ADVA Fiber Service Platform-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Hinweis: Dieses Feature unterliegt den Bedingungen des Pre-GA-Angebots in den dienstspezifischen Nutzungsbedingungen für Google Security Operations. Pre-GA-Features werden eventuell nur eingeschränkt unterstützt und Änderungen an diesen Features sind möglicherweise nicht mit anderen Pre-GA-Versionen kompatibel. Weitere Informationen finden Sie in den Richtlinien für den technischen Support von Google SecOps und den dienstspezifischen Nutzungsbedingungen für Google SecOps.

In diesem Dokument wird beschrieben, wie Sie ADVA Fiber Service Platform-Logs (ADVA FSP) mit Bindplane in Google Security Operations aufnehmen. Der Parser extrahiert Felder aus den Syslog-Nachrichten des Switches und Routers und wandelt sie in Schlüssel/Wert-Paare um. Anschließend werden diese extrahierten Felder und ihre Werte den entsprechenden Feldern im Chronicle UDM-Schema zugeordnet, um die Daten für die Sicherheitsanalyse anzureichern.

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Ein Windows 2012 SP2- oder höherer oder Linux-Host mit systemd
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die ADVA FSP-Geräteverwaltungskonsole

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.
3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Zusätzliche Installationsressourcen

• Weitere Installationsoptionen finden Sie in diesem Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

1. Konfigurationsdatei aufrufen:

   1. Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
   2. Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yaml. Im Folgenden finden Sie zwei funktionierende Empfängeroptionen. Wählen Sie die Option aus, die der Art und Weise entspricht, wie Ihr Gerät Protokolle sendet:

   • Option A: UDP-Log-Empfänger (einfaches UDP)

   receivers:
     udplog:
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: <CUSTOMER_ID>
       endpoint: malachiteingestion-pa.googleapis.com
       log_type: 'ADVA_FSP'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/adva-fsp:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Option B – Syslog-Empfänger (empfohlen für strikte Syslog-Formatierung)

   receivers:
     syslog:
       tcp:
         listen_address: "0.0.0.0:514"
       protocol: rfc5424   # or rfc3164 if your device uses BSD syslog
   
   exporters:
     chronicle/chronicle_w_labels:
       compression: gzip
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       customer_id: <CUSTOMER_ID>
       endpoint: malachiteingestion-pa.googleapis.com
       log_type: 'ADVA_FSP'
       raw_log_field: body
       ingestion_labels:
         source: 'adva-fsp'
         env: 'production'
   
   service:
     pipelines:
       logs/adva-fsp:
         receivers:
           - syslog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
   • Ersetzen Sie <CUSTOMER_ID> durch die tatsächliche Kunden-ID.
   • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Get Google SecOps ingestion authentication file (Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen) gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart bindplane-agent
  

• Um den Bindplane-Agent unter Windows neu zu starten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

  Syslog-Weiterleitung auf ADVA FSP konfigurieren

1. Melden Sie sich in der ADVA FSP Management Console an.
2. Gehen Sie zu Knoten > Allgemein > Steuerelemente.
3. Klicken Sie im Bereich Empfänger von Remote-Ereignissen (SysLog) auf Hinzufügen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • IPv4-/v6-Adresse: Geben Sie die IP-Adresse des Bindplane-Agents ein.
   • Port: Geben Sie die Portnummer des Bindplane-Agents ein, z. B. 514.
   • Protokoll: Wählen Sie je nach Ihrer tatsächlichen Bindplane-Agent-Konfiguration UDP oder TCP aus.
   • SMS-Erweiterung: Optional: Klicken Sie auf Nutzerlabel hinzufügen, um zusätzliche Kennzeichnungen in Nachrichten einzufügen.
5. Klicken Sie auf Speichern, um die Konfiguration zu aktivieren.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
ACCESSORDER	additional.fields.value.string_value	Der Wert wird aus dem Feld ACCESSORDER im Rohlog übernommen.
ADDRESS	principal.ip	Der Wert wird aus dem Feld „ADDRESS“ im Rohlog übernommen und als IP-Adresse geparst.
ADMINSTATE	additional.fields.value.string_value	Der Wert wird aus dem Feld ADMINSTATE im Rohlog übernommen.
AISCLIENTMDLEVEL	additional.fields.value.string_value	Der Wert wird aus dem Feld „AISCLIENTMDLEVEL“ im Rohlog übernommen.
AISGENENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „AISGENENABLED“ im Rohlog übernommen.
AISPRIORITY	additional.fields.value.string_value	Der Wert wird aus dem Feld „AISPRIORITY“ im Rohlog übernommen.
AISTXPERIOD	additional.fields.value.string_value	Der Wert wird aus dem Feld „AISTXPERIOD“ im Rohlog übernommen.
AISTRIGGERTYPES	additional.fields.value.string_value	Der Wert wird aus dem Feld „AISTRIGGERTYPES“ im Rohlog übernommen.
BUFFERSIZE	additional.fields.value.string_value	Der Wert wird aus dem Feld „BUFFERSIZE“ im Rohlog übernommen.
CCIENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „CCIENABLED“ im Rohlog übernommen.
CCMINTERFACESTATUSTLVCONTROL	additional.fields.value.string_value	Der Wert wird aus dem Feld „CCMINTERFACESTATUSTLVCONTROL“ im Rohlog übernommen.
CCMLTMPRIORITY	additional.fields.value.string_value	Der Wert wird aus dem Feld „CCMLTMPRIORITY“ im Rohlog übernommen.
CFMTAGETHERTYPE	additional.fields.value.string_value	Der Wert wird aus dem Feld „CFMTAGETHERTYPE“ im Rohlog übernommen.
CIR	additional.fields.value.string_value	Der Wert wird aus dem CIR-Feld im Rohlog übernommen.
COS	additional.fields.value.string_value	Der Wert wird aus dem COS-Feld im Rohlog übernommen.
CT	metadata.description	Der Wert wird aus dem Feld „CT“ im Rohlog übernommen.
DESTBMAC	target.mac	Der Wert wird aus dem Feld DESTBMAC im Rohlog übernommen und als MAC-Adresse geparst.
DHCPCIDENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPCIDENABLED“ im Rohlog übernommen.
DHCPENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPENABLED“ im Rohlog übernommen.
DHCPHOSTNAME	network.dhcp.client_hostname	Der Wert wird aus dem Feld „DHCPHOSTNAME“ im Rohlog übernommen.
DHCPHOSTNAMEENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPHOSTNAMEENABLED“ im Rohlog übernommen.
DHCPHOSTNAMETYPE	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPHOSTNAMETYPE“ im Rohlog übernommen.
DHCPLOGSERVERENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPLOGSERVERENABLED“ im Rohlog übernommen.
DHCPNTPSERVERENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPNTPSERVERENABLED“ im Rohlog übernommen.
DHCPV6CIDENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPV6CIDENABLED“ im Rohlog übernommen.
DHCPV6ENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPV6ENABLED“ im Rohlog übernommen.
DHCPV6ROLE	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPV6ROLE“ im Rohlog übernommen.
DHCPVENDORINFOTYPE	additional.fields.value.string_value	Der Wert wird aus dem Feld „DHCPVENDORINFOTYPE“ im Rohlog übernommen.
DIR	additional.fields.value.string_value	Der Wert wird aus dem Feld „DIR“ im Rohlog übernommen.
RICHTUNG	network.direction	Der Wert wird auf „OUTBOUND“ festgelegt, wenn das Feld „DIRECTION“ im Rohlog „UP“ (Groß-/Kleinschreibung wird nicht beachtet) lautet, auf „INBOUND“, wenn es „DOWN“ lautet, und andernfalls leer gelassen.
ENCAPSULATIONTYPE	additional.fields.value.string_value	Der Wert wird aus dem Feld ENCAPSULATIONTYPE im Rohlog übernommen.
GUARANTEEDA2NBW	additional.fields.value.string_value	Der Wert wird aus dem Feld GUARANTEEDA2NBW im Rohlog übernommen.
HCOSMGMTENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „HCOSMGMTENABLED“ im Rohlog übernommen.
GANZZAHL	additional.fields.value.string_value	Der Wert wird aus dem INT-Feld im Rohlog übernommen.
IPMODE	additional.fields.value.string_value	Der Wert wird aus dem Feld „IPMODE“ im Rohlog übernommen.
IPV6ADDR	principal.ip	Der Wert wird aus dem Feld „IPV6ADDR“ im Rohlog übernommen und als IP-Adresse geparst.
IPV6ADDRPREFIXLENGTH	additional.fields.value.string_value	Der Wert wird aus dem Feld „IPV6ADDRPREFIXLENGTH“ im Rohlog übernommen.
IPV6MTU	additional.fields.value.string_value	Der Wert wird aus dem Feld „IPV6MTU“ im Rohlog übernommen.
ITAG	additional.fields.value.string_value	Der Wert wird aus dem Feld „ITAG“ im Rohlog übernommen.
ITAGENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „ITAGENABLED“ im Rohlog übernommen.
LBMTXDESTTYPE	additional.fields.value.string_value	Der Wert stammt aus dem Feld „LBMTXDESTTYPE“ im Rohlog.
LBMTXNUMMSGS	additional.fields.value.string_value	Der Wert wird aus dem Feld „LBMTXNUMMSGS“ im Rohlog übernommen.
LBMTXVLANDROPENABLE	additional.fields.value.string_value	Der Wert wird aus dem Feld „LBMTXVLANDROPENABLE“ im Rohlog übernommen.
LBMTXVLANPRIORITY	additional.fields.value.string_value	Der Wert wird aus dem Feld „LBMTXVLANPRIORITY“ im Rohlog übernommen.
LLRESPONDERENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „LLRESPONDERENABLED“ im Rohlog übernommen.
LLVIDLIST	additional.fields.value.string_value	Der Wert wird aus dem Feld „LLVIDLIST“ im Rohlog übernommen.
LMDUALENDEDCOUNTALLPRIOS	additional.fields.value.string_value	Der Wert wird aus dem Feld „LMDUALENDEDCOUNTALLPRIOS“ im Rohlog übernommen.
LMINPROFILEONLY	additional.fields.value.string_value	Der Wert wird aus dem Feld „LMINPROFILEONLY“ im Rohlog übernommen.
LMRXCOUNTALLPRIOS	additional.fields.value.string_value	Der Wert wird aus dem Feld „LMRXCOUNTALLPRIOS“ im Rohlog übernommen.
LMTXCOUNTALLPRIOS	additional.fields.value.string_value	Der Wert wird dem Feld „LMTXCOUNTALLPRIOS“ im Rohlog entnommen.
LOC	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOC“ im Rohlog übernommen.
LOCN	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOCN“ im Rohlog übernommen.
LOGINTIMEOUT	additional.fields.value.string_value	Der Wert wird aus dem Feld LOGINTIMEOUT im Rohlog übernommen.
LOOPBACKBLOCKINGENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOOPBACKBLOCKINGENABLED“ im Rohlogbuch übernommen.
LOOPBACKCONFIG	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOOPBACKCONFIG“ im Rohlog übernommen.
LOOPBACKDESTMAC	target.mac	Der Wert wird aus dem Feld „LOOPBACKDESTMAC“ im Rohlog entnommen und als MAC-Adresse geparst.
LOOPBACKDESTMACCONTROL	additional.fields.value.string_value	Der Wert wird dem Feld LOOPBACKDESTMACCONTROL im Rohlog entnommen.
LOOPBACKINNERVLAN1	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKINNERVLAN1 im Rohlog übernommen.
LOOPBACKINNERVLAN1ENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKINNERVLAN1ENABLED im Rohlog übernommen.
LOOPBACKINNERVLAN2	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKINNERVLAN2 im Rohlog übernommen.
LOOPBACKINNERVLAN2ENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKINNERVLAN2ENABLED im Rohlog übernommen.
LOOPBACKINNERVLAN3	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOOPBACKINNERVLAN3“ im Rohlog übernommen.
LOOPBACKINNERVLAN3ENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKINNERVLAN3ENABLED im Rohlog übernommen.
LOOPBACKOUTERITAG1	additional.fields.value.string_value	Der Wert wird dem Feld „LOOPBACKOUTERITAG1“ im Rohlog entnommen.
LOOPBACKOUTERITAG1ENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOOPBACKOUTERITAG1ENABLED“ im Rohlog übernommen.
LOOPBACKOUTERITAG2	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKOUTERITAG2 im Rohlog entnommen.
LOOPBACKOUTERITAG2ENABLED	additional.fields.value.string_value	Der Wert wird dem Feld „LOOPBACKOUTERITAG2ENABLED“ im Rohlog entnommen.
LOOPBACKOUTERITAG3	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKOUTERITAG3 im Rohlog entnommen.
LOOPBACKOUTERITAG3ENABLED	additional.fields.value.string_value	Der Wert wird dem Feld „LOOPBACKOUTERITAG3ENABLED“ im Rohlog entnommen.
LOOPBACKOUTERVLAN1	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKOUTERVLAN1 im Rohlog entnommen.
LOOPBACKOUTERVLAN1ENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKOUTERVLAN1ENABLED im Rohlog übernommen.
LOOPBACKOUTERVLAN2	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKOUTERVLAN2 im Rohlog übernommen.
LOOPBACKOUTERVLAN2ENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld LOOPBACKOUTERVLAN2ENABLED im Rohlog übernommen.
LOOPBACKOUTERVLAN3	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOOPBACKOUTERVLAN3“ im Rohlog entnommen.
LOOPBACKOUTERVLAN3ENABLED	additional.fields.value.string_value	Der Wert wird dem Feld LOOPBACKOUTERVLAN3ENABLED im Rohlog entnommen.
LOOPBACKSOURCEMAC	principal.mac	Der Wert wird aus dem Feld LOOPBACKSOURCEMAC im Rohlog übernommen und als MAC-Adresse geparst.
LOOPBACKSWAPSADA	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOOPBACKSWAPSADA“ im Rohlog übernommen.
LOOPBACKTIMER	additional.fields.value.string_value	Der Wert wird aus dem Feld „LOOPBACKTIMER“ im Rohlog entnommen.
LOWESTPRIODEFECT	additional.fields.value.string_value	Der Wert wird aus dem Feld LOWESTPRIODEFECT im Rohlog übernommen.
LTMTXDESTTYPE	additional.fields.value.string_value	Der Wert stammt aus dem Feld „LTMTXDESTTYPE“ im Rohlog.
LTMTXEGRESSID	metadata.product_log_id	Der Wert wird aus dem Feld „LTMTXEGRESSID“ im Rohlog übernommen.
LTMTXFLAGS	additional.fields.value.string_value	Der Wert wird aus dem Feld „LTMTXFLAGS“ im Rohlog übernommen.
LTMTXTTL	additional.fields.value.string_value	Der Wert wird aus dem Feld „LTMTXTTL“ im Rohlog übernommen.
MT	additional.fields.value.string_value	Der Wert wird aus dem Feld „MT“ im Rohlog übernommen.
MAXIMUMA2NBW	additional.fields.value.string_value	Der Wert wird aus dem Feld MAXIMUMA2NBW im Rohlog übernommen.
MVAL	additional.fields.value.string_value	Der Wert wird aus dem MVAL-Feld im Rohlog übernommen.
NAME	additional.fields.value.string_value	Der Wert wird aus dem Feld „NAME“ im Rohlog übernommen.
NC	additional.fields.value.string_value	Der Wert wird aus dem Feld „NC“ im Rohlog übernommen.
PORTEID	additional.fields.value.string_value	Der Wert wird aus dem Feld „PORTEID“ im Rohlog übernommen.
PORTLLENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „PORTLLENABLED“ im Rohlog übernommen.
PRIMARYSERVER	target.ip	Der Wert wird aus dem Feld PRIMARYSERVER im Rohlog übernommen und als IP-Adresse geparst.
PRIMARYVID	additional.fields.value.string_value	Der Wert wird aus dem Feld „PRIMARYVID“ im Rohlog übernommen.
QUEUEPROFILEID	additional.fields.value.string_value	Der Wert wird aus dem Feld „QUEUEPROFILEID“ im Rohlog übernommen.
RXSHAPEREID	additional.fields.value.string_value	Der Wert wird aus dem Feld „RXSHAPEREID“ im Rohlog übernommen.
SATRESPONDENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „SATRESPONDENABLED“ im Rohlog übernommen.
SE	additional.fields.value.string_value	Der Wert wird aus dem Feld „SE“ im Rohlog übernommen.
SHAREDVIM	additional.fields.value.string_value	Der Wert wird aus dem Feld SHAREDVIM im Rohlog übernommen.
SVLANENABLED	additional.fields.value.string_value	Der Wert wird aus dem Feld „SVLANENABLED“ im Rohlog übernommen.
SVLANID	additional.fields.value.string_value	Der Wert wird aus dem Feld „SVLANID“ im Rohlog übernommen.
SYSLOCATION	principal.location.country_or_region	Der Wert wird aus dem Feld „SYSLOCATION“ im Rohlog übernommen.
THVAL	additional.fields.value.string_value	Der Wert wird aus dem Feld „THVAL“ im Rohlog übernommen.
TYP	additional.fields.value.string_value	Der Wert wird aus dem Feld „TYPE“ im Rohlog übernommen.
USERACCESSTYPE	additional.fields.value.string_value	Der Wert wird aus dem Feld USERACCESSTYPE im Rohlog übernommen.
USERAUTHKEY	additional.fields.value.string_value	Der Wert wird aus dem Feld USERAUTHKEY im Rohlog übernommen.
USERAUTHKEYLOCAL	additional.fields.value.string_value	Der Wert wird aus dem Feld USERAUTHKEYLOCAL im Rohlog übernommen.
USERAUTHPROTOCOL	additional.fields.value.string_value	Der Wert wird aus dem Feld USERAUTHPROTOCOL im Rohlog übernommen.
USERENGINEID	additional.fields.value.string_value	Der Wert wird aus dem Feld USERENGINEID im Rohlog übernommen.
USERKEYSLOCAL	additional.fields.value.string_value	Der Wert wird aus dem Feld USERKEYSLOCAL im Rohlog übernommen.
NUTZERNAME	principal.user.userid	Der Wert wird aus dem Feld „USERNAME“ im Rohlog übernommen.
USERPRIVKEY	additional.fields.value.string_value	Der Wert wird aus dem Feld USERPRIVKEY im Rohlog übernommen.
USERPRIVKEYLOCAL	additional.fields.value.string_value	Der Wert wird aus dem Feld USERPRIVKEYLOCAL im Rohlog übernommen.
USERPRIVPROTOCOL	additional.fields.value.string_value	Der Wert wird aus dem Feld USERPRIVPROTOCOL im Rohlog übernommen.
USERSECURITYLEVEL	additional.fields.value.string_value	Der Wert wird aus dem Feld USERSECURITYLEVEL im Rohlog übernommen.
USERSECURITYNAME	principal.user.user_display_name	Der Wert wird aus dem Feld USERSECURITYNAME im Rohlog übernommen.
Anwendung	principal.application	Der Wert wird aus dem Anwendungsfeld übernommen, das vom Grok-Parser extrahiert wurde.
Beschreibung	security_result.description	Der Wert wird aus dem Beschreibungsfeld übernommen, das vom Grok-Parser extrahiert wurde.
	metadata.description	Der Wert wird auf „Backup NTP Server Failed“ gesetzt, wenn das Feld „CT“ im Rohlog „Backup NTP Server Failed“ enthält.
	metadata.event_timestamp.seconds	Der Wert wird aus dem Zeitstempelfeld übernommen, das vom Grok-Parser extrahiert und in Epochensekunden umgewandelt wurde.
	metadata.event_type	Der Wert wird basierend auf der folgenden Logik festgelegt:  – NETWORK_DHCP, wenn network_dhcp_present „true“ ist und entweder principal_present oder target_present „true“ ist.  – NETWORK_CONNECTION, wenn target_present und principal_present beide „true“ sind.  – USER_RESOURCE_ACCESS, wenn „user_present“ auf „true“ gesetzt ist.  – STATUS_UPDATE, wenn „principal_present“ auf „true“ gesetzt ist.  – Andernfalls GENERIC_EVENT.
	metadata.product_log_id	Der Wert wird aus dem Feld „LTMTXEGRESSID“ im Rohlog übernommen.
	metadata.product_name	Der Wert wird auf „ADVA_FSP“ festgelegt.
	metadata.vendor_name	Der Wert wird auf „ADVA_FSP“ festgelegt.
	network.application_protocol	Der Wert wird auf „DHCP“ gesetzt, wenn „network_dhcp_present“ „true“ ist und entweder „principal_present“ oder „target_present“ „true“ ist.
	principal.hostname	Der Wert wird aus dem Feld „principal_hostname“ übernommen, das vom Grok-Parser extrahiert wurde. Unterstriche werden entfernt.
	principal.ip	Der Wert wird aus dem Feld IPADDR im Rohlog übernommen und als IP-Adresse geparst.
	timestamp.seconds	Der Wert wird aus dem Zeitstempelfeld übernommen, das vom Grok-Parser extrahiert und in Epochensekunden umgewandelt wurde.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten