איסוף יומנים של Bitdefender

גרסת כלי הניתוח: 29.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Bitdefender ב-Google Security Operations באמצעות סוכן Bindplane.

הכלי הזה מנתח את היומנים של Bitdefender GravityZone בפורמט CEF או CSV, מבצע נרמול של השדות ל-UDM ומבצע פעולות ספציפיות על סמך סוגי האירועים. הוא מטפל בפעולות על קבצים, בחיבורים לרשת, ביצירת תהליכים ובשינויים ברישום, וממפה מידע רלוונטי לשדות המתאימים ב-UDM.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין מכשיר Bitdefender GravityZone
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישה עם הרשאות ל-Bitdefender GravityZone

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. הורדה של קובץ אימות להטמעת נתונים

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/bitdefender:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: BITDEFENDER
          raw_log_field: body
  
  service:
      pipelines:
          logs/bitdefender_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/bitdefender
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. בודקים אם יש שגיאות ביומנים:

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת סטרימינג של syslog ב-Bitdefender GravityZone

1. נכנסים אל GravityZone Control Center.
2. עוברים אל הגדרות > שילובים > Syslog.
3. לוחצים על הוספת שרת Syslog.
4. מזינים את הפרטים הנדרשים:
   • שם: מציינים שם ייחודי לשרת syslog (לדוגמה, CentralSyslog).
   • כתובת IP או שם מארח: מזינים את כתובת ה-IP או את שם המארח של שרת Bindplane.
   • פרוטוקול: בוחרים את הפרוטוקול לשימוש: TCP או UDP.
   • יציאה: מציינים את מספר היציאה של שרת Bindplane.
   • בוחרים את סוגי היומנים שרוצים להזרים (לדוגמה, אירועים של תוכנה נגד תוכנות זדוניות, אירועים של הגנה מפני מתקפות ברשת (NAD), אירועים של בקרת אינטרנט, אירועים של חומת אש או שינויים במדיניות).
   • אופציונלי: מגדירים מסננים כדי לכלול או להחריג סוגים ספציפיים של אירועים.
5. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
BitdefenderGZAttackEntry	security_result.detection_fields.value	הערך של BitdefenderGZAttackEntry מהיומן הגולמי מוקצה כערך לאובייקט security_result.detection_fields, כאשר המפתח הוא attack_entry.
BitdefenderGZAttackTypes	security_result.category_details	הערך של BitdefenderGZAttackTypes מיומן הרישום הגולמי מוקצה ל-security_result.category_details. הערך מפולח למחרוזות נפרדות, וכל מחרוזת מתווספת כערך למערך security_result.category_details.
BitdefenderGZAttCkId	security_result.detection_fields.value	הערך של BitdefenderGZAttCkId מיומן הגולמי מוקצה כערך לאובייקט security_result.detection_fields שבו המפתח הוא BitdefenderGZAttCkId.
BitdefenderGZCompanyId	target.user.company_name	הערך של BitdefenderGZCompanyId מיומן הרישום הגולמי מוקצה ל-target.user.company_name.
BitdefenderGZComputerFQDN	principal.asset.network_domain	הערך של BitdefenderGZComputerFQDN מיומן הרישום הגולמי מוקצה ל-principal.asset.network_domain.
BitdefenderGZDetectionName	security_result.threat_name	הערך של BitdefenderGZDetectionName מיומן הרישום הגולמי מוקצה ל-security_result.threat_name.
BitdefenderGZEndpointId	security_result.detection_fields.value	הערך של BitdefenderGZEndpointId מיומן הגולמי מוקצה כערך לאובייקט security_result.detection_fields שבו המפתח הוא BitdefenderGZEndpointId.
BitdefenderGZIncidentId	metadata.product_log_id	הערך של BitdefenderGZIncidentId מיומן הרישום הגולמי מוקצה ל-metadata.product_log_id.
BitdefenderGZMainAction	security_result.action_details	הערך של BitdefenderGZMainAction מיומן הרישום הגולמי מוקצה ל-security_result.action_details. על סמך הערך הזה, השדה security_result.action מוגדר (למשל, 'חסום' ממופה ל-'BLOCK'). השדה security_result.description מאוכלס גם בערך main_action:‎ ואחריו הערך של BitdefenderGZMainAction.
BitdefenderGZMalwareHash	principal.process.file.sha256	הערך של BitdefenderGZMalwareHash מיומן הרישום הגולמי מוקצה ל-principal.process.file.sha256.
BitdefenderGZMalwareName	security_result.threat_name	הערך של BitdefenderGZMalwareName מיומן הרישום הגולמי מוקצה ל-security_result.threat_name.
BitdefenderGZMalwareType	security_result.detection_fields.value	הערך של BitdefenderGZMalwareType מיומן הגולמי מוקצה כערך לאובייקט security_result.detection_fields, כאשר המפתח הוא malware_type.
BitdefenderGZModule	metadata.product_event_type	הערך של BitdefenderGZModule מיומן הרישום הגולמי מוקצה ל-metadata.product_event_type.
BitdefenderGZSeverityScore	security_result.severity_details	הערך של BitdefenderGZSeverityScore מיומן הרישום הגולמי מוקצה ל-security_result.severity_details.
BitdefenderGZHwId	target.resource.id	הערך של BitdefenderGZHwId מיומן הרישום הגולמי מוקצה ל-target.resource.id.
act	security_result.action_details	הערך של act מיומן הרישום הגולמי מוקצה ל-security_result.action_details.
actionTaken	security_result.action_details	הערך של actionTaken מיומן הרישום הגולמי מוקצה ל-security_result.action_details. על סמך הערך הזה, השדה security_result.action מוגדר (למשל, block ממופה ל-BLOCK). השדה security_result.description מאוכלס גם בערך actionTaken:‎ ואחריו הערך של actionTaken.
additional.fields	additional.fields	לוגיקת הניתוח יוצרת צמד מפתח/ערך בשביל product_installed ומוסיפה אותו לאובייקט additional.fields.
categories	principal.asset.category	הערך של categories מיומן הרישום הגולמי מוקצה ל-principal.asset.category.
cmd_line	target.process.command_line	הערך של cmd_line מיומן הרישום הגולמי מוקצה ל-target.process.command_line.
companyId	target.user.company_name	הערך של companyId מיומן הרישום הגולמי מוקצה ל-target.user.company_name.
computer_fqdn	principal.asset.network_domain	הערך של computer_fqdn מיומן הרישום הגולמי מוקצה ל-principal.asset.network_domain.
computer_id	principal.asset.asset_id	הערך של computer_id מיומן הגולמי משויך ל-principal.asset.asset_id אחרי שמוסיפים לפניו את המחרוזת ComputerId:.
computer_ip	principal.asset.ip	הערך של computer_ip מנותח מהיומן הגולמי, מפוצל באמצעות פסיקים, וכל כתובת IP שמתקבלת מתווספת למערך principal.asset.ip.
computer_name	principal.resource.attribute.labels.value	הערך של computer_name מהיומן הגולמי מוקצה כערך לאובייקט principal.resource.attribute.labels, כאשר המפתח הוא computer_name. הוא גם מתווסף כערך לאובייקט security_result.detection_fields שבו המפתח הוא computer_name.
column1	metadata.product_log_id	הערך של column1 מיומן הרישום הגולמי מוקצה ל-metadata.product_log_id.
column3	observer.ip	הערך של column3 מיומן הרישום הגולמי מוקצה ל-observer.ip.
command_line	target.process.command_line	הערך של command_line מיומן הרישום הגולמי מוקצה ל-target.process.command_line.
data	target.registry.registry_value_data	הערך של data מיומן הרישום הגולמי מוקצה ל-target.registry.registry_value_data.
detection_attackTechnique	security_result.detection_fields.value	הערך של detection_attackTechnique מהיומן הגולמי מוקצה כערך לאובייקט security_result.detection_fields שבו המפתח הוא detection attackTechnique.
detection_name	security_result.threat_name	הערך של detection_name מיומן הרישום הגולמי מוקצה ל-security_result.threat_name.
destination_ip	target.ip	הערך של destination_ip מיומן הרישום הגולמי מוקצה ל-target.ip.
destination_port	target.port	הערך של destination_port מיומן הרישום הגולמי מוקצה ל-target.port.
direction	network.direction	הערך של direction מיומן הגולמי מומר לאותיות רישיות ומוקצה ל-network.direction.
dvc	principal.ip	הערך של dvc מנותח מהיומן הגולמי, מפוצל באמצעות פסיקים, וכל כתובת IP שמתקבלת מתווספת למערך principal.ip.
dvchost	about.hostname	הערך של dvchost מיומן הרישום הגולמי מוקצה ל-about.hostname.
event_description	metadata.description	הערך של event_description מיומן הרישום הגולמי מוקצה ל-metadata.description.
event_name	metadata.product_event_type	הערך של event_name מיומן הרישום הגולמי מוקצה ל-metadata.product_event_type. אם הערך הוא Antiphishing,‏ security_result.category מוגדר כ-PHISHING. אם הערך הוא AntiMalware,‏ security_result.category מוגדר כ-SOFTWARE_MALICIOUS. השדה metadata.event_type נגזר מהשדה event_name באמצעות סדרה של משפטי תנאי בתוך מנתח התוכן.
ev	metadata.product_event_type	הערך של ev מיומן הרישום הגולמי מוקצה ל-metadata.product_event_type.
extra_info.command_line	target.process.command_line	הערך של extra_info.command_line מיומן הרישום הגולמי מוקצה ל-target.process.command_line.
extra_info.parent_pid	principal.process.pid	הערך של extra_info.parent_pid מיומן הרישום הגולמי מוקצה ל-principal.process.pid.
extra_info.parent_process_cmdline	principal.process.command_line	הערך של extra_info.parent_process_cmdline מיומן הרישום הגולמי מוקצה ל-principal.process.command_line.
extra_info.parent_process_path	principal.process.file.full_path	הערך של extra_info.parent_process_path מיומן הרישום הגולמי מוקצה ל-principal.process.file.full_path.
extra_info.pid	target.process.pid	הערך של extra_info.pid מיומן הרישום הגולמי מוקצה ל-target.process.pid.
extra_info.process_path	target.process.file.full_path	הערך של extra_info.process_path מיומן הרישום הגולמי מוקצה ל-target.process.file.full_path.
extra_info.user	target.user.userid	הערך של extra_info.user מיומן הרישום הגולמי מוקצה ל-target.user.userid.
filePath	principal.process.file.full_path	הערך של filePath מיומן הרישום הגולמי מוקצה ל-principal.process.file.full_path.
file_path	principal.process.file.full_path	הערך של file_path מיומן הרישום הגולמי מוקצה ל-principal.process.file.full_path.
final_status	security_result.action_details	הערך של final_status מיומן הרישום הגולמי מוקצה ל-security_result.action_details. על סמך הערך הזה, השדה security_result.action מוגדר (למשל, 'נמחק' ממופה ל'חסימה', 'התעלמות' ממופה ל'אישור'). השדה security_result.description מאוכלס גם בערך final_status:‎ ואחריו הערך של final_status. אם הערך הוא deleted או blocked,‏ metadata.event_type מוגדר כ-SCAN_NETWORK.
hash	principal.process.file.sha256	הערך של hash מיומן הרישום הגולמי מוקצה ל-principal.process.file.sha256.
host	principal.hostname	הערך של host מיומן הרישום הגולמי מוקצה ל-principal.hostname.
hostname	principal.hostname	הערך של hostname מיומן הגולמי משויך ל-principal.hostname אם event_name הוא לא log_on או log_out. אחרת, הוא מוקצה ל-target.hostname.
host_name	principal.hostname	הערך של host_name מיומן הרישום הגולמי מוקצה ל-principal.hostname.
hwid	principal.resource.id	הערך של hwid מיומן הגולמי מוקצה ל-principal.resource.id אם הוא לא ריק. אם הוא ריק והאירוע הוא לא log_on או log_out, הערך של source_hwid מוקצה ל-principal.resource.id. אם האירוע הוא log_on או log_out, הוא משויך ל-target.resource.id.
incident_id	metadata.product_log_id	הערך של incident_id מיומן הרישום הגולמי מוקצה ל-metadata.product_log_id.
ip_dest	target.ip	הערך של ip_dest מיומן הרישום הגולמי מוקצה ל-target.ip.
ip_source	principal.ip	הערך של ip_source מיומן הרישום הגולמי מוקצה ל-principal.ip.
key_path	target.registry.registry_key	הערך של key_path מיומן הרישום הגולמי מוקצה ל-target.registry.registry_key.
local_port	principal.port	הערך של local_port מיומן הגולמי מומר למספר שלם ומוקצה ל-principal.port.
logon_type	extensions.auth.mechanism	הערך של logon_type מתוך יומן הגולמי משמש לקביעת הערך של extensions.auth.mechanism. ערכים מספריים שונים של logon_type ממופים למנגנוני אימות שונים (לדוגמה, 2 ממופה ל-LOCAL,‏ 3 ממופה ל-NETWORK). אם לא נמצאה התאמה ל-logon_type, המנגנון מוגדר כ-MECHANISM_UNSPECIFIED.
lurker_id	intermediary.resource.id	הערך של lurker_id מיומן הרישום הגולמי מוקצה ל-intermediary.resource.id.
main_action	security_result.action_details	הערך של main_action מיומן הרישום הגולמי מוקצה ל-security_result.action_details. על סמך הערך הזה, השדה security_result.action מוגדר (למשל, 'blocked' ממופה ל-'BLOCK', ו-'no action' ממופה ל-'ALLOW'). השדה security_result.description מאוכלס גם בערך main_action:‎ ואחריו הערך של main_action.
malware_name	security_result.threat_name	הערך של malware_name מיומן הרישום הגולמי מוקצה ל-security_result.threat_name.
malware_type	security_result.detection_fields.value	הערך של malware_type מיומן הגולמי מוקצה כערך לאובייקט security_result.detection_fields, כאשר המפתח הוא malware_type.
metadata.description	metadata.description	הכלי לניתוח מחרוזות מגדיר את השדה metadata.description על סמך השדה event_name.
metadata.event_type	metadata.event_type	הכלי לניתוח מחרוזות מגדיר את השדה metadata.event_type על סמך השדה event_name.
metadata.product_event_type	metadata.product_event_type	הכלי לניתוח מחרוזות מגדיר את השדה metadata.product_event_type על סמך השדות event_name או module.
metadata.product_log_id	metadata.product_log_id	הכלי לניתוח מחרוזות מגדיר את השדה metadata.product_log_id על סמך השדות msg_id או incident_id.
metadata.product_name	metadata.product_name	הכלי לניתוח מחרוזות מגדיר את metadata.product_name ל-BitDefender EDR.
metadata.product_version	metadata.product_version	הכלי לניתוח מחליף את השם של השדה product_version ל-metadata.product_version.
metadata.vendor_name	metadata.vendor_name	הכלי לניתוח מחרוזות מגדיר את הערך metadata.vendor_name כ-BitDefender.
module	metadata.product_event_type	הערך של module מיומן הרישום הגולמי מוקצה ל-metadata.product_event_type. אם הערך הוא 'new-incident' והשדה target_process_file_full_path לא ריק, הערך של metadata.event_type מוגדר כ-'PROCESS_UNCATEGORIZED'. אם הערך הוא task-status,‏ metadata.event_type מוגדר כ-STATUS_UPDATE. אם הערך הוא network-monitor או fw,‏ metadata.event_type מוגדר כ-SCAN_NETWORK.
msg_id	metadata.product_log_id	הערך של msg_id מיומן הרישום הגולמי מוקצה ל-metadata.product_log_id.
network.application_protocol	network.application_protocol	הערך של uc_type מיומן הגולמי מומר לאותיות רישיות ומוקצה ל-network.application_protocol.
network.direction	network.direction	הכלי לניתוח מחרוזות מגדיר את השדה network.direction על סמך השדה direction.
network.ip_protocol	network.ip_protocol	אם הערך של protocol_id הוא 6, מנתח התעבורה מגדיר את network.ip_protocol כ-TCP.
new_path	target.file.full_path	הערך של new_path מיומן הרישום הגולמי מוקצה ל-target.file.full_path.
old_path	src.file.full_path	הערך של old_path מיומן הרישום הגולמי מוקצה ל-src.file.full_path.
origin_ip	intermediary.ip	הערך של origin_ip מיומן הרישום הגולמי מוקצה ל-intermediary.ip.
os	principal.platform_version	הערך של os מיומן הרישום הגולמי מוקצה ל-principal.platform_version. השדה principal.platform נגזר מ-os (לדוגמה, 'Win' ממופה ל-'WINDOWS'). אם האירוע הוא log_on או log_out, השמות של השדות principal.platform ו-principal.platform_version משתנים ל-target.platform ו-target.platform_version, בהתאמה.
os_type	principal.platform	הערך של os_type מיומן הרישום הגולמי משמש לקביעת הערך של principal.platform (למשל, 'Win' ממופה ל-'WINDOWS').
parent_pid	principal.process.pid	הערך של parent_pid מיומן הרישום הגולמי מוקצה ל-principal.process.pid.
parent_process_path	principal.process.file.full_path	הערך של parent_process_path מיומן הרישום הגולמי מוקצה ל-principal.process.file.full_path.
parent_process_pid	principal.process.pid	הערך של parent_process_pid מיומן הרישום הגולמי מוקצה ל-principal.process.pid.
path	target.file.full_path	הערך של path מיומן הרישום הגולמי מוקצה ל-target.file.full_path.
pid	principal.process.pid או target.process.pid	הערך של pid מיומן הגולמי משויך ל-principal.process.pid אם event_name מתחיל ב-fileאו ב-reg, או אם הוא אחד מהערכים process_signal,‏ network_connection או connection_connect. אחרת, הוא מוקצה ל-target.process.pid.
pid_path	principal.process.file.full_path	הערך של pid_path מיומן הרישום הגולמי מוקצה ל-principal.process.file.full_path.
port_dest	target.port	הערך של port_dest מיומן הגולמי מומר למספר שלם ומוקצה ל-target.port.
port_source	principal.port	הערך של port_source מיומן הגולמי מומר למספר שלם ומוקצה ל-principal.port.
ppid	principal.process.pid	הערך של ppid מיומן הרישום הגולמי מוקצה ל-principal.process.pid.
principal.ip	principal.ip	הכלי לניתוח מחרוזות מגדיר את השדה principal.ip על סמך השדות ip_source או dvc.
principal.platform	principal.platform	הכלי לניתוח מחרוזות מגדיר את השדה principal.platform על סמך השדות os או os_type.
principal.platform_version	principal.platform_version	הכלי לניתוח מחרוזות מגדיר את השדה principal.platform_version על סמך השדות os או osi_version.
principal.process.command_line	principal.process.command_line	הכלי לניתוח מחרוזות מגדיר את השדה principal.process.command_line על סמך השדה parent_process_cmdline.
principal.process.file.full_path	principal.process.file.full_path	הכלי לניתוח מחרוזות מגדיר את השדה principal.process.file.full_path על סמך השדות pid_path, file_path, parent_process_path או process_path.
principal.process.file.md5	principal.process.file.md5	הכלי לניתוח מחליף את השם של השדה file_hash_md5 ל-principal.process.file.md5.
principal.process.file.sha256	principal.process.file.sha256	הכלי לניתוח מחרוזות מגדיר את השדה principal.process.file.sha256 על סמך השדות hash, BitdefenderGZMalwareHash או file_hash_sha256.
principal.process.parent_process.pid	principal.process.parent_process.pid	הכלי לניתוח מחליף את השם של השדה ppid ל-principal.process.parent_process.pid.
principal.process.pid	principal.process.pid	הכלי לניתוח מחרוזות מגדיר את השדה principal.process.pid על סמך השדות pid, parent_pid, ppid או parent_process_pid.
principal.resource.id	principal.resource.id	הכלי לניתוח מחרוזות מגדיר את השדה principal.resource.id על סמך השדות hwid או source_hwid.
principal.url	principal.url	הכלי לניתוח מחרוזות מגדיר את השדה principal.url על סמך השדה url.
process_command_line	target.process.command_line	הערך של process_command_line מיומן הרישום הגולמי מוקצה ל-target.process.command_line.
process_path	principal.process.file.full_path או target.process.file.full_path	הערך של process_path מיומן הגולמי משויך ל-principal.process.file.full_path אם event_name הוא network_connection או connection_connect. אחרת, הוא מוקצה ל-target.process.file.full_path.
product_installed	additional.fields.value.string_value	הערך של product_installed מהיומן הגולמי מוקצה כערך לאובייקט additional.fields שבו המפתח הוא product_installed.
product_version	metadata.product_version	הערך של product_version מיומן הרישום הגולמי מוקצה ל-metadata.product_version.
protocol_id	network.ip_protocol	אם הערך של protocol_id הוא 6, מנתח התעבורה מגדיר את network.ip_protocol כ-TCP.
request	target.url	הערך של request מיומן הרישום הגולמי מוקצה ל-target.url.
security_result.action	security_result.action	הכלי לניתוח מחרוזות מגדיר את השדה security_result.action על סמך השדות main_action, actionTaken, status או final_status. אם אף אחד מהשדות האלה לא מספק פעולה תקינה, ברירת המחדל היא UNKNOWN_ACTION.
security_result.action_details	security_result.action_details	הכלי לניתוח מחרוזות מגדיר את השדה security_result.action_details על סמך השדות main_action, actionTaken, status או final_status.
security_result.category	security_result.category	אם הערך של event_name הוא Antiphishing, מנתח התוכן מגדיר את השדה security_result.category כ-PHISHING. אם הערך של event_name הוא AntiMalware, מנתח התוכן מגדיר את השדה security_result.category כ-SOFTWARE_MALICIOUS. אחרת, מנתח התוכן ממזג את הערך מהשדה sec_category.
security_result.category_details	security_result.category_details	הכלי לניתוח מחרוזות מגדיר את השדה security_result.category_details על סמך השדות block_type או attack_types.
security_result.detection_fields	security_result.detection_fields	הכלי לניתוח יוצר אובייקטים של security_result.detection_fields לשדות שונים, כולל malware_type,‏ attack_entry,‏ BitdefenderGZAttCkId,‏ BitdefenderGZEndpointId,‏ final_status,‏ detection attackTechnique ו-computer_name.
security_result.description	security_result.description	הכלי לניתוח מחרוזות מגדיר את השדה security_result.description על סמך השדות main_action, actionTaken או final_status.
security_result.severity	security_result.severity	אם השדה severity לא ריק והערך של module הוא new-incident, מנתח התוכן מגדיר את השדה security_result.severity על סמך הערך באותיות רישיות של השדה.
security_result.severity_details	security_result.severity_details	הכלי לניתוח מחרוזות מגדיר את השדה security_result.severity_details על סמך השדה severity_score.
security_result.threat_name	security_result.threat_name	הכלי לניתוח מחרוזות מגדיר את השדה security_result.threat_name על סמך השדות malware_name או detection_name.
severity	security_result.severity	הערך של severity מיומן הגולמי מומר לאותיות רישיות ומוקצה ל-security_result.severity אם הוא לא ריק והערך של module הוא new-incident.
severity_score	security_result.severity_details	הערך של severity_score מיומן הגולמי מומר למחרוזת ומוקצה ל-security_result.severity_details.
source_host	observer.ip	הערך של source_host מיומן הרישום הגולמי מוקצה ל-observer.ip.
source_hwid	principal.resource.id	הערך של source_hwid מיומן הרישום הגולמי מוקצה ל-principal.resource.id.
source_ip	src.ip	הערך של source_ip מיומן הרישום הגולמי מוקצה ל-src.ip.
source_port	principal.port	הערך של source_port מיומן הגולמי מומר למספר שלם ומוקצה ל-principal.port.
spt	principal.port	הערך של spt מיומן הרישום הגולמי מוקצה ל-principal.port.
sproc	principal.process.command_line	הערך של sproc מיומן הרישום הגולמי מוקצה ל-principal.process.command_line.
src	principal.ip	הערך של src מיומן הרישום הגולמי מוקצה ל-principal.ip.
src.ip	src.ip	הכלי לניתוח מחרוזות מגדיר את השדה src.ip על סמך השדה source_ip.
src.file.full_path	src.file.full_path	הכלי לניתוח מחרוזות מגדיר את השדה src.file.full_path על סמך השדה old_path.
status	security_result.action_details	הערך של status מיומן הרישום הגולמי מוקצה ל-security_result.action_details. על סמך הערך הזה, השדה security_result.action מוגדר (למשל, portscan_blocked ו-uc_site_blocked ממופים ל-BLOCK). השדה security_result.description מאוכלס גם בערך status:‎ ואחריו הערך של status.
suid	principal.user.userid	הערך של suid מיומן הרישום הגולמי מוקצה ל-principal.user.userid.
suser	principal.user.user_display_name	הערך של suser מיומן הרישום הגולמי מוקצה ל-principal.user.user_display_name.
target.file.full_path	target.file.full_path	הכלי לניתוח מחרוזות מגדיר את השדה target.file.full_path על סמך השדות path או new_path.
target.hostname	target.hostname	הכלי לניתוח מחרוזות מגדיר את השדה target.hostname על סמך השדה hostname.
target.ip	target.ip	הכלי לניתוח מחרוזות מגדיר את השדה target.ip על סמך השדות ip_dest או destination_ip.
target.platform	target.platform	הכלי לניתוח מחרוזות מגדיר את השדה target.platform על סמך השדה principal.platform.
target.platform_version	target.platform_version	הכלי לניתוח מחרוזות מגדיר את השדה target.platform_version על סמך השדה principal.platform_version.
target.port	target.port	הכלי לניתוח מחרוזות מגדיר את השדה target.port על סמך השדות port_dest או destination_port.
target.process.command_line	target.process.command_line	הכלי לניתוח מחרוזות מגדיר את השדה target.process.command_line על סמך השדות command_line, process_command_line או cmd_line.
target.process.file.full_path	target.process.file.full_path	הכלי לניתוח מחרוזות מגדיר את השדה target.process.file.full_path על סמך השדה process_path.
target.process.pid	target.process.pid	הכלי לניתוח מחרוזות מגדיר את השדה target.process.pid על סמך השדה pid.
target.registry.registry_key	target.registry.registry_key	הכלי לניתוח מחרוזות מגדיר את השדה target.registry.registry_key על סמך השדה key_path.
target.registry.registry_value_data	target.registry.registry_value_data	הכלי לניתוח מחרוזות מגדיר את השדה target.registry.registry_value_data על סמך השדה data.
target.registry.registry_value_name	target.registry.registry_value_name	הכלי לניתוח מחרוזות מגדיר את השדה target.registry.registry_value_name על סמך השדה value.
target.resource.id	target.resource.id	הכלי לניתוח מחרוזות מגדיר את השדה target.resource.id על סמך השדות hwid או BitdefenderGZHwId.
target.url	target.url	הכלי לניתוח מחרוזות מגדיר את השדה target.url על סמך השדה request.
target.user.company_name	target.user.company_name	הכלי לניתוח מחרוזות מגדיר את השדה target.user.company_name על סמך השדה companyId.
target.user.user_display_name	target.user.user_display_name	הכלי לניתוח מחרוזות מגדיר את השדה target.user.user_display_name על סמך השדות user.name או user.userName.
target.user.userid	target.user.userid	הכלי לניתוח מחרוזות מגדיר את השדה target.user.userid על סמך השדות user_name, user, user.id או extra_info.user.
target_pid	target.process.pid	הערך של target_pid מיומן הרישום הגולמי מוקצה ל-target.process.pid.
timestamp	metadata.event_timestamp	הערך של timestamp מיומן הגולמי מנותח ומוקצה ל-metadata.event_timestamp.
uc_type	network.application_protocol	הערך של uc_type מיומן הגולמי מומר לאותיות רישיות ומוקצה ל-network.application_protocol. אם target_user_userid לא ריק, הערך של metadata.event_type מוגדר כ-USER_UNCATEGORIZED. אחרת, הערך הוא STATUS_UPDATE.
url	principal.url	הערך של url מיומן הגולמי משויך ל-principal.url אם הוא לא ריק או '0.0.0.0'.
user	target.user.userid	הערך של user מיומן הרישום הגולמי מוקצה ל-target.user.userid.
user.id	target.user.userid	הערך של user.id מיומן הרישום הגולמי מוקצה ל-target.user.userid.
user.name	target.user.user_display_name	הערך של user.name מיומן הרישום הגולמי מוקצה ל-target.user.user_display_name.
user.userName	target.user.user_display_name	הערך של user.userName מיומן הרישום הגולמי מוקצה ל-target.user.user_display_name.
user.userSid	principal.user.windows_sid	הערך של user.userSid מיומן הרישום הגולמי מוקצה ל-principal.user.windows_sid.
user_name	target.user.userid	הערך של user_name מיומן הרישום הגולמי מוקצה ל-target.user.userid.
value	target.registry.registry_value_data או target.registry.registry_value_name	הערך של value מיומן הגולמי משויך ל-target.registry.registry_value_data אם event_name הוא reg_delete_value. אחרת, הוא מוקצה ל-target.registry.registry_value_name.
machine_name	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
os_family	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
os_version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
os_platform	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
container_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_sid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
integrity	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
integrity_sz	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
elevation	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
elevation_sz	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
parent_integrity	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
parent_integrity_sz	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
parent_elevation	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
parent_elevation_sz	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ring	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
event_version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
company_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ctc_version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
hardware_id	event.idm.read_only_udm.principal.asset.product_object_id	מופה מיומן השינויים
parent_pid	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
parent_cmdline	event.idm.read_only_udm.principal.process.command_line	מופה מיומן השינויים
parent_user_name	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
cmdline	event.idm.read_only_udm.target.process.command_line	מופה מיומן השינויים
user_name	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
process_sha	event.idm.read_only_udm.target.process.file.sha256	מופה מיומן השינויים
process_md5	event.idm.read_only_udm.target.process.file.md5	מופה מיומן השינויים
mitre_ids	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dvc	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
fileHash	event.idm.read_only_udm.target.file.md5	מופה מיומן השינויים
BitdefenderGZFileHashSha256	event.idm.read_only_udm.target.file.sha256	מופה מיומן השינויים
fname	event.idm.read_only_udm.target.file.names	מופה מיומן השינויים
BitdefenderGZAttackTypes	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZOldHwid	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZNewHwid	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZIncidentId	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
start	event.idm.read_only_udm.security_result.first_discovered_time	מופה מיומן השינויים
BitdefenderGZAttackType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZDetectionLevel	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZFilelessAttack	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
severity	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
BitdefenderGZEventSourceIP	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
BitdefenderGZFwProtocolId	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
cnt	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZMalwareHash	event.idm.read_only_udm.target.file.sha256	מופה מיומן השינויים
BitdefenderGZMalwareType	event.idm.read_only_udm.security_result.threat_name	מופה מיומן השינויים
BitdefenderGZMalwareName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZParentPid	event.idm.read_only_udm.target.process.parent_process.pid	מופה מיומן השינויים
BitdefenderGZParentPath	event.idm.read_only_udm.target.process.parent_process.file.full_path	מופה מיומן השינויים
suser	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
suid	event.idm.read_only_udm.principal.user.windows_sid	מופה מיומן השינויים
BitdefenderGZDetectionName	event.idm.read_only_udm.security_result.threat_name	מופה מיומן השינויים
BitdefenderGZProcessCommandLine	event.idm.read_only_udm.target.process.command_line	מופה מיומן השינויים
BitdefenderGZDetectionAttackTechnique	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZDetectionAttackerIp	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
BitdefenderGZDetectionVictimIp	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
BitdefenderGZDetectionLocalPort	event.idm.read_only_udm.target.port	מופה מיומן השינויים
BitdefenderGZEmailSender	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
duser	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
BitdefenderGZEmailSubject	event.idm.read_only_udm.network.email.subject	מופה מיומן השינויים
BitdefenderGZEventType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZDetectionTechnique	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZDriverPath	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
BitdefenderGZParentProcess	event.idm.read_only_udm.target.process.parent_process.pid	מופה מיומן השינויים
BitdefenderGZParentProcessPath	event.idm.read_only_udm.target.process.parent_process.file.full_path	מופה מיומן השינויים
BitdefenderGZDetectionCommandLine	event.idm.read_only_udm.target.process.command_line	מופה מיומן השינויים
BitdefenderGZDetectionTime	event.idm.read_only_udm.security_result.first_seen_timestamp	מופה מיומן השינויים
BitdefenderGZSignaturesNumber	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZTaskScanType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZScanEngineType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZCleanedMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZBlockedMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZDeletedMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZQuarantinedMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZIgnoredMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZPresentMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZModule	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
BitdefenderGZCompanyId	event.idm.read_only_udm.target.user.company_name	מופה מיומן השינויים
dvchost	event.idm.read_only_udm.about.hostname	מופה מיומן השינויים
BitdefenderGZMalwareName	event.idm.read_only_udm.security_result.threat_name	מופה מיומן השינויים
BitdefenderGZComputerFQDN	event.idm.read_only_udm.principal.asset.network_domain	מופה מיומן השינויים
BitdefenderGZMalwareHash	event.idm.read_only_udm.principal.process.file.sha256	מופה מיומן השינויים
BitdefenderGZHwId	event.idm.read_only_udm.target.resource.id	מופה מיומן השינויים
event_name	event.idm.read_only_udm.security_result.category	מופה מיומן השינויים
reason	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
dvc	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
dvc	event.idm.read_only_udm.about.ip	מופה מיומן השינויים
src	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
deviceExternalId	event.idm.read_only_udm.about.asset.asset_id	מופה מיומן השינויים
request	event.idm.read_only_udm.target.url	מופה מיומן השינויים
BitdefenderGZSeverityScore	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
BitdefenderGZMalwareType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZAttCkId	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
BitdefenderGZEndpointId	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
sproc	event.idm.read_only_udm.principal.process.command_line	מופה מיומן השינויים
suid	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
severity	event.idm.read_only_udm.security_result.severity	מופה מיומן השינויים
BitdefenderGZMainAction	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
BitdefenderGZMainAction	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
BitdefenderGZMainAction	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
actionTaken	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
actionTaken	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
actionTaken	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
final_status	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
final_status	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
final_status	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
status	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
status	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
status	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
dhost	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
suser	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
act	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
msg	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
start	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
filePath	event.idm.read_only_udm.about.file.full_path	מופה מיומן השינויים
device_version	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
security_result.action	QUARANTINE	מופה מיומן השינויים
security_result.action	ALLOW_WITH_MODIFICATION	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.