Broadcom Carbon Black EDR-Protokolle erfassen

Parserversion:17.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Broadcom Carbon Black EDR-Logs mit dem Bindplane-Agent oder Amazon S3 in Google Security Operations aufnehmen.

Broadcom Carbon Black EDR (früher VMware Carbon Black EDR) ist eine Lösung zur Erkennung und Reaktion auf Endpunkte, die kontinuierliche Transparenz in Bezug auf Endpunktaktivitäten bietet. Es werden umfassende Endpunktdaten aufgezeichnet und gespeichert, die die Bedrohungssuche, Incident Response und die Echtzeiterkennung von komplexen Bedrohungen in Ihrem Unternehmen ermöglichen. Die cb-event-forwarder-Komponente abonniert den EDR-Ereignisbus und exportiert Ereignisse im JSON- oder LEEF-Format an externe Ziele, einschließlich Syslog-Server und Amazon S3-Buckets.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Privilegierter Zugriff (Root oder Sudo) auf den Carbon Black EDR-Server
  • Die Komponente „cb-event-forwarder“ ist auf Ihrem Carbon Black EDR-Server installiert. Eine Installationsanleitung finden Sie unter cb-event-forwarder auf GitHub.
  • Ein gültiges Zugriffstoken aus dem Broadcom Support Portal zum Herunterladen des cb-event-forwarder-Pakets
  • RabbitMQ-Anmeldedaten vom EDR-Server (/etc/cb/cb.conf), wenn „cb-event-forwarder“ auf einem separaten Host installiert ist

Option 1: Syslog-Erfassung mit dem Bindplane-Agent

Authentifizierungsdatei für die Google SecOps-Datenaufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Authentifizierungsdatei für die Aufnahme herunterladen
  4. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cb_edr:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<your-customer-id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CB_EDR
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/cb_edr_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/cb_edr

Konfigurationsparameter

  • Ersetzen Sie die folgenden Platzhalter:

    • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde.
    • endpoint: Regionale Endpunkt-URL:
      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Logs auf Fehler prüfen:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Carbon Black EDR cb-event-forwarder für Syslog-Ausgabe konfigurieren

  1. Melden Sie sich über SSH auf dem Carbon Black EDR-Server an.

  2. Öffnen Sie die Konfigurationsdatei für cb-event-forwarder:

    sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

  3. Konfigurieren Sie im Abschnitt [bridge] die folgenden Einstellungen:

    [bridge]
server_name=cbserver

  4. Wenn „cb-event-forwarder“ auf einem separaten Host vom EDR-Server installiert ist, geben Sie die RabbitMQ-Anmeldedaten und den Hostnamen an. Diese Werte finden Sie auf dem EDR-Server unter /etc/cb/cb.conf:

    rabbit_mq_username=cb
rabbit_mq_password=<RABBITMQ_PASSWORD>
cb_server_hostname=<EDR_SERVER_IP_OR_HOSTNAME>

  5. Optional können Sie cb_server_url festlegen, um Deeplinks in weitergeleiteten Ereignissen zu aktivieren, die zurück zur EDR-Konsole verweisen:

    cb_server_url=https://<YOUR_EDR_SERVER_FQDN>

  6. Konfigurieren Sie den Ausgabetyp und das Format für die Syslog-Übermittlung:

    output_type=tcp
output_format=json
tcpout=<BINDPLANE_AGENT_IP>:514

  7. Konfigurieren Sie, welche Ereignisse weitergeleitet werden sollen. Die folgenden Einstellungen steuern Ereignisabos:

    events_raw_sensor=0
events_watchlist=ALL
events_feed=ALL
events_alert=ALL

  8. Speichern und schließen Sie die Konfigurationsdatei.

  9. Starten Sie den Dienst „cb-event-forwarder“ neu:

    sudo systemctl restart cb-event-forwarder

  10. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status cb-event-forwarder

  11. Prüfen Sie die Bindplane-Agent-Logs, um festzustellen, ob Logs gesendet werden.

Weitere Informationen finden Sie im cb-event-forwarder-Repository auf GitHub.

Option 2: Amazon S3-Aufnahme

Carbon Black EDR cb-event-forwarder für S3-Ausgabe konfigurieren

  1. Melden Sie sich über SSH auf dem Carbon Black EDR-Server an.

  2. Öffnen Sie die Konfigurationsdatei für cb-event-forwarder:

    sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

  3. Konfigurieren Sie im Abschnitt [bridge] die folgenden Einstellungen:

    [bridge]
server_name=cbserver

  4. Wenn „cb-event-forwarder“ auf einem separaten Host vom EDR-Server installiert ist, geben Sie die RabbitMQ-Anmeldedaten und den Hostnamen an:

    rabbit_mq_username=cb
rabbit_mq_password=<RABBITMQ_PASSWORD>
cb_server_hostname=<EDR_SERVER_IP_OR_HOSTNAME>

  5. Optional: Legen Sie cb_server_url fest, um Deeplinks in weitergeleiteten Ereignissen zu aktivieren:

    cb_server_url=https://<YOUR_EDR_SERVER_FQDN>

  6. Konfigurieren Sie den Ausgabetyp und das Format für die S3-Übermittlung:

    output_type=s3
output_format=json
s3out=<TEMP_DIR>:<AWS_REGION>:<S3_BUCKET_NAME>

  7. Optional: Konfigurieren Sie zusätzliche S3-Einstellungen im Abschnitt [s3]:

    [s3]
bundle_send_timeout=300
upload_empty_files=false
bundle_size_max=10485760

  8. Konfigurieren Sie, welche Ereignisse weitergeleitet werden sollen:

    events_raw_sensor=0
events_watchlist=ALL
events_feed=ALL
events_alert=ALL

  9. Speichern und schließen Sie die Konfigurationsdatei.

  10. Starten Sie den Dienst „cb-event-forwarder“ neu:

    sudo systemctl restart cb-event-forwarder

  11. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status cb-event-forwarder

Weitere Informationen finden Sie im cb-event-forwarder-Repository auf GitHub.

AWS S3-Bucket und IAM für Google SecOps konfigurieren

  1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der Anleitung unter Bucket erstellen.
  2. Speichern Sie den Namen und die Region des Buckets zur späteren Verwendung.
  3. Erstellen Sie einen Nutzer gemäß dieser Anleitung: IAM-Nutzer erstellen.
  4. Wählen Sie den erstellten Nutzer aus.
  5. Wählen Sie den Tab Sicherheitsanmeldedaten aus.
  6. Klicken Sie im Bereich Zugriffsschlüssel auf Zugriffsschlüssel erstellen.
  7. Wählen Sie als Anwendungsfall Drittanbieterdienst aus.
  8. Klicken Sie auf Weiter.
  9. Optional: Fügen Sie ein Beschreibungstag hinzu.
  10. Klicken Sie auf Zugriffsschlüssel erstellen.
  11. Klicken Sie auf CSV-Datei herunterladen, um den Zugriffsschlüssel und den geheimen Zugriffsschlüssel für die zukünftige Verwendung zu speichern.
  12. Klicken Sie auf Fertig.
  13. Wählen Sie den Tab Berechtigungen aus.
  14. Klicken Sie im Bereich Berechtigungsrichtlinien auf Berechtigungen hinzufügen.
  15. Wählen Sie Berechtigungen hinzufügen aus.
  16. Wählen Sie Richtlinien direkt anhängen aus.
  17. Suchen Sie nach der Richtlinie AmazonS3FullAccess.
  18. Wählen Sie die Richtlinie aus.
  19. Klicken Sie auf Weiter.
  20. Klicken Sie auf Berechtigungen hinzufügen.

Feed in Google SecOps konfigurieren, um Carbon Black EDR-Protokolle aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie einen eindeutigen Namen für den Feednamen ein.
  5. Wählen Sie Amazon S3 V2 als Quelltyp aus.
  6. Wählen Sie Carbon Black EDR als Log type (Protokolltyp) aus.
  7. Klicken Sie auf Weiter und dann auf Senden.

  8. Geben Sie Werte für die folgenden Felder an:

    • S3-URI: s3://<S3_BUCKET_NAME>/
    • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
    • Höchstalter der Datei: Dateien einbeziehen, die in den letzten Tagen geändert wurden (Standardwert: 180 Tage)
    • Zugriffsschlüssel-ID: Nutzerzugriffsschlüssel mit Zugriff auf den S3-Bucket
    • Geheimer Zugriffsschlüssel: Geheimer Schlüssel des Nutzers mit Zugriff auf den S3-Bucket
    • Asset-Namespace: Der Asset-Namespace
    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll

  9. Klicken Sie auf Weiter und dann auf Senden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
ioc_about about Zusammengeführt
ioc_attrs_highlights_about about Zusammengeführt
ioc_qs_about about Zusammengeführt
local_about about Zusammengeführt
remote_about about Zusammengeführt
additional_blocked_threat_category additional.fields Zusammengeführt
additional_cmdline additional.fields Zusammengeführt
additional_created_by_event_id additional.fields Zusammengeführt
additional_crossproc_api additional.fields Zusammengeführt
additional_crossproc_guid additional.fields Zusammengeführt
additional_crossproc_md5 additional.fields Zusammengeführt
additional_crossproc_rep additional.fields Zusammengeführt
additional_crossproc_sha256 additional.fields Zusammengeführt
additional_crossproc_target additional.fields Zusammengeführt
additional_data additional.fields Zusammengeführt
additional_device_location additional.fields Zusammengeführt
additional_dns_name additional.fields Zusammengeführt
additional_event_id additional.fields Zusammengeführt
additional_fileless_scriptload_cmdline_length additional.fields Zusammengeführt
additional_fileless_scriptload_hash additional.fields Zusammengeführt
additional_first_event_time additional.fields Zusammengeführt
additional_ioc_confidence additional.fields Zusammengeführt
additional_ioc_query_index additional.fields Zusammengeführt
additional_ioc_query_string additional.fields Zusammengeführt
additional_ioc_type additional.fields Zusammengeführt
additional_ja3 additional.fields Zusammengeführt
additional_ja3s additional.fields Zusammengeführt
additional_last_event_time additional.fields Zusammengeführt
additional_last_update_time additional.fields Zusammengeführt
additional_not_blocked_threat_category additional.fields Zusammengeführt
additional_parent_name additional.fields Zusammengeführt
additional_path additional.fields Zusammengeführt
additional_policy_applied additional.fields Zusammengeführt
additional_policy_id additional.fields Zusammengeführt
additional_process_name additional.fields Zusammengeführt
additional_process_name_field additional.fields Zusammengeführt
additional_process_sha256 additional.fields Zusammengeführt
additional_reason_code additional.fields Zusammengeführt
additional_regmod_count additional.fields Zusammengeführt
additional_report_id additional.fields Zusammengeführt
additional_run_state additional.fields Zusammengeführt
additional_scriptload_count additional.fields Zusammengeführt
additional_scriptload_rep additional.fields Zusammengeführt
additional_start additional.fields Zusammengeführt
additional_status additional.fields Zusammengeführt
additional_threat_cause_actor_process_pid additional.fields Zusammengeführt
additional_threat_cause_actor_sha256 additional.fields Zusammengeführt
additional_threat_cause_cause_event_id additional.fields Zusammengeführt
additional_threat_cause_reputation additional.fields Zusammengeführt
additional_threat_cause_threat_category additional.fields Zusammengeführt
additional_threat_cause_vector additional.fields Zusammengeführt
additional_username additional.fields Zusammengeführt
additional_watchlist_id additional.fields Zusammengeführt
additional_watchlist_name additional.fields Zusammengeführt
additional_workflow_changed_by additional.fields Zusammengeführt
additional_workflow_comment additional.fields Zusammengeführt
additional_workflow_remediation additional.fields Zusammengeführt
additional_workflow_state additional.fields Zusammengeführt
alert_origin_label additional.fields Zusammengeführt
change_timestamp_label additional.fields Zusammengeführt
changed_by_label additional.fields Zusammengeführt
changed_by_type_label additional.fields Zusammengeführt
closure_reason_label additional.fields Zusammengeführt
comms_ip_label additional.fields Zusammengeführt
detection_timestamp_label additional.fields Zusammengeführt
index_type_label additional.fields Zusammengeführt
last_event_timestamp_label additional.fields Zusammengeführt
last_update_label additional.fields Zusammengeführt
parent_effective_reputation_label additional.fields Zusammengeführt
parent_reputation_label additional.fields Zusammengeführt
primary_event_id_label additional.fields Zusammengeführt
process_effective_reputation_label additional.fields Zusammengeführt
process_issuer_label additional.fields Zusammengeführt
process_publisher_label additional.fields Zusammengeführt
product_name_label additional.fields Zusammengeführt
search_query_label additional.fields Zusammengeführt
segment_id_label additional.fields Zusammengeführt
start_time_label additional.fields Zusammengeführt
status_label additional.fields Zusammengeführt
vendor_name_label additional.fields Zusammengeführt
_intermediary intermediary Zusammengeführt
intermediary intermediary Zusammengeführt
device_name intermediary.asset.hostname Direkt zugeordnet
device_internal_ip intermediary.asset.ip Zusammengeführt
device_name intermediary.hostname Direkt zugeordnet
comms_ip intermediary.ip Zusammengeführt
device_internal_ip intermediary.ip Zusammengeführt
intermediary_ip intermediary.ip Zusammengeführt
description metadata.description Direkt zugeordnet
event_description metadata.description Umbenannt/zugeordnet
reason metadata.description Direkt zugeordnet
action metadata.product_event_type Direkt zugeordnet
type metadata.product_event_type Direkt zugeordnet
id metadata.product_log_id Direkt zugeordnet
cb_version metadata.product_version Direkt zugeordnet
alert_url metadata.url_back_to_product Direkt zugeordnet
direction network.direction Direkt zugeordnet
ioc_attr.direction network.direction Direkt zugeordnet
ioc_attr.protocol network.ip_protocol Direkt zugeordnet
ip_protocol_out network.ip_protocol Umbenannt/zugeordnet
session_id network.session_id Direkt zugeordnet
proxy_domain observer.hostname Direkt zugeordnet
proxy_ip observer.ip Zusammengeführt
proxy_port observer.port Umbenannt/zugeordnet
device_username principal.administrative_domain Direkt zugeordnet
domain principal.administrative_domain Direkt zugeordnet
orgName principal.administrative_domain Direkt zugeordnet
deviceInfo.deviceId principal.asset.asset_id Direkt zugeordnet
device_id principal.asset.asset_id Direkt zugeordnet
asset_group_label principal.asset.attribute.labels Zusammengeführt
device_target_value_label principal.asset.attribute.labels Zusammengeführt
device_uem_id_label principal.asset.attribute.labels Zusammengeführt
computer_name principal.asset.hostname Direkt zugeordnet
dev_hostname principal.asset.hostname Direkt zugeordnet
device_name principal.asset.hostname Direkt zugeordnet
host principal.asset.hostname Direkt zugeordnet
clientIp principal.asset.ip Zusammengeführt
deviceInfo.internalIpAddress principal.asset.ip Zusammengeführt
device_external_ip principal.asset.ip Zusammengeführt
device_internal_ip principal.asset.ip Zusammengeführt
docs.0.interface_ip principal.asset.ip Zusammengeführt
interface_ip principal.asset.ip Zusammengeführt
local_ip principal.asset.ip Zusammengeführt
remote_ip principal.asset.ip Zusammengeführt
device_location principal.asset.location.name Direkt zugeordnet
deviceInfo.deviceVersion principal.asset.platform_software.platform_version Direkt zugeordnet
sensor_id principal.asset_id Direkt zugeordnet
deviceInfo.groupName principal.group.group_display_name Direkt zugeordnet
device_group principal.group.group_display_name Direkt zugeordnet
group principal.group.group_display_name Direkt zugeordnet
computer_name principal.hostname Direkt zugeordnet
dev_hostname principal.hostname Direkt zugeordnet
device_name principal.hostname Direkt zugeordnet
host principal.hostname Direkt zugeordnet
clientIp principal.ip Zusammengeführt
deviceInfo.internalIpAddress principal.ip Zusammengeführt
device_external_ip principal.ip Zusammengeführt
device_internal_ip principal.ip Zusammengeführt
docs.0.interface_ip principal.ip Zusammengeführt
interface_ip principal.ip Zusammengeführt
local_ip principal.ip Zusammengeführt
remote_ip principal.ip Zusammengeführt
device_external_ip principal.nat_ip Zusammengeführt
normalized_device_os principal.platform Direkt zugeordnet
device_os_version principal.platform_version Direkt zugeordnet
local_port principal.port Umbenannt/zugeordnet
remote_port principal.port Umbenannt/zugeordnet
process_cmdline principal.process.command_line Direkt zugeordnet
parent_path principal.process.file.full_path Direkt zugeordnet
process_name principal.process.file.full_path Direkt zugeordnet
process_path principal.process.file.full_path Direkt zugeordnet
doc.process_md5 principal.process.file.md5 Direkt zugeordnet
md5 principal.process.file.md5 Direkt zugeordnet
parent_md5 principal.process.file.md5 Direkt zugeordnet
process_hash.0 principal.process.file.md5 Direkt zugeordnet
process_md5 principal.process.file.md5 Direkt zugeordnet
doc.process_sha256 principal.process.file.sha256 Direkt zugeordnet
process_hash.1 principal.process.file.sha256 Direkt zugeordnet
process_sha256 principal.process.file.sha256 Direkt zugeordnet
sha256 principal.process.file.sha256 Direkt zugeordnet
parent_cmdline principal.process.parent_process.command_line Direkt zugeordnet
parent_name principal.process.parent_process.file.full_path Direkt zugeordnet
parent_path principal.process.parent_process.file.full_path Direkt zugeordnet
val.parent_name principal.process.parent_process.file.full_path Direkt zugeordnet
parent_hash.0 principal.process.parent_process.file.md5 Direkt zugeordnet
parent_md5 principal.process.parent_process.file.md5 Direkt zugeordnet
parent_hash.1 principal.process.parent_process.file.sha256 Direkt zugeordnet
parent_sha256 principal.process.parent_process.file.sha256 Direkt zugeordnet
doc.parent_pid principal.process.parent_process.pid Direkt zugeordnet
parent_pid principal.process.parent_process.pid Direkt zugeordnet
doc.parent_guid principal.process.parent_process.product_specific_process_id Direkt zugeordnet
parent_guid principal.process.parent_process.product_specific_process_id Direkt zugeordnet
parent_username principal.process.parent_process.user.userid Umbenannt/zugeordnet
doc.process_pid principal.process.pid Direkt zugeordnet
parent_pid principal.process.pid Direkt zugeordnet
pid principal.process.pid Direkt zugeordnet
process_id principal.process.pid Direkt zugeordnet
process_pid principal.process.pid Direkt zugeordnet
parent_process_guid principal.process.product_specific_process_id Direkt zugeordnet
process_guid principal.process.product_specific_process_id Direkt zugeordnet
org_key_label principal.resource.attribute.labels Zusammengeführt
feed_id principal.resource.id Direkt zugeordnet
feed_name principal.resource.name Direkt zugeordnet
link_process principal.url Umbenannt/zugeordnet
process_username principal.user.user_display_name Direkt zugeordnet
dev_username principal.user.userid Umbenannt/zugeordnet
process_username principal.user.userid Direkt zugeordnet
username principal.user.userid Direkt zugeordnet
_security_result security_result Zusammengeführt
_security_result0 security_result Zusammengeführt
sec_result security_result Zusammengeführt
security_result security_result Zusammengeführt
security_result_attack security_result Zusammengeführt
sec_action security_result.action Zusammengeführt
policy_applied security_result.action_details Direkt zugeordnet
tactic security_result.attack_details.tactics Zusammengeführt
category security_result.category_details Zusammengeführt
report_description security_result.description Direkt zugeordnet
alert_notes_present_label security_result.detection_fields Zusammengeführt
childproc_effective_reputation_label security_result.detection_fields Zusammengeführt
childproc_publisher_name_label security_result.detection_fields Zusammengeführt
childproc_publisher_state_label security_result.detection_fields Zusammengeführt
childproc_rep_label security_result.detection_fields Zusammengeführt
detection_action security_result.detection_fields Zusammengeführt
detection_blocked_threat_category security_result.detection_fields Zusammengeführt
detection_crossproc_publisher_name security_result.detection_fields Zusammengeführt
detection_crossproc_publisher_state security_result.detection_fields Zusammengeführt
detection_event_origin security_result.detection_fields Zusammengeführt
detection_event_origin_proc_publisher_name security_result.detection_fields Zusammengeführt
detection_event_origin_proc_publisher_state security_result.detection_fields Zusammengeführt
detection_fileless_scriptload_cmdline security_result.detection_fields Zusammengeführt
detection_ioc_hit security_result.detection_fields Zusammengeführt
detection_ioc_id security_result.detection_fields Zusammengeführt
detection_not_blocked_threat_category security_result.detection_fields Zusammengeführt
detection_policy_name security_result.detection_fields Zusammengeführt
detection_report_link security_result.detection_fields Zusammengeführt
detection_report_name security_result.detection_fields Zusammengeführt
detection_run_state security_result.detection_fields Zusammengeführt
detection_scriptload_eff_rep security_result.detection_fields Zusammengeführt
detection_scriptload_publisher security_result.detection_fields Zusammengeführt
detection_sensor_action security_result.detection_fields Zusammengeführt
detection_threat_cause_actor_name security_result.detection_fields Zusammengeführt
detection_threat_cause_actor_sha256 security_result.detection_fields Zusammengeführt
detection_threat_cause_threat_category security_result.detection_fields Zusammengeführt
determination_change_timestamp_label security_result.detection_fields Zusammengeführt
determination_changed_by_label security_result.detection_fields Zusammengeführt
determination_changed_by_type_label security_result.detection_fields Zusammengeführt
determination_value_label security_result.detection_fields Zusammengeführt
device_policy_id_label security_result.detection_fields Zusammengeführt
id_label security_result.detection_fields Zusammengeführt
is_updated_label security_result.detection_fields Zusammengeführt
label_alert_severity security_result.detection_fields Zusammengeführt
label_device_priority_field security_result.detection_fields Zusammengeführt
label_eff_rep security_result.detection_fields Zusammengeführt
label_modload_count security_result.detection_fields Zusammengeführt
label_modload_md5 security_result.detection_fields Zusammengeführt
label_modload_publisher_name security_result.detection_fields Zusammengeführt
label_modload_publisher_state security_result.detection_fields Zusammengeführt
label_modload_sha256 security_result.detection_fields Zusammengeführt
mdr_alert_label security_result.detection_fields Zusammengeführt
mdr_alert_notes_present_label security_result.detection_fields Zusammengeführt
mdr_threat_notes_present_label security_result.detection_fields Zusammengeführt
modload_label security_result.detection_fields Zusammengeführt
name_label security_result.detection_fields Zusammengeführt
parent_username_label security_result.detection_fields Zusammengeführt
process_reputation_label security_result.detection_fields Zusammengeführt
process_username_label security_result.detection_fields Zusammengeführt
reason_code_label security_result.detection_fields Zusammengeführt
run_state_label security_result.detection_fields Zusammengeführt
tags_label security_result.detection_fields Zusammengeführt
threat_notes_present_label security_result.detection_fields Zusammengeführt
workflow_status_label security_result.detection_fields Zusammengeführt
device_policy security_result.rule_name Direkt zugeordnet
severity security_result.severity Direkt zugeordnet
threat_id security_result.threat_id Direkt zugeordnet
threat_cause_actor_name security_result.threat_name Direkt zugeordnet
device_external_ip target.asset.ip Zusammengeführt
ioc_value target.asset.ip Zusammengeführt
local_ip target.asset.ip Zusammengeführt
netconn_ip target.asset.ip Zusammengeführt
remote_ip target.asset.ip Zusammengeführt
filemod_name target.file.full_path Direkt zugeordnet
path target.file.full_path Direkt zugeordnet
process_path target.file.full_path Direkt zugeordnet
utf8_on_disk_filename target.file.full_path Direkt zugeordnet
file_md5 target.file.md5 Direkt zugeordnet
filemod_hash.0 target.file.md5 Umbenannt/zugeordnet
md5 target.file.md5 Direkt zugeordnet
file_sha256 target.file.sha256 Direkt zugeordnet
filemod_hash.1 target.file.sha256 Umbenannt/zugeordnet
sha256 target.file.sha256 Direkt zugeordnet
size target.file.size Umbenannt/zugeordnet
group target.group.group_display_name Direkt zugeordnet
domain target.hostname Direkt zugeordnet
netconn_domain target.hostname Direkt zugeordnet
deviceInfo.externalIpAddress target.ip Zusammengeführt
device_external_ip target.ip Zusammengeführt
ioc_value target.ip Zusammengeführt
local_ip target.ip Zusammengeführt
netconn_ip target.ip Zusammengeführt
remote_ip target.ip Zusammengeführt
normalized_device_os target.platform Direkt zugeordnet
local_port target.port Umbenannt/zugeordnet
remote_port target.port Umbenannt/zugeordnet
requested_access target.process.access_mask Umbenannt/zugeordnet
child_command_line target.process.command_line Direkt zugeordnet
childproc_cmdline target.process.command_line Direkt zugeordnet
cmdline target.process.command_line Direkt zugeordnet
command_line target.process.command_line Direkt zugeordnet
docs.0.cmdline target.process.command_line Direkt zugeordnet
process_cmdline target.process.command_line Direkt zugeordnet
target_cmdline target.process.command_line Direkt zugeordnet
childproc_name target.process.file.full_path Direkt zugeordnet
crossproc_name target.process.file.full_path Direkt zugeordnet
docs.0.path target.process.file.full_path Direkt zugeordnet
modload_name target.process.file.full_path Direkt zugeordnet
path target.process.file.full_path Direkt zugeordnet
process_path target.process.file.full_path Direkt zugeordnet
target_path target.process.file.full_path Direkt zugeordnet
childproc_hash.0 target.process.file.md5 Umbenannt/zugeordnet
md5 target.process.file.md5 Direkt zugeordnet
target_md5 target.process.file.md5 Direkt zugeordnet
childproc_hash.1 target.process.file.sha256 Umbenannt/zugeordnet
childproc_sha256 target.process.file.sha256 Direkt zugeordnet
sha256 target.process.file.sha256 Direkt zugeordnet
target_sha256 target.process.file.sha256 Direkt zugeordnet
parent_path target.process.parent_process.file.full_path Direkt zugeordnet
docs.0.parent_pid target.process.parent_process.pid Direkt zugeordnet
parent_pid target.process.parent_process.pid Direkt zugeordnet
docs.0.parent_guid target.process.parent_process.product_specific_process_id Direkt zugeordnet
child_pid target.process.pid Direkt zugeordnet
childproc_pid target.process.pid Umbenannt/zugeordnet
docs.0.process_pid target.process.pid Direkt zugeordnet
pid target.process.pid Direkt zugeordnet
process_pid target.process.pid Direkt zugeordnet
target_pid target.process.pid Direkt zugeordnet
child_process_guid target.process.product_specific_process_id Direkt zugeordnet
childproc_guid target.process.product_specific_process_id Direkt zugeordnet
docs.0.process_guid target.process.product_specific_process_id Direkt zugeordnet
process_guid target.process.product_specific_process_id Direkt zugeordnet
target_process_guid target.process.product_specific_process_id Direkt zugeordnet
path target.registry.registry_key Direkt zugeordnet
path1 target.registry.registry_key Direkt zugeordnet
regmod_key target.registry.registry_key Direkt zugeordnet
regmod_name target.registry.registry_key Direkt zugeordnet
regmod_value target.registry.registry_value_name Direkt zugeordnet
value_name target.registry.registry_value_name Direkt zugeordnet
product_id_label target.resource.attribute.labels Zusammengeführt
serial_number_label target.resource.attribute.labels Zusammengeführt
vendor_id_label target.resource.attribute.labels Zusammengeführt
report_id target.resource.id Direkt zugeordnet
watchlist_id target.resource.id Direkt zugeordnet
external_device_friendly_name target.resource.name Direkt zugeordnet
watchlist_name target.resource.name Direkt zugeordnet
docs.0.link_process target.url Direkt zugeordnet
loginName target.user.email_addresses Zusammengeführt
child_username target.user.userid Direkt zugeordnet
childproc_username target.user.userid Direkt zugeordnet
docs.0.username target.user.userid Umbenannt/zugeordnet
loginName target.user.userid Direkt zugeordnet
– about Konstante: local_about
– additional.fields Konstante: additional_data
– extensions.auth.type Konstante: AUTHTYPE_UNSPECIFIED
– intermediary Konstante: _intermediary
– intermediary.asset.ip Konstante: device_internal_ip
– intermediary.ip Konstante: device_internal_ip
– metadata.event_type Konstante: GENERIC_EVENT
– metadata.product_name Konstante: EDR
– metadata.vendor_name Konstante: Carbon Black
– network.direction Konstante: INBOUND
– network.ip_protocol Konstante: TCP
– observer.ip Konstante: proxy_ip
– principal.asset.attribute.labels Konstante: device_uem_id_label
– principal.asset.ip Konstante: local_ip
– principal.asset.platform_software.platform Konstante: WINDOWS
– principal.ip Konstante: local_ip
– principal.nat_ip Konstante: device_external_ip
– principal.platform Konstante: WINDOWS
– principal.resource.attribute.labels Konstante: org_key_label
– principal.resource.resource_subtype Konstante: Feed
– security_result Konstante: security_result
– security_result.action Konstante: sec_action
– security_result.alert_state Konstante: ALERTING
– security_result.attack_details.tactics Konstante: tactic
– security_result.category_details Konstante: category
– security_result.detection_fields Konstante: process_reputation_label
– security_result.severity Konstante: LOW
– target.asset.ip Konstante: device_external_ip
– target.ip Konstante: device_external_ip
– target.resource.attribute.labels Konstante: vendor_id_label
– target.resource.name Konstante: report_id
– target.resource.type Konstante: watchlist
– target.user.email_addresses Konstante: loginName
org_key event.idm.read_only_udm.principal.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
workflow.changed_by event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
primary_event_id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
workflow.closure_reason event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
workflow.changed_by_type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
alert_origin event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
device_username event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
vendor_name event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
product_name event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
tags event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
run_state event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
workflow.status event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
alert_notes_present event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
threat_notes_present event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
is_updated event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
device_policy_id event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
mdr_alert event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
mdr_alert_notes_present event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
mdr_threat_notes_present event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
determination.changed_by event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
determination.changed_by_type event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
determination.value event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
reason_code event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
device_uem_id event.idm.read_only_udm.principal.asset.attribute.labels Aus dem Änderungsprotokoll zugeordnet
device_target_value event.idm.read_only_udm.principal.asset.attribute.labels Aus dem Änderungsprotokoll zugeordnet
asset_group event.idm.read_only_udm.principal.asset.attribute.labels Aus dem Änderungsprotokoll zugeordnet
device_policy event.idm.read_only_udm.security_result.rule_name Aus dem Änderungsprotokoll zugeordnet
device_location event.idm.read_only_udm.principal.asset.location.name Aus dem Änderungsprotokoll zugeordnet
device_os_version event.idm.read_only_udm.principal.platform_version Aus dem Änderungsprotokoll zugeordnet
vendor_id event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
product_id event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
serial_number event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
external_device_friendly_name event.idm.read_only_udm.target.resource.name Aus dem Änderungsprotokoll zugeordnet
first_event_timestamp event.idm.read_only_udm.metadata.event_timestamp Aus dem Änderungsprotokoll zugeordnet
policy_applied event.idm.read_only_udm.security_result.action_details Aus dem Änderungsprotokoll zugeordnet
device_internal_ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
threat_id event.idm.read_only_udm.security_result.threat_id Aus dem Änderungsprotokoll zugeordnet
severity event.idm.read_only_udm.security_result.severity Aus dem Änderungsprotokoll zugeordnet
id event.idm.read_only_udm.metadata.product_log_id Aus dem Änderungsprotokoll zugeordnet
feed_id event.idm.read_only_udm.principal.resource.id Aus dem Änderungsprotokoll zugeordnet
intermediary_ip event.idm.read_only_udm.intermediary.ip Aus dem Änderungsprotokoll zugeordnet
session_id event.idm.read_only_udm.network.session_id Aus dem Änderungsprotokoll zugeordnet
interface_ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
host event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname Aus dem Änderungsprotokoll zugeordnet
reason event.idm.read_only_udm.metadata.description Aus dem Änderungsprotokoll zugeordnet
segment_id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
index_type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
search_query event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
start_time event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
last_update event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
watchlist_id event.idm.read_only_udm.target.resource.id Aus dem Änderungsprotokoll zugeordnet
watchlist_name event.idm.read_only_udm.target.resource.name Aus dem Änderungsprotokoll zugeordnet
group event.idm.read_only_udm.target.group.group_display_name Aus dem Änderungsprotokoll zugeordnet
report_id event.idm.read_only_udm.target.resource.id Aus dem Änderungsprotokoll zugeordnet
report_id event.idm.read_only_udm.target.resource.name Aus dem Änderungsprotokoll zugeordnet
process_sha256 event.idm.read_only_udm.principal.process.file.sha256 Aus dem Änderungsprotokoll zugeordnet
alliance_data_attackframework event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
alliance_updated_attackframework event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
alliance_score_attackframework event.idm.read_only_udm.security_result.confidence_score Aus dem Änderungsprotokoll zugeordnet
alliance_link_attackframework event.idm.read_only_udm.security_result.url_back_to_product Aus dem Änderungsprotokoll zugeordnet
comms_ip event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten