IBM Security QRadar SIEM Version Verwaltungshandbuch SC

Transkript

1 IBM Security QRadar SIEM Version 7.2. Verwaltungshandbuch SC

2 Hinweis Vor Verwendung dieser Informationen und des darin beschriebenen Produkts sollten die Informationen unter Bemerkungen auf Seite gelesen werden. Diese Veröffentlichung ist eine Übersetzung des Handbuchs IBM Security QRadard SIEM, Version 7.2., Administration Guide, IBM Form SC , herausgegeben von International Business Machines Corporation, USA Copyright International Business Machines Corporation 202, 204 Informationen, die nur für bestimmte Länder Gültigkeit haben und für Deutschland, Österreich und die Schweiz nicht zutreffen, wurden in dieser Veröffentlichung im Originaltext übernommen. Möglicherweise sind nicht alle in dieser Übersetzung aufgeführten Produkte in Deutschland angekündigt und verfügbar; vor Entscheidungen empfiehlt sich der Kontakt mit der zuständigen IBM Geschäftsstelle. Änderung des Textes bleibt vorbehalten. Herausgegeben von: TSC Germany Kst August 204 Copyright IBM Corporation 202, 204.

3 Inhaltsverzeichnis Einführung in die QRadar-Produktverwaltung ix Kapitel. Neuerungen für Administratoren in QRadar V Kapitel 2. Übersicht über die QRadar-Verwaltung Unterstützte Web-Browser Übersicht über die Registerkarte 'Verwaltung' Änderungen implementieren Benutzerdetails aktualisieren SIM zurücksetzen Systeme mit SNMP (Simple Network Management Protocol) überwachen Ansichten mit zusammengefassten Daten verwalten REST-konforme API Kapitel. Benutzerverwaltung Übersicht über die Benutzerverwaltung Rollenverwaltung Benutzerrolle erstellen Benutzerrolle bearbeiten Benutzerrolle löschen Sicherheitsprofile verwalten Berechtigungsrangfolgen Sicherheitsprofil erstellen Sicherheitsprofil bearbeiten Sicherheitsprofil duplizieren Sicherheitsprofil löschen Verwaltung von Benutzerkonten Benutzerkonto erstellen Benutzerkonto löschen Authentifizierungsmanagement Übersicht über die Authentifizierung Checkliste für Aufgaben, die vor der Festlegung des Authentifizierungstyps ausgeführt werden müssen Systemauthentifizierung konfigurieren RADIUS-Authentifizierung konfigurieren TACACS-Authentifizierung konfigurieren Active Directory-Authentifizierung konfigurieren LDAP-Authentifizierung konfigurieren SSL- oder TLS-Zertifikate konfigurieren Zugriff und Berechtigungen für Benutzerrollen Parameter für das Sicherheitsprofil Parameter im Fenster 'Benutzerverwaltung' Symbolleiste im Fenster 'Benutzerverwaltung' Parameter im Fenster 'Benutzerdetails' Kapitel 4. System- und Lizenzverwaltung Übersicht über das Fenster 'System- und Lizenzverwaltung' Checkliste für die Lizenzverwaltung Lizenzschlüssel hochladen Lizenz einem System zuordnen Zuordnung zurücksetzen Lizenzdetails anzeigen Lizenz exportieren Systemverwaltung Systemdetails anzeigen Copyright IBM Corp. 202, 204 iii

4 System einer Lizenz zuordnen System erneut starten System herunterfahren Systemdetails exportieren Verwaltung der Zugriffseinstellung Firewallzugriff konfigurieren Ihre Hostkonfiguration aktualisieren Schnittstellenrollen konfigurieren Rootkennwort Ihres QRadar-Systems ändern Konfiguration des Zeitservers Ihren Zeitserver unter Verwendung von RDATE konfigurieren Einstellung für Datum und Uhrzeit für Ihr System manuell konfigurieren Kapitel 5. Konfiguration der Benutzerinformationsquelle Übersicht über die Benutzerinformationsquelle Benutzerinformationsquellen Referenzdatensammlungen für Benutzerinformationen Beispiel eines Integrationsworkflows Übersicht über die Konfiguration der Benutzerinformationsquelle und Verwaltungsaufgaben (Management- Tasks) Tivoli Directory Integrator-Server konfigurieren Benutzerinformationsquelle erstellen und verwalten Benutzerinformationsquelle erstellen Benutzerinformationsquellen abrufen Benutzerinformationsquelle bearbeiten Benutzerinformationsquelle löschen Benutzerinformationen erfassen Kapitel 6. QRadar SIEM einrichten Netzhierarchie Zulässige CIDR-Werte Netzhierarchie definieren Automatische Aktualisierungen Anstehende Aktualisierungen anzeigen Einstellungen für die automatische Aktualisierung konfigurieren Aktualisierung planen Geplante Aktualisierungen abwählen Prüfen, ob neue Aktualisierungen vorhanden sind Automatische Aktualisierungen manuell installieren Aktualisierungsprotokoll anzeigen Ausgeblendete Aktualisierungen wiederherstellen Protokoll der automatischen Aktualisierung anzeigen QRadar-Aktualisierungsserver einrichten Ihren Aktualisierungsserver konfigurieren Ihre QRadar-Konsole als Aktualisierungsserver konfigurieren Neue Aktualisierungen hinzufügen Systemeinstellungen konfigurieren Übersicht über den Wert für den Aufbewahrungszeitraum von Assets Ihre IF-MAP-Serverzertifikate konfigurieren IF-MAP-Serverzertifikat für die Basisauthentifizierung konfigurieren IF-MAP-Serverzertifikat für die gegenseitige Authentifizierung konfigurieren Ersetzung von SSL-Zertifikaten in QRadar-Produkten SSL-Standardzertifikat ersetzen IPv6-Adressierung in QRadar-Implementierungen Verwalteten reinen IPv4-Host in einer heterogenen Umgebung installieren Datenaufbewahrung Aufbewahrungsbuckets konfigurieren Reihenfolge der Aufbewahrungsbuckets verwalten Aufbewahrungsbucket bearbeiten Aufbewahrungsbucket aktivieren und inaktivieren iv QRadar SIEM - Verwaltungshandbuch

5 Aufbewahrungsbucket löschen Systembenachrichtigungen konfigurieren Angepasste -Benachrichtigungen konfigurieren Konsoleneinstellungen konfigurieren Kontextmenü anpassen Kontextmenü für die Spalten zum Ereignis und Datenfluss erweitern Angepasste Ursachen für das Schließen eines Angriffs Angepasste Ursache für das Schließen eines Angriffs hinzufügen Angepasste Ursache für das Schließen eines Angriffs bearbeiten Angepasste Ursache für das Schließen eines Angriffs löschen Angepasste Asset-Eigenschaft konfigurieren Indexverwaltung Indizes aktivieren Nutzdatenindexierung zur Optimierung der Suchzeiten aktivieren Aufbewahrungszeitraum für Nutzdatenindizes konfigurieren Kapitel 7. Referenzsetverwaltung Referenzset hinzufügen Referenzset bearbeiten Referenzsets löschen Inhalt eines Referenzsets anzeigen Element zu einem Referenzset hinzufügen Elemente aus einem Referenzset löschen Elemente in ein Referenzset importieren Elemente aus einem Referenzset exportieren Kapitel 8. Referenzdatensammlungen CSV-Dateivoraussetzungen für Referenzdatensammlungen Referenzdatensammlung erstellen Befehlsreferenz zu ReferenceDataUtil.sh create update add delete remove purge list listall load Kapitel 9. Autorisierte Services verwalten Autorisierte Services anzeigen Autorisierten Service hinzufügen Autorisierte Services widerrufen Authentifizierter Kundenunterstützungsservice Angriff ignorieren Angriff schließen Hinweise zu einem Angriff hinzufügen Kapitel 0. Sicherung und Wiederherstellung verwalten Verwaltung eines Sicherungsarchivs Sicherungsarchive anzeigen Sicherungsarchiv importieren Sicherungsarchiv löschen Erstellung eines Sicherungsarchivs Nächtliche Sicherung planen Bedarfsgesteuertes Konfigurationssicherungsarchiv erstellen Wiederherstellung eines Sicherungsarchivs Sicherungsarchiv wiederherstellen Sicherungsarchiv wiederherstellen, das auf einem anderen QRadar-System erstellt wurde Inhaltsverzeichnis v

6 Daten wiederherstellen Wiederhergestellte Daten überprüfen Kapitel. Implementierungseditor Voraussetzungen für den Implementierungseditor Ansichten des Implementierungseditors Vorgaben des Implementierungseditors konfigurieren Implementierung erstellen Öffentliche Schlüssel für QRadar-Produkte generieren Verwaltung über die Ereignisansicht Ereignisansichten von QRadar-Komponenten in Ihrer Implementierung Komponenten hinzufügen Komponenten verbinden Normalisierte Ereignisse und Datenflüsse weiterleiten Komponenten umbenennen Fortschritt der Datenneuverteilung anzeigen Verwaltung in der Systemansicht Übersicht über die Seite Systemansicht Softwarekompatibilitätsvoraussetzungen für Konsolenhosts und konsolenfremde Hosts Verschlüsselung Verwalteten Host hinzufügen Verwalteten Host bearbeiten Verwalteten Host entfernen Verwalteten Host konfigurieren Komponente einem Host zuweisen Host-Kontext konfigurieren Akkumulator konfigurieren Verwaltung der Netzadressumsetzung Netz NAT-fähig zu QRadar hinzufügen Netz NAT-fähig bearbeiten Netz NAT-fähig aus QRadar löschen Status der Netzadressumsetzung für einen verwalteten Host ändern Komponentenkonfiguration QRadar QFlow Collector konfigurieren Event Collector konfigurieren Event Processor konfigurieren Magistrate-Komponente konfigurieren Ausgelagerte Quelle konfigurieren Ausgelagertes Ziel konfigurieren Kapitel 2. Verwaltung von Datenflussquellen Datenflussquellen NetFlow IPFIX sflow J-Flow Packeteer Flowlog-Datei Napatech -Schnittstelle Datenflussquelle hinzufügen oder bearbeiten Datenflussquelle aktivieren und inaktivieren Datenflussquelle löschen Datenflussquellenaliasverwaltung Datenflussquellenalias hinzufügen Datenflussquellenalias löschen Kapitel. Konfiguration ferner Netze und Services Standardgruppen für ferne Netze Standardgruppen für ferne Services Richtlinien für Netzressourcen vi QRadar SIEM - Verwaltungshandbuch

7 Ferne Netzobjekte verwalten Ferne Serviceobjekte verwalten Übersicht über die QID-Zuordnung QID-Zuordnungseintrag erstellen QID-Zuordnungseintrag ändern QID-Zuordnungseinträge importieren QID-Zuordnungseinträge exportieren Kapitel 4. Servererkennung Server erkennen Kapitel 5. QRadar-Systeme für die Weiterleitung von Daten an andere Systeme konfigurieren Weiterleitungsziele hinzufügen Routing-Regeln für die Massenweiterleitung konfigurieren Selektive Weiterleitung konfigurieren Weiterleitungsziele anzeigen Weiterleitungsziele anzeigen und verwalten Routing-Regeln anzeigen und verwalten Kapitel 6. Ereignisse speichern und weiterleiten Übersicht über die Store-and-forward-Funktion Liste der Store-and-forward-Zeitpläne anzeigen Neuen Store-and-forward-Zeitplan erstellen Store-and-forward-Zeitplan bearbeiten Store-and-forward-Zeitplan löschen Kapitel 7. Übersicht über das Content Management Tool Alle angepassten Inhalte exportieren Alle angepassten Inhalte eines bestimmten Typs exportieren Inhalt suchen Mehrere angepasste Inhaltselemente exportieren Einzelnes angepasstes Inhaltselement exportieren Benutzerdefinierten Inhalt importieren Aktualisieren von Inhalt Einzelheiten zur Content Management Tool-Prüfung Kapitel 8. Datenverschlüsselung Paar aus privatem/öffentlichem Schlüssel generieren Datenverschlüsselung konfigurieren Verschlüsselte Daten entschlüsseln In QRadar-Assetprofildaten werden nach dem Upgrade keine verschlüsselten Daten angezeigt Kapitel 9. Prüfprotokolle Prüfprotokolldatei anzeigen Protokollierte Aktionen Kapitel 20. Ereigniskategorien Übergeordnete Ereigniskategorien Recon Denial-of-Service-Attacke (DoS) Authentifizierung Zugriff Exploit Malware Verdächtige Aktivität System Richtlinie Unbekannt Inhaltsverzeichnis vii

8 CRE Potenzielles Exploit Benutzerdefiniert SIM-Audit VIS-Hosterkennung Anwendung Prüfung Risiko Risikomanager-Audit Steuerung Asset-Profiler Kapitel 2. Von QRadar verwendete Ports Von QRadar verwendete Ports suchen IMQ-Portzuordnungen anzeigen Bemerkungen Marken Hinweise zur Datenschutzrichtlinie Glossar A B C D E F G H I K L M N O P Q R S T U V W Z Index viii QRadar SIEM - Verwaltungshandbuch

9 Einführung in die QRadar-Produktverwaltung Administratoren verwenden IBM Security QRadar SIEM für die Verwaltung von Dashboards, Angriffen, Protokollaktivitäten, Netzaktivitäten, Assets und Berichten. Zielgruppe Dieses Handbuch richtet sich an alle Benutzer von QRadar SIEM, die für die Überprüfung und Verwaltung der Netzsicherheit verantwortlich sind. Dabei wird vorausgesetzt, dass Sie auf QRadar SIEM zugreifen können und mit Ihrem Unternehmensnetz und Netztechnologien vertraut sind. Technische Dokumentation Die IBM Security QRadar-Produktdokumentation finden Sie einschließlich der übersetzten Dokumentation im IBM Knowledge Center( support/knowledgecenter/ss42vs/welcome). Informationen zum Zugriff auf weitere technische Dokumentationen in der QRadar-Produktbibliothek finden Sie in der Accessing IBM Security Documentation Technical Note ( Kontakt mit der Kundenunterstützung aufnehmen Informationen zur Kontaktierung der Kundenunterstützung finden Sie im Dokument Support and Download Technical Note (Technische Hinweise zum Support und Download) ( &uid=swg26286). Erklärung zu geeigneten Sicherheitsvorkehrungen Zur Sicherheit von IT-Systemen gehört der Schutz von Systemen und Informationen in Form von Vorbeugung, Erkennung und Reaktion auf unzulässigen Zugriff innerhalb des Unternehmens und von außen. Unzulässiger Zugriff kann dazu führen, dass Informationen geändert, gelöscht, veruntreut oder missbräuchlich verwendet werden. Ebenso können Ihre Systeme beschädigt oder missbräuchlich verwendet werden, einschließlich zum Zweck von Attacken. Kein IT-System oder Produkt kann umfassend als sicher betrachtet werden. Kein einzelnes Produkt, kein einzelner Service und keine einzelne Sicherheitsmaßnahme können eine unzulässige Verwendung oder einen unzulässigen Zugriff mit vollständiger Wirksamkeit verhindern. IBM Systeme, Produkte und Services werden als Teil eines rechtmäßigen umfassenden Sicherheitskonzepts entwickelt, sodass die Einbeziehung zusätzlicher Betriebsprozesse erforderlich ist. Ferner wird vorausgesetzt, dass andere Systeme, Produkte oder Services so effektiv wie möglich sind. IBM übernimmt keine Gewähr dafür, dass Systeme, Produkte oder Services vor zerstörerischen oder unzulässigen Handlungen Dritter geschützt sind oder dass Systeme, Produkte oder Services Ihr Unternehmen vor zerstörerischen oder unzulässigen Handlungen Dritter schützen. Copyright IBM Corp. 202, 204 ix

10 x QRadar SIEM - Verwaltungshandbuch

11 Kapitel. Neuerungen für Administratoren in QRadar V7.2. IBM Security QRadar V7.2. enthält Verbesserungen für den Import und Export benutzerdefinierter sicherheits- und konfigurationsspezifischer Inhalte, ein neues Tool zur Optimierung Ihrer Assets im Netz, Verbesserungen bei der Implementierung sowie weitere funktionale Erweiterungen. Vereinfachter Export von sicherheits- und konfigurationsspezifischem Inhalt Funktionale Erweiterungen für Content Management Tool erleichtern den Export benutzerdefinierter sicherheits- und konfigurationsspezifischer Inhalte in ein portables Format. Sie können die exportierten Inhalte in jede beliebige QRadar-Implementierung importieren. Content Management Tool erstellt eine XML-Darstellung des Inhalts in den Datenbanktabellen und in externen Dateien. Darüber hinaus werden auch alle Abhängigkeiten exportiert. Die XML-Darstellungen und externen Dateien, die erstellt werden, werden archiviert und komprimiert. Informationen... Neue Informationen Weitere Optimierung von Assets Ein neues Tool (Asset Profiler Configuration) zeigt Administratoren Informationen zu Assets, die im Netz anhand von Datenflüssen, von Ereignissen, die Identitätsinformationen enthalten, oder von Scannerimportdaten erfasst werden. Weitere Informationen finden Sie in der Onlinehilfe sowie in den Kurzinfos im Tool. Verbesserte Implementierung in Umgebungen mit einer großen Anzahl verwalteter Hosts Die Implementierung in großen verteilten Umgebungen wurde optimiert und nimmt nur noch Minuten in Anspruch. Es werden Implementierungen mit mehr als 200 verwalteten Hosts unterstützt. Benutzerdefinierte Eigenschaften für eine verbesserte Assetabfrage Benutzer können angepasste Eigenschaften für Assets erstellen. Angepasste Eigenschaften ermöglichen mehr Abfrageoptionen. formationen... Neue Informationen Weitere In- Neuverteilung und Feedback für Datenknoten Im Implementierungseditor können Sie den Status Ihrer Daten anzeigen, die zur Neuverteilung aus den anderen Appliances in den Datenknoten verschoben werden. Copyright IBM Corp. 202, 204

12 2 QRadar SIEM - Verwaltungshandbuch

13 Kapitel 2. Übersicht über die QRadar-Verwaltung Unterstützte Web-Browser Administratoren verwenden die Registerkarte Verwaltung in IBM Security QRadar SIEM für die Verwaltung von Dashboards, Angriffen, Protokollaktivitäten, Netzaktivitäten, Assets und Berichten. Diese Übersicht enthält allgemeine Informationen darüber, wie Sie auf die Benutzerschnittstelle und die Registerkarte Verwaltung zugreifen und diese verwenden können. Damit die Funktionen in IBM Security QRadar ordnungsgemäß ausgeführt werden können, müssen Sie einen unterstützten Web-Browser verwenden. Beim Zugriff auf das QRadar-System werden Sie zur Eingabe eines Benutzernamens und eines Kennworts aufgefordert. Der Benutzername und das Kennwort müssen vorab vom Administrator konfiguriert werden. In der folgenden Tabelle werden die unterstützten Versionen der Web-Browser aufgelistet. Tabelle. Unterstützte Web-Browser für QRadar-Produkte Web-Browser Unterstützte Version Mozilla Firefox 7.0 Extended Support Release 2-Bit-Version von Microsoft Internet Explorer mit aktiviertem Dokument- und Browsermodus Google Chrome 24.0 Extended Support Release Die am Freigabedatum der Produkte von IBM Security QRadar V7.2.2 aktuelle Version Übersicht über die Registerkarte 'Verwaltung' Die Registerkarte Verwaltung enthält mehrere Registerkarten- und Menüoptionen, mit denen Sie QRadar konfigurieren können. Sie müssen über Administratormanagerberechtigungen verfügen, um auf Verwaltungsfunktionen zugreifen zu können. Wenn Sie auf Verwaltungsfunktionen zugreifen möchten, klicken Sie in der Benutzerschnittstelle auf die Registerkarte Verwaltung. Die Registerkarte Verwaltung enthält auch folgende Menüoptionen: Tabelle 2. Menüoptionen auf der Registerkarte 'Verwaltung' Menüoption Beschreibung Implementierungseditor Öffnet das Fenster Implementierungseditor. Weitere Informationen hierzu finden Sie unter Kapitel, Implementierungseditor, auf Seite 4. Copyright IBM Corp. 202, 204

14 Tabelle 2. Menüoptionen auf der Registerkarte 'Verwaltung' (Forts.) Menüoption Änderungen implementieren Erweitert Beschreibung Implementiert alle Konfigurationsänderungen aus der aktuellen Sitzung in Ihrer Implementierung. Weitere Informationen hierzu finden Sie unter Änderungen implementieren. Das Menü Erweitert stellt die folgenden Optionen bereit: SIM-Modell bereinigen - Setzt das SIM- Modul zurück. Siehe SIM zurücksetzen auf Seite 6. Gesamte Konfiguration implementieren - Implementiert sämtliche Konfigurationsänderungen. Weitere Informationen hierzu finden Sie unter Änderungen implementieren. Änderungen implementieren Sie können Ihre Konfigurationseinstellungen über die Registerkarte Verwaltung aktualisieren. Ihre Änderungen werden in einem Bereitstellungsbereich gespeichert, in dem sie verbleiben, bis Sie die Änderungen manuell implementieren. Informationen zu diesem Vorgang Jedes Mal, wenn Sie auf die Registerkarte Verwaltung zugreifen und ein Fenster auf der Registerkarte Verwaltung schließen, wird oben auf der Registerkarte Verwaltung im Banner die folgende Nachricht angezeigt: Auf nicht implementierte Änderungen wird geprüft. Falls Änderungen gefunden werden, die noch nicht implementiert wurden, wird das Banner mit Informationen zu den nicht implementierten Änderungen aktualisiert. Wenn die Liste der nicht implementierten Änderungen lang ist, steht eine Bildlaufleiste zur Verfügung. Blättern Sie durch die Liste. In der Bannernachricht wird außerdem vorgeschlagen, welche Art von Implementierungsänderung vorgenommen werden soll. Wählen Sie eine der beiden Optionen aus: v v Änderungen implementieren - Klicken Sie auf das Symbol Änderungen implementieren in der Symbolleiste der Registerkarte Verwaltung, um Konfigurationsänderungen aus der aktuellen Sitzung in Ihrer Implementierung zu implementieren. Gesamte Konfiguration implementieren - Wählen Sie Erweitert > Gesamte Konfiguration implementieren im Menü der Registerkarte Verwaltung aus, um alle Konfigurationseinstellungen in Ihrer Implementierung zu implementieren. Daraufhin werden alle implementierten Änderungen in Ihrer gesamten Implementierung angewendet. Wichtig: Wenn Sie auf Gesamte Konfiguration implementieren klicken, startet QRadar SIEM alle Services neu. Daher werden bis zum Abschluss der Implementierung keine Daten erfasst. 4 QRadar SIEM - Verwaltungshandbuch

15 Nachdem Sie Ihre Änderungen implementiert haben, wird im Banner die Liste der nicht implementierten Änderungen gelöscht. Der Bereitstellungsbereich wird erneut auf eventuelle neue Änderungen überprüft, die noch nicht implementiert wurden. Falls keine Änderungen vorhanden sind, wird die folgende Nachricht angezeigt: Es liegen keine zu implementierenden Änderungen vor. Vorgehensweise Benutzerdetails aktualisieren. Klicken Sie auf Details anzeigen. 2. Wählen Sie eine der folgenden Optionen aus: a. Wenn Sie eine Gruppe zur Anzeige aller Elemente erweitern möchten, klicken Sie auf das Pluszeichen (+) neben dem Text. Wenn Sie fertig sind, können Sie auf das Minuszeichen (-) klicken. b. Wenn Sie alle Gruppen erweitern möchten, klicken Sie auf Alles einblenden. Wenn Sie fertig sind, können Sie auf Alles ausblenden klicken. c. Klicken Sie auf Details ausblenden, um die Details wieder in der Ansicht auszublenden.. Führen Sie die vorgeschlagene Aufgabe aus: a. Klicken Sie im Menü der Registerkarte Verwaltung auf Änderungen implementieren. b. Klicken Sie im Menü der Registerkarte Verwaltung auf Erweitert > Gesamte Konfiguration implementieren. Sie können über die Hauptbenutzerschnittstelle auf die Details Ihrer Benutzer mit Verwaltungsaufgaben zugreifen. Vorgehensweise. Klicken Sie auf Vorgaben 2. Optional. Aktualisieren Sie die konfigurierbaren Benutzerdetails: Option Parameter Kennwort Kennwort (Bestätigen) Popup-Benachrichtigungen aktivieren Bezeichnung Beschreibung Geben Sie eine neue -Adresse ein. Geben Sie ein neues Kennwort ein. Geben Sie das neue Kennwort erneut ein. Popup-Systembenachrichtigungen werden in der rechten unteren Ecke der Benutzerschnittstelle angezeigt. Wenn Sie Popup-Benachrichtigungen inaktivieren möchten, wählen Sie dieses Kontrollkästchen ab. Sie finden weitere Informationen zu Popup- Benachrichtigungen im Benutzerhandbuch Ihres Produkts.. Klicken Sie auf Speichern. Kapitel 2. Übersicht über die QRadar-Verwaltung 5

16 SIM zurücksetzen Über die Registerkarte Verwaltung können Sie das SIM-Modul zurücksetzen. Dadurch haben Sie die Möglichkeit, alle Informationen zu Angriffen, Quellen-IP-Adressen und Ziel-IP-Adressen aus der Datenbank und dem Datenträger zu entfernen. Informationen zu diesem Vorgang Diese Option ist hilfreich, nachdem Sie Ihre Implementierung optimiert haben, damit Sie keine weiteren Fehlalarminformationen erhalten. Der Prozess der SIM-Zurücksetzung kann abhängig vom Datenvolumen in Ihrem System mehrere Minuten dauern. Falls Sie versuchen, während des SIM-Zurücksetzungsprozesses zu anderen Bereichen der IBM Security QRadar SIEM-Benutzerschnittstelle zu wechseln, wird eine Fehlernachricht angezeigt. Vorgehensweise. Klicken Sie auf die Registerkarte Verwaltung. 2. Wählen Sie im Menü Erweitert die Option SIM-Modell bereinigen aus.. Lesen Sie die Informationen im Fenster Reset SIM Data Module (SIM-Datenmodell zurücksetzen). 4. Wählen Sie eine der folgenden Optionen aus. Option Schwache Bereinigung Starke Bereinigung Bezeichnung Schließt alle Angriffe in der Datenbank. Wenn Sie die Option Schwache Bereinigung auswählen, können Sie auch das Kontrollkästchen Alle Angriffe inaktivieren auswählen. Löscht alle aktuellen und archivierten SIM- Daten, wozu Angriffe, Quellen-IP-Adressen und Ziel-IP-Adressen gehören. 5. Wenn Sie fortfahren möchten, wählen Sie das Kontrollkästchen Soll das Datenmodell wirklich zurückgesetzt werden? aus. 6. Klicken Sie auf Fortfahren. 7. Wenn der SIM-Zurücksetzungsprozess abgeschlossen ist, klicken Sie auf Schließen. 8. Wenn der SIM-Zurücksetzungsprozess abgeschlossen ist, setzen Sie Ihren Browser zurück. Systeme mit SNMP (Simple Network Management Protocol) überwachen Dieser Abschnitt enthält Informationen zur Überwachung von Geräten über eine SNMP-Abfrage. QRadar SIEM verwendet den Net-SNMP-Agenten, der verschiedene MIBs für die Überwachung der Systemressourcen unterstützt. Diese können von Lösungen des Netzmanagements zur Überwachung von Systemressourcen und für die Alertausgabe abgefragt werden. Weitere Informationen zu Net-SNMP finden Sie in der Net- SNMP-Dokumentation. 6 QRadar SIEM - Verwaltungshandbuch

17 Ansichten mit zusammengefassten Daten verwalten Ein großes Datenzusammenfassungsvolumen kann die Systemleistung beeinträchtigen. Um die Systemleistung zu verbessern, können Sie Ansichten mit zusammengefassten Daten inaktivieren, aktivieren oder löschen. Zeitreihendiagramme, Berichtsdiagramme und Anomalieregeln nutzen Ansichten mit zusammengefassten Daten. Informationen zu diesem Vorgang Durch die Elemente in der Dropdown-Liste Anzeigen werden die angezeigten Daten neu sortiert. Die Ansicht 'Zusammengefasste Daten' ist erforderlich, um Daten für ADE-Regeln, Zeitreihendiagramme und Berichte zu generieren. Inaktivieren oder löschen Sie Ansichten, wenn die maximale Anzahl der Ansichten erreicht In der Spalte Zusammengefasste Daten-ID können duplizierte Ansichten angezeigt werden, da eine zusammengefasste Datenansicht mehrere Suchvorgänge enthalten kann. Vorgehensweise. Klicken Sie auf die Registerkarte Verwaltung. 2. Klicken Sie im Navigationsmenü auf Systemkonfiguration.. Klicken Sie auf das Symbol Zusammengefasste Datenverwaltung. 4. Wählen Sie eine der folgenden Optionen aus, um die Liste der Ansichten mit zusammengefassten Daten zu filtern: v Wählen Sie eine Option in einer der folgenden Listen aus: Ansicht, Datenbank, Anzeigen oder Anzeige. v Geben Sie eine ID für zusammengefasste Daten, einen Berichtsnamen, einen Diagrammnamen oder den Namen einer gespeicherten Suche im Suchfeld ein. 5. Wählen Sie zum Verwalten einer Ansicht mit zusammengefassten Daten zunächst die Ansicht und danach die entsprechende Aktion in der Symbolleiste aus: v Wenn Sie Ansicht inaktivieren oder Ansicht löschen auswählen, werden in einem Fenster Inhaltsabhängigkeiten für die Ansicht mit zusammengefassten Daten angezeigt. Nachdem Sie die Ansicht mit zusammengefassten Daten inaktiviert oder gelöscht haben, verwenden die abhängigen Komponenten keine zusammengefassten Daten mehr. v Wenn Sie eine inaktivierte Ansicht mit zusammengefassten Daten aktivieren, werden die zusammengefassten Daten aus der gelöschten Ansicht wiederhergestellt. Tabelle. Beschreibungen der Ansichtsspalte 'Zusammengefasste Datenverwaltung' Spalte Zusammengefasste Daten-ID Name der gespeicherten Suche Spaltenname Häufigkeit der Suchvorgänge Beschreibung Kennung der zusammengefassten Daten Definierter Name der gespeicherten Suche Spalten-ID Suchergebnisse Kapitel 2. Übersicht über die QRadar-Verwaltung 7

18 Tabelle. Beschreibungen der Ansichtsspalte 'Zusammengefasste Datenverwaltung' (Forts.) Spalte Beschreibung Geschriebene Daten Die Größe der geschriebenen Daten Datenbankname Datenbank, in die die Datei geschrieben wurde Zeitpunkt der letzten Änderung Zeitmarke der letzten Datenänderung Eindeutige Anzahl aktiviert 'True' oder 'False' - Suchergebnisse für die Anzeige eindeutiger Ereignis- und Datenflussergebnisse anstelle der durchschnittlichen Ergebnisse in einem Zeitraum. REST-konforme API Mithilfe der REST-API (Representational State Transfer; Application Programming Interface) können Sie HTTPS-Abfragen durchführen und eine Integration von IBM Security QRadar mit anderen Lösungen ermöglichen. Die Schnittstelle für die API stellt ein Framework bereit, über das Informationen eingegeben, Tests durchgeführt und korrekt formatierte HTTPS-URLs erhalten werden können. Das IBM Security QRadar-System stellt eine REST-API unter derselben IP-Adresse wie die QRadar-Benutzerschnittstelle zur Verfügung. Auf die REST-API kann über jeden Browser zugegriffen werden, der Zugriff auf die QRadar-Konsole hat; Beispiel: Zugriffs- und Benutzerrollenberechtigungen Standardmäßig ist die Administratorbenutzerrolle für den Zugriff auf die REST- APIs berechtigt. Über das Verwaltungstool Benutzerrollen auf der Registerkarte Verwaltung hat ein Administrator die Möglichkeit, Benutzerrollen gezielt Zugriff auf die API-Schnittstellen zu erteilen. REST-API-Schnittstellen Über die API-Benutzerschnittstelle können Administratoren Beschreibungen und die Leistungsmerkmale der QRadar-REST-API anzeigen. Über die interaktiven Felder können Sie mit verschiedenen Werten für GET-, POST- oder DELETE-Befehle experimentieren. Außerdem können Sie das Format der HTTP-Anforderung testen. Tabelle 4. REST-API-Schnittstellen REST-API /api/ariel /api/auth /api/help /api/siem /api/referecedata Beschreibung Zum Abfragen von Datenbanken, Suchläufen, Such-IDs und Suchergebnissen. Zum Abmelden und Inaktivieren der aktuellen Sitzung. Gibt eine Liste der API-Leistungsmerkmale zurück. Zum Abrufen aller Angriffe. Zum Anzeigen und Verwalten von Referenzdatengruppen. 8 QRadar SIEM - Verwaltungshandbuch

19 Tabelle 4. REST-API-Schnittstellen (Forts.) REST-API /api/qvm /api/scanner Beschreibung Zum Abrufen von Assets, Schwachstellen, Netzen, Open Services und Filtern oder zum Erstellen bzw. Aktualisieren von Korrekturtickets. Zum Anzeigen, Erstellen oder Starten eines fernen Scans, dem ein Scanprofil zugeordnet ist. QRadar-API-Forum und Codebeispiele Weitere Informationen (beispielsweise Antworten auf häufig gestellte Fragen) finden Sie im API-Forum ( In diesem Forum findet Sie auch mit Anmerkungen versehene Codebeispiele, mit deren Hilfe Sie sich in einer Testumgebung mit einer Reihe von Funktionen in der REST-API vertraut machen können. Tags für API-Felder Die API-Felder können mit dem Hinweis experimental (wird noch getestet), provisional (vorläufig) oder stable (stabil) versehen werden. Provisional/Experimental (wird noch getestet/vorläufig) Gibt an, dass das API-Feld möglicherweise noch nicht vollständig getestet wurde und eventuell ohne entsprechenden Hinweis geändert oder entfernt werden kann. Stable (stabil) Gibt an, dass das API-Feld vollständig getestet wurde und unterstützt wird. Kapitel 2. Übersicht über die QRadar-Verwaltung 9

20 0 QRadar SIEM - Verwaltungshandbuch

21 Kapitel. Benutzerverwaltung Administratoren konfigurieren und verwalten Benutzerkonten mithilfe der Funktion Benutzerverwaltung auf der Registerkarte Verwaltung in IBM Security QRadar. Bei der Erstkonfiguration von QRadar SIEM müssen Sie für alle Benutzer, die auf QRadar SIEM zugreifen müssen, Benutzerkonten erstellen. Nach der Erstkonfiguration können Sie die Benutzerkonten bearbeiten, um sicherzustellen, dass die Benutzerinformationen aktuell sind. Sie können Benutzerkonten auch je nach Bedarf hinzufügen und löschen. Übersicht über die Benutzerverwaltung Rollenverwaltung Ein Benutzerkonto definiert den Benutzernamen, das Standardkennwort und die E- Mail-Adresse für einen Benutzer. Weisen Sie für jedes neue Benutzerkonto, das Sie erstellen, die folgenden Elemente zu: v v Benutzerrolle - Legt die Berechtigungen fest, die dem Benutzer für den Zugriff auf Funktionen und Informationen in QRadar SIEM erteilt werden. QRadar SIEM enthält zwei Standardbenutzerrollen: 'Administrator' und 'Alle'. Bevor Sie Benutzerkonten hinzufügen, müssen Sie weitere Benutzerkonten erstellen, damit die jeweiligen Berechtigungsanforderungen Ihrer Benutzer erfüllt werden. Sicherheitsprofil - Legt die Netze und Protokollquellen fest, auf die der Benutzer zugreifen darf. QRadar SIEM enthält ein Standardsicherheitsprofil für Benutzer mit Verwaltungsaufgaben. Das Sicherheitsprofil 'Administrator' beinhaltet den Zugriff auf alle Netze und Protokollquellen. Bevor Sie Benutzerkonten hinzufügen, müssen Sie weitere Sicherheitsprofile erstellen, damit die jeweiligen Zugriffsanforderungen Ihrer Benutzer erfüllt werden. Im Fenster Benutzerrollen können Sie Benutzerrollen erstellen und verwalten. Benutzerrolle erstellen Mit dieser Aufgabe erstellen Sie die Benutzerrollen, die für Ihre Implementierung erforderlich sind. Informationen zu diesem Vorgang Ihr System stellt standardmäßig eine Standardbenutzerrolle für Verwaltungsaufgaben zur Verfügung, die den Zugriff auf alle Bereiche von QRadar SIEM ermöglicht. Benutzer, denen eine Benutzerrolle für Verwaltungsaufgaben zugewiesen ist, können ihr eigenes Konto nicht bearbeiten. Diese Einschränkung gilt für die Standardbenutzerrolle 'Administrator'. Sämtliche Änderungen am Konto müssen durch einen anderen Benutzer mit Verwaltungsaufgaben erfolgen. Vorgehensweise. Klicken Sie auf die Registerkarte Verwaltung. 2. Klicken Sie im Navigationsmenü auf Systemkonfiguration > Benutzerverwaltung. Copyright IBM Corp. 202, 204

22 . Klicken Sie auf das Symbol Benutzerrollen. 4. Klicken Sie in der Symbolleiste auf Neu. 5. Konfigurieren Sie die folgenden Parameter: a. Geben Sie im Feld Benutzerrollenname einen eindeutigen Namen für diese Benutzerrolle ein. b. Wählen Sie die Berechtigungen aus, die Sie dieser Benutzerrolle zuweisen möchten. Siehe Zugriff und Berechtigungen für Benutzerrollen auf Seite Wählen Sie im Bereich Dashboards die Dashboards aus, auf die die Benutzerrolle zugreifen soll, und klicken Sie auf Hinzufügen. Anmerkung: a. Ein Dashboard zeigt keine Informationen an, wenn die Benutzerrolle nicht über die Berechtigung zur Anzeige von Dashboarddaten verfügt. b. Wenn ein Benutzer die angezeigten Dashboards ändert, werden die definierten Dashboards für die Benutzerrolle bei der nächsten Anmeldung angezeigt. 7. Klicken Sie auf Speichern. 8. Schließen Sie das Fenster Benutzerrollenverwaltung. 9. Klicken Sie im Menü der Registerkarte Verwaltung auf Änderungen implementieren. Benutzerrolle bearbeiten Sie können eine vorhandene Rolle bearbeiten, um die Berechtigungen zu ändern, die der Rolle zugewiesen werden. Informationen zu diesem Vorgang Sie können die zu bearbeitende Benutzerrolle schnell im Fenster Benutzerrollenverwaltung finden, indem Sie einen Rollennamen im Textfeld Filtertyp eingeben. Dieses Feld befindet sich über dem linken Teilfenster. Vorgehensweise. Klicken Sie auf die Registerkarte Verwaltung. 2. Klicken Sie im Navigationsmenü auf Systemkonfiguration > Benutzerverwaltung.. Klicken Sie auf das Symbol Benutzerrollen. 4. Wählen Sie im linken Teilfenster des Fensters Benutzerrollenverwaltung die Benutzerrolle aus, die Sie bearbeiten möchten. 5. Aktualisieren Sie im rechten Teilfenster die Berechtigungen nach Bedarf. Siehe Zugriff und Berechtigungen für Benutzerrollen auf Seite Ändern Sie nach Bedarf die Optionen für Dashboards für die Benutzerrolle. 7. Klicken Sie auf Speichern. 8. Schließen Sie das Fenster Benutzerrollenverwaltung. 9. Klicken Sie im Menü der Registerkarte Verwaltung auf Änderungen implementieren. Benutzerrolle löschen Wenn eine Benutzerrolle nicht mehr benötigt wird, können Sie die Benutzerrolle löschen. 2 QRadar SIEM - Verwaltungshandbuch

23 Sicherheitsprofile verwalten Informationen zu diesem Vorgang Wenn der zu löschenden Benutzerrolle Benutzerkonten zugewiesen sind, müssen Sie die Benutzerkonten einer anderen Benutzerrolle neu zuweisen. Das System erkennt diese Bedingung automatisch und fordert Sie zur Aktualisierung der Benutzerkonten auf. Im Fenster Benutzerrollenverwaltung finden Sie schnell die Benutzerrolle, die Sie löschen möchten. Geben Sie im Textfeld Filtertyp, das sich über dem linken Teilfenster befindet, einen Rollennamen ein. Vorgehensweise. Klicken Sie auf die Registerkarte Verwaltung. 2. Klicken Sie im Menü Navigation auf Systemkonfiguration > Benutzerverwaltung.. Klicken Sie auf das Symbol Benutzerrollen. 4. Wählen Sie im linken Teilfenster des Fensters Benutzerrollenverwaltung die Rolle aus, die Sie löschen möchten. 5. Klicken Sie in der Symbolleiste auf Löschen. 6. Klicken Sie auf OK. v Wenn dieser Benutzerrolle Benutzerkonten zugewiesen sind, wird das Fenster Users are Assigned to this User Role (Dieser Benutzerrolle sind Benutzerkonten zugewiesen) geöffnet. Fahren Sie mit Schritt 7 fort. v Wenn dieser Rolle keine Benutzerkonten zugewiesen sind, wird die Benutzerrolle erfolgreich gelöscht. Fahren Sie mit Schritt 8 fort. 7. Weisen Sie die aufgelisteten Benutzerkonten einer anderen Benutzerrolle zu: a. Wählen Sie in der Liste mit den zuzuweisenden Benutzerrollen eine Benutzerrolle aus. b. Klicken Sie auf Bestätigen. 8. Schließen Sie das Fenster Benutzerrollenverwaltung. 9. Klicken Sie im Menü der Registerkarte Verwaltung auf Änderungen implementieren. Sicherheitsprofile definieren, auf welche Netze und Protokollquellen ein Benutzer zugreifen kann. Außerdem legen sie die Rangfolge der Berechtigungen fest. Im Fenster Sicherheitsprofilverwaltung können Sie Sicherheitsprofile anzeigen, erstellen, aktualisieren und löschen. Berechtigungsrangfolgen In diesem Abschnitt werden die einzelnen Optionen für die Berechtigungsrangfolge erläutert. Die Berechtigungsrangfolge legt fest, welche Sicherheitsprofilkomponenten berücksichtigt werden, wenn das System Ereignisse auf der Registerkarte Protokollaktivität und Datenflüsse auf der Registerkarte Netzaktivität anzeigt. Beachten Sie unbedingt die Bedeutung der folgenden Einschränkungen: Kapitel. Benutzerverwaltung

24 v v v v Keine Einschränkungen - Bei dieser Option bestehen keinerlei Einschränkungen im Hinblick darauf, welche Ereignisse auf der Registerkarte Protokollaktivität und welche Datenflüsse auf der Registerkarte Netzaktivität angezeigt werden. Nur Netz - Bei dieser Option kann der Benutzer nur Ereignisse und Datenflüsse anzeigen, die mit den in diesem Sicherheitsprofil angegebenen Netzen in Zusammenhang stehen. Nur Protokollquellen - Bei dieser Option kann der Benutzer nur Ereignisse anzeigen, die mit den in diesem Sicherheitsprofil angegebenen Protokollquellen in Zusammenhang stehen. Netze UND Protokollquellen - Bei dieser Option kann der Benutzer nur Ereignisse und Datenflüsse anzeigen, die mit den in diesem Sicherheitsprofil angegebenen Protokollquellen und Netzen in Zusammenhang stehen. Wenn ein Ereignis beispielsweise einer Protokollquelle zugeordnet ist, auf die das Sicherheitsprofil den Zugriff zulässt, das Zielnetz jedoch eingeschränkt ist, wird das Ereignis nicht auf der Registerkarte Protokollaktivität angezeigt. Das Ereignis muss beide Voraussetzungen erfüllen. v Netze ODER Protokollquellen - Bei dieser Option kann der Benutzer nur Ereignisse und Datenflüsse anzeigen, die mit den in diesem Sicherheitsprofil angegebenen Protokollquellen oder Netzen in Zusammenhang stehen. Wenn ein Ereignis beispielsweise einer Protokollquelle zugeordnet ist, auf die das Sicherheitsprofil den Zugriff zulässt, das Zielnetz jedoch eingeschränkt ist, wird das Ereignis auf der Registerkarte Protokollaktivität angezeigt. Das Ereignis muss eine der Voraussetzungen erfüllen. Sicherheitsprofil erstellen Um Benutzerkonten hinzufügen zu können, müssen Sie zuerst Sicherheitsprofile erstellen, damit die jeweiligen Zugriffsanforderungen Ihrer Benutzer erfüllt werden. Informationen zu diesem Vorgang QRadar SIEM enthält ein Standardsicherheitsprofil für Benutzer mit Verwaltungsaufgaben. Das Sicherheitsprofil 'Administrator' beinhaltet den Zugriff auf alle Netze und Protokollquellen. Wenn Sie mehrere Elemente im Fenster Sicherheitsprofilverwaltung auswählen möchten, halten Sie die Steuertaste gedrückt, während Sie die einzelnen Netze oder Netzgruppen auswählen, die Sie hinzufügen möchten. Wenn Sie nach dem Hinzufügen von Protokollquellen oder Netzen vor dem Speichern der Konfiguration eines oder mehrere dieser Elemente entfernen möchten, können Sie das Element auswählen und auf das Symbol Entfernen (<) klicken. Falls Sie alle Elemente entfernen möchten, klicken Sie auf Remove All (Alle entfernen). Vorgehensweise. Klicken Sie auf die Registerkarte Verwaltung. 2. Klicken Sie im Navigationsmenü auf Systemkonfiguration > Benutzerverwaltung.. Klicken Sie auf das Symbol Sicherheitsprofile. 4 QRadar SIEM - Verwaltungshandbuch

25 4. Klicken Sie in der Symbolleiste des Fensters Sicherheitsprofilverwaltung auf Neu. 5. Konfigurieren Sie die folgenden Parameter: a. Geben Sie im Feld Name des Sicherheitsprofils einen eindeutigen Namen für das Sicherheitsprofil ein. Der Name des Sicherheitsprofils muss folgende Voraussetzungen erfüllen: Er muss mindestens drei Zeichen enthalten und die maximale Länge ist auf 0 Zeichen begrenzt. b. Optional Geben Sie eine Beschreibung für das Sicherheitsprofil ein. Die Anzahl der Zeichen darf nicht mehr als 255 betragen. 6. Klicken Sie auf die Registerkarte Berechtigungsrangfolge. 7. Wählen Sie im Teilfenster für die Einstellung der Berechtigungsrangfolge eine Option für die Berechtigungsrangfolge aus. Siehe Berechtigungsrangfolgen auf Seite. 8. Konfigurieren Sie die Netze, die Sie dem Sicherheitsprofil zuweisen möchten: a. Klicken Sie auf die Registerkarte Netze. b. Wählen Sie in der Navigationsstruktur im linken Teilfenster der Registerkarte Netze das Netz aus, auf das dieses Sicherheitsprofil Zugriff erhalten soll. c. Klicken Sie auf das Symbol Hinzufügen (>), um das Netz zum Teilfenster für zugewiesene Netze hinzuzufügen. d. Wiederholen Sie diesen Vorgang für jedes Netz, das Sie hinzufügen möchten. 9. Konfigurieren Sie die Protokollquellen, die Sie dem Sicherheitsprofil zuweisen möchten: a. Klicken Sie auf die Registerkarte Protokollquellen. b. Wählen Sie in der Navigationsstruktur im linken Teilfenster die Protokollquellengruppe oder Protokollquelle aus, auf die dieses Sicherheitsprofil Zugriff erhalten soll. c. Klicken Sie auf das Symbol Hinzufügen (>), um die Protokollquelle zum Teilfenster für zugewiesene Protokollquellen hinzuzufügen. d. Wiederholen Sie diesen Vorgang für jede Protokollquelle, die Sie hinzufügen möchten. 0. Klicken Sie auf Speichern.. Schließen Sie das Fenster Sicherheitsprofilverwaltung. 2. Klicken Sie im Menü der Registerkarte Verwaltung auf Änderungen implementieren. Sicherheitsprofil bearbeiten Sie können ein vorhandenes Sicherheitsprofil bearbeiten, um neue Informationen darüber bereitzustellen, auf welche Netze und Protokollquellen ein Benutzer zugreifen kann, und um die Rangfolge der Berechtigungen zu aktualisieren. Informationen zu diesem Vorgang Sie können das zu bearbeitende Sicherheitsprofil schnell im Fenster Sicherheitsprofilverwaltung finden, indem Sie einen Sicherheitsprofilnamen im Textfeld Filtertyp eingeben. Das Feld befindet sich über dem linken Teilfenster. Vorgehensweise. Klicken Sie auf die Registerkarte Verwaltung. Kapitel. Benutzerverwaltung 5