LogRhythm Visão geral

A flexibilidade de mapeamento desta integração fornece a um analista visibilidade para eventos e dados de alarme relacionados que podem ser integrados em Now Platform incidentes de segurança para investigação e correção adicionais.

Os perfis de alarme são criados em sua instância Now Platform para personalizar como diferentes LogRhythm campos de alarme são exibidos em um incidente de segurança Now Platform. É fornecido um mapeamento padrão de campos de alarme, que pode ser editado para atender às necessidades específicas do cliente.

A figura a seguir é um exemplo de um ambiente do cliente. Quando um evento aciona a criação de um incidente de segurança na instância Now Platform®, uma solicitação é enviada da sua instância Now Platform® para extrair alarmes do console do cliente LogRhythm por meio de um MID Server ou mesmo sem ele.

A chave de REST API é usada pelo Now Platform® para autenticar com o LogRhythm Console do cliente. Esta conexão permite que sua instância Now Platform extraia alarmes LogRhythm individuais com base em perfis configurados.

A REST API é usada para coletar detalhes da mensagem não acessados pela REST API.

Figura 1. Integração com LogRhythm

Principais recursos

Esta integração inclui os seguintes recursos principais:

• Flexibilidade para criar vários perfis de alarme para diferentes tipos de alarme, como phishing e malware.
• Mapeamento de arrastar e soltar de valores de campo de alarme LogRhythm ] para campos de incidentes de segurança SIR associados.
• Uma visualização do layout de incidente de segurança SIR com base em alarmes de amostra LogRhythm.
• Ingerir alarmes históricos, bem como alarmes futuros contínuos em intervalos configuráveis.
• Fechamento de alarme LogRhythm automatizado após fechamento de SIR incidente. Um URL para o incidente SIR, bem como um ID de incidente, são fornecidos para facilitar a referência.

Versões compatíveis do Now Platform

Esta integração é compatível com o Quebec ou versões posteriores do Now Platform®.

Versões compatíveis do LogRhythm

Esta integração é compatível com LogRhythm 7.8 ou posterior. As versões anteriores não são compatíveis devido a limitações de API.

Nota:

Os tópicos a seguir estão numerados. Para uma instalação sem problemas e para ajudá-lo a verificar os resultados esperados, siga os tópicos na ordem em que são apresentados.

1. Configurar a REST API para LogRhythm
   Você usa a chave de REST API LogRhythm para coletar detalhes adicionais do evento para campos de alarme individuais. A chave de API fornece detalhes que não estão disponíveis usando a LogRhythm REST API.
2. Instalar o plug-in e configurar LogRhythm
   Antes de executar a integração em sua instância, conclua as etapas de instalação e configuração para que a aplicação se integre corretamente com Operações de segurança no Now Platform®.
3. Como criar um perfil de alarme para LogRhythm
   Em um perfil de alarme que você cria e nomeia, você especifica quais alarmes deseja extrair do LogRhythm Console do cliente. Você também define como eles são mapeados para campos em um Now Platform incidente de segurança.
4. Configurações adicionais para a integração LogRhythm
   Use as configurações de integração LogRhythm para modificar o sistema predefinido e as propriedades de solução de problemas de acordo com seus requisitos.
5. Solução de problemas de integração do LogRhythm
   Solucionar problemas de conectividade e ingestão de alarmes.