INTEGRITY Dokumentace

← Cloudflare Logs / logs / logpush / logpush-job / enable-destinations

Povolení IBM QRadar

Chcete-li nakonfigurovat integraci QRadar/Cloudflare, můžete použít jednu z následujících metod:

HTTP Receiver Protocol

Chcete-li odesílat protokoly Cloudflare do QRadar, musíte vytvořit Úloha Logpush pro HTTP koncové body prostřednictvím API. Níže najdete dva příklady příkazu curl, jak odesílat události Cloudflare Firewall a Cloudflare HTTP do QRadar.

Cloudflare Firewall events

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:
Vytvořit úlohu Logpush
curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/logpush/jobs" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<NAME>",
		"output_options": {
				"field_names": [
						"Action",
						"ClientIP",
						"ClientASN",
						"ClientASNDescription",
						"ClientCountry",
						"ClientIPClass",
						"ClientRefererHost",
						"ClientRefererPath",
						"ClientRefererQuery",
						"ClientRefererScheme",
						"ClientRequestHost",
						"ClientRequestMethod",
						"ClientRequestPath",
						"ClientRequestProtocol",
						"ClientRequestQuery",
						"ClientRequestScheme",
						"ClientRequestUserAgent",
						"EdgeColoCode",
						"EdgeResponseStatus",
						"Kind",
						"MatchIndex",
						"Metadata",
						"OriginResponseStatus",
						"OriginatorRayID",
						"RayID",
						"RuleID",
						"Source",
						"Datetime"
				],
				"timestamp_format": "rfc3339"
		},
		"destination_conf": "<QRADAR_URL>:<LOG_SOURCE_PORT>",
		"max_upload_bytes": 5000000,
		"max_upload_records": 1000,
		"dataset": "firewall_events",
		"enabled": true
	}'

Cloudflare HTTP events

Požadovaná oprávnění API tokenu

Alespoň jeden z následujících oprávnění tokenu je povinné:
Vytvořit úlohu Logpush
curl "https://api.cloudflare.com/client/v4/zones/$ZONE_ID/logpush/jobs" \
	--request POST \
	--header "Authorization: Bearer $CLOUDFLARE_API_TOKEN" \
	--json '{
		"name": "<NAME>",
		"output_options": {
				"field_names": [
						"ClientRequestMethod",
						"EdgeResponseStatus",
						"ClientIP",
						"ClientSrcPort",
						"CacheCacheStatus",
						"ClientCountry",
						"ClientDeviceType",
						"ClientIPClass",
						"ClientMTLSAuthCertFingerprint",
						"ClientMTLSAuthStatus",
						"ClientRegionCode",
						"ClientRequestBytes",
						"ClientRequestHost",
						"ClientRequestPath",
						"ClientRequestProtocol",
						"ClientRequestReferer",
						"ClientRequestScheme",
						"ClientRequestSource",
						"ClientRequestURI",
						"ClientRequestUserAgent",
						"ClientSSLCipher",
						"ClientSSLProtocol",
						"ClientXRequestedWith",
						"EdgeEndTimestamp",
						"EdgeRequestHost",
						"EdgeResponseBodyBytes",
						"EdgeResponseBytes",
						"EdgeServerIP",
						"EdgeStartTimestamp",
						"SecurityActions",
						"SecurityRuleIDs",
						"SecuritySources",
						"OriginIP",
						"OriginResponseStatus",
						"OriginSSLProtocol",
						"ParentRayID",
						"RayID",
						"SecurityAction",
						"WAFAttackScore",
						"SecurityRuleID",
						"SecurityRuleDescription",
						"WAFSQLiAttackScore",
						"WAFXSSAttackScore",
						"EdgeStartTimestamp"
				],
				"timestamp_format": "rfc3339"
		},
		"destination_conf": "<QRADAR_URL>:<LOG_SOURCE_PORT>",
		"max_upload_bytes": 5000000,
		"max_upload_records": 1000,
		"dataset": "http_requests",
		"enabled": true
	}'

Cloudflare zkontroluje dostupnost IP adresy a portu a ověří certifikát zdroje protokolů HTTP Receive. Pokud jsou všechny parametry platné, vytvoří se Logpush a začne odesílat události do zdroje protokolů HTTP Receiver.

Amazon AWS S3 Rest API

Když použijete protokol Amazon S3 REST API, IBM QRadar shromažďuje události Cloudflare Log z bucketu Amazon S3. Chcete-li tuto možnost použít, je třeba:

  1. Vytvořte Bucket Amazon S3 ↗ k uložení protokolů Cloudflare Logs. Poznamenejte si název bucketu a AWS access key ID a secret access key s dostatečnými oprávněními k zápisu do bucketu.
  2. Povolení úlohy Logpush do Amazon S3.
  3. V konzoli AWS Management Console přejděte na službu Amazon S3. Vytvořte koncový bod bucketu, aby mohl Cloudflare odesílat protokoly přímo do bucketu S3.
  4. Postupujte podle kroků v Integrujte Cloudflare Logs s QRadar pomocí protokolu Amazon AWS S3 REST API ↗.
  5. Otestujte konfiguraci vygenerováním několika protokolů v Cloudflare a ověřte, že jsou doručeny do bucketu S3 a následně přeposlány do QRadar.