Qualys Scan ログを収集する

以下でサポートされています。

Google SecOpsSIEM

注: この機能には、Google Security Operations Service 固有の規約のpre-GA サービス規約が適用されます。pre-GA の機能についてはサポートが制限されます。また、pre-GA の機能の変更は pre-GA の他のバージョンと互換性がない可能性があります。 詳細については、Google Security Operations 技術サポート サービス ガイドラインと Google Security Operations サービス固有の規約をご覧ください。

このパーサーは、Qualys Scan JSON ログからフィールドを抽出し、タイムスタンプを正規化して UDM にマッピングします。一般的なイベントやユーザーのログインなど、さまざまな Qualys イベントタイプを処理し、関連するセキュリティ情報とメタデータを UDM フィールドに入力します。

始める前に

• Google Security Operations インスタンスがあることを確認します。
• Qualys VMDR コンソールに特権アクセスできることを確認します。

省略可: Qualys で専用の API ユーザーを作成する

1. Qualys コンソールにログインします。
2. [ユーザー] にアクセスします。
3. [新規] > [ユーザー] をクリックします。
4. ユーザーに必要な一般情報を入力します。
5. [ユーザー役割] タブを選択します。
6. ロールで [API アクセス] チェックボックスがオンになっていることを確認します。
7. [保存] をクリックします。

特定の Qualys API URL を特定する

オプション 1

プラットフォームの識別で説明されているように、URL を特定します。

オプション 2

1. Qualys コンソールにログインします。
2. [ヘルプ] > [情報] に移動します。
3. スクロールして、[セキュリティ オペレーション センター（SOC）] でこの情報を確認します。
4. Qualys API の URL をコピーします。

Qulays スキャン ログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [新しく追加] をクリックします。
3. [フィード名] フィールドに、フィードの名前を入力します（例: Qualys スキャンログ）。
4. [ソースタイプ] として [サードパーティ API] を選択します。
5. ログタイプとして [Qualys スキャン] を選択します。
6. [次へ] をクリックします。
7. 次の入力パラメータの値を指定します。
   • ユーザー名: 専用ユーザーのユーザー名を入力します。
   • シークレット: 専用ユーザーのパスワードを入力します。
   • API の完全なパス: プレーンな Qualys API サーバー URL を指定します（例: qualysapi.qg2.apps.qualys.eu）。
   • API タイプ: 取り込むスキャンタイプを選択します。
   • アセットの名前空間: アセットの名前空間。
   • 取り込みラベル: このフィードのイベントに適用されるラベル。
8. [次へ] をクリックします。
9. [Finalize] 画面でフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
Category	security_result.category_details	Category フィールドから直接マッピングされます。
ID	metadata.product_log_id	ID フィールドから直接マッピングされます。文字列に変換されます。
LaunchDatetime	metadata.event_timestamp	ScanInput.ScanDatetime と UpdateDate が存在しない場合、イベント タイムスタンプとして使用されます。「ISO8601」形式で解析されます。
Ref	additional.fields[1].key additional.fields[1].value.string_value	ScanReference が存在しない場合、キー「ScanReference」で additional.fields にマッピングされます。
ScanDetails.Status	security_result.detection_fields[0].key security_result.detection_fields[0].value	キー「ScanDetails Status」で security_result.detection_fields にマッピングされています。
ScanInput.Network.ID	additional.fields[0].key additional.fields[0].value.string_value	キー「ScanInput Network ID」で additional.fields にマッピングされました。
ScanInput.Network.Name	additional.fields[1].key additional.fields[1].value.string_value	キー「ScanInput Network Name」で additional.fields にマッピングされました。
ScanInput.OptionProfile.ID	additional.fields[2].key additional.fields[2].value.string_value	キー「ScanInput Option Profile ID」で additional.fields にマッピングされます。
ScanInput.OptionProfile.Name	additional.fields[3].key additional.fields[3].value.string_value	キー「ScanInput Option Profile Name」で additional.fields にマッピングされています。
ScanInput.ScanDatetime	metadata.event_timestamp	存在する場合はイベント タイムスタンプとして使用されます。「ISO8601」形式で解析されます。
ScanInput.Title	metadata.description	ScanInput.Title フィールドから直接マッピングされます。
ScanInput.Username	principal.user.userid	ScanInput.Username フィールドから直接マッピングされます。
ScanReference	additional.fields[4].key additional.fields[4].value.string_value	キー「ScanReference」で additional.fields にマッピングされました。
Statement	metadata.description	ScanInput.Title と Title が存在しない場合、Statement フィールドから直接マッピングされます。
Status	security_result.detection_fields[0].key security_result.detection_fields[0].value	キー「Status」で security_result.detection_fields にマッピングされています。
SubCategory	security_result.description	SubCategory フィールドから直接マッピングされます。
Technologies[].ID	security_result.detection_fields[0].value	Technologies[].ID フィールドから直接マッピングされます。文字列に変換されます。繰り返しの security_result オブジェクトの一部。
Technologies[].Name	security_result.detection_fields[1].value	Technologies[].Name フィールドから直接マッピングされます。繰り返しの security_result オブジェクトの一部。
Technologies[].Rationale	security_result.detection_fields[2].value	Technologies[].Rationale フィールドから直接マッピングされます。繰り返しの security_result オブジェクトの一部。
Title	metadata.description	ScanInput.Title と Statement が存在しない場合、Title フィールドから直接マッピングされます。
Type	additional.fields[2].key additional.fields[2].value.string_value	キー「Type」で additional.fields にマッピングされています。
UpdateDate	metadata.event_timestamp	ScanInput.ScanDatetime が存在しない場合、イベント タイムスタンプとして使用されます。「ISO8601」形式で解析されます。
Userlogin	target.user.userid	Userlogin フィールドから直接マッピングされます。Userlogin が存在する場合は「AUTHTYPE_UNSPECIFIED」に設定します。「GENERIC_EVENT」に設定します。Userlogin が存在する場合は「USER_LOGIN」に変更しました。metadata_event_type が「GENERIC_EVENT」で、ScanInput.Username が存在する場合は「USER_UNCATEGORIZED」に変更しました。「QUALYS_SCAN」に設定します。「QUALYS_SCAN」に設定します。各テクノロジーで「ID」に設定します。繰り返しの security_result オブジェクトの一部。各テクノロジーで [名前] に設定します。繰り返しの security_result オブジェクトの一部。各テクノロジーで [Rationale] に設定します。繰り返しの security_result オブジェクトの一部。

変更点

2023-04-21

• 新しく作成されたパーサー。