BeyondTrust BeyondInsight-Logs erfassen

Parserversion:7.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie BeyondTrust BeyondInsight-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

BeyondTrust BeyondInsight ist eine Plattform zur Verwaltung privilegierter Zugriffe, die Syslog-Meldungen für Sicherheitsereignisse, Authentifizierung und administrative Aktivitäten generiert. Der Parser normalisiert Felder und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und der BeyondTrust BeyondInsight-Instanz
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf eine Instanz von BeyondTrust BeyondInsight

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Authentifizierungsdatei für die Aufnahme herunterladen

4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

   Hinweis :Diese JSON-Datei enthält Anmeldedaten für die Authentifizierung des Bindplane-Agents bei Google SecOps.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

   Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/beyondtrust_beyondinsight:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: BEYONDTRUST_BEYONDINSIGHT
          raw_log_field: body
  
  service:
      pipelines:
          logs/beyondtrust_beyondinsight_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/beyondtrust_beyondinsight
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
    • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
  • endpoint: Regionale Endpunkt-URL:
    • USA: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Logs auf Fehler prüfen:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Logs auf Fehler prüfen:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Ereignisweiterleitung in BeyondTrust BeyondInsight konfigurieren

1. Melden Sie sich in der BeyondTrust-Web-UI an.
2. Gehen Sie zu Appliance > Sicherheit > Appliance-Verwaltung.
3. Gehen Sie zum Abschnitt Syslog.
4. Klicken Sie auf Neuen Server hinzufügen.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hostname: Geben Sie die IP-Adresse des Bindplane-Agents ein.
   • Format: Wählen Sie RFC 5424 aus.
   • Port: Der Standardwert ist UDP:514.
6. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
AgentDesc_label	additional.fields	Zusammengeführt
AgentID_label	additional.fields	Zusammengeführt
AgentVer_label	additional.fields	Zusammengeführt
Approver_label	additional.fields	Zusammengeführt
AuditID_label	additional.fields	Zusammengeführt
Base_address_label	additional.fields	Zusammengeführt
Category_label	additional.fields	Zusammengeführt
CertIssuer_label	additional.fields	Zusammengeführt
CertSerial_label	additional.fields	Zusammengeführt
Entry_address_label	additional.fields	Zusammengeführt
EventDesc_label	additional.fields	Zusammengeführt
EventName_label	additional.fields	Zusammengeführt
EventSubject_label	additional.fields	Zusammengeführt
Failed_label	additional.fields	Zusammengeführt
Image_size_label	additional.fields	Zusammengeführt
LogID_label	additional.fields	Zusammengeführt
LogTime_label	additional.fields	Zusammengeführt
ObjectID_label	additional.fields	Zusammengeführt
ObjectTypeID_label	additional.fields	Zusammengeführt
ObjectType_label	additional.fields	Zusammengeführt
Operation_label	additional.fields	Zusammengeführt
Reason_label	additional.fields	Zusammengeführt
RefType_label	additional.fields	Zusammengeführt
ReleaseRequestId_label	additional.fields	Zusammengeführt
RoleUsed_label	additional.fields	Zusammengeführt
Server_date_label	additional.fields	Zusammengeführt
Signer_label	additional.fields	Zusammengeführt
Start_time_label	additional.fields	Zusammengeführt
TicketNumber_label	additional.fields	Zusammengeführt
TicketSystem_label	additional.fields	Zusammengeführt
Type_label	additional.fields	Zusammengeführt
Version_label	additional.fields	Zusammengeführt
WorkgroupDesc_label	additional.fields	Zusammengeführt
WorkgroupID_label	additional.fields	Zusammengeführt
WorkgroupLocation_label	additional.fields	Zusammengeführt
accountdisabled01003_label	additional.fields	Zusammengeführt
accountname_label	additional.fields	Zusammengeführt
accountnameformat_label	additional.fields	Zusammengeführt
action_type_label	additional.fields	Zusammengeführt
actiontype_label	additional.fields	Zusammengeführt
address_label	additional.fields	Zusammengeführt
agentdesc_label	additional.fields	Zusammengeführt
agentid_label	additional.fields	Zusammengeführt
agentver_label	additional.fields	Zusammengeführt
alias_label	additional.fields	Zusammengeführt
app_user_id_label	additional.fields	Zusammengeführt
approver_label	additional.fields	Zusammengeführt
appuserid_label	additional.fields	Zusammengeführt
auditid_label	additional.fields	Zusammengeführt
authenticationtype_label	additional.fields	Zusammengeführt
automanagementflag_label	additional.fields	Zusammengeführt
badpwcount01008_label	additional.fields	Zusammengeführt
badpwcount0101_label	additional.fields	Zusammengeführt
browserinfo_label	additional.fields	Zusammengeführt
bt_Category_label	additional.fields	Zusammengeführt
btcategory_label	additional.fields	Zusammengeführt
btuser_label	additional.fields	Zusammengeführt
can_manage_ownership_label	additional.fields	Zusammengeführt
can_share_secret_label	additional.fields	Zusammengeführt
category_label	additional.fields	Zusammengeführt
changeafterrelease_label	additional.fields	Zusammengeführt
changepasswordfrequency_label	additional.fields	Zusammengeführt
changepasswordtime_label	additional.fields	Zusammengeführt
changereasoncd_label	additional.fields	Zusammengeführt
checkpassword_label	additional.fields	Zusammengeführt
clarityactive_label	additional.fields	Zusammengeführt
code_label	additional.fields	Zusammengeführt
countrycode01011_label	additional.fields	Zusammengeführt
countrycode0101_label	additional.fields	Zusammengeführt
createdate_label	additional.fields	Zusammengeführt
details_label	additional.fields	Zusammengeführt
deviceExternalId_label	additional.fields	Zusammengeführt
dllversion_label	additional.fields	Zusammengeführt
dnsname_label	additional.fields	Zusammengeführt
dsskeyruleid_label	additional.fields	Zusammengeführt
dump_label	additional.fields	Zusammengeführt
elevationcommand_label	additional.fields	Zusammengeführt
endpointprivilegemanagementactive_label	additional.fields	Zusammengeführt
endpointprivilegemanagementformacactive_label	additional.fields	Zusammengeführt
endpointprivilegemanagementformacsettings_label	additional.fields	Zusammengeführt
endpointprivilegemanagementformacvulnerabilitiesactive_label	additional.fields	Zusammengeführt
endpointprivilegemanagementforunixlinuxactive_label	additional.fields	Zusammengeführt
endpointprivilegemanagementforunixlinuxsettings_label	additional.fields	Zusammengeführt
endpointprivilegemanagementsettings_label	additional.fields	Zusammengeführt
endpointprivilegemanagementvulnerabilitiesactive_label	additional.fields	Zusammengeführt
endpointprotectionplatformattackeventsactive_label	additional.fields	Zusammengeführt
endpointprotectionplatformmalwareeventsactive_label	additional.fields	Zusammengeführt
endpointprotectionplatformvulnerabilitiesactive_label	additional.fields	Zusammengeführt
eventType_label	additional.fields	Zusammengeführt
eventdesc_label	additional.fields	Zusammengeführt
eventseverity_label	additional.fields	Zusammengeführt
eventsubject_label	additional.fields	Zusammengeführt
eventtype_label	additional.fields	Zusammengeführt
evtdatatype_label	additional.fields	Zusammengeführt
evtsrcipbi_label	additional.fields	Zusammengeführt
evtstatus_label	additional.fields	Zusammengeführt
evtsubjbi_label	additional.fields	Zusammengeführt
expires01006_label	additional.fields	Zusammengeführt
expires0101_label	additional.fields	Zusammengeführt
facility_label	additional.fields	Zusammengeführt
failed_label	additional.fields	Zusammengeführt
fallback_label	additional.fields	Zusammengeführt
fallbackcode_label	additional.fields	Zusammengeführt
fileintegritymonitoringactive_label	additional.fields	Zusammengeführt
folder_id_label	additional.fields	Zusammengeführt
folder_label	additional.fields	Zusammengeführt
formatVersion_label	additional.fields	Zusammengeführt
fullname0101_label	additional.fields	Zusammengeführt
functionalaccountid_label	additional.fields	Zusammengeführt
groupid_label	additional.fields	Zusammengeführt
isactive_label	additional.fields	Zusammengeführt
isareleaseduration_label	additional.fields	Zusammengeführt
isautomanagementenabled_label	additional.fields	Zusammengeführt
isdynamicsystem_label	additional.fields	Zusammengeführt
lastlogoff01005_label	additional.fields	Zusammengeführt
lastlogoff0101_label	additional.fields	Zusammengeführt
lastlogon01004_label	additional.fields	Zusammengeführt
lastlogon0101_label	additional.fields	Zusammengeführt
linked_label	additional.fields	Zusammengeführt
linkedaccount_label	additional.fields	Zusammengeführt
log_type_status_label	additional.fields	Zusammengeführt
logid_label	additional.fields	Zusammengeführt
logonserver0101_label	additional.fields	Zusammengeführt
managedaccountid_label	additional.fields	Zusammengeführt
managedentitytype_label	additional.fields	Zusammengeführt
managedsystemid_label	additional.fields	Zusammengeführt
managedsystemname_label	additional.fields	Zusammengeführt
maxreleaseduration_label	additional.fields	Zusammengeführt
maxstorage01007_label	additional.fields	Zusammengeführt
maxstorage0101_label	additional.fields	Zusammengeführt
memberofgroup01001_label	additional.fields	Zusammengeführt
memberofgroup0101_label	additional.fields	Zusammengeführt
netbiosname_label	additional.fields	Zusammengeführt
notes_label	additional.fields	Zusammengeführt
numberoflogons01009_label	additional.fields	Zusammengeführt
numberoflogons0101_label	additional.fields	Zusammengeführt
nvps_active_label	additional.fields	Zusammengeführt
nvps_areaname_label	additional.fields	Zusammengeführt
nvps_beyondinsightapplicationauditenabled_label	additional.fields	Zusammengeführt
nvps_context_label	additional.fields	Zusammengeführt
nvps_genericappliancehealthseverity_label	additional.fields	Zusammengeführt
nvps_hostname_label	additional.fields	Zusammengeführt
nvps_name_label	additional.fields	Zusammengeführt
nvps_outputpipeline_label	additional.fields	Zusammengeführt
nvps_port_label	additional.fields	Zusammengeführt
objectid_label	additional.fields	Zusammengeführt
objecttype_label	additional.fields	Zusammengeführt
objecttypeid_label	additional.fields	Zusammengeführt
operation_label	additional.fields	Zusammengeführt
os_label	additional.fields	Zusammengeführt
ownerid_label	additional.fields	Zusammengeführt
password_label	additional.fields	Zusammengeführt
passwordage0101_label	additional.fields	Zusammengeführt
passwordexpired01013_label	additional.fields	Zusammengeführt
passwordexpired0101_label	additional.fields	Zusammengeführt
passwordruleid_label	additional.fields	Zusammengeführt
platformid_label	additional.fields	Zusammengeführt
platformname_label	additional.fields	Zusammengeführt
priority_label	additional.fields	Zusammengeführt
privilege01002_label	additional.fields	Zusammengeführt
privilege0101_label	additional.fields	Zusammengeführt
referenceid_label	additional.fields	Zusammengeführt
releaseduration_label	additional.fields	Zusammengeführt
releaseid_label	additional.fields	Zusammengeführt
resetonmimatch_label	additional.fields	Zusammengeführt
result_label	additional.fields	Zusammengeführt
rid01012_label	additional.fields	Zusammengeführt
rid0101_label	additional.fields	Zusammengeführt
roleadded_label	additional.fields	Zusammengeführt
roleused_label	additional.fields	Zusammengeführt
samaccountname_label	additional.fields	Zusammengeführt
secret_type_label	additional.fields	Zusammengeführt
smartruletitle_label	additional.fields	Zusammengeführt
source01014_label	additional.fields	Zusammengeführt
source0101_label	additional.fields	Zusammengeführt
sshkeyenforcementmode_label	additional.fields	Zusammengeführt
subjectdescription_label	additional.fields	Zusammengeführt
ticketnumber_label	additional.fields	Zusammengeführt
timeout_label	additional.fields	Zusammengeführt
title_label	additional.fields	Zusammengeführt
transactiongroup_label	additional.fields	Zusammengeführt
userID_label	additional.fields	Zusammengeführt
userid_label	additional.fields	Zusammengeführt
version_label	additional.fields	Zusammengeführt
workgroupdesc_label	additional.fields	Zusammengeführt
workgroupid_label	additional.fields	Zusammengeführt
workgrouplocation_label	additional.fields	Zusammengeführt
agentid	extensions.auth.type	Zugeordnet: generic_appliance_health → MACHINE
category	extensions.auth.type	Zugeordnet: Login → MACHINE, Logout → MACHINE
eventdesc	extensions.auth.type	Zugeordnet: successfully logged on → MACHINE
nvps.clienthost	intermediary.asset.hostname	Direkt zugeordnet
nvps.hostname	intermediary.asset.hostname	Direkt zugeordnet
nvps.source	intermediary.asset.hostname	Direkt zugeordnet
hostname	intermediary.asset.ip	Zusammengeführt
inter_ip	intermediary.asset.ip	Zusammengeführt
sourceip	intermediary.asset.ip	Zusammengeführt
inter	intermediary.hostname	Direkt zugeordnet
nvps.clienthost	intermediary.hostname	Direkt zugeordnet
nvps.hostname	intermediary.hostname	Direkt zugeordnet
nvps.source	intermediary.hostname	Direkt zugeordnet
hostname	intermediary.ip	Zusammengeführt
inter_ip	intermediary.ip	Zusammengeführt
sourceip	intermediary.ip	Zusammengeführt
Category	metadata.description	Direkt zugeordnet
devTime	metadata.event_timestamp	Als MMM dd yyyy HH:mm:ss geparst
eventdate	metadata.event_timestamp	Als yyyy-MM-dd HH:mm:ss geparst
rt	metadata.event_timestamp	Als MMM dd yyyy HH:mm:ss geparst
time	metadata.event_timestamp	Als MMM dd HH:mm:ss geparst
ts	metadata.event_timestamp	Als yyyy-MM-ddTHH:mm:ss geparst
agentid	metadata.event_type	Zugeordnet: generic_appliance_health → USER_LOGIN, generic_appliance_health → USER_LOGOUT
category	metadata.event_type	Zugeordnet: Login → USER_LOGIN, Logout → USER_LOGOUT
eventdesc	metadata.event_type	Zugeordnet: successfully logged on → USER_LOGIN
has_principal	metadata.event_type	Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
eventid	metadata.product_event_type	Direkt zugeordnet
product_event	metadata.product_event_type	Direkt zugeordnet
nvps.id	metadata.product_log_id	Direkt zugeordnet
Product	metadata.product_name	Direkt zugeordnet
appname	metadata.product_name	Direkt zugeordnet
product	metadata.product_name	Direkt zugeordnet
version	metadata.product_version	Direkt zugeordnet
vendor	metadata.vendor_name	Direkt zugeordnet
nvps.domainname	principal.administrative_domain	Direkt zugeordnet
shost	principal.asset.hostname	Direkt zugeordnet
sourcehost	principal.asset.hostname	Direkt zugeordnet
src_host	principal.asset.hostname	Direkt zugeordnet
ip	principal.asset.ip	Zusammengeführt
src	principal.asset.ip	Zusammengeführt
src_ip	principal.asset.ip	Zusammengeführt
nvps.workgroupname	principal.group.group_display_name	Direkt zugeordnet
shost	principal.hostname	Direkt zugeordnet
sourcehost	principal.hostname	Direkt zugeordnet
src_host	principal.hostname	Direkt zugeordnet
ip	principal.ip	Zusammengeführt
souirceip	principal.ip	Zusammengeführt
src	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
OS	principal.platform	Zugeordnet: Windows → WINDOWS, Linux → LINUX
Os	principal.platform	Zugeordnet: Windows → WINDOWS, Linux → LINUX
OS	principal.platform_version	Direkt zugeordnet
Os	principal.platform_version	Direkt zugeordnet
Filename	principal.process.file.full_path	Direkt zugeordnet
MD5	principal.process.file.md5	Direkt zugeordnet
SHA1	principal.process.file.sha1	Direkt zugeordnet
ParentProcessID	principal.process.parent_pid	Direkt zugeordnet
ProcessID	principal.process.pid	Direkt zugeordnet
resource	principal.resource.id	Direkt zugeordnet
Company_name	principal.user.company_name	Direkt zugeordnet
username	principal.user.email_addresses	Zugeordnet: ^.+@.+$ → username
UserID	principal.user.product_object_id	Direkt zugeordnet
userId	principal.user.product_object_id	Direkt zugeordnet
Name	principal.user.user_display_name	Direkt zugeordnet
UserName	principal.user.user_display_name	Direkt zugeordnet
usrName	principal.user.user_display_name	Direkt zugeordnet
BeyondTrustBeyondInsightUser	principal.user.userid	Direkt zugeordnet
src_user	principal.user.userid	Direkt zugeordnet
user	principal.user.userid	Direkt zugeordnet
nvps.sid0101	principal.user.windows_sid	Direkt zugeordnet
sid01015	principal.user.windows_sid	Direkt zugeordnet
Category	security_result.category_details	Zusammengeführt
Description	security_result.description	Direkt zugeordnet
nvps.description	security_result.description	Direkt zugeordnet
nvps.message	security_result.description	Direkt zugeordnet
nvps.reason	security_result.description	Direkt zugeordnet
changedt_label	security_result.detection_fields	Zusammengeführt
createdate_label	security_result.detection_fields	Zusammengeführt
eventdate_label	security_result.detection_fields	Zusammengeführt
evtdate_label	security_result.detection_fields	Zusammengeführt
lastupdatedate_label	security_result.detection_fields	Zusammengeführt
logtime_label	security_result.detection_fields	Zusammengeführt
nextchangedate_label	security_result.detection_fields	Zusammengeführt
removerole_label	security_result.detection_fields	Zusammengeführt
smartruleid_label	security_result.detection_fields	Zusammengeführt
systemname_label	security_result.detection_fields	Zusammengeführt
token_label	security_result.detection_fields	Zusammengeführt
BeyondTrustBeyondInsightEventSeverity	security_result.severity	Zugeordnet: 0 → INFORMATIONAL, 3 → LOW, 6 → MEDIUM, 9 → HIGH
eventseverity	security_result.severity	Zugeordnet: 0 → INFORMATIONAL, 3 → LOW, 6 → MEDIUM
severity	security_result.severity	Zugeordnet: 0 → INFORMATIONAL
eventname	security_result.summary	Direkt zugeordnet
agentid	target.application	Zugeordnet: AppAudit → BeyondInsight Application GUI, generic_appliance_health → `BeyondIn...
ManagedSystem	target.asset.hostname	Direkt zugeordnet
dst	target.asset.ip	Zusammengeführt
ips	target.asset.ip	Zusammengeführt
nvps.folderpath	target.file.full_path	Direkt zugeordnet
nvps.filename	target.file.names	Zusammengeführt
nvps.filehash	target.file.sha256	Direkt zugeordnet
ManagedSystem	target.hostname	Direkt zugeordnet
dst_host	target.hostname	Direkt zugeordnet
dst	target.ip	Zusammengeführt
ips	target.ip	Zusammengeführt
SecretId	target.resource.id	Direkt zugeordnet
nvps.target	target.resource.name	Direkt zugeordnet
nvps.title	target.resource.name	Direkt zugeordnet
nvps.secretid	target.resource.product_object_id	Direkt zugeordnet
nvps.secrettype	target.resource.resource_subtype	Direkt zugeordnet
URL	target.url	Direkt zugeordnet
nvps.email	target.user.email_addresses	Zusammengeführt
nvps.ownersdisplay	target.user.user_display_name	Direkt zugeordnet
ManagedAccount	target.user.userid	Direkt zugeordnet
dst_user	target.user.userid	Direkt zugeordnet
nvps.owner	target.user.userid	Direkt zugeordnet
nvps.username	target.user.userid	Direkt zugeordnet
–	extensions.auth.type	Konstante: MACHINE
–	metadata.event_type	Konstante: NETWORK_CONNECTION
–	principal.platform	Konstante: WINDOWS
–	security_result.severity	Konstante: INFORMATIONAL
–	target.application	Konstante: BeyondInsight Application GUI
nvps.filehash	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
filehash	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
sourceip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
nvps.xforwardedfor	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus dem Änderungsprotokoll zugeordnet
nvps.userid	event.idm.read_only_udm.principal.user.product_object_id	Aus dem Änderungsprotokoll zugeordnet
eventid	event.idm.read_only_udm.metadata.product_event_type	Aus dem Änderungsprotokoll zugeordnet
nvps.email	event.idm.read_only_udm.target.user.email_addresses	Aus dem Änderungsprotokoll zugeordnet
nvps.ownersdisplay	event.idm.read_only_udm.target.user.user_display_name	Aus dem Änderungsprotokoll zugeordnet
nvps.filename	event.idm.read_only_udm.target.file.names	Aus dem Änderungsprotokoll zugeordnet
nvps.filehash	event.idm.read_only_udm.target.file.sha256	Aus dem Änderungsprotokoll zugeordnet
nvps.secretid	event.idm.read_only_udm.target.resource.product_object_id	Aus dem Änderungsprotokoll zugeordnet
nvps.secrettype	event.idm.read_only_udm.target.resource.resource_subtype	Aus dem Änderungsprotokoll zugeordnet
nvps.folderpath	event.idm.read_only_udm.target.file.full_path	Aus dem Änderungsprotokoll zugeordnet
nvps.notes	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
notes	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
nvps.ticketnumber	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
ticketnumber	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
nvps.approver	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
approver	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
nvps.ownerid	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet
ownerid	event.idm.read_only_udm.additional.fields	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten