Blue Coat ProxySG-Logs erfassen

Parserversion: 32.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Blue Coat ProxySG-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Blue Coat ProxySG (jetzt Broadcom/Symantec) ist eine Webproxy-Appliance, die Zugriffslogs für Webtraffic generiert, einschließlich HTTP-Anfragen, Kategorien, Authentifizierung und Sicherheitsereignissen. Der Parser normalisiert Felder und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und der Blue Coat ProxySG-Appliance
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Administratorzugriff auf die Blue Coat ProxySG-Verwaltungskonsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/bluecoat_webproxy:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: BLUECOAT_WEBPROXY
    raw_log_field: body

service:
  pipelines:
    logs/bluecoat_webproxy_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/bluecoat_webproxy

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Exporter für die Legacy Ingestion API

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/bluecoat_webproxy:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: BLUECOAT_WEBPROXY
    raw_log_field: body

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Prüfen Sie die Logs auf Fehler:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Logs auf Fehler prüfen:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog in Blue Coat ProxySG konfigurieren

  1. Melden Sie sich in der Verwaltungskonsole von Blue Coat ProxySG an.
  2. Gehen Sie zu Wartung > Ereignisprotokollierung > Syslog.
  3. Klicken Sie auf Neu.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Loghost: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Klicken Sie auf OK.
  5. Klicken Sie das Kästchen Syslog aktivieren an.
  6. Wählen Sie Pegel aus.
  7. Klicken Sie das Kästchen Ausführlich an.
  8. Klicken Sie auf Übernehmen.

Benutzerdefinierten Client in Blue Coat ProxySG konfigurieren

  1. Gehen Sie zu Konfiguration > Zugriffs-Logging > Logs > Upload-Client.
  2. Wählen Sie in der Liste „Log“ die Option Streaming aus.
  3. Wählen Sie in der Liste „Clienttyp“ die Option Benutzerdefinierter Client aus.
  4. Klicken Sie auf Einstellungen.
  5. Wählen Sie in der Liste Einstellungen den primären oder alternativen benutzerdefinierten Server aus, den Sie konfigurieren möchten.
  6. Geben Sie die folgenden Konfigurationsdetails an:
    • Host: Geben Sie den Hostnamen oder die IP-Adresse des Uploadziels ein.
    • Port: Auf 514 festlegen.
    • Sichere Verbindungen (SSL) verwenden: Auf Aus setzen.
    • Klicken Sie auf OK.
    • Klicken Sie auf Übernehmen, um zum Tab Upload Client zurückzukehren.
  7. Führen Sie für jedes Logformat, das Sie verwenden möchten (main, im und streaming), die folgenden Schritte aus:
    • Wählen Sie das Log aus.
    • Weisen Sie den Upload-Client als benutzerdefinierten Client zu.
    • Wählen Sie <No Encryption> und <No Signing> aus.
    • Speichern Sie die Protokolldatei als Textdatei.
    • Klicken Sie auf Upload-Zeitplan > Upload-Typ.
    • Wählen Sie für Zugriffslog hochladen die Option Kontinuierlich aus, um die Zugriffslogs zu streamen.
    • Klicken Sie auf OK.
  8. Klicken Sie auf Übernehmen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
@timestamp metadata.event_timestamp Der Zeitstempel des Ereignisses, wie er von der Blue Coat-Appliance aufgezeichnet wurde. Aus den JSON-Daten geparst.
application-name target.application Der Name der Anwendung, die mit dem Netzwerkverkehr verknüpft ist. Aus den JSON-Daten geparst.
c-ip principal.asset.ipprincipal.ip Client-IP-Adresse. Aus den JSON-Daten geparst.
c_ip principal.ipprincipal.asset.ip Client-IP-Adresse. Aus verschiedenen Protokollformaten geparst.
c_ip_host principal.hostnameprincipal.asset.hostname Client-Hostname, falls verfügbar. Aus den JSON-Daten geparst.
cs-auth-group principal_user_group_identifiers Gruppe für die Clientauthentifizierung. Aus den JSON-Daten geparst.
cs-bytes network.sent_bytes Anzahl der vom Client gesendeten Bytes. Aus den JSON-Daten geparst.
cs-categories security_result.category_details Kategorien, die der Webanfrage von der Blue Coat-Appliance zugewiesen wurden. Aus den JSON-Daten geparst.
cs-host target_hostname Vom Client angeforderter Hostname. Aus den JSON-Daten geparst.
cs-icap-error-details security_result.detection_fields ICAP-Fehlerdetails von der Clientseite. Aus den JSON-Daten geparst, Schlüssel ist „cs-icap-error-details“.
cs-icap-status security_result.description ICAP-Status auf der Clientseite. Aus den JSON-Daten geparst.
cs-method network.http.method In der Anfrage verwendete HTTP-Methode. Aus den JSON-Daten geparst.
cs-threat-risk security_result.risk_score Risikobewertung der Bedrohung, die von der Blue Coat-Appliance zugewiesen wurde. Aus den JSON-Daten geparst.
cs-uri-extension cs_uri_extension Die Erweiterung des angeforderten URI. Aus den JSON-Daten geparst.
cs-uri-path _uri_path Pfad des angeforderten URI. Aus den JSON-Daten geparst.
cs-uri-port cs_uri_port Port des angeforderten URI. Aus den JSON-Daten geparst.
cs-uri-query _uri_query Abfragestring des angeforderten URI. Aus den JSON-Daten geparst.
cs-uri-scheme _uri_scheme Schema des Anfrage-URI (z.B. http, https). Aus den JSON-Daten geparst.
cs-userdn principal_user_userid Nutzername des Kunden. Aus den JSON-Daten geparst.
cs-version cs_version Vom Client verwendete HTTP-Version. Aus den JSON-Daten geparst.
cs(Referer) network.http.referral_url Referrer-URL Aus den JSON-Daten geparst.
cs(User-Agent) network.http.user_agent User-Agent-String. Aus den JSON-Daten geparst.
cs(X-Requested-With) security_result.detection_fields Wert des X-Requested-With-Headers. Aus den JSON-Daten geparst, der Schlüssel ist „cs-X-Requested-With“.
cs_auth_group principal_user_group_identifiers Gruppe für die Clientauthentifizierung. Aus verschiedenen Protokollformaten geparst.
cs_bytes network.sent_bytes Anzahl der vom Client gesendeten Bytes. Aus verschiedenen Logformaten geparst.
cs_categories security_result.category_details Kategorien, die der Webanfrage zugewiesen sind. Aus verschiedenen Protokollformaten geparst.
cs_host target_hostname Vom Client angeforderter Hostname. Aus verschiedenen Protokollformaten geparst.
cs_method network.http.method In der Anfrage verwendete HTTP-Methode. Aus verschiedenen Logformaten geparst.
cs_referer network.http.referral_url Referrer-URL. Aus verschiedenen Logformaten geparst.
cs_threat_risk security_result.risk_score Von der Blue Coat-Appliance zugewiesener Risikowert für Bedrohungen. Aus dem KV-Logformat geparst.
cs_uri target.url Vollständiger angeforderter URI. Aus dem KV-Logformat geparst.
cs_uri_extension cs_uri_extension Erweiterung des angeforderten URI. Aus dem KV-Logformat geparst.
cs_uri_path _uri_path Pfad des angeforderten URI. Aus verschiedenen Protokollformaten geparst.
cs_uri_port target_port Port des angeforderten URI. Aus verschiedenen Logformaten geparst.
cs_uri_query _uri_query Abfragestring des angeforderten URI. Aus verschiedenen Logformaten geparst.
cs_uri_scheme _uri_scheme Schema des Anfrage-URI (z.B. http, https). Aus verschiedenen Logformaten geparst.
cs_user principal_user_userid Nutzername des Kunden. Aus dem allgemeinen Logformat geparst.
cs_user_agent network.http.user_agent User-Agent-String. Aus verschiedenen Protokollformaten geparst.
cs_username principal_user_userid Nutzername des Kunden. Aus verschiedenen Logformaten geparst.
cs_x_forwarded_for _intermediary.ip X-Forwarded-For-Headerwert. Aus dem allgemeinen Logformat geparst.
deviceHostname _intermediary.hostname Hostname der Blue Coat-Appliance. Aus dem KV-Logformat geparst.
dst ip_target IP-Adresse des Ziels. Aus dem KV-Logformat geparst.
dst_ip ip_target IP-Adresse des Ziels. Aus dem SSL-Logformat geparst.
dst_user target.user.userid Zielnutzer-ID. Geparst aus dem Proxy-Reverse-Logformat.
dstport target_port Zielport. Aus dem KV-Logformat geparst.
dstport target.port Zielport. Aus dem SSL-Logformat geparst.
exception-id _block_reason Die Ausnahme-ID, die auf eine blockierte Anfrage hinweist. Aus dem KV-Logformat geparst.
filter-category _categories Kategorie des Filters, der das Ereignis ausgelöst hat. Aus dem KV-Logformat geparst.
filter-result _policy_action Ergebnis des auf die Anfrage angewendeten Filters. Aus dem KV-Logformat geparst.
hostname principal.hostnameprincipal.asset.hostname Hostname des Geräts, das das Log generiert. Aus den SSL- und allgemeinen Logformaten geparst.
isolation-url isolation-url URL im Zusammenhang mit der Isolation, falls zutreffend. Aus den JSON-Daten geparst.
ma-detonated durch MA ausgelöst Status der Malware-Detonation. Aus den JSON-Daten geparst.
page-views Seitenaufrufe Anzahl der Seitenaufrufe. Aus den JSON-Daten geparst.
r-ip ip_target Remote-IP-Adresse. Aus den JSON-Daten geparst.
r-supplier-country r-supplier-country Land des Remote-Anbieters. Aus den JSON-Daten geparst.
r_dns target_hostname Remote-DNS-Name. Aus den JSON-Daten geparst.
r_ip ip_target Remote-IP-Adresse. Aus verschiedenen Protokollformaten geparst.
r_port target_port Remote-Port Aus den JSON-Daten geparst.
risk-groups security_result.detection_fields Mit dem Ereignis verknüpfte Risikogruppen. Aus den JSON-Daten geparst, Schlüssel ist „risk-groups“.
rs-icap-error-details security_result.detection_fields ICAP-Fehlerdetails von der Remote-Serverseite. Aus den JSON-Daten geparst, Schlüssel ist „rs-icap-error-details“.
rs-icap-status rs-icap-status ICAP-Status auf der Seite des Remote-Servers. Aus den JSON-Daten geparst.
rs(Content-Type) target.file.mime_type Inhaltstyp der Antwort vom Remote-Server. Aus dem KV-Logformat geparst.
rs_content_type target.file.mime_type Inhaltstyp der Antwort vom Remote-Server. Aus verschiedenen Protokollformaten geparst.
rs_server rs_server Informationen zum Remote-Server. Aus den JSON-Daten geparst.
rs_status _network.http.response_code Antwortstatuscode vom Remote-Server. Aus den JSON-Daten geparst.
r_supplier_country intermediary.location.country_or_region Land des Remote-Anbieters. Aus dem allgemeinen Logformat geparst.
r_supplier_ip intermediary.ip IP-Adresse des Remote-Anbieters. Aus dem allgemeinen Logformat geparst.
s-action _metadata.product_event_type Vom Proxy ergriffene Maßnahme. Aus dem KV-Logformat geparst.
s-ip _intermediary.ip IP-Adresse des Servers. Aus dem KV-Logformat geparst.
s-source-ip _intermediary.ip Quell-IP-Adresse des Servers. Aus den JSON-Daten geparst.
s_action _metadata.product_event_type Vom Proxy ausgeführte Aktion. Aus verschiedenen Logformaten geparst.
s_ip target.iptarget.asset.ip IP-Adresse des Servers. Aus verschiedenen Logformaten geparst.
s_ip_host _intermediary.hostname Server-Hostname Aus den JSON-Daten geparst.
s-supplier-country intermediary.location.country_or_region Land des Anbieterservers. Aus den JSON-Daten geparst.
s-supplier-failures security_result.detection_fields Fehler bei Lieferanten. Aus den JSON-Daten geparst, Schlüssel ist „s-supplier-failures“.
s-supplier-ip _intermediary.ip IP-Adresse des Servers des Lieferanten. Aus den JSON-Daten geparst.
s_supplier_ip intermediary.ip IP-Adresse des Servers des Anbieters. Aus den JSON-Daten geparst.
s_supplier_name _intermediary.hostname Name des Servers des Anbieters. Aus dem allgemeinen Logformat geparst.
sc-bytes network.received_bytes Anzahl der Bytes, die der Server empfangen hat. Aus dem KV-Logformat geparst.
sc-filter-result _policy_action Ergebnisse serverseitig filtern. Aus dem KV-Logformat geparst.
sc-status _network.http.response_code Vom Server zurückgegebener Statuscode. Aus dem KV-Logformat geparst.
sc_bytes network.received_bytes Anzahl der vom Server empfangenen Bytes. Aus verschiedenen Logformaten geparst.
sc_connection sc_connection Informationen zur Serververbindung. Aus dem allgemeinen Logformat geparst.
sc_filter_result _policy_action Filterergebnis von der Serverseite. Aus verschiedenen Protokollformaten geparst.
sc_status _network.http.response_code Vom Server zurückgegebener Statuscode. Aus verschiedenen Logformaten geparst.
search_query target.resource.attribute.labels Suchanfrage, falls in der URL vorhanden. Aus target_url extrahiert, Schlüssel ist „search_query“.
session_id network.session_id Sitzungs-ID. Geparst aus dem Proxy-Reverse-Logformat.
src ip_principal IP-Adresse der Quelle. Aus dem KV-Logformat geparst.
src_hostname principal.hostnameprincipal.asset.hostname Quell-Hostname. Aus dem allgemeinen Logformat geparst.
src_ip ip_principal IP-Adresse der Quelle. Aus dem SSL-Logformat geparst.
srcport principal_port Quellport. Aus dem KV-Logformat geparst.
src_port principal.port Quellport. Aus dem SSL-Logformat geparst.
s_source_port intermediary.port Quellport des Servers. Aus dem allgemeinen Logformat geparst.
summary security_result.summary Zusammenfassung des Sicherheitsergebnisses. Aus den Logformaten „Proxy Reverse“ und „SSL“ geparst.
syslogtimestamp syslogtimestamp Syslog-Zeitstempel. Aus dem KV-Logformat geparst.
target_application target.application Anwendung, auf die die Anfrage abzielt. Abgeleitet von x_bluecoat_application_name oder application-name.
target_hostname target.hostnametarget.asset.hostname Ziel-Hostname. Abgeleitet von r_dns,cs-host oder anderen Feldern, je nach Logformat.
target_port target.port Zielport. Abgeleitet vonr_port,cs_uri_port, ordstport, je nach Protokollformat.
target_sip target.iptarget.asset.ip IP-Adresse des Zielservers. Aus dem allgemeinen Logformat geparst.
target_url target.url Ziel-URL. Abgeleitet von target_hostname,_uri_path, _uri_query oder cs_uri.
time-taken network.session_duration Dauer der Sitzung oder Anfrage. Aus dem KV-Logformat geparst und in Sekunden und Nanosekunden umgewandelt.
time_taken network.session_duration Dauer der Sitzung oder Anfrage. Aus verschiedenen Logformaten geparst und in Sekunden und Nanosekunden konvertiert.
tls_version network.tls.version In der Verbindung verwendete TLS-Version. Aus dem SSL-Logformat geparst.
upload-source upload-source Quelle des Uploads. Aus den JSON-Daten geparst.
username principal_user_userid Nutzername. Aus dem KV-Logformat geparst.
verdict security_result.detection_fields Ergebnis der Sicherheitsanalyse. Aus den JSON-Daten geparst, Schlüssel ist „verdict“.
wf-env wf_env Umgebung des Webfilterdienstes. Aus den JSON-Daten geparst.
wf_id security_result.detection_fields Webfilter-ID. Aus den JSON-Daten geparst, Schlüssel ist „wf_id“.
wrong_cs_host principal.hostnameprincipal.asset.hostname Falsch geparster Client-Hostname, der als Haupt-Hostname verwendet wird, wenn es sich nicht um eine IP-Adresse handelt. Aus dem allgemeinen Logformat geparst.
x-bluecoat-access-type x-bluecoat-access-type Zugriffstyp. Aus den JSON-Daten geparst.
x-bluecoat-appliance-name intermediary.application Name der Blue Coat-Appliance. Aus den JSON-Daten geparst.
x-bluecoat-application-name target_application Name der Anwendung. Aus den JSON-Daten geparst.
x-bluecoat-application-operation x_bluecoat_application_operation Anwendungsvorgang. Aus den JSON-Daten geparst.
x-bluecoat-location-id x-bluecoat-location-id Standort-ID. Aus den JSON-Daten geparst.
x-bluecoat-location-name x-bluecoat-location-name Name des Orts. Aus den JSON-Daten geparst.
x-bluecoat-placeholder security_result.detection_fields Platzhalterinformationen. Aus den JSON-Daten geparst, Schlüssel ist „x-bluecoat-placeholder“.
x-bluecoat-reference-id security_result.detection_fields Referenz-ID. Aus den JSON-Daten geparst, der Schlüssel ist „x-bluecoat-reference-id“.
x-bluecoat-request-tenant-id x-bluecoat-request-tenant-id Mandanten-ID der Anfrage. Aus den JSON-Daten geparst.
x-bluecoat-transaction-uuid metadata.product_log_id Transaktions-UUID. Aus den JSON-Daten geparst.
x-client-agent-sw software.name Client-Agent-Software. Aus den JSON-Daten geparst und in „principal.asset.software“ zusammengeführt.
x-client-agent-type principal.application Client-Agent-Typ. Aus den JSON-Daten geparst.
x-client-device-id principal.resource.product_object_id Client-Geräte-ID. Aus den JSON-Daten geparst.
x-client-device-name x-client-device-name Name des Clientgeräts. Aus den JSON-Daten geparst.
x-client-device-type x-client-device-type Typ des Clientgeräts. Aus den JSON-Daten geparst.
x-client-os principal.asset.platform_software.platform Client-Betriebssystem. Aus den JSON-Daten geparst. Wenn „Windows“ enthalten ist, wird die Plattform auf WINDOWS festgelegt.
x-client-security-posture-details x-client-security-posture-details Details zum Sicherheitsstatus des Clients. Aus den JSON-Daten geparst.
x-client-security-posture-risk-score security_result.detection_fields Risikobewertung für den Sicherheitsstatus des Clients. Aus den JSON-Daten geparst, Schlüssel ist „x-client-security-posture-risk-score“.
x-cloud-rs security_result.detection_fields Informationen zum Cloud-bezogenen Remoteserver. Wird aus den JSON-Daten geparst, der Schlüssel ist „x-cloud-rs“.
x-cs-certificate-subject x_cs_certificate_subject Zertifikatsubjekt von der Clientseite. Aus den JSON-Daten geparst.
x-cs-client-ip-country x-cs-client-ip-country Land der Client-IP-Adresse. Aus den JSON-Daten geparst.
x-cs-connection-negotiated-cipher network.tls.cipher Ausgehandelte Chiffre von der Clientseite. Aus den JSON-Daten geparst.
x-cs-connection-negotiated-cipher-size security_result.detection_fields Ausgehandelte Chiffregröße von der Clientseite. Aus den JSON-Daten geparst, Schlüssel ist „x-cs-connection-negotiated-cipher-size“.
x-cs-connection-negotiated-ssl-version network.tls.version_protocol Die ausgehandelte SSL-Version auf Clientseite. Aus den JSON-Daten geparst.
x-cs-ocsp-error security_result.detection_fields OCSP-Fehler auf Clientseite. Aus den JSON-Daten geparst, Schlüssel ist „x-cs-ocsp-error“.
x-cs(referer)-uri-categories x-cs(referer)-uri-categories Referrer-URI-Kategorien von der Clientseite. Aus den JSON-Daten geparst.
x-data-leak-detected security_result.detection_fields Status der Erkennung von Datenlecks. Der Schlüssel wird aus den JSON-Daten geparst und lautet „x-data-leak-detected“.
x-exception-id x_exception_id Ausnahme-ID. Aus den JSON-Daten geparst.
x-http-connect-host x-http-connect-host HTTP-Verbindungshost. Aus den JSON-Daten geparst.
x-http-connect-port x-http-connect-port HTTP-Verbindungsport. Aus den JSON-Daten geparst.
x-icap-reqmod-header(x-icap-metadata) x_icap_reqmod_header ICAP-Anfrageänderungsheader mit Metadaten. Aus den JSON-Daten geparst.
x-icap-respmod-header(x-icap-metadata) x_icap_respmod_header ICAP-Antwortänderungsheader mit Metadaten. Aus den JSON-Daten geparst.
x-rs-certificate-hostname network.tls.client.server_name Hostname des Zertifikats auf dem Remote-Server. Aus den JSON-Daten geparst.
x-rs-certificate-hostname-categories x_rs_certificate_hostname_category Kategorien für Hostnamen von Zertifikaten auf der Remote-Server-Seite. Aus den JSON-Daten geparst.
x-rs-certificate-hostname-category x_rs_certificate_hostname_category Kategorie des Zertifikatshostnamens auf der Remote-Server-Seite. Aus den JSON-Daten geparst.
x-rs-certificate-hostname-threat-risk security_result.detection_fields Bedrohungsrisiko für den Zertifikatshostnamen von der Remote-Server-Seite. Aus den JSON-Daten geparst, Schlüssel ist „x-rs-certificate-hostname-threat-risk“.
x-rs-certificate-observed-errors x_rs_certificate_observed_errors Auf der Seite des Remote-Servers wurden Zertifikatsfehler beobachtet. Aus den JSON-Daten geparst.
x-rs-certificate-validate-status network.tls.server.certificate.subject Zertifikatsvalidierungsstatus von der Remote-Serverseite. Aus den JSON-Daten geparst.
x-rs-connection-negotiated-cipher x_rs_connection_negotiated_cipher Ausgehandeltes Verschlüsselungsverfahren auf der Seite des Remote-Servers. Aus den JSON-Daten geparst.
x-rs-connection-negotiated-cipher-size security_result.detection_fields Ausgehandelte Chiffregröße von der Remote-Serverseite. Aus den JSON-Daten geparst, Schlüssel ist „x-rs-connection-negotiated-cipher-size“.
x-rs-connection-negotiated-cipher-strength x_rs_connection_negotiated_cipher_strength Ausgehandelte Verschlüsselungsstärke von der Remote-Server-Seite. Aus den JSON-Daten geparst.
x-rs-connection-negotiated-ssl-version x_rs_connection_negotiated_ssl_version Ausgehandelte SSL-Version von der Remote-Server-Seite. Aus den JSON-Daten geparst.
x-rs-ocsp-error x_rs_ocsp_error OCSP-Fehler auf der Remote-Serverseite. Aus den JSON-Daten geparst.
x-sc-connection-issuer-keyring security_result.detection_fields Schlüsselbund des Verbindungsherausgebers. Aus den JSON-Daten geparst, Schlüssel ist „x-sc-connection-issuer-keyring“.
x-sc-connection-issuer-keyring-alias x-sc-connection-issuer-keyring-alias Alias des Schlüsselbunds des Verbindungsausstellers. Aus den JSON-Daten geparst.
x-sr-vpop-country principal.location.country_or_region VPOP-Land. Aus den JSON-Daten geparst.
x-sr-vpop-country-code principal.location.country_or_region VPOP-Ländercode. Aus den JSON-Daten geparst.
x-sr-vpop-ip principal.ipprincipal.asset.ip VPOP-IP-Adresse. Aus den JSON-Daten geparst.
x-symc-dei-app x-symc-dei-app Symantec DEI-Anwendung. Aus den JSON-Daten geparst.
x-symc-dei-via security_result.detection_fields Symantec DEI via. Aus den JSON-Daten geparst, Schlüssel ist „x-symc-dei-via“.
x-tenant-id security_result.detection_fields Mandanten-ID Aus den JSON-Daten geparst, Schlüssel ist „x-tenant-id“.
x-timestamp-unix x-timestamp-unix Unix-Zeitstempel. Aus den JSON-Daten geparst.
x_bluecoat_application_name target_application Name der Anwendung. Aus verschiedenen Protokollformaten geparst.
x_bluecoat_application_operation x_bluecoat_application_operation Anwendungsvorgang. Aus verschiedenen Protokollformaten geparst.
x_bluecoat_transaction_uuid metadata.product_log_id Transaktions-UUID. Aus verschiedenen Logformaten geparst.
x_cs_certificate_subject x_cs_certificate_subject Betreff des clientseitigen Zertifikats. Aus dem allgemeinen Logformat geparst.
x_cs_client_effective_ip ip_principal Die effektive IP-Adresse des Clients. Aus dem allgemeinen Logformat geparst.
x_cs_connection_negotiated_cipher network.tls.cipher Clientseitig ausgehandelte Chiffre. Aus dem allgemeinen Logformat geparst.
x_cs_connection_negotiated_ssl_version network.tls.version_protocol Clientseitig ausgehandelte SSL-Version. Aus dem allgemeinen Logformat geparst.
x_exception_id _block_reason Ausnahme-ID. Aus verschiedenen Logformaten geparst.
x_icap_reqmod_header x_icap_reqmod_header ICAP-Anfragemodifikationsheader. Aus dem allgemeinen Logformat geparst.
x_icap_respmod_header x_icap_respmod_header ICAP-Antwortänderungsheader. Aus dem allgemeinen Logformat geparst.
x_rs_certificate_hostname network.tls.client.server_name Hostname des Zertifikats des Remote-Servers. Aus dem allgemeinen Logformat geparst.
x_rs_certificate_hostname_category x_rs_certificate_hostname_category Hostname-Kategorie des Remote-Serverzertifikats. Aus dem allgemeinen Logformat geparst.
x_rs_certificate_observed_errors x_rs_certificate_observed_errors Auf dem Remote-Server sind Zertifikatsfehler aufgetreten. Aus dem allgemeinen Logformat geparst.
x_rs_certificate_validate_status network.tls.server.certificate.subject Validierungsstatus des Remote-Serverzertifikats. Aus verschiedenen Logformaten geparst.
x_rs_connection_negotiated_cipher_strength x_rs_connection_negotiated_cipher_strength Vom Remote-Server ausgehandelte Verschlüsselungsstärke. Aus dem allgemeinen Logformat geparst.
x_rs_connection_negotiated_ssl_version x_rs_connection_negotiated_ssl_version Vom Remote-Server ausgehandelte SSL-Version. Aus dem allgemeinen Logformat geparst.
x_virus_id security_result.detection_fields Virus-ID. Wird aus verschiedenen Protokollformaten geparst, der Schlüssel ist „x-virus-id“.
xbluecoat_application_operation event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs_host event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus Änderungsprotokoll zugeordnet
c_ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
c_ip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
cs_host event.idm.read_only_udm.principal.hostname Aus Änderungsprotokoll zugeordnet
cs_host event.idm.read_only_udm.principal.asset.hostname Aus Änderungsprotokoll zugeordnet
id event.idm.read_only_udm.metadata.product_log_id Aus Änderungsprotokoll zugeordnet
i_hostname event.idm.read_only_udm.intermediary.hostname Aus Änderungsprotokoll zugeordnet
i_ip event.idm.read_only_udm.intermediary.ip Aus Änderungsprotokoll zugeordnet
descrip event.idm.read_only_udm.principal.application Aus Änderungsprotokoll zugeordnet
description event.idm.read_only_udm.security_result.category_details Aus Änderungsprotokoll zugeordnet
sum1 event.idm.read_only_udm.security_result.category_details Aus Änderungsprotokoll zugeordnet
sum2 event.idm.read_only_udm.security_result.category_details Aus Änderungsprotokoll zugeordnet
sum3 event.idm.read_only_udm.security_result.category_details Aus Änderungsprotokoll zugeordnet
details event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
ip_principal event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
ip_principal event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
port event.idm.read_only_udm.principal.port Aus Änderungsprotokoll zugeordnet
t_ip event.idm.read_only_udm.target.ip Aus Änderungsprotokoll zugeordnet
t_ip event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
t_hostname event.idm.read_only_udm.target.hostname Aus Änderungsprotokoll zugeordnet
rc event.idm.read_only_udm.network.http.response_code Aus Änderungsprotokoll zugeordnet
cs_method event.idm.read_only_udm.network.http.method Aus Änderungsprotokoll zugeordnet
cs_user_agent event.idm.read_only_udm.network.http.user_agent Aus Änderungsprotokoll zugeordnet
cs_refer event.idm.read_only_udm.network.http.referral_url Aus Änderungsprotokoll zugeordnet
rs_service_latency event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
x_icap_reqmod_header event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
x_icap_respmod_header event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
x_bluecoat_app_operation event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
x_bluecoat_total_time_added event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
policy_evaluation_time event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
x_bluecoat_appliance_name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs_connection_ssl_server_name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
rs_connection_ssl_server_name event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
x_data_leak_detected event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
r_Ip event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
s-ip event.idm.read_only_udm.intermediary.ip Aus Änderungsprotokoll zugeordnet
cs-uri-port event.idm.read_only_udm.target.port Aus Änderungsprotokoll zugeordnet
cs-host event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus Änderungsprotokoll zugeordnet
r-ip event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
c-ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
dest_host" and "target_hostname target.url Aus Änderungsprotokoll zugeordnet
proxy_name" and "column3 principal.asset.hostname Aus Änderungsprotokoll zugeordnet
upload-source additional.fields Aus Änderungsprotokoll zugeordnet
time-taken session_duration.session_duration Aus Änderungsprotokoll zugeordnet
file_reputation security_result.detection_fields Aus Änderungsprotokoll zugeordnet
expect_sandbox security_result.detection_fields Aus Änderungsprotokoll zugeordnet
cs_auth_groups principal.user.group_identifiers Aus Änderungsprotokoll zugeordnet
time_taken network.session_duration.nanos Aus Änderungsprotokoll zugeordnet
cs-userdn principal.user.userid Aus Änderungsprotokoll zugeordnet
application-name target.application Aus Änderungsprotokoll zugeordnet
rs_server security_result.about.labels Aus Änderungsprotokoll zugeordnet
c_uri_path_query target.file.full_path Aus Änderungsprotokoll zugeordnet
metadata.event_type STATUS_UPDATE Aus Änderungsprotokoll zugeordnet
cs-uri-scheme network.ip_protocol Aus Änderungsprotokoll zugeordnet
rule_name security_result.rule_name Aus Änderungsprotokoll zugeordnet
application_protocol network.application_protocol Aus Änderungsprotokoll zugeordnet
communication_type security_result.rule_name Aus Änderungsprotokoll zugeordnet
rule_name security_result.about.labels Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten