytes
Relevance SrcPreNATIPAddress SourcePackets
Source SrcPreNATPor Direction
SourcePort DstPreNATPort SourceTOS
SourceIP SourceDSCP
Destination SourcePrecedence
DestinationPort DestinationTOS
DestinationIP DestinationDSCP
DestinationUserName SourceASN
Protocol DestinationASN
StartTime InputIFIndex
Duration OutputIFIndex
StopTime FirstPacketTime
EventCount LastPacketTime
SourceV6 TotalSourceBytes
DestinationV6 TotalDestinationBytes
UserName TotalSourcePackets
DestinationNetwork TotalDestinationPackets
SourceNetwork SourceQOS
Severity DestinationQOS
CustomPropertiesList SourcePayload
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Consola.
4. Especifique valores para los parámetros.
5. Pulse Guardar.
6. En el menú de la pestaña Admin, pulse Desplegar cambios.
Procedimiento
1. Inicie, mediante SSH, la sesión en IBM Security QRadar como usuario root.
2. En el servidor de QRadar, copie el archivo ip_context_menu.xml del directorio
/opt/qradar/conf/templates en el directorio /opt/qradar/conf.
3. Abra el archivo /opt/qradar/conf/ip_context_menu.xml para su edición.
4. Edite el archivo.
El archivo acepta nodos XML menuEntry para personalizar el menú contextual.
<menuEntry name="{Nombre}" description="{Descripción}" exec="{Mandato}"
url="{URL}" requiredCapabilities="{Capacidades necesarias}"/>
En la lista siguiente se describen los atributos del elemento menuEntry:
Nombre
Texto que se visualiza en el menú contextual.
Puede pasar al URL o al script cualquier dato que esté en el suceso o en el flujo.
Procedimiento
1. Inicie, mediante SSH, la sesión en el dispositivo QRadar Console como usuario
root.
2. Vaya al directorio /opt/qradar/conf y cree un archivo que se llame
arielRightClick.properties.
qid
text Obligatorio Especifica el texto que se Búsqueda de Google
visualiza en el menú
contextual.
useFormattedValue Especifica si los valores con Si el parámetro está establecido
Opcional formato se pasan al script. en true para la propiedad de
nombre de suceso (QID), el
Se establece en true para nombre de suceso del QID se
garantizar que se pase el pasa al script.
valor con formato de los
atributos, como username y Si el parámetro está establecido
payload. Los valores con en false, se pasa al script el
formato son más fáciles de valor del QID sin formato (en
leer para los administradores bruto).
que los valores sin formato.
url Necesario para Especifica el URL, que se sourceIPwebUrlAction.url=
acceder a un abre en una ventana nueva, y http://www.mywebsite.com?
URL los parámetros que se pasan q=$sourceIP$
al URL.
Ejemplo
En el ejemplo siguiente se muestra cómo añadir Probar URL como una opción del
menú contextual para las direcciones IP de origen.
sourceIPwebUrlAction.arielProperty=sourceIP
sourceIPwebUrlAction.text=Probar URL
sourceIPwebUrlAction.url=http://www.mywebsite.com?q=$sourceIP$
destinationPortScriptAction.arielProperty=destinationPort
destinationPortScriptAction.text=Probar mandato sin formato
destinationPortScriptAction.useFormattedValue=false
destinationPortScriptAction.command=/bin/echo
destinationPortScriptAction.arguments=$qid$
qidwebUrlAction.arielProperty=qid,device,eventCount
qidwebUrlAction.text=Búsqueda de Google
qidwebUrlAction.url=http://www.google.com?q=$qid$-$device$-$qid$-$eventCount$
pluginActions=sourcePortScriptAction
sourcePortScriptAction.arielProperty=sourcePort
sourcePortScriptAction.text=Mandato sin formato de puerto
sourcePortScriptAction.useFormattedValue=true
sourcePortScriptAction.command=/bin/echo
sourcePortScriptAction.arguments=$qid$-$sourcePort$-$device$
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Razones de cierre de delito personalizado.
4. Pulse Añadir.
5. Escriba una razón exclusiva del cierre de los delitos. Las razones deben tener
entre 5 y 60 caracteres de longitud.
6. Pulse Aceptar. La nueva razón de cierre de delito personalizada aparece ahora
listada en la ventana Razones de cierre de delito personalizado. En el cuadro de
lista Razón del cierre de la pestaña Delitos de la ventana Cerrar delito también
se muestra la razón personalizada.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Razones de cierre de delito personalizado.
4. Seleccione la razón de que desea editar.
5. Pulse Editar.
6. Escriba una razón exclusiva del cierre de los delitos. Las razones deben tener
entre 5 y 60 caracteres de longitud.
7. Pulse Aceptar.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Razones de cierre de delito personalizado.
4. Seleccione la razón de que desea suprimir.
5. Pulse Suprimir.
Procedimiento
1. Pulse la pestaña Admin.
2. Pulse Propiedades de activos personalizadas.
3. En el campo Nombre, escriba un descriptor para la propiedad de activo
personalizada.
4. En el menú desplegable Tipo, seleccione Numérico o Texto para definir el tipo
de información para la propiedad de activo personalizada.
5. Pulse Aceptar.
6. Pulse la pestaña Activos.
7. Pulse Editar activo > Propiedades de activos personalizadas.
8. Especifique la información necesaria en el campo de valor.
9. Pulse Aceptar.
Gestión de índices
La característica Gestión de índices le permite controlar la indexación de base de
datos en las propiedades de sucesos y flujos.
Habilitación de índices
La ventana Gestión de índices lista todas las propiedades de sucesos y flujos que
se pueden indexar y proporciona estadísticas para las propiedades. Las opciones
de la barra de herramientas permiten habilitar e inhabilitar la indexación en las
propiedades de sucesos y flujos seleccionadas.
Resultados
En las listas que incluyen propiedades de sucesos y flujos, los nombres de las
propiedades indexadas se añaden con el texto siguiente: [Indexado]. Como ejemplos
de estas listas cabe citar los parámetros de búsqueda en las páginas de criterios de
búsqueda de las pestañas Actividad de registro y Actividad de red y la ventana Añadir
filtro.
Restricción:
Procedimiento
1. En el panel de navegación de la pestaña Admin del producto QRadar, pulse
Configuración del sistema.
2. Pulse Gestión de índices.
3. En el campo Búsqueda rápida, escriba Filtro rápido.
Se muestra la propiedad Filtro rápido para los sucesos y los flujos.
4. Seleccione la propiedad Filtro rápido que desea indexar.
En la tabla de resultados, utilice el valor de la columna Base de datos para
identificar la propiedad Filtro rápido de los flujos o los sucesos.
5. En la barra de herramientas, pulse Habilitar índice.
Un punto verde indica que el índice de carga útil está habilitado.
Si una lista incluye propiedades de sucesos o flujos que están indexadas, se
añaden a los nombres de propiedad el texto siguiente: [Indexado].
Para gestionar los índices de carga útil, consulte el apartado “Configuración del
periodo de retención para los índices de carga útil”.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Valores del sistema.
4. En la sección Valores de base de datos, seleccione un periodo de tiempo de
retención de la lista Retención de índice de carga útil.
5. Pulse Guardar.
6. Cierre la ventana Valores del sistema.
7. En el menú de la pestaña Admin, pulse Desplegar cambios.
Procedimiento
1. En la ventana Gestión de conjuntos de referencia, pulse Nuevo.
2. Configure los parámetros:
Tabla 30. Parámetros de conjunto de referencia
Parámetro Descripción
Nombre Nombre exclusivo para este conjunto de
referencia.
Tipo No se puede editar el parámetro Tipo
después de crear un conjunto de referencia.
Tiempo de vida de elementos Cantidad de tiempo que desea conservar
cada elemento en el conjunto de referencia.
Procedimiento
1. En la ventana Gestión de conjuntos de referencia, seleccione un conjunto de
referencia.
2. Pulse Editar.
3. Edite los parámetros.
Tabla 31. Parámetros de conjunto de referencia
Parámetro Descripción
Nombre Nombre exclusivo para este conjunto de
referencia.
4. Pulse Enviar.
Procedimiento
Procedimiento
1. En la ventana Gestión de conjuntos de referencia, seleccione un conjunto de
referencia.
2. Pulse Ver contenido.
3. Para ver el contenido, pulse la pestaña Contenido.
5. Para ver o editar una regla asociada, efectúe una doble pulsación en la regla en
la lista Referencias.
En el asistente de reglas puede editar los valores de configuración de las reglas.
Procedimiento
1. En la ventana Gestión de conjuntos de referencia, seleccione un conjunto de
referencia.
2. Pulse Ver contenido.
3. Pulse la pestaña Contenido.
4. En la barra de herramientas, pulse Nuevo.
5. Configure los siguientes parámetros:
Parámetro Descripción
Valor(es) Si desea escribir varios valores, incluya un
carácter separador entre cada valor y luego
especifique el carácter de separador en el
campo Carácter separador.
Carácter separador Escriba el carácter separador que ha
utilizado en el campo Valor(es).
6. Pulse Añadir.
Procedimiento
1. En la ventana Gestión de conjuntos de referencia, seleccione un conjunto de
referencia.
2. Pulse Ver contenido.
3. Pulse la pestaña Contenido.
4. Seleccione una de las opciones siguientes:
Antes de empezar
Asegúrese de que el archivo de texto o CSV que desea importar está almacenado
en su sistema local.
Procedimiento
1. En la ventana Gestión de conjuntos de referencia, seleccione un conjunto de
referencia.
2. Pulse Ver contenido.
3. Pulse la pestaña Contenido.
4. En la barra de herramientas, pulse Importar.
5. Pulse Examinar.
6. Seleccione el archivo de texto o CSV que desea importar.
7. Pulse Importar.
Procedimiento
1. En la ventana Gestión de conjuntos de referencia, seleccione un conjunto de
referencia.
2. Pulse Ver contenido.
3. Pulse la pestaña Contenido.
4. En la barra de herramientas, pulse Exportar.
5. Seleccione una de las opciones siguientes:
6. Si desea abrir la lista para visualizarla de inmediato, seleccione la opción Open
with y seleccione una aplicación en el cuadro de lista.
7. Si desea guardar la lista, seleccione la opción Save File.
8. Pulse Aceptar.
Ejemplo
Crear una correlación alfanumérica
./ReferenceDataUtil.sh create testALN MAP ALN
Crear una correlación de conjuntos de valores PORT que caducará 3 horas después
de que se haya visto por última vez
./ReferenceDataUtil.sh create testPORT MAPOFSETS PORT -timeoutType=LAST_SEEN
-timeToLive=’3 hours’
Inicie la sesión en la interfaz de usuario para crear reglas que añadan datos a las
recopilaciones de datos de referencia. También puede crear pruebas de reglas que
detecten si hay actividad por parte de los elementos que se encuentran en la
recopilación de datos de referencia. Para obtener más información sobre la creación
de reglas y las pruebas de las reglas, consulte la guía del usuario de su producto.
create
Crea una recopilación de datos de referencia.
nombre
Nombre de la recopilación de datos de referencia.
[MAP | MAPOFSETS | MAPOFMAPS | REFTABLE]
Tipo de la recopilación de datos de referencia.
[ALN | ALNIC | NUM | IP | PORT | DATE]
Tipo de datos del conjunto de referencia:
v ALN especifica una recopilación de datos de referencia de valores
alfanuméricos. Este tipo de datos da soporte a las direcciones IPv4 e IPv6.
update
Actualiza una recopilación de datos de referencia.
nombre
Nombre de la recopilación de datos de referencia.
[-TIMEOUTTYPE=[FIRST_SEEN | LAST_SEEN]]
Especifica si la cantidad de tiempo que los elementos de datos permanecen en
la recopilación de datos de referencia se calcula desde el momento en que el
elemento se ha visto por primera vez o por última vez.
[-timeToLive='']
Cantidad de tiempo que los elementos de datos permanecen en la recopilación
de datos de referencia.
[-keyType=name:elementType,name:elementType,...]
Parámetro REFTABLE obligatorio que consta de pares de nombre de clave y
elementType.
[-key1Label='']
Etiqueta opcional para key1.
[-valueLabel='']
Etiqueta opcional para los valores de la recopilación.
add
Añade un elemento de datos a una recopilación de datos de referencia.
nombre
Nombre de la recopilación de datos de referencia.
delete
Suprime un elemento de una recopilación de datos de referencia.
nombre
Nombre de la recopilación de datos de referencia.
<valor> <clave1> [clave2]
Par de clave-valor que desea suprimir. MAP y MAPOFSETS requieren la clave
1. MAPOFMAPS y REFTABLE requieren la clave 1 y la clave 2. Las claves son
series alfanuméricas.
[-sdf=" ... "]
Serie de formato de fecha simple que se utiliza para analizar los datos de
fecha.
remove
Elimina una recopilación de datos de referencia.
nombre
Nombre de la recopilación de datos de referencia.
purge
Purga todos los elementos de una recopilación de datos de referencia.
nombre
Nombre de la recopilación de datos de referencia.
list
Lista los elementos de una recopilación de datos de referencia.
nombre
Nombre de la recopilación de datos de referencia.
[displayContents]
Lista todos los elementos de una recopilación de datos de referencia.
listall
Lista todos los elementos de todas las recopilaciones de datos de referencia.
[displayContents]
Lista todos los elementos de todas las recopilaciones de datos de referencia.
load
Llena una recopilación de datos de referencia con datos de un archivo CSV
externo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Servicios autorizados.
4. En la ventana Gestionar servicios autorizados, seleccione el servicio autorizado
adecuado.
La señal se visualiza en el campo Señal seleccionada de la barra superior.
Puede copiar la señal en el software del proveedor para su autenticación con
QRadar.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Servicios autorizados.
4. Pulse Añadir servicio autorizado.
5. En el campo Nombre del servicio, escriba el nombre de este servicio
autorizado. El nombre puede tener una longitud máxima de 255 caracteres.
6. En la lista Rol de usuario, seleccione el rol de usuario que desee asignar a este
servicio autorizado. Los roles de usuario asignados a un servicio autorizado
determinan las funciones a las que dicho servicio puede acceder en la interfaz
de usuario de QRadar.
7. En la lista Perfil de seguridad, seleccione el perfil de seguridad que desee
asignar a este servicio autorizado. El perfil de seguridad determina las redes y
los orígenes de registro a los que este servicio puede acceder en la interfaz de
QRadar.
8. En la lista Fecha de caducidad, escriba o seleccione la fecha en la que desea
que caduque este servicio. Si no hace falta una fecha de caducidad, seleccione
Sin caducidad.
9. Pulse Crear servicio.
El mensaje de confirmación contendrá un campo de señal que tendrá que
copiar en el software del proveedor para la autenticación con QRadar SIEM.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Servicios autorizados.
4. En la ventana Gestionar servicios autorizados, seleccione el servicio que desea
revocar.
5. Pulse Revocar autorización.
Por ejemplo, puede configurar QRadar para que envíe una condición de excepción
de SNMP que incluya la información de ID de delito.
Descartar un delito
El servicio de soporte al cliente debe utilizar una serie de consulta para descartar
un delito.
https://<dirección IP >/console/do/sem/properties?appName=Sem&
dispatch=updateProperties&id=<ID delito>&nextPageId= OffenseList
&nextForward=offensesearch&attribute=dismiss&daoName =offense&value=1
&authenticationToken=<señal>
Tabla 35. Parámetros de serie de consulta para el servicio de soporte al cliente
Parámetro Descripción
<dirección IP> Dirección IP del sistema de QRadar.
<ID delito> Identificador asignado al delito de QRadar.
Para obtener el ID de delito, diríjase a la
pestaña Delitos. Para obtener más
información, consulte la publicación IBM
Security QRadar SIEM Users Guide.
<señal> Identificador de señal que se proporciona
para el servicio autorizado en la interfaz de
usuario de QRadar.
Cerrar un delito
El servicio de soporte al cliente debe utilizar una serie de consulta para cerrar un
delito.
https://<dirección IP>/console/do/sem/properties?appName=Sem&
dispatch=updateProperties&id=<ID delito>&nextPageId= OffenseList
&nextForward=offensesearch&attribute=dismiss&daoName =offense&value=2
&authenticationToken=<señal>
Tabla 36. Parámetros de serie de consulta para el servicio de soporte al cliente
Parámetro Descripción
<dirección IP> Dirección IP del sistema de QRadar.
<ID delito> Identificador asignado al delito de QRadar.
Para obtener el ID de delito, diríjase a la
pestaña Delitos. Para obtener más
información, consulte la publicación IBM
Security QRadar SIEM Users Guide.
<señal> Identificador de señal que se proporciona
para el servicio autorizado en la interfaz de
usuario de QRadar.
Para añadir notas a un delito, el servicio de soporte al cliente debe utilizar la serie
de consulta siguiente:
https://<dirección IP>/console/do/sem/properties?appName=Sem&
dispatch=updateProperties&id=<ID delito>&nextPageId=
OffenseList&nextForward=offensesearch&attribute=notes&daoName
=offense&value=<NOTES>&authenticationToken=<señal>
Tabla 37. Parámetros de serie de consulta para el servicio de soporte al cliente
Parámetro Descripción
<dirección IP> Dirección IP del sistema de QRadar.
<ID delito> Identificador asignado al delito de QRadar.
Para obtener el ID de delito, diríjase a la
pestaña Delitos. Para obtener más
información, consulte la publicación IBM
Security QRadar SIEM Users Guide.
<señal> Identificador de señal que se proporciona
para el servicio autorizado en la interfaz de
usuario de QRadar.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Copia de seguridad y recuperación.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Copia de seguridad y recuperación.
4. En el campo Cargar archivo, pulse Examinar.
5. Localice y seleccione el archivo que desea cargar. El archivo debe tener la
extensión .tgz.
6. Pulse Abrir.
7. Pulse Cargar.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Copia de seguridad y recuperación.
4. En la barra de herramientas, pulse Configurar.
5. En la ventana Configuración de la recuperación de copias de seguridad,
personalice la copia de seguridad nocturna.
6. Pulse Guardar.
7. Cierre la ventana Archivos de copia de seguridad.
8. En el menú de la pestaña Admin, pulse Desplegar cambios.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Copia de seguridad y recuperación.
4. En la barra de herramientas, pulse Copia de seguridad a petición.
5. Especifique los valores de los parámetros siguientes:
Una vez comprobado que los datos se han restaurado en el sistema, asegúrese de
que también se hayan restaurado los DSM, los exploradores de evaluaciones de
vulnerabilidad (VA) y los protocolos de origen de registro.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse Copia de seguridad y recuperación.
4. Seleccione el archivo que desee restaurar.
5. Pulse Restaurar.
6. En la ventana Restaurar una copia de seguridad, configure los parámetros.
7. Pulse Restaurar.
8. Detenga las tablas IP:
a. Inicie, mediante SSH, la sesión en el host gestionado como usuario root.
b. Escriba el mandato service iptables stop.
c. Repita esta acción para todos los hosts gestionados del despliegue.
9. En la ventana Restaurar una copia de seguridad, pulse Probar acceso a hosts.
10. Cuando la prueba se haya realizado con todos los hosts gestionados, verifique
que en la columna Estado de acceso se indica que el estado es Correcto.
11. Si en la columna Estado de acceso aparece el estado Sin acceso para un host,
detenga iptables de nuevo y, a continuación, pulse Probar acceso a hosts otra
vez para intentar establecer conexión.
12. En la ventana Restaurar una copia de seguridad, configure los parámetros.
13. Pulse Restaurar.
14. Pulse Aceptar.
15. Pulse Aceptar para iniciar sesión.
16. Seleccione una de las opciones siguientes:
v Si la interfaz de usuario se ha cerrado durante el proceso de restauración,
abra un navegador web e inicie sesión en QRadar.
v Si no se ha cerrado la interfaz de usuario, se mostrará la ventana de inicio
de sesión. Inicie la sesión en QRadar.
17. Vea el resultado del proceso de restauración y siga las instrucciones para
resolver los errores que puedan haberse producido.
18. Renueve la ventana del navegador web.
19. En la pestaña Admin, seleccione Avanzado Desplegar configuración
completa.
Una vez comprobado que los datos se han restaurado en el sistema, debe volver a
aplicar los RPM para los DSM, los exploradores de evaluaciones de vulnerabilidad
(VA) o los protocolos de origen de registro.
Restauración de datos
Puede restaurar los datos en QRadar Console y los hosts gestionados a partir de
los archivos de copia de seguridad. La parte de datos de los archivos de copia de
seguridad incluye información sobre todos los delitos, incluida la información
sobre dirección IP de origen y destino, los datos de activos, la información de
categoría de suceso, los datos de vulnerabilidad, los datos de suceso y los datos de
flujo.
Cada host gestionado del despliegue, incluido QRadar Console, crea todos los
archivos de copia de seguridad en el directorio /store/backup/. El sistema podría
incluir un montaje /store/backup de un servicio de SAN o NAS externo. Los
servicios externos proporcionan retención de datos fuera de línea a largo plazo,
que suele ser necesaria para las regulaciones de conformidad, como PCI.
Antes de empezar
Procedimiento
1. Inicie, mediante SSH, la sesión en QRadar SIEM como usuario root.
2. Vaya al directorio /store/backup.
3. Para obtener una lista de los archivos de copia de seguridad, escriba ls -l.
4. Si aparece una lista de archivos de copia de seguridad, escriba cd / para ir al
directorio raíz.
Resultados
La copia de seguridad diaria captura todos los datos de cada host. Si desea
restaurar datos en un host gestionado que contiene solamente datos de suceso o
flujo, únicamente se restauran esos datos en ese host.
Procedimiento
1. Para verificar que los archivos se han restaurado, revise el contenido de uno de
los directorios restaurados con el mandato siguiente:
cd /store/ariel/flows/payloads/<aaaa/mm/dd>
Puede ver los directorios restaurados que se crean para cada hora del día. Si
faltan directorios, puede que no se hayan capturado los datos correspondientes
a ese periodo de tiempo.
2. Verifique que los datos restaurados están disponibles.
a. Inicie la sesión en la interfaz de QRadar.
b. Pulse la pestaña Actividad de registro o Actividad de red.
c. Seleccione Editar búsqueda en la lista Buscar de la barra de herramientas.
d. En el panel Rango de tiempo de la ventana Buscar, seleccione Intervalo
específico.
e. Seleccione el rango de tiempo de los datos que ha restaurado y luego pulse
Filtro.
f. Vea el resultado para verificar los datos restaurados.
g. Si los datos restaurados no están disponibles en la interfaz de QRadar,
verifique que se hayan restaurado en la ubicación correcta y que los
permisos de archivo estén bien configurados.
Los archivos restaurados deben estar en el directorio /store. Si ha escrito cd
en lugar de cd / al extraer los archivos restaurados, compruebe si en el
directorio /root/store están los archivos restaurados. Si no ha cambiado de
directorios antes de extraer los archivos restaurados, compruebe si los
archivos restaurados están en el directorio /store/backup/store.
Normalmente, los archivos se restauran con los permisos originales. Sin
embargo, si los archivos son propiedad de la cuenta de usuario root,
pueden producirse problemas. Si los archivos son propiedad de la cuenta de
usuario root, cambie los permisos mediante los mandatos chown y chmod.
Una vez comprobado que los datos se han restaurado, debe volver a aplicar los
RPM para los DSM, los exploradores de evaluaciones de vulnerabilidad (VA) y los
protocolos de origen de registro.
Vista de sistema
Utilice la página System View para asignar un componente de software a los hosts
gestionados del despliegue. La página System View incluye todos los hosts
gestionados del despliegue. Un host gestionado es un sistema del despliegue que
tiene software de QRadar instalado.
Vista de sucesos
Utilice la página Event View para crear una vista de los componentes:
v Componentes de QRadar QFlow Collector
v Procesadores de sucesos
v Recopiladores de sucesos
v Orígenes externos
v Destinos externos
v Componentes de Magistrado
v Nodos de datos
Vista de vulnerabilidades
Utilice la página Vulnerability View para crear una vista de los componentes de
IBM Security QRadar Vulnerability Manager. Debe instalar IBM Security QRadar
Vulnerability Manager para ver esta vista. Para obtener más información, consulte
la publicación IBM Security QRadar Vulnerability Manager Guía del usuario.
Procedimiento
1. Seleccione Archivo > Edit Preferences.
2. Para configurar el parámetro Presence Poll Frequency, escriba la frecuencia, en
milisegundos, con la que desea que el host gestionado supervise el despliegue
para comprobar si hay actualizaciones.
Antes de empezar
Procedimiento
1. Cree la vista de sucesos.
2. Cree la vista de sistema.
3. Configure los componentes.
4. Para realizar el despliegue por etapas, en el menú del editor de despliegue,
pulse File > Save to Staging.
5. Para desplegar todos los cambios de configuración, en la pestaña Admin, pulse
Avanzado > Desplegar cambios.
Procedimiento
QRadar VFlow Collector recopila los flujos de red procedentes de los dispositivos
de la red. Se incluyen los canales de información en directo y grabados, como los
registros de flujo de TAP de red, puertos SPAN, NetFlow y QRadar.
Cada paquete nuevo se evalúa. Los recuentos de bytes y paquetes se añaden a los
contadores estadísticos del registro de flujo. Al final de un intervalo, se envía un
registro de estado del flujo a un Recopilador de sucesos y los contadores
estadísticos del flujo se restablecen. Un flujo finaliza cuando no se detecta
actividad para el flujo dentro del periodo de tiempo configurado.
Recopilador de sucesos
Nodo de datos
Origen externo
Las últimas versiones de los sistemas de QRadar pueden recibir datos de las
versiones anteriores de los sistemas de QRadar. Sin embargo, las versiones
anteriores no pueden recibir datos de las versiones más recientes. Para evitarlo,
actualice todos los receptores antes de actualizar los remitentes.
Destino externo
Las últimas versiones de los sistemas de QRadar pueden recibir datos de las
versiones anteriores de los sistemas de QRadar. Sin embargo, las versiones
anteriores no pueden recibir datos de las versiones más recientes. Para evitarlo,
actualice todos los receptores antes de actualizar los remitentes.
Magistrado
Adición de componentes
Cuando configure el despliegue, debe utilizar la página Event View del editor de
despliegue para añadir los componentes.
Procedimiento
1. En la pestaña Admin, pulse Editor de despliegue.
2. En el panel Event Components, seleccione el componente que desee añadir al
despliegue.
3. Escriba un nombre exclusivo para el componente que desea añadir y pulse
Siguiente.
Conexión de componentes
Después de añadir todos los componentes necesarios en la página Event View,
debe conectarlos.
Utilice la página Event View para conectar los componentes entre sí. Se aplican
algunas restricciones. Por ejemplo, puede conectar un Recopilador de sucesos a un
Procesador de sucesos, pero no a un componente Magistrado.
Un Recopilador de sucesos de
consola se puede conectar solamente
a un Procesador de sucesos de
consola. Esta conexión no puede
eliminarse.
Un recopilador de sucesos no de
consola puede conectarse a un
Procesador de sucesos en el mismo
sistema.
Un Recopilador de sucesos no de
consola puede conectarse a un
Procesador de sucesos remoto, pero
solamente si el Procesador de sucesos
no existe en la consola.
Recopilador de sucesos Destino externo El número de conexiones no está
restringido.
Origen externo Recopilador de El número de conexiones no está
sucesos restringido.
Un Procesador de sucesos no de
consola se puede conectar a otro
Procesador de sucesos de consola o
no de consola, pero no a ambos al
mismo tiempo.
Un Procesador de sucesos no de
consola se conecta a un Procesador
de sucesos de consola cuando se
añade un host gestionado no de
consola.
Procedimiento
1. En la página Event View, seleccione el componente para el que desea establecer
una conexión.
2. Pulse Acciones > Add Connection.
Se visualiza una flecha en la correlación. La flecha representa una conexión
entre dos componentes.
3. Arrastre el final de la flecha al componente con el que desea establecer una
conexión.
4. Opcional: Configure el filtrado del flujo en una conexión entre QRadar QFlow
Collector y un Recopilador de sucesos.
a. Pulse el botón derecho del ratón en la flecha que hay entre QRadar QFlow
Collector y el Recopilador de sucesos; a continuación, pulse Configurar.
b. En el campo correspondiente al parámetro Filtros de flujos, escriba las
direcciones IP o las direcciones CIDR de los Recopiladores de sucesos a los
que desea que QRadar QFlow Collector envíe los flujos.
5. Pulse Guardar.
6. Repita estos pasos para todos los componentes restantes que requieran
conexiones.
Ejemplo:
Para reenviar sucesos y flujos normalizados entre dos despliegues (A y B), donde
el despliegue B desea recibir sucesos y flujos del despliegue A:
1. Configure el despliegue A con un destino externo para proporcionar la
dirección IP del host gestionado que contiene el recopilador de sucesos B.
2. Conecte el recopilador de sucesos A al destino externo.
Para habilitar el cifrado entre los despliegues, debe habilitar el cifrado tanto en el
origen externo como en el destino externo. Además, debe asegurarse de que la
clave pública SSH para el origen externo (cliente) está disponible para el destino
(servidor) para garantizar el acceso adecuado. Por ejemplo, para habilitar el cifrado
entre el origen externo y el Recopilador de sucesos B:
1. Cree claves SSH con el mandato ssh-keygen -1 -t rsa y pulse Intro cuando se
le pregunte sobre el directorio y la frase de contraseña. Esta acción coloca el
archivo en el directorio //root/.ssh de forma predeterminada.
2. Copie el archivo id_rsa.pub en el directorio /root/.ssh del Recopilador de
sucesos y la consola de origen. Cambie el nombre del archivo por
authorized_keys.
Si no se le han asignado privilegios de propietario rw (chmod 600
authorized_keys) sobre el archivo y el directorio padre, puede utilizar el
mandato ssh-copy-id. Por ejemplo, ssh-copy-id -i
nombre_usuario_host@IP_host. Con -i se especifica que se utilizará el archivo
de identidad /root/.ssh/id_rsa.pub. Por ejemplo, ssh-copy-id -i
[email protected]. Este mandato añadirá todas las entradas o creará un
archivo authorized_keys en la consola de destino con los privilegios adecuados.
No comprueba si hay entradas duplicadas. El archivo authorized_keys también
debe estar presente en la consola en la que se utilizan otras características. Si
un host gestionado se añade a una consola que reenvía sucesos, también debe
haber un archivo authorized_keys en el directorio /root/.ssh correspondiente.
Si no es así, la adición de un host gestionado fallará. Esto es necesario
independientemente de si se utiliza o no el cifrado entre el host gestionado y la
consola.
3. En la consola de origen, cree un archivo llamado ssh_keys_created en
/opt/qradar/conf. Este archivo debe crearse para que el reenvío de sucesos y
flujos no se interrumpa cuando otras características (tales como la adición de
un host gestionado a una de las consolas) se utilicen juntas. Cambie el
propietario y el grupo por nobody y el permiso por 775 si es necesario. Ejecute
chown nobody:nobody /opt/qradar/conf/ssh_keys_created y chmod 775
/opt/qradar/conf/ssh_keys_created para asegurarse de que se puede hacer
una copia de seguridad y una restauración del archivo correctamente.
4. Siga el paso de origen y destino externos para dos consolas. Programe la
consola de destino primero y luego despliegue los cambios. Programe la
consola de origen a continuación y luego despliegue los cambios.
Router
Event Collector
Event Processor
Magistrate (MPC)
Procedimiento
1. En la pestaña Admin, pulse Editor de despliegue.
2. En el panel Event Components, seleccione Off-site Source o bien Off-site
Target.
3. Escriba un nombre exclusivo para el origen externo o el destino externo. El
nombre puede tener una longitud máxima de 20 caracteres y puede incluir
signos de subrayado y guiones. Pulse Siguiente.
4. Especifique los valores para los parámetros y pulse Finalizar.
El nombre de host del campo Enter a name for the off-site host puede
contener un máximo de 20 caracteres y puede incluir caracteres de subrayado o
guiones.
Si selecciona la casilla Encrypt traffic from off-site source, también debe
seleccionar la casilla de cifrado en el origen y el destino externos asociados.
5. Repita la acción para todos los orígenes y destinos externos restantes.
6. En el menú del editor de despliegue, pulse File > Save to Staging.
7. En el menú de pestaña Admin, seleccione Avanzado > Desplegar
configuración completa.
Procedimiento
1. En el panel Event Components, seleccione el componente cuyo nombre desea
cambiar.
2. Pulse Actions > Rename Component.
3. Escriba un nombre nuevo para el componente.
El nombre debe ser alfanumérico sin caracteres especiales.
4. Pulse Aceptar.
Procedimiento
1. En QRadar SIEM, pulse la pestaña Admin para ver el estado de los nodos de
datos del despliegue en la parte superior de la ventana.
2. Pulse Ver en la columna Detalle para abrir la ventana Detalles de sistema y
licencia.
3. Consulte el progreso de cualquier operación de reequilibrado de datos y la
capacidad del dispositivo del Nodo de datos en el panel Distribución de datos
de seguridad.
Procedimiento
1. En el editor de despliegue, pulse el botón derecho del ratón en el nodo de
datos que desea establecer en la modalidad de archivo y pulse Configurar.
2. Pulse Archivar.
3. En el menú de la pestaña Admin, pulse Desplegar cambios.
4. Si desea reanudar el equilibrado de datos en un nodo de datos que se
encuentra en modalidad de archivado, pulse Configurar > Activo.
Cifrado
El cifrado proporciona mayor seguridad para todo el tráfico entre los hosts
gestionados. Para proporcionar más seguridad, QRadar también incorpora soporte
integrado para OpenSSH. Cuando se integra con QRadar, OpenSSH proporciona
una comunicación segura entre los componentes.
El cifrado se produce entre los hosts gestionados del despliegue; por lo tanto, el
despliegue debe constar de más de un host gestionado para que se pueda utilizar
el cifrado. El cifrado se habilita mediante el uso de túneles SSH (reenvío de
puertos) iniciados desde el cliente. Un cliente es el sistema que inicia una conexión
en una relación cliente/servidor. Cuando el cifrado está habilitado para un host
gestionado, se crean túneles de cifrado para todas las aplicaciones de cliente de un
host gestionado. Los túneles de cifrado proporcionan un acceso protegido a los
servidores respectivos. Si se habilita el cifrado en un host gestionado no de
Consejo: Puede pulsar el botón derecho del ratón en un componente para habilitar
el cifrado entre los componentes.
Antes de empezar
Si desea añadir un host gestionado habilitado para NAT a una consola que no está
configurada para dar soporte a NAT, debe inhabilitar NAT en la consola. Para
obtener más información, consulte el apartado “Cambio del estado de NAT para
un host gestionado” en la página 156.
Procedimiento
1. Pulse Acciones > Añadir host gestionado.
2. Pulse Siguiente.
3. Especifique valores para los parámetros.
Utilice la tabla siguiente como ayuda para configurar los parámetros.
Tabla 44. Parámetros para el host gestionado
Cabecera Cabecera
Host is NATed Seleccione la casilla para utilizar una
conversión de direcciones de red (NAT)
existente en este host gestionado.
Enable Encryption Seleccione la casilla para crear un túnel del
cifrado SSH para el host.
Marque la casilla de verificación para
habilitar la compresión de datos entre dos
hosts gestionados.
5. Pulse Siguiente.
6. Pulse Finalizar.
7. Despliegue los cambios.
Conceptos relacionados:
“Gestión de NAT” en la página 155
Utilice el editor de despliegue para gestionar despliegues con habilitación para
NAT.
Antes de empezar
Si desea añadir un host gestionado habilitado para NAT a una consola que no está
configurada para dar soporte a NAT, debe inhabilitar NAT en la consola. Para
obtener más información, consulte el apartado “Cambio del estado de NAT para
un host gestionado” en la página 156.
Procedimiento
1. Pulse el icono System View.
2. Pulse el botón derecho del ratón en el host gestionado que desea editar y
seleccione Editar host gestionado.
Esta opción está disponible solamente cuando el componente seleccionado tiene
un host gestionado en el que se está ejecutando una versión compatible de
QRadar.
3. Pulse Siguiente.
4. Edite los valores de los parámetros según convenga.
Utilice la tabla siguiente como ayuda para configurar los parámetros.
6. Pulse Siguiente.
7. Pulse Finalizar.
Procedimiento
1. Pulse el icono System View.
2. Pulse el botón derecho del ratón en el host gestionado que desea suprimir y
seleccione Eliminar host.
3. Pulse Aceptar.
4. En el menú de pestaña Admin, pulse Avanzado > Desplegar configuración
completa.
Consejo: El cuadro de lista muestra solamente los hosts gestionados en los que se
ejecuta una versión compatible de QRadar.
Procedimiento
1. Pulse el icono System View.
2. En la lista Host gestionado, seleccione el host gestionado al que desea asignar
un componente de QRadar.
3. Seleccione el componente que desea asignar a un host gestionado.
4. En el menú, seleccione Acciones > Asignar.
5. En el cuadro de lista Seleccione un host, seleccione el host que desee asignar a
este componente. Pulse Siguiente.
6. Pulse Finalizar.
Procedimiento
1. En el editor de despliegue, pulse la pestaña System View.
2. Seleccione el host gestionado que incluye el contexto de host que desea
configurar.
3. Seleccione el componente Contexto de host.
4. Pulse Acciones > Configurar.
5. Especifique valores para los parámetros.
6. Pulse Guardar.
Configuración de un acumulador
Utilice la página System View del editor de despliegue para configurar el
componente acumulador en un host gestionado.
Procedimiento
1. En el editor de despliegue, pulse la pestaña System View.
2. Seleccione el host gestionado que desea configurar.
6. Pulse Guardar.
Gestión de NAT
Utilice el editor de despliegue para gestionar despliegues con habilitación para
NAT.
Puede añadir un host gestionado no con habilitación para NAT mediante el uso de
una NAT de entrada para una dirección IP pública. También puede utilizar una
dirección IP dinámica para la NAT de salida. Sin embargo, ambas deben estar en el
mismo conmutador que la consola o el host gestionado. Debe configurar el host
gestionado para que utilice la misma dirección IP para las direcciones IP públicas y
privadas.
Cuando añada o edite un host gestionado, puede habilitar NAT para ese host
gestionado. También puede utilizar el editor de despliegue para gestionar las redes
con habilitación para NAT.
Antes de empezar
Asegúrese de que ha configurado las redes con habilitación para NAT mediante la
conversión NAT estática. Esta configuración garantiza las comunicaciones entre los
hosts gestionados que existen en diferentes redes con habilitación para NAT.
Procedimiento
1. En el editor de despliegue, pulse la pestaña NATed Networks.
2. Pulse Añadir.
3. Escriba un nombre para una red que desea utilizar para NAT.
4. Pulse Aceptar.
Se visualiza la ventana Manage NATed Networks, en la que se incluye la red
con habilitación para NAT añadida.
5. Pulse Aceptar.
6. Pulse Sí.
Procedimiento
1. En el editor de despliegue, pulse la pestaña NATed Networks.
2. Seleccione la red con habilitación para NAT network que desee editar y, a
continuación, pulse Editar.
3. Escriba un nombre nuevo para la red con habilitación para NAT de red y pulse
Aceptar.
La ventana Manage NATed Networks muestra las redes con habilitación para
NAT actualizadas.
4. Pulse Aceptar.
5. Pulse Sí.
Procedimiento
1. En el editor de despliegue, pulse la pestaña NATed Networks.
2. Seleccione la red con habilitación para NAT que desee suprimir.
3. Pulse Suprimir.
4. Pulse Aceptar.
5. Pulse Sí.
Si desea habilitar NAT para un host gestionado, la red con habilitación para NAT
debe utilizar la conversión NAT estática.
Procedimiento
1. En el editor de despliegue, pulse la pestaña System View.
2. Pulse el botón derecho del ratón en el host gestionado que desea editar y
seleccione Editar host gestionado.
3. Pulse Siguiente.
4. Seleccione una de las opciones siguientes:
v Si desea habilitar NAT para el host gestionado, seleccione la casilla de
verificación Host is NATed y pulse Siguiente.
v Si desea inhabilitar NAT para el host gestionado, deseleccione la casilla de
verificación Host is NATed.
6. Pulse Siguiente.
7. Pulse Finalizar.
8. Actualice la configuración del dispositivo (cortafuegos) con el que el host
gestionado se comunica.
9. En el menú de pestaña Admin, pulse Avanzado > Desplegar configuración
completa.
Configuración de componentes
Utilice el editor de despliegue para configurar cada componente del despliegue.
Pulse el botón derecho del ratón en la flecha entre el componente que desea
configurar para el filtrado de flujo y seleccione Configurar.
Procedimiento
1. En la página Event View o System View, seleccione el QRadar QFlow Collector
que desea configurar.
2. Pulse Acciones > Configurar.
3. Especifique los valores de los parámetros siguientes:
Parámetro Descripción
6. Pulse Guardar.
7. Repita esta acción para todos los QRadar QFlow Collectors del despliegue que
desee configurar.
Conceptos relacionados:
“Vistas de sucesos de componentes de QRadar en el despliegue” en la página 140
Procedimiento
1. En la página Event View o System View, seleccione el Recopilador de sucesos
que desea configurar.
2. Pulse Acciones > Configurar.
3. Especifique los valores de los parámetros siguientes:
Parámetro Descripción
Destination Event Processor
Especifica el componente Procesador de
sucesos que está conectado a este
Recopilador de sucesos. La conexión se
visualiza en el formato siguiente: <dirección
IP host>:<puerto>.
Flow Listen Port Puerto de escucha de los flujos.
Event Forwarding Listen Port Puerto de reenvío de sucesos del
Recopilador de sucesos.
Flow Forwarding Listen Port Puerto de reenvío de flujos del Recopilador
de sucesos.
6. Pulse Guardar.
7. Repita esta acción para todos los Recopiladores de sucesos del despliegue que
desee configurar.
Conceptos relacionados:
“Vistas de sucesos de componentes de QRadar en el despliegue” en la página 140
Procedimiento
1. En la página Event View o System View, seleccione el Procesador de sucesos
que desea configurar.
2. Pulse Acciones > Configurar.
3. Especifique los valores de los parámetros:
El valor predeterminado es
/store/ariel/payloads .
6. Pulse Guardar.
7. Repita esta acción para todos los Procesadores de sucesos del despliegue que
desee configurar.
Conceptos relacionados:
“Vistas de sucesos de componentes de QRadar en el despliegue” en la página 140
Procedimiento
1. En la página Event View o System View, seleccione el Magistrado que desea
configurar.
2. Pulse Acciones > Configurar.
3. En la barra de herramientas, pulse Avanzado para mostrar los parámetros
avanzados.
4. En el campo Overflow Routing Threshold, escriba el umbral de sucesos por
segundo que el Magistrado puede gestionar.
Los sucesos por encima de este umbral se colocan en la memoria caché.
El valor predeterminado es 20.000.
5. Pulse Guardar.
Conceptos relacionados:
“Vistas de sucesos de componentes de QRadar en el despliegue” en la página 140
Para evitar los errores de conexión, cuando configure los componentes de origen y
de destino externos, despliegue QRadar Console con el origen externo en primer
lugar. A continuación, despliegue QRadar Console con el destino externo.
Parámetro Descripción
Receive Events True permite que el sistema reciba sucesos
del host de origen externo.
4. Pulse Guardar.
5. Repita esta acción para todos los orígenes externos del despliegue que desee
configurar.
Conceptos relacionados:
“Vistas de sucesos de componentes de QRadar en el despliegue” en la página 140
Para evitar los errores de conexión, cuando configure los componentes de origen y
de destino externos, despliegue QRadar Console con el origen externo en primer
lugar. A continuación, despliegue QRadar Console con el destino externo.
Procedimiento
1. En la página Event View o System View, seleccione el Recopilador de sucesos
que desea configurar.
2. Pulse Acciones > Configurar.
3. Especifique los valores de los parámetros:
Parámetro Descripción
Event Collector Listen Port Puerto de escucha del Recopilador de
sucesospara recibir datos de sucesos.
4. Pulse Guardar.
Conceptos relacionados:
“Vistas de sucesos de componentes de QRadar en el despliegue” en la página 140
168 Guía de administración de QRadar SIEM
Capítulo 12. Gestión de orígenes de flujo
Utilice la ventana Orígenes de flujo para gestionar los orígenes de flujo en el
despliegue.
Orígenes de flujo
Para los dispositivos IBM Security QRadar, IBM Security QRadar SIEM añade de
forma automática orígenes de flujo para los puertos físicos de los dispositivos.
QRadar SIEM también incluye un origen de flujo de NetFlow predeterminado.
NetFlow
NetFlow es una tecnología propietaria de contabilidad desarrollada por Cisco
Systems. NetFlow supervisa el tráfico de flujos a través de un conmutador o un
direccionador, interpreta el cliente, el servidor, el protocolo y el puerto que se
utiliza, cuenta el número de bytes y paquetes, y envía los datos a un recopilador
de NetFlow.
Cuando configure un origen de flujo externo para NetFlow, debe realizar las tareas
siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas. Si
cambia el parámetro External Flow Source Monitoring Port en la configuración
de QRadar QFlow Collector, también debe actualizar la configuración del acceso
de cortafuegos.
v Asegúrese de que estén configurados los puertos adecuados para QRadar QFlow
Collector.
IPFIX
Internet Protocol Flow Information Export (IPFIX) es una tecnología de
contabilidad. IPFIX supervisa el tráfico de flujos a través de un conmutador o un
direccionador, interpreta el cliente, el servidor, el protocolo y el puerto que se
utiliza, cuenta el número de bytes y paquetes y envía los datos a un recopilador de
IPFIX.
Para configurar QRadar SIEM para que acepte tráfico de flujo de IPFIX, debe
añadir un origen de flujo de NetFlow. El origen de flujo de NetFlow procesa los
flujos de IPFIX utilizando el mismo proceso.
Cuando configure un origen de flujo externo para IPFIX, debe realizar las tareas
siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas. Si
cambia el parámetro External Flow Source Monitoring Port en la configuración
de QRadar QFlow Collector, también debe actualizar la configuración del acceso
sFlow
sFlow es un estándar de múltiples proveedores y usuarios de la tecnología de
muestreo que proporciona una supervisión continua de los flujos de tráfico en el
nivel de aplicación en todas las interfaces simultáneamente.
sFlow utiliza un protocolo sin conexión (UDP). Cuando se envían datos desde un
conmutador o un direccionador, el registro de sFlow se purga. Como se utiliza
UDP para enviar esta información y no se garantiza la entrega de los datos, sFlow
registra los registros inexactos y las funciones de alerta reducidas. El resultado
podría ser presentaciones inexactas de ambos volúmenes de tránsito y flujos
bidireccionales.
Cuando configure un origen de flujo externo para sFlow, debe realizar las tareas
siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas.
v Asegúrese de que estén configurados los puertos adecuados para QRadar VFlow
Collector.
J-Flow
Tecnología de contabilidad propietaria utilizada por Juniper Networks que permite
recopilar estadísticas de los flujos de tráfico de IP. J-Flow permite exportar datos a
un puerto UDP en un recopilador J-Flow. También puede habilitar J-Flow en un
direccionador o una interfaz para recopilar estadísticas de red de ubicaciones
específicas de la red. Tenga en cuenta que el tráfico de J-Flow se basa en datos de
J-Flow utiliza un protocolo sin conexión (UDP). Cuando se envían datos desde un
conmutador o un direccionador, el registro de J-Flow se purga. Como se utiliza
UDP para enviar esta información y no se garantiza la entrega de los datos, J-Flow
registra los registros inexactos y las funciones de alerta reducidas. El resultado
podría ser presentaciones inexactas de ambos volúmenes de tránsito y flujos
bidireccionales.
Cuando configure un origen de flujo externo para J-Flow, debe realizar las tareas
siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas.
v Asegúrese de que estén configurados los puertos adecuados para QFlow
Collector.
Packeteer
Los dispositivos Packeteer recopilan, agregan y almacenan los datos de
rendimiento de la red. Después de configurar un origen de flujo externo para
Packeteer, puede enviar información de flujo desde un dispositivo Packeteer a IBM
Security QRadar SIEM.
Packeteer utiliza un protocolo sin conexión (UDP). Cuando se envían datos desde
un conmutador o un direccionador, el registro de Packeteer se purga. Como se
utiliza UDP para enviar esta información y no se garantiza la entrega de los datos,
Packeteer registra los registros inexactos y las funciones de alerta reducidas.
Podrían darse presentaciones inexactas de ambos volúmenes de tránsito y flujos
bidireccionales.
Para configurar Packeteer como un origen de flujo externo, debe realizar las tareas
siguientes:
v Asegúrese de que las reglas del cortafuegos pertinentes estén configuradas.
v Asegúrese de configurar los dispositivos Packeteer para exportar los registros de
detalle de flujo y de configurar QRadar QFlow Collector como destino de la
exportación de datos.
v Asegúrese de que estén configurados los puertos adecuados para QRadar QFlow
Collector.
v Asegúrese de que los ID de clase de los dispositivos Packeteer pueden ser
detectados automáticamente por QRadar QFlow Collector.
v Para obtener más información, consulte Mapping Packeteer Applications into
QRadar Technical Note.
Interfaz de Napatech
Si ha instalado un adaptador de red Napatech en el sistema de IBM Security
QRadar SIEM, la opción Interfaz Napatech se muestra como origen de flujo
basado en paquetes configurable en QRadar SIEM. El adaptador de red Napatech
es un adaptador de red inteligente y programable de próxima generación para la
red. Para obtener más información, consulte la documentación de Napatech .
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. En el menú de navegación, pulse Flujos.
4. Pulse Orígenes de flujo.
5. Realice una de estas acciones:
v Para añadir un origen de flujo, pulse Añadir.
v Para editar un origen de flujo, seleccione el origen de flujo y pulse Editar.
6. Para crear este origen de flujo a partir de un origen de flujo existente,
seleccione la casilla de verificación Crear a partir de origen de flujo existente
y seleccione un origen de flujo de la lista Utilizar como plantilla.
7. Especifique el nombre en Nombre de origen de flujo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. En el menú de navegación, pulse Flujos.
4. Pulse el icono Orígenes de flujo.
5. Seleccione el origen de flujo que desee habilitar o inhabilitar.
La columna Habilitado indica si el origen de flujo está habilitado o
inhabilitado.
Se visualizan los estados siguientes:
v Verdadero indica que el origen de flujo está habilitado.
v Falso indica que el origen de flujo está inhabilitado en ese momento.
6. Pulse Habilitar/inhabilitar.
7. En el menú de la pestaña Admin, pulse Desplegar cambios.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. En el menú de navegación, pulse Flujos.
4. Pulse Orígenes de flujo.
5. Seleccione el origen de flujo que desee suprimir.
6. Pulse Suprimir.
7. Pulse Aceptar.
8. En el menú de la pestaña Admin, pulse Desplegar cambios.
Puede identificar varios orígenes que se envían al mismo QRadar QFlow Collector
mediante la dirección IP de origen y el nombre virtual. Con un alias, QRadar
QFlow Collector puede identificar de forma exclusiva los orígenes de datos que se
envían al mismo puerto y procesarlos.
Cuando QRadar QFlow Collector recibe el tráfico de un dispositivo que tiene una
dirección IP, pero no tiene un alias actual, QRadar QFlow Collector intenta una
búsqueda DNS inversa. La búsqueda se utiliza para determinar el nombre de host
del dispositivo. Si la búsqueda es satisfactoria, QRadar QFlow Collector añade esta
información a la base de datos y notifica la información a todos los componentes
QRadar QFlow Collector del despliegue.
Utilice el editor de despliegue para configurar QRadar QFlow Collector para que
detecte automáticamente los alias de origen de flujo.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. En el menú de navegación, pulse Flujos.
4. Pulse el icono Alias de origen de flujo.
5. Realice una de estas acciones:
v Para añadir un alias de origen de flujo, pulse Añadir y especifique los
valores de los parámetros.
v Para editar un alias existente de origen de flujo, seleccione el alias del origen
de flujo, pulse Editar y actualice los parámetros.
6. Pulse Guardar.
7. En el menú de la pestaña Admin, pulse Desplegar cambios.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Orígenes de datos.
3. En el menú de navegación, pulse Flujos.
4. Pulse el icono Alias de origen de flujo.
5. Seleccione el alias de origen de flujo que desee suprimir.
6. Pulse Suprimir.
7. Pulse Aceptar.
8. En el menú de la pestaña Admin, pulse Desplegar cambios.
Todos los grupos de redes remotas y servicios remotos tienen niveles de grupo y
niveles de objeto de hoja. Puede editar los grupos de redes remotas y servicios
remotos añadiendo objetos a los grupos existentes o cambiando las propiedades ya
existentes para adaptarlas a su entorno.
Si mueve un objeto existente a otro grupo, el nombre del objeto se mueve desde el
grupo existente hasta el grupo recién seleccionado. Sin embargo, cuando los
cambios de configuración se despliegan, los datos del objeto que están
almacenados en la base de datos se pierden y el objeto deja de funcionar. Para
resolver este problema, cree una vista nueva y vuelva a crear el objeto que existe
con otro grupo.
En la pestaña Admin, puede agrupar las redes remotas y los servicios remotos
para su uso en las búsquedas de sucesos, flujos y el motor de reglas
personalizadas. Puede también agrupar las redes y los servicios en IBM Security
QRadar Risk Manager, si está disponible.
Los grupos y objetos que incluyen superflujos son solamente para fines
informativos y no se pueden editar. Los grupos y los objetos que incluyen bogons
se configuran mediante la función de actualización automática.
Utilice la ventana Redes remotas para añadir o editar un objeto de redes remotas.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración de redes remotas y servicios
remotos.
3. Pulse el icono Redes remotas.
4. Para añadir un objeto de redes remotas, pulse Añadir y especifique los valores
de los parámetros.
5. Para editar un objeto de redes remotas, pulse el grupo que desea visualizar,
pulse Editar y luego cambie los valores.
6. Pulse Guardar.
7. Pulse Volver.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración de redes remotas y servicios
remotos.
3. Pulse el icono Servicios remotos.
4. Para añadir un objeto de servicios remotos, pulse Añadir y especifique los
valores de los parámetros.
5. Para editar un objeto de servicios remotos, pulse el grupo que desea visualizar,
pulse el icono Editar y cambie los valores.
6. Pulse Guardar.
7. Pulse Volver.
8. Cierre la ventana Servicios remotos.
9. En el menú de la pestaña Admin, pulse Desplegar cambios.
Procedimiento
1. Inicie, mediante SSH, la sesión en QRadar como usuario root.
2. Para localizar la categoría de nivel bajo para la entrada de correlación de QID
que desea crear, escriba el mandato siguiente:
/opt/qradar/bin/qidmap_cli.sh -l
Si desea buscar una categoría de nivel bajo determinada, puede utilizar el
mandato grep para filtrar los resultados:
/opt/qradar/bin/qidmap_cli.sh -l | grep <texto>
3. Escriba el mandato siguiente:
qidmap_cli.sh -c --qname <nombre> --qdescription <descripción>
--severity <gravedad> --lowlevelcategoryid <ID>
En la tabla siguiente se describen las opciones de línea de mandatos para el
programa de utilidad de correlación QID:
Opciones Descripción
-c Crea una entrada de correlación de QID.
--qname <nombre> Nombre que desea asociar con esta entrada de
correlación de QID. El nombre puede tener una
longitud de hasta 255 caracteres y no debe tener
espacios.
--qdescription <descripción> Descripción de esta entrada de correlación de QID. La
descripción puede tener una longitud de hasta 2048
caracteres y no debe tener espacios.
--severity <gravedad> Nivel de gravedad que desea asignar a esta entrada de
correlación de QID. El rango válido va de 0 a 10.
--lowlevelcategoryid <ID> ID de categoría de nivel bajo que desea asignar a esta
entrada de correlación de QID. Para obtener más
información, consulte la guía de administración de
QRadar.
Procedimiento
1. Inicie, mediante SSH, la sesión en QRadar como usuario root.
2. Escriba el mandato siguiente:
qidmap_cli.sh -m --qid<QID> --qname <nombre> --qdescription <descripción>
--severity <gravedad>
En la tabla siguiente se describen las opciones de línea de mandatos para el
programa de utilidad de correlación QID:
Opciones Descripción
-m Modifica una entrada de correlación de QID
definida por el usuario ya existente.
--qid<QID> QID que desea modificar.
--qname <nombre> Nombre que desea asociar con esta entrada
de correlación de QID. El nombre puede
tener una longitud de hasta 255 caracteres y
no debe tener espacios.
--qdescription <descripción> Descripción de esta entrada de correlación
de QID. La descripción puede tener una
longitud de hasta 2048 caracteres y no debe
tener espacios.
--severity <gravedad> Nivel de gravedad que desea asignar a esta
entrada de correlación de QID. El rango
válido va de 0 a 10.
Procedimiento
1. Cree un archivo .txt que incluya las entradas de correlaciones de QID
definidas por el usuario que desea importar. Asegúrese de que cada entrada del
archivo esté separada mediante una coma. Seleccione una de las opciones
siguientes:
v Si desea importar una nueva lista de entradas de correlaciones de QID
definidas por el usuario, cree el archivo con el formato siguiente para cada
entrada:
,<nombre>,<descripción>,<gravedad>,<categoría>
Ejemplo:
,buffer,buffer_QID,7,18401 ,malware,malware_misc,8,18403
v Si desea importar una lista existente de entradas de correlaciones de QID
definidas por el usuario, cree el archivo con el formato siguiente para cada
entrada:
<qid>,<nombre>,<descripción>,<gravedad>
Opciones Descripción
<qid> QID existente para la entrada. Esta opción es
obligatoria si desea importar una lista
exportada existente de entradas de QID.
Procedimiento
1. Inicie, mediante SSH, la sesión en QRadar como usuario root.
2. Para exportar el archivo de correlación QID, escriba el mandato siguiente:
/opt/qradar/bin/qidmap_cli.sh -e -f
<nombre_archivo.txt>
La opción <nombre_archivo.txt> es la vía de acceso del directorio y el nombre
del archivo que desea que contenga las entradas de correlaciones de QID.
Descubrimiento de servidores
Utilice la pestaña Activos para descubrir servidores en la red.
Procedimiento
1. Pulse la pestaña Activos.
2. En el menú de navegación, pulse Descubrimiento de servidores.
3. En la lista Tipo de servidor, seleccione el tipo de servidor que desee descubrir.
4. Seleccione una de las opciones siguientes para determinar los servidores que
desea descubrir:
v Para utilizar el tipo seleccionado actualmente en Tipo de servidor para
buscar en todos los servidores del despliegue, seleccione Todos.
v Para buscar en los servidores del despliegue que estaban asignados al tipo
seleccionado actualmente en Tipo de servidor, seleccione Asignados.
v Para buscar en los servidores del despliegue que no están asignados,
seleccione Sin asignar.
5. En la lista Red, seleccione la red en la que desea buscar.
6. Pulse Descubrir servidores.
7. En la tabla Servidores coincidentes, seleccione las casillas de verificación de
todos los servidores que desee asignar al rol de servidor.
8. Pulse Aprobar servidores seleccionados.
Las últimas versiones de los sistemas de QRadar pueden recibir datos de las
versiones anteriores de los sistemas de QRadar. Sin embargo, las versiones
anteriores no pueden recibir datos de las versiones más recientes. Para evitarlo,
actualice todos los receptores antes de actualizar los remitentes.
Pasos
1. Configure uno o varios destinos de reenvío.
2. Para determinar qué datos desea reenviar, configure reglas de direccionamiento,
reglas personalizadas o ambos tipos de reglas.
3. Configure las opciones de direccionamiento que se aplicarán a los datos.
Por ejemplo, puede configurar que todos los datos de un recopilador de sucesos
específico se reenvíen a un sistema de tíquets determinado. También puede eludir
la correlación eliminando los datos que coinciden con una regla de
direccionamiento.
Procedimiento
1. Pulse la pestaña Admin.
2. En el panel de navegación, pulse Configuración del sistema.
3. Pulse el icono Destinos de reenvío.
4. En la barra de herramientas, pulse Añadir.
5. En la ventana Destinos de reenvío, especifique los valores de los parámetros.
En la tabla siguiente se describen algunos de los parámetros de Destinos de
reenvío.
Tabla 58. Parámetros de Destinos de reenvío
Parámetro Descripción
Formato de suceso v Carga útil son los datos en el formato que el origen de registro o el
origen de flujo ha enviado.
v Normalizado son datos en bruto que se analizan y se preparan
como información legible para la interfaz de usuario.
Dirección de Dirección IP o nombre de host del sistema del proveedor al que desea
destino reenviar los datos.
6. Pulse Guardar.
Los perfiles de reenvío se pueden utilizar solamente cuando los datos de suceso se
envían en formato JSON.
Puede utilizar un único perfil con varios destinos de reenvío. Cuando edite un
perfil, asegúrese de que los cambios son adecuados para todos los destinos de
reenvío con los que el perfil está asociado.
Cuando se suprime un perfil, todos los destinos de reenvío que utilizan el perfil
vuelven a utilizar automáticamente el perfil predeterminado.
Procedimiento
1. Pulse la pestaña Admin y, en el panel de navegación, pulse Configuración del
sistema.
2. Pulse el icono Destinos de reenvío.
3. En la barra de herramientas, pulse Gestor de perfiles.
4. Para crear un nuevo perfil, pulse Nuevo. Escriba un nombre para el perfil y
seleccione la casilla de verificación situada junto a los atributos que desea
incluir en el conjunto de datos de suceso.
5. Para cambiar un perfil existente, seleccione el perfil y pulse Editar o Suprimir.
Capítulo 15. Configuración de sistemas de QRadar para reenviar datos a otros sistemas 189
Tabla 59. Parámetros de la ventana Reglas de direccionamiento (continuación)
Parámetro Descripción
Opciones de direccionamiento v La opción Reenviar especifica que los
datos se reenvíen al destino de reenvío
especificado. Los datos también se
almacenan en la base de datos y son
procesados por el motor de reglas
personalizadas (CRE).
v La opción Descartar especifica que los
datos no se almacenen en la base de datos
y que no sean procesados por el CRE. Los
datos no se reenvían a un destino de
reenvío, pero son procesados por el CRE.
Esta opción no está disponible si se
selecciona la opción Fuera de línea.
v La opción Ignorar correlación especifica
que los datos no sean procesados por el
CRE, pero que se almacenen en la base de
datos. Esta opción no está disponible si se
selecciona la opción Fuera de línea.
Procedimiento
1. Pulse la pestaña Admin.
2. En el panel de navegación, pulse Configuración del sistema.
3. Pulse el icono Reglas de direccionamiento.
4. En la barra de herramientas, pulse Añadir.
5. En la ventana Reglas de direccionamiento, especifique los valores de los
parámetros.
a. Escriba un nombre y una descripción para la regla de direccionamiento.
Procedimiento
1. Pulse la pestaña Delitos Actividad de registro.
2. En el menú de navegación, pulse Reglas.
3. Edite o añada una regla. En la página Respuesta de regla del asistente Regla,
asegúrese de que selecciona la opción Enviar a destinos de reenvío.
Capítulo 15. Configuración de sistemas de QRadar para reenviar datos a otros sistemas 191
Visualización de destinos de reenvío
La ventana Destinos de reenvío proporciona información valiosa sobre los destinos
de reenvío. Se muestran las estadísticas de los datos enviados a cada destino de
reenvío.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Destinos de reenvío.
4. Vea las estadísticas de los destinos de reenvío.
Procedimiento
1. Pulse la pestaña Admin.
2. En el panel de navegación, pulse Configuración del sistema.
3. Pulse el icono Destinos de reenvío.
Se muestran las estadísticas de los datos enviados a cada destino de reenvío.
Por ejemplo, puede ver la información siguiente:
v Número total de sucesos y flujos que se han visto para este destino de
reenvío.
v Número de sucesos o flujos que se han enviado a este destino de reenvío.
v Número de sucesos o flujos que se han descartado antes de llegar al destino
de reenvío.
4. En la barra de herramientas, pulse una acción, tal como se describe en la tabla
siguiente.
Tabla 60. Descripción de las acciones de la barra de herramientas de Destinos de reenvío
Acción Descripción
Inicializar contadores Restablece en cero los contadores de los
parámetros Visto, Enviado y Descartado; los
contadores comienzan a contar de nuevo.
Consejo: Puede restablecer los contadores
para proporcionar una vista más precisa del
rendimiento de los destinos de reenvío.
Editar Cambia el nombre, el formato, la dirección
IP, el puerto o el protocolo configurados.
Suprimir Suprime un destino de reenvío.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Reglas de direccionamiento.
4. Seleccione la regla de direccionamiento que desea gestionar.
5. Para editar la regla de direccionamiento, en la barra de herramientas pulse
Editar y actualice los parámetros.
6. Para eliminar la regla de direccionamiento, en la barra de herramientas pulse
Suprimir.
7. Para habilitar o inhabilitar la regla de direccionamiento, en la barra de
herramientas pulse Habilitar/inhabilitar.
Si habilita una regla de direccionamiento que está configurada para descartar
sucesos, se visualiza un mensaje de confirmación.
Capítulo 15. Configuración de sistemas de QRadar para reenviar datos a otros sistemas 193
194 Guía de administración de QRadar SIEM
Capítulo 16. Almacenamiento y reenvío de sucesos
Utilice la función Almacenar y reenviar para gestionar las planificaciones para el
reenvío de sucesos desde los dispositivos Recopilador de sucesos dedicados a los
componentes Procesador de sucesos del despliegue.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Almacenar y reenviar.
4. En la ventana Almacenar y reenviar, consulte los parámetros de cada
planificación.
En la tabla siguiente se describen algunos de los parámetros de la planificación.
Tabla 61. Parámetros de la ventana Almacenar y reenviar
Parámetro Descripción
Visualizar La opción Planificaciones muestra una
jerarquía de la relación padre-hijo entre las
planificaciones, los Procesadores de sucesos
y los Recopiladores de sucesos asociados.
Antes de empezar
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Almacenar y reenviar.
4. Pulse Acciones > Crear.
a. Pulse Siguiente para pasar a la página Seleccionar recopiladores.
b. En la página Seleccionar recopiladores, configure los parámetros.
Si el Recopilador de sucesos que desea configurar no aparece en la lista,
puede que no se haya añadido a su despliegue. Si es así, utilice el Editor de
despliegue para añadir el Recopilador de sucesos y luego continúe.
c. En la página Opciones de planificación, configure los parámetros.
Para configurar la velocidad de transferencia de reenvío, la velocidad de
transferencia mínima es de 0. La velocidad de transferencia máxima es de
9.999.999. El valor 0 significa que la velocidad de transferencia es ilimitada.
d. Finalice la configuración.
Procedimiento
1. Pulse la pestaña Admin.
2. En el menú de navegación, pulse Configuración del sistema.
3. Pulse el icono Almacenar y reenviar.
4. Seleccione la planificación que desee editar.
5. Pulse Acciones > Editar.
También puede efectuar una doble pulsación en una planificación para
editarla.
6. Pulse Siguiente para pasar a la página Seleccionar recopiladores.
7. En la página Seleccionar recopiladores, edite los parámetros.
8. Pulse Siguiente para pasar a la página Opciones de planificación.
9. En la página Opciones de planificación, edite los parámetros de planificación.
10. Pulse Siguiente para pasar a la página Resumen.
11. En la página Resumen, confirme las opciones que ha editado para esta
planificación.
Después de editar una planificación, puede que tengan que transcurrir hasta
10 minutos para que las estadísticas se actualicen en la ventana Almacenar y
reenviar.
Procedimiento
1. En el menú de navegación, pulse Configuración del sistema.
2. Pulse el icono Almacenar y reenviar.
3. Seleccione la planificación que desee suprimir.
4. Pulse Acciones > Suprimir.
Cuando la planificación se haya suprimido, los Recopiladores de sucesos
asociados reanudarán el reenvío continuo de sucesos al Procesador de sucesos
asignado.
Esta nota técnica está pensada para su uso por parte del personal de soporte al
cliente, servicios profesionales y clientes concretos con conocimientos avanzados de
QRadar SIEM.
Procedimiento
1. Inicie, mediante SSH, la sesión en IBM Security QRadar como usuario root.
2. Vaya al directorio /opt/qradar/bin y exporte el contenido:
cd /opt/qradar/bin
v Para exportar todo el contenido que excluye los datos acumulados, escriba el
mandato siguiente:
./contentManagement.pl -a export -c all
v Para exportar todo el contenido que incluye datos acumulados, escriba el
mandato siguiente:
./contentManagement.pl -o [vía_acceso_directorio] -a export -c all -g
Si no se especifica un directorio de salida cuando se utiliza la opción -o, el
contenido se exporta al directorio actual del usuario. Si el directorio
especificado no existe, se crea.
El contenido exportado se comprime en un archivo .tar.gz y se exporta al
directorio especificado. El ejemplo siguiente muestra un nombre de archivo
.tar.gz: report-ContentExport-20120419101803.tar.gz. Puede cambiar
manualmente el nombre del archivo exportado. En la tabla siguiente se
describen los parámetros utilizados en los mandatos para exportar todo el
contenido personalizado.
Tabla 63. Parámetros de exportación (de todo el contenido personalizado)
Parámetro Descripción
-a export Acción que se va a ejecutar.
-o VÍA DE ACCESO Directorio en el que se escribe el contenido.
Si el directorio no se especifica, se utiliza el
directorio actual del usuario.
-g Incluye los datos acumulados en la
exportación.
Procedimiento
1. Inicie, mediante SSH, la sesión en IBM Security QRadar como usuario root.
2. Vaya a /opt/qradar/bin y exporte el contenido de un tipo determinado:
v Para exportar todo el contenido personalizado de un tipo específico, escriba
el mandato siguiente:
./contentManagement.pl --action export --content-type tipo_contenido --id all
v Para exportar todo el contenido personalizado que incluye datos
acumulados, escriba el mandato siguiente:
./contentManagement.pl --action export --content-type tipo_contenido
--id all --global-view
En la tabla siguiente se describen los parámetros de los mandatos para exportar
contenido personalizado de un tipo específico.
Tabla 64. Parámetros de exportación (de contenido personalizado de un tipo específico)
Parámetro Descripción
-c Tipo de contenido que desea importar o
exportar. Puede escribir el tipo de contenido
tipo_contenido como una serie de texto o escribir el
identificador numérico correspondiente.
Consulte la tabla Tipos de contenido.
-o vía_acceso Directorio en el que se escribe el contenido.
Si no se especifica, se utiliza el directorio
actual del usuario.
-i Identificador de una instancia específica de
contenido personalizado como, por ejemplo,
un informe único o un conjunto de
referencia único. Especifique All para
exportar todo el contenido del tipo indicado.
-g Incluye los datos acumulados en la
exportación.
1
Un grupoF representa un grupo de contenido dentro de QRadar SIEM como, por ejemplo,
un grupo de origen de registro, un grupo de informes o un grupo de búsqueda. Estos
grupos pueden ser grupos de búsqueda de sucesos de la actividad de registro, grupos de
búsqueda de flujos, grupos de delitos, grupos de activos, grupos de informes, grupos de
búsqueda de gestión de vulnerabilidades o grupos de orígenes de registro.
Búsqueda de contenido
Utilice el mandato search para consultar en su contenido personalizado los valores
de ID de serie exclusivos. Necesita esta información cuando exporte una instancia
específica de contenido personalizado como un informe único o un conjunto de
referencia único, o si un paquete contiene diferentes ID de tipo de contenido.
Procedimiento
1. Inicie, mediante SSH, la sesión en IBM Security QRadar como usuario root.
2. Vaya a /opt/qradar/bin y busque el contenido personalizado:
./contentManagement.pl -a search -c tipo-contenido -r regex
Ejemplo:
# /opt/qradar/bin/contentManagement.pl --action search
--content-type customrule --regex "PCI.*"
/opt/qradar/bin/contentManagement.pl --action search
--content-type dashboard --regex "Overview.*"
Procedimiento
1. Inicie, mediante SSH, la sesión en IBM Security QRadar como usuario root.
2. Cree un archivo de paquete e incluya todos los elementos de contenido
personalizado necesarios. Cada elemento de contenido personalizado se
compone de un tipo de contenido de exportación, seguido de una lista de ID
separados por comas.
Ejemplo: Un usuario desea exportar dos paneles de control, que tienen los ID 5
y 7, todas las reglas personalizadas y un grupo. El archivo que está almacenado
en el directorio /root/myPackage contiene las entradas siguientes:
dashbord, 5,7
customrule,all
fgroup, 77
3. Vaya a /opt/qradar/bin, exporte todos los elementos y guárdelos:
v Si desea exportar todos los elementos del archivo /root/myPackage y guardar
el contenido exportado en el directorio actual, escriba el mandato siguiente:
./contentManagement.pl -a export -c package -f /root/myPackage
Procedimiento
1. Inicie, mediante SSH, la sesión en IBM Security QRadar como usuario root.
2. Vaya a cd /opt/qradar/bin y exporte un único elemento de contenido
personalizado:
v Para exportar un solo elemento de contenido personalizado que excluya los
datos acumulados, escriba el mandato siguiente:
./contentManagement.pl -a export -o <vía_acceso_directorio> -c
<tipo_contenido> -i valor_ID_serie
v Para exportar un solo elemento de contenido personalizado que incluya los
datos acumulados, escriba el mandato siguiente:
./contentManagement.pl -a export -o <vía_acceso_directorio> -c
<tipo_contenido> -i valor_ID_serie -g
Tabla 69. Parámetros de exportación (de un solo elemento de contenido)
Parámetros Descripción
-o Directorio al que desea exportar el
contenido. Si no se especifica un directorio
vía_acceso_directorio de salida, el contenido se exporta al
directorio actual del usuario.
Antes de empezar
Procedimiento
1. Inicie, mediante SSH, la sesión en QRadar SIEM como usuario root.
2. Vaya al directorio en el que ha exportado el archivo de contenido.
cd nombre_directorio
3. Para obtener una lista de los archivos del directorio, escriba el mandato
siguiente:
ls-al
La salida de este mandato es similar a la del ejemplo siguiente:
drwxr-xr-x 2 root root 24576 Apr 18 16:39
fgroup-ContentExport-20120418163707
-rw-r-r- 1 root root 324596 Apr 18 16:39
fgroup-ContentExport-20120418163707.tar.gz
Ejemplo:
/opt/qradar/bin/contentManagement.pl --action import
--file fgroup-ContentExport-20120418163707.tar.gz
Tabla 70. Parámetros de importación
Parámetro Descripción
-a Acción que se va a ejecutar.
-f vía_acceso_archivo_exportación Archivo que contiene los datos de contenido
exportados.
CMT utiliza los parámetros siguientes para confirmar que se importa el registro
correcto.
Tabla 71. Parámetros de importación
Tipo de contenido personalizado Clave de exclusividad
Panel de control Nombre y propietario
Informes N/A, los informes siempre son exclusivos
Búsqueda guardada - customviewparams ID
Grupo (grupoF) Nombre e ID de padre
Tipo de grupo (tipo de grupoF) Nombre
Regla personalizada UUID
Propiedades personalizadas propertyname
Origen de registro devicename y eccomponentid
Antes de empezar
Procedimiento
1. Inicie, mediante SSH, la sesión en IBM Security QRadar como usuario root.
2. Para actualizar el archivo exportado, vaya al directorio donde ha exportado el
archivo de contenido y escriba el mandato siguiente:
/opt/qradar/bin/contentManagement.pl -a update -f vía_acceso_archivo_exportación
Ejemplo:
/opt/qradar/bin/contentManagement.pl
-a update --file fgroup-ContentExport-20120418163707.tar.gz
En la tabla siguiente se enumeran los sucesos de auditoría que se crean para las
acciones de exportación, importación, búsqueda y actualización. La salida de
auditoría contiene información para los sucesos de auditoría siguientes:
v Usuario de shell
v IP remota
v Lista de argumentos que se pasan como carga útil de suceso
AssociationModified
AssociationModified
Para configurar y gestionar los datos enmascarados, realice las tareas siguientes:
1. Genere un par de claves pública/privada RSA.
El proceso de enmascaramiento requiere que cree una clave pública y una clave
privada para QRadar SIEM Console.
Los usuarios no autorizados que intenten consultar la base de datos de Ariel
directamente no podrán ver los datos confidenciales sin utilizar la clave de
descifrado pública y privada.
La clave pública permanece en QRadar Console; la clave privada debe
almacenarse en un lugar seguro. La clave privada contiene la clave de
descifrado necesaria para que los administradores vean los datos
desenmascarados.
El script obfuscation_updater.sh instala la clave pública en el sistema y
configura sentencias de expresión regular. Las sentencias de expresión regular
define los parámetros que desea enmascarar.
2. Configure el enmascaramiento de los datos.
El enmascaramiento cifra los sucesos nuevos a medida que QRadar los procesa
y los normaliza. El proceso de enmascaramiento evalúa la expresión de
enmascaramiento y verifica que el suceso en bruto y el suceso normalizado
contienen los datos que son necesarios para enmascarar los datos. Los datos
que se definen en la expresión de enmascaramiento se comparan con los datos
de suceso, cifrados, y después se escriben en la base de datos Ariel.
El archivo obfuscation_expressions.xml contiene sentencias de expresión
regular que identifican los datos que desea enmascarar. Cualquier texto de un
suceso que coincida con las expresiones regulares especificadas en el archivo
obfuscation_expressions.xml se cifran en los campos normalizado y de carga
útil de suceso.
3. Cuando sea necesario, descifre los datos enmascarados.
Cuando se produzca actividad sospechosa en la red, puede descifrar los datos
enmascarados para poder investigar todos los datos que está implicados en la
actividad.
El script obfuscation_decoder.sh descifra el valor cifrado específico que desee
investigar.
Procedimiento
1. Utilice SSH para iniciar la sesión en QRadar Console como usuario root.
2. Para generar la clave privada RSA, escriba el mandato siguiente:
openssl genrsa [-out nombre_archivo] [núm_bits]
En la tabla siguiente se describen las opciones del mandato.
Tabla 75. Opciones del mandato para generar la clave privada RSA
Opción Descripción
[-out nombre_archivo] Nombre del archivo de clave privada RSA
[núm_bits] Especifica el tamaño, en bits, de la clave
privada.
openssl pkcs8 -topk8 -inform PEM -outform PEM -in mykey.pem -out
private_key.pem -nocrypt
4. Para generar la clave pública RSA, escriba el mandato siguiente:
obfuscation_updater.sh -k public_key.der
Restricción: Solamente se puede instalar una clave pública para cada sistema.
Después de instalar una clave pública, la clave no se puede sobrescribir.
Después de instalar la clave pública en QRadar Console, QRadar Console se
asegura de que los hosts gestionados enmascaran los datos que coincidan con
los patrones de expresión de enmascaramiento definidos.
Procedimiento
1. Utilice SSH para iniciar la sesión en QRadar Console como usuario root:
2. Para configurar el enmascaramiento, escriba el mandato siguiente:
Puede ejecutar el script obfuscation_updater.sh desde cualquier directorio de
QRadar Console.
obfuscation_updater.sh [-p nombre_archivo] [-e nombre_archivo]
[-p nombre_archivo] especifica el nombre del archivo de entrada de clave
privada.
[-e nombre_archivo] especifica el nombre de archivo de entrada XML de
expresiones de enmascaramiento.
<expression name="VMwarehosts">
<regex>ruser=(\S+)</regex>
<deviceTypeId>-1</deviceTypeId>
<deviceId>-1</deviceId>
<qidId>-1</qidId>
<category>-1</category>
<enabled>false</enabled>
</expression>
</ObfuscationExpressions>
3. En el ejemplo siguiente se muestran las expresiones regulares que pueden
analizar nombres de usuario.
Tabla 79. Ejemplo de patrones de expresión regular que pueden analizar nombres de
usuario.
Ejemplo de patrones de expresión regular Coincide con
Procedimiento
1. Inicie la sesión en la interfaz de usuario de IBM Security QRadar SIEM y copie
el texto enmascarado que desea descifrar.
2. Utilice SSH para iniciar la sesión en QRadar Console como usuario root.
Nombre de usuario: root
3. Cree un directorio y copie las claves pública y privada en este directorio.
4. Vaya al directorio donde se encuentran las claves.
5. Para descifrar el texto enmascarado, escriba el mandato siguiente:
obfuscation_decoder.sh -k publickey nombre_archivo -p privatekey
nombre_archivo -d <texto_enmascarado>
En la tabla siguiente se describen las opciones de obfuscation_decoder.sh.
Tabla 80. Opciones del script obfuscation_decoder.sh
Opción Descripción
-k publickey nombre_archivo Nombre del archivo de la clave pública
-p privatekey nombre_archivo Nombre del archivo de la clave privada
-d obfuscated texto Texto enmascarado que desea descifrar
Procedimiento
Puede ver los registros de auditoría para supervisar los cambios realizados en
QRadar y los usuarios que han cambiado los valores.
Puede utilizar la pestaña Actividad de registro para ver los sucesos de registro de
auditoría normalizados.
Procedimiento
1. Inicie, mediante SSH, la sesión en QRadar como usuario root:
2. Nombre de usuario: root
3. Contraseña: contraseña
4. Vaya al directorio siguiente:
/var/log/audit
5. Abra y consulte el archivo de registro de auditoría.
Acciones registradas
Familiarícese con el contenido del archivo de registro de auditoría de QRadar del
directorio /var/log/audit. El archivo de registro de auditoría contiene acciones
registradas.
Los sucesos que se producen en la red se agregan a categorías de nivel alto y bajo.
Cada categoría de nivel alto contiene categorías de nivel bajo y un nivel de
gravedad asociado. Puede revisar los niveles de gravedad que están asignados a
los sucesos y ajustarlos para que se adapten a las necesidades de su política
corporativa.
La categorización de los sucesos entrantes hace que las búsquedas en los datos
sean más fáciles de hacer.
Denegación de servicio
La categoría de denegación de servicio contiene sucesos que están relacionados con
los ataques de denegación de servicio (DoS) contra servicios o hosts.
Autenticación
La categoría de autenticación contiene sucesos que están relacionados con la
autenticación, las sesiones y los controles de acceso que supervisan a los usuarios
de la red.
Acceso
La categoría de acceso contiene controles de autenticación y acceso que se utilizan
para la supervisión de los sucesos de red.
Explotación
La categoría de explotación contiene sucesos en los que se ha producido una
explotación (ataque) de acceso o de comunicación.
Programa malicioso
La categoría de programa malicioso (software malicioso o malware) contiene
sucesos que están relacionados con los intentos de explotaciones de aplicación y de
desbordamiento de almacenamiento intermedio.
Actividad sospechosa
La categoría Sospechoso contiene sucesos que están relacionados con virus,
troyanos, ataques por puertas traseras y otras formas de software hostil.
Sistema
La categoría de sistema contiene sucesos que están relacionados con los cambios
del sistema, la instalación de software o los mensajes de estado.
Política
La categoría de política contiene sucesos que están relacionados con la
administración de la política de red y la supervisión de los recursos de la red para
comprobar si se producen violaciones de la política.
Desconocido
La categoría Desconocido contiene sucesos que no se analizan y, por lo tanto, no se
pueden asignar a ninguna categoría.
CRE
La categoría de suceso de regla personalizada (CRE) contiene sucesos que se
generan a partir de una regla personalizada de delito, flujo o suceso.
Auditoría de SIM
La categoría Auditoría de SIM contiene sucesos que están relacionados con la
interacción del usuario con QRadar Console y las funciones administrativas.
Aplicación
La categoría de aplicación contiene sucesos que están relacionados con la actividad
de auditoría, como el correo electrónico o la actividad de FTP.
Auditoría
La categoría de auditoría contiene sucesos que están relacionados con la actividad
de auditoría, como el correo electrónico o la actividad de FTP.
Riesgo
La categoría de riesgo contiene sucesos que están relacionados con IBM Security
QRadar Risk Manager.
Control
La categoría de control contiene sucesos que están relacionados con el sistema de
hardware.
Por ejemplo, puede determinar los puertos que deben estar abiertos para que
QRadar Console se comunique con los Procesadores de sucesos remotos.
Puertos e iptables
Los puertos de escucha para QRadar solamente son válidos cuando iptables está
habilitado en el sistema de QRadar.
Todos los puertos que se describen en la tabla siguiente pueden ser túneles,
mediante cifrado, a través del puerto 22 sobre SSH. Los hosts gestionados que
utilizan cifrado pueden establecer varias sesiones de SSH bidireccionales para
comunicarse de forma segura. Estas sesiones de SSH se inician desde el host
gestionado para proporcionar datos al host que necesita los datos en el despliegue.
Por ejemplo, los dispositivos Procesador de sucesos pueden iniciar varias sesiones
de SSH en QRadar Console para la comunicación segura. Esta comunicación puede
incluir puertos túnel sobre SSH, como los datos HTTPS para el puerto 443 y los
datos de consulta de Ariel para el puerto 32006. Los QRadar QFlow Collectors que
utilizan cifrado pueden iniciar sesiones de SSH para los dispositivos de procesador
de flujo que necesitan datos.
Puertos de QRadar
Protocolos de origen
de registro para
recuperar archivos de
los dispositivos
externos; por ejemplo,
el protocolo de
archivo de registro
Alta disponibilidad
(HA)
25 SMTP TCP Desde todos los hosts Correos electrónicos
gestionados hasta la pasarela desde QRadar hasta
SMTP una pasarela SMTP
Envío de mensajes de
correo electrónico de
error y de aviso a un
contacto de correo
electrónico
administrativo
37 rdate (hora) UDP/TCP Todos los sistemas hacia Sincronización de
QRadar Console hora entre QRadar
Console y los hosts
QRadar Console hacia el gestionados
servidor de NTP o rdate
111 Correlacionador de TCP/UDP Hosts gestionados que se Llamadas a
puertos comunican con QRadar procedimiento remoto
Console (RPC) para los
servicios necesarios,
Usuarios que se conectan a como Network File
QRadar Console System (NFS)
Hosts gestionados de
QRadar que se
conectan a QRadar
Console
Procedimiento
1. Utilice SSH para iniciar la sesión en QRadar Console como usuario root.
2. Para visualizar todas las conexiones activas y los puertos TCP y UDP en los
que el sistema está a la escucha, escriba el mandato siguiente:
netstat -nap
Ejemplos:
v Para visualizar todos los puertos que coincidan con el 199, escriba el
mandato siguiente: netstat -nap | grep 199
v Para visualizar todos los puertos relacionados con "postgres", escriba el
mandato siguiente: netstat -nap | grep postgres
v Para visualizar información sobre todos los puertos de escucha, escriba el
mandato siguiente: netstat -nap | grep LISTEN
Procedimiento
1. Utilice SSH para iniciar la sesión en QRadar Console como usuario root.
2. Para visualizar una lista de los puertos asociados para la conexión de
mensajería IMQ, escriba el mandato siguiente:
telnet localhost 7676
3. Si no se visualiza ninguna información, pulse la tecla Intro para cerrar la
conexión.
IBM puede tener patentes o solicitudes de patente pendientes relacionadas con los
temas que se describen en este documento. La posesión de este documento no le
confiere ninguna licencia sobre dichas patentes. Puede enviar consultas sobre
licencias, por escrito, a:
Para consultas sobre licencias en las que se solicite información sobre el juego de
caracteres de doble byte (DBCS), póngase en contacto con el departamento de
Propiedad intelectual de IBM de su país o envíe las consultas, por escrito, a:
Los titulares de licencias de este programa que deseen obtener información sobre el
mismo con el fin de permitir:(i) el intercambio de información entre programas
creados de forma independiente y otros programas (incluido éste) y (ii) el uso
mutuo de la información que se haya intercambiado, deberán ponerse en contacto
con:
IBM Corporation
170 Tracer Lane,
Waltham MA 02451, EE. UU.
Todos los precios de IBM mostrados son precios de venta al público sugeridos por
IBM, son actuales y están sujetos a cambios sin previo aviso. Los precios de los
distribuidores pueden variar.
Si está viendo esta información en copia software, es posible que las fotografías y
las ilustraciones en color no aparezcan.
Marcas registradas
IBM, el logotipo de IBM e ibm.com son marcas registradas de International
Business Machines Corporation en Estados Unidos o en otros países. Si estas y
otras marcas registradas de IBM se marcan en su primera aparición en esta
información con un símbolo de marca registrada (® o ™), estos símbolos indican
que se tratan de marcas registradas en Estados Unidos o en el Derecho anglosajón
(Common Law) por parte de IBM en la fecha de publicación de esta información.
Estas marcas registradas también pueden ser marcas registradas o marcas
registradas según el derecho consuetudinario en otros países. Puede encontrar una
lista actual de marcas registradas de IBM en la Web en: Copyright and trademark
information (www.ibm.com/legal/copytrade.shtml).
Java y todas las marcas registradas y los logotipos basados en Java son marcas
comerciales o marcas registradas de Sun Microsystems, Inc. en los Estados Unidos
Avisos 307
Para obtener más información sobre el uso de diversas tecnologías, incluidas las
cookies, para estos fines, consulte la política de privacidad de IBM en
http://www.ibm.com/privacy y la declaración de privacidad en línea de IBM en
http://www.ibm.com/privacy/details, la sección titulada “Cookies, Web Beacons
and Other Technologies” y la declaración “IBM Software Products and
Software-as-a-Service Privacy Statement” en http://www.ibm.com/software/info/
product-privacy.
Glosario 311
sistema de detección de intrusiones (IDS) interfaz de red lógica. La agregación de
Software que detecta intentos de ataque o enlaces se utiliza para aumentar el ancho
ataques consumados sobre recursos de banda y la disponibilidad de red.
supervisados que forman parte de una
exploración en tiempo real
red o sistema host.
Exploración de vulnerabilidades que
sistema de prevención de intrusiones (IPS) genera datos de informe a partir de los
Sistema que intenta rechazar actividad resultados de exploración de acuerdo con
potencialmente maliciosa. Los el nombre de la sesión.
mecanismos de rechazo pueden
red de área local (LAN)
comprender filtrado, seguimiento o el
Red que conecta varios dispositivos
establecimiento de límites de frecuencia.
situados en un área limitada (tal como un
IP Véase protocolo Internet. edificio o campus) y que se puede
conectar a una red mayor.
multidifusión IP
Transmisión de un datagrama de IP local a local (L2L)
(Protocolo Internet) a un conjunto de Relativo al tráfico interno desde una red
sistemas que forman un grupo de local a otra red local.
multidifusión individual.
local a remoto (L2R)
IPS Véase sistema de prevención de Relativo al tráfico interno desde una red
intrusiones. local a otra red remota.
ISP Véase proveedor de servicios de Internet. origen de registro
Equipo de seguridad o equipo de red
desde el que se crea un registro de
K sucesos.
archivo de claves extensión de origen de registro
En seguridad de sistemas, archivo que Archivo XML que incluye todos los
contiene claves públicas, claves privadas, patrones de expresión regular necesarios
raíces de confianza y certificados. para identificar y clasificar sucesos de la
carga útil de sucesos.
L
L2L Véase local a local. M
L2R Véase local a remoto. magistrado
Componente interno que analiza tráfico
LAN Véase red de área local. de red y sucesos de seguridad por
LDAP Véase Lightweight Directory Access comparación con reglas personalizadas
Protocol. definidas.
Glosario 313
correlación de referencia regla de direccionamiento
Registro de datos de la correlación directa Condición según la cual, cuando los datos
de una clave con un valor, por ejemplo, de suceso cumplen los criterios, se realiza
un nombre de usuario con un ID global. una recogida de condiciones y el
direccionamiento subsiguiente.
correlación de referencia de correlaciones
Registro de datos de dos claves regla Conjunto de sentencias condicionales que
correlacionadas con muchos valores. Por permiten que los sistemas identifiquen
ejemplo, la correlación del número total relaciones y ejecuten respuestas
de bytes de una aplicación con un IP de automatizadas de acuerdo con ello.
origen.
correlación de referencia de conjuntos S
Registro de datos de una clave
correlacionada con muchos valores. Por explorador
ejemplo, la correlación de una lista de Programa de seguridad automatizado que
usuarios privilegiados con un host. busca vulnerabilidades de software dentro
de aplicaciones web.
conjunto de referencia
Lista de elementos individuales que host de alta disponibilidad secundario
derivan de sucesos o flujos en una red. Sistema en espera que está conectado al
Por ejemplo, una lista de direcciones IP o clúster de alta disponibilidad. El host de
una lista de nombres de usuario. alta disponibilidad secundario toma el
control del host de alta disponibilidad
tabla de referencia primario si este falla.
Tabla en la que el registro de datos
correlaciona claves que tienen un tipo gravedad
asignado con otras claves, las cuales se Medida de la amenaza relativa que un
correlacionan entonces con un valor origen representa para un destino.
individual. protocolo simple de gestión de red (SNMP)
temporizador de renovación Conjunto de protocolos para supervisar
Dispositivo interno, activado sistemas y dispositivos en redes
manualmente o automáticamente a complejas. Se define información sobre
intervalos regulares, que actualiza los dispositivos gestionados y se almacena en
datos actuales sobre la actividad de red. una base de información de gestión
(Management Information Base).
pertinencia
Medida del efecto relativo de un suceso, SNMP
categoría o delito sobre la red. Véase protocolo simple de gestión de red.
T
TCP Véase protocolo de control de
transmisiones.
protocolo de control de transmisiones (TCP)
Protocolo de comunicación utilizado en
Internet y en todas las redes que siguen
las normas de IETF (Internet Engineering
Task Force) para el protocolo de
interconexión de redes. TCP proporciona
un protocolo fiable de host a host en
redes de comunicaciones de paquetes
conmutados y en sistemas interconectados
de esas redes. Véase también protocolo
Internet.
archivo de almacén de confianza
Archivo de base de datos de claves que
contiene las claves públicas de una
entidad de confianza.
V
violación
Acto que paso por alto o contraviene una
política corporativa.
vulnerabilidad
Riesgo de seguridad en un sistema
operativo, software del sistema o
componente de software de aplicación.
Glosario 315
316 Guía de administración de QRadar SIEM
Índice
A categoría de aplicación
descripción 263
configuración del sistema 42
configurar 20, 21, 22, 44, 52
acceso de cortafuegos 42 categoría de auditoría perfiles de reenvío 188
acceso de dispositivo 42 descripción 285 conjuntos de referencia 107
acciones registradas categoría de auditoría de Risk Manager añadir 107
archivo de registro de auditoría 222 descripción 287 añadir elementos 110
acerca de 11 categoría de autenticación editar 108
Active Directory 18 descripción 234 exportar elementos 111
actualización automática 66 categoría de CRE importar elementos 111
acerca de 63 descripción 257 suprimir 108
planificar 67 suceso de regla personalizada suprimir elementos 110
actualizaciones Véase CRE ver 107
planificar 67 categoría de denegación de servicio ver contenido 109
actualizaciones ocultas 69 descripción 230 contexto de host 152
actualizar 5 categoría de descubrimiento de host de descripción 137
acumulador VIS contraseñas 45
configurar 154 descripción 262 Conversión de direcciones de red.
descripción 137 categoría de explotación 243 Véase Véase NAT
administrador de red ix categoría de explotación potencial copia de seguridad de la
almacenar información de usuario 57 descripción 258 información 125
almacenar y reenviar categoría de política copia de seguridad y recuperación
crear una nueva planificación 199 descripción 255 acerca de 123
editar una planificación 200 categoría de programa malicioso importar archivos de copia de
suprimir planificación 200 descripción 245 seguridad 124
ver lista de planificación 196 categoría de reconocimiento iniciar copia de seguridad 128
API RESTful descripción 229 planificar copias de seguridad 125
visión general 7 categoría de riesgo restaurar información de
archivo CSV descripción 286 configuración 129
requisitos 114 categoría Definido por el usuario suprimir archivos de copia de
archivo de registro de auditoría descripción 259 seguridad 124
acciones registradas 222 categoría del sistema ver archivo de copia de
archivo de registro de flujos 173 descripción 250 seguridad 124
asignación de licencia 38 categoría Desconocido correlación de categorías de sucesos
autenticación 18, 20, 21, 22 descripción 256 categoría de acceso 241
autenticación de RADIUS 18 categoría Sospechoso categoría de aplicación 263
autenticación de TACACS 18 descripción 246 categoría de auditoría 285
autenticación del sistema 18 categorías de nivel alto categoría de auditoría de Risk
descripción 227 Manager 287
categorías de sucesos categoría de autenticación 234
B descripción 227 categoría de CRE 257
barra de herramientas de la ventana cerrar 42 categoría de denegación de
Gestión de usuarios 30 cerrar sistema 42 servicio 230
base de datos Ariel certificado SSL categoría de descubrimiento de host
acciones al pulsar el botón derecho configurar 25 de VIS 262
del ratón 100 certificado TLS categoría de explotación
búsquedas de carga útil configurar 25 descripción 243
habilitar índices 105 certificados SSL categoría de explotación
sustituir 85 potencial 258
visión general de sustitución 84 categoría de política 255
C cifrado 148
clave de licencia 35, 36, 39
categoría de programa malicioso 245
categoría de reconocimiento 229
cambiar 45 clave pública categoría de riesgo 286
cambios generar 139 categoría de sucesos Auditoría de
desplegar 4 CMT SIM 261
captura de contenido 158 Véase herramienta de gestión de categoría Definido por el usuario 259
características nuevas contenido categoría del sistema 250
visión general de guía de componentes 158 categoría Desconocido 256
administración de versión 7.2.4 1 componentes de QRadar SIEM 158 categoría Sospechoso 246
cargar 36 configuración 49 categorías de nivel alto 227
categoría Auditoría de SIM 261 configuración de flujo 174 correlación de QID, crear entradas 181
categoría de acceso configuración del servidor de hora 46
descripción 241
O R S
serie de consulta
obfuscation_expressions.xml RADIUS 18
cerrar un delito 121
configurar el archivo de expresiones raíz de confianza
descartar un delito 121
de enmascaramiento 216 certificados SSL 84
servicio autenticado
obfuscation_updater.sh razón de cierre del delito 102
soporte al cliente 120
configurar enmascaramiento 216 RDATE 46
servicios
objeto de redes remotas recopilación de datos de referencia 50
autorizados 119
añadir 179 crear 115
servicios autorizados
objeto de servicios remotos visión general 113
acerca de 119
añadir 180 Recopilador de sucesos
añadir 120
objetos de servicios remotos acerca de 140
revocar 120
configurar 180 configurar 164
señal 119
opciones de direccionamiento recuperar 56
ver 119
configurar 193 recursos de red
servidor de Tivoli Directory
origen directrices sugeridas 179
Integrator 49, 52
externo 144 redes remotas y servicios remotos
servidores
origen de flujo descripción 177
descubrir 185
acerca de 169 reenviar sucesos y flujos
sFlow 172
añadir alias 176 normalizados 144
SIM
añadir origen de flujo 174 reenvío de sucesos
restablecer 5
editar alias 176 configurar 189
sistema 18, 41, 42
externo 169 reglas personalizadas 191
solucionar problemas
gestionar alias 175 registro de actualización automática 69
actualización
gestionar orígenes de flujo 169 registro de auditoría
datos enmascarados data 219
habilitar o inhabilitar 175 ver 221
datos restaurados 135
interno 169 registros de auditoría
soporte al cliente
nombre virtual 175 descripción 221
servicio autenticado 120
suprimir alias 176 reglas
sucesos
suprimir origen de flujo 175 acerca de 107
almacenamiento y reenvío 195
origen de información de usuario 52, 55 reglas de direccionamiento
almacenamiento y reenvío de
origen externo 144 editar 193
sucesos 195
orígenes de flujo externos 169 reglas personalizadas
suprimir 12, 57
orígenes de flujo internos 169 reenvío de sucesos 191
suprimir archivos de copia de
orígenes de información de usuario 49, reiniciar 41
seguridad 124
54, 56, 57 reiniciar el sistema 41
suprimir planificación de Almacenar y
restablecer SIM 5
reenviar 200
restaurar
suprimir un perfil de seguridad 16
P datos 134
solucionar problemas de datos
syslog
Packeteer 173 reenviar 187
restaurados 135
parámetros restaurar información de
descripción 115 configuración 129
parámetros de la ventana Gestión de dirección IP diferente 131 T
usuarios 30 misma dirección IP 130 tabla de referencia
parámetros de perfil de seguridad 29 descripción 113
perfil de seguridad 11, 14, 15, 16
Índice 319
TACACS 18 valores del sistema 72 vista de sistema (continuación)
TAP de red 158 ventana Detalles del usuario 31 descripción 137
ver archivos de copia de seguridad 124 gestionar 148
ver lista de planificación 196 host gestionado 152
U visión general 49
API RESTful 7
vista de sucesos
añadir componentes 142
umbrales 93
visión general de correlaciones de cambiar nombre de componentes 147
usuario 18
QRadar Identifier 180 crear 140
usuarios 11, 17, 18
visión general de las correlaciones de descripción 137
QID 180 vistas de datos agregados
visión general de tareas de gestión 52 gestionar 6
V vista de sistema habilitar 6
valores de la consola 97 añadir un host 149 inhabilitar 6
valores de retención de activos, visión asignar componentes 152 suprimir 6
general 81 Contexto de host 152