Coletar registros do Bitdefender

Versão do analisador:29.0

Compatível com:

Este documento explica como ingerir registros do Bitdefender no Google Security Operations usando o agente Bindplane.

Esse analisador extrai registros do Bitdefender GravityZone no formato CEF ou CSV, normaliza campos para a UDM e realiza ações específicas com base nos tipos de eventos. Ele processa operações de arquivo, conexões de rede, criação de processos e modificações de registro, mapeando informações relevantes para os campos apropriados da UDM.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Windows Server 2016 ou mais recente ou host Linux com systemd
  • Conectividade de rede entre o agente do Bindplane e o appliance Bitdefender GravityZone
  • Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso privilegiado ao Bitdefender GravityZone.

Receber o arquivo de autenticação de ingestão do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Baixe o arquivo de autenticação de ingestão.

  4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.

  3. Copie e salve o ID do cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

    O serviço vai aparecer como EM EXECUÇÃO.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

    O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/bitdefender:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BITDEFENDER
        raw_log_field: body

service:
    pipelines:
        logs/bitdefender_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/bitdefender

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • listen_address: endereço IP e porta a serem detectados:
      • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
      • A porta 514 é a porta padrão do syslog (requer raiz no Linux; use 1514 para não raiz).

  • Configuração do exportador:

    • creds_file_path: caminho completo para o arquivo de autenticação de ingestão:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID do cliente copiado do console do Google SecOps
    • endpoint: URL do endpoint regional:
      • EUA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Ásia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Consulte a lista completa em Endpoints regionais.

Salvar o arquivo de configuração

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifique se o serviço está em execução:

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Verifique se há erros nos registros:

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Para reiniciar o agente do Bindplane em Windows, escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console de serviços:

      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o Coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

      4. Verifique se o serviço está em execução:

        sc query observiq-otel-collector

      5. Verifique se há erros nos registros:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o streaming do syslog no Bitdefender GravityZone

  1. Faça login na Central de controle do GravityZone.
  2. Acesse Configuração > Integrações > Syslog.
  3. Clique em Adicionar servidor Syslog.
  4. Forneça os detalhes necessários:
    • Nome: forneça um nome exclusivo para o servidor Syslog (por exemplo, CentralSyslog).
    • Endereço IP/nome do host: insira o endereço IP ou o nome do host do servidor Bindplane.
    • Protocolo: selecione o protocolo a ser usado: TCP ou UDP.
    • Porta: especifique o número da porta do servidor Bindplane.
    • Selecione os tipos de registros que você quer transmitir (por exemplo, Eventos antimalware, Eventos de defesa contra ataques de rede (NAD), Eventos de controle da Web, Eventos de firewall ou Mudanças de política).
    • Opcional: configure filtros para incluir ou excluir tipos de eventos específicos.
  5. Clique em Salvar.

Tabela de mapeamento de UDM

Campo de registro Mapeamento do UDM Lógica
BitdefenderGZAttackEntry security_result.detection_fields.value O valor de BitdefenderGZAttackEntry do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "attack_entry".
BitdefenderGZAttackTypes security_result.category_details O valor de BitdefenderGZAttackTypes do registro bruto é atribuído a security_result.category_details. Em seguida, o valor é dividido em strings individuais, e cada uma delas é adicionada como um valor à matriz security_result.category_details.
BitdefenderGZAttCkId security_result.detection_fields.value O valor de BitdefenderGZAttCkId do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "BitdefenderGZAttCkId".
BitdefenderGZCompanyId target.user.company_name O valor de BitdefenderGZCompanyId do registro bruto é atribuído a target.user.company_name.
BitdefenderGZComputerFQDN principal.asset.network_domain O valor de BitdefenderGZComputerFQDN do registro bruto é atribuído a principal.asset.network_domain.
BitdefenderGZDetectionName security_result.threat_name O valor de BitdefenderGZDetectionName do registro bruto é atribuído a security_result.threat_name.
BitdefenderGZEndpointId security_result.detection_fields.value O valor de BitdefenderGZEndpointId do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "BitdefenderGZEndpointId".
BitdefenderGZIncidentId metadata.product_log_id O valor de BitdefenderGZIncidentId do registro bruto é atribuído a metadata.product_log_id.
BitdefenderGZMainAction security_result.action_details O valor de BitdefenderGZMainAction do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "blocked" é mapeado para "BLOCK"). O campo security_result.description também é preenchido com "main_action: " seguido pelo valor de BitdefenderGZMainAction.
BitdefenderGZMalwareHash principal.process.file.sha256 O valor de BitdefenderGZMalwareHash do registro bruto é atribuído a principal.process.file.sha256.
BitdefenderGZMalwareName security_result.threat_name O valor de BitdefenderGZMalwareName do registro bruto é atribuído a security_result.threat_name.
BitdefenderGZMalwareType security_result.detection_fields.value O valor de BitdefenderGZMalwareType do registro bruto é atribuído como valor a um objeto security_result.detection_fields em que a chave é "malware_type".
BitdefenderGZModule metadata.product_event_type O valor de BitdefenderGZModule do registro bruto é atribuído a metadata.product_event_type.
BitdefenderGZSeverityScore security_result.severity_details O valor de BitdefenderGZSeverityScore do registro bruto é atribuído a security_result.severity_details.
BitdefenderGZHwId target.resource.id O valor de BitdefenderGZHwId do registro bruto é atribuído a target.resource.id.
act security_result.action_details O valor de act do registro bruto é atribuído a security_result.action_details.
actionTaken security_result.action_details O valor de actionTaken do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "block" é mapeado para "BLOCK"). O campo security_result.description também é preenchido com "actionTaken: " seguido pelo valor de actionTaken.
additional.fields additional.fields A lógica do analisador cria um par de chave/valor para "product_installed" e o adiciona ao objeto additional.fields.
categories principal.asset.category O valor de categories do registro bruto é atribuído a principal.asset.category.
cmd_line target.process.command_line O valor de cmd_line do registro bruto é atribuído a target.process.command_line.
companyId target.user.company_name O valor de companyId do registro bruto é atribuído a target.user.company_name.
computer_fqdn principal.asset.network_domain O valor de computer_fqdn do registro bruto é atribuído a principal.asset.network_domain.
computer_id principal.asset.asset_id O valor de computer_id do registro bruto é atribuído a principal.asset.asset_id depois de adicionar o prefixo "ComputerId:".
computer_ip principal.asset.ip O valor de computer_ip do registro bruto é analisado, dividido por vírgulas, e cada endereço IP resultante é adicionado à matriz principal.asset.ip.
computer_name principal.resource.attribute.labels.value O valor de computer_name do registro bruto é atribuído como um valor a um objeto principal.resource.attribute.labels em que a chave é "computer_name". Ele também é adicionado como um valor a um objeto security_result.detection_fields em que a chave é "computer_name".
column1 metadata.product_log_id O valor de column1 do registro bruto é atribuído a metadata.product_log_id.
column3 observer.ip O valor de column3 do registro bruto é atribuído a observer.ip.
command_line target.process.command_line O valor de command_line do registro bruto é atribuído a target.process.command_line.
data target.registry.registry_value_data O valor de data do registro bruto é atribuído a target.registry.registry_value_data.
detection_attackTechnique security_result.detection_fields.value O valor de detection_attackTechnique do registro bruto é atribuído como um valor a um objeto security_result.detection_fields em que a chave é "detection attackTechnique".
detection_name security_result.threat_name O valor de detection_name do registro bruto é atribuído a security_result.threat_name.
destination_ip target.ip O valor de destination_ip do registro bruto é atribuído a target.ip.
destination_port target.port O valor de destination_port do registro bruto é atribuído a target.port.
direction network.direction O valor de direction do registro bruto é convertido para maiúsculas e atribuído a network.direction.
dvc principal.ip O valor de dvc do registro bruto é analisado, dividido por vírgulas, e cada endereço IP resultante é adicionado à matriz principal.ip.
dvchost about.hostname O valor de dvchost do registro bruto é atribuído a about.hostname.
event_description metadata.description O valor de event_description do registro bruto é atribuído a metadata.description.
event_name metadata.product_event_type O valor de event_name do registro bruto é atribuído a metadata.product_event_type. Se o valor for "Antiphishing", security_result.category será definido como "PHISHING". Se o valor for "AntiMalware", security_result.category será definido como "SOFTWARE_MALICIOUS". O campo metadata.event_type é derivado de event_name usando uma série de instruções condicionais no analisador.
ev metadata.product_event_type O valor de ev do registro bruto é atribuído a metadata.product_event_type.
extra_info.command_line target.process.command_line O valor de extra_info.command_line do registro bruto é atribuído a target.process.command_line.
extra_info.parent_pid principal.process.pid O valor de extra_info.parent_pid do registro bruto é atribuído a principal.process.pid.
extra_info.parent_process_cmdline principal.process.command_line O valor de extra_info.parent_process_cmdline do registro bruto é atribuído a principal.process.command_line.
extra_info.parent_process_path principal.process.file.full_path O valor de extra_info.parent_process_path do registro bruto é atribuído a principal.process.file.full_path.
extra_info.pid target.process.pid O valor de extra_info.pid do registro bruto é atribuído a target.process.pid.
extra_info.process_path target.process.file.full_path O valor de extra_info.process_path do registro bruto é atribuído a target.process.file.full_path.
extra_info.user target.user.userid O valor de extra_info.user do registro bruto é atribuído a target.user.userid.
filePath principal.process.file.full_path O valor de filePath do registro bruto é atribuído a principal.process.file.full_path.
file_path principal.process.file.full_path O valor de file_path do registro bruto é atribuído a principal.process.file.full_path.
final_status security_result.action_details O valor de final_status do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "deleted" é mapeado para "BLOCK", "ignored" para "ALLOW"). O campo security_result.description também é preenchido com "final_status: " seguido pelo valor de final_status. Se o valor for "deleted" ou "blocked", metadata.event_type será definido como "SCAN_NETWORK".
hash principal.process.file.sha256 O valor de hash do registro bruto é atribuído a principal.process.file.sha256.
host principal.hostname O valor de host do registro bruto é atribuído a principal.hostname.
hostname principal.hostname O valor de hostname do registro bruto é atribuído a principal.hostname se event_name não for "log_on" ou "log_out". Caso contrário, ele será atribuído a target.hostname.
host_name principal.hostname O valor de host_name do registro bruto é atribuído a principal.hostname.
hwid principal.resource.id O valor de hwid do registro bruto é atribuído a principal.resource.id se não estiver vazio. Se estiver vazio e o evento não for "log_on" ou "log_out", o valor de source_hwid será atribuído a principal.resource.id. Se o evento for "log_on" ou "log_out", ele será atribuído a target.resource.id.
incident_id metadata.product_log_id O valor de incident_id do registro bruto é atribuído a metadata.product_log_id.
ip_dest target.ip O valor de ip_dest do registro bruto é atribuído a target.ip.
ip_source principal.ip O valor de ip_source do registro bruto é atribuído a principal.ip.
key_path target.registry.registry_key O valor de key_path do registro bruto é atribuído a target.registry.registry_key.
local_port principal.port O valor de local_port do registro bruto é convertido em um número inteiro e atribuído a principal.port.
logon_type extensions.auth.mechanism O valor de logon_type do registro bruto é usado para determinar o valor de extensions.auth.mechanism. Valores numéricos diferentes de logon_type são mapeados para mecanismos de autenticação diferentes (por exemplo, 2 é mapeado para "LOCAL", 3 para "NETWORK"). Se nenhum logon_type correspondente for encontrado, o mecanismo será definido como "MECHANISM_UNSPECIFIED".
lurker_id intermediary.resource.id O valor de lurker_id do registro bruto é atribuído a intermediary.resource.id.
main_action security_result.action_details O valor de main_action do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido (por exemplo, "blocked" é mapeado para "BLOCK", "no action" para "ALLOW"). O campo security_result.description também é preenchido com "main_action: " seguido pelo valor de main_action.
malware_name security_result.threat_name O valor de malware_name do registro bruto é atribuído a security_result.threat_name.
malware_type security_result.detection_fields.value O valor de malware_type do registro bruto é atribuído como valor a um objeto security_result.detection_fields em que a chave é "malware_type".
metadata.description metadata.description O analisador define o campo metadata.description com base no campo event_name.
metadata.event_type metadata.event_type O analisador define o campo metadata.event_type com base no campo event_name.
metadata.product_event_type metadata.product_event_type O analisador define o campo metadata.product_event_type com base nos campos event_name ou module.
metadata.product_log_id metadata.product_log_id O analisador define o campo metadata.product_log_id com base nos campos msg_id ou incident_id.
metadata.product_name metadata.product_name O analisador define o metadata.product_name como "BitDefender EDR".
metadata.product_version metadata.product_version O analisador renomeia o campo product_version como metadata.product_version.
metadata.vendor_name metadata.vendor_name O analisador define o metadata.vendor_name como "BitDefender".
module metadata.product_event_type O valor de module do registro bruto é atribuído a metadata.product_event_type. Se o valor for "new-incident" e target_process_file_full_path não estiver vazio, metadata.event_type será definido como "PROCESS_UNCATEGORIZED". Se o valor for "task-status", metadata.event_type será definido como "STATUS_UPDATE". Se o valor for "network-monitor" ou "fw", metadata.event_type será definido como "SCAN_NETWORK".
msg_id metadata.product_log_id O valor de msg_id do registro bruto é atribuído a metadata.product_log_id.
network.application_protocol network.application_protocol O valor de uc_type do registro bruto é convertido para maiúsculas e atribuído a network.application_protocol.
network.direction network.direction O analisador define o campo network.direction com base no campo direction.
network.ip_protocol network.ip_protocol Se protocol_id for "6", o analisador vai definir network.ip_protocol como "TCP".
new_path target.file.full_path O valor de new_path do registro bruto é atribuído a target.file.full_path.
old_path src.file.full_path O valor de old_path do registro bruto é atribuído a src.file.full_path.
origin_ip intermediary.ip O valor de origin_ip do registro bruto é atribuído a intermediary.ip.
os principal.platform_version O valor de os do registro bruto é atribuído a principal.platform_version. O campo principal.platform é derivado de os (por exemplo, "Win" é mapeado para "WINDOWS"). Se o evento for "log_on" ou "log_out", os campos principal.platform e principal.platform_version serão renomeados como target.platform e target.platform_version, respectivamente.
os_type principal.platform O valor de os_type do registro bruto é usado para determinar o valor de principal.platform (por exemplo, "Win" é mapeado para "WINDOWS").
parent_pid principal.process.pid O valor de parent_pid do registro bruto é atribuído a principal.process.pid.
parent_process_path principal.process.file.full_path O valor de parent_process_path do registro bruto é atribuído a principal.process.file.full_path.
parent_process_pid principal.process.pid O valor de parent_process_pid do registro bruto é atribuído a principal.process.pid.
path target.file.full_path O valor de path do registro bruto é atribuído a target.file.full_path.
pid principal.process.pid ou target.process.pid O valor de pid do registro bruto é atribuído a principal.process.pid se event_name começar com "file" ou "reg", ou se for um dos seguintes: "process_signal", "network_connection" ou "connection_connect". Caso contrário, ele será atribuído a target.process.pid.
pid_path principal.process.file.full_path O valor de pid_path do registro bruto é atribuído a principal.process.file.full_path.
port_dest target.port O valor de port_dest do registro bruto é convertido em um número inteiro e atribuído a target.port.
port_source principal.port O valor de port_source do registro bruto é convertido em um número inteiro e atribuído a principal.port.
ppid principal.process.pid O valor de ppid do registro bruto é atribuído a principal.process.pid.
principal.ip principal.ip O analisador define o campo principal.ip com base nos campos ip_source ou dvc.
principal.platform principal.platform O analisador define o campo principal.platform com base nos campos os ou os_type.
principal.platform_version principal.platform_version O analisador define o campo principal.platform_version com base nos campos os ou osi_version.
principal.process.command_line principal.process.command_line O analisador define o campo principal.process.command_line com base no campo parent_process_cmdline.
principal.process.file.full_path principal.process.file.full_path O analisador define o campo principal.process.file.full_path com base nos campos pid_path, file_path, parent_process_path ou process_path.
principal.process.file.md5 principal.process.file.md5 O analisador renomeia o campo file_hash_md5 como principal.process.file.md5.
principal.process.file.sha256 principal.process.file.sha256 O analisador define o campo principal.process.file.sha256 com base nos campos hash, BitdefenderGZMalwareHash ou file_hash_sha256.
principal.process.parent_process.pid principal.process.parent_process.pid O analisador renomeia o campo ppid como principal.process.parent_process.pid.
principal.process.pid principal.process.pid O analisador define o campo principal.process.pid com base nos campos pid, parent_pid, ppid ou parent_process_pid.
principal.resource.id principal.resource.id O analisador define o campo principal.resource.id com base nos campos hwid ou source_hwid.
principal.url principal.url O analisador define o campo principal.url com base no campo url.
process_command_line target.process.command_line O valor de process_command_line do registro bruto é atribuído a target.process.command_line.
process_path principal.process.file.full_path ou target.process.file.full_path O valor de process_path do registro bruto é atribuído a principal.process.file.full_path se event_name for "network_connection" ou "connection_connect". Caso contrário, ele será atribuído a target.process.file.full_path.
product_installed additional.fields.value.string_value O valor de product_installed do registro bruto é atribuído como um valor a um objeto additional.fields em que a chave é "product_installed".
product_version metadata.product_version O valor de product_version do registro bruto é atribuído a metadata.product_version.
protocol_id network.ip_protocol Se protocol_id for "6", o analisador vai definir network.ip_protocol como "TCP".
request target.url O valor de request do registro bruto é atribuído a target.url.
security_result.action security_result.action O analisador define o campo security_result.action com base nos campos main_action, actionTaken, status ou final_status. Se nenhum desses campos fornecer uma ação válida, o padrão será "UNKNOWN_ACTION".
security_result.action_details security_result.action_details O analisador define o campo security_result.action_details com base nos campos main_action, actionTaken, status ou final_status.
security_result.category security_result.category O analisador define o campo security_result.category como "PHISHING" se event_name for "Antiphishing", como "SOFTWARE_MALICIOUS" se event_name for "AntiMalware" ou mescla o valor do campo sec_category.
security_result.category_details security_result.category_details O analisador define o campo security_result.category_details com base nos campos block_type ou attack_types.
security_result.detection_fields security_result.detection_fields O analisador cria objetos security_result.detection_fields para vários campos, incluindo "malware_type", "attack_entry", "BitdefenderGZAttCkId", "BitdefenderGZEndpointId", "final_status", "detection attackTechnique" e "computer_name".
security_result.description security_result.description O analisador define o campo security_result.description com base nos campos main_action, actionTaken ou final_status.
security_result.severity security_result.severity O analisador define o campo security_result.severity com base no valor em maiúsculas do campo severity se ele não estiver vazio e o module for "new-incident".
security_result.severity_details security_result.severity_details O analisador define o campo security_result.severity_details com base no campo severity_score.
security_result.threat_name security_result.threat_name O analisador define o campo security_result.threat_name com base nos campos malware_name ou detection_name.
severity security_result.severity O valor de severity do registro bruto é convertido para maiúsculas e atribuído a security_result.severity se não estiver vazio e module for "new-incident".
severity_score security_result.severity_details O valor de severity_score do registro bruto é convertido em uma string e atribuído a security_result.severity_details.
source_host observer.ip O valor de source_host do registro bruto é atribuído a observer.ip.
source_hwid principal.resource.id O valor de source_hwid do registro bruto é atribuído a principal.resource.id.
source_ip src.ip O valor de source_ip do registro bruto é atribuído a src.ip.
source_port principal.port O valor de source_port do registro bruto é convertido em um número inteiro e atribuído a principal.port.
spt principal.port O valor de spt do registro bruto é atribuído a principal.port.
sproc principal.process.command_line O valor de sproc do registro bruto é atribuído a principal.process.command_line.
src principal.ip O valor de src do registro bruto é atribuído a principal.ip.
src.ip src.ip O analisador define o campo src.ip com base no campo source_ip.
src.file.full_path src.file.full_path O analisador define o campo src.file.full_path com base no campo old_path.
status security_result.action_details O valor de status do registro bruto é atribuído a security_result.action_details. Com base nesse valor, o campo security_result.action é definido. Por exemplo, "portscan_blocked" e "uc_site_blocked" são mapeados para "BLOCK". O campo security_result.description também é preenchido com "status: " seguido pelo valor de status.
suid principal.user.userid O valor de suid do registro bruto é atribuído a principal.user.userid.
suser principal.user.user_display_name O valor de suser do registro bruto é atribuído a principal.user.user_display_name.
target.file.full_path target.file.full_path O analisador define o campo target.file.full_path com base nos campos path ou new_path.
target.hostname target.hostname O analisador define o campo target.hostname com base no campo hostname.
target.ip target.ip O analisador define o campo target.ip com base nos campos ip_dest ou destination_ip.
target.platform target.platform O analisador define o campo target.platform com base no campo principal.platform.
target.platform_version target.platform_version O analisador define o campo target.platform_version com base no campo principal.platform_version.
target.port target.port O analisador define o campo target.port com base nos campos port_dest ou destination_port.
target.process.command_line target.process.command_line O analisador define o campo target.process.command_line com base nos campos command_line, process_command_line ou cmd_line.
target.process.file.full_path target.process.file.full_path O analisador define o campo target.process.file.full_path com base no campo process_path.
target.process.pid target.process.pid O analisador define o campo target.process.pid com base no campo pid.
target.registry.registry_key target.registry.registry_key O analisador define o campo target.registry.registry_key com base no campo key_path.
target.registry.registry_value_data target.registry.registry_value_data O analisador define o campo target.registry.registry_value_data com base no campo data.
target.registry.registry_value_name target.registry.registry_value_name O analisador define o campo target.registry.registry_value_name com base no campo value.
target.resource.id target.resource.id O analisador define o campo target.resource.id com base nos campos hwid ou BitdefenderGZHwId.
target.url target.url O analisador define o campo target.url com base no campo request.
target.user.company_name target.user.company_name O analisador define o campo target.user.company_name com base no campo companyId.
target.user.user_display_name target.user.user_display_name O analisador define o campo target.user.user_display_name com base nos campos user.name ou user.userName.
target.user.userid target.user.userid O analisador define o campo target.user.userid com base nos campos user_name, user, user.id ou extra_info.user.
target_pid target.process.pid O valor de target_pid do registro bruto é atribuído a target.process.pid.
timestamp metadata.event_timestamp O valor de timestamp do registro bruto é analisado e atribuído a metadata.event_timestamp.
uc_type network.application_protocol O valor de uc_type do registro bruto é convertido para maiúsculas e atribuído a network.application_protocol. Se target_user_userid não estiver vazio, metadata.event_type será definido como "USER_UNCATEGORIZED". Caso contrário, ela será definida como "STATUS_UPDATE".
url principal.url O valor de url do registro bruto é atribuído a principal.url se não estiver vazio ou for "0.0.0.0".
user target.user.userid O valor de user do registro bruto é atribuído a target.user.userid.
user.id target.user.userid O valor de user.id do registro bruto é atribuído a target.user.userid.
user.name target.user.user_display_name O valor de user.name do registro bruto é atribuído a target.user.user_display_name.
user.userName target.user.user_display_name O valor de user.userName do registro bruto é atribuído a target.user.user_display_name.
user.userSid principal.user.windows_sid O valor de user.userSid do registro bruto é atribuído a principal.user.windows_sid.
user_name target.user.userid O valor de user_name do registro bruto é atribuído a target.user.userid.
value target.registry.registry_value_data ou target.registry.registry_value_name O valor de value do registro bruto é atribuído a target.registry.registry_value_data se event_name for "reg_delete_value". Caso contrário, ele será atribuído a target.registry.registry_value_name.
machine_name event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de mudanças
os_family event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
os_version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
os_platform event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
container_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
user_sid event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
integrity event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
integrity_sz event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
elevation event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
elevation_sz event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
parent_integrity event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
parent_integrity_sz event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
parent_elevation event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
parent_elevation_sz event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ring event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
event_version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
company_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ctc_version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
hardware_id event.idm.read_only_udm.principal.asset.product_object_id Mapeado do registro de mudanças
parent_pid event.idm.read_only_udm.principal.process.pid Mapeado do registro de mudanças
parent_cmdline event.idm.read_only_udm.principal.process.command_line Mapeado do registro de mudanças
parent_user_name event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
cmdline event.idm.read_only_udm.target.process.command_line Mapeado do registro de mudanças
user_name event.idm.read_only_udm.target.user.userid Mapeado do registro de mudanças
process_sha event.idm.read_only_udm.target.process.file.sha256 Mapeado do registro de mudanças
process_md5 event.idm.read_only_udm.target.process.file.md5 Mapeado do registro de mudanças
mitre_ids event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
dvc event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
fileHash event.idm.read_only_udm.target.file.md5 Mapeado do registro de mudanças
BitdefenderGZFileHashSha256 event.idm.read_only_udm.target.file.sha256 Mapeado do registro de mudanças
fname event.idm.read_only_udm.target.file.names Mapeado do registro de mudanças
BitdefenderGZAttackTypes event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZOldHwid event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZNewHwid event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZIncidentId event.idm.read_only_udm.security_result.rule_id Mapeado do registro de mudanças
start event.idm.read_only_udm.security_result.first_discovered_time Mapeado do registro de mudanças
BitdefenderGZAttackType event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZDetectionLevel event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZFilelessAttack event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
severity event.idm.read_only_udm.security_result.severity_details Mapeado do registro de mudanças
BitdefenderGZEventSourceIP event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
BitdefenderGZFwProtocolId event.idm.read_only_udm.network.ip_protocol Mapeado do registro de mudanças
cnt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZMalwareHash event.idm.read_only_udm.target.file.sha256 Mapeado do registro de mudanças
BitdefenderGZMalwareType event.idm.read_only_udm.security_result.threat_name Mapeado do registro de mudanças
BitdefenderGZMalwareName event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZParentPid event.idm.read_only_udm.target.process.parent_process.pid Mapeado do registro de mudanças
BitdefenderGZParentPath event.idm.read_only_udm.target.process.parent_process.file.full_path Mapeado do registro de mudanças
suser event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
suid event.idm.read_only_udm.principal.user.windows_sid Mapeado do registro de mudanças
BitdefenderGZDetectionName event.idm.read_only_udm.security_result.threat_name Mapeado do registro de mudanças
BitdefenderGZProcessCommandLine event.idm.read_only_udm.target.process.command_line Mapeado do registro de mudanças
BitdefenderGZDetectionAttackTechnique event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZDetectionAttackerIp event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
BitdefenderGZDetectionVictimIp event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
BitdefenderGZDetectionLocalPort event.idm.read_only_udm.target.port Mapeado do registro de mudanças
BitdefenderGZEmailSender event.idm.read_only_udm.principal.user.email_addresses Mapeado do registro de mudanças
duser event.idm.read_only_udm.target.user.userid Mapeado do registro de mudanças
BitdefenderGZEmailSubject event.idm.read_only_udm.network.email.subject Mapeado do registro de mudanças
BitdefenderGZEventType event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZDetectionTechnique event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZDriverPath event.idm.read_only_udm.target.file.full_path Mapeado do registro de mudanças
BitdefenderGZParentProcess event.idm.read_only_udm.target.process.parent_process.pid Mapeado do registro de mudanças
BitdefenderGZParentProcessPath event.idm.read_only_udm.target.process.parent_process.file.full_path Mapeado do registro de mudanças
BitdefenderGZDetectionCommandLine event.idm.read_only_udm.target.process.command_line Mapeado do registro de mudanças
BitdefenderGZDetectionTime event.idm.read_only_udm.security_result.first_seen_timestamp Mapeado do registro de mudanças
BitdefenderGZSignaturesNumber event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZTaskScanType event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZScanEngineType event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZCleanedMalwareCnt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZBlockedMalwareCnt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZDeletedMalwareCnt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZQuarantinedMalwareCnt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZIgnoredMalwareCnt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZPresentMalwareCnt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZModule event.idm.read_only_udm.metadata.product_event_type Mapeado do registro de mudanças
BitdefenderGZCompanyId event.idm.read_only_udm.target.user.company_name Mapeado do registro de mudanças
dvchost event.idm.read_only_udm.about.hostname Mapeado do registro de mudanças
BitdefenderGZMalwareName event.idm.read_only_udm.security_result.threat_name Mapeado do registro de mudanças
BitdefenderGZComputerFQDN event.idm.read_only_udm.principal.asset.network_domain Mapeado do registro de mudanças
BitdefenderGZMalwareHash event.idm.read_only_udm.principal.process.file.sha256 Mapeado do registro de mudanças
BitdefenderGZHwId event.idm.read_only_udm.target.resource.id Mapeado do registro de mudanças
event_name event.idm.read_only_udm.security_result.category Mapeado do registro de mudanças
reason event.idm.read_only_udm.security_result.summary Mapeado do registro de mudanças
dvc event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
dvc event.idm.read_only_udm.about.ip Mapeado do registro de mudanças
src event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
deviceExternalId event.idm.read_only_udm.about.asset.asset_id Mapeado do registro de mudanças
request event.idm.read_only_udm.target.url Mapeado do registro de mudanças
BitdefenderGZSeverityScore event.idm.read_only_udm.security_result.severity_details Mapeado do registro de mudanças
BitdefenderGZMalwareType event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZAttCkId event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
BitdefenderGZEndpointId event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
sproc event.idm.read_only_udm.principal.process.command_line Mapeado do registro de mudanças
suid event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
severity event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
BitdefenderGZMainAction event.idm.read_only_udm.security_result.action Mapeado do registro de mudanças
BitdefenderGZMainAction event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
BitdefenderGZMainAction event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
actionTaken event.idm.read_only_udm.security_result.action Mapeado do registro de mudanças
actionTaken event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
actionTaken event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
final_status event.idm.read_only_udm.security_result.action Mapeado do registro de mudanças
final_status event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
final_status event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
status event.idm.read_only_udm.security_result.action Mapeado do registro de mudanças
status event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
status event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
dhost event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de mudanças
suser event.idm.read_only_udm.principal.user.user_display_name Mapeado do registro de mudanças
act event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
msg event.idm.read_only_udm.metadata.description Mapeado do registro de mudanças
start event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de mudanças
filePath event.idm.read_only_udm.about.file.full_path Mapeado do registro de mudanças
device_version event.idm.read_only_udm.metadata.product_version Mapeado do registro de mudanças
security_result.action QUARANTINE Mapeado do registro de mudanças
security_result.action ALLOW_WITH_MODIFICATION Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.