איסוף יומנים של BeyondTrust BeyondInsight

גרסת כלי הניתוח: 7.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של BeyondTrust BeyondInsight ב-Google Security Operations באמצעות סוכן Bindplane.

‫BeyondTrust BeyondInsight היא פלטפורמה לניהול גישה עם הרשאות, שיוצרת הודעות syslog לאירועי אבטחה, לאימות ולפעילות אדמין. המנתח מנרמל את השדות וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין המכונה של BeyondTrust BeyondInsight
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות למכונה של BeyondTrust BeyondInsight

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API מדור קודם (malachiteingestion-pa.googleapis.com), שיוצא משימוש ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/beyondtrust_beyondinsight:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: BEYONDTRUST_BEYONDINSIGHT
      raw_log_field: body
  
  service:
    pipelines:
      logs/beyondtrust_beyondinsight_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/beyondtrust_beyondinsight
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/beyondtrust_beyondinsight:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: BEYONDTRUST_BEYONDINSIGHT
      raw_log_field: body
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת אירועים ב-syslog ב-BeyondTrust BeyondInsight

1. נכנסים לממשק המשתמש האינטרנטי של BeyondTrust.
2. עוברים אל Appliance > Security > Appliance Administration.
3. עוברים לקטע Syslog.
4. לוחצים על הוספת שרת חדש.
5. מזינים את פרטי ההגדרה הבאים:
   • ‫Hostname: מזינים את כתובת ה-IP של סוכן Bindplane.
   • פורמט: בוחרים באפשרות RFC 5424.
   • יציאה: ברירת המחדל היא UDP:514.
6. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
AgentDesc_label	additional.fields	ממוזג
AgentID_label	additional.fields	ממוזג
AgentVer_label	additional.fields	ממוזג
Approver_label	additional.fields	ממוזג
AuditID_label	additional.fields	ממוזג
Base_address_label	additional.fields	ממוזג
Category_label	additional.fields	ממוזג
CertIssuer_label	additional.fields	ממוזג
CertSerial_label	additional.fields	ממוזג
Entry_address_label	additional.fields	ממוזג
EventDesc_label	additional.fields	ממוזג
EventName_label	additional.fields	ממוזג
EventSubject_label	additional.fields	ממוזג
Failed_label	additional.fields	ממוזג
Image_size_label	additional.fields	ממוזג
LogID_label	additional.fields	ממוזג
LogTime_label	additional.fields	ממוזג
ObjectID_label	additional.fields	ממוזג
ObjectTypeID_label	additional.fields	ממוזג
ObjectType_label	additional.fields	ממוזג
Operation_label	additional.fields	ממוזג
Reason_label	additional.fields	ממוזג
RefType_label	additional.fields	ממוזג
ReleaseRequestId_label	additional.fields	ממוזג
RoleUsed_label	additional.fields	ממוזג
Server_date_label	additional.fields	ממוזג
Signer_label	additional.fields	ממוזג
Start_time_label	additional.fields	ממוזג
TicketNumber_label	additional.fields	ממוזג
TicketSystem_label	additional.fields	ממוזג
Type_label	additional.fields	ממוזג
Version_label	additional.fields	ממוזג
WorkgroupDesc_label	additional.fields	ממוזג
WorkgroupID_label	additional.fields	ממוזג
WorkgroupLocation_label	additional.fields	ממוזג
accountdisabled01003_label	additional.fields	ממוזג
accountname_label	additional.fields	ממוזג
accountnameformat_label	additional.fields	ממוזג
action_type_label	additional.fields	ממוזג
actiontype_label	additional.fields	ממוזג
address_label	additional.fields	ממוזג
agentdesc_label	additional.fields	ממוזג
agentid_label	additional.fields	ממוזג
agentver_label	additional.fields	ממוזג
alias_label	additional.fields	ממוזג
app_user_id_label	additional.fields	ממוזג
approver_label	additional.fields	ממוזג
appuserid_label	additional.fields	ממוזג
auditid_label	additional.fields	ממוזג
authenticationtype_label	additional.fields	ממוזג
automanagementflag_label	additional.fields	ממוזג
badpwcount01008_label	additional.fields	ממוזג
badpwcount0101_label	additional.fields	ממוזג
browserinfo_label	additional.fields	ממוזג
bt_Category_label	additional.fields	ממוזג
btcategory_label	additional.fields	ממוזג
btuser_label	additional.fields	ממוזג
can_manage_ownership_label	additional.fields	ממוזג
can_share_secret_label	additional.fields	ממוזג
category_label	additional.fields	ממוזג
changeafterrelease_label	additional.fields	ממוזג
changepasswordfrequency_label	additional.fields	ממוזג
changepasswordtime_label	additional.fields	ממוזג
changereasoncd_label	additional.fields	ממוזג
checkpassword_label	additional.fields	ממוזג
clarityactive_label	additional.fields	ממוזג
code_label	additional.fields	ממוזג
countrycode01011_label	additional.fields	ממוזג
countrycode0101_label	additional.fields	ממוזג
createdate_label	additional.fields	ממוזג
details_label	additional.fields	ממוזג
deviceExternalId_label	additional.fields	ממוזג
dllversion_label	additional.fields	ממוזג
dnsname_label	additional.fields	ממוזג
dsskeyruleid_label	additional.fields	ממוזג
dump_label	additional.fields	ממוזג
elevationcommand_label	additional.fields	ממוזג
endpointprivilegemanagementactive_label	additional.fields	ממוזג
endpointprivilegemanagementformacactive_label	additional.fields	ממוזג
endpointprivilegemanagementformacsettings_label	additional.fields	ממוזג
endpointprivilegemanagementformacvulnerabilitiesactive_label	additional.fields	ממוזג
endpointprivilegemanagementforunixlinuxactive_label	additional.fields	ממוזג
endpointprivilegemanagementforunixlinuxsettings_label	additional.fields	ממוזג
endpointprivilegemanagementsettings_label	additional.fields	ממוזג
endpointprivilegemanagementvulnerabilitiesactive_label	additional.fields	ממוזג
endpointprotectionplatformattackeventsactive_label	additional.fields	ממוזג
endpointprotectionplatformmalwareeventsactive_label	additional.fields	ממוזג
endpointprotectionplatformvulnerabilitiesactive_label	additional.fields	ממוזג
eventType_label	additional.fields	ממוזג
eventdesc_label	additional.fields	ממוזג
eventseverity_label	additional.fields	ממוזג
eventsubject_label	additional.fields	ממוזג
eventtype_label	additional.fields	ממוזג
evtdatatype_label	additional.fields	ממוזג
evtsrcipbi_label	additional.fields	ממוזג
evtstatus_label	additional.fields	ממוזג
evtsubjbi_label	additional.fields	ממוזג
expires01006_label	additional.fields	ממוזג
expires0101_label	additional.fields	ממוזג
facility_label	additional.fields	ממוזג
failed_label	additional.fields	ממוזג
fallback_label	additional.fields	ממוזג
fallbackcode_label	additional.fields	ממוזג
fileintegritymonitoringactive_label	additional.fields	ממוזג
folder_id_label	additional.fields	ממוזג
folder_label	additional.fields	ממוזג
formatVersion_label	additional.fields	ממוזג
fullname0101_label	additional.fields	ממוזג
functionalaccountid_label	additional.fields	ממוזג
groupid_label	additional.fields	ממוזג
isactive_label	additional.fields	ממוזג
isareleaseduration_label	additional.fields	ממוזג
isautomanagementenabled_label	additional.fields	ממוזג
isdynamicsystem_label	additional.fields	ממוזג
lastlogoff01005_label	additional.fields	ממוזג
lastlogoff0101_label	additional.fields	ממוזג
lastlogon01004_label	additional.fields	ממוזג
lastlogon0101_label	additional.fields	ממוזג
linked_label	additional.fields	ממוזג
linkedaccount_label	additional.fields	ממוזג
log_type_status_label	additional.fields	ממוזג
logid_label	additional.fields	ממוזג
logonserver0101_label	additional.fields	ממוזג
managedaccountid_label	additional.fields	ממוזג
managedentitytype_label	additional.fields	ממוזג
managedsystemid_label	additional.fields	ממוזג
managedsystemname_label	additional.fields	ממוזג
maxreleaseduration_label	additional.fields	ממוזג
maxstorage01007_label	additional.fields	ממוזג
maxstorage0101_label	additional.fields	ממוזג
memberofgroup01001_label	additional.fields	ממוזג
memberofgroup0101_label	additional.fields	ממוזג
netbiosname_label	additional.fields	ממוזג
notes_label	additional.fields	ממוזג
numberoflogons01009_label	additional.fields	ממוזג
numberoflogons0101_label	additional.fields	ממוזג
nvps_active_label	additional.fields	ממוזג
nvps_areaname_label	additional.fields	ממוזג
nvps_beyondinsightapplicationauditenabled_label	additional.fields	ממוזג
nvps_context_label	additional.fields	ממוזג
nvps_genericappliancehealthseverity_label	additional.fields	ממוזג
nvps_hostname_label	additional.fields	ממוזג
nvps_name_label	additional.fields	ממוזג
nvps_outputpipeline_label	additional.fields	ממוזג
nvps_port_label	additional.fields	ממוזג
objectid_label	additional.fields	ממוזג
objecttype_label	additional.fields	ממוזג
objecttypeid_label	additional.fields	ממוזג
operation_label	additional.fields	ממוזג
os_label	additional.fields	ממוזג
ownerid_label	additional.fields	ממוזג
password_label	additional.fields	ממוזג
passwordage0101_label	additional.fields	ממוזג
passwordexpired01013_label	additional.fields	ממוזג
passwordexpired0101_label	additional.fields	ממוזג
passwordruleid_label	additional.fields	ממוזג
platformid_label	additional.fields	ממוזג
platformname_label	additional.fields	ממוזג
priority_label	additional.fields	ממוזג
privilege01002_label	additional.fields	ממוזג
privilege0101_label	additional.fields	ממוזג
referenceid_label	additional.fields	ממוזג
releaseduration_label	additional.fields	ממוזג
releaseid_label	additional.fields	ממוזג
resetonmimatch_label	additional.fields	ממוזג
result_label	additional.fields	ממוזג
rid01012_label	additional.fields	ממוזג
rid0101_label	additional.fields	ממוזג
roleadded_label	additional.fields	ממוזג
roleused_label	additional.fields	ממוזג
samaccountname_label	additional.fields	ממוזג
secret_type_label	additional.fields	ממוזג
smartruletitle_label	additional.fields	ממוזג
source01014_label	additional.fields	ממוזג
source0101_label	additional.fields	ממוזג
sshkeyenforcementmode_label	additional.fields	ממוזג
subjectdescription_label	additional.fields	ממוזג
ticketnumber_label	additional.fields	ממוזג
timeout_label	additional.fields	ממוזג
title_label	additional.fields	ממוזג
transactiongroup_label	additional.fields	ממוזג
userID_label	additional.fields	ממוזג
userid_label	additional.fields	ממוזג
version_label	additional.fields	ממוזג
workgroupdesc_label	additional.fields	ממוזג
workgroupid_label	additional.fields	ממוזג
workgrouplocation_label	additional.fields	ממוזג
agentid	extensions.auth.type	מופה: generic_appliance_health ← MACHINE
category	extensions.auth.type	מופו: Login ← MACHINE, Logout ← MACHINE
eventdesc	extensions.auth.type	מופה: successfully logged on ← MACHINE
nvps.clienthost	intermediary.asset.hostname	מיפוי ישיר
nvps.hostname	intermediary.asset.hostname	מיפוי ישיר
nvps.source	intermediary.asset.hostname	מיפוי ישיר
hostname	intermediary.asset.ip	ממוזג
inter_ip	intermediary.asset.ip	ממוזג
sourceip	intermediary.asset.ip	ממוזג
inter	intermediary.hostname	מיפוי ישיר
nvps.clienthost	intermediary.hostname	מיפוי ישיר
nvps.hostname	intermediary.hostname	מיפוי ישיר
nvps.source	intermediary.hostname	מיפוי ישיר
hostname	intermediary.ip	ממוזג
inter_ip	intermediary.ip	ממוזג
sourceip	intermediary.ip	ממוזג
Category	metadata.description	מיפוי ישיר
devTime	metadata.event_timestamp	נותח בתור MMM dd yyyy HH:mm:ss
eventdate	metadata.event_timestamp	נותח בתור yyyy-MM-dd HH:mm:ss
rt	metadata.event_timestamp	ניתוח הכתובות שברשימה: MMM dd yyyy HH:mm:ss
time	metadata.event_timestamp	נותח בתור MMM dd HH:mm:ss
ts	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-ddTHH:mm:ss
agentid	metadata.event_type	מיפוי: generic_appliance_health ← USER_LOGIN, ‏ generic_appliance_health ← USER_LOGOUT
category	metadata.event_type	מופו: Login ← USER_LOGIN, Logout ← USER_LOGOUT
eventdesc	metadata.event_type	מיפוי: successfully logged on → USER_LOGIN
has_principal	metadata.event_type	מיפוי: true ← NETWORK_CONNECTION, ‏ true ← STATUS_UPDATE
has_user	metadata.event_type	מיפוי: true → USER_UNCATEGORIZED
eventid	metadata.product_event_type	מיפוי ישיר
product_event	metadata.product_event_type	מיפוי ישיר
nvps.id	metadata.product_log_id	מיפוי ישיר
Product	metadata.product_name	מיפוי ישיר
appname	metadata.product_name	מיפוי ישיר
product	metadata.product_name	מיפוי ישיר
version	metadata.product_version	מיפוי ישיר
vendor	metadata.vendor_name	מיפוי ישיר
nvps.domainname	principal.administrative_domain	מיפוי ישיר
shost	principal.asset.hostname	מיפוי ישיר
sourcehost	principal.asset.hostname	מיפוי ישיר
src_host	principal.asset.hostname	מיפוי ישיר
ip	principal.asset.ip	ממוזג
src	principal.asset.ip	ממוזג
src_ip	principal.asset.ip	ממוזג
nvps.workgroupname	principal.group.group_display_name	מיפוי ישיר
shost	principal.hostname	מיפוי ישיר
sourcehost	principal.hostname	מיפוי ישיר
src_host	principal.hostname	מיפוי ישיר
ip	principal.ip	ממוזג
souirceip	principal.ip	ממוזג
src	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
OS	principal.platform	מיפוי: Windows ← WINDOWS, ‏ Linux ← LINUX
Os	principal.platform	מיפוי: Windows ← WINDOWS, ‏ Linux ← LINUX
OS	principal.platform_version	מיפוי ישיר
Os	principal.platform_version	מיפוי ישיר
Filename	principal.process.file.full_path	מיפוי ישיר
MD5	principal.process.file.md5	מיפוי ישיר
SHA1	principal.process.file.sha1	מיפוי ישיר
ParentProcessID	principal.process.parent_pid	מיפוי ישיר
ProcessID	principal.process.pid	מיפוי ישיר
resource	principal.resource.id	מיפוי ישיר
Company_name	principal.user.company_name	מיפוי ישיר
username	principal.user.email_addresses	מופה: ^.+@.+$ ← username
UserID	principal.user.product_object_id	מיפוי ישיר
userId	principal.user.product_object_id	מיפוי ישיר
Name	principal.user.user_display_name	מיפוי ישיר
UserName	principal.user.user_display_name	מיפוי ישיר
usrName	principal.user.user_display_name	מיפוי ישיר
BeyondTrustBeyondInsightUser	principal.user.userid	מיפוי ישיר
src_user	principal.user.userid	מיפוי ישיר
user	principal.user.userid	מיפוי ישיר
nvps.sid0101	principal.user.windows_sid	מיפוי ישיר
sid01015	principal.user.windows_sid	מיפוי ישיר
Category	security_result.category_details	ממוזג
Description	security_result.description	מיפוי ישיר
nvps.description	security_result.description	מיפוי ישיר
nvps.message	security_result.description	מיפוי ישיר
nvps.reason	security_result.description	מיפוי ישיר
changedt_label	security_result.detection_fields	ממוזג
createdate_label	security_result.detection_fields	ממוזג
eventdate_label	security_result.detection_fields	ממוזג
evtdate_label	security_result.detection_fields	ממוזג
lastupdatedate_label	security_result.detection_fields	ממוזג
logtime_label	security_result.detection_fields	ממוזג
nextchangedate_label	security_result.detection_fields	ממוזג
removerole_label	security_result.detection_fields	ממוזג
smartruleid_label	security_result.detection_fields	ממוזג
systemname_label	security_result.detection_fields	ממוזג
token_label	security_result.detection_fields	ממוזג
BeyondTrustBeyondInsightEventSeverity	security_result.severity	מופו: 0 ← INFORMATIONAL, 3 ← LOW, 6 ← MEDIUM, 9 ← HIGH
eventseverity	security_result.severity	מופו: 0 ← INFORMATIONAL, 3 ← LOW, 6 ← MEDIUM
severity	security_result.severity	מופה: 0 ← INFORMATIONAL
eventname	security_result.summary	מיפוי ישיר
agentid	target.application	מיפוי: AppAudit ← BeyondInsight Application GUI, generic_appliance_health ← `BeyondIn...
ManagedSystem	target.asset.hostname	מיפוי ישיר
dst	target.asset.ip	ממוזג
ips	target.asset.ip	ממוזג
nvps.folderpath	target.file.full_path	מיפוי ישיר
nvps.filename	target.file.names	ממוזג
nvps.filehash	target.file.sha256	מיפוי ישיר
ManagedSystem	target.hostname	מיפוי ישיר
dst_host	target.hostname	מיפוי ישיר
dst	target.ip	ממוזג
ips	target.ip	ממוזג
SecretId	target.resource.id	מיפוי ישיר
nvps.target	target.resource.name	מיפוי ישיר
nvps.title	target.resource.name	מיפוי ישיר
nvps.secretid	target.resource.product_object_id	מיפוי ישיר
nvps.secrettype	target.resource.resource_subtype	מיפוי ישיר
URL	target.url	מיפוי ישיר
nvps.email	target.user.email_addresses	ממוזג
nvps.ownersdisplay	target.user.user_display_name	מיפוי ישיר
ManagedAccount	target.user.userid	מיפוי ישיר
dst_user	target.user.userid	מיפוי ישיר
nvps.owner	target.user.userid	מיפוי ישיר
nvps.username	target.user.userid	מיפוי ישיר
לא רלוונטי	extensions.auth.type	קבוע: MACHINE
לא רלוונטי	metadata.event_type	קבוע: NETWORK_CONNECTION
לא רלוונטי	principal.platform	קבוע: WINDOWS
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
לא רלוונטי	target.application	קבוע: BeyondInsight Application GUI
nvps.filehash	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
filehash	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourceip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
nvps.xforwardedfor	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
nvps.userid	event.idm.read_only_udm.principal.user.product_object_id	מופה מיומן השינויים
eventid	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
nvps.email	event.idm.read_only_udm.target.user.email_addresses	מופה מיומן השינויים
nvps.ownersdisplay	event.idm.read_only_udm.target.user.user_display_name	מופה מיומן השינויים
nvps.filename	event.idm.read_only_udm.target.file.names	מופה מיומן השינויים
nvps.filehash	event.idm.read_only_udm.target.file.sha256	מופה מיומן השינויים
nvps.secretid	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
nvps.secrettype	event.idm.read_only_udm.target.resource.resource_subtype	מופה מיומן השינויים
nvps.folderpath	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
nvps.notes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
notes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
nvps.ticketnumber	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ticketnumber	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
nvps.approver	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
approver	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
nvps.ownerid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ownerid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.