Raccogli i log EDR di Broadcom Carbon Black

Versione parser: 17.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Broadcom Carbon Black EDR in Google Security Operations utilizzando l'agente Bindplane o Amazon S3.

Broadcom Carbon Black EDR (precedentemente VMware Carbon Black EDR) è una soluzione di rilevamento e risposta degli endpoint che fornisce visibilità continua sull'attività degli endpoint. Registra e archivia dati completi sugli endpoint, consentendo la ricerca delle minacce, la risposta agli incidenti e il rilevamento in tempo reale delle minacce avanzate in tutta l'organizzazione. Il componente cb-event-forwarder si iscrive al bus degli eventi EDR ed esporta gli eventi in formato JSON o LEEF verso destinazioni esterne, tra cui server syslog e bucket Amazon S3.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Accesso con privilegi (root o sudo) al server Carbon Black EDR
• Il componente cb-event-forwarder installato sul tuo server Carbon Black EDR (consulta cb-event-forwarder su GitHub per le istruzioni di installazione)
• Un token di accesso valido dal portale di assistenza Broadcom per scaricare il pacchetto cb-event-forwarder
• Credenziali RabbitMQ dal server EDR (/etc/cb/cb.conf) se cb-event-forwarder è installato su un host separato

Opzione 1: importazione di syslog utilizzando l'agente Bindplane

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cb_edr:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<your-customer-id>'
      endpoint: chronicle.googleapis.com
      log_type: CB_EDR
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/cb_edr_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/cb_edr
  

Parametri di configurazione

• Sostituisci i seguenti segnaposto:

  • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: l'ID cliente copiato dalla console Google SecOps
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione chronicle.googleapis.com.

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cb_edr:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<your-customer-id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CB_EDR
      raw_log_field: body
      ingestion_labels:
        env: production
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per verificare la presenza di errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

  net stop observiq-otel-collector && net start observiq-otel-collector
  

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per verificare la presenza di errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura cb-event-forwarder di Carbon Black EDR per l'output syslog

1. Accedi al server Carbon Black EDR tramite SSH.

2. Apri il file di configurazione cb-event-forwarder:

   sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf
   

3. Nella sezione [bridge], configura le seguenti impostazioni:

   [bridge]
   server_name=cbserver
   

   Nota: il valore server_name è un'etichetta che viene visualizzata in tutto l'output JSON come cb_server. Utilizza un nome descrittivo per il deployment EDR (ad esempio, cbserver-prod).

4. Se cb-event-forwarder è installato su un host separato dal server EDR, fornisci le credenziali e il nome host di RabbitMQ. Questi valori sono disponibili in /etc/cb/cb.conf sul server EDR:

   rabbit_mq_username=cb
   rabbit_mq_password=<RABBITMQ_PASSWORD>
   cb_server_hostname=<EDR_SERVER_IP_OR_HOSTNAME>
   

   Nota: se cb-event-forwarder è installato sullo stesso host del server EDR, lascia vuoti questi campi per utilizzare automaticamente le credenziali locali.

5. Facoltativamente, imposta cb_server_url per attivare i deep link negli eventi inoltrati che rimandano alla console EDR:

   cb_server_url=https://<YOUR_EDR_SERVER_FQDN>
   

   Nota: se non è impostato, cb-event-forwarder utilizza per impostazione predefinita il nome di dominio completo dell'host su cui è installato. I deep link consentono di accedere con un solo clic ai dettagli di processi, file binari e sensori nella console EDR.

6. Configura il tipo e il formato di output per la distribuzione di syslog:

   output_type=tcp
   output_format=json
   tcpout=<BINDPLANE_AGENT_IP>:514
   

   Nota: i valori output_type validi per l'invio di syslog sono tcp, udp o syslog. Utilizza tcp per una pubblicazione affidabile. Il tipo di output syslog supporta la crittografia TLS con il formato tcp+tls:<hostname>:<port>. Imposta output_format su json per l'importazione di Google SecOps.

7. Configura gli eventi da inoltrare. Le seguenti impostazioni controllano le sottoscrizioni agli eventi:

   events_raw_sensor=0
   events_watchlist=ALL
   events_feed=ALL
   events_alert=ALL
   

   Nota: l'impostazione di events_raw_sensor su ALL genera un volume elevato di eventi e potrebbe influire sulle prestazioni del server EDR. Inoltra solo i tipi di eventi di cui hai bisogno. Per attivare gli eventi dei sensori non elaborati, devi anche impostare DatastoreBroadcastEventTypes=True in /etc/cb/cb.conf sul server EDR.

8. Salva e chiudi il file di configurazione.

9. Riavvia il servizio cb-event-forwarder:

   sudo systemctl restart cb-event-forwarder
   

10. Verifica che il servizio sia in esecuzione:

    sudo systemctl status cb-event-forwarder
    

11. Verifica che i log vengano inviati controllando i log dell'agente Bindplane.

Per saperne di più, consulta il repository cb-event-forwarder su GitHub.

Opzione 2: importazione da Amazon S3

Configura cb-event-forwarder di Carbon Black EDR per l'output S3

1. Accedi al server Carbon Black EDR tramite SSH.

2. Apri il file di configurazione cb-event-forwarder:

   sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf
   

3. Nella sezione [bridge], configura le seguenti impostazioni:

   [bridge]
   server_name=cbserver
   

4. Se cb-event-forwarder è installato su un host separato dal server EDR, fornisci le credenziali e il nome host di RabbitMQ:

   rabbit_mq_username=cb
   rabbit_mq_password=<RABBITMQ_PASSWORD>
   cb_server_hostname=<EDR_SERVER_IP_OR_HOSTNAME>
   

5. Facoltativamente, imposta cb_server_url per attivare i deep link negli eventi inoltrati:

   cb_server_url=https://<YOUR_EDR_SERVER_FQDN>
   

6. Configura il tipo e il formato di output per la pubblicazione S3:

   output_type=s3
   output_format=json
   s3out=<TEMP_DIR>:<AWS_REGION>:<S3_BUCKET_NAME>
   

   Nota: il valore s3out utilizza il formato <temp-file-directory>:<region>:<bucket-name>. La directory temporanea predefinita è /var/cb/data/event-forwarder. Ad esempio: s3out=/var/cb/data/event-forwarder:us-east-1:cb-edr-logs.

7. Facoltativamente, configura impostazioni S3 aggiuntive nella sezione [s3]:

   [s3]
   bundle_send_timeout=300
   upload_empty_files=false
   bundle_size_max=10485760
   

   Nota: per impostazione predefinita, cb-event-forwarder trasferisce gli eventi su S3 ogni 300 secondi o quando il file temporaneo raggiunge i 10 MB. Imposta upload_empty_files=false per evitare di inviare bundle vuoti. cb-event-forwarder utilizza i profili delle credenziali AWS di $HOME/.aws/credentials. Puoi specificare un profilo personalizzato con credential_profile=<profile_name> o credential_profile=<filepath>:<profile_name>.

8. Configura gli eventi da inoltrare:

   events_raw_sensor=0
   events_watchlist=ALL
   events_feed=ALL
   events_alert=ALL
   

9. Salva e chiudi il file di configurazione.

10. Riavvia il servizio cb-event-forwarder:

    sudo systemctl restart cb-event-forwarder
    

11. Verifica che il servizio sia in esecuzione:

    sudo systemctl status cb-event-forwarder
    

Per saperne di più, consulta il repository cb-event-forwarder su GitHub.

Configura il bucket AWS S3 e IAM per Google SecOps

1. Crea un bucket Amazon S3 seguendo questa guida dell'utente: Creazione di un bucket.
2. Salva il nome e la regione del bucket per riferimento futuro.
3. Crea un utente seguendo questa guida dell'utente: Creazione di un utente IAM.
4. Seleziona l'utente creato.
5. Seleziona la scheda Credenziali di sicurezza.
6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
7. Seleziona Servizio di terze parti come Caso d'uso.
8. Fai clic su Avanti.
9. (Facoltativo) Aggiungi un tag di descrizione.
10. Fai clic su Crea chiave di accesso.
11. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.
12. Fai clic su Fine.
13. Seleziona la scheda Autorizzazioni.
14. Fai clic su Aggiungi autorizzazioni nella sezione Policy sulle autorizzazioni.
15. Seleziona Aggiungi autorizzazioni.
16. Seleziona Collega direttamente i criteri.
17. Cerca la policy AmazonS3FullAccess.
18. Seleziona la policy.
19. Fai clic su Avanti.
20. Fai clic su Aggiungi autorizzazioni.

Configura un feed in Google SecOps per importare i log di Carbon Black EDR

1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
2. Fai clic su Aggiungi nuovo feed.
3. Nella pagina successiva, fai clic su Configura un singolo feed.
4. Inserisci un nome univoco per il Nome feed.
5. Seleziona Amazon S3 V2 come Tipo di origine.
6. Seleziona Carbon Black EDR come Tipo di log.
7. Fai clic su Avanti e poi su Invia.

8. Specifica i valori per i seguenti campi:

   • URI S3: s3://<S3_BUCKET_NAME>/
   • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.
   • Età massima dei file: includi i file modificati negli ultimi giorni (il valore predefinito è 180 giorni)
   • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3
   • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3
   • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
   • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
   Nota: se selezioni l'opzione Delete transferred files o Delete transferred files and empty directories, assicurati di aver concesso le autorizzazioni appropriate al service account.

9. Fai clic su Avanti e poi su Invia.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
ioc_about	about	Unita
ioc_attrs_highlights_about	about	Unita
ioc_qs_about	about	Unita
local_about	about	Unita
remote_about	about	Unita
additional_blocked_threat_category	additional.fields	Unita
additional_cmdline	additional.fields	Unita
additional_created_by_event_id	additional.fields	Unita
additional_crossproc_api	additional.fields	Unita
additional_crossproc_guid	additional.fields	Unita
additional_crossproc_md5	additional.fields	Unita
additional_crossproc_rep	additional.fields	Unita
additional_crossproc_sha256	additional.fields	Unita
additional_crossproc_target	additional.fields	Unita
additional_data	additional.fields	Unita
additional_device_location	additional.fields	Unita
additional_dns_name	additional.fields	Unita
additional_event_id	additional.fields	Unita
additional_fileless_scriptload_cmdline_length	additional.fields	Unita
additional_fileless_scriptload_hash	additional.fields	Unita
additional_first_event_time	additional.fields	Unita
additional_ioc_confidence	additional.fields	Unita
additional_ioc_query_index	additional.fields	Unita
additional_ioc_query_string	additional.fields	Unita
additional_ioc_type	additional.fields	Unita
additional_ja3	additional.fields	Unita
additional_ja3s	additional.fields	Unita
additional_last_event_time	additional.fields	Unita
additional_last_update_time	additional.fields	Unita
additional_not_blocked_threat_category	additional.fields	Unita
additional_parent_name	additional.fields	Unita
additional_path	additional.fields	Unita
additional_policy_applied	additional.fields	Unita
additional_policy_id	additional.fields	Unita
additional_process_name	additional.fields	Unita
additional_process_name_field	additional.fields	Unita
additional_process_sha256	additional.fields	Unita
additional_reason_code	additional.fields	Unita
additional_regmod_count	additional.fields	Unita
additional_report_id	additional.fields	Unita
additional_run_state	additional.fields	Unita
additional_scriptload_count	additional.fields	Unita
additional_scriptload_rep	additional.fields	Unita
additional_start	additional.fields	Unita
additional_status	additional.fields	Unita
additional_threat_cause_actor_process_pid	additional.fields	Unita
additional_threat_cause_actor_sha256	additional.fields	Unita
additional_threat_cause_cause_event_id	additional.fields	Unita
additional_threat_cause_reputation	additional.fields	Unita
additional_threat_cause_threat_category	additional.fields	Unita
additional_threat_cause_vector	additional.fields	Unita
additional_username	additional.fields	Unita
additional_watchlist_id	additional.fields	Unita
additional_watchlist_name	additional.fields	Unita
additional_workflow_changed_by	additional.fields	Unita
additional_workflow_comment	additional.fields	Unita
additional_workflow_remediation	additional.fields	Unita
additional_workflow_state	additional.fields	Unita
alert_origin_label	additional.fields	Unita
change_timestamp_label	additional.fields	Unita
changed_by_label	additional.fields	Unita
changed_by_type_label	additional.fields	Unita
closure_reason_label	additional.fields	Unita
comms_ip_label	additional.fields	Unita
detection_timestamp_label	additional.fields	Unita
index_type_label	additional.fields	Unita
last_event_timestamp_label	additional.fields	Unita
last_update_label	additional.fields	Unita
parent_effective_reputation_label	additional.fields	Unita
parent_reputation_label	additional.fields	Unita
primary_event_id_label	additional.fields	Unita
process_effective_reputation_label	additional.fields	Unita
process_issuer_label	additional.fields	Unita
process_publisher_label	additional.fields	Unita
product_name_label	additional.fields	Unita
search_query_label	additional.fields	Unita
segment_id_label	additional.fields	Unita
start_time_label	additional.fields	Unita
status_label	additional.fields	Unita
vendor_name_label	additional.fields	Unita
_intermediary	intermediary	Unita
intermediary	intermediary	Unita
device_name	intermediary.asset.hostname	Mappatura diretta
device_internal_ip	intermediary.asset.ip	Unita
device_name	intermediary.hostname	Mappatura diretta
comms_ip	intermediary.ip	Unita
device_internal_ip	intermediary.ip	Unita
intermediary_ip	intermediary.ip	Unita
description	metadata.description	Mappatura diretta
event_description	metadata.description	Rinominato/mappato
reason	metadata.description	Mappatura diretta
action	metadata.product_event_type	Mappatura diretta
type	metadata.product_event_type	Mappatura diretta
id	metadata.product_log_id	Mappatura diretta
cb_version	metadata.product_version	Mappatura diretta
alert_url	metadata.url_back_to_product	Mappatura diretta
direction	network.direction	Mappatura diretta
ioc_attr.direction	network.direction	Mappatura diretta
ioc_attr.protocol	network.ip_protocol	Mappatura diretta
ip_protocol_out	network.ip_protocol	Rinominato/mappato
session_id	network.session_id	Mappatura diretta
proxy_domain	observer.hostname	Mappatura diretta
proxy_ip	observer.ip	Unita
proxy_port	observer.port	Rinominato/mappato
device_username	principal.administrative_domain	Mappatura diretta
domain	principal.administrative_domain	Mappatura diretta
orgName	principal.administrative_domain	Mappatura diretta
deviceInfo.deviceId	principal.asset.asset_id	Mappatura diretta
device_id	principal.asset.asset_id	Mappatura diretta
asset_group_label	principal.asset.attribute.labels	Unita
device_target_value_label	principal.asset.attribute.labels	Unita
device_uem_id_label	principal.asset.attribute.labels	Unita
computer_name	principal.asset.hostname	Mappatura diretta
dev_hostname	principal.asset.hostname	Mappatura diretta
device_name	principal.asset.hostname	Mappatura diretta
host	principal.asset.hostname	Mappatura diretta
clientIp	principal.asset.ip	Unita
deviceInfo.internalIpAddress	principal.asset.ip	Unita
device_external_ip	principal.asset.ip	Unita
device_internal_ip	principal.asset.ip	Unita
docs.0.interface_ip	principal.asset.ip	Unita
interface_ip	principal.asset.ip	Unita
local_ip	principal.asset.ip	Unita
remote_ip	principal.asset.ip	Unita
device_location	principal.asset.location.name	Mappatura diretta
deviceInfo.deviceVersion	principal.asset.platform_software.platform_version	Mappatura diretta
sensor_id	principal.asset_id	Mappatura diretta
deviceInfo.groupName	principal.group.group_display_name	Mappatura diretta
device_group	principal.group.group_display_name	Mappatura diretta
group	principal.group.group_display_name	Mappatura diretta
computer_name	principal.hostname	Mappatura diretta
dev_hostname	principal.hostname	Mappatura diretta
device_name	principal.hostname	Mappatura diretta
host	principal.hostname	Mappatura diretta
clientIp	principal.ip	Unita
deviceInfo.internalIpAddress	principal.ip	Unita
device_external_ip	principal.ip	Unita
device_internal_ip	principal.ip	Unita
docs.0.interface_ip	principal.ip	Unita
interface_ip	principal.ip	Unita
local_ip	principal.ip	Unita
remote_ip	principal.ip	Unita
device_external_ip	principal.nat_ip	Unita
normalized_device_os	principal.platform	Mappatura diretta
device_os_version	principal.platform_version	Mappatura diretta
local_port	principal.port	Rinominato/mappato
remote_port	principal.port	Rinominato/mappato
process_cmdline	principal.process.command_line	Mappatura diretta
parent_path	principal.process.file.full_path	Mappatura diretta
process_name	principal.process.file.full_path	Mappatura diretta
process_path	principal.process.file.full_path	Mappatura diretta
doc.process_md5	principal.process.file.md5	Mappatura diretta
md5	principal.process.file.md5	Mappatura diretta
parent_md5	principal.process.file.md5	Mappatura diretta
process_hash.0	principal.process.file.md5	Mappatura diretta
process_md5	principal.process.file.md5	Mappatura diretta
doc.process_sha256	principal.process.file.sha256	Mappatura diretta
process_hash.1	principal.process.file.sha256	Mappatura diretta
process_sha256	principal.process.file.sha256	Mappatura diretta
sha256	principal.process.file.sha256	Mappatura diretta
parent_cmdline	principal.process.parent_process.command_line	Mappatura diretta
parent_name	principal.process.parent_process.file.full_path	Mappatura diretta
parent_path	principal.process.parent_process.file.full_path	Mappatura diretta
val.parent_name	principal.process.parent_process.file.full_path	Mappatura diretta
parent_hash.0	principal.process.parent_process.file.md5	Mappatura diretta
parent_md5	principal.process.parent_process.file.md5	Mappatura diretta
parent_hash.1	principal.process.parent_process.file.sha256	Mappatura diretta
parent_sha256	principal.process.parent_process.file.sha256	Mappatura diretta
doc.parent_pid	principal.process.parent_process.pid	Mappatura diretta
parent_pid	principal.process.parent_process.pid	Mappatura diretta
doc.parent_guid	principal.process.parent_process.product_specific_process_id	Mappatura diretta
parent_guid	principal.process.parent_process.product_specific_process_id	Mappatura diretta
parent_username	principal.process.parent_process.user.userid	Rinominato/mappato
doc.process_pid	principal.process.pid	Mappatura diretta
parent_pid	principal.process.pid	Mappatura diretta
pid	principal.process.pid	Mappatura diretta
process_id	principal.process.pid	Mappatura diretta
process_pid	principal.process.pid	Mappatura diretta
parent_process_guid	principal.process.product_specific_process_id	Mappatura diretta
process_guid	principal.process.product_specific_process_id	Mappatura diretta
org_key_label	principal.resource.attribute.labels	Unita
feed_id	principal.resource.id	Mappatura diretta
feed_name	principal.resource.name	Mappatura diretta
link_process	principal.url	Rinominato/mappato
process_username	principal.user.user_display_name	Mappatura diretta
dev_username	principal.user.userid	Rinominato/mappato
process_username	principal.user.userid	Mappatura diretta
username	principal.user.userid	Mappatura diretta
_security_result	security_result	Unita
_security_result0	security_result	Unita
sec_result	security_result	Unita
security_result	security_result	Unita
security_result_attack	security_result	Unita
sec_action	security_result.action	Unita
policy_applied	security_result.action_details	Mappatura diretta
tactic	security_result.attack_details.tactics	Unita
category	security_result.category_details	Unita
report_description	security_result.description	Mappatura diretta
alert_notes_present_label	security_result.detection_fields	Unita
childproc_effective_reputation_label	security_result.detection_fields	Unita
childproc_publisher_name_label	security_result.detection_fields	Unita
childproc_publisher_state_label	security_result.detection_fields	Unita
childproc_rep_label	security_result.detection_fields	Unita
detection_action	security_result.detection_fields	Unita
detection_blocked_threat_category	security_result.detection_fields	Unita
detection_crossproc_publisher_name	security_result.detection_fields	Unita
detection_crossproc_publisher_state	security_result.detection_fields	Unita
detection_event_origin	security_result.detection_fields	Unita
detection_event_origin_proc_publisher_name	security_result.detection_fields	Unita
detection_event_origin_proc_publisher_state	security_result.detection_fields	Unita
detection_fileless_scriptload_cmdline	security_result.detection_fields	Unita
detection_ioc_hit	security_result.detection_fields	Unita
detection_ioc_id	security_result.detection_fields	Unita
detection_not_blocked_threat_category	security_result.detection_fields	Unita
detection_policy_name	security_result.detection_fields	Unita
detection_report_link	security_result.detection_fields	Unita
detection_report_name	security_result.detection_fields	Unita
detection_run_state	security_result.detection_fields	Unita
detection_scriptload_eff_rep	security_result.detection_fields	Unita
detection_scriptload_publisher	security_result.detection_fields	Unita
detection_sensor_action	security_result.detection_fields	Unita
detection_threat_cause_actor_name	security_result.detection_fields	Unita
detection_threat_cause_actor_sha256	security_result.detection_fields	Unita
detection_threat_cause_threat_category	security_result.detection_fields	Unita
determination_change_timestamp_label	security_result.detection_fields	Unita
determination_changed_by_label	security_result.detection_fields	Unita
determination_changed_by_type_label	security_result.detection_fields	Unita
determination_value_label	security_result.detection_fields	Unita
device_policy_id_label	security_result.detection_fields	Unita
id_label	security_result.detection_fields	Unita
is_updated_label	security_result.detection_fields	Unita
label_alert_severity	security_result.detection_fields	Unita
label_device_priority_field	security_result.detection_fields	Unita
label_eff_rep	security_result.detection_fields	Unita
label_modload_count	security_result.detection_fields	Unita
label_modload_md5	security_result.detection_fields	Unita
label_modload_publisher_name	security_result.detection_fields	Unita
label_modload_publisher_state	security_result.detection_fields	Unita
label_modload_sha256	security_result.detection_fields	Unita
mdr_alert_label	security_result.detection_fields	Unita
mdr_alert_notes_present_label	security_result.detection_fields	Unita
mdr_threat_notes_present_label	security_result.detection_fields	Unita
modload_label	security_result.detection_fields	Unita
name_label	security_result.detection_fields	Unita
parent_username_label	security_result.detection_fields	Unita
process_reputation_label	security_result.detection_fields	Unita
process_username_label	security_result.detection_fields	Unita
reason_code_label	security_result.detection_fields	Unita
run_state_label	security_result.detection_fields	Unita
tags_label	security_result.detection_fields	Unita
threat_notes_present_label	security_result.detection_fields	Unita
workflow_status_label	security_result.detection_fields	Unita
device_policy	security_result.rule_name	Mappatura diretta
severity	security_result.severity	Mappatura diretta
threat_id	security_result.threat_id	Mappatura diretta
threat_cause_actor_name	security_result.threat_name	Mappatura diretta
device_external_ip	target.asset.ip	Unita
ioc_value	target.asset.ip	Unita
local_ip	target.asset.ip	Unita
netconn_ip	target.asset.ip	Unita
remote_ip	target.asset.ip	Unita
filemod_name	target.file.full_path	Mappatura diretta
path	target.file.full_path	Mappatura diretta
process_path	target.file.full_path	Mappatura diretta
utf8_on_disk_filename	target.file.full_path	Mappatura diretta
file_md5	target.file.md5	Mappatura diretta
filemod_hash.0	target.file.md5	Rinominato/mappato
md5	target.file.md5	Mappatura diretta
file_sha256	target.file.sha256	Mappatura diretta
filemod_hash.1	target.file.sha256	Rinominato/mappato
sha256	target.file.sha256	Mappatura diretta
size	target.file.size	Rinominato/mappato
group	target.group.group_display_name	Mappatura diretta
domain	target.hostname	Mappatura diretta
netconn_domain	target.hostname	Mappatura diretta
deviceInfo.externalIpAddress	target.ip	Unita
device_external_ip	target.ip	Unita
ioc_value	target.ip	Unita
local_ip	target.ip	Unita
netconn_ip	target.ip	Unita
remote_ip	target.ip	Unita
normalized_device_os	target.platform	Mappatura diretta
local_port	target.port	Rinominato/mappato
remote_port	target.port	Rinominato/mappato
requested_access	target.process.access_mask	Rinominato/mappato
child_command_line	target.process.command_line	Mappatura diretta
childproc_cmdline	target.process.command_line	Mappatura diretta
cmdline	target.process.command_line	Mappatura diretta
command_line	target.process.command_line	Mappatura diretta
docs.0.cmdline	target.process.command_line	Mappatura diretta
process_cmdline	target.process.command_line	Mappatura diretta
target_cmdline	target.process.command_line	Mappatura diretta
childproc_name	target.process.file.full_path	Mappatura diretta
crossproc_name	target.process.file.full_path	Mappatura diretta
docs.0.path	target.process.file.full_path	Mappatura diretta
modload_name	target.process.file.full_path	Mappatura diretta
path	target.process.file.full_path	Mappatura diretta
process_path	target.process.file.full_path	Mappatura diretta
target_path	target.process.file.full_path	Mappatura diretta
childproc_hash.0	target.process.file.md5	Rinominato/mappato
md5	target.process.file.md5	Mappatura diretta
target_md5	target.process.file.md5	Mappatura diretta
childproc_hash.1	target.process.file.sha256	Rinominato/mappato
childproc_sha256	target.process.file.sha256	Mappatura diretta
sha256	target.process.file.sha256	Mappatura diretta
target_sha256	target.process.file.sha256	Mappatura diretta
parent_path	target.process.parent_process.file.full_path	Mappatura diretta
docs.0.parent_pid	target.process.parent_process.pid	Mappatura diretta
parent_pid	target.process.parent_process.pid	Mappatura diretta
docs.0.parent_guid	target.process.parent_process.product_specific_process_id	Mappatura diretta
child_pid	target.process.pid	Mappatura diretta
childproc_pid	target.process.pid	Rinominato/mappato
docs.0.process_pid	target.process.pid	Mappatura diretta
pid	target.process.pid	Mappatura diretta
process_pid	target.process.pid	Mappatura diretta
target_pid	target.process.pid	Mappatura diretta
child_process_guid	target.process.product_specific_process_id	Mappatura diretta
childproc_guid	target.process.product_specific_process_id	Mappatura diretta
docs.0.process_guid	target.process.product_specific_process_id	Mappatura diretta
process_guid	target.process.product_specific_process_id	Mappatura diretta
target_process_guid	target.process.product_specific_process_id	Mappatura diretta
path	target.registry.registry_key	Mappatura diretta
path1	target.registry.registry_key	Mappatura diretta
regmod_key	target.registry.registry_key	Mappatura diretta
regmod_name	target.registry.registry_key	Mappatura diretta
regmod_value	target.registry.registry_value_name	Mappatura diretta
value_name	target.registry.registry_value_name	Mappatura diretta
product_id_label	target.resource.attribute.labels	Unita
serial_number_label	target.resource.attribute.labels	Unita
vendor_id_label	target.resource.attribute.labels	Unita
report_id	target.resource.id	Mappatura diretta
watchlist_id	target.resource.id	Mappatura diretta
external_device_friendly_name	target.resource.name	Mappatura diretta
watchlist_name	target.resource.name	Mappatura diretta
docs.0.link_process	target.url	Mappatura diretta
loginName	target.user.email_addresses	Unita
child_username	target.user.userid	Mappatura diretta
childproc_username	target.user.userid	Mappatura diretta
docs.0.username	target.user.userid	Rinominato/mappato
loginName	target.user.userid	Mappatura diretta
N/D	about	Costante: local_about
N/D	additional.fields	Costante: additional_data
N/D	extensions.auth.type	Costante: AUTHTYPE_UNSPECIFIED
N/D	intermediary	Costante: _intermediary
N/D	intermediary.asset.ip	Costante: device_internal_ip
N/D	intermediary.ip	Costante: device_internal_ip
N/D	metadata.event_type	Costante: GENERIC_EVENT
N/D	metadata.product_name	Costante: EDR
N/D	metadata.vendor_name	Costante: Carbon Black
N/D	network.direction	Costante: INBOUND
N/D	network.ip_protocol	Costante: TCP
N/D	observer.ip	Costante: proxy_ip
N/D	principal.asset.attribute.labels	Costante: device_uem_id_label
N/D	principal.asset.ip	Costante: local_ip
N/D	principal.asset.platform_software.platform	Costante: WINDOWS
N/D	principal.ip	Costante: local_ip
N/D	principal.nat_ip	Costante: device_external_ip
N/D	principal.platform	Costante: WINDOWS
N/D	principal.resource.attribute.labels	Costante: org_key_label
N/D	principal.resource.resource_subtype	Costante: Feed
N/D	security_result	Costante: security_result
N/D	security_result.action	Costante: sec_action
N/D	security_result.alert_state	Costante: ALERTING
N/D	security_result.attack_details.tactics	Costante: tactic
N/D	security_result.category_details	Costante: category
N/D	security_result.detection_fields	Costante: process_reputation_label
N/D	security_result.severity	Costante: LOW
N/D	target.asset.ip	Costante: device_external_ip
N/D	target.ip	Costante: device_external_ip
N/D	target.resource.attribute.labels	Costante: vendor_id_label
N/D	target.resource.name	Costante: report_id
N/D	target.resource.type	Costante: watchlist
N/D	target.user.email_addresses	Costante: loginName
org_key	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
workflow.changed_by	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
primary_event_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
workflow.closure_reason	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
workflow.changed_by_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert_origin	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
device_username	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
vendor_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
product_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
tags	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
run_state	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
workflow.status	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
alert_notes_present	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
threat_notes_present	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
is_updated	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
device_policy_id	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
mdr_alert	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
mdr_alert_notes_present	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
mdr_threat_notes_present	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
determination.changed_by	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
determination.changed_by_type	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
determination.value	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
reason_code	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
device_uem_id	event.idm.read_only_udm.principal.asset.attribute.labels	Mappato dal log delle modifiche
device_target_value	event.idm.read_only_udm.principal.asset.attribute.labels	Mappato dal log delle modifiche
asset_group	event.idm.read_only_udm.principal.asset.attribute.labels	Mappato dal log delle modifiche
device_policy	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
device_location	event.idm.read_only_udm.principal.asset.location.name	Mappato dal log delle modifiche
device_os_version	event.idm.read_only_udm.principal.platform_version	Mappato dal log delle modifiche
vendor_id	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
product_id	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
serial_number	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
external_device_friendly_name	event.idm.read_only_udm.target.resource.name	Mappato dal log delle modifiche
first_event_timestamp	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
policy_applied	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
device_internal_ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
threat_id	event.idm.read_only_udm.security_result.threat_id	Mappato dal log delle modifiche
severity	event.idm.read_only_udm.security_result.severity	Mappato dal log delle modifiche
id	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
feed_id	event.idm.read_only_udm.principal.resource.id	Mappato dal log delle modifiche
intermediary_ip	event.idm.read_only_udm.intermediary.ip	Mappato dal log delle modifiche
session_id	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
interface_ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
host	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
reason	event.idm.read_only_udm.metadata.description	Mappato dal log delle modifiche
segment_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
index_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
search_query	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
start_time	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
last_update	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
watchlist_id	event.idm.read_only_udm.target.resource.id	Mappato dal log delle modifiche
watchlist_name	event.idm.read_only_udm.target.resource.name	Mappato dal log delle modifiche
group	event.idm.read_only_udm.target.group.group_display_name	Mappato dal log delle modifiche
report_id	event.idm.read_only_udm.target.resource.id	Mappato dal log delle modifiche
report_id	event.idm.read_only_udm.target.resource.name	Mappato dal log delle modifiche
process_sha256	event.idm.read_only_udm.principal.process.file.sha256	Mappato dal log delle modifiche
alliance_data_attackframework	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
alliance_updated_attackframework	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
alliance_score_attackframework	event.idm.read_only_udm.security_result.confidence_score	Mappato dal log delle modifiche
alliance_link_attackframework	event.idm.read_only_udm.security_result.url_back_to_product	Mappato dal log delle modifiche
comms_ip	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.