LogRhythm Übersicht

Die Zuordnungsflexibilität dieser Integration bietet einem Analysten Einblick in Ereignisse und zugehörige Alarmdaten, die in integriert werden können Now PlatformSecurity Incidents für weitere Untersuchungen und Korrekturen.

Alarmprofile werden in erstellt Now PlatformInstanz, um den Unterschied anzupassen LogRhythmAlarmfelder werden auf angezeigt Now PlatformSecurity Incident. Eine Standardzuordnung von Alarmfeldern wird bereitgestellt, die bearbeitet werden kann, um kundenspezifische Anforderungen zu erfüllen.

Die folgende Abbildung ist ein Beispiel für eine Kundenumgebung. Wenn ein Ereignis die Erstellung eines Security Incidents in auslöst Now Platform®Instanz wird eine Anforderung von gesendet Now Platform®Instanz zum Abrufen von Alarmen aus LogRhythmClient-Konsole entweder über einen MID-Server oder sogar ohne ihn.

Der REST-API-Schlüssel wird von verwendet Now Platform®Dient zur Authentifizierung bei LogRhythmClient-Konsole. Diese Verbindung ermöglicht Ihren Now PlatformInstanz, die einzeln abgerufen werden soll LogRhythmAlarme basierend auf konfigurierten Profilen.

Die REST-API wird verwendet, um Nachrichtendetails zu erfassen, auf die die REST-API nicht zugegriffen hat.

Abbildung : 1. LogRhythm-Integration

Schlüsselfunktionen

Diese Integration umfasst die folgenden wichtigen Funktionen:

• Flexibilität, mehrere Alarmprofile für verschiedene Alarmtypen zu erstellen, z. B. Phishing Und Malware .
• Drag-and-Drop-Zuordnung von LogRhythmZuzuordnende Alarmfeldwerte SIRSecurity Incident-Felder.
• Eine Vorschau von SIRSecurity Incident-Layout basierend auf LogRhythmBeispielalarme.
• Erfasst historische Alarme sowie laufende zukünftige Alarme in konfigurierbaren Intervallen.
• Automatisiert LogRhythmAlarmabschluss am SIRIncident-Abschluss. Eine URL zu SIRIncident sowie eine Incident-ID werden zur einfachen Referenz bereitgestellt.

Unterstützte Releases von Now Platform

Diese Integration ist mit den Releases von Quebec oder höher kompatibel Now Platform®.

Unterstützte Versionen von LogRhythm

Diese Integration ist kompatibel mit LogRhythm7,8 oder höher. Die früheren Versionen werden aufgrund von API-Einschränkungen nicht unterstützt.

Hinweis:

Die folgenden Themen sind nummeriert. Um eine reibungslose Installation zu gewährleisten und die erwarteten Ergebnisse zu verifizieren, befolgen Sie die Themen in der Reihenfolge, in der sie angezeigt werden.

1. Richten Sie die REST-API für ein LogRhythm
   Sie verwenden LogRhythmREST-API-Schlüssel zum Sammeln zusätzlicher Ereignisdetails für einzelne Alarmfelder. Der API-Schlüssel stellt Details bereit, die mit nicht verfügbar sind LogRhythmREST-API.
2. Installieren Sie das Plugin, und konfigurieren Sie es LogRhythm
   Bevor Sie die Integration auf Ihrer Instanz ausführen, führen Sie die Installations- und Konfigurationsschritte aus, damit die Anwendung ordnungsgemäß in integriert wird Security OperationsAuf Now Platform®.
3. Erstellen eines Alarmprofils für LogRhythm
   In einem Alarmprofil, das Sie erstellen und benennen, geben Sie an, welche Alarme Sie aus abrufen möchten LogRhythmClient-Konsole. Sie definieren auch, wie sie Feldern in zugeordnet werden Now PlatformSecurity Incident.
4. Zusätzliche Konfigurationen für LogRhythmIntegration
   Verwenden Sie LogRhythmIntegrationseinstellungen zum Ändern der voreingestellten System- und Fehlerbehebungseigenschaften gemäß Ihren Anforderungen.
5. Fehlerbehebung bei der LogRhythm-Integration
   Beheben Sie Konnektivitäts- und Alarmerfassungsprobleme.