我们重新整理了导航结构，使其与您的运营工作流程直接对应。如需了解详情，请参阅 Google SecOps 版本说明。

Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

收集 Blue Coat ProxySG 日志

解析器版本：32.0

支持的平台：

Google SecOps SIEM

本文档介绍了如何使用 Bindplane 代理将 Blue Coat ProxySG 日志注入到 Google Security Operations。

Blue Coat ProxySG（现为 Broadcom/Symantec）是一种网络代理设备，可生成网络流量的访问日志，包括 HTTP 请求、类别、身份验证和安全事件。解析器会对字段进行标准化处理，并将其映射到统一数据模型 (UDM)。

准备工作

请确保满足以下前提条件：

Google SecOps 实例
Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
Bindplane 代理与 Blue Coat ProxySG 设备之间的网络连接
如果在代理后面运行，请确保防火墙端口已根据 Bindplane 代理要求打开
对 Blue Coat ProxySG 管理控制台的管理员访问权限

获取 Google SecOps 注入身份验证文件

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 收集代理。
下载数据注入身份验证文件
将文件安全地保存在将要安装 Bindplane 代理的系统上。

注意：此 JSON 文件包含用于向 Google SecOps 验证 Bindplane 代理身份的凭据。

获取 Google SecOps 客户 ID

登录 Google SecOps 控制台。
依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。

注意：配置 Bindplane 代理导出器时需要客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

以管理员身份打开命令提示符或 PowerShell。

运行以下命令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安装完成。
运行以下命令，验证安装是否成功：
```
sc query observiq-otel-collector
```
该服务应显示为 正在运行。

Linux 安装

打开具有 root 或 sudo 权限的终端。

运行以下命令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安装完成。
运行以下命令，验证安装是否成功：
```
sudo systemctl status observiq-otel-collector
```
该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

Linux：

sudo nano /etc/bindplane-agent/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

将 config.yaml 的全部内容替换为以下配置：

receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/bluecoat_webproxy:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: BLUECOAT_WEBPROXY
        raw_log_field: body

service:
    pipelines:
        logs/bluecoat_webproxy_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/bluecoat_webproxy

配置参数

替换以下占位符：

接收器配置：
- listen_address：要监听的 IP 地址和端口：
  - 0.0.0.0 侦听所有接口（推荐）
  - 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）
导出器配置：
- creds_file_path：提取身份验证文件的完整路径：
  - Linux：/etc/bindplane-agent/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id：从 Google SecOps 控制台复制的客户 ID
- endpoint：区域端点网址：
  - 美国：malachiteingestion-pa.googleapis.com
  - 欧洲：europe-malachiteingestion-pa.googleapis.com
  - 亚洲：asia-southeast1-malachiteingestion-pa.googleapis.com
  - 如需查看完整列表，请参阅区域级端点

保存配置文件

修改后，保存文件：
- Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
- Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

sudo systemctl restart observiq-otel-collector

验证服务是否正在运行：

sudo systemctl status observiq-otel-collector

检查日志是否存在错误：

sudo journalctl -u observiq-otel-collector -f

如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：
- 以管理员身份运行命令提示符或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服务控制台：
  1. 按 Win+R，输入 services.msc，然后按 Enter 键。
  2. 找到 observIQ OpenTelemetry 收集器。
  3. 右键点击并选择重新启动。
  4. 验证服务是否正在运行：
```
sc query observiq-otel-collector
```
  5. 检查日志是否存在错误：
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

在 Blue Coat ProxySG 中配置 syslog

登录 Blue Coat ProxySG 管理控制台。
依次前往维护> 事件日志记录> Syslog。
点击 New（新建）。
提供以下配置详细信息：
- Loghost：输入 Bindplane 代理 IP 地址。
- 点击确定。
选中启用 Syslog 复选框。
选择音量。
选中详细复选框。
点击应用。

在 Blue Coat ProxySG 中配置自定义客户端

依次前往配置 > 访问日志记录 > 日志 > 上传客户端。
在日志列表中选择流式传输。
从“客户端类型”列表中选择自定义客户端。
点击设置。
从设置列表中选择要配置的主自定义服务器或备用自定义服务器。
提供以下配置详细信息：
- 主机：输入上传目的地的主机名或 IP 地址。
- 端口：设置为 514。
- 使用安全连接 (SSL)：设置为关闭。
- 点击确定。
- 点击应用，返回上传客户端标签页。
对于您要在主日志、即时通讯日志和流式传输日志中使用的每种日志格式，请完成以下步骤：
- 选择日志。
- 将上传客户端分配为自定义客户端。
- 选择 <No Encryption> 和 <No Signing>。
- 将日志文件保存为文本文件。
- 依次点击上传时间表 > 上传类型。
- 选择持续上传访问日志，以流式传输访问日志。
- 点击确定。
点击应用。

UDM 映射表

日志字段	UDM 映射	逻辑
`@timestamp`	`metadata.event_timestamp`	Blue Coat 设备记录的事件时间戳。从 JSON 数据解析。
`application-name`	`target.application`	与网络流量关联的应用的名称。从 JSON 数据解析。
`c-ip`	`principal.asset.ipprincipal.ip`	客户端 IP 地址。从 JSON 数据解析。
`c_ip`	`principal.ipprincipal.asset.ip`	客户端 IP 地址。从各种日志格式解析。
`c_ip_host`	`principal.hostnameprincipal.asset.hostname`	客户端主机名（如果有）。从 JSON 数据解析。
`cs-auth-group`	principal_user_group_identifiers	客户端身份验证组。从 JSON 数据解析。
`cs-bytes`	`network.sent_bytes`	客户端发送的字节数。从 JSON 数据解析。
`cs-categories`	`security_result.category_details`	Blue Coat 设备分配给 Web 请求的类别。从 JSON 数据解析。
`cs-host`	target_hostname	客户端请求的主机名。从 JSON 数据解析。
`cs-icap-error-details`	`security_result.detection_fields`	客户端的 ICAP 错误详细信息。从 JSON 数据解析，键为“cs-icap-error-details”。
`cs-icap-status`	`security_result.description`	客户端的 ICAP 状态。从 JSON 数据解析。
`cs-method`	`network.http.method`	请求中使用的 HTTP 方法。从 JSON 数据解析。
`cs-threat-risk`	`security_result.risk_score`	由 Blue Coat 设备分配的威胁风险得分。从 JSON 数据解析。
`cs-uri-extension`	cs_uri_extension	所请求 URI 的扩展名。从 JSON 数据解析。
`cs-uri-path`	_uri_path	所请求 URI 的路径。从 JSON 数据解析。
`cs-uri-port`	cs_uri_port	所请求 URI 的端口。从 JSON 数据解析。
`cs-uri-query`	_uri_query	所请求 URI 的查询字符串。从 JSON 数据解析。
`cs-uri-scheme`	_uri_scheme	所请求 URI 的架构（例如，http、https）。从 JSON 数据解析。
`cs-userdn`	principal_user_userid	客户用户名。从 JSON 数据解析。
`cs-version`	cs_version	客户端使用的 HTTP 版本。从 JSON 数据解析。
`cs(Referer)`	`network.http.referral_url`	引荐来源网址。从 JSON 数据解析。
`cs(User-Agent)`	`network.http.user_agent`	用户代理字符串。从 JSON 数据解析。
`cs(X-Requested-With)`	`security_result.detection_fields`	X-Requested-With 标头的值。从 JSON 数据解析，键为“cs-X-Requested-With”。
`cs_auth_group`	principal_user_group_identifiers	客户端身份验证组。从各种日志格式解析。
`cs_bytes`	`network.sent_bytes`	客户端发送的字节数。从各种日志格式解析。
`cs_categories`	`security_result.category_details`	分配给 Web 请求的类别。从各种日志格式解析。
`cs_host`	target_hostname	客户端请求的主机名。从各种日志格式解析。
`cs_method`	`network.http.method`	请求中使用的 HTTP 方法。从各种日志格式解析。
`cs_referer`	`network.http.referral_url`	引荐来源网址。从各种日志格式解析。
`cs_threat_risk`	`security_result.risk_score`	由 Blue Coat 设备分配的威胁风险得分。从 KV 日志格式解析。
`cs_uri`	`target.url`	完整的请求 URI。从 KV 日志格式解析。
`cs_uri_extension`	cs_uri_extension	所请求 URI 的扩展名。从 KV 日志格式解析。
`cs_uri_path`	_uri_path	所请求 URI 的路径。从各种日志格式解析。
`cs_uri_port`	target_port	所请求 URI 的端口。从各种日志格式解析。
`cs_uri_query`	_uri_query	所请求 URI 的查询字符串。从各种日志格式解析。
`cs_uri_scheme`	_uri_scheme	所请求 URI 的架构（例如，http、https）。从各种日志格式解析。
`cs_user`	principal_user_userid	客户用户名。从常规日志格式解析。
`cs_user_agent`	`network.http.user_agent`	用户代理字符串。从各种日志格式解析。
`cs_username`	principal_user_userid	客户用户名。从各种日志格式解析。
`cs_x_forwarded_for`	`_intermediary.ip`	X-Forwarded-For 标头值。从常规日志格式解析。
`deviceHostname`	`_intermediary.hostname`	Blue Coat 设备的主机名。从 KV 日志格式解析。
`dst`	ip_target	目的地 IP 地址。从 KV 日志格式解析。
`dst_ip`	ip_target	目的地 IP 地址。从 SSL 日志格式解析。
`dst_user`	`target.user.userid`	目标用户 ID。从代理反向日志格式解析。
`dstport`	target_port	目标端口。从 KV 日志格式解析。
`dstport`	`target.port`	目标端口。从 SSL 日志格式解析。
`exception-id`	_block_reason	异常 ID，表示请求被阻止。从 KV 日志格式解析。
`filter-category`	_categories	触发事件的过滤器的类别。从 KV 日志格式解析。
`filter-result`	_policy_action	应用于请求的过滤器的结果。从 KV 日志格式解析。
`hostname`	`principal.hostnameprincipal.asset.hostname`	生成日志的设备的主机名。从 SSL 和常规日志格式解析。
`isolation-url`	隔离网址	与隔离相关的网址（如适用）。从 JSON 数据解析。
`ma-detonated`	ma-detonated	恶意软件引爆状态。从 JSON 数据解析。
`page-views`	网页浏览量	网页浏览量。从 JSON 数据解析。
`r-ip`	ip_target	远程 IP 地址。从 JSON 数据解析。
`r-supplier-country`	r-supplier-country	远程供应商所在的国家/地区。从 JSON 数据解析。
`r_dns`	target_hostname	远程 DNS 名称。从 JSON 数据解析。
`r_ip`	ip_target	远程 IP 地址。从各种日志格式解析。
`r_port`	target_port	远程端口。从 JSON 数据解析。
`risk-groups`	`security_result.detection_fields`	与事件关联的风险组。从 JSON 数据解析，键为“risk-groups”。
`rs-icap-error-details`	`security_result.detection_fields`	来自远程服务器端的 ICAP 错误详细信息。从 JSON 数据解析，键为“rs-icap-error-details”。
`rs-icap-status`	rs-icap-status	来自远程服务器端的 ICAP 状态。从 JSON 数据解析。
`rs(Content-Type)`	`target.file.mime_type`	远程服务器返回的响应的内容类型。从 KV 日志格式解析。
`rs_content_type`	`target.file.mime_type`	远程服务器返回的响应的内容类型。从各种日志格式解析。
`rs_server`	rs_server	远程服务器信息。从 JSON 数据解析。
`rs_status`	`_network.http.response_code`	来自远程服务器的响应状态代码。从 JSON 数据解析。
`r_supplier_country`	`intermediary.location.country_or_region`	远程供应商所在的国家/地区。从常规日志格式解析。
`r_supplier_ip`	`intermediary.ip`	远程供应商的 IP 地址。从常规日志格式解析。
`s-action`	`_metadata.product_event_type`	代理采取的操作。从 KV 日志格式解析。
`s-ip`	`_intermediary.ip`	服务器 IP 地址。从 KV 日志格式解析。
`s-source-ip`	`_intermediary.ip`	服务器的源 IP 地址。从 JSON 数据解析。
`s_action`	`_metadata.product_event_type`	代理采取的操作。从各种日志格式解析。
`s_ip`	`target.iptarget.asset.ip`	服务器 IP 地址。从各种日志格式解析。
`s_ip_host`	`_intermediary.hostname`	服务器主机名。从 JSON 数据解析。
`s-supplier-country`	`intermediary.location.country_or_region`	提供方服务器所在的国家/地区。从 JSON 数据解析。
`s-supplier-failures`	`security_result.detection_fields`	供应商故障。从 JSON 数据解析，键为“s-supplier-failures”。
`s-supplier-ip`	`_intermediary.ip`	供应商服务器 IP 地址。从 JSON 数据解析。
`s_supplier_ip`	`intermediary.ip`	供应商服务器 IP 地址。从 JSON 数据解析。
`s_supplier_name`	`_intermediary.hostname`	供应商服务器名称。从常规日志格式解析。
`sc-bytes`	`network.received_bytes`	服务器接收的字节数。从 KV 日志格式解析。
`sc-filter-result`	_policy_action	从服务器端过滤结果。从 KV 日志格式解析。
`sc-status`	`_network.http.response_code`	服务器返回的状态代码。从 KV 日志格式解析。
`sc_bytes`	`network.received_bytes`	服务器接收的字节数。从各种日志格式解析。
`sc_connection`	sc_connection	服务器连接信息。从常规日志格式解析。
`sc_filter_result`	_policy_action	从服务器端过滤结果。从各种日志格式解析。
`sc_status`	`_network.http.response_code`	服务器返回的状态代码。从各种日志格式解析。
`search_query`	`target.resource.attribute.labels`	网址中包含的搜索查询（如果有）。从 target_url 中提取，键为“search_query”。
`session_id`	`network.session_id`	会话 ID。从代理反向日志格式解析。
`src`	ip_principal	来源 IP 地址。从 KV 日志格式解析。
`src_hostname`	`principal.hostnameprincipal.asset.hostname`	来源主机名。从常规日志格式解析。
`src_ip`	ip_principal	来源 IP 地址。从 SSL 日志格式解析。
`srcport`	principal_port	来源端口。从 KV 日志格式解析。
`src_port`	`principal.port`	来源端口。从 SSL 日志格式解析。
`s_source_port`	`intermediary.port`	服务器的来源端口。从常规日志格式解析。
`summary`	`security_result.summary`	安全结果摘要。从代理反向和 SSL 日志格式解析。
`syslogtimestamp`	syslogtimestamp	Syslog 时间戳。从 KV 日志格式解析。
`target_application`	`target.application`	请求定位到的应用。派生自 x_bluecoat_application_name 或 application-name。
`target_hostname`	`target.hostnametarget.asset.hostname`	目标主机名。根据日志格式，派生自 r_dns、cs-host 或其他字段。
`target_port`	`target.port`	目标端口。根据日志格式，派生自 r_port、cs_uri_port、ordstport。
`target_sip`	`target.iptarget.asset.ip`	目标服务器 IP 地址。从常规日志格式解析。
`target_url`	`target.url`	目标网址。派生自 target_hostname、_uri_path 和 _uri_query 或 cs_uri。
`time-taken`	`network.session_duration`	会话或请求的时长。从 KV 日志格式解析并转换为秒和纳秒。
`time_taken`	`network.session_duration`	会话或请求的时长。从各种日志格式解析，并转换为秒和纳秒。
`tls_version`	`network.tls.version`	连接中使用的 TLS 版本。从 SSL 日志格式解析。
`upload-source`	upload-source	上传的来源。从 JSON 数据解析。
`username`	principal_user_userid	即用户名。从 KV 日志格式解析。
`verdict`	`security_result.detection_fields`	安全分析的判定结果。从 JSON 数据解析，键为“verdict”。
`wf-env`	wf_env	Web 过滤服务的环境。从 JSON 数据解析。
`wf_id`	`security_result.detection_fields`	网络过滤 ID。从 JSON 数据解析，键为“wf_id”。
`wrong_cs_host`	`principal.hostnameprincipal.asset.hostname`	错误解析的客户端主机名，如果不是 IP 地址，则用作主账号主机名。从常规日志格式解析。
`x-bluecoat-access-type`	x-bluecoat-access-type	访问权限类型。从 JSON 数据解析。
`x-bluecoat-appliance-name`	`intermediary.application`	Blue Coat 设备的名称。从 JSON 数据解析。
`x-bluecoat-application-name`	target_application	应用的名称。从 JSON 数据解析。
`x-bluecoat-application-operation`	x_bluecoat_application_operation	应用操作。从 JSON 数据解析。
`x-bluecoat-location-id`	x-bluecoat-location-id	地理位置 ID。从 JSON 数据解析。
`x-bluecoat-location-name`	x-bluecoat-location-name	营业地点名称。从 JSON 数据解析。
`x-bluecoat-placeholder`	`security_result.detection_fields`	占位信息。从 JSON 数据解析，键为“x-bluecoat-placeholder”。
`x-bluecoat-reference-id`	`security_result.detection_fields`	参考 ID。从 JSON 数据解析，键为“x-bluecoat-reference-id”。
`x-bluecoat-request-tenant-id`	x-bluecoat-request-tenant-id	相应请求的租户 ID。从 JSON 数据解析。
`x-bluecoat-transaction-uuid`	`metadata.product_log_id`	交易 UUID。从 JSON 数据解析。
`x-client-agent-sw`	`software.name`	客户端代理软件。从 JSON 数据解析并合并到 principal.asset.software 中。
`x-client-agent-type`	`principal.application`	客户端代理类型。从 JSON 数据解析。
`x-client-device-id`	`principal.resource.product_object_id`	客户端设备 ID。从 JSON 数据解析。
`x-client-device-name`	x-client-device-name	客户端设备名称。从 JSON 数据解析。
`x-client-device-type`	x-client-device-type	客户端设备类型。从 JSON 数据解析。
`x-client-os`	`principal.asset.platform_software.platform`	客户端操作系统。从 JSON 数据解析。如果包含“Windows”，则将平台设置为 WINDOWS。
`x-client-security-posture-details`	x-client-security-posture-details	客户端安全态势详情。从 JSON 数据解析。
`x-client-security-posture-risk-score`	`security_result.detection_fields`	客户端安全状况风险评分。从 JSON 数据解析，键为“x-client-security-posture-risk-score”。
`x-cloud-rs`	`security_result.detection_fields`	与云相关的远程服务器信息。从 JSON 数据解析，键为“x-cloud-rs”。
`x-cs-certificate-subject`	x_cs_certificate_subject	客户端的证书主题。从 JSON 数据解析。
`x-cs-client-ip-country`	x-cs-client-ip-country	客户端 IP 所在的国家/地区。从 JSON 数据解析。
`x-cs-connection-negotiated-cipher`	`network.tls.cipher`	从客户端协商的加密方式。从 JSON 数据解析。
`x-cs-connection-negotiated-cipher-size`	`security_result.detection_fields`	从客户端协商的加密大小。从 JSON 数据解析，键为“x-cs-connection-negotiated-cipher-size”。
`x-cs-connection-negotiated-ssl-version`	`network.tls.version_protocol`	从客户端协商的 SSL 版本。从 JSON 数据解析。
`x-cs-ocsp-error`	`security_result.detection_fields`	客户端的 OCSP 错误。从 JSON 数据解析，键为“x-cs-ocsp-error”。
`x-cs(referer)-uri-categories`	x-cs(referer)-uri-categories	客户端的引荐来源网址类别。从 JSON 数据解析。
`x-data-leak-detected`	`security_result.detection_fields`	数据泄露检测状态。从 JSON 数据解析，键为“x-data-leak-detected”。
`x-exception-id`	x_exception_id	异常 ID。从 JSON 数据解析。
`x-http-connect-host`	x-http-connect-host	HTTP 连接主机。从 JSON 数据解析。
`x-http-connect-port`	x-http-connect-port	HTTP 连接端口。从 JSON 数据解析。
`x-icap-reqmod-header(x-icap-metadata)`	x_icap_reqmod_header	包含元数据的 ICAP 请求修改标头。从 JSON 数据解析。
`x-icap-respmod-header(x-icap-metadata)`	x_icap_respmod_header	包含元数据的 ICAP 响应修改标头。从 JSON 数据解析。
`x-rs-certificate-hostname`	`network.tls.client.server_name`	来自远程服务器端的证书主机名。从 JSON 数据解析。
`x-rs-certificate-hostname-categories`	x_rs_certificate_hostname_category	来自远程服务器端的证书主机名类别。从 JSON 数据解析。
`x-rs-certificate-hostname-category`	x_rs_certificate_hostname_category	来自远程服务器端的证书主机名类别。从 JSON 数据解析。
`x-rs-certificate-hostname-threat-risk`	`security_result.detection_fields`	来自远程服务器端的证书主机名威胁风险。从 JSON 数据解析，键为“x-rs-certificate-hostname-threat-risk”。
`x-rs-certificate-observed-errors`	x_rs_certificate_observed_errors	从远程服务器端观察到的证书错误。从 JSON 数据解析。
`x-rs-certificate-validate-status`	`network.tls.server.certificate.subject`	来自远程服务器端的证书验证状态。从 JSON 数据解析。
`x-rs-connection-negotiated-cipher`	x_rs_connection_negotiated_cipher	从远程服务器端协商的加密算法。从 JSON 数据解析。
`x-rs-connection-negotiated-cipher-size`	`security_result.detection_fields`	从远程服务器端协商的加密算法大小。从 JSON 数据解析，键为“x-rs-connection-negotiated-cipher-size”。
`x-rs-connection-negotiated-cipher-strength`	x_rs_connection_negotiated_cipher_strength	从远程服务器端协商的加密强度。从 JSON 数据解析。
`x-rs-connection-negotiated-ssl-version`	x_rs_connection_negotiated_ssl_version	从远程服务器端协商的 SSL 版本。从 JSON 数据解析。
`x-rs-ocsp-error`	x_rs_ocsp_error	远程服务器端的 OCSP 错误。从 JSON 数据解析。
`x-sc-connection-issuer-keyring`	`security_result.detection_fields`	连接发行者密钥环。从 JSON 数据解析，键为“x-sc-connection-issuer-keyring”。
`x-sc-connection-issuer-keyring-alias`	x-sc-connection-issuer-keyring-alias	连接的签发者密钥环别名。从 JSON 数据解析。
`x-sr-vpop-country`	`principal.location.country_or_region`	VPOP 国家/地区。从 JSON 数据解析。
`x-sr-vpop-country-code`	`principal.location.country_or_region`	VPOP 国家/地区代码。从 JSON 数据解析。
`x-sr-vpop-ip`	`principal.ipprincipal.asset.ip`	VPOP IP 地址。从 JSON 数据解析。
`x-symc-dei-app`	x-symc-dei-app	Symantec DEI 应用。从 JSON 数据解析。
`x-symc-dei-via`	`security_result.detection_fields`	Symantec DEI via. 从 JSON 数据解析，键为“x-symc-dei-via”。
`x-tenant-id`	`security_result.detection_fields`	租户 ID。从 JSON 数据解析，键为“x-tenant-id”。
`x-timestamp-unix`	x-timestamp-unix	Unix 时间戳。从 JSON 数据解析。
`x_bluecoat_application_name`	target_application	应用名称。从各种日志格式解析。
`x_bluecoat_application_operation`	x_bluecoat_application_operation	应用操作。从各种日志格式解析。
`x_bluecoat_transaction_uuid`	`metadata.product_log_id`	交易 UUID。从各种日志格式解析。
`x_cs_certificate_subject`	x_cs_certificate_subject	客户端证书主题。从常规日志格式解析。
`x_cs_client_effective_ip`	ip_principal	客户的有效 IP 地址。从常规日志格式解析。
`x_cs_connection_negotiated_cipher`	`network.tls.cipher`	客户端协商的加密方式。从常规日志格式解析。
`x_cs_connection_negotiated_ssl_version`	`network.tls.version_protocol`	客户端协商的 SSL 版本。从常规日志格式解析。
`x_exception_id`	_block_reason	异常 ID。从各种日志格式解析。
`x_icap_reqmod_header`	x_icap_reqmod_header	ICAP 请求修改标头。从常规日志格式解析。
`x_icap_respmod_header`	x_icap_respmod_header	ICAP 响应修改标头。从常规日志格式解析。
`x_rs_certificate_hostname`	`network.tls.client.server_name`	远程服务器证书主机名。从常规日志格式解析。
`x_rs_certificate_hostname_category`	x_rs_certificate_hostname_category	远程服务器证书主机名类别。从常规日志格式解析。
`x_rs_certificate_observed_errors`	x_rs_certificate_observed_errors	远程服务器证书出现错误。从常规日志格式解析。
`x_rs_certificate_validate_status`	`network.tls.server.certificate.subject`	远程服务器证书验证状态。从各种日志格式解析。
`x_rs_connection_negotiated_cipher_strength`	x_rs_connection_negotiated_cipher_strength	远程服务器协商的加密强度。从常规日志格式解析。
`x_rs_connection_negotiated_ssl_version`	x_rs_connection_negotiated_ssl_version	远程服务器协商的 SSL 版本。从常规日志格式解析。
`x_virus_id`	`security_result.detection_fields`	病毒 ID。从各种日志格式解析而来，键为“x-virus-id”。
`xbluecoat_application_operation`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`cs_host`	`event.idm.read_only_udm.target.hostname`和`event.idm.read_only_udm.target.asset.hostname`之间	从变更日志映射
`c_ip`	`event.idm.read_only_udm.principal.ip`和`event.idm.read_only_udm.principal.asset.ip`之间	从变更日志映射
`c_ip`	`event.idm.read_only_udm.principal.asset.ip`	从变更日志映射
`cs_host`	`event.idm.read_only_udm.principal.hostname`	从变更日志映射
`cs_host`	`event.idm.read_only_udm.principal.asset.hostname`	从变更日志映射
`id`	`event.idm.read_only_udm.metadata.product_log_id`	从变更日志映射
`i_hostname`	`event.idm.read_only_udm.intermediary.hostname`	从变更日志映射
`i_ip`	`event.idm.read_only_udm.intermediary.ip`	从变更日志映射
`descrip`	`event.idm.read_only_udm.principal.application`	从变更日志映射
`description`	`event.idm.read_only_udm.security_result.category_details`	从变更日志映射
`sum1`	`event.idm.read_only_udm.security_result.category_details`	从变更日志映射
`sum2`	`event.idm.read_only_udm.security_result.category_details`	从变更日志映射
`sum3`	`event.idm.read_only_udm.security_result.category_details`	从变更日志映射
`details`	`event.idm.read_only_udm.security_result.action_details`	从变更日志映射
`ip_principal`	`event.idm.read_only_udm.principal.ip`	从变更日志映射
`ip_principal`	`event.idm.read_only_udm.principal.asset.ip`	从变更日志映射
`port`	`event.idm.read_only_udm.principal.port`	从变更日志映射
`t_ip`	`event.idm.read_only_udm.target.ip`	从变更日志映射
`t_ip`	`event.idm.read_only_udm.target.asset.ip`	从变更日志映射
`t_hostname`	`event.idm.read_only_udm.target.hostname`	从变更日志映射
`rc`	`event.idm.read_only_udm.network.http.response_code`	从变更日志映射
`cs_method`	`event.idm.read_only_udm.network.http.method`	从变更日志映射
`cs_user_agent`	`event.idm.read_only_udm.network.http.user_agent`	从变更日志映射
`cs_refer`	`event.idm.read_only_udm.network.http.referral_url`	从变更日志映射
`rs_service_latency`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`x_icap_reqmod_header`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`x_icap_respmod_header`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`x_bluecoat_app_operation`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`x_bluecoat_total_time_added`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`policy_evaluation_time`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`x_bluecoat_appliance_name`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`cs_connection_ssl_server_name`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`rs_connection_ssl_server_name`	`event.idm.read_only_udm.additional.fields`	从变更日志映射
`x_data_leak_detected`	`event.idm.read_only_udm.security_result.detection_fields`	从变更日志映射
`r_Ip`	`event.idm.read_only_udm.target.ip`和`event.idm.read_only_udm.target.asset.ip`之间	从变更日志映射
`s-ip`	`event.idm.read_only_udm.intermediary.ip`	从变更日志映射
`cs-uri-port`	`event.idm.read_only_udm.target.port`	从变更日志映射
`cs-host`	`event.idm.read_only_udm.target.hostname`和`event.idm.read_only_udm.target.asset.hostname`之间	从变更日志映射
`r-ip`	`event.idm.read_only_udm.target.ip`和`event.idm.read_only_udm.target.asset.ip`之间	从变更日志映射
`c-ip`	`event.idm.read_only_udm.principal.ip`和`event.idm.read_only_udm.principal.asset.ip`之间	从变更日志映射
`dest_host" and "target_hostname`	`target.url`	从变更日志映射
`proxy_name" and "column3`	`principal.asset.hostname`	从变更日志映射
`upload-source`	`additional.fields`	从变更日志映射
`time-taken`	`session_duration.session_duration`	从变更日志映射
`file_reputation`	`security_result.detection_fields`	从变更日志映射
`expect_sandbox`	`security_result.detection_fields`	从变更日志映射
`cs_auth_groups`	`principal.user.group_identifiers`	从变更日志映射
`time_taken`	`network.session_duration.nanos`	从变更日志映射
`cs-userdn`	`principal.user.userid`	从变更日志映射
`application-name`	`target.application`	从变更日志映射
`rs_server`	`security_result.about.labels`	从变更日志映射
`c_uri_path_query`	`target.file.full_path`	从变更日志映射
`metadata.event_type`	`STATUS_UPDATE`	从变更日志映射
`cs-uri-scheme`	`network.ip_protocol`	从变更日志映射
`rule_name`	`security_result.rule_name`	从变更日志映射
`application_protocol`	`network.application_protocol`	从变更日志映射
`communication_type`	`security_result.rule_name`	从变更日志映射
`rule_name`	`security_result.about.labels`	从变更日志映射

更新日志

查看相应解析器的更改日志