איסוף יומנים של Blue Coat ProxySG

גרסת כלי הניתוח: 32.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Blue Coat ProxySG ב-Google Security Operations באמצעות סוכן Bindplane.

‫Blue Coat ProxySG (עכשיו Broadcom/Symantec) הוא מכשיר proxy לאינטרנט שמפיק יומני גישה לתנועת אינטרנט, כולל בקשות HTTP, קטגוריות, אימות ואירועי אבטחה. הכלי לניתוח מחלק את השדות וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין מכשיר Blue Coat ProxySG
• אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• הרשאת אדמין במסוף הניהול של Blue Coat ProxySG

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.
3. הורדה של קובץ אימות להטמעת נתונים

4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

• ‫Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/bluecoat_webproxy:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: BLUECOAT_WEBPROXY
          raw_log_field: body
  
  service:
      pipelines:
          logs/bluecoat_webproxy_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/bluecoat_webproxy
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת syslog ב-Blue Coat ProxySG

1. נכנסים למסוף הניהול של Blue Coat ProxySG.
2. עוברים אל Maintenance > Event Logging > Syslog.
3. לוחצים על חדש.
4. מספקים את פרטי ההגדרה הבאים:
   • ‫Loghost: מזינים את כתובת ה-IP של סוכן Bindplane.
   • לוחצים על OK.
5. מסמנים את תיבת הסימון Enable Syslog.
6. בוחרים באפשרות רמה.
7. מסמנים את תיבת הסימון Verbose (מפורט).
8. לוחצים על אישור.

הגדרת לקוח בהתאמה אישית ב-Blue Coat ProxySG

1. עוברים אל הגדרות > רישום גישה > יומנים > העלאת לקוח.
2. ברשימת היומנים, בוחרים באפשרות סטרימינג.
3. ברשימה 'סוג הלקוח', בוחרים באפשרות לקוח בהתאמה אישית.
4. לוחצים על הגדרות.
5. ברשימה הגדרות, בוחרים אם להגדיר את השרת המותאם אישית הראשי או החלופי.
6. מספקים את פרטי ההגדרה הבאים:
   • מארח: מזינים את שם המארח או את כתובת ה-IP של יעד ההעלאה.
   • יציאה: מגדירים את הערך 514.
   • שימוש בחיבורים מאובטחים (SSL): מגדירים את האפשרות למושבת.
   • לוחצים על OK.
   • לוחצים על אישור כדי לחזור לכרטיסייה העלאת לקוח.
7. לכל פורמט יומן שרוצים להשתמש בו מבין הפורמטים של שיחות ראשיות, צ'אטים וסטרימינג, מבצעים את השלבים הבאים:
   • בוחרים את היומן.
   • מקצים את הלקוח Upload Client להיות הלקוח Custom.
   • בוחרים באפשרות <No Encryption> ואז באפשרות <No Signing>.
   • שומרים את קובץ היומן כקובץ טקסט.
   • לוחצים על העלאת לוח זמנים > סוג העלאה.
   • כדי להזרים את יומני הגישה, בוחרים באפשרות רציף בשדה העלאת יומן הגישה.
   • לוחצים על OK.
8. לוחצים על אישור.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
@timestamp	metadata.event_timestamp	חותמת הזמן של האירוע כפי שנרשמה במכשיר Blue Coat. מנותח מנתוני ה-JSON.
application-name	target.application	השם של האפליקציה שמשויכת לתנועת הרשת. מנותח מנתוני ה-JSON.
c-ip	principal.asset.ipprincipal.ip	כתובת ה-IP של הלקוח. מנותח מנתוני ה-JSON.
c_ip	principal.ipprincipal.asset.ip	כתובת ה-IP של הלקוח. הנתונים מנותחים מפורמטים שונים של יומנים.
c_ip_host	principal.hostnameprincipal.asset.hostname	שם המארח של הלקוח, אם יש כזה. מנותח מנתוני ה-JSON.
cs-auth-group	principal_user_group_identifiers	קבוצת אימות לקוח. מנותח מנתוני ה-JSON.
cs-bytes	network.sent_bytes	מספר הבייטים שנשלחו על ידי הלקוח. מנותח מנתוני ה-JSON.
cs-categories	security_result.category_details	קטגוריות שהוקצו לבקשה לאחזור מהרשת על ידי מכשיר Blue Coat. מנותח מנתוני ה-JSON.
cs-host	target_hostname	שם המארח שהלקוח ביקש. מנותח מנתוני ה-JSON.
cs-icap-error-details	security_result.detection_fields	פרטי שגיאת ICAP מצד הלקוח. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא cs-icap-error-details.
cs-icap-status	security_result.description	סטטוס ICAP מצד הלקוח. מנותח מנתוני ה-JSON.
cs-method	network.http.method	ה-method של ה-HTTP שמשמשת בבקשה. מנותח מנתוני ה-JSON.
cs-threat-risk	security_result.risk_score	דירוג סיכון לאיום שהוקצה על ידי מכשיר Blue Coat. מנותח מנתוני ה-JSON.
cs-uri-extension	cs_uri_extension	תוסף של ה-URI המבוקש. מנותח מנתוני ה-JSON.
cs-uri-path	_uri_path	הנתיב של ה-URI המבוקש. מנותח מנתוני ה-JSON.
cs-uri-port	cs_uri_port	היציאה של ה-URI המבוקש. מנותח מנתוני ה-JSON.
cs-uri-query	_uri_query	מחרוזת השאילתה של ה-URI המבוקש. מנותח מנתוני ה-JSON.
cs-uri-scheme	_uri_scheme	הסכימה של ה-URI של הבקשה (למשל, http, ‏ https). מנותח מנתוני ה-JSON.
cs-userdn	principal_user_userid	שם המשתמש של הלקוח. מנותח מנתוני ה-JSON.
cs-version	cs_version	גרסת ה-HTTP שבה נעשה שימוש בצד הלקוח. מנותח מנתוני ה-JSON.
cs(Referer)	network.http.referral_url	כתובת ה-URL של המפנה. מנותח מנתוני ה-JSON.
cs(User-Agent)	network.http.user_agent	מחרוזת סוכן המשתמש. מנותח מנתוני ה-JSON.
cs(X-Requested-With)	security_result.detection_fields	הערך של הכותרת X-Requested-With. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא cs-X-Requested-With.
cs_auth_group	principal_user_group_identifiers	קבוצת אימות לקוח. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_bytes	network.sent_bytes	מספר הבייטים שנשלחו על ידי הלקוח. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_categories	security_result.category_details	קטגוריות שהוקצו לבקשה לאחזור מהרשת. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_host	target_hostname	שם המארח שהלקוח ביקש. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_method	network.http.method	ה-method של ה-HTTP שמשמשת בבקשה. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_referer	network.http.referral_url	כתובת ה-URL של המפנה. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_threat_risk	security_result.risk_score	דירוג סיכון לאיום שהוקצה על ידי מכשיר Blue Coat. מנותח מפורמט היומן של KV.
cs_uri	target.url	ה-URI המלא של הבקשה. מנותח מפורמט היומן של KV.
cs_uri_extension	cs_uri_extension	תוסף של ה-URI המבוקש. מנותח מפורמט היומן של KV.
cs_uri_path	_uri_path	הנתיב של ה-URI של הבקשה. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_uri_port	target_port	היציאה של ה-URI המבוקש. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_uri_query	_uri_query	מחרוזת השאילתה של ה-URI המבוקש. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_uri_scheme	_uri_scheme	הסכימה של ה-URI של הבקשה (למשל, http, ‏ https). הנתונים מנותחים מפורמטים שונים של יומנים.
cs_user	principal_user_userid	שם המשתמש של הלקוח. מנותח מפורמט היומן הכללי.
cs_user_agent	network.http.user_agent	מחרוזת סוכן המשתמש. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_username	principal_user_userid	שם המשתמש של הלקוח. הנתונים מנותחים מפורמטים שונים של יומנים.
cs_x_forwarded_for	_intermediary.ip	ערך הכותרת X-Forwarded-For. מנותח מפורמט היומן הכללי.
deviceHostname	_intermediary.hostname	שם המארח של מכשיר Blue Coat. מנותח מפורמט היומן של KV.
dst	ip_target	כתובת ה-IP של היעד. מנותח מפורמט היומן של KV.
dst_ip	ip_target	כתובת ה-IP של היעד. מנותח מפורמט יומן ה-SSL.
dst_user	target.user.userid	מזהה משתמש היעד. מנותח מפורמט היומן של שרת proxy הפוך.
dstport	target_port	יציאת היעד. מנותח מפורמט היומן של KV.
dstport	target.port	יציאת היעד. מנותח מפורמט יומן ה-SSL.
exception-id	_block_reason	מזהה החריג, שמציין בקשה חסומה. מנותח מפורמט היומן של KV.
filter-category	_categories	הקטגוריה של המסנן שהפעיל את האירוע. מנותח מפורמט היומן של KV.
filter-result	_policy_action	התוצאה של המסנן שהוחל על הבקשה. מנותח מפורמט היומן של KV.
hostname	principal.hostnameprincipal.asset.hostname	שם המארח של המכשיר שמייצר את היומן. מנותח מפורמטים של יומנים כלליים ויומני SSL.
isolation-url	isolation-url	כתובת URL שקשורה לבידוד, אם רלוונטי. מנותח מנתוני ה-JSON.
ma-detonated	ma-detonated	סטטוס ההפעלה של התוכנה הזדונית. מנותח מנתוני ה-JSON.
page-views	צפיות בדפים	מספר הצפיות בדפים. מנותח מנתוני ה-JSON.
r-ip	ip_target	כתובת IP מרוחקת. מנותח מנתוני ה-JSON.
r-supplier-country	r-supplier-country	המדינה של הספק המרוחק. מנותח מנתוני ה-JSON.
r_dns	target_hostname	שם DNS מרוחק. מנותח מנתוני ה-JSON.
r_ip	ip_target	כתובת IP מרוחקת. הנתונים מנותחים מפורמטים שונים של יומנים.
r_port	target_port	יציאה מרוחקת. מנותח מנתוני ה-JSON.
risk-groups	security_result.detection_fields	קבוצות הסיכון שמשויכות לאירוע. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא risk-groups.
rs-icap-error-details	security_result.detection_fields	פרטי שגיאת ICAP מצד השרת המרוחק. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא rs-icap-error-details.
rs-icap-status	rs-icap-status	סטטוס ICAP מצד השרת המרוחק. מנותח מנתוני ה-JSON.
rs(Content-Type)	target.file.mime_type	סוג התוכן של התגובה מהשרת המרוחק. מנותח מפורמט היומן של KV.
rs_content_type	target.file.mime_type	סוג התוכן של התגובה מהשרת המרוחק. הנתונים מנותחים מפורמטים שונים של יומנים.
rs_server	rs_server	מידע על השרת המרוחק. מנותח מנתוני ה-JSON.
rs_status	_network.http.response_code	קוד הסטטוס של התגובה מהשרת המרוחק. מנותח מנתוני ה-JSON.
r_supplier_country	intermediary.location.country_or_region	המדינה של הספק המרוחק. מנותח מפורמט היומן הכללי.
r_supplier_ip	intermediary.ip	כתובת ה-IP של הספק המרוחק. מנותח מפורמט היומן הכללי.
s-action	_metadata.product_event_type	הפעולה שבוצעה על ידי השרת הפרוקסי. מנותח מפורמט היומן של KV.
s-ip	_intermediary.ip	כתובת ה-IP של השרת. מנותח מפורמט היומן של KV.
s-source-ip	_intermediary.ip	כתובת ה-IP של המקור של השרת. מנותח מנתוני ה-JSON.
s_action	_metadata.product_event_type	הפעולה שבוצעה על ידי השרת הפרוקסי. הנתונים מנותחים מפורמטים שונים של יומנים.
s_ip	target.iptarget.asset.ip	כתובת ה-IP של השרת. הנתונים מנותחים מפורמטים שונים של יומנים.
s_ip_host	_intermediary.hostname	שם המארח של השרת. מנותח מנתוני ה-JSON.
s-supplier-country	intermediary.location.country_or_region	המדינה שבה נמצא השרת של הספק. מנותח מנתוני ה-JSON.
s-supplier-failures	security_result.detection_fields	כשלים אצל הספק. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא s-supplier-failures.
s-supplier-ip	_intermediary.ip	כתובת ה-IP של השרת של הספק. מנותח מנתוני ה-JSON.
s_supplier_ip	intermediary.ip	כתובת ה-IP של השרת של הספק. מנותח מנתוני ה-JSON.
s_supplier_name	_intermediary.hostname	שם השרת של הספק. מנותח מפורמט היומן הכללי.
sc-bytes	network.received_bytes	מספר הבייטים שהתקבלו בשרת. מנותח מפורמט היומן של KV.
sc-filter-result	_policy_action	סינון התוצאות בצד השרת. מנותח מפורמט היומן של KV.
sc-status	_network.http.response_code	קוד הסטטוס שהוחזר על ידי השרת. מנותח מפורמט היומן של KV.
sc_bytes	network.received_bytes	מספר הבייטים שהתקבלו בשרת. הנתונים מנותחים מפורמטים שונים של יומנים.
sc_connection	sc_connection	פרטי החיבור לשרת. מנותח מפורמט היומן הכללי.
sc_filter_result	_policy_action	סינון התוצאות בצד השרת. הנתונים מנותחים מפורמטים שונים של יומנים.
sc_status	_network.http.response_code	קוד הסטטוס שהוחזר על ידי השרת. הנתונים מנותחים מפורמטים שונים של יומנים.
search_query	target.resource.attribute.labels	שאילתת חיפוש, אם היא מופיעה בכתובת ה-URL. הערך חולץ מ-target_url, המפתח הוא search_query.
session_id	network.session_id	מזהה הסשן. מנותח מפורמט היומן של שרת proxy הפוך.
src	ip_principal	כתובת ה-IP של המקור. מנותח מפורמט היומן של KV.
src_hostname	principal.hostnameprincipal.asset.hostname	שם המארח של המקור. מנותח מפורמט היומן הכללי.
src_ip	ip_principal	כתובת ה-IP של המקור. מנותח מפורמט יומן ה-SSL.
srcport	principal_port	יציאת המקור. מנותח מפורמט היומן של KV.
src_port	principal.port	יציאת המקור. מנותח מפורמט יומן ה-SSL.
s_source_port	intermediary.port	יציאת המקור של השרת. מנותח מפורמט היומן הכללי.
summary	security_result.summary	סיכום של תוצאת האבטחה. הנתונים מנותחים מפורמטים של יומנים של שרת Proxy הפוך ו-SSL.
syslogtimestamp	syslogtimestamp	חותמת זמן של Syslog. מנותח מפורמט היומן של KV.
target_application	target.application	האפליקציה שמטורגטת על ידי הבקשה. נגזר מ-x_bluecoat_application_name או מ-application-name.
target_hostname	target.hostnametarget.asset.hostname	שם המארח של היעד. הערך נגזר מ-r_dns,‏ cs-host או משדות אחרים, בהתאם לפורמט היומן.
target_port	target.port	יציאת היעד. הערך נגזר מ-r_port,‏ cs_uri_port או ordstport, בהתאם לפורמט היומן.
target_sip	target.iptarget.asset.ip	כתובת ה-IP של שרת היעד. מנותח מפורמט היומן הכללי.
target_url	target.url	כתובת ה-URL ליעד. נגזר מהפרמטרים target_hostname,‏ _uri_path, ‏ _uri_query או cs_uri.
time-taken	network.session_duration	משך הסשן או הבקשה. הערך הזה מנותח מפורמט היומן של זוגות מפתח/ערך ומומר לשניות ולננו-שניות.
time_taken	network.session_duration	משך הסשן או הבקשה. הערך הזה מנותח מפורמטים שונים של יומנים ומומר לשניות ולננו-שניות.
tls_version	network.tls.version	גרסת ה-TLS שמשמשת בחיבור. מנותח מפורמט יומן ה-SSL.
upload-source	upload-source	המקור של ההעלאה. מנותח מנתוני ה-JSON.
username	principal_user_userid	שם משתמש. מנותח מפורמט היומן של KV.
verdict	security_result.detection_fields	התוצאה של ניתוח האבטחה. הערך מנותח מנתוני ה-JSON, והמפתח הוא verdict.
wf-env	wf_env	הסביבה של שירות סינון האינטרנט. מנותח מנתוני ה-JSON.
wf_id	security_result.detection_fields	מזהה סינון אתרים. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא wf_id.
wrong_cs_host	principal.hostnameprincipal.asset.hostname	שם המארח של הלקוח נותח בצורה שגויה, והוא משמש כשם המארח העיקרי אם הוא לא כתובת IP. מנותח מפורמט היומן הכללי.
x-bluecoat-access-type	x-bluecoat-access-type	סוג הגישה. מנותח מנתוני ה-JSON.
x-bluecoat-appliance-name	intermediary.application	השם של מכשיר Blue Coat. מנותח מנתוני ה-JSON.
x-bluecoat-application-name	target_application	שם האפליקציה. מנותח מנתוני ה-JSON.
x-bluecoat-application-operation	x_bluecoat_application_operation	פעולה באפליקציה. מנותח מנתוני ה-JSON.
x-bluecoat-location-id	x-bluecoat-location-id	מזהה מיקום. מנותח מנתוני ה-JSON.
x-bluecoat-location-name	x-bluecoat-location-name	שם המיקום. מנותח מנתוני ה-JSON.
x-bluecoat-placeholder	security_result.detection_fields	מידע על placeholder. הערך מנותח מנתוני ה-JSON, והמפתח הוא x-bluecoat-placeholder.
x-bluecoat-reference-id	security_result.detection_fields	מזהה הפנייה. הערך מנותח מנתוני ה-JSON, והמפתח הוא x-bluecoat-reference-id.
x-bluecoat-request-tenant-id	x-bluecoat-request-tenant-id	מזהה הדייר (tenant) של הבקשה. מנותח מנתוני ה-JSON.
x-bluecoat-transaction-uuid	metadata.product_log_id	מזהה ייחודי אוניברסלי (UUID) של העסקה. מנותח מנתוני ה-JSON.
x-client-agent-sw	software.name	תוכנת סוכן לקוח. הנתונים מנותחים מ-JSON ומשולבים ב-principal.asset.software.
x-client-agent-type	principal.application	סוג סוכן הלקוח. מנותח מנתוני ה-JSON.
x-client-device-id	principal.resource.product_object_id	מזהה מכשיר הלקוח. מנותח מנתוני ה-JSON.
x-client-device-name	x-client-device-name	שם מכשיר הלקוח. מנותח מנתוני ה-JSON.
x-client-device-type	x-client-device-type	סוג מכשיר הלקוח. מנותח מנתוני ה-JSON.
x-client-os	principal.asset.platform_software.platform	מערכת ההפעלה של הלקוח. מנותח מנתוני ה-JSON. אם המחרוזת מכילה את הערך 'Windows', הפלטפורמה מוגדרת כ-WINDOWS.
x-client-security-posture-details	x-client-security-posture-details	פרטים על מצב האבטחה של הלקוח. מנותח מנתוני ה-JSON.
x-client-security-posture-risk-score	security_result.detection_fields	ציון הסיכון של מצב האבטחה של הלקוח. המפתח שנותח מנתוני ה-JSON הוא x-client-security-posture-risk-score.
x-cloud-rs	security_result.detection_fields	מידע על שרת מרוחק שקשור ל-Cloud. הערך מנותח מנתוני ה-JSON, והמפתח הוא x-cloud-rs.
x-cs-certificate-subject	x_cs_certificate_subject	נושא האישור מצד הלקוח. מנותח מנתוני ה-JSON.
x-cs-client-ip-country	x-cs-client-ip-country	המדינה שבה נמצאת כתובת ה-IP של הלקוח. מנותח מנתוני ה-JSON.
x-cs-connection-negotiated-cipher	network.tls.cipher	הצפנה שנקבעה בהסכמה מצד הלקוח. מנותח מנתוני ה-JSON.
x-cs-connection-negotiated-cipher-size	security_result.detection_fields	גודל הצופן שנקבע במשא ומתן מצד הלקוח. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא x-cs-connection-negotiated-cipher-size.
x-cs-connection-negotiated-ssl-version	network.tls.version_protocol	גרסת SSL שנקבעה במשא ומתן מצד הלקוח. מנותח מנתוני ה-JSON.
x-cs-ocsp-error	security_result.detection_fields	שגיאת OCSP מצד הלקוח. הערך מנותח מנתוני ה-JSON, והמפתח הוא x-cs-ocsp-error.
x-cs(referer)-uri-categories	x-cs(referer)-uri-categories	קטגוריות של URI של מקורות תנועה מצד הלקוח. מנותח מנתוני ה-JSON.
x-data-leak-detected	security_result.detection_fields	סטטוס הזיהוי של דליפת נתונים. הערך מנותח מנתוני ה-JSON, והמפתח הוא x-data-leak-detected.
x-exception-id	x_exception_id	מזהה החריגה. מנותח מנתוני ה-JSON.
x-http-connect-host	x-http-connect-host	מארח לחיבור HTTP. מנותח מנתוני ה-JSON.
x-http-connect-port	x-http-connect-port	יציאת חיבור HTTP. מנותח מנתוני ה-JSON.
x-icap-reqmod-header(x-icap-metadata)	x_icap_reqmod_header	כותרת של בקשת ICAP שמכילה מטא-נתונים. מנותח מנתוני ה-JSON.
x-icap-respmod-header(x-icap-metadata)	x_icap_respmod_header	כותרת שינוי תגובת ICAP שמכילה מטא-נתונים. מנותח מנתוני ה-JSON.
x-rs-certificate-hostname	network.tls.client.server_name	שם המארח באישור מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-certificate-hostname-categories	x_rs_certificate_hostname_category	קטגוריות של שמות מארחים באישור מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-certificate-hostname-category	x_rs_certificate_hostname_category	קטגוריית שם המארח באישור מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-certificate-hostname-threat-risk	security_result.detection_fields	סיכון האיום של שם המארח באישור מצד השרת המרוחק. הערך מנותח מנתוני ה-JSON, והמפתח הוא x-rs-certificate-hostname-threat-risk.
x-rs-certificate-observed-errors	x_rs_certificate_observed_errors	נצפו שגיאות באישור מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-certificate-validate-status	network.tls.server.certificate.subject	סטטוס האימות של האישור בצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-connection-negotiated-cipher	x_rs_connection_negotiated_cipher	הצפנה שנקבעה בצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-connection-negotiated-cipher-size	security_result.detection_fields	גודל ההצפנה שנקבע בצד השרת המרוחק. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא x-rs-connection-negotiated-cipher-size.
x-rs-connection-negotiated-cipher-strength	x_rs_connection_negotiated_cipher_strength	עוצמת ההצפנה שנקבעה בצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-connection-negotiated-ssl-version	x_rs_connection_negotiated_ssl_version	גרסת SSL שנקבעה בצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-rs-ocsp-error	x_rs_ocsp_error	שגיאת OCSP מצד השרת המרוחק. מנותח מנתוני ה-JSON.
x-sc-connection-issuer-keyring	security_result.detection_fields	מחזיק מפתחות של מנפיק החיבור. הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא x-sc-connection-issuer-keyring.
x-sc-connection-issuer-keyring-alias	x-sc-connection-issuer-keyring-alias	כינוי של אוסף המפתחות של מנפיק החיבור. מנותח מנתוני ה-JSON.
x-sr-vpop-country	principal.location.country_or_region	המדינה שבה נמצא ה-VPOP. מנותח מנתוני ה-JSON.
x-sr-vpop-country-code	principal.location.country_or_region	קוד המדינה של VPOP. מנותח מנתוני ה-JSON.
x-sr-vpop-ip	principal.ipprincipal.asset.ip	כתובת ה-IP של VPOP. מנותח מנתוני ה-JSON.
x-symc-dei-app	x-symc-dei-app	אפליקציית DEI של Symantec. מנותח מנתוני ה-JSON.
x-symc-dei-via	security_result.detection_fields	Symantec DEI via. המפתח מנותח מנתוני ה-JSON, והוא x-symc-dei-via.
x-tenant-id	security_result.detection_fields	מזהה הדייר (tenant). הערך הזה מנותח מנתוני ה-JSON, והמפתח הוא x-tenant-id.
x-timestamp-unix	x-timestamp-unix	חותמת זמן של מערכת Unix. מנותח מנתוני ה-JSON.
x_bluecoat_application_name	target_application	שם האפליקציה. הנתונים מנותחים מפורמטים שונים של יומנים.
x_bluecoat_application_operation	x_bluecoat_application_operation	פעולה באפליקציה. הנתונים מנותחים מפורמטים שונים של יומנים.
x_bluecoat_transaction_uuid	metadata.product_log_id	מזהה ייחודי אוניברסלי (UUID) של העסקה. הנתונים מנותחים מפורמטים שונים של יומנים.
x_cs_certificate_subject	x_cs_certificate_subject	נושא האישור בצד הלקוח. מנותח מפורמט היומן הכללי.
x_cs_client_effective_ip	ip_principal	כתובת ה-IP האפקטיבית של הלקוח. מנותח מפורמט היומן הכללי.
x_cs_connection_negotiated_cipher	network.tls.cipher	הצפנה שנקבעה מצד הלקוח. מנותח מפורמט היומן הכללי.
x_cs_connection_negotiated_ssl_version	network.tls.version_protocol	גרסת SSL שנקבעה בצד הלקוח. מנותח מפורמט היומן הכללי.
x_exception_id	_block_reason	מזהה החריגה. הנתונים מנותחים מפורמטים שונים של יומנים.
x_icap_reqmod_header	x_icap_reqmod_header	כותרת של שינוי בקשת ICAP. מנותח מפורמט היומן הכללי.
x_icap_respmod_header	x_icap_respmod_header	כותרת לשינוי תגובת ICAP. מנותח מפורמט היומן הכללי.
x_rs_certificate_hostname	network.tls.client.server_name	שם המארח באישור של השרת המרוחק. מנותח מפורמט היומן הכללי.
x_rs_certificate_hostname_category	x_rs_certificate_hostname_category	קטגוריה של שם המארח באישור של שרת מרוחק. מנותח מפורמט היומן הכללי.
x_rs_certificate_observed_errors	x_rs_certificate_observed_errors	זוהו שגיאות באישור של השרת המרוחק. מנותח מפורמט היומן הכללי.
x_rs_certificate_validate_status	network.tls.server.certificate.subject	סטטוס האימות של האישור של השרת המרוחק. הנתונים מנותחים מפורמטים שונים של יומנים.
x_rs_connection_negotiated_cipher_strength	x_rs_connection_negotiated_cipher_strength	עוצמת ההצפנה שנקבעה בשרת המרוחק. מנותח מפורמט היומן הכללי.
x_rs_connection_negotiated_ssl_version	x_rs_connection_negotiated_ssl_version	השרת המרוחק ניהל משא ומתן על גרסת SSL. מנותח מפורמט היומן הכללי.
x_virus_id	security_result.detection_fields	מזהה וירוס. הערך הזה מנותח מפורמטים שונים של יומנים, והמפתח הוא x-virus-id.
xbluecoat_application_operation	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cs_host	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
c_ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
c_ip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
cs_host	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
cs_host	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
i_hostname	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
i_ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
descrip	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
description	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
sum1	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
sum2	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
sum3	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
details	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
ip_principal	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
ip_principal	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
port	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
t_ip	event.idm.read_only_udm.target.ip	מופה מיומן השינויים
t_ip	event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
t_hostname	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
rc	event.idm.read_only_udm.network.http.response_code	מופה מיומן השינויים
cs_method	event.idm.read_only_udm.network.http.method	מופה מיומן השינויים
cs_user_agent	event.idm.read_only_udm.network.http.user_agent	מופה מיומן השינויים
cs_refer	event.idm.read_only_udm.network.http.referral_url	מופה מיומן השינויים
rs_service_latency	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_icap_reqmod_header	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_icap_respmod_header	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_bluecoat_app_operation	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_bluecoat_total_time_added	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
policy_evaluation_time	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_bluecoat_appliance_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cs_connection_ssl_server_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
rs_connection_ssl_server_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x_data_leak_detected	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
r_Ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
s-ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
cs-uri-port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
cs-host	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
r-ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
c-ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
dest_host" and "target_hostname	target.url	מופה מיומן השינויים
proxy_name" and "column3	principal.asset.hostname	מופה מיומן השינויים
upload-source	additional.fields	מופה מיומן השינויים
time-taken	session_duration.session_duration	מופה מיומן השינויים
file_reputation	security_result.detection_fields	מופה מיומן השינויים
expect_sandbox	security_result.detection_fields	מופה מיומן השינויים
cs_auth_groups	principal.user.group_identifiers	מופה מיומן השינויים
time_taken	network.session_duration.nanos	מופה מיומן השינויים
cs-userdn	principal.user.userid	מופה מיומן השינויים
application-name	target.application	מופה מיומן השינויים
rs_server	security_result.about.labels	מופה מיומן השינויים
c_uri_path_query	target.file.full_path	מופה מיומן השינויים
metadata.event_type	STATUS_UPDATE	מופה מיומן השינויים
cs-uri-scheme	network.ip_protocol	מופה מיומן השינויים
rule_name	security_result.rule_name	מופה מיומן השינויים
application_protocol	network.application_protocol	מופה מיומן השינויים
communication_type	security_result.rule_name	מופה מיומן השינויים
rule_name	security_result.about.labels	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.