Coletar registros do Bitdefender

Versão do analisador:29.0

Compatível com:

Google SecOps SIEM

Neste documento, explicamos como ingerir registros do Bitdefender no Google Security Operations usando o agente do Bindplane.

Esse analisador extrai registros do Bitdefender GravityZone no formato CEF ou CSV, normaliza campos para a UDM e realiza ações específicas com base nos tipos de eventos. Ele processa operações de arquivo, conexões de rede, criação de processos e modificações de registro, mapeando informações relevantes para os campos apropriados da UDM.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Windows Server 2016 ou mais recente ou host do Linux com systemd
• Conectividade de rede entre o agente do Bindplane e o appliance do Bitdefender GravityZone
• Se estiver em execução atrás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso privilegiado ao Bitdefender GravityZone

Receber credenciais do Google SecOps para o agente do Bindplane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no consoleGoogle Cloud e selecione o projeto Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar uma função e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O arquivo de chave é baixado para o computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o número do projeto. Você vai precisar dele para a configuração do exportador.

Observação :a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do Bindplane e gire a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje migrar para a opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.

3. Copie e salve o ID de cliente na seção Detalhes da organização.

   Observação: o ID do cliente é necessário para configurar o exportador do agente Bindplane.

Instalar o agente do Bindplane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sc query observiq-otel-collector
   

   O serviço precisa aparecer como RUNNING.

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sudo systemctl status observiq-otel-collector
   

   O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do BindPlane.

Observação: a configuração do exportador da API Chronicle requer o coletor Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação atual, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localize o arquivo de configuração.

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Editar o arquivo de configuração

• Substitua todo o conteúdo de config.yaml pela seguinte configuração:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/bitdefender:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: BITDEFENDER
      raw_log_field: body
  
  service:
    pipelines:
      logs/bitdefender_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/bitdefender
  

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

• Configuração do receptor:

  • listen_address: endereço IP e porta a serem detectados:
    • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
    • A porta 514 é a porta syslog padrão (requer raiz no Linux; use 1514 para não raiz)

• Configuração do exportador:

  • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID do cliente copiado do console do Google SecOps
  • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor. Consulte Endpoints regionais para ver a lista completa.
  • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
  • endpoint: mantenha definido como chronicle.googleapis.com.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/bitdefender:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: BITDEFENDER
      raw_log_field: body
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for desativada em 20 de julho de 2027.

Salvar o arquivo de configuração

• Depois de editar, salve o arquivo:
  • Linux: pressione Ctrl+O, Enter e Ctrl+X.
  • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifique se o serviço está em execução:

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. Verifique se há erros nos registros:

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• Para reiniciar o agente do BindPlane no Windows, escolha uma das seguintes opções:

  • Prompt de comando ou PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console de serviços:

    1. Pressione Win+R, digite services.msc e pressione Enter.
    2. Localize o coletor do OpenTelemetry da observIQ.
    3. Clique com o botão direito do mouse e selecione Reiniciar.

    4. Verifique se o serviço está em execução:

       sc query observiq-otel-collector
       

    5. Verifique se há erros nos registros:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurar o streaming do syslog no Bitdefender GravityZone

1. Faça login na Central de controle do GravityZone.
2. Acesse Configuração > Integrações > Syslog.
3. Clique em Adicionar servidor Syslog.
4. Forneça os detalhes necessários:
   • Nome: forneça um nome exclusivo para o servidor syslog (por exemplo, CentralSyslog).
   • Endereço IP/nome do host: digite o endereço IP ou o nome do host do servidor do BindPlane.
   • Protocolo: selecione o protocolo a ser usado: TCP ou UDP.
   • Porta: especifique o número da porta do servidor do BindPlane.
   • Selecione os tipos de registro para streaming (por exemplo, Eventos antimalware, Eventos de defesa contra ataques de rede (NAD), Eventos de controle da Web, Eventos de firewall ou Mudanças na política).
   • Opcional: configure filtros para incluir ou excluir tipos de evento específicos.
5. Clique em Salvar.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
BitdefenderGZAttackEntry	security_result.detection_fields.value	O valor de BitdefenderGZAttackEntry do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "attack_entry".
BitdefenderGZAttackTypes	security_result.category_details	O valor de BitdefenderGZAttackTypes do registro bruto é atribuído a security_result.category_details. O valor é dividido em strings individuais, e cada uma é adicionada como um valor à matriz security_result.category_details.
BitdefenderGZAttCkId	security_result.detection_fields.value	O valor de BitdefenderGZAttCkId do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "BitdefenderGZAttCkId".
BitdefenderGZCompanyId	target.user.company_name	O valor de BitdefenderGZCompanyId do registro bruto é atribuído a target.user.company_name.
BitdefenderGZComputerFQDN	principal.asset.network_domain	O valor de BitdefenderGZComputerFQDN do registro bruto é atribuído a principal.asset.network_domain.
BitdefenderGZDetectionName	security_result.threat_name	O valor de BitdefenderGZDetectionName do registro bruto é atribuído a security_result.threat_name.
BitdefenderGZEndpointId	security_result.detection_fields.value	O valor de BitdefenderGZEndpointId do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "BitdefenderGZEndpointId".
BitdefenderGZIncidentId	metadata.product_log_id	O valor de BitdefenderGZIncidentId do registro bruto é atribuído a metadata.product_log_id.
BitdefenderGZMainAction	security_result.action_details	O valor de BitdefenderGZMainAction do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "blocked" é mapeado para "BLOCK"). O campo security_result.description também é preenchido com "main_action: " seguido pelo valor de BitdefenderGZMainAction.
BitdefenderGZMalwareHash	principal.process.file.sha256	O valor de BitdefenderGZMalwareHash do registro bruto é atribuído a principal.process.file.sha256.
BitdefenderGZMalwareName	security_result.threat_name	O valor de BitdefenderGZMalwareName do registro bruto é atribuído a security_result.threat_name.
BitdefenderGZMalwareType	security_result.detection_fields.value	O valor de BitdefenderGZMalwareType do registro bruto é atribuído como valor a um objeto security_result.detection_fields em que a chave é "malware_type".
BitdefenderGZModule	metadata.product_event_type	O valor de BitdefenderGZModule do registro bruto é atribuído a metadata.product_event_type.
BitdefenderGZSeverityScore	security_result.severity_details	O valor de BitdefenderGZSeverityScore do registro bruto é atribuído a security_result.severity_details.
BitdefenderGZHwId	target.resource.id	O valor de BitdefenderGZHwId do registro bruto é atribuído a target.resource.id.
act	security_result.action_details	O valor de act do registro bruto é atribuído a security_result.action_details.
actionTaken	security_result.action_details	O valor de actionTaken do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "block" é mapeado para "BLOCK"). O campo security_result.description também é preenchido com "actionTaken: " seguido pelo valor de actionTaken.
additional.fields	additional.fields	A lógica do analisador cria um par de chave/valor para "product_installed" e o adiciona ao objeto additional.fields.
categories	principal.asset.category	O valor de categories do registro bruto é atribuído a principal.asset.category.
cmd_line	target.process.command_line	O valor de cmd_line do registro bruto é atribuído a target.process.command_line.
companyId	target.user.company_name	O valor de companyId do registro bruto é atribuído a target.user.company_name.
computer_fqdn	principal.asset.network_domain	O valor de computer_fqdn do registro bruto é atribuído a principal.asset.network_domain.
computer_id	principal.asset.asset_id	O valor de computer_id do registro bruto é atribuído a principal.asset.asset_id depois de adicionar o prefixo "ComputerId:".
computer_ip	principal.asset.ip	O valor de computer_ip do registro bruto é analisado, dividido por vírgulas, e cada endereço IP resultante é adicionado à matriz principal.asset.ip.
computer_name	principal.resource.attribute.labels.value	O valor de computer_name do registro bruto é atribuído como um valor a um objeto principal.resource.attribute.labels em que a chave é "computer_name". Ele também é adicionado como um valor a um objeto security_result.detection_fields em que a chave é "computer_name".
column1	metadata.product_log_id	O valor de column1 do registro bruto é atribuído a metadata.product_log_id.
column3	observer.ip	O valor de column3 do registro bruto é atribuído a observer.ip.
command_line	target.process.command_line	O valor de command_line do registro bruto é atribuído a target.process.command_line.
data	target.registry.registry_value_data	O valor de data do registro bruto é atribuído a target.registry.registry_value_data.
detection_attackTechnique	security_result.detection_fields.value	O valor de detection_attackTechnique do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "detection attackTechnique".
detection_name	security_result.threat_name	O valor de detection_name do registro bruto é atribuído a security_result.threat_name.
destination_ip	target.ip	O valor de destination_ip do registro bruto é atribuído a target.ip.
destination_port	target.port	O valor de destination_port do registro bruto é atribuído a target.port.
direction	network.direction	O valor de direction do registro bruto é convertido em maiúsculas e atribuído a network.direction.
dvc	principal.ip	O valor de dvc do registro bruto é analisado, dividido por vírgulas, e cada endereço IP resultante é adicionado à matriz principal.ip.
dvchost	about.hostname	O valor de dvchost do registro bruto é atribuído a about.hostname.
event_description	metadata.description	O valor de event_description do registro bruto é atribuído a metadata.description.
event_name	metadata.product_event_type	O valor de event_name do registro bruto é atribuído a metadata.product_event_type. Se o valor for "Antiphishing", security_result.category será definido como "PHISHING". Se o valor for "AntiMalware", security_result.category será definido como "SOFTWARE_MALICIOUS". O campo metadata.event_type é derivado de event_name usando uma série de instruções condicionais no analisador.
ev	metadata.product_event_type	O valor de ev do registro bruto é atribuído a metadata.product_event_type.
extra_info.command_line	target.process.command_line	O valor de extra_info.command_line do registro bruto é atribuído a target.process.command_line.
extra_info.parent_pid	principal.process.pid	O valor de extra_info.parent_pid do registro bruto é atribuído a principal.process.pid.
extra_info.parent_process_cmdline	principal.process.command_line	O valor de extra_info.parent_process_cmdline do registro bruto é atribuído a principal.process.command_line.
extra_info.parent_process_path	principal.process.file.full_path	O valor de extra_info.parent_process_path do registro bruto é atribuído a principal.process.file.full_path.
extra_info.pid	target.process.pid	O valor de extra_info.pid do registro bruto é atribuído a target.process.pid.
extra_info.process_path	target.process.file.full_path	O valor de extra_info.process_path do registro bruto é atribuído a target.process.file.full_path.
extra_info.user	target.user.userid	O valor de extra_info.user do registro bruto é atribuído a target.user.userid.
filePath	principal.process.file.full_path	O valor de filePath do registro bruto é atribuído a principal.process.file.full_path.
file_path	principal.process.file.full_path	O valor de file_path do registro bruto é atribuído a principal.process.file.full_path.
final_status	security_result.action_details	O valor de final_status do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "deleted" é mapeado para "BLOCK", "ignored" para "ALLOW"). O campo security_result.description também é preenchido com "final_status: " seguido pelo valor de final_status. Se o valor for "deleted" ou "blocked", metadata.event_type será definido como "SCAN_NETWORK".
hash	principal.process.file.sha256	O valor de hash do registro bruto é atribuído a principal.process.file.sha256.
host	principal.hostname	O valor de host do registro bruto é atribuído a principal.hostname.
hostname	principal.hostname	O valor de hostname do registro bruto é atribuído a principal.hostname se event_name não for "log_on" ou "log_out". Caso contrário, ele será atribuído a target.hostname.
host_name	principal.hostname	O valor de host_name do registro bruto é atribuído a principal.hostname.
hwid	principal.resource.id	O valor de hwid do registro bruto é atribuído a principal.resource.id se não estiver vazio. Se estiver vazio e o evento não for "log_on" ou "log_out", o valor de source_hwid será atribuído a principal.resource.id. Se o evento for "log_on" ou "log_out", ele será atribuído a target.resource.id.
incident_id	metadata.product_log_id	O valor de incident_id do registro bruto é atribuído a metadata.product_log_id.
ip_dest	target.ip	O valor de ip_dest do registro bruto é atribuído a target.ip.
ip_source	principal.ip	O valor de ip_source do registro bruto é atribuído a principal.ip.
key_path	target.registry.registry_key	O valor de key_path do registro bruto é atribuído a target.registry.registry_key.
local_port	principal.port	O valor de local_port do registro bruto é convertido em um número inteiro e atribuído a principal.port.
logon_type	extensions.auth.mechanism	O valor de logon_type do registro bruto é usado para determinar o valor de extensions.auth.mechanism. Diferentes valores numéricos de logon_type são mapeados para diferentes mecanismos de autenticação (por exemplo, 2 é mapeado para "LOCAL", 3 para "NETWORK"). Se nenhum logon_type correspondente for encontrado, o mecanismo será definido como "MECHANISM_UNSPECIFIED".
lurker_id	intermediary.resource.id	O valor de lurker_id do registro bruto é atribuído a intermediary.resource.id.
main_action	security_result.action_details	O valor de main_action do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "blocked" é mapeado para "BLOCK", "no action" para "ALLOW"). O campo security_result.description também é preenchido com "main_action: " seguido pelo valor de main_action.
malware_name	security_result.threat_name	O valor de malware_name do registro bruto é atribuído a security_result.threat_name.
malware_type	security_result.detection_fields.value	O valor de malware_type do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "malware_type".
metadata.description	metadata.description	O analisador define o campo metadata.description com base no campo event_name.
metadata.event_type	metadata.event_type	O analisador define o campo metadata.event_type com base no campo event_name.
metadata.product_event_type	metadata.product_event_type	O analisador define o campo metadata.product_event_type com base nos campos event_name ou module.
metadata.product_log_id	metadata.product_log_id	O analisador define o campo metadata.product_log_id com base nos campos msg_id ou incident_id.
metadata.product_name	metadata.product_name	O analisador define metadata.product_name como "BitDefender EDR".
metadata.product_version	metadata.product_version	O analisador renomeia o campo product_version como metadata.product_version.
metadata.vendor_name	metadata.vendor_name	O analisador define o metadata.vendor_name como "BitDefender".
module	metadata.product_event_type	O valor de module do registro bruto é atribuído a metadata.product_event_type. Se o valor for "new-incident" e target_process_file_full_path não estiver vazio, metadata.event_type será definido como "PROCESS_UNCATEGORIZED". Se o valor for "task-status", metadata.event_type será definido como "STATUS_UPDATE". Se o valor for "network-monitor" ou "fw", metadata.event_type será definido como "SCAN_NETWORK".
msg_id	metadata.product_log_id	O valor de msg_id do registro bruto é atribuído a metadata.product_log_id.
network.application_protocol	network.application_protocol	O valor de uc_type do registro bruto é convertido em maiúsculas e atribuído a network.application_protocol.
network.direction	network.direction	O analisador define o campo network.direction com base no campo direction.
network.ip_protocol	network.ip_protocol	Se protocol_id for "6", o analisador vai definir network.ip_protocol como "TCP".
new_path	target.file.full_path	O valor de new_path do registro bruto é atribuído a target.file.full_path.
old_path	src.file.full_path	O valor de old_path do registro bruto é atribuído a src.file.full_path.
origin_ip	intermediary.ip	O valor de origin_ip do registro bruto é atribuído a intermediary.ip.
os	principal.platform_version	O valor de os do registro bruto é atribuído a principal.platform_version. O campo principal.platform é derivado de os (por exemplo, "Win" é mapeado para "WINDOWS"). Se o evento for "log_on" ou "log_out", os campos principal.platform e principal.platform_version serão renomeados como target.platform e target.platform_version, respectivamente.
os_type	principal.platform	O valor de os_type do registro bruto é usado para determinar o valor de principal.platform (por exemplo, "Win" é mapeado para "WINDOWS").
parent_pid	principal.process.pid	O valor de parent_pid do registro bruto é atribuído a principal.process.pid.
parent_process_path	principal.process.file.full_path	O valor de parent_process_path do registro bruto é atribuído a principal.process.file.full_path.
parent_process_pid	principal.process.pid	O valor de parent_process_pid do registro bruto é atribuído a principal.process.pid.
path	target.file.full_path	O valor de path do registro bruto é atribuído a target.file.full_path.
pid	principal.process.pid ou target.process.pid	O valor de pid do registro bruto será atribuído a principal.process.pid se event_name começar com "file" ou "reg" ou se for um dos seguintes: "process_signal", "network_connection" ou "connection_connect". Caso contrário, ele será atribuído a target.process.pid.
pid_path	principal.process.file.full_path	O valor de pid_path do registro bruto é atribuído a principal.process.file.full_path.
port_dest	target.port	O valor de port_dest do registro bruto é convertido em um número inteiro e atribuído a target.port.
port_source	principal.port	O valor de port_source do registro bruto é convertido em um número inteiro e atribuído a principal.port.
ppid	principal.process.pid	O valor de ppid do registro bruto é atribuído a principal.process.pid.
principal.ip	principal.ip	O analisador define o campo principal.ip com base nos campos ip_source ou dvc.
principal.platform	principal.platform	O analisador define o campo principal.platform com base nos campos os ou os_type.
principal.platform_version	principal.platform_version	O analisador define o campo principal.platform_version com base nos campos os ou osi_version.
principal.process.command_line	principal.process.command_line	O analisador define o campo principal.process.command_line com base no campo parent_process_cmdline.
principal.process.file.full_path	principal.process.file.full_path	O analisador define o campo principal.process.file.full_path com base nos campos pid_path, file_path, parent_process_path ou process_path.
principal.process.file.md5	principal.process.file.md5	O analisador renomeia o campo file_hash_md5 como principal.process.file.md5.
principal.process.file.sha256	principal.process.file.sha256	O analisador define o campo principal.process.file.sha256 com base nos campos hash, BitdefenderGZMalwareHash ou file_hash_sha256.
principal.process.parent_process.pid	principal.process.parent_process.pid	O analisador renomeia o campo ppid como principal.process.parent_process.pid.
principal.process.pid	principal.process.pid	O analisador define o campo principal.process.pid com base nos campos pid, parent_pid, ppid ou parent_process_pid.
principal.resource.id	principal.resource.id	O analisador define o campo principal.resource.id com base nos campos hwid ou source_hwid.
principal.url	principal.url	O analisador define o campo principal.url com base no campo url.
process_command_line	target.process.command_line	O valor de process_command_line do registro bruto é atribuído a target.process.command_line.
process_path	principal.process.file.full_path ou target.process.file.full_path	O valor de process_path do registro bruto é atribuído a principal.process.file.full_path se event_name for "network_connection" ou "connection_connect". Caso contrário, ele será atribuído a target.process.file.full_path.
product_installed	additional.fields.value.string_value	O valor de product_installed do registro bruto é atribuído como um valor a um objeto additional.fields em que a chave é "product_installed".
product_version	metadata.product_version	O valor de product_version do registro bruto é atribuído a metadata.product_version.
protocol_id	network.ip_protocol	Se protocol_id for "6", o analisador vai definir network.ip_protocol como "TCP".
request	target.url	O valor de request do registro bruto é atribuído a target.url.
security_result.action	security_result.action	O analisador define o campo security_result.action com base nos campos main_action, actionTaken, status ou final_status. Se nenhum desses campos fornecer uma ação válida, o padrão será "UNKNOWN_ACTION".
security_result.action_details	security_result.action_details	O analisador define o campo security_result.action_details com base nos campos main_action, actionTaken, status ou final_status.
security_result.category	security_result.category	O analisador define o campo security_result.category como "PHISHING" se event_name for "Antiphishing", como "SOFTWARE_MALICIOUS" se event_name for "AntiMalware" ou mescla o valor do campo sec_category.
security_result.category_details	security_result.category_details	O analisador define o campo security_result.category_details com base nos campos block_type ou attack_types.
security_result.detection_fields	security_result.detection_fields	O analisador cria objetos security_result.detection_fields para vários campos, incluindo "malware_type", "attack_entry", "BitdefenderGZAttCkId", "BitdefenderGZEndpointId", "final_status", "detection attackTechnique" e "computer_name".
security_result.description	security_result.description	O analisador define o campo security_result.description com base nos campos main_action, actionTaken ou final_status.
security_result.severity	security_result.severity	O analisador define o campo security_result.severity com base no valor em maiúsculas do campo severity se ele não estiver vazio e o module for "new-incident".
security_result.severity_details	security_result.severity_details	O analisador define o campo security_result.severity_details com base no campo severity_score.
security_result.threat_name	security_result.threat_name	O analisador define o campo security_result.threat_name com base nos campos malware_name ou detection_name.
severity	security_result.severity	O valor de severity do registro bruto é convertido em maiúsculas e atribuído a security_result.severity se não estiver vazio e o module for "new-incident".
severity_score	security_result.severity_details	O valor de severity_score do registro bruto é convertido em uma string e atribuído a security_result.severity_details.
source_host	observer.ip	O valor de source_host do registro bruto é atribuído a observer.ip.
source_hwid	principal.resource.id	O valor de source_hwid do registro bruto é atribuído a principal.resource.id.
source_ip	src.ip	O valor de source_ip do registro bruto é atribuído a src.ip.
source_port	principal.port	O valor de source_port do registro bruto é convertido em um número inteiro e atribuído a principal.port.
spt	principal.port	O valor de spt do registro bruto é atribuído a principal.port.
sproc	principal.process.command_line	O valor de sproc do registro bruto é atribuído a principal.process.command_line.
src	principal.ip	O valor de src do registro bruto é atribuído a principal.ip.
src.ip	src.ip	O analisador define o campo src.ip com base no campo source_ip.
src.file.full_path	src.file.full_path	O analisador define o campo src.file.full_path com base no campo old_path.
status	security_result.action_details	O valor de status do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "portscan_blocked" e "uc_site_blocked" são mapeados para "BLOCK"). O campo security_result.description também é preenchido com "status: " seguido pelo valor de status.
suid	principal.user.userid	O valor de suid do registro bruto é atribuído a principal.user.userid.
suser	principal.user.user_display_name	O valor de suser do registro bruto é atribuído a principal.user.user_display_name.
target.file.full_path	target.file.full_path	O analisador define o campo target.file.full_path com base nos campos path ou new_path.
target.hostname	target.hostname	O analisador define o campo target.hostname com base no campo hostname.
target.ip	target.ip	O analisador define o campo target.ip com base nos campos ip_dest ou destination_ip.
target.platform	target.platform	O analisador define o campo target.platform com base no campo principal.platform.
target.platform_version	target.platform_version	O analisador define o campo target.platform_version com base no campo principal.platform_version.
target.port	target.port	O analisador define o campo target.port com base nos campos port_dest ou destination_port.
target.process.command_line	target.process.command_line	O analisador define o campo target.process.command_line com base nos campos command_line, process_command_line ou cmd_line.
target.process.file.full_path	target.process.file.full_path	O analisador define o campo target.process.file.full_path com base no campo process_path.
target.process.pid	target.process.pid	O analisador define o campo target.process.pid com base no campo pid.
target.registry.registry_key	target.registry.registry_key	O analisador define o campo target.registry.registry_key com base no campo key_path.
target.registry.registry_value_data	target.registry.registry_value_data	O analisador define o campo target.registry.registry_value_data com base no campo data.
target.registry.registry_value_name	target.registry.registry_value_name	O analisador define o campo target.registry.registry_value_name com base no campo value.
target.resource.id	target.resource.id	O analisador define o campo target.resource.id com base nos campos hwid ou BitdefenderGZHwId.
target.url	target.url	O analisador define o campo target.url com base no campo request.
target.user.company_name	target.user.company_name	O analisador define o campo target.user.company_name com base no campo companyId.
target.user.user_display_name	target.user.user_display_name	O analisador define o campo target.user.user_display_name com base nos campos user.name ou user.userName.
target.user.userid	target.user.userid	O analisador define o campo target.user.userid com base nos campos user_name, user, user.id ou extra_info.user.
target_pid	target.process.pid	O valor de target_pid do registro bruto é atribuído a target.process.pid.
timestamp	metadata.event_timestamp	O valor de timestamp do registro bruto é analisado e atribuído a metadata.event_timestamp.
uc_type	network.application_protocol	O valor de uc_type do registro bruto é convertido para maiúsculas e atribuído a network.application_protocol. Se target_user_userid não estiver vazio, metadata.event_type será definido como "USER_UNCATEGORIZED". Caso contrário, ele será definido como "STATUS_UPDATE".
url	principal.url	O valor de url do registro bruto será atribuído a principal.url se não estiver vazio ou for "0.0.0.0".
user	target.user.userid	O valor de user do registro bruto é atribuído a target.user.userid.
user.id	target.user.userid	O valor de user.id do registro bruto é atribuído a target.user.userid.
user.name	target.user.user_display_name	O valor de user.name do registro bruto é atribuído a target.user.user_display_name.
user.userName	target.user.user_display_name	O valor de user.userName do registro bruto é atribuído a target.user.user_display_name.
user.userSid	principal.user.windows_sid	O valor de user.userSid do registro bruto é atribuído a principal.user.windows_sid.
user_name	target.user.userid	O valor de user_name do registro bruto é atribuído a target.user.userid.
value	target.registry.registry_value_data ou target.registry.registry_value_name	O valor de value do registro bruto será atribuído a target.registry.registry_value_data se event_name for "reg_delete_value". Caso contrário, ele será atribuído a target.registry.registry_value_name.
machine_name	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de mudanças
os_family	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
os_version	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
os_platform	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
container_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
user_sid	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
integrity	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
integrity_sz	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
elevation	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
elevation_sz	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
parent_integrity	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
parent_integrity_sz	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
parent_elevation	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
parent_elevation_sz	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ring	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
event_version	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
company_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ctc_version	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
hardware_id	event.idm.read_only_udm.principal.asset.product_object_id	Mapeado do registro de alterações
parent_pid	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
parent_cmdline	event.idm.read_only_udm.principal.process.command_line	Mapeado do registro de alterações
parent_user_name	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
cmdline	event.idm.read_only_udm.target.process.command_line	Mapeado do registro de alterações
user_name	event.idm.read_only_udm.target.user.userid	Mapeado do registro de alterações
process_sha	event.idm.read_only_udm.target.process.file.sha256	Mapeado do registro de alterações
process_md5	event.idm.read_only_udm.target.process.file.md5	Mapeado do registro de alterações
mitre_ids	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
dvc	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
fileHash	event.idm.read_only_udm.target.file.md5	Mapeado do registro de alterações
BitdefenderGZFileHashSha256	event.idm.read_only_udm.target.file.sha256	Mapeado do registro de alterações
fname	event.idm.read_only_udm.target.file.names	Mapeado do registro de alterações
BitdefenderGZAttackTypes	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZOldHwid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZNewHwid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZIncidentId	event.idm.read_only_udm.security_result.rule_id	Mapeado do registro de alterações
start	event.idm.read_only_udm.security_result.first_discovered_time	Mapeado do registro de alterações
BitdefenderGZAttackType	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZDetectionLevel	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZFilelessAttack	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
severity	event.idm.read_only_udm.security_result.severity_details	Mapeado do registro de alterações
BitdefenderGZEventSourceIP	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
BitdefenderGZFwProtocolId	event.idm.read_only_udm.network.ip_protocol	Mapeado do registro de alterações
cnt	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZMalwareHash	event.idm.read_only_udm.target.file.sha256	Mapeado do registro de alterações
BitdefenderGZMalwareType	event.idm.read_only_udm.security_result.threat_name	Mapeado do registro de alterações
BitdefenderGZMalwareName	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZParentPid	event.idm.read_only_udm.target.process.parent_process.pid	Mapeado do registro de alterações
BitdefenderGZParentPath	event.idm.read_only_udm.target.process.parent_process.file.full_path	Mapeado do registro de alterações
suser	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
suid	event.idm.read_only_udm.principal.user.windows_sid	Mapeado do registro de alterações
BitdefenderGZDetectionName	event.idm.read_only_udm.security_result.threat_name	Mapeado do registro de alterações
BitdefenderGZProcessCommandLine	event.idm.read_only_udm.target.process.command_line	Mapeado do registro de alterações
BitdefenderGZDetectionAttackTechnique	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZDetectionAttackerIp	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
BitdefenderGZDetectionVictimIp	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
BitdefenderGZDetectionLocalPort	event.idm.read_only_udm.target.port	Mapeado do registro de alterações
BitdefenderGZEmailSender	event.idm.read_only_udm.principal.user.email_addresses	Mapeado do registro de alterações
duser	event.idm.read_only_udm.target.user.userid	Mapeado do registro de alterações
BitdefenderGZEmailSubject	event.idm.read_only_udm.network.email.subject	Mapeado do registro de alterações
BitdefenderGZEventType	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZDetectionTechnique	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZDriverPath	event.idm.read_only_udm.target.file.full_path	Mapeado do registro de alterações
BitdefenderGZParentProcess	event.idm.read_only_udm.target.process.parent_process.pid	Mapeado do registro de alterações
BitdefenderGZParentProcessPath	event.idm.read_only_udm.target.process.parent_process.file.full_path	Mapeado do registro de alterações
BitdefenderGZDetectionCommandLine	event.idm.read_only_udm.target.process.command_line	Mapeado do registro de alterações
BitdefenderGZDetectionTime	event.idm.read_only_udm.security_result.first_seen_timestamp	Mapeado do registro de alterações
BitdefenderGZSignaturesNumber	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZTaskScanType	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZScanEngineType	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZCleanedMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZBlockedMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZDeletedMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZQuarantinedMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZIgnoredMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZPresentMalwareCnt	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZModule	event.idm.read_only_udm.metadata.product_event_type	Mapeado do registro de alterações
BitdefenderGZCompanyId	event.idm.read_only_udm.target.user.company_name	Mapeado do registro de alterações
dvchost	event.idm.read_only_udm.about.hostname	Mapeado do registro de alterações
BitdefenderGZMalwareName	event.idm.read_only_udm.security_result.threat_name	Mapeado do registro de alterações
BitdefenderGZComputerFQDN	event.idm.read_only_udm.principal.asset.network_domain	Mapeado do registro de alterações
BitdefenderGZMalwareHash	event.idm.read_only_udm.principal.process.file.sha256	Mapeado do registro de alterações
BitdefenderGZHwId	event.idm.read_only_udm.target.resource.id	Mapeado do registro de alterações
event_name	event.idm.read_only_udm.security_result.category	Mapeado do registro de alterações
reason	event.idm.read_only_udm.security_result.summary	Mapeado do registro de alterações
dvc	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
dvc	event.idm.read_only_udm.about.ip	Mapeado do registro de alterações
src	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
deviceExternalId	event.idm.read_only_udm.about.asset.asset_id	Mapeado do registro de alterações
request	event.idm.read_only_udm.target.url	Mapeado do registro de alterações
BitdefenderGZSeverityScore	event.idm.read_only_udm.security_result.severity_details	Mapeado do registro de alterações
BitdefenderGZMalwareType	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZAttCkId	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
BitdefenderGZEndpointId	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
sproc	event.idm.read_only_udm.principal.process.command_line	Mapeado do registro de alterações
suid	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
severity	event.idm.read_only_udm.security_result.severity	Mapeado do registro de alterações
BitdefenderGZMainAction	event.idm.read_only_udm.security_result.action	Mapeado do registro de alterações
BitdefenderGZMainAction	event.idm.read_only_udm.security_result.action_details	Mapeado do registro de alterações
BitdefenderGZMainAction	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
actionTaken	event.idm.read_only_udm.security_result.action	Mapeado do registro de alterações
actionTaken	event.idm.read_only_udm.security_result.action_details	Mapeado do registro de alterações
actionTaken	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
final_status	event.idm.read_only_udm.security_result.action	Mapeado do registro de alterações
final_status	event.idm.read_only_udm.security_result.action_details	Mapeado do registro de alterações
final_status	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
status	event.idm.read_only_udm.security_result.action	Mapeado do registro de alterações
status	event.idm.read_only_udm.security_result.action_details	Mapeado do registro de alterações
status	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
dhost	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de mudanças
suser	event.idm.read_only_udm.principal.user.user_display_name	Mapeado do registro de alterações
act	event.idm.read_only_udm.security_result.action_details	Mapeado do registro de alterações
msg	event.idm.read_only_udm.metadata.description	Mapeado do registro de alterações
start	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de alterações
filePath	event.idm.read_only_udm.about.file.full_path	Mapeado do registro de alterações
device_version	event.idm.read_only_udm.metadata.product_version	Mapeado do registro de alterações
security_result.action	QUARANTINE	Mapeado do registro de alterações
security_result.action	ALLOW_WITH_MODIFICATION	Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.