Collecter les journaux Blue Coat ProxySG

Version de l'analyseur : 32.0

Compatible avec :

Ce document explique comment ingérer des journaux Blue Coat ProxySG dans Google Security Operations à l'aide de l'agent Bindplane.

Blue Coat ProxySG (désormais Broadcom/Symantec) est un dispositif de proxy Web qui génère des journaux d'accès pour le trafic Web, y compris les requêtes HTTP, les catégories, l'authentification et les événements de sécurité. L'analyseur normalise les champs et les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et l'appareil Blue Coat ProxySG
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès administrateur à la console de gestion Blue Coat ProxySG

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/bluecoat_webproxy:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: BLUECOAT_WEBPROXY
    raw_log_field: body

service:
  pipelines:
    logs/bluecoat_webproxy_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/bluecoat_webproxy

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port à écouter :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite la racine sur Linux ; utilisez 1514 pour les utilisateurs non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/bluecoat_webproxy:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: BLUECOAT_WEBPROXY
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer syslog dans Blue Coat ProxySG

  1. Connectez-vous à la console de gestion Blue Coat ProxySG.
  2. Accédez à Maintenance > Journalisation des événements > Syslog.
  3. Cliquez sur New (Nouveau).
  4. Fournissez les informations de configuration suivantes :
    • Loghost : saisissez l'adresse IP de l'agent Bindplane.
    • Cliquez sur OK.
  5. Cochez la case Activer Syslog.
  6. Sélectionnez Niveau.
  7. Cochez la case Verbose (Détaillé).
  8. Cliquez sur Appliquer.

Configurer un client personnalisé dans Blue Coat ProxySG

  1. Accédez à Configuration > Access Logging > Logs > Upload Client (Configuration > Journalisation des accès > Journaux > Client d'importation).
  2. Sélectionnez Streaming dans la liste des journaux.
  3. Sélectionnez Client personnalisé dans la liste des types de clients.
  4. Cliquez sur Paramètres.
  5. Sélectionnez le serveur personnalisé principal ou secondaire à configurer dans la liste Paramètres.
  6. Fournissez les informations de configuration suivantes :
    • Hôte : saisissez le nom d'hôte ou l'adresse IP de la destination d'importation.
    • Port : définissez cette option sur 514.
    • Utiliser des connexions sécurisées (SSL) : définissez cette option sur Désactivé.
    • Cliquez sur OK.
    • Cliquez sur Appliquer pour revenir à l'onglet Importer un client.
  7. Pour chaque format de journal que vous souhaitez utiliser parmi "main", "im" et "streaming", procédez comme suit :
    • Sélectionnez le journal.
    • Attribuez le client d'importation en tant que client personnalisé.
    • Sélectionnez <No Encryption> et <No Signing>.
    • Enregistrez le fichier journal au format texte.
    • Cliquez sur Importer un programme> Type d'importation.
    • Sélectionnez En continu pour Importer le journal d'accès afin de diffuser les journaux d'accès.
    • Cliquez sur OK.
  8. Cliquez sur Appliquer.

Table de mappage UDM

Champ du journal Mappage UDM Logique
@timestamp metadata.event_timestamp Code temporel de l'événement tel qu'enregistré par l'appliance Blue Coat. Analysé à partir des données JSON.
application-name target.application Nom de l'application associée au trafic réseau. Analysé à partir des données JSON.
c-ip principal.asset.ipprincipal.ip Adresse IP du client. Analysé à partir des données JSON.
c_ip principal.ipprincipal.asset.ip Adresse IP du client. Analysé à partir de différents formats de journaux.
c_ip_host principal.hostnameprincipal.asset.hostname Nom d'hôte du client, s'il est disponible. Analysé à partir des données JSON.
cs-auth-group principal_user_group_identifiers Groupe d'authentification client. Analysé à partir des données JSON.
cs-bytes network.sent_bytes Nombre d'octets envoyés par le client. Analysé à partir des données JSON.
cs-categories security_result.category_details Catégories attribuées à la requête Web par l'appareil Blue Coat. Analysé à partir des données JSON.
cs-host target_hostname Nom d'hôte demandé par le client. Analysé à partir des données JSON.
cs-icap-error-details security_result.detection_fields Détails des erreurs ICAP côté client. Analysée à partir des données JSON, la clé est "cs-icap-error-details".
cs-icap-status security_result.description État ICAP côté client. Analysé à partir des données JSON.
cs-method network.http.method Méthode HTTP utilisée dans la requête. Analysé à partir des données JSON.
cs-threat-risk security_result.risk_score Score de risque de menace attribué par l'appliance Blue Coat. Analysé à partir des données JSON.
cs-uri-extension cs_uri_extension Extension de l'URI demandé. Analysé à partir des données JSON.
cs-uri-path _uri_path Chemin d'accès de l'URI de la demande. Analysé à partir des données JSON.
cs-uri-port cs_uri_port Port de l'URI demandé. Analysé à partir des données JSON.
cs-uri-query _uri_query Chaîne de requête de l'URI demandé. Analysé à partir des données JSON.
cs-uri-scheme _uri_scheme Scheme de l'URI demandé (par exemple, http, https). Analysé à partir des données JSON.
cs-userdn principal_user_userid Nom d'utilisateur du client. Analysé à partir des données JSON.
cs-version cs_version Version HTTP utilisée par le client. Analysé à partir des données JSON.
cs(Referer) network.http.referral_url URL de provenance. Analysé à partir des données JSON.
cs(User-Agent) network.http.user_agent Chaîne user-agent. Analysé à partir des données JSON.
cs(X-Requested-With) security_result.detection_fields Valeur de l'en-tête X-Requested-With. Analysé à partir des données JSON, la clé est "cs-X-Requested-With".
cs_auth_group principal_user_group_identifiers Groupe d'authentification client. Analysé à partir de différents formats de journaux.
cs_bytes network.sent_bytes Nombre d'octets envoyés par le client. Analysé à partir de différents formats de journaux.
cs_categories security_result.category_details Catégories attribuées à la requête Web. Analysé à partir de différents formats de journaux.
cs_host target_hostname Nom d'hôte demandé par le client. Analysé à partir de différents formats de journaux.
cs_method network.http.method Méthode HTTP utilisée dans la requête. Analysé à partir de différents formats de journaux.
cs_referer network.http.referral_url URL de provenance Analysé à partir de différents formats de journaux.
cs_threat_risk security_result.risk_score Score de risque de menace attribué par l'appareil Blue Coat. Analysé à partir du format de journal KV.
cs_uri target.url URI complet demandé. Analysé à partir du format de journal KV.
cs_uri_extension cs_uri_extension Extension de l'URI demandé. Analysé à partir du format de journal KV.
cs_uri_path _uri_path Chemin de l'URI demandé. Analysé à partir de différents formats de journaux.
cs_uri_port target_port Port de l'URI demandé. Analysé à partir de différents formats de journaux.
cs_uri_query _uri_query Chaîne de requête de l'URI demandé. Analysé à partir de différents formats de journaux.
cs_uri_scheme _uri_scheme Scheme de l'URI demandé (par exemple, http ou https). Analysé à partir de différents formats de journaux.
cs_user principal_user_userid Nom d'utilisateur du client. Analysé à partir du format de journal général.
cs_user_agent network.http.user_agent Chaîne user-agent. Analysé à partir de différents formats de journaux.
cs_username principal_user_userid Nom d'utilisateur du client. Analysé à partir de différents formats de journaux.
cs_x_forwarded_for _intermediary.ip Valeur de l'en-tête X-Forwarded-For. Analysé à partir du format de journal général.
deviceHostname _intermediary.hostname Nom d'hôte de l'appareil Blue Coat. Analysé à partir du format de journal KV.
dst ip_target Adresse IP de destination. Analysé à partir du format de journal KV.
dst_ip ip_target Adresse IP de destination. Analysé à partir du format du journal SSL.
dst_user target.user.userid ID utilisateur de destination. Analysé à partir du format de journal Proxy Reverse.
dstport target_port Port de destination. Analysé à partir du format de journal KV.
dstport target.port Port de destination. Analysé à partir du format de journal SSL.
exception-id _block_reason ID d'exception, indiquant une requête bloquée. Analysé à partir du format de journal KV.
filter-category _categories Catégorie du filtre qui a déclenché l'événement. Analysé à partir du format de journal KV.
filter-result _policy_action Résultat du filtre appliqué à la requête. Analysé à partir du format de journal KV.
hostname principal.hostnameprincipal.asset.hostname Nom d'hôte de l'appareil générant le journal. Analysé à partir des formats de journaux SSL et généraux.
isolation-url isolation-url URL liée à l'isolation, le cas échéant. Analysé à partir des données JSON.
ma-detonated ma-detonated État de la détonation du logiciel malveillant. Analysé à partir des données JSON.
page-views page-views Nombre de pages vues. Analysé à partir des données JSON.
r-ip ip_target Adresse IP distante. Analysé à partir des données JSON.
r-supplier-country r-supplier-country Pays du fournisseur distant. Analysé à partir des données JSON.
r_dns target_hostname Nom DNS distant. Analysé à partir des données JSON.
r_ip ip_target Adresse IP distante. Analysé à partir de différents formats de journaux.
r_port target_port Port distant. Analysé à partir des données JSON.
risk-groups security_result.detection_fields Groupes de risques associés à l'événement. Analysée à partir des données JSON, la clé est "risk-groups".
rs-icap-error-details security_result.detection_fields Détails de l'erreur ICAP côté serveur distant. Analysée à partir des données JSON, la clé est "rs-icap-error-details".
rs-icap-status rs-icap-status État ICAP du côté du serveur distant. Analysé à partir des données JSON.
rs(Content-Type) target.file.mime_type Type de contenu de la réponse du serveur distant. Analysé à partir du format de journal KV.
rs_content_type target.file.mime_type Type de contenu de la réponse du serveur distant. Analysé à partir de différents formats de journaux.
rs_server rs_server Informations sur le serveur distant. Analysé à partir des données JSON.
rs_status _network.http.response_code Code d'état de la réponse du serveur distant. Analysé à partir des données JSON.
r_supplier_country intermediary.location.country_or_region Pays du fournisseur distant. Analysé à partir du format de journal général.
r_supplier_ip intermediary.ip Adresse IP du fournisseur distant. Analysé à partir du format de journal général.
s-action _metadata.product_event_type Action effectuée par le proxy. Analysé à partir du format de journal KV.
s-ip _intermediary.ip Adresse IP du serveur. Analysé à partir du format de journal KV.
s-source-ip _intermediary.ip Adresse IP source du serveur. Analysé à partir des données JSON.
s_action _metadata.product_event_type Action effectuée par le proxy. Analysé à partir de différents formats de journaux.
s_ip target.iptarget.asset.ip Adresse IP du serveur. Analysé à partir de différents formats de journaux.
s_ip_host _intermediary.hostname Nom d'hôte du serveur. Analysé à partir des données JSON.
s-supplier-country intermediary.location.country_or_region Pays du serveur du fournisseur. Analysé à partir des données JSON.
s-supplier-failures security_result.detection_fields Défaillances des fournisseurs. Analysée à partir des données JSON, la clé est "s-supplier-failures".
s-supplier-ip _intermediary.ip Adresse IP du serveur du fournisseur. Analysé à partir des données JSON.
s_supplier_ip intermediary.ip Adresse IP du serveur du fournisseur. Analysé à partir des données JSON.
s_supplier_name _intermediary.hostname Nom du serveur du fournisseur. Analysé à partir du format de journal général.
sc-bytes network.received_bytes Nombre d'octets reçus par le serveur. Analysé à partir du format de journal KV.
sc-filter-result _policy_action Filtrer les résultats côté serveur. Analysé à partir du format de journal KV.
sc-status _network.http.response_code Code d'état renvoyé par le serveur. Analysé à partir du format de journal KV.
sc_bytes network.received_bytes Nombre d'octets reçus par le serveur. Analysé à partir de différents formats de journaux.
sc_connection sc_connection Informations de connexion au serveur. Analysé à partir du format de journal général.
sc_filter_result _policy_action Filtrer les résultats côté serveur. Analysé à partir de différents formats de journaux.
sc_status _network.http.response_code Code d'état renvoyé par le serveur. Analysé à partir de différents formats de journaux.
search_query target.resource.attribute.labels Requête de recherche, si elle est présente dans l'URL. Extrait de target_url, la clé est "search_query".
session_id network.session_id ID de session. Analysé à partir du format du journal de proxy inverse.
src ip_principal Adresse IP source. Analysé à partir du format de journal KV.
src_hostname principal.hostnameprincipal.asset.hostname Nom d'hôte source. Analysé à partir du format de journal général.
src_ip ip_principal Adresse IP source. Analysé à partir du format de journal SSL.
srcport principal_port Port source Analysé à partir du format de journal KV.
src_port principal.port Port source Analysé à partir du format du journal SSL.
s_source_port intermediary.port Port source du serveur. Analysé à partir du format de journal général.
summary security_result.summary Résumé du résultat de sécurité. Analysé à partir des formats de journaux Proxy Reverse et SSL.
syslogtimestamp syslogtimestamp Code temporel syslog. Analysé à partir du format de journal KV.
target_application target.application Application ciblée par la requête. Dérivé de x_bluecoat_application_name ou application-name.
target_hostname target.hostnametarget.asset.hostname Nom d'hôte cible. Dérivé de r_dns, cs-host ou d'autres champs en fonction du format du journal.
target_port target.port Port cible. Dérivé de r_port, cs_uri_port ou dstport selon le format du journal.
target_sip target.iptarget.asset.ip Adresse IP du serveur cible. Analysé à partir du format de journal général.
target_url target.url URL cible. Dérivé de target_hostname, _uri_path et _uri_query ou cs_uri.
time-taken network.session_duration Durée de la session ou de la requête. Analysé à partir du format de journal KV et converti en secondes et en nanosecondes.
time_taken network.session_duration Durée de la session ou de la requête. Analysé à partir de différents formats de journaux et converti en secondes et en nanosecondes.
tls_version network.tls.version Version TLS utilisée dans la connexion. Analysé à partir du format de journal SSL.
upload-source upload-source Source de l'importation. Analysé à partir des données JSON.
username principal_user_userid Nom d'utilisateur. Analysé à partir du format de journal KV.
verdict security_result.detection_fields Verdict de l'analyse de sécurité. La clé "verdict" est extraite des données JSON.
wf-env wf_env Environnement du service de filtrage Web. Analysé à partir des données JSON.
wf_id security_result.detection_fields ID de filtrage Web. Analysée à partir des données JSON, la clé est "wf_id".
wrong_cs_host principal.hostnameprincipal.asset.hostname Nom d'hôte du client mal analysé, utilisé comme nom d'hôte principal s'il ne s'agit pas d'une adresse IP. Analysé à partir du format de journal général.
x-bluecoat-access-type x-bluecoat-access-type Type d'accès. Analysé à partir des données JSON.
x-bluecoat-appliance-name intermediary.application Nom de l'appliance Blue Coat. Analysé à partir des données JSON.
x-bluecoat-application-name target_application Nom de l'application. Analysé à partir des données JSON.
x-bluecoat-application-operation x_bluecoat_application_operation Fonctionnement de l'application. Analysé à partir des données JSON.
x-bluecoat-location-id x-bluecoat-location-id ID de zone géographique. Analysé à partir des données JSON.
x-bluecoat-location-name x-bluecoat-location-name Nom de l'établissement. Analysé à partir des données JSON.
x-bluecoat-placeholder security_result.detection_fields Informations sur l'espace réservé. Analysée à partir des données JSON, la clé est "x-bluecoat-placeholder".
x-bluecoat-reference-id security_result.detection_fields ID de référence. La clé "x-bluecoat-reference-id" est extraite des données JSON.
x-bluecoat-request-tenant-id x-bluecoat-request-tenant-id ID de locataire de la demande. Analysé à partir des données JSON.
x-bluecoat-transaction-uuid metadata.product_log_id UUID de la transaction. Analysé à partir des données JSON.
x-client-agent-sw software.name Logiciel d'agent client. Analysé à partir des données JSON et fusionné dans principal.asset.software.
x-client-agent-type principal.application Type d'agent client. Analysé à partir des données JSON.
x-client-device-id principal.resource.product_object_id ID de l'appareil client. Analysé à partir des données JSON.
x-client-device-name x-client-device-name Nom de l'appareil client. Analysé à partir des données JSON.
x-client-device-type x-client-device-type Type d'appareil client. Analysé à partir des données JSON.
x-client-os principal.asset.platform_software.platform Système d'exploitation du client. Analysé à partir des données JSON. Si la chaîne contient "Windows", la plate-forme est définie sur WINDOWS.
x-client-security-posture-details x-client-security-posture-details Détails de la stratégie de sécurité du client. Analysé à partir des données JSON.
x-client-security-posture-risk-score security_result.detection_fields Score de risque de la stratégie de sécurité du client. Analysée à partir des données JSON, la clé est "x-client-security-posture-risk-score".
x-cloud-rs security_result.detection_fields Informations sur le serveur distant liées au cloud. Analysée à partir des données JSON, la clé est "x-cloud-rs".
x-cs-certificate-subject x_cs_certificate_subject Objet du certificat côté client. Analysé à partir des données JSON.
x-cs-client-ip-country x-cs-client-ip-country Pays de l'adresse IP du client. Analysé à partir des données JSON.
x-cs-connection-negotiated-cipher network.tls.cipher Algorithme de chiffrement négocié côté client. Analysé à partir des données JSON.
x-cs-connection-negotiated-cipher-size security_result.detection_fields Taille du chiffrement négociée côté client. Analysée à partir des données JSON, la clé est "x-cs-connection-negotiated-cipher-size".
x-cs-connection-negotiated-ssl-version network.tls.version_protocol Version SSL négociée côté client. Analysé à partir des données JSON.
x-cs-ocsp-error security_result.detection_fields Erreur OCSP côté client. Analysée à partir des données JSON, la clé est "x-cs-ocsp-error".
x-cs(referer)-uri-categories x-cs(referer)-uri-categories Catégories d'URI de provenance côté client. Analysé à partir des données JSON.
x-data-leak-detected security_result.detection_fields État de la détection des fuites de données. Analysée à partir des données JSON, la clé est "x-data-leak-detected".
x-exception-id x_exception_id ID de l'exception. Analysé à partir des données JSON.
x-http-connect-host x-http-connect-host Hôte de connexion HTTP. Analysé à partir des données JSON.
x-http-connect-port x-http-connect-port Port de connexion HTTP. Analysé à partir des données JSON.
x-icap-reqmod-header(x-icap-metadata) x_icap_reqmod_header En-tête de modification de requête ICAP contenant des métadonnées. Analysé à partir des données JSON.
x-icap-respmod-header(x-icap-metadata) x_icap_respmod_header En-tête de modification de la réponse ICAP contenant des métadonnées. Analysé à partir des données JSON.
x-rs-certificate-hostname network.tls.client.server_name Nom d'hôte du certificat du côté du serveur distant. Analysé à partir des données JSON.
x-rs-certificate-hostname-categories x_rs_certificate_hostname_category Catégories de noms d'hôte de certificat du côté du serveur distant. Analysé à partir des données JSON.
x-rs-certificate-hostname-category x_rs_certificate_hostname_category Catégorie du nom d'hôte du certificat côté serveur distant. Analysé à partir des données JSON.
x-rs-certificate-hostname-threat-risk security_result.detection_fields Risque de menace lié au nom d'hôte du certificat du côté du serveur distant. Analyse à partir des données JSON, la clé est "x-rs-certificate-hostname-threat-risk".
x-rs-certificate-observed-errors x_rs_certificate_observed_errors Erreurs observées au niveau du certificat côté serveur distant. Analysé à partir des données JSON.
x-rs-certificate-validate-status network.tls.server.certificate.subject État de validation du certificat côté serveur distant. Analysé à partir des données JSON.
x-rs-connection-negotiated-cipher x_rs_connection_negotiated_cipher Algorithme de chiffrement négocié côté serveur distant. Analysé à partir des données JSON.
x-rs-connection-negotiated-cipher-size security_result.detection_fields Taille de l'algorithme de chiffrement négociée côté serveur distant. Analyse à partir des données JSON, la clé est "x-rs-connection-negotiated-cipher-size".
x-rs-connection-negotiated-cipher-strength x_rs_connection_negotiated_cipher_strength Niveau de chiffrement négocié du côté du serveur distant. Analysé à partir des données JSON.
x-rs-connection-negotiated-ssl-version x_rs_connection_negotiated_ssl_version Version SSL négociée du côté du serveur distant. Analysé à partir des données JSON.
x-rs-ocsp-error x_rs_ocsp_error Erreur OCSP côté serveur distant. Analysé à partir des données JSON.
x-sc-connection-issuer-keyring security_result.detection_fields Trousseau de clés de l'émetteur de la connexion. La clé "x-sc-connection-issuer-keyring" est extraite des données JSON.
x-sc-connection-issuer-keyring-alias x-sc-connection-issuer-keyring-alias Alias du trousseau de clés de l'émetteur de la connexion. Analysé à partir des données JSON.
x-sr-vpop-country principal.location.country_or_region Pays du point de présence virtuel. Analysé à partir des données JSON.
x-sr-vpop-country-code principal.location.country_or_region Code pays du VPOP. Analysé à partir des données JSON.
x-sr-vpop-ip principal.ipprincipal.asset.ip Adresse IP du VPOP. Analysé à partir des données JSON.
x-symc-dei-app x-symc-dei-app Application Symantec DEI. Analysé à partir des données JSON.
x-symc-dei-via security_result.detection_fields Symantec DEI via. Analysée à partir des données JSON, la clé est "x-symc-dei-via".
x-tenant-id security_result.detection_fields ID du locataire. Analysée à partir des données JSON, la clé est "x-tenant-id".
x-timestamp-unix x-timestamp-unix Code temporel Unix. Analysé à partir des données JSON.
x_bluecoat_application_name target_application Nom de l'application. Analysé à partir de différents formats de journaux.
x_bluecoat_application_operation x_bluecoat_application_operation Fonctionnement de l'application. Analysé à partir de différents formats de journaux.
x_bluecoat_transaction_uuid metadata.product_log_id UUID de la transaction. Analysé à partir de différents formats de journaux.
x_cs_certificate_subject x_cs_certificate_subject Objet du certificat côté client. Analysé à partir du format de journal général.
x_cs_client_effective_ip ip_principal Adresse IP effective du client. Analysé à partir du format de journal général.
x_cs_connection_negotiated_cipher network.tls.cipher Chiffrement négocié côté client. Analysé à partir du format de journal général.
x_cs_connection_negotiated_ssl_version network.tls.version_protocol Version SSL négociée côté client. Analysé à partir du format de journal général.
x_exception_id _block_reason ID de l'exception. Analysé à partir de différents formats de journaux.
x_icap_reqmod_header x_icap_reqmod_header En-tête de modification de la requête ICAP. Analysé à partir du format de journal général.
x_icap_respmod_header x_icap_respmod_header En-tête de modification de la réponse ICAP. Analysé à partir du format de journal général.
x_rs_certificate_hostname network.tls.client.server_name Nom d'hôte du certificat du serveur distant. Analysé à partir du format de journal général.
x_rs_certificate_hostname_category x_rs_certificate_hostname_category Catégorie de nom d'hôte du certificat du serveur distant. Analysé à partir du format de journal général.
x_rs_certificate_observed_errors x_rs_certificate_observed_errors Erreurs observées sur le certificat du serveur distant. Analysé à partir du format de journal général.
x_rs_certificate_validate_status network.tls.server.certificate.subject État de validation du certificat du serveur distant. Analysé à partir de différents formats de journaux.
x_rs_connection_negotiated_cipher_strength x_rs_connection_negotiated_cipher_strength Intensité de l'algorithme de chiffrement négocié par le serveur distant. Analysé à partir du format de journal général.
x_rs_connection_negotiated_ssl_version x_rs_connection_negotiated_ssl_version Version SSL négociée par le serveur distant. Analysé à partir du format de journal général.
x_virus_id security_result.detection_fields ID du virus. Analysé à partir de différents formats de journaux, la clé est "x-virus-id".
xbluecoat_application_operation event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs_host event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
c_ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
c_ip event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
cs_host event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
cs_host event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
id event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
i_hostname event.idm.read_only_udm.intermediary.hostname Mappé à partir du journal des modifications
i_ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
descrip event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
description event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
sum1 event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
sum2 event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
sum3 event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
details event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
ip_principal event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
ip_principal event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
t_ip event.idm.read_only_udm.target.ip Mappé à partir du journal des modifications
t_ip event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
t_hostname event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
rc event.idm.read_only_udm.network.http.response_code Mappé à partir du journal des modifications
cs_method event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
cs_user_agent event.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
cs_refer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
rs_service_latency event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
x_icap_reqmod_header event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
x_icap_respmod_header event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
x_bluecoat_app_operation event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
x_bluecoat_total_time_added event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
policy_evaluation_time event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
x_bluecoat_appliance_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs_connection_ssl_server_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rs_connection_ssl_server_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
x_data_leak_detected event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
r_Ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
s-ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
cs-uri-port event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
cs-host event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
r-ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
c-ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
dest_host" and "target_hostname target.url Mappé à partir du journal des modifications
proxy_name" and "column3 principal.asset.hostname Mappé à partir du journal des modifications
upload-source additional.fields Mappé à partir du journal des modifications
time-taken session_duration.session_duration Mappé à partir du journal des modifications
file_reputation security_result.detection_fields Mappé à partir du journal des modifications
expect_sandbox security_result.detection_fields Mappé à partir du journal des modifications
cs_auth_groups principal.user.group_identifiers Mappé à partir du journal des modifications
time_taken network.session_duration.nanos Mappé à partir du journal des modifications
cs-userdn principal.user.userid Mappé à partir du journal des modifications
application-name target.application Mappé à partir du journal des modifications
rs_server security_result.about.labels Mappé à partir du journal des modifications
c_uri_path_query target.file.full_path Mappé à partir du journal des modifications
metadata.event_type STATUS_UPDATE Mappé à partir du journal des modifications
cs-uri-scheme network.ip_protocol Mappé à partir du journal des modifications
rule_name security_result.rule_name Mappé à partir du journal des modifications
application_protocol network.application_protocol Mappé à partir du journal des modifications
communication_type security_result.rule_name Mappé à partir du journal des modifications
rule_name security_result.about.labels Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.