איסוף יומנים של Blue Coat ProxySG

גרסת המנתח: 32.0

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Blue Coat ProxySG ב-Google Security Operations באמצעות סוכן Bindplane.

‫Blue Coat ProxySG (עכשיו Broadcom/Symantec) הוא מכשיר פרוקסי לאינטרנט שיוצר יומני גישה לתנועה באינטרנט, כולל בקשות HTTP, קטגוריות, אימות ואירועי אבטחה. המנתח מנרמל את השדות וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• חיבור לרשת בין סוכן Bindplane לבין מכשיר Blue Coat ProxySG
• אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• הרשאת אדמין למסוף הניהול של Blue Coat ProxySG

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/bluecoat_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: BLUECOAT_WEBPROXY
      raw_log_field: body
  
  service:
    pipelines:
      logs/bluecoat_webproxy_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/bluecoat_webproxy
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/bluecoat_webproxy:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: BLUECOAT_WEBPROXY
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת syslog ב-Blue Coat ProxySG

1. נכנסים למסוף הניהול של Blue Coat ProxySG.
2. עוברים אל Maintenance > Event Logging > Syslog.
3. לוחצים על חדש.
4. מזינים את פרטי ההגדרה הבאים:
   • ‫Loghost: מזינים את כתובת ה-IP של סוכן Bindplane.
   • לוחצים על OK.
5. מסמנים את התיבה הפעלת Syslog.
6. לוחצים על רמה.
7. מסמנים את התיבה Verbose.
8. לוחצים על אישור.

הגדרת לקוח בהתאמה אישית ב-Blue Coat ProxySG

1. עוברים אל Configuration > Access Logging > Logs > Upload Client.
2. ברשימת היומנים, בוחרים באפשרות סטרימינג.
3. ברשימה Client type, בוחרים באפשרות Custom Client.
4. לוחצים על הגדרות.
5. ברשימה הגדרות, בוחרים אם להגדיר את השרת המותאם אישית הראשי או החלופי.
6. מזינים את פרטי ההגדרה הבאים:
   • מארח: מזינים את שם המארח או את כתובת ה-IP של יעד ההעלאה.
   • יציאה: מגדירים ל-514.
   • שימוש בחיבורים מאובטחים (SSL): מגדירים את האפשרות מושבת.
   • לוחצים על OK.
   • לוחצים על אישור כדי לחזור לכרטיסייה העלאת לקוח.
7. מבצעים את השלבים הבאים לכל פורמט של יומן שרוצים להשתמש בו (main,‏ im ו-streaming):
   • בוחרים את היומן.
   • מקצים את Upload Client בתור הלקוח Custom.
   • בוחרים את <No Encryption> ו-<No Signing>.
   • שומרים את קובץ היומן כקובץ טקסט.
   • לוחצים על לוח זמנים לפרסום > סוג העלאה.
   • כדי להעביר בסטרימינג את יומני הגישה, בוחרים באפשרות באופן רציף בקטע העלאת יומן הגישה.
   • לוחצים על OK.
8. לוחצים על אישור.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
@timestamp	metadata.event_timestamp	חותמת הזמן של האירוע כפי שתועדה על ידי מכשיר Blue Coat. מנותח מנתוני ה-JSON.
application-name	target.application	שם האפליקציה שמשויכת לתנועה ברשת. מנותח מנתוני ה-JSON.
c-ip	principal.asset.ipprincipal.ip	כתובת ה-IP של הלקוח. מנותח מנתוני ה-JSON.
c_ip	principal.ipprincipal.asset.ip	כתובת ה-IP של הלקוח. מנותח מפורמטים שונים של יומנים.
c_ip_host	principal.hostnameprincipal.asset.hostname	שם המארח של הלקוח, אם הוא זמין. מנותח מנתוני ה-JSON.
cs-auth-group	principal_user_group_identifiers	קבוצת אימות לקוח. מנותח מנתוני ה-JSON.
cs-bytes	network.sent_bytes	מספר הבייטים שנשלחו על ידי הלקוח. מנותח מנתוני ה-JSON.
cs-categories	security_result.category_details	קטגוריות שהוקצו לבקשה לאחזור מהרשת על ידי מכשיר Blue Coat. מנותח מנתוני ה-JSON.
cs-host	target_hostname	שם המארח שהלקוח ביקש. מנותח מנתוני ה-JSON.
cs-icap-error-details	security_result.detection_fields	פרטי שגיאת ICAP מצד הלקוח. מנותח מנתוני ה-JSON, המפתח הוא "cs-icap-error-details".
cs-icap-status	security_result.description	סטטוס ICAP מצד הלקוח. מנותח מנתוני ה-JSON.
cs-method	network.http.method	שיטת ה-HTTP שנעשה בה שימוש בבקשה. מנותח מנתוני ה-JSON.
cs-threat-risk	security_result.risk_score	ציון הסיכון של האיום שהוקצה על ידי מכשיר Blue Coat. מנותח מנתוני ה-JSON.
cs-uri-extension	cs_uri_extension	הסיומת של ה-URI המבוקש. מנותח מנתוני ה-JSON.
cs-uri-path	_uri_path	הנתיב של ה-URI המבוקש. מנותח מנתוני ה-JSON.
cs-uri-port	cs_uri_port	היציאה של ה-URI המבוקש. מנותח מנתוני ה-JSON.
cs-uri-query	_uri_query	מחרוזת השאילתה של ה-URI של הבקשה. מנותח מנתוני ה-JSON.
cs-uri-scheme	_uri_scheme	הסכימה של ה-URI המבוקש (למשל, http, ‏ https). מנותח מנתוני ה-JSON.
cs-userdn	principal_user_userid	שם המשתמש של הלקוח. מנותח מנתוני ה-JSON.
cs-version	cs_version	גרסת ה-HTTP שבה הלקוח משתמש. מנותח מנתוני ה-JSON.
cs(Referer)	network.http.referral_url	כתובת ה-URL של הדף המפנה. מנותח מנתוני ה-JSON.
cs(User-Agent)	network.http.user_agent	מחרוזת סוכן המשתמש. מנותח מנתוני ה-JSON.
cs(X-Requested-With)	security_result.detection_fields	הערך של הכותרת X-Requested-With. מנותח מנתוני ה-JSON, המפתח הוא "cs-X-Requested-With".
cs_auth_group	principal_user_group_identifiers	קבוצת אימות לקוח. מנותח מפורמטים שונים של יומנים.
cs_bytes	network.sent_bytes	מספר הבייטים שנשלחו על ידי הלקוח. מנותח מפורמטים שונים של יומנים.
cs_categories	security_result.category_details	הקטגוריות שהוקצו לבקשה לאחזור מהרשת. מנותח מפורמטים שונים של יומנים.
cs_host	target_hostname	שם המארח שהלקוח ביקש. מנותח מפורמטים שונים של יומנים.
cs_method	network.http.method	שיטת ה-HTTP שנעשה בה שימוש בבקשה. מנותח מפורמטים שונים של יומנים.
cs_referer	network.http.referral_url	כתובת ה-URL של הדף המפנה. מנותח מפורמטים שונים של יומנים.
cs_threat_risk	security_result.risk_score	ציון הסיכון של האיום שהוקצה על ידי מכשיר Blue Coat. מנותח מפורמט היומן של KV.
cs_uri	target.url	ה-URI המלא של הבקשה. מנותח מפורמט היומן של KV.
cs_uri_extension	cs_uri_extension	הסיומת של ה-URI המבוקש. מנותח מפורמט היומן של KV.
cs_uri_path	_uri_path	הנתיב של ה-URI המבוקש. מנותח מפורמטים שונים של יומנים.
cs_uri_port	target_port	היציאה של ה-URI המבוקש. מנותח מפורמטים שונים של יומנים.
cs_uri_query	_uri_query	מחרוזת השאילתה של ה-URI של הבקשה. מנותח מפורמטים שונים של יומנים.
cs_uri_scheme	_uri_scheme	הסכימה של ה-URI המבוקש (למשל, http, ‏ https). מנותח מפורמטים שונים של יומנים.
cs_user	principal_user_userid	שם המשתמש של הלקוח. מנותח מהפורמט הכללי של היומן.
cs_user_agent	network.http.user_agent	מחרוזת סוכן המשתמש. מנותח מפורמטים שונים של יומנים.
cs_username	principal_user_userid	שם המשתמש של הלקוח. מנותח מפורמטים שונים של יומנים.
cs_x_forwarded_for	_intermediary.ip	ערך הכותרת X-Forwarded-For. מנותח מהפורמט הכללי של היומן.
deviceHostname	_intermediary.hostname	שם המארח של מכשיר Blue Coat. מנותח מפורמט היומן של KV.
dst	ip_target	כתובת ה-IP של היעד. מנותח מפורמט היומן של KV.
dst_ip	ip_target	כתובת ה-IP של היעד. מנותח מהפורמט של יומן ה-SSL.
dst_user	target.user.userid	מזהה המשתמש ביעד. מנותח מהפורמט של יומן Proxy Reverse.
dstport	target_port	יציאת היעד. מנותח מפורמט היומן של KV.
dstport	target.port	יציאת היעד. מנותח מהפורמט של יומן ה-SSL.
exception-id	_block_reason	מזהה חריגה, שמציין בקשה חסומה. מנותח מפורמט היומן של KV.
filter-category	_categories	קטגוריית המסנן שהפעיל את האירוע. מנותח מפורמט היומן של KV.
filter-result	_policy_action	התוצאה של המסנן שהוחל על הבקשה. מנותח מפורמט היומן של KV.
hostname	principal.hostnameprincipal.asset.hostname	שם המארח של המכשיר שיוצר את היומן. מנותח מהפורמטים של SSL ושל יומן כללי.
isolation-url	isolation-url	כתובת ה-URL שקשורה לבידוד, אם רלוונטי. מנותח מנתוני ה-JSON.
ma-detonated	ma-detonated	סטטוס ניטרול התוכנה הזדונית. מנותח מנתוני ה-JSON.
page-views	צפיות בדפים	מספר הצפיות בדפים. מנותח מנתוני ה-JSON.
r-ip	ip_target	כתובת IP מרוחקת. מנותח מנתוני ה-JSON.
r-supplier-country	r-supplier-country	המדינה של הספק המרוחק. מנותח מנתוני ה-JSON.
r_dns	target_hostname	שם DNS מרוחק. מנותח מנתוני ה-JSON.
r_ip	ip_target	כתובת IP מרוחקת. מנותח מפורמטים שונים של יומנים.
r_port	target_port	יציאה מרוחקת. מנותח מנתוני ה-JSON.
risk-groups	security_result.detection_fields	קבוצות הסיכון שמשויכות לאירוע. מנותח מנתוני ה-JSON, המפתח הוא risk-groups.
rs-icap-error-details	security_result.detection_fields	פרטי שגיאת ICAP מצד השרת המרוחק. מנותח מנתוני ה-JSON, המפתח הוא "rs-icap-error-details".
rs-icap-status	rs-icap-status	סטטוס ICAP מצד השרת המרוחק. מנותח מנתוני ה-JSON.
rs(Content-Type)	target.file.mime_type	סוג התוכן של התגובה מהשרת המרוחק. מנותח מפורמט היומן של KV.
rs_content_type	target.file.mime_type	סוג התוכן של התגובה מהשרת המרוחק. מנותח מפורמטים שונים של יומנים.
rs_server	rs_server	פרטי השרת המרוחק. מנותח מנתוני ה-JSON.
rs_status	_network.http.response_code	קוד הסטטוס של התגובה מהשרת המרוחק. מנותח מנתוני ה-JSON.
r_supplier_country	intermediary.location.country_or_region	המדינה של הספק המרוחק. מנותח מהפורמט הכללי של היומן.
r_supplier_ip	intermediary.ip	כתובת ה-IP של הספק המרוחק. מנותח מהפורמט הכללי של היומן.
s-action	_metadata.product_event_type	הפעולה שבוצעה על ידי שרת ה-proxy. מנותח מפורמט היומן של KV.
s-ip	_intermediary.ip	כתובת ה-IP של השרת. מנותח מפורמט היומן של KV.
s-source-ip	_intermediary.ip	כתובת ה-IP של המקור של השרת. מנותח מנתוני ה-JSON.
s_action	_metadata.product_event_type	הפעולה שבוצעה על ידי שרת ה-proxy. מנותח מפורמטים שונים של יומנים.
s_ip	target.iptarget.asset.ip	כתובת ה-IP של השרת. מנותח מפורמטים שונים של יומנים.
s_ip_host	_intermediary.hostname	שם המארח של השרת. מנותח מנתוני ה-JSON.
s-supplier-country	intermediary.location.country_or_region	המדינה של שרת הספק. מנותח מנתוני ה-JSON.
s-supplier-failures	security_result.detection_fields	כשלים של הספק. מנותח מנתוני ה-JSON, המפתח הוא "s-supplier-failures".
s-supplier-ip	_intermediary.ip	כתובת ה-IP של שרת הספק. מנותח מנתוני ה-JSON.
s_supplier_ip	intermediary.ip	כתובת ה-IP של שרת הספק. מנותח מנתוני ה-JSON.
s_supplier_name	_intermediary.hostname	שם השרת של הספק. מנותח מהפורמט הכללי של היומן.
sc-bytes	network.received_bytes	מספר הבייטים שהתקבלו בשרת. מנותח מפורמט היומן של KV.
sc-filter-result	_policy_action	סינון התוצאות בצד השרת. מנותח מפורמט היומן של KV.
sc-status	_network.http.response_code	קוד הסטטוס שהוחזר על ידי השרת. מנותח מפורמט היומן של KV.
sc_bytes	network.received_bytes	מספר הבייטים שהתקבלו בשרת. מנותח מפורמטים שונים של יומנים.
sc_connection	sc_connection	פרטי החיבור לשרת. מנותח מהפורמט הכללי של היומן.
sc_filter_result	_policy_action	סינון התוצאות בצד השרת. מנותח מפורמטים שונים של יומנים.
sc_status	_network.http.response_code	קוד הסטטוס שהוחזר על ידי השרת. מנותח מפורמטים שונים של יומנים.
search_query	target.resource.attribute.labels	שאילתת החיפוש, אם היא קיימת בכתובת ה-URL. חולץ מ-target_url, המפתח הוא "search_query".
session_id	network.session_id	מזהה הסשן. מנותח מהפורמט של יומן Proxy Reverse.
src	ip_principal	כתובת ה-IP של המקור. מנותח מפורמט היומן של KV.
src_hostname	principal.hostnameprincipal.asset.hostname	שם המארח של המקור. מנותח מהפורמט הכללי של היומן.
src_ip	ip_principal	כתובת ה-IP של המקור. מנותח מהפורמט של יומן ה-SSL.
srcport	principal_port	יציאת המקור. מנותח מפורמט היומן של KV.
src_port	principal.port	יציאת המקור. מנותח מהפורמט של יומן ה-SSL.
s_source_port	intermediary.port	יציאת המקור של השרת. מנותח מהפורמט הכללי של היומן.
summary	security_result.summary	סיכום של תוצאת האבטחה. מנותח מהפורמטים של יומן ה-SSL ושל ה-Proxy ההפוך.
syslogtimestamp	syslogtimestamp	חותמת הזמן של Syslog. מנותח מפורמט היומן של KV.
target_application	target.application	האפליקציה שהבקשה מטרגטת. נגזר מ-x_bluecoat_application_name או מ-application-name.
target_hostname	target.hostnametarget.asset.hostname	שם המארח של היעד. נגזר מ-r_dns,מ-cs-host או משדות אחרים, בהתאם לפורמט של היומן.
target_port	target.port	יציאת היעד. נגזר מ-r_port,‏ cs_uri_port או dstport, בהתאם לפורמט של היומן.
target_sip	target.iptarget.asset.ip	כתובת ה-IP של שרת היעד. מנותח מהפורמט הכללי של היומן.
target_url	target.url	כתובת ה-URL של היעד. נגזר מ-target_hostname,‏ _uri_path ו-‎_uri_query או cs_uri.
time-taken	network.session_duration	משך הסשן או הבקשה. מנותח מפורמט היומן KV ומומר לשניות ולננו-שניות.
time_taken	network.session_duration	משך הסשן או הבקשה. מנותח מפורמטים שונים של יומנים ומומר לשניות ולננו-שניות.
tls_version	network.tls.version	גרסת ה-TLS שמשמשת בחיבור. מנותח מהפורמט של יומן ה-SSL.
upload-source	upload-source	מקור ההעלאה. מנותח מנתוני ה-JSON.
username	principal_user_userid	שם משתמש. מנותח מפורמט היומן של KV.
verdict	security_result.detection_fields	התוצאה של ניתוח האבטחה. מנותח מנתוני ה-JSON, המפתח הוא verdict.
wf-env	wf_env	הסביבה של שירות סינון האינטרנט. מנותח מנתוני ה-JSON.
wf_id	security_result.detection_fields	מזהה סינון באינטרנט. מנותח מנתוני ה-JSON, המפתח הוא "wf_id".
wrong_cs_host	principal.hostnameprincipal.asset.hostname	שם המארח של הלקוח נותח באופן שגוי, ונעשה בו שימוש כשם המארח הראשי אם הוא לא כתובת IP. מנותח מהפורמט הכללי של היומן.
x-bluecoat-access-type	x-bluecoat-access-type	סוג הגישה. מנותח מנתוני ה-JSON.
x-bluecoat-appliance-name	intermediary.application	השם של מכשיר Blue Coat. מנותח מנתוני ה-JSON.
x-bluecoat-application-name	target_application	שם האפליקציה. מנותח מנתוני ה-JSON.
x-bluecoat-application-operation	x_bluecoat_application_operation	פעולת האפליקציה. מנותח מנתוני ה-JSON.
x-bluecoat-location-id	x-bluecoat-location-id	מזהה המיקום. מנותח מנתוני ה-JSON.
x-bluecoat-location-name	x-bluecoat-location-name	שם המיקום. מנותח מנתוני ה-JSON.
x-bluecoat-placeholder	security_result.detection_fields	מידע על פלייסהולדרים. מנותח מנתוני ה-JSON, המפתח הוא "x-bluecoat-placeholder".
x-bluecoat-reference-id	security_result.detection_fields	מזהה ההפניה. מנותח מנתוני ה-JSON, המפתח הוא "x-bluecoat-reference-id".
x-bluecoat-request-tenant-id	x-bluecoat-request-tenant-id	מזהה הדייר (tenant) של הבקשה. מנותח מנתוני ה-JSON.
x-bluecoat-transaction-uuid	metadata.product_log_id	מזהה ייחודי אוניברסלי (UUID) של העסקה. מנותח מנתוני ה-JSON.
x-client-agent-sw	software.name	תוכנת סוכן לקוח. מנותח מנתוני ה-JSON וממוזג לתוך principal.asset.software.
x-client-agent-type	principal.application	סוג סוכן הלקוח. מנותח מנתוני ה-JSON.
x-client-device-id	principal.resource.product_object_id	מזהה המכשיר של הלקוח. מנותח מנתוני ה-JSON.
x-client-device-name	x-client-device-name	שם מכשיר הלקוח. מנותח מנתוני ה-JSON.
x-client-device-type	x-client-device-type	סוג המכשיר של הלקוח. מנותח מנתוני ה-JSON.
x-client-os	principal.asset.platform_software.platform	מערכת ההפעלה של הלקוח. מנותח מנתוני ה-JSON. אם הוא מכיל את המילה Windows, הפלטפורמה תוגדר כ-WINDOWS.
x-client-security-posture-details	x-client-security-posture-details	פרטים על מצב האבטחה של הלקוח. מנותח מנתוני ה-JSON.
x-client-security-posture-risk-score	security_result.detection_fields	ציון הסיכון של מצב האבטחה של הלקוח. מנותח מנתוני ה-JSON, המפתח הוא "x-client-security-posture-risk-score".
x-cloud-rs	security_result.detection_fields	מידע על שרת מרוחק שקשור לענן. מנותח מנתוני ה-JSON, המפתח הוא "x-cloud-rs".
x-cs-certificate-subject	x_cs_certificate_subject	נושא האישור מצד הלקוח. מנותח מנתוני ה-JSON.
x-cs-client-ip-country	x-cs-client-ip-country	המדינה של כתובת ה-IP של הלקוח. מנותח מנתוני ה-JSON.
x-cs-connection-negotiated-cipher	network.tls.cipher	הצופן שנקבע במשא ומתן מצד הלקוח. מנותח מנתוני ה-JSON.
x-cs-connection-negotiated-cipher-size	security_result.detection_fields	גודל הצופן שנקבע במשא ומתן מצד הלקוח. מנותח מנתוני ה-JSON, המפתח הוא "x-cs-connection-negotiated-cipher-size".
x-cs-connection-negotiated-ssl-version	network.tls.version_protocol	גרסת ה-SSL שסוכמה מצד הלקוח. מנותח מנתוני ה-JSON.
x-cs-ocsp-error	security_result.detection_fields	שגיאת OCSP מצד הלקוח. מנותח מנתוני ה-JSON, המפתח הוא "x-cs-ocsp-error".
x-cs(referer)-uri-categories	x-cs(referer)-uri-categories	קטגוריות של כתובות URI של מפנים מצד הלקוח. מנותח מנתוני ה-JSON.
x-data-leak-detected	security_result.detection_fields	סטטוס הזיהוי של דליפת נתונים. מנותח מנתוני ה-JSON, המפתח הוא "x-data-leak-detected".
x-exception-id	x_exception_id	מזהה החריגה. מנותח מנתוני ה-JSON.
x-http-connect-host	x-http-connect-host	מארח החיבור ל-HTTP. מנותח מנתוני ה-JSON.
x-http-connect-port	x-http-connect-port	יציאת חיבור HTTP. מנותח מנתוני ה-JSON.
x-icap-reqmod-header(x-icap-metadata)	x_icap_reqmod_header	כותרת לשינוי בקשת ICAP שמכילה מטא-נתונים. מנותח מנתוני ה-JSON.
x-icap-respmod-header(x-icap-metadata)	x_icap_respmod_header	כותרת לשינוי תגובת ICAP שמכילה מטא-נתונים. מנותח מנתוני ה-JSON.
x-rs-certificate-hostname	network.tls.client.server_name	שם המארח של האישור מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-certificate-hostname-categories	x_rs_certificate_hostname_category	קטגוריות של שמות מארחים של אישורים מהצד של השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-certificate-hostname-category	x_rs_certificate_hostname_category	קטגוריית שם המארח של האישור מהצד של השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-certificate-hostname-threat-risk	security_result.detection_fields	סיכון לאיום על שם המארח של האישור מצד השרת המרוחק. מנותח מנתוני ה-JSON, המפתח הוא "x-rs-certificate-hostname-threat-risk".
x-rs-certificate-observed-errors	x_rs_certificate_observed_errors	האישור זיהה שגיאות בצד של השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-certificate-validate-status	network.tls.server.certificate.subject	סטטוס אימות האישור מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-connection-negotiated-cipher	x_rs_connection_negotiated_cipher	הצפנה שסוכמה מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-connection-negotiated-cipher-size	security_result.detection_fields	גודל ההצפנה שנקבעה בצד השרת המרוחק. מנותח מנתוני ה-JSON, המפתח הוא "x-rs-connection-negotiated-cipher-size".
x-rs-connection-negotiated-cipher-strength	x_rs_connection_negotiated_cipher_strength	עוצמת ההצפנה שנקבעה בצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-connection-negotiated-ssl-version	x_rs_connection_negotiated_ssl_version	גרסת ה-SSL שסוכמה בצד של השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-ocsp-error	x_rs_ocsp_error	שגיאת OCSP מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-sc-connection-issuer-keyring	security_result.detection_fields	אוסף מפתחות של מנפיק החיבור. מנותח מנתוני ה-JSON, המפתח הוא "x-sc-connection-issuer-keyring".
x-sc-connection-issuer-keyring-alias	x-sc-connection-issuer-keyring-alias	שם סודי של אוסף מפתחות של מנפיק החיבור. מנותח מנתוני ה-JSON.
x-sr-vpop-country	principal.location.country_or_region	מדינת VPOP. מנותח מנתוני ה-JSON.
x-sr-vpop-country-code	principal.location.country_or_region	קוד המדינה של ה-VPOP. מנותח מנתוני ה-JSON.
x-sr-vpop-ip	principal.ipprincipal.asset.ip	כתובת ה-IP של ה-VPOP. מנותח מנתוני ה-JSON.
x-symc-dei-app	x-symc-dei-app	אפליקציית Symantec DEI. מנותח מנתוני ה-JSON.
x-symc-dei-via	security_result.detection_fields	Symantec DEI via. מנותח מנתוני ה-JSON, המפתח הוא "x-symc-dei-via".
x-tenant-id	security_result.detection_fields	מזהה הדייר (tenant). מנותח מנתוני ה-JSON, המפתח הוא "x-tenant-id".
x-timestamp-unix	x-timestamp-unix	חותמת זמן של Unix. מנותח מנתוני ה-JSON.
x_bluecoat_application_name	target_application	שם האפליקציה. מנותח מפורמטים שונים של יומנים.
x_bluecoat_application_operation	x_bluecoat_application_operation	פעולת האפליקציה. מנותח מפורמטים שונים של יומנים.
x_bluecoat_transaction_uuid	metadata.product_log_id	מזהה ייחודי אוניברסלי (UUID) של העסקה. מנותח מפורמטים שונים של יומנים.
x_cs_certificate_subject	x_cs_certificate_subject	נושא האישור בצד הלקוח. מנותח מהפורמט הכללי של היומן.
x_cs_client_effective_ip	ip_principal	כתובת ה-IP בפועל של הלקוח. מנותח מהפורמט הכללי של היומן.
x_cs_connection_negotiated_cipher	network.tls.cipher	צופן שנוהל משא ומתן לגביו בצד הלקוח. מנותח מהפורמט הכללי של היומן.
x_cs_connection_negotiated_ssl_version	network.tls.version_protocol	גרסת SSL שסוכמה בצד הלקוח. מנותח מהפורמט הכללי של היומן.
x_exception_id	_block_reason	מזהה החריגה. מנותח מפורמטים שונים של יומנים.
x_icap_reqmod_header	x_icap_reqmod_header	כותרת לשינוי בקשת ICAP. מנותח מהפורמט הכללי של היומן.
x_icap_respmod_header	x_icap_respmod_header	כותרת לשינוי תגובת ICAP. מנותח מהפורמט הכללי של היומן.
x_rs_certificate_hostname	network.tls.client.server_name	שם המארח של אישור השרת המרוחק. מנותח מהפורמט הכללי של היומן.
x_rs_certificate_hostname_category	x_rs_certificate_hostname_category	קטגוריית שם המארח של אישור השרת המרוחק. מנותח מהפורמט הכללי של היומן.
x_rs_certificate_observed_errors	x_rs_certificate_observed_errors	היו שגיאות באישור של השרת המרוחק. מנותח מהפורמט הכללי של היומן.
x_rs_certificate_validate_status	network.tls.server.certificate.subject	סטטוס האימות של אישור השרת המרוחק. מנותח מפורמטים שונים של יומנים.
x_rs_connection_negotiated_cipher_strength	x_rs_connection_negotiated_cipher_strength	עוצמת ההצפנה שסוכמה עם השרת המרוחק. מנותח מהפורמט הכללי של היומן.
x_rs_connection_negotiated_ssl_version	x_rs_connection_negotiated_ssl_version	גרסת ה-SSL שסוכמה עם השרת המרוחק. מנותח מהפורמט הכללי של היומן.
x_virus_id	security_result.detection_fields	מזהה וירוס. מנותח מפורמטים שונים של יומנים, המפתח הוא "x-virus-id".
xbluecoat_application_operation	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cs_host	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
c_ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
c_ip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
cs_host	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
cs_host	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
i_hostname	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
i_ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
descrip	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
description	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
sum1	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
sum2	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
sum3	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
details	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
ip_principal	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
ip_principal	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
port	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
t_ip	event.idm.read_only_udm.target.ip	מופה מיומן השינויים
t_ip	event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
t_hostname	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
rc	event.idm.read_only_udm.network.http.response_code	מופה מיומן השינויים
cs_method	event.idm.read_only_udm.network.http.method	מופה מיומן השינויים
cs_user_agent	event.idm.read_only_udm.network.http.user_agent	מופה מיומן השינויים
cs_refer	event.idm.read_only_udm.network.http.referral_url	מופה מיומן השינויים
rs_service_latency	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_icap_reqmod_header	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_icap_respmod_header	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_bluecoat_app_operation	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_bluecoat_total_time_added	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
policy_evaluation_time	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_bluecoat_appliance_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cs_connection_ssl_server_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
rs_connection_ssl_server_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_data_leak_detected	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
r_Ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
s-ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
cs-uri-port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
cs-host	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
r-ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
c-ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
dest_host" and "target_hostname	target.url	מופה מיומן השינויים
proxy_name" and "column3	principal.asset.hostname	מופה מיומן השינויים
upload-source	additional.fields	מופה מיומן השינויים
time-taken	session_duration.session_duration	מופה מיומן השינויים
file_reputation	security_result.detection_fields	מופה מיומן השינויים
expect_sandbox	security_result.detection_fields	מופה מיומן השינויים
cs_auth_groups	principal.user.group_identifiers	מופה מיומן השינויים
time_taken	network.session_duration.nanos	מופה מיומן השינויים
cs-userdn	principal.user.userid	מופה מיומן השינויים
application-name	target.application	מופה מיומן השינויים
rs_server	security_result.about.labels	מופה מיומן השינויים
c_uri_path_query	target.file.full_path	מופה מיומן השינויים
metadata.event_type	STATUS_UPDATE	מופה מיומן השינויים
cs-uri-scheme	network.ip_protocol	מופה מיומן השינויים
rule_name	security_result.rule_name	מופה מיומן השינויים
application_protocol	network.application_protocol	מופה מיומן השינויים
communication_type	security_result.rule_name	מופה מיומן השינויים
rule_name	security_result.about.labels	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.