收集 Bitdefender 記錄
剖析器版本：29.0
支援：
Google SecOps
SIEM
本文說明如何使用 Bindplane 代理程式，將 Bitdefender 記錄檔擷取至 Google Security Operations。
這個剖析器會擷取 CEF 或 CSV 格式的 Bitdefender GravityZone 記錄，將欄位正規化為 UDM，並根據事件類型執行特定動作。這項剖析器會處理檔案作業、網路連線、程序建立和登錄檔修改，並將相關資訊對應至適當的 UDM 欄位。
事前準備
請確認您已完成下列事前準備事項：
- Google SecOps 執行個體
- Windows Server 2016 以上版本，或搭載
systemd的 Linux 主機 - Bindplane 代理程式與 Bitdefender GravityZone 設備之間的網路連線
- 如果透過 Proxy 執行，請確保防火牆通訊埠已根據 Bindplane 代理程式需求開啟
- Bitdefender GravityZone 的特殊存取權
取得 Bindplane 代理程式的 Google SecOps 憑證
如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：
- 新部署作業：使用 Chronicle API (選項 1)。
- 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。
方法 1：為 Chronicle API 建立服務帳戶 (建議)
- 登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
- 依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
- 按一下「建立服務帳戶」。
- 請提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如
bindplane-ingest)。 - 服務帳戶說明：輸入說明 (例如
Bindplane agent log ingestion)。
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如
- 點按「Create and continue」(建立並繼續)。
- 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
- 依序點選「繼續」和「完成」。
- 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
- 依序點選「新增金鑰」>「建立新的金鑰」。
- 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
- 將金鑰檔案儲存為 Bindplane 收集器目錄中的
ingestion-auth.json(Linux 為/opt/observiq-otel-collector/ingestion-auth.json，Windows 為C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新config.yaml中的creds_file_path，使其與儲存檔案的路徑相符。 - 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。
方法 2：下載擷取驗證檔案 (舊版)
- 登入 Google SecOps 控制台。
- 依序前往「SIEM Settings」 > 「Collection Agents」。
- 下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。
取得 Google SecOps 客戶 ID
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。
安裝 Bindplane 代理程式
請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。
Windows 安裝
- 以管理員身分開啟命令提示字元或 PowerShell。
執行下列指令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安裝完成。
執行下列指令，確認安裝成功：
sc query observiq-otel-collector服務應顯示為「RUNNING」。
安裝 Linux
- 開啟具有 root 或 sudo 權限的終端機。
執行下列指令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安裝完成。
執行下列指令，確認安裝成功：
sudo systemctl status observiq-otel-collector服務應顯示為「active (running)」。
其他安裝資源
如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。
設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps
找出設定檔
Linux：
sudo nano /opt/observiq-otel-collector/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
編輯設定檔
將
config.yaml的全部內容替換為下列設定：receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/bitdefender: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: chronicle.googleapis.com log_type: BITDEFENDER raw_log_field: body service: pipelines: logs/bitdefender_to_chronicle: receivers: - tcplog exporters: - chronicle/bitdefender
設定參數
替換下列預留位置：
接收器設定：
listen_address：要監聽的 IP 位址和通訊埠：0.0.0.0在所有介面接聽電話 (建議)- 通訊埠
514是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；如果沒有根層級權限，請使用1514)
Exporter 設定：
creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：- Linux：
/opt/observiq-otel-collector/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：從 Google SecOps 控制台複製的客戶 IDlocation：將<LOCATION>替換為 Google SecOps 執行個體的區域 (例如us、europe或asia-southeast1)。匯出工具會以這個值做為chronicle.googleapis.com的前置字元。如需完整清單，請參閱「區域性端點」。project：將<PROJECT_NUMBER>替換為「IAM 與管理」>「設定」中的專案編號。endpoint：維持設為chronicle.googleapis.com。
舊版擷取 API 匯出工具
如果您使用選項 2 的擷取驗證檔案，請將
exporters區塊替換為下列內容。將creds_file_path設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將malachiteingestion-pa.googleapis.com替換為區域端點 (例如europe-malachiteingestion-pa.googleapis.com)。exporters: chronicle/bitdefender: compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: BITDEFENDER raw_log_field: body
儲存設定檔
- 編輯完畢後，請儲存檔案：
- Linux：依序按下
Ctrl+O、Enter和Ctrl+X - Windows：依序點選「檔案」>「儲存」
- Linux：依序按下
重新啟動 Bindplane 代理程式，套用變更
如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
sudo systemctl restart observiq-otel-collector確認服務是否正在執行：
```bash sudo systemctl status observiq-otel-collector ```檢查記錄是否有錯誤：
```bash sudo journalctl -u observiq-otel-collector -f ```
如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列其中一個選項：
以管理員身分開啟命令提示字元或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector服務控制台：
- 按下
Win+R鍵，輸入services.msc，然後按下 Enter 鍵。 - 找出「observIQ OpenTelemetry Collector」。
- 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務是否正在執行：
sc query observiq-otel-collector檢查記錄是否有錯誤：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
- 按下
在 Bitdefender GravityZone 設定系統記錄串流
- 登入 GravityZone Control Center。
- 依序前往「Configuration」>「Integrations」>「Syslog」。
- 按一下「Add Syslog Server」。
- 提供必要詳細資料：
- 名稱：為系統記錄伺服器提供專屬名稱 (例如 CentralSyslog)。
- IP 位址/主機名稱：輸入 Bindplane 伺服器的 IP 位址或主機名稱。
- 「Protocol」(通訊協定)：選取要使用的通訊協定：「TCP」或「UDP」。
- Port：指定 Bindplane 伺服器的通訊埠編號。
- 選取要串流的記錄類型，例如「Antimalware Events」、「Network Attack Defense (NAD) Events」、「Web Control Events」、「Firewall Events」或「Policy Changes」。
- 選用：設定篩選器，納入或排除特定事件類型。
- 按一下 [儲存]。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
BitdefenderGZAttackEntry |
security_result.detection_fields.value |
原始記錄中的 BitdefenderGZAttackEntry 值會指派為 security_result.detection_fields 物件的值，而鍵為「attack_entry」。 |
BitdefenderGZAttackTypes |
security_result.category_details |
原始記錄中的 BitdefenderGZAttackTypes 值會指派給 security_result.category_details。然後將值分割成個別字串，並將每個字串做為值新增至 security_result.category_details 陣列。 |
BitdefenderGZAttCkId |
security_result.detection_fields.value |
原始記錄中的 BitdefenderGZAttCkId 值會指派為 security_result.detection_fields 物件的值，而鍵為「BitdefenderGZAttCkId」。 |
BitdefenderGZCompanyId |
target.user.company_name |
原始記錄中的 BitdefenderGZCompanyId 值會指派給 target.user.company_name。 |
BitdefenderGZComputerFQDN |
principal.asset.network_domain |
原始記錄中的 BitdefenderGZComputerFQDN 值會指派給 principal.asset.network_domain。 |
BitdefenderGZDetectionName |
security_result.threat_name |
原始記錄中的 BitdefenderGZDetectionName 值會指派給 security_result.threat_name。 |
BitdefenderGZEndpointId |
security_result.detection_fields.value |
原始記錄中的 BitdefenderGZEndpointId 值會指派給 security_result.detection_fields 物件，其中鍵為「BitdefenderGZEndpointId」。 |
BitdefenderGZIncidentId |
metadata.product_log_id |
原始記錄中的 BitdefenderGZIncidentId 值會指派給 metadata.product_log_id。 |
BitdefenderGZMainAction |
security_result.action_details |
原始記錄中的 BitdefenderGZMainAction 值會指派給 security_result.action_details。系統會根據這個值設定 security_result.action 欄位 (例如「blocked」對應至「BLOCK」)。security_result.description 欄位也會填入「main_action: 」，後面接著 BitdefenderGZMainAction 的值。 |
BitdefenderGZMalwareHash |
principal.process.file.sha256 |
原始記錄中的 BitdefenderGZMalwareHash 值會指派給 principal.process.file.sha256。 |
BitdefenderGZMalwareName |
security_result.threat_name |
原始記錄中的 BitdefenderGZMalwareName 值會指派給 security_result.threat_name。 |
BitdefenderGZMalwareType |
security_result.detection_fields.value |
原始記錄中的 BitdefenderGZMalwareType 值會指派給 security_result.detection_fields 物件，其中鍵為「malware_type」。 |
BitdefenderGZModule |
metadata.product_event_type |
原始記錄中的 BitdefenderGZModule 值會指派給 metadata.product_event_type。 |
BitdefenderGZSeverityScore |
security_result.severity_details |
原始記錄中的 BitdefenderGZSeverityScore 值會指派給 security_result.severity_details。 |
BitdefenderGZHwId |
target.resource.id |
原始記錄中的 BitdefenderGZHwId 值會指派給 target.resource.id。 |
act |
security_result.action_details |
原始記錄中的 act 值會指派給 security_result.action_details。 |
actionTaken |
security_result.action_details |
原始記錄中的 actionTaken 值會指派給 security_result.action_details。系統會根據這個值設定 security_result.action 欄位 (例如，「block」會對應至「BLOCK」)。security_result.description 欄位也會填入「actionTaken: 」，後面接著 actionTaken 的值。 |
additional.fields |
additional.fields |
剖析器邏輯會為「product_installed」建立鍵/值組合，並新增至 additional.fields 物件。 |
categories |
principal.asset.category |
原始記錄中的 categories 值會指派給 principal.asset.category。 |
cmd_line |
target.process.command_line |
原始記錄中的 cmd_line 值會指派給 target.process.command_line。 |
companyId |
target.user.company_name |
原始記錄中的 companyId 值會指派給 target.user.company_name。 |
computer_fqdn |
principal.asset.network_domain |
原始記錄中的 computer_fqdn 值會指派給 principal.asset.network_domain。 |
computer_id |
principal.asset.asset_id |
原始記錄中的 computer_id 值會在前面加上「ComputerId:」後，指派給 principal.asset.asset_id。 |
computer_ip |
principal.asset.ip |
系統會剖析原始記錄中的 computer_ip 值，並以半形逗號分隔，然後將每個產生的 IP 位址新增至 principal.asset.ip 陣列。 |
computer_name |
principal.resource.attribute.labels.value |
原始記錄中的 computer_name 值會指派為 principal.resource.attribute.labels 物件的值，而鍵則是「computer_name」。此外，這個值也會新增至 security_result.detection_fields 物件，鍵為「computer_name」。 |
column1 |
metadata.product_log_id |
原始記錄中的 column1 值會指派給 metadata.product_log_id。 |
column3 |
observer.ip |
原始記錄中的 column3 值會指派給 observer.ip。 |
command_line |
target.process.command_line |
原始記錄中的 command_line 值會指派給 target.process.command_line。 |
data |
target.registry.registry_value_data |
原始記錄中的 data 值會指派給 target.registry.registry_value_data。 |
detection_attackTechnique |
security_result.detection_fields.value |
原始記錄中的 detection_attackTechnique 值會指派給 security_result.detection_fields 物件，其中鍵為「detection attackTechnique」。 |
detection_name |
security_result.threat_name |
原始記錄中的 detection_name 值會指派給 security_result.threat_name。 |
destination_ip |
target.ip |
原始記錄中的 destination_ip 值會指派給 target.ip。 |
destination_port |
target.port |
原始記錄中的 destination_port 值會指派給 target.port。 |
direction |
network.direction |
原始記錄中的 direction 值會轉換為大寫，並指派給 network.direction。 |
dvc |
principal.ip |
系統會剖析原始記錄中的 dvc 值，並以半形逗號分隔，然後將每個產生的 IP 位址新增至 principal.ip 陣列。 |
dvchost |
about.hostname |
原始記錄中的 dvchost 值會指派給 about.hostname。 |
event_description |
metadata.description |
原始記錄中的 event_description 值會指派給 metadata.description。 |
event_name |
metadata.product_event_type |
原始記錄中的 event_name 值會指派給 metadata.product_event_type。如果值為「Antiphishing」，security_result.category 會設為「PHISHING」。如果值為「AntiMalware」，security_result.category 會設為「SOFTWARE_MALICIOUS」。metadata.event_type 欄位是從 event_name 衍生而來，方法是在剖析器中使用一系列條件陳述式。 |
ev |
metadata.product_event_type |
原始記錄中的 ev 值會指派給 metadata.product_event_type。 |
extra_info.command_line |
target.process.command_line |
原始記錄中的 extra_info.command_line 值會指派給 target.process.command_line。 |
extra_info.parent_pid |
principal.process.pid |
原始記錄中的 extra_info.parent_pid 值會指派給 principal.process.pid。 |
extra_info.parent_process_cmdline |
principal.process.command_line |
原始記錄中的 extra_info.parent_process_cmdline 值會指派給 principal.process.command_line。 |
extra_info.parent_process_path |
principal.process.file.full_path |
原始記錄中的 extra_info.parent_process_path 值會指派給 principal.process.file.full_path。 |
extra_info.pid |
target.process.pid |
原始記錄中的 extra_info.pid 值會指派給 target.process.pid。 |
extra_info.process_path |
target.process.file.full_path |
原始記錄中的 extra_info.process_path 值會指派給 target.process.file.full_path。 |
extra_info.user |
target.user.userid |
原始記錄中的 extra_info.user 值會指派給 target.user.userid。 |
filePath |
principal.process.file.full_path |
原始記錄中的 filePath 值會指派給 principal.process.file.full_path。 |
file_path |
principal.process.file.full_path |
原始記錄中的 file_path 值會指派給 principal.process.file.full_path。 |
final_status |
security_result.action_details |
原始記錄中的 final_status 值會指派給 security_result.action_details。系統會根據這個值設定 security_result.action 欄位 (例如「deleted」對應至「BLOCK」，「ignored」對應至「ALLOW」)。security_result.description 欄位也會填入「final_status: 」，後面接著 final_status 的值。如果值為「deleted」或「blocked」，metadata.event_type 會設為「SCAN_NETWORK」。 |
hash |
principal.process.file.sha256 |
原始記錄中的 hash 值會指派給 principal.process.file.sha256。 |
host |
principal.hostname |
原始記錄中的 host 值會指派給 principal.hostname。 |
hostname |
principal.hostname |
如果 event_name 不是「log_on」或「log_out」，系統會將原始記錄中的 hostname 值指派給 principal.hostname。否則會指派給 target.hostname。 |
host_name |
principal.hostname |
原始記錄中的 host_name 值會指派給 principal.hostname。 |
hwid |
principal.resource.id |
如果原始記錄中的 hwid 值不為空白，則會指派給 principal.resource.id。如果這個欄位空白，且事件不是「log_on」或「log_out」，系統會將 source_hwid 的值指派給 principal.resource.id。如果事件是「log_on」或「log_out」，則會指派給 target.resource.id。 |
incident_id |
metadata.product_log_id |
原始記錄中的 incident_id 值會指派給 metadata.product_log_id。 |
ip_dest |
target.ip |
原始記錄中的 ip_dest 值會指派給 target.ip。 |
ip_source |
principal.ip |
原始記錄中的 ip_source 值會指派給 principal.ip。 |
key_path |
target.registry.registry_key |
原始記錄中的 key_path 值會指派給 target.registry.registry_key。 |
local_port |
principal.port |
原始記錄中的 local_port 值會轉換為整數，並指派給 principal.port。 |
logon_type |
extensions.auth.mechanism |
系統會使用原始記錄中的 logon_type 值，判斷 extensions.auth.mechanism 的值。logon_type 的不同數值會對應至不同的驗證機制 (例如 2 對應至「LOCAL」，3 對應至「NETWORK」)。如果找不到相符的 logon_type，機制會設為「MECHANISM_UNSPECIFIED」。 |
lurker_id |
intermediary.resource.id |
原始記錄中的 lurker_id 值會指派給 intermediary.resource.id。 |
main_action |
security_result.action_details |
原始記錄中的 main_action 值會指派給 security_result.action_details。系統會根據這個值設定 security_result.action 欄位 (例如「blocked」對應至「BLOCK」，「no action」對應至「ALLOW」)。security_result.description 欄位也會填入「main_action: 」和 main_action 的值。 |
malware_name |
security_result.threat_name |
原始記錄中的 malware_name 值會指派給 security_result.threat_name。 |
malware_type |
security_result.detection_fields.value |
原始記錄中的 malware_type 值會指派給 security_result.detection_fields 物件，其中鍵為「malware_type」。 |
metadata.description |
metadata.description |
剖析器會根據 event_name 欄位設定 metadata.description 欄位。 |
metadata.event_type |
metadata.event_type |
剖析器會根據 event_name 欄位設定 metadata.event_type 欄位。 |
metadata.product_event_type |
metadata.product_event_type |
剖析器會根據 event_name 或 module 欄位設定 metadata.product_event_type 欄位。 |
metadata.product_log_id |
metadata.product_log_id |
剖析器會根據 msg_id 或 incident_id 欄位設定 metadata.product_log_id 欄位。 |
metadata.product_name |
metadata.product_name |
剖析器會將 metadata.product_name 設為「BitDefender EDR」。 |
metadata.product_version |
metadata.product_version |
剖析器會將 product_version 欄位重新命名為 metadata.product_version。 |
metadata.vendor_name |
metadata.vendor_name |
剖析器會將 metadata.vendor_name 設為「BitDefender」。 |
module |
metadata.product_event_type |
原始記錄中的 module 值會指派給 metadata.product_event_type。如果值為「new-incident」且 target_process_file_full_path 不為空白，metadata.event_type 會設為「PROCESS_UNCATEGORIZED」。如果值為「task-status」，metadata.event_type 會設為「STATUS_UPDATE」。如果值為「network-monitor」或「fw」，metadata.event_type 會設為「SCAN_NETWORK」。 |
msg_id |
metadata.product_log_id |
原始記錄中的 msg_id 值會指派給 metadata.product_log_id。 |
network.application_protocol |
network.application_protocol |
原始記錄中的 uc_type 值會轉換為大寫，並指派給 network.application_protocol。 |
network.direction |
network.direction |
剖析器會根據 direction 欄位設定 network.direction 欄位。 |
network.ip_protocol |
network.ip_protocol |
如果 protocol_id 為「6」，剖析器會將 network.ip_protocol 設為「TCP」。 |
new_path |
target.file.full_path |
原始記錄中的 new_path 值會指派給 target.file.full_path。 |
old_path |
src.file.full_path |
原始記錄中的 old_path 值會指派給 src.file.full_path。 |
origin_ip |
intermediary.ip |
原始記錄中的 origin_ip 值會指派給 intermediary.ip。 |
os |
principal.platform_version |
原始記錄中的 os 值會指派給 principal.platform_version。principal.platform 欄位衍生自 os (例如，「Win」會對應至「WINDOWS」)。如果事件是「log_on」或「log_out」，principal.platform 和 principal.platform_version 欄位會分別重新命名為 target.platform 和 target.platform_version。 |
os_type |
principal.platform |
系統會使用原始記錄中的 os_type 值，判斷 principal.platform 的值 (例如「Win」對應至「WINDOWS」)。 |
parent_pid |
principal.process.pid |
原始記錄中的 parent_pid 值會指派給 principal.process.pid。 |
parent_process_path |
principal.process.file.full_path |
原始記錄中的 parent_process_path 值會指派給 principal.process.file.full_path。 |
parent_process_pid |
principal.process.pid |
原始記錄中的 parent_process_pid 值會指派給 principal.process.pid。 |
path |
target.file.full_path |
原始記錄中的 path 值會指派給 target.file.full_path。 |
pid |
principal.process.pid或target.process.pid |
如果 event_name 開頭為「file」或「reg」，或是「process_signal」、「network_connection」或「connection_connect」其中之一，則原始記錄中的 pid 值會指派給 principal.process.pid。否則，系統會將其指派給 target.process.pid。 |
pid_path |
principal.process.file.full_path |
原始記錄中的 pid_path 值會指派給 principal.process.file.full_path。 |
port_dest |
target.port |
原始記錄中的 port_dest 值會轉換為整數，並指派給 target.port。 |
port_source |
principal.port |
原始記錄中的 port_source 值會轉換為整數，並指派給 principal.port。 |
ppid |
principal.process.pid |
原始記錄中的 ppid 值會指派給 principal.process.pid。 |
principal.ip |
principal.ip |
剖析器會根據 ip_source 或 dvc 欄位設定 principal.ip 欄位。 |
principal.platform |
principal.platform |
剖析器會根據 os 或 os_type 欄位設定 principal.platform 欄位。 |
principal.platform_version |
principal.platform_version |
剖析器會根據 os 或 osi_version 欄位設定 principal.platform_version 欄位。 |
principal.process.command_line |
principal.process.command_line |
剖析器會根據 parent_process_cmdline 欄位設定 principal.process.command_line 欄位。 |
principal.process.file.full_path |
principal.process.file.full_path |
剖析器會根據 pid_path、file_path、parent_process_path 或 process_path 欄位設定 principal.process.file.full_path 欄位。 |
principal.process.file.md5 |
principal.process.file.md5 |
剖析器會將 file_hash_md5 欄位重新命名為 principal.process.file.md5。 |
principal.process.file.sha256 |
principal.process.file.sha256 |
剖析器會根據 hash、BitdefenderGZMalwareHash 或 file_hash_sha256 欄位設定 principal.process.file.sha256 欄位。 |
principal.process.parent_process.pid |
principal.process.parent_process.pid |
剖析器會將 ppid 欄位重新命名為 principal.process.parent_process.pid。 |
principal.process.pid |
principal.process.pid |
剖析器會根據 pid、parent_pid、ppid 或 parent_process_pid 欄位設定 principal.process.pid 欄位。 |
principal.resource.id |
principal.resource.id |
剖析器會根據 hwid 或 source_hwid 欄位設定 principal.resource.id 欄位。 |
principal.url |
principal.url |
剖析器會根據 url 欄位設定 principal.url 欄位。 |
process_command_line |
target.process.command_line |
原始記錄中的 process_command_line 值會指派給 target.process.command_line。 |
process_path |
principal.process.file.full_path或target.process.file.full_path |
如果 event_name 為「network_connection」或「connection_connect」，原始記錄中的 process_path 值會指派給 principal.process.file.full_path。否則會指派給 target.process.file.full_path。 |
product_installed |
additional.fields.value.string_value |
原始記錄中 product_installed 的值會指派給 additional.fields 物件，其中鍵為「product_installed」。 |
product_version |
metadata.product_version |
原始記錄中的 product_version 值會指派給 metadata.product_version。 |
protocol_id |
network.ip_protocol |
如果 protocol_id 為「6」，剖析器會將 network.ip_protocol 設為「TCP」。 |
request |
target.url |
原始記錄中的 request 值會指派給 target.url。 |
security_result.action |
security_result.action |
剖析器會根據 main_action、actionTaken、status 或 final_status 欄位設定 security_result.action 欄位。如果這些欄位都未提供有效動作，則預設為「UNKNOWN_ACTION」。 |
security_result.action_details |
security_result.action_details |
剖析器會根據 main_action、actionTaken、status 或 final_status 欄位設定 security_result.action_details 欄位。 |
security_result.category |
security_result.category |
如果 event_name 為「Antiphishing」，剖析器會將 security_result.category 欄位設為「PHISHING」；如果 event_name 為「AntiMalware」，則設為「SOFTWARE_MALICIOUS」；否則會合併 sec_category 欄位的值。 |
security_result.category_details |
security_result.category_details |
剖析器會根據 block_type 或 attack_types 欄位設定 security_result.category_details 欄位。 |
security_result.detection_fields |
security_result.detection_fields |
剖析器會為多個欄位建立 security_result.detection_fields 物件，包括「malware_type」、「attack_entry」、「BitdefenderGZAttCkId」、「BitdefenderGZEndpointId」、「final_status」、「detection attackTechnique」和「computer_name」。 |
security_result.description |
security_result.description |
剖析器會根據 main_action、actionTaken 或 final_status 欄位設定 security_result.description 欄位。 |
security_result.severity |
security_result.severity |
如果 severity 欄位不為空白，且 module 為「new-incident」，剖析器會根據 severity 欄位的大寫值設定 security_result.severity 欄位。 |
security_result.severity_details |
security_result.severity_details |
剖析器會根據 severity_score 欄位設定 security_result.severity_details 欄位。 |
security_result.threat_name |
security_result.threat_name |
剖析器會根據 malware_name 或 detection_name 欄位設定 security_result.threat_name 欄位。 |
severity |
security_result.severity |
如果原始記錄中的 severity 值不為空白，且 module 為「new-incident」，則該值會轉換為大寫並指派給 security_result.severity。 |
severity_score |
security_result.severity_details |
原始記錄中的 severity_score 值會轉換為字串，並指派給 security_result.severity_details。 |
source_host |
observer.ip |
原始記錄中的 source_host 值會指派給 observer.ip。 |
source_hwid |
principal.resource.id |
原始記錄中的 source_hwid 值會指派給 principal.resource.id。 |
source_ip |
src.ip |
原始記錄中的 source_ip 值會指派給 src.ip。 |
source_port |
principal.port |
原始記錄中的 source_port 值會轉換為整數，並指派給 principal.port。 |
spt |
principal.port |
原始記錄中的 spt 值會指派給 principal.port。 |
sproc |
principal.process.command_line |
原始記錄中的 sproc 值會指派給 principal.process.command_line。 |
src |
principal.ip |
原始記錄中的 src 值會指派給 principal.ip。 |
src.ip |
src.ip |
剖析器會根據 source_ip 欄位設定 src.ip 欄位。 |
src.file.full_path |
src.file.full_path |
剖析器會根據 old_path 欄位設定 src.file.full_path 欄位。 |
status |
security_result.action_details |
原始記錄中的 status 值會指派給 security_result.action_details。系統會根據這個值設定 security_result.action 欄位 (例如，「portscan_blocked」和「uc_site_blocked」會對應至「BLOCK」)。security_result.description 欄位也會填入「status: 」，後面接著 status 的值。 |
suid |
principal.user.userid |
原始記錄中的 suid 值會指派給 principal.user.userid。 |
suser |
principal.user.user_display_name |
原始記錄中的 suser 值會指派給 principal.user.user_display_name。 |
target.file.full_path |
target.file.full_path |
剖析器會根據 path 或 new_path 欄位設定 target.file.full_path 欄位。 |
target.hostname |
target.hostname |
剖析器會根據 hostname 欄位設定 target.hostname 欄位。 |
target.ip |
target.ip |
剖析器會根據 ip_dest 或 destination_ip 欄位設定 target.ip 欄位。 |
target.platform |
target.platform |
剖析器會根據 principal.platform 欄位設定 target.platform 欄位。 |
target.platform_version |
target.platform_version |
剖析器會根據 principal.platform_version 欄位設定 target.platform_version 欄位。 |
target.port |
target.port |
剖析器會根據 port_dest 或 destination_port 欄位設定 target.port 欄位。 |
target.process.command_line |
target.process.command_line |
剖析器會根據 command_line、process_command_line 或 cmd_line 欄位設定 target.process.command_line 欄位。 |
target.process.file.full_path |
target.process.file.full_path |
剖析器會根據 process_path 欄位設定 target.process.file.full_path 欄位。 |
target.process.pid |
target.process.pid |
剖析器會根據 pid 欄位設定 target.process.pid 欄位。 |
target.registry.registry_key |
target.registry.registry_key |
剖析器會根據 key_path 欄位設定 target.registry.registry_key 欄位。 |
target.registry.registry_value_data |
target.registry.registry_value_data |
剖析器會根據 data 欄位設定 target.registry.registry_value_data 欄位。 |
target.registry.registry_value_name |
target.registry.registry_value_name |
剖析器會根據 value 欄位設定 target.registry.registry_value_name 欄位。 |
target.resource.id |
target.resource.id |
剖析器會根據 hwid 或 BitdefenderGZHwId 欄位設定 target.resource.id 欄位。 |
target.url |
target.url |
剖析器會根據 request 欄位設定 target.url 欄位。 |
target.user.company_name |
target.user.company_name |
剖析器會根據 companyId 欄位設定 target.user.company_name 欄位。 |
target.user.user_display_name |
target.user.user_display_name |
剖析器會根據 user.name 或 user.userName 欄位設定 target.user.user_display_name 欄位。 |
target.user.userid |
target.user.userid |
剖析器會根據 user_name、user、user.id 或 extra_info.user 欄位設定 target.user.userid 欄位。 |
target_pid |
target.process.pid |
原始記錄中的 target_pid 值會指派給 target.process.pid。 |
timestamp |
metadata.event_timestamp |
系統會剖析原始記錄中的 timestamp 值，並指派給 metadata.event_timestamp。 |
uc_type |
network.application_protocol |
原始記錄中的 uc_type 值會轉換為大寫，並指派給 network.application_protocol。如果 target_user_userid 不是空白，metadata.event_type 會設為「USER_UNCATEGORIZED」。否則會設為「STATUS_UPDATE」。 |
url |
principal.url |
如果原始記錄中的 url 值並非空白或「0.0.0.0」，則會指派給 principal.url。 |
user |
target.user.userid |
原始記錄中的 user 值會指派給 target.user.userid。 |
user.id |
target.user.userid |
原始記錄中的 user.id 值會指派給 target.user.userid。 |
user.name |
target.user.user_display_name |
原始記錄中的 user.name 值會指派給 target.user.user_display_name。 |
user.userName |
target.user.user_display_name |
原始記錄中的 user.userName 值會指派給 target.user.user_display_name。 |
user.userSid |
principal.user.windows_sid |
原始記錄中的 user.userSid 值會指派給 principal.user.windows_sid。 |
user_name |
target.user.userid |
原始記錄中的 user_name 值會指派給 target.user.userid。 |
value |
target.registry.registry_value_data或target.registry.registry_value_name |
如果 event_name 為「reg_delete_value」，原始記錄中的 value 值會指派給 target.registry.registry_value_data。否則會指派給 target.registry.registry_value_name。 |
machine_name |
event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname |
從變更記錄對應 |
os_family |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
os_version |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
os_platform |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
container_id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
user_sid |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
integrity |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
integrity_sz |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
elevation |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
elevation_sz |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
parent_integrity |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
parent_integrity_sz |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
parent_elevation |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
parent_elevation_sz |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
ring |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
event_version |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
company_id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
ctc_version |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
hardware_id |
event.idm.read_only_udm.principal.asset.product_object_id |
從變更記錄對應 |
parent_pid |
event.idm.read_only_udm.principal.process.pid |
從變更記錄對應 |
parent_cmdline |
event.idm.read_only_udm.principal.process.command_line |
從變更記錄對應 |
parent_user_name |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
cmdline |
event.idm.read_only_udm.target.process.command_line |
從變更記錄對應 |
user_name |
event.idm.read_only_udm.target.user.userid |
從變更記錄對應 |
process_sha |
event.idm.read_only_udm.target.process.file.sha256 |
從變更記錄對應 |
process_md5 |
event.idm.read_only_udm.target.process.file.md5 |
從變更記錄對應 |
mitre_ids |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
dvc |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
fileHash |
event.idm.read_only_udm.target.file.md5 |
從變更記錄對應 |
BitdefenderGZFileHashSha256 |
event.idm.read_only_udm.target.file.sha256 |
從變更記錄對應 |
fname |
event.idm.read_only_udm.target.file.names |
從變更記錄對應 |
BitdefenderGZAttackTypes |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZOldHwid |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZNewHwid |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZIncidentId |
event.idm.read_only_udm.security_result.rule_id |
從變更記錄對應 |
start |
event.idm.read_only_udm.security_result.first_discovered_time |
從變更記錄對應 |
BitdefenderGZAttackType |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZDetectionLevel |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZFilelessAttack |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
severity |
event.idm.read_only_udm.security_result.severity_details |
從變更記錄對應 |
BitdefenderGZEventSourceIP |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
BitdefenderGZFwProtocolId |
event.idm.read_only_udm.network.ip_protocol |
從變更記錄對應 |
cnt |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZMalwareHash |
event.idm.read_only_udm.target.file.sha256 |
從變更記錄對應 |
BitdefenderGZMalwareType |
event.idm.read_only_udm.security_result.threat_name |
從變更記錄對應 |
BitdefenderGZMalwareName |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZParentPid |
event.idm.read_only_udm.target.process.parent_process.pid |
從變更記錄對應 |
BitdefenderGZParentPath |
event.idm.read_only_udm.target.process.parent_process.file.full_path |
從變更記錄對應 |
suser |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
suid |
event.idm.read_only_udm.principal.user.windows_sid |
從變更記錄對應 |
BitdefenderGZDetectionName |
event.idm.read_only_udm.security_result.threat_name |
從變更記錄對應 |
BitdefenderGZProcessCommandLine |
event.idm.read_only_udm.target.process.command_line |
從變更記錄對應 |
BitdefenderGZDetectionAttackTechnique |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZDetectionAttackerIp |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
BitdefenderGZDetectionVictimIp |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
BitdefenderGZDetectionLocalPort |
event.idm.read_only_udm.target.port |
從變更記錄對應 |
BitdefenderGZEmailSender |
event.idm.read_only_udm.principal.user.email_addresses |
從變更記錄對應 |
duser |
event.idm.read_only_udm.target.user.userid |
從變更記錄對應 |
BitdefenderGZEmailSubject |
event.idm.read_only_udm.network.email.subject |
從變更記錄對應 |
BitdefenderGZEventType |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZDetectionTechnique |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZDriverPath |
event.idm.read_only_udm.target.file.full_path |
從變更記錄對應 |
BitdefenderGZParentProcess |
event.idm.read_only_udm.target.process.parent_process.pid |
從變更記錄對應 |
BitdefenderGZParentProcessPath |
event.idm.read_only_udm.target.process.parent_process.file.full_path |
從變更記錄對應 |
BitdefenderGZDetectionCommandLine |
event.idm.read_only_udm.target.process.command_line |
從變更記錄對應 |
BitdefenderGZDetectionTime |
event.idm.read_only_udm.security_result.first_seen_timestamp |
從變更記錄對應 |
BitdefenderGZSignaturesNumber |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZTaskScanType |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZScanEngineType |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZCleanedMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZBlockedMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZDeletedMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZQuarantinedMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZIgnoredMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZPresentMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZModule |
event.idm.read_only_udm.metadata.product_event_type |
從變更記錄對應 |
BitdefenderGZCompanyId |
event.idm.read_only_udm.target.user.company_name |
從變更記錄對應 |
dvchost |
event.idm.read_only_udm.about.hostname |
從變更記錄對應 |
BitdefenderGZMalwareName |
event.idm.read_only_udm.security_result.threat_name |
從變更記錄對應 |
BitdefenderGZComputerFQDN |
event.idm.read_only_udm.principal.asset.network_domain |
從變更記錄對應 |
BitdefenderGZMalwareHash |
event.idm.read_only_udm.principal.process.file.sha256 |
從變更記錄對應 |
BitdefenderGZHwId |
event.idm.read_only_udm.target.resource.id |
從變更記錄對應 |
event_name |
event.idm.read_only_udm.security_result.category |
從變更記錄對應 |
reason |
event.idm.read_only_udm.security_result.summary |
從變更記錄對應 |
dvc |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
dvc |
event.idm.read_only_udm.about.ip |
從變更記錄對應 |
src |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
deviceExternalId |
event.idm.read_only_udm.about.asset.asset_id |
從變更記錄對應 |
request |
event.idm.read_only_udm.target.url |
從變更記錄對應 |
BitdefenderGZSeverityScore |
event.idm.read_only_udm.security_result.severity_details |
從變更記錄對應 |
BitdefenderGZMalwareType |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZAttCkId |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
BitdefenderGZEndpointId |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
sproc |
event.idm.read_only_udm.principal.process.command_line |
從變更記錄對應 |
suid |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
severity |
event.idm.read_only_udm.security_result.severity |
從變更記錄對應 |
BitdefenderGZMainAction |
event.idm.read_only_udm.security_result.action |
從變更記錄對應 |
BitdefenderGZMainAction |
event.idm.read_only_udm.security_result.action_details |
從變更記錄對應 |
BitdefenderGZMainAction |
event.idm.read_only_udm.security_result.description |
從變更記錄對應 |
actionTaken |
event.idm.read_only_udm.security_result.action |
從變更記錄對應 |
actionTaken |
event.idm.read_only_udm.security_result.action_details |
從變更記錄對應 |
actionTaken |
event.idm.read_only_udm.security_result.description |
從變更記錄對應 |
final_status |
event.idm.read_only_udm.security_result.action |
從變更記錄對應 |
final_status |
event.idm.read_only_udm.security_result.action_details |
從變更記錄對應 |
final_status |
event.idm.read_only_udm.security_result.description |
從變更記錄對應 |
status |
event.idm.read_only_udm.security_result.action |
從變更記錄對應 |
status |
event.idm.read_only_udm.security_result.action_details |
從變更記錄對應 |
status |
event.idm.read_only_udm.security_result.description |
從變更記錄對應 |
dhost |
event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname |
從變更記錄對應 |
suser |
event.idm.read_only_udm.principal.user.user_display_name |
從變更記錄對應 |
act |
event.idm.read_only_udm.security_result.action_details |
從變更記錄對應 |
msg |
event.idm.read_only_udm.metadata.description |
從變更記錄對應 |
start |
event.idm.read_only_udm.metadata.event_timestamp |
從變更記錄對應 |
filePath |
event.idm.read_only_udm.about.file.full_path |
從變更記錄對應 |
device_version |
event.idm.read_only_udm.metadata.product_version |
從變更記錄對應 |
security_result.action |
QUARANTINE |
從變更記錄對應 |
security_result.action |
ALLOW_WITH_MODIFICATION |
從變更記錄對應 |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。