Bitdefender-Protokolle erfassen

Parserversion: 29.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Bitdefender-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Dieser Parser extrahiert Bitdefender GravityZone-Logs im CEF- oder CSV-Format, normalisiert Felder für das UDM und führt bestimmte Aktionen basierend auf Ereignistypen aus. Es verarbeitet Dateioperationen, Netzwerkverbindungen, Prozesserstellungen und Registry-Änderungen und ordnet relevante Informationen den entsprechenden UDM-Feldern zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und der Bitdefender GravityZone-Appliance
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf Bitdefender GravityZone

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Problembehebung finden Sie im Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/bitdefender:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: BITDEFENDER
    raw_log_field: body

service:
  pipelines:
    logs/bitdefender_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/bitdefender

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/bitdefender:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: BITDEFENDER
    raw_log_field: body

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Prüfen Sie die Logs auf Fehler:

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Prüfen Sie die Logs auf Fehler:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Streaming in Bitdefender GravityZone konfigurieren

  1. Melden Sie sich im GravityZone Control Center an.
  2. Rufen Sie Konfiguration > Integrationen > Syslog auf.
  3. Klicken Sie auf Syslog-Server hinzufügen.
  4. Machen Sie die erforderlichen Angaben:
    • Name: Geben Sie einen eindeutigen Namen für den Syslog-Server an (z. B. CentralSyslog).
    • IP-Adresse/Hostname: Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Servers ein.
    • Protokoll: Wählen Sie das zu verwendende Protokoll aus: TCP oder UDP.
    • Port: Geben Sie die Portnummer des Bindplane-Servers an.
    • Wählen Sie die Logtypen aus, die gestreamt werden sollen (z. B. Antimalware-Ereignisse, Network Attack Defense (NAD)-Ereignisse, Webkontrollereignisse, Firewall-Ereignisse oder Richtlinienänderungen).
    • Optional: Konfigurieren Sie Filter, um bestimmte Ereignistypen ein- oder auszuschließen.
  5. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
BitdefenderGZAttackEntry security_result.detection_fields.value Der Wert von BitdefenderGZAttackEntry aus dem Rohlog wird einem security_result.detection_fields-Objekt zugewiesen, wobei der Schlüssel „attack_entry“ ist.
BitdefenderGZAttackTypes security_result.category_details Der Wert von BitdefenderGZAttackTypes aus dem Rohlog wird security_result.category_details zugewiesen. Der Wert wird dann in einzelne Strings aufgeteilt und jeder String wird dem Array security_result.category_details als Wert hinzugefügt.
BitdefenderGZAttCkId security_result.detection_fields.value Der Wert von BitdefenderGZAttCkId aus dem Rohlog wird einem security_result.detection_fields-Objekt als Wert zugewiesen, wobei der Schlüssel „BitdefenderGZAttCkId“ ist.
BitdefenderGZCompanyId target.user.company_name Der Wert von BitdefenderGZCompanyId aus dem Rohlog wird target.user.company_name zugewiesen.
BitdefenderGZComputerFQDN principal.asset.network_domain Der Wert von BitdefenderGZComputerFQDN aus dem Rohlog wird principal.asset.network_domain zugewiesen.
BitdefenderGZDetectionName security_result.threat_name Der Wert von BitdefenderGZDetectionName aus dem Rohlog wird security_result.threat_name zugewiesen.
BitdefenderGZEndpointId security_result.detection_fields.value Der Wert von BitdefenderGZEndpointId aus dem Rohlog wird einem security_result.detection_fields-Objekt als Wert zugewiesen, wobei der Schlüssel „BitdefenderGZEndpointId“ ist.
BitdefenderGZIncidentId metadata.product_log_id Der Wert von BitdefenderGZIncidentId aus dem Rohlog wird metadata.product_log_id zugewiesen.
BitdefenderGZMainAction security_result.action_details Der Wert von BitdefenderGZMainAction aus dem Rohlog wird security_result.action_details zugewiesen. Anhand dieses Werts wird das Feld security_result.action festgelegt (z.B. wird „blocked“ auf „BLOCK“ abgebildet). Das Feld security_result.description wird außerdem mit „main_action: “ gefolgt vom Wert von BitdefenderGZMainAction gefüllt.
BitdefenderGZMalwareHash principal.process.file.sha256 Der Wert von BitdefenderGZMalwareHash aus dem Rohlog wird principal.process.file.sha256 zugewiesen.
BitdefenderGZMalwareName security_result.threat_name Der Wert von BitdefenderGZMalwareName aus dem Rohlog wird security_result.threat_name zugewiesen.
BitdefenderGZMalwareType security_result.detection_fields.value Der Wert von BitdefenderGZMalwareType aus dem Rohlog wird einem security_result.detection_fields-Objekt als Wert zugewiesen, wobei der Schlüssel „malware_type“ ist.
BitdefenderGZModule metadata.product_event_type Der Wert von BitdefenderGZModule aus dem Rohlog wird metadata.product_event_type zugewiesen.
BitdefenderGZSeverityScore security_result.severity_details Der Wert von BitdefenderGZSeverityScore aus dem Rohlog wird security_result.severity_details zugewiesen.
BitdefenderGZHwId target.resource.id Der Wert von BitdefenderGZHwId aus dem Rohlog wird target.resource.id zugewiesen.
act security_result.action_details Der Wert von act aus dem Rohlog wird security_result.action_details zugewiesen.
actionTaken security_result.action_details Der Wert von actionTaken aus dem Rohlog wird security_result.action_details zugewiesen. Basierend auf diesem Wert wird das Feld security_result.action festgelegt (z.B. wird „block“ zu „BLOCK“ zugeordnet). Das Feld security_result.description wird außerdem mit „actionTaken: “ gefolgt vom Wert von actionTaken gefüllt.
additional.fields additional.fields Die Parserlogik erstellt ein Schlüssel/Wert-Paar für „product_installed“ und fügt es dem Objekt additional.fields hinzu.
categories principal.asset.category Der Wert von categories aus dem Rohlog wird principal.asset.category zugewiesen.
cmd_line target.process.command_line Der Wert von cmd_line aus dem Rohlog wird target.process.command_line zugewiesen.
companyId target.user.company_name Der Wert von companyId aus dem Rohlog wird target.user.company_name zugewiesen.
computer_fqdn principal.asset.network_domain Der Wert von computer_fqdn aus dem Rohlog wird principal.asset.network_domain zugewiesen.
computer_id principal.asset.asset_id Der Wert von computer_id aus dem Rohlog wird principal.asset.asset_id zugewiesen, nachdem „ComputerId:“ vorangestellt wurde.
computer_ip principal.asset.ip Der Wert von computer_ip aus dem Rohlog wird geparst und durch Kommas getrennt. Jede resultierende IP-Adresse wird dem Array principal.asset.ip hinzugefügt.
computer_name principal.resource.attribute.labels.value Der Wert von computer_name aus dem Rohlog wird einem principal.resource.attribute.labels-Objekt zugewiesen, in dem der Schlüssel „computer_name“ lautet. Es wird auch als Wert für ein security_result.detection_fields-Objekt hinzugefügt, in dem der Schlüssel „computer_name“ ist.
column1 metadata.product_log_id Der Wert von column1 aus dem Rohlog wird metadata.product_log_id zugewiesen.
column3 observer.ip Der Wert von column3 aus dem Rohlog wird observer.ip zugewiesen.
command_line target.process.command_line Der Wert von command_line aus dem Rohlog wird target.process.command_line zugewiesen.
data target.registry.registry_value_data Der Wert von data aus dem Rohlog wird target.registry.registry_value_data zugewiesen.
detection_attackTechnique security_result.detection_fields.value Der Wert von detection_attackTechnique aus dem Rohlog wird einem security_result.detection_fields-Objekt zugewiesen, wobei der Schlüssel „detection attackTechnique“ ist.
detection_name security_result.threat_name Der Wert von detection_name aus dem Rohlog wird security_result.threat_name zugewiesen.
destination_ip target.ip Der Wert von destination_ip aus dem Rohlog wird target.ip zugewiesen.
destination_port target.port Der Wert von destination_port aus dem Rohlog wird target.port zugewiesen.
direction network.direction Der Wert von direction aus dem Rohlog wird in Großbuchstaben umgewandelt und network.direction zugewiesen.
dvc principal.ip Der Wert von dvc aus dem Rohlog wird geparst und durch Kommas getrennt. Jede resultierende IP-Adresse wird dem Array principal.ip hinzugefügt.
dvchost about.hostname Der Wert von dvchost aus dem Rohlog wird about.hostname zugewiesen.
event_description metadata.description Der Wert von event_description aus dem Rohlog wird metadata.description zugewiesen.
event_name metadata.product_event_type Der Wert von event_name aus dem Rohlog wird metadata.product_event_type zugewiesen. Wenn der Wert „Antiphishing“ ist, wird security_result.category auf „PHISHING“ festgelegt. Wenn der Wert „AntiMalware“ ist, wird security_result.category auf „SOFTWARE_MALICIOUS“ gesetzt. Das Feld metadata.event_type wird mithilfe einer Reihe von bedingten Anweisungen im Parser aus event_name abgeleitet.
ev metadata.product_event_type Der Wert von ev aus dem Rohlog wird metadata.product_event_type zugewiesen.
extra_info.command_line target.process.command_line Der Wert von extra_info.command_line aus dem Rohlog wird target.process.command_line zugewiesen.
extra_info.parent_pid principal.process.pid Der Wert von extra_info.parent_pid aus dem Rohlog wird principal.process.pid zugewiesen.
extra_info.parent_process_cmdline principal.process.command_line Der Wert von extra_info.parent_process_cmdline aus dem Rohlog wird principal.process.command_line zugewiesen.
extra_info.parent_process_path principal.process.file.full_path Der Wert von extra_info.parent_process_path aus dem Rohlog wird principal.process.file.full_path zugewiesen.
extra_info.pid target.process.pid Der Wert von extra_info.pid aus dem Rohlog wird target.process.pid zugewiesen.
extra_info.process_path target.process.file.full_path Der Wert von extra_info.process_path aus dem Rohlog wird target.process.file.full_path zugewiesen.
extra_info.user target.user.userid Der Wert von extra_info.user aus dem Rohlog wird target.user.userid zugewiesen.
filePath principal.process.file.full_path Der Wert von filePath aus dem Rohlog wird principal.process.file.full_path zugewiesen.
file_path principal.process.file.full_path Der Wert von file_path aus dem Rohlog wird principal.process.file.full_path zugewiesen.
final_status security_result.action_details Der Wert von final_status aus dem Rohlog wird security_result.action_details zugewiesen. Anhand dieses Werts wird das Feld security_result.action festgelegt (z.B. wird „deleted“ dem Wert „BLOCK“ und „ignored“ dem Wert „ALLOW“ zugeordnet). Das Feld security_result.description wird außerdem mit „final_status: “ gefolgt vom Wert von final_status gefüllt. Wenn der Wert „deleted“ oder „blocked“ ist, wird metadata.event_type auf „SCAN_NETWORK“ gesetzt.
hash principal.process.file.sha256 Der Wert von hash aus dem Rohlog wird principal.process.file.sha256 zugewiesen.
host principal.hostname Der Wert von host aus dem Rohlog wird principal.hostname zugewiesen.
hostname principal.hostname Der Wert von hostname aus dem Rohlog wird principal.hostname zugewiesen, wenn event_name nicht „log_on“ oder „log_out“ ist. Andernfalls wird sie target.hostname zugewiesen.
host_name principal.hostname Der Wert von host_name aus dem Rohlog wird principal.hostname zugewiesen.
hwid principal.resource.id Der Wert von hwid aus dem Rohlog wird principal.resource.id zugewiesen, sofern er nicht leer ist. Wenn das Feld leer ist und das Ereignis nicht „log_on“ oder „log_out“ ist, wird principal.resource.id der Wert von source_hwid zugewiesen. Wenn das Ereignis „log_on“ oder „log_out“ ist, wird es target.resource.id zugewiesen.
incident_id metadata.product_log_id Der Wert von incident_id aus dem Rohlog wird metadata.product_log_id zugewiesen.
ip_dest target.ip Der Wert von ip_dest aus dem Rohlog wird target.ip zugewiesen.
ip_source principal.ip Der Wert von ip_source aus dem Rohlog wird principal.ip zugewiesen.
key_path target.registry.registry_key Der Wert von key_path aus dem Rohlog wird target.registry.registry_key zugewiesen.
local_port principal.port Der Wert von local_port aus dem Rohlog wird in eine Ganzzahl konvertiert und principal.port zugewiesen.
logon_type extensions.auth.mechanism Der Wert von logon_type aus dem Rohlog wird verwendet, um den Wert von extensions.auth.mechanism zu bestimmen. Verschiedene numerische Werte von logon_type werden verschiedenen Authentifizierungsmechanismen zugeordnet (z.B. 2 zu „LOCAL“, 3 zu „NETWORK“). Wenn keine passende logon_type gefunden wird, wird der Mechanismus auf „MECHANISM_UNSPECIFIED“ gesetzt.
lurker_id intermediary.resource.id Der Wert von lurker_id aus dem Rohlog wird intermediary.resource.id zugewiesen.
main_action security_result.action_details Der Wert von main_action aus dem Rohlog wird security_result.action_details zugewiesen. Basierend auf diesem Wert wird das Feld security_result.action festgelegt (z.B. wird „blocked“ zu „BLOCK“ und „no action“ zu „ALLOW“ zugeordnet). Das Feld security_result.description wird außerdem mit „main_action: “ gefolgt vom Wert von main_action gefüllt.
malware_name security_result.threat_name Der Wert von malware_name aus dem Rohlog wird security_result.threat_name zugewiesen.
malware_type security_result.detection_fields.value Der Wert von malware_type aus dem Rohlog wird einem security_result.detection_fields-Objekt als Wert zugewiesen, wobei der Schlüssel „malware_type“ ist.
metadata.description metadata.description Der Parser legt das Feld metadata.description anhand des Felds event_name fest.
metadata.event_type metadata.event_type Der Parser legt das Feld metadata.event_type anhand des Felds event_name fest.
metadata.product_event_type metadata.product_event_type Der Parser legt das Feld metadata.product_event_type basierend auf den Feldern event_name oder module fest.
metadata.product_log_id metadata.product_log_id Der Parser legt das Feld metadata.product_log_id basierend auf den Feldern msg_id oder incident_id fest.
metadata.product_name metadata.product_name Der Parser setzt metadata.product_name auf „BitDefender EDR“.
metadata.product_version metadata.product_version Der Parser benennt das Feld product_version in metadata.product_version um.
metadata.vendor_name metadata.vendor_name Der Parser legt metadata.vendor_name auf „BitDefender“ fest.
module metadata.product_event_type Der Wert von module aus dem Rohlog wird metadata.product_event_type zugewiesen. Wenn der Wert „new-incident“ ist und target_process_file_full_path nicht leer ist, wird metadata.event_type auf „PROCESS_UNCATEGORIZED“ gesetzt. Wenn der Wert „task-status“ ist, wird metadata.event_type auf „STATUS_UPDATE“ gesetzt. Wenn der Wert „network-monitor“ oder „fw“ ist, wird metadata.event_type auf „SCAN_NETWORK“ gesetzt.
msg_id metadata.product_log_id Der Wert von msg_id aus dem Rohlog wird metadata.product_log_id zugewiesen.
network.application_protocol network.application_protocol Der Wert von uc_type aus dem Rohlog wird in Großbuchstaben umgewandelt und network.application_protocol zugewiesen.
network.direction network.direction Der Parser legt das Feld network.direction anhand des Felds direction fest.
network.ip_protocol network.ip_protocol Wenn protocol_id „6“ ist, setzt der Parser network.ip_protocol auf „TCP“.
new_path target.file.full_path Der Wert von new_path aus dem Rohlog wird target.file.full_path zugewiesen.
old_path src.file.full_path Der Wert von old_path aus dem Rohlog wird src.file.full_path zugewiesen.
origin_ip intermediary.ip Der Wert von origin_ip aus dem Rohlog wird intermediary.ip zugewiesen.
os principal.platform_version Der Wert von os aus dem Rohlog wird principal.platform_version zugewiesen. Das Feld principal.platform wird von os abgeleitet (z.B. wird „Win“ zu „WINDOWS“ zugeordnet). Wenn das Ereignis „log_on“ oder „log_out“ ist, werden die Felder principal.platform und principal.platform_version in target.platform bzw. target.platform_version umbenannt.
os_type principal.platform Der Wert von os_type aus dem Rohlog wird verwendet, um den Wert von principal.platform zu bestimmen (z.B. wird „Win“ zu „WINDOWS“ zugeordnet).
parent_pid principal.process.pid Der Wert von parent_pid aus dem Rohlog wird principal.process.pid zugewiesen.
parent_process_path principal.process.file.full_path Der Wert von parent_process_path aus dem Rohlog wird principal.process.file.full_path zugewiesen.
parent_process_pid principal.process.pid Der Wert von parent_process_pid aus dem Rohlog wird principal.process.pid zugewiesen.
path target.file.full_path Der Wert von path aus dem Rohlog wird target.file.full_path zugewiesen.
pid principal.process.pid oder target.process.pid Der Wert von pid aus dem Rohlog wird principal.process.pid zugewiesen, wenn event_name mit „file“ oder „reg“ beginnt oder wenn es sich um „process_signal“, „network_connection“ oder „connection_connect“ handelt. Andernfalls wird sie target.process.pid zugewiesen.
pid_path principal.process.file.full_path Der Wert von pid_path aus dem Rohlog wird principal.process.file.full_path zugewiesen.
port_dest target.port Der Wert von port_dest aus dem Rohlog wird in eine Ganzzahl konvertiert und target.port zugewiesen.
port_source principal.port Der Wert von port_source aus dem Rohlog wird in eine Ganzzahl konvertiert und principal.port zugewiesen.
ppid principal.process.pid Der Wert von ppid aus dem Rohlog wird principal.process.pid zugewiesen.
principal.ip principal.ip Der Parser legt das Feld principal.ip basierend auf den Feldern ip_source oder dvc fest.
principal.platform principal.platform Der Parser legt das Feld principal.platform anhand der Felder os oder os_type fest.
principal.platform_version principal.platform_version Der Parser legt das Feld principal.platform_version anhand der Felder os oder osi_version fest.
principal.process.command_line principal.process.command_line Der Parser legt das Feld principal.process.command_line anhand des Felds parent_process_cmdline fest.
principal.process.file.full_path principal.process.file.full_path Der Parser legt das Feld principal.process.file.full_path basierend auf den Feldern pid_path, file_path, parent_process_path oder process_path fest.
principal.process.file.md5 principal.process.file.md5 Der Parser benennt das Feld file_hash_md5 in principal.process.file.md5 um.
principal.process.file.sha256 principal.process.file.sha256 Der Parser legt das Feld principal.process.file.sha256 anhand der Felder hash, BitdefenderGZMalwareHash oder file_hash_sha256 fest.
principal.process.parent_process.pid principal.process.parent_process.pid Der Parser benennt das Feld ppid in principal.process.parent_process.pid um.
principal.process.pid principal.process.pid Der Parser legt das Feld principal.process.pid anhand der Felder pid, parent_pid, ppid oder parent_process_pid fest.
principal.resource.id principal.resource.id Der Parser legt das Feld principal.resource.id anhand der Felder hwid oder source_hwid fest.
principal.url principal.url Der Parser legt das Feld principal.url anhand des Felds url fest.
process_command_line target.process.command_line Der Wert von process_command_line aus dem Rohlog wird target.process.command_line zugewiesen.
process_path principal.process.file.full_path oder target.process.file.full_path Der Wert von process_path aus dem Rohlog wird principal.process.file.full_path zugewiesen, wenn event_name „network_connection“ oder „connection_connect“ ist. Andernfalls wird sie target.process.file.full_path zugewiesen.
product_installed additional.fields.value.string_value Der Wert von product_installed aus dem Rohlog wird einem additional.fields-Objekt zugewiesen, wobei der Schlüssel „product_installed“ lautet.
product_version metadata.product_version Der Wert von product_version aus dem Rohlog wird metadata.product_version zugewiesen.
protocol_id network.ip_protocol Wenn protocol_id „6“ ist, setzt der Parser network.ip_protocol auf „TCP“.
request target.url Der Wert von request aus dem Rohlog wird target.url zugewiesen.
security_result.action security_result.action Der Parser legt das Feld security_result.action basierend auf den Feldern main_action, actionTaken, status oder final_status fest. Wenn keines dieser Felder eine gültige Aktion enthält, wird standardmäßig „UNKNOWN_ACTION“ verwendet.
security_result.action_details security_result.action_details Der Parser legt das Feld security_result.action_details basierend auf den Feldern main_action, actionTaken, status oder final_status fest.
security_result.category security_result.category Der Parser setzt das Feld security_result.category auf „PHISHING“, wenn event_name „Antiphishing“ ist, auf „SOFTWARE_MALICIOUS“, wenn event_name „AntiMalware“ ist, oder führt den Wert aus dem Feld sec_category zusammen.
security_result.category_details security_result.category_details Der Parser legt das Feld security_result.category_details anhand der Felder block_type oder attack_types fest.
security_result.detection_fields security_result.detection_fields Der Parser erstellt security_result.detection_fields-Objekte für verschiedene Felder, darunter „malware_type“, „attack_entry“, „BitdefenderGZAttCkId“, „BitdefenderGZEndpointId“, „final_status“, „detection attackTechnique“ und „computer_name“.
security_result.description security_result.description Der Parser legt das Feld security_result.description basierend auf den Feldern main_action, actionTaken oder final_status fest.
security_result.severity security_result.severity Der Parser legt das Feld security_result.severity basierend auf dem in Großbuchstaben geschriebenen Wert des Felds severity fest, wenn es nicht leer ist und module „new-incident“ ist.
security_result.severity_details security_result.severity_details Der Parser legt das Feld security_result.severity_details anhand des Felds severity_score fest.
security_result.threat_name security_result.threat_name Der Parser legt das Feld security_result.threat_name anhand der Felder malware_name oder detection_name fest.
severity security_result.severity Der Wert von severity aus dem Rohlog wird in Großbuchstaben umgewandelt und security_result.severity zugewiesen, wenn er nicht leer ist und module „new-incident“ ist.
severity_score security_result.severity_details Der Wert von severity_score aus dem Rohlog wird in einen String konvertiert und security_result.severity_details zugewiesen.
source_host observer.ip Der Wert von source_host aus dem Rohlog wird observer.ip zugewiesen.
source_hwid principal.resource.id Der Wert von source_hwid aus dem Rohlog wird principal.resource.id zugewiesen.
source_ip src.ip Der Wert von source_ip aus dem Rohlog wird src.ip zugewiesen.
source_port principal.port Der Wert von source_port aus dem Rohlog wird in eine Ganzzahl konvertiert und principal.port zugewiesen.
spt principal.port Der Wert von spt aus dem Rohlog wird principal.port zugewiesen.
sproc principal.process.command_line Der Wert von sproc aus dem Rohlog wird principal.process.command_line zugewiesen.
src principal.ip Der Wert von src aus dem Rohlog wird principal.ip zugewiesen.
src.ip src.ip Der Parser legt das Feld src.ip anhand des Felds source_ip fest.
src.file.full_path src.file.full_path Der Parser legt das Feld src.file.full_path anhand des Felds old_path fest.
status security_result.action_details Der Wert von status aus dem Rohlog wird security_result.action_details zugewiesen. Basierend auf diesem Wert wird das Feld security_result.action festgelegt (z.B. werden „portscan_blocked“ und „uc_site_blocked“ zu „BLOCK“ zugeordnet). Das Feld security_result.description wird außerdem mit „status: “ gefolgt vom Wert von status gefüllt.
suid principal.user.userid Der Wert von suid aus dem Rohlog wird principal.user.userid zugewiesen.
suser principal.user.user_display_name Der Wert von suser aus dem Rohlog wird principal.user.user_display_name zugewiesen.
target.file.full_path target.file.full_path Der Parser legt das Feld target.file.full_path anhand der Felder path oder new_path fest.
target.hostname target.hostname Der Parser legt das Feld target.hostname anhand des Felds hostname fest.
target.ip target.ip Der Parser legt das Feld target.ip anhand der Felder ip_dest oder destination_ip fest.
target.platform target.platform Der Parser legt das Feld target.platform anhand des Felds principal.platform fest.
target.platform_version target.platform_version Der Parser legt das Feld target.platform_version anhand des Felds principal.platform_version fest.
target.port target.port Der Parser legt das Feld target.port anhand der Felder port_dest oder destination_port fest.
target.process.command_line target.process.command_line Der Parser legt das Feld target.process.command_line basierend auf den Feldern command_line, process_command_line oder cmd_line fest.
target.process.file.full_path target.process.file.full_path Der Parser legt das Feld target.process.file.full_path anhand des Felds process_path fest.
target.process.pid target.process.pid Der Parser legt das Feld target.process.pid anhand des Felds pid fest.
target.registry.registry_key target.registry.registry_key Der Parser legt das Feld target.registry.registry_key anhand des Felds key_path fest.
target.registry.registry_value_data target.registry.registry_value_data Der Parser legt das Feld target.registry.registry_value_data anhand des Felds data fest.
target.registry.registry_value_name target.registry.registry_value_name Der Parser legt das Feld target.registry.registry_value_name anhand des Felds value fest.
target.resource.id target.resource.id Der Parser legt das Feld target.resource.id basierend auf den Feldern hwid oder BitdefenderGZHwId fest.
target.url target.url Der Parser legt das Feld target.url anhand des Felds request fest.
target.user.company_name target.user.company_name Der Parser legt das Feld target.user.company_name anhand des Felds companyId fest.
target.user.user_display_name target.user.user_display_name Der Parser legt das Feld target.user.user_display_name anhand der Felder user.name oder user.userName fest.
target.user.userid target.user.userid Der Parser legt das Feld target.user.userid anhand der Felder user_name, user, user.id oder extra_info.user fest.
target_pid target.process.pid Der Wert von target_pid aus dem Rohlog wird target.process.pid zugewiesen.
timestamp metadata.event_timestamp Der Wert von timestamp aus dem Rohlog wird geparst und metadata.event_timestamp zugewiesen.
uc_type network.application_protocol Der Wert von uc_type aus dem Rohlog wird in Großbuchstaben umgewandelt und network.application_protocol zugewiesen. Wenn target_user_userid nicht leer ist, wird metadata.event_type auf „USER_UNCATEGORIZED“ gesetzt. Andernfalls wird er auf „STATUS_UPDATE“ gesetzt.
url principal.url Der Wert von url aus dem Rohlog wird principal.url zugewiesen, wenn er nicht leer oder „0.0.0.0“ ist.
user target.user.userid Der Wert von user aus dem Rohlog wird target.user.userid zugewiesen.
user.id target.user.userid Der Wert von user.id aus dem Rohlog wird target.user.userid zugewiesen.
user.name target.user.user_display_name Der Wert von user.name aus dem Rohlog wird target.user.user_display_name zugewiesen.
user.userName target.user.user_display_name Der Wert von user.userName aus dem Rohlog wird target.user.user_display_name zugewiesen.
user.userSid principal.user.windows_sid Der Wert von user.userSid aus dem Rohlog wird principal.user.windows_sid zugewiesen.
user_name target.user.userid Der Wert von user_name aus dem Rohlog wird target.user.userid zugewiesen.
value target.registry.registry_value_data oder target.registry.registry_value_name Der Wert von value aus dem Rohlog wird target.registry.registry_value_data zugewiesen, wenn event_name „reg_delete_value“ ist. Andernfalls wird sie target.registry.registry_value_name zugewiesen.
machine_name event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus Änderungsprotokoll zugeordnet
os_family event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
os_version event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
os_platform event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
container_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
user_sid event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
integrity event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
integrity_sz event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
elevation event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
elevation_sz event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
parent_integrity event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
parent_integrity_sz event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
parent_elevation event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
parent_elevation_sz event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ring event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
event_version event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
company_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ctc_version event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
hardware_id event.idm.read_only_udm.principal.asset.product_object_id Aus Änderungsprotokoll zugeordnet
parent_pid event.idm.read_only_udm.principal.process.pid Aus Änderungsprotokoll zugeordnet
parent_cmdline event.idm.read_only_udm.principal.process.command_line Aus Änderungsprotokoll zugeordnet
parent_user_name event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
cmdline event.idm.read_only_udm.target.process.command_line Aus Änderungsprotokoll zugeordnet
user_name event.idm.read_only_udm.target.user.userid Aus Änderungsprotokoll zugeordnet
process_sha event.idm.read_only_udm.target.process.file.sha256 Aus Änderungsprotokoll zugeordnet
process_md5 event.idm.read_only_udm.target.process.file.md5 Aus Änderungsprotokoll zugeordnet
mitre_ids event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
dvc event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
fileHash event.idm.read_only_udm.target.file.md5 Aus Änderungsprotokoll zugeordnet
BitdefenderGZFileHashSha256 event.idm.read_only_udm.target.file.sha256 Aus Änderungsprotokoll zugeordnet
fname event.idm.read_only_udm.target.file.names Aus Änderungsprotokoll zugeordnet
BitdefenderGZAttackTypes event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZOldHwid event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZNewHwid event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZIncidentId event.idm.read_only_udm.security_result.rule_id Aus Änderungsprotokoll zugeordnet
start event.idm.read_only_udm.security_result.first_discovered_time Aus Änderungsprotokoll zugeordnet
BitdefenderGZAttackType event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionLevel event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZFilelessAttack event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
severity event.idm.read_only_udm.security_result.severity_details Aus Änderungsprotokoll zugeordnet
BitdefenderGZEventSourceIP event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
BitdefenderGZFwProtocolId event.idm.read_only_udm.network.ip_protocol Aus Änderungsprotokoll zugeordnet
cnt event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZMalwareHash event.idm.read_only_udm.target.file.sha256 Aus Änderungsprotokoll zugeordnet
BitdefenderGZMalwareType event.idm.read_only_udm.security_result.threat_name Aus Änderungsprotokoll zugeordnet
BitdefenderGZMalwareName event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZParentPid event.idm.read_only_udm.target.process.parent_process.pid Aus Änderungsprotokoll zugeordnet
BitdefenderGZParentPath event.idm.read_only_udm.target.process.parent_process.file.full_path Aus Änderungsprotokoll zugeordnet
suser event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
suid event.idm.read_only_udm.principal.user.windows_sid Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionName event.idm.read_only_udm.security_result.threat_name Aus Änderungsprotokoll zugeordnet
BitdefenderGZProcessCommandLine event.idm.read_only_udm.target.process.command_line Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionAttackTechnique event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionAttackerIp event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionVictimIp event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionLocalPort event.idm.read_only_udm.target.port Aus Änderungsprotokoll zugeordnet
BitdefenderGZEmailSender event.idm.read_only_udm.principal.user.email_addresses Aus Änderungsprotokoll zugeordnet
duser event.idm.read_only_udm.target.user.userid Aus Änderungsprotokoll zugeordnet
BitdefenderGZEmailSubject event.idm.read_only_udm.network.email.subject Aus Änderungsprotokoll zugeordnet
BitdefenderGZEventType event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionTechnique event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZDriverPath event.idm.read_only_udm.target.file.full_path Aus Änderungsprotokoll zugeordnet
BitdefenderGZParentProcess event.idm.read_only_udm.target.process.parent_process.pid Aus Änderungsprotokoll zugeordnet
BitdefenderGZParentProcessPath event.idm.read_only_udm.target.process.parent_process.file.full_path Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionCommandLine event.idm.read_only_udm.target.process.command_line Aus Änderungsprotokoll zugeordnet
BitdefenderGZDetectionTime event.idm.read_only_udm.security_result.first_seen_timestamp Aus Änderungsprotokoll zugeordnet
BitdefenderGZSignaturesNumber event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZTaskScanType event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZScanEngineType event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZCleanedMalwareCnt event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZBlockedMalwareCnt event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZDeletedMalwareCnt event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZQuarantinedMalwareCnt event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZIgnoredMalwareCnt event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZPresentMalwareCnt event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZModule event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
BitdefenderGZCompanyId event.idm.read_only_udm.target.user.company_name Aus Änderungsprotokoll zugeordnet
dvchost event.idm.read_only_udm.about.hostname Aus Änderungsprotokoll zugeordnet
BitdefenderGZMalwareName event.idm.read_only_udm.security_result.threat_name Aus Änderungsprotokoll zugeordnet
BitdefenderGZComputerFQDN event.idm.read_only_udm.principal.asset.network_domain Aus Änderungsprotokoll zugeordnet
BitdefenderGZMalwareHash event.idm.read_only_udm.principal.process.file.sha256 Aus Änderungsprotokoll zugeordnet
BitdefenderGZHwId event.idm.read_only_udm.target.resource.id Aus Änderungsprotokoll zugeordnet
event_name event.idm.read_only_udm.security_result.category Aus Änderungsprotokoll zugeordnet
reason event.idm.read_only_udm.security_result.summary Aus Änderungsprotokoll zugeordnet
dvc event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
dvc event.idm.read_only_udm.about.ip Aus Änderungsprotokoll zugeordnet
src event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
deviceExternalId event.idm.read_only_udm.about.asset.asset_id Aus Änderungsprotokoll zugeordnet
request event.idm.read_only_udm.target.url Aus Änderungsprotokoll zugeordnet
BitdefenderGZSeverityScore event.idm.read_only_udm.security_result.severity_details Aus Änderungsprotokoll zugeordnet
BitdefenderGZMalwareType event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZAttCkId event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
BitdefenderGZEndpointId event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
sproc event.idm.read_only_udm.principal.process.command_line Aus Änderungsprotokoll zugeordnet
suid event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
severity event.idm.read_only_udm.security_result.severity Aus Änderungsprotokoll zugeordnet
BitdefenderGZMainAction event.idm.read_only_udm.security_result.action Aus Änderungsprotokoll zugeordnet
BitdefenderGZMainAction event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
BitdefenderGZMainAction event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
actionTaken event.idm.read_only_udm.security_result.action Aus Änderungsprotokoll zugeordnet
actionTaken event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
actionTaken event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
final_status event.idm.read_only_udm.security_result.action Aus Änderungsprotokoll zugeordnet
final_status event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
final_status event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
status event.idm.read_only_udm.security_result.action Aus Änderungsprotokoll zugeordnet
status event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
status event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
dhost event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus Änderungsprotokoll zugeordnet
suser event.idm.read_only_udm.principal.user.user_display_name Aus Änderungsprotokoll zugeordnet
act event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
msg event.idm.read_only_udm.metadata.description Aus Änderungsprotokoll zugeordnet
start event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
filePath event.idm.read_only_udm.about.file.full_path Aus Änderungsprotokoll zugeordnet
device_version event.idm.read_only_udm.metadata.product_version Aus Änderungsprotokoll zugeordnet
security_result.action QUARANTINE Aus Änderungsprotokoll zugeordnet
security_result.action ALLOW_WITH_MODIFICATION Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten