QRadar Token 权限
为网关创建专用的授权服务。安全配置文件决定可见的日志源与 Offense，用户角色决定可调用的接口。附各接口所需的权限、验证方法和日志源白名单。
网关用一个授权服务 SEC Token 访问 QRadar。Token 的可见范围由两层决定：安全配置文件（Security Profile）限定日志源、网络和域，Ariel 搜索只返回范围内的事件，Offense 列表只含范围内的 Offense；用户角色（User Role）限定可以调用的接口。网关在这两层之上不放宽任何限制。
网关对 QRadar 只读，例外是分析师手动触发的三个 Offense 操作：添加备注、关闭、分配。网关不创建规则、不修改参考数据和配置。
安全配置文件没有覆盖的日志源，Ariel 不返回其事件，也不报权限错误。查询结果为 0 条时，先检查这一层。
创建授权服务
前提条件
- 使用有 Admin 权限的 QRadar 账号登录 Console。
步骤
- 在 Admin > Security Profiles 中新建安全配置文件，例如
rst_copilot。选择网关要查询的日志源或日志源组，以及对应的网络。不需要查询全部数据时，不选择全部。 - 在 Admin > User Roles 中新建用户角色，例如
rst_copilot，授予下文权限表中的权限。 - 在 Admin > Authorized Services 中添加授权服务，选择上面的用户角色和安全配置文件，按安全策略设置过期时间，复制生成的 Token。
- 在 Admin 中执行 Deploy Changes。
- 把 Token 填入
.env的QRADAR_SEC_TOKEN，或在系统设置的 QRadar Console 连接 中填写，选择 测试连接，通过后保存。
不要复用管理员的 Token。Token 过期后，readyz 返回 503，界面顶部提示尚未连接到 QRadar，选择 去配置 重新填写。
验证权限
在系统设置的 QRadar Console 连接 中选择 测试连接。网关先调用 /api/system/about，失败时整体报错并给出原因。成功后，再对 Ariel、Offenses、规则、日志源四类接口各读取一条，逐项显示是否可用。不可用的一项就是用户角色缺少的权限。
也可以在网关主机上执行 curl -k https://<域名>/readyz，qradar 为 ok 表示 Token 有效。
网关调用的接口
权限名称以所用 Console 版本的 User Roles 页为准。
| 接口 | 用途 | 所需权限 |
|---|---|---|
/api/system/about | readyz、测试连接、Console 版本 | 调用失败时 readyz 返回 503，测试连接失败 |
/api/ariel/databases、/api/ariel/searches | 智能查询、调查取证、Offense 事件、报告统计 | Log Activity（事件）、Network Activity（网络流） |
GET /api/siem/offenses、/api/siem/offense_types、/api/siem/offense_closing_reasons | Offense 同步、详情、关闭原因 | Offenses |
POST /api/siem/offenses/{id}、POST /api/siem/offenses/{id}/notes | 关闭、分配、添加备注 | Offenses 中的关闭、分配和备注权限。不授予时这三个操作失败，其他功能不受影响 |
/api/analytics/rules、/api/analytics/building_blocks | 规则副驾对照现网规则，Offense 详情中的规则名 | 查看自定义规则 |
/api/config/event_sources/log_source_management/* | 日志源目录、白名单、日志源健康 | 日志源管理只读 |
/api/system/servers、/api/config/deployment/hosts、/api/config/deployment/license_pool_allocations | 平台健康中的主机与 EPS 许可检查 | Admin 类只读。缺少时对应体检项显示无法检查 |
日志源白名单
安全配置文件决定网关能读什么，日志源白名单决定网关会读什么。白名单在系统设置的 日志源白名单 或 .env 的 RST_LOG_SOURCE_WHITELIST 中设置，为空时不限制。两层都设置时，安全配置文件只授予需要的日志源，白名单再缩小一层。
设置白名单后，模型只看到白名单内的日志源目录。每次查询事件的 Ariel 搜索前，网关按白名单检查 AQL：
- 引用白名单之外的日志源时拒绝执行，返回
log_source_not_whitelisted。 - 其余语句一律追加
LOGSOURCENAME(logsourceid) IN (...)条件。 - 白名单展开后超过 50 个日志源、语句带子查询，或日志源目录读取失败时拒绝执行。
查询网络流（FROM flows）的语句不受白名单限制，只受安全配置文件限制。