Raccogli i log EDR di Broadcom Carbon Black

Versione parser: 17.0

Supportato in:

Questo documento spiega come importare i log EDR di Broadcom Carbon Black in Google Security Operations utilizzando l'agente Bindplane o Amazon S3.

Broadcom Carbon Black EDR (in precedenza VMware Carbon Black EDR) è una soluzione di rilevamento e risposta degli endpoint che offre visibilità continua sull'attività degli endpoint. Registra e archivia dati completi degli endpoint, consentendo la ricerca delle minacce, la risposta agli incidenti e il rilevamento in tempo reale delle minacce avanzate in tutta l'organizzazione. Il componente cb-event-forwarder si iscrive al bus degli eventi EDR ed esporta gli eventi in formato JSON o LEEF in destinazioni esterne, inclusi server syslog e bucket Amazon S3.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Accesso con privilegi (root o sudo) al server Carbon Black EDR
  • Il componente cb-event-forwarder installato sul server Carbon Black EDR (per le istruzioni di installazione, vedi cb-event-forwarder su GitHub)
  • Un token di accesso valido dal portale di assistenza Broadcom per scaricare il pacchetto cb-event-forwarder
  • Credenziali RabbitMQ dal server EDR (/etc/cb/cb.conf) se cb-event-forwarder è installato su un host separato

Opzione 1: importazione di Syslog utilizzando l'agente Bindplane

Recuperare il file di autenticazione dell'acquisizione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione
  4. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cb_edr:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<your-customer-id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CB_EDR
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/cb_edr_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/cb_edr

Parametri di configurazione

  • Sostituisci i seguenti segnaposto:

    • creds_file_path: il percorso completo del file di autenticazione dell'acquisizione:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: l'ID cliente copiato dalla console Google SecOps
    • endpoint: URL dell'endpoint regionale:
      • Stati Uniti: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Per l'elenco completo, consulta Endpoint regionali.

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per individuare eventuali errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:
    net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per individuare eventuali errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura Carbon Black EDR cb-event-forwarder per l'output syslog

  1. Accedi al server Carbon Black EDR tramite SSH.

  2. Apri il file di configurazione cb-event-forwarder:

    sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

  3. Nella sezione [bridge], configura le seguenti impostazioni:

    [bridge]
server_name=cbserver

  4. Se cb-event-forwarder è installato su un host separato dal server EDR, fornisci le credenziali e il nome host di RabbitMQ. Questi valori si trovano in /etc/cb/cb.conf sul server EDR:

    rabbit_mq_username=cb
rabbit_mq_password=<RABBITMQ_PASSWORD>
cb_server_hostname=<EDR_SERVER_IP_OR_HOSTNAME>

  5. (Facoltativo) Imposta cb_server_url per attivare i link diretti negli eventi inoltrati che rimandano alla console EDR:

    cb_server_url=https://<YOUR_EDR_SERVER_FQDN>

  6. Configura il tipo e il formato di output per la distribuzione di syslog:

    output_type=tcp
output_format=json
tcpout=<BINDPLANE_AGENT_IP>:514

  7. Configura gli eventi da inoltrare. Le seguenti impostazioni controllano le iscrizioni agli eventi:

    events_raw_sensor=0
events_watchlist=ALL
events_feed=ALL
events_alert=ALL

  8. Salva e chiudi il file di configurazione.

  9. Riavvia il servizio cb-event-forwarder:

    sudo systemctl restart cb-event-forwarder

  10. Verifica che il servizio sia in esecuzione:

    sudo systemctl status cb-event-forwarder

  11. Verifica che i log vengano inviati controllando i log dell'agente Bindplane.

Per maggiori informazioni, consulta il repository cb-event-forwarder su GitHub.

Opzione 2: importazione da Amazon S3

Configura Carbon Black EDR cb-event-forwarder per l'output S3

  1. Accedi al server Carbon Black EDR tramite SSH.

  2. Apri il file di configurazione cb-event-forwarder:

    sudo nano /etc/cb/integrations/event-forwarder/cb-event-forwarder.conf

  3. Nella sezione [bridge], configura le seguenti impostazioni:

    [bridge]
server_name=cbserver

  4. Se cb-event-forwarder è installato su un host separato dal server EDR, fornisci le credenziali e il nome host di RabbitMQ:

    rabbit_mq_username=cb
rabbit_mq_password=<RABBITMQ_PASSWORD>
cb_server_hostname=<EDR_SERVER_IP_OR_HOSTNAME>

  5. (Facoltativo) Imposta cb_server_url per attivare i link diretti negli eventi inoltrati:

    cb_server_url=https://<YOUR_EDR_SERVER_FQDN>

  6. Configura il tipo e il formato di output per la distribuzione S3:

    output_type=s3
output_format=json
s3out=<TEMP_DIR>:<AWS_REGION>:<S3_BUCKET_NAME>

  7. (Facoltativo) Configura impostazioni S3 aggiuntive nella sezione [s3]:

    [s3]
bundle_send_timeout=300
upload_empty_files=false
bundle_size_max=10485760

  8. Configura gli eventi da inoltrare:

    events_raw_sensor=0
events_watchlist=ALL
events_feed=ALL
events_alert=ALL

  9. Salva e chiudi il file di configurazione.

  10. Riavvia il servizio cb-event-forwarder:

    sudo systemctl restart cb-event-forwarder

  11. Verifica che il servizio sia in esecuzione:

    sudo systemctl status cb-event-forwarder

Per maggiori informazioni, consulta il repository cb-event-forwarder su GitHub.

Configura il bucket AWS S3 e IAM per Google SecOps

  1. Crea un bucket Amazon S3 seguendo questa guida utente: Creazione di un bucket.
  2. Salva il nome e la regione del bucket per riferimento futuro.
  3. Crea un utente seguendo questa guida utente: Creazione di un utente IAM.
  4. Seleziona l'utente creato.
  5. Seleziona la scheda Credenziali di sicurezza.
  6. Fai clic su Crea chiave di accesso nella sezione Chiavi di accesso.
  7. Seleziona Servizio di terze parti come Caso d'uso.
  8. Fai clic su Avanti.
  9. (Facoltativo) Aggiungi un tag di descrizione.
  10. Fai clic su Crea chiave di accesso.
  11. Fai clic su Scarica file .csv per salvare la chiave di accesso e la chiave di accesso segreta per riferimento futuro.
  12. Fai clic su Fine.
  13. Seleziona la scheda Autorizzazioni.
  14. Fai clic su Aggiungi autorizzazioni nella sezione Criteri di autorizzazione.
  15. Seleziona Aggiungi autorizzazioni.
  16. Seleziona Allega direttamente le norme.
  17. Cerca la policy AmazonS3FullAccess.
  18. Seleziona la policy.
  19. Fai clic su Avanti.
  20. Fai clic su Aggiungi autorizzazioni.

Configura un feed in Google SecOps per importare i log EDR di Carbon Black

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo feed.
  3. Nella pagina successiva, fai clic su Configura un singolo feed.
  4. Inserisci un nome univoco per il nome feed.
  5. Seleziona Amazon S3 V2 come Tipo di origine.
  6. Seleziona Carbon Black EDR come Tipo di log.
  7. Fai clic su Avanti e poi su Invia.

  8. Specifica i valori per i seguenti campi:

    • URI S3: s3://<S3_BUCKET_NAME>/
    • Opzione di eliminazione dell'origine: seleziona l'opzione di eliminazione in base alle tue preferenze.
    • Età massima del file: includi i file modificati nell'ultimo numero di giorni (il valore predefinito è 180 giorni)
    • ID chiave di accesso: chiave di accesso utente con accesso al bucket S3
    • Chiave di accesso segreta: chiave segreta dell'utente con accesso al bucket S3
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed

  9. Fai clic su Avanti e poi su Invia.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
ioc_about about Unita
ioc_attrs_highlights_about about Unita
ioc_qs_about about Unita
local_about about Unita
remote_about about Unita
additional_blocked_threat_category additional.fields Unita
additional_cmdline additional.fields Unita
additional_created_by_event_id additional.fields Unita
additional_crossproc_api additional.fields Unita
additional_crossproc_guid additional.fields Unita
additional_crossproc_md5 additional.fields Unita
additional_crossproc_rep additional.fields Unita
additional_crossproc_sha256 additional.fields Unita
additional_crossproc_target additional.fields Unita
additional_data additional.fields Unita
additional_device_location additional.fields Unita
additional_dns_name additional.fields Unita
additional_event_id additional.fields Unita
additional_fileless_scriptload_cmdline_length additional.fields Unita
additional_fileless_scriptload_hash additional.fields Unita
additional_first_event_time additional.fields Unita
additional_ioc_confidence additional.fields Unita
additional_ioc_query_index additional.fields Unita
additional_ioc_query_string additional.fields Unita
additional_ioc_type additional.fields Unita
additional_ja3 additional.fields Unita
additional_ja3s additional.fields Unita
additional_last_event_time additional.fields Unita
additional_last_update_time additional.fields Unita
additional_not_blocked_threat_category additional.fields Unita
additional_parent_name additional.fields Unita
additional_path additional.fields Unita
additional_policy_applied additional.fields Unita
additional_policy_id additional.fields Unita
additional_process_name additional.fields Unita
additional_process_name_field additional.fields Unita
additional_process_sha256 additional.fields Unita
additional_reason_code additional.fields Unita
additional_regmod_count additional.fields Unita
additional_report_id additional.fields Unita
additional_run_state additional.fields Unita
additional_scriptload_count additional.fields Unita
additional_scriptload_rep additional.fields Unita
additional_start additional.fields Unita
additional_status additional.fields Unita
additional_threat_cause_actor_process_pid additional.fields Unita
additional_threat_cause_actor_sha256 additional.fields Unita
additional_threat_cause_cause_event_id additional.fields Unita
additional_threat_cause_reputation additional.fields Unita
additional_threat_cause_threat_category additional.fields Unita
additional_threat_cause_vector additional.fields Unita
additional_username additional.fields Unita
additional_watchlist_id additional.fields Unita
additional_watchlist_name additional.fields Unita
additional_workflow_changed_by additional.fields Unita
additional_workflow_comment additional.fields Unita
additional_workflow_remediation additional.fields Unita
additional_workflow_state additional.fields Unita
alert_origin_label additional.fields Unita
change_timestamp_label additional.fields Unita
changed_by_label additional.fields Unita
changed_by_type_label additional.fields Unita
closure_reason_label additional.fields Unita
comms_ip_label additional.fields Unita
detection_timestamp_label additional.fields Unita
index_type_label additional.fields Unita
last_event_timestamp_label additional.fields Unita
last_update_label additional.fields Unita
parent_effective_reputation_label additional.fields Unita
parent_reputation_label additional.fields Unita
primary_event_id_label additional.fields Unita
process_effective_reputation_label additional.fields Unita
process_issuer_label additional.fields Unita
process_publisher_label additional.fields Unita
product_name_label additional.fields Unita
search_query_label additional.fields Unita
segment_id_label additional.fields Unita
start_time_label additional.fields Unita
status_label additional.fields Unita
vendor_name_label additional.fields Unita
_intermediary intermediary Unita
intermediary intermediary Unita
device_name intermediary.asset.hostname Mappato direttamente
device_internal_ip intermediary.asset.ip Unita
device_name intermediary.hostname Mappato direttamente
comms_ip intermediary.ip Unita
device_internal_ip intermediary.ip Unita
intermediary_ip intermediary.ip Unita
description metadata.description Mappato direttamente
event_description metadata.description Rinominate/mappate
reason metadata.description Mappato direttamente
action metadata.product_event_type Mappato direttamente
type metadata.product_event_type Mappato direttamente
id metadata.product_log_id Mappato direttamente
cb_version metadata.product_version Mappato direttamente
alert_url metadata.url_back_to_product Mappato direttamente
direction network.direction Mappato direttamente
ioc_attr.direction network.direction Mappato direttamente
ioc_attr.protocol network.ip_protocol Mappato direttamente
ip_protocol_out network.ip_protocol Rinominate/mappate
session_id network.session_id Mappato direttamente
proxy_domain observer.hostname Mappato direttamente
proxy_ip observer.ip Unita
proxy_port observer.port Rinominate/mappate
device_username principal.administrative_domain Mappato direttamente
domain principal.administrative_domain Mappato direttamente
orgName principal.administrative_domain Mappato direttamente
deviceInfo.deviceId principal.asset.asset_id Mappato direttamente
device_id principal.asset.asset_id Mappato direttamente
asset_group_label principal.asset.attribute.labels Unita
device_target_value_label principal.asset.attribute.labels Unita
device_uem_id_label principal.asset.attribute.labels Unita
computer_name principal.asset.hostname Mappato direttamente
dev_hostname principal.asset.hostname Mappato direttamente
device_name principal.asset.hostname Mappato direttamente
host principal.asset.hostname Mappato direttamente
clientIp principal.asset.ip Unita
deviceInfo.internalIpAddress principal.asset.ip Unita
device_external_ip principal.asset.ip Unita
device_internal_ip principal.asset.ip Unita
docs.0.interface_ip principal.asset.ip Unita
interface_ip principal.asset.ip Unita
local_ip principal.asset.ip Unita
remote_ip principal.asset.ip Unita
device_location principal.asset.location.name Mappato direttamente
deviceInfo.deviceVersion principal.asset.platform_software.platform_version Mappato direttamente
sensor_id principal.asset_id Mappato direttamente
deviceInfo.groupName principal.group.group_display_name Mappato direttamente
device_group principal.group.group_display_name Mappato direttamente
group principal.group.group_display_name Mappato direttamente
computer_name principal.hostname Mappato direttamente
dev_hostname principal.hostname Mappato direttamente
device_name principal.hostname Mappato direttamente
host principal.hostname Mappato direttamente
clientIp principal.ip Unita
deviceInfo.internalIpAddress principal.ip Unita
device_external_ip principal.ip Unita
device_internal_ip principal.ip Unita
docs.0.interface_ip principal.ip Unita
interface_ip principal.ip Unita
local_ip principal.ip Unita
remote_ip principal.ip Unita
device_external_ip principal.nat_ip Unita
normalized_device_os principal.platform Mappato direttamente
device_os_version principal.platform_version Mappato direttamente
local_port principal.port Rinominate/mappate
remote_port principal.port Rinominate/mappate
process_cmdline principal.process.command_line Mappato direttamente
parent_path principal.process.file.full_path Mappato direttamente
process_name principal.process.file.full_path Mappato direttamente
process_path principal.process.file.full_path Mappato direttamente
doc.process_md5 principal.process.file.md5 Mappato direttamente
md5 principal.process.file.md5 Mappato direttamente
parent_md5 principal.process.file.md5 Mappato direttamente
process_hash.0 principal.process.file.md5 Mappato direttamente
process_md5 principal.process.file.md5 Mappato direttamente
doc.process_sha256 principal.process.file.sha256 Mappato direttamente
process_hash.1 principal.process.file.sha256 Mappato direttamente
process_sha256 principal.process.file.sha256 Mappato direttamente
sha256 principal.process.file.sha256 Mappato direttamente
parent_cmdline principal.process.parent_process.command_line Mappato direttamente
parent_name principal.process.parent_process.file.full_path Mappato direttamente
parent_path principal.process.parent_process.file.full_path Mappato direttamente
val.parent_name principal.process.parent_process.file.full_path Mappato direttamente
parent_hash.0 principal.process.parent_process.file.md5 Mappato direttamente
parent_md5 principal.process.parent_process.file.md5 Mappato direttamente
parent_hash.1 principal.process.parent_process.file.sha256 Mappato direttamente
parent_sha256 principal.process.parent_process.file.sha256 Mappato direttamente
doc.parent_pid principal.process.parent_process.pid Mappato direttamente
parent_pid principal.process.parent_process.pid Mappato direttamente
doc.parent_guid principal.process.parent_process.product_specific_process_id Mappato direttamente
parent_guid principal.process.parent_process.product_specific_process_id Mappato direttamente
parent_username principal.process.parent_process.user.userid Rinominate/mappate
doc.process_pid principal.process.pid Mappato direttamente
parent_pid principal.process.pid Mappato direttamente
pid principal.process.pid Mappato direttamente
process_id principal.process.pid Mappato direttamente
process_pid principal.process.pid Mappato direttamente
parent_process_guid principal.process.product_specific_process_id Mappato direttamente
process_guid principal.process.product_specific_process_id Mappato direttamente
org_key_label principal.resource.attribute.labels Unita
feed_id principal.resource.id Mappato direttamente
feed_name principal.resource.name Mappato direttamente
link_process principal.url Rinominate/mappate
process_username principal.user.user_display_name Mappato direttamente
dev_username principal.user.userid Rinominate/mappate
process_username principal.user.userid Mappato direttamente
username principal.user.userid Mappato direttamente
_security_result security_result Unita
_security_result0 security_result Unita
sec_result security_result Unita
security_result security_result Unita
security_result_attack security_result Unita
sec_action security_result.action Unita
policy_applied security_result.action_details Mappato direttamente
tactic security_result.attack_details.tactics Unita
category security_result.category_details Unita
report_description security_result.description Mappato direttamente
alert_notes_present_label security_result.detection_fields Unita
childproc_effective_reputation_label security_result.detection_fields Unita
childproc_publisher_name_label security_result.detection_fields Unita
childproc_publisher_state_label security_result.detection_fields Unita
childproc_rep_label security_result.detection_fields Unita
detection_action security_result.detection_fields Unita
detection_blocked_threat_category security_result.detection_fields Unita
detection_crossproc_publisher_name security_result.detection_fields Unita
detection_crossproc_publisher_state security_result.detection_fields Unita
detection_event_origin security_result.detection_fields Unita
detection_event_origin_proc_publisher_name security_result.detection_fields Unita
detection_event_origin_proc_publisher_state security_result.detection_fields Unita
detection_fileless_scriptload_cmdline security_result.detection_fields Unita
detection_ioc_hit security_result.detection_fields Unita
detection_ioc_id security_result.detection_fields Unita
detection_not_blocked_threat_category security_result.detection_fields Unita
detection_policy_name security_result.detection_fields Unita
detection_report_link security_result.detection_fields Unita
detection_report_name security_result.detection_fields Unita
detection_run_state security_result.detection_fields Unita
detection_scriptload_eff_rep security_result.detection_fields Unita
detection_scriptload_publisher security_result.detection_fields Unita
detection_sensor_action security_result.detection_fields Unita
detection_threat_cause_actor_name security_result.detection_fields Unita
detection_threat_cause_actor_sha256 security_result.detection_fields Unita
detection_threat_cause_threat_category security_result.detection_fields Unita
determination_change_timestamp_label security_result.detection_fields Unita
determination_changed_by_label security_result.detection_fields Unita
determination_changed_by_type_label security_result.detection_fields Unita
determination_value_label security_result.detection_fields Unita
device_policy_id_label security_result.detection_fields Unita
id_label security_result.detection_fields Unita
is_updated_label security_result.detection_fields Unita
label_alert_severity security_result.detection_fields Unita
label_device_priority_field security_result.detection_fields Unita
label_eff_rep security_result.detection_fields Unita
label_modload_count security_result.detection_fields Unita
label_modload_md5 security_result.detection_fields Unita
label_modload_publisher_name security_result.detection_fields Unita
label_modload_publisher_state security_result.detection_fields Unita
label_modload_sha256 security_result.detection_fields Unita
mdr_alert_label security_result.detection_fields Unita
mdr_alert_notes_present_label security_result.detection_fields Unita
mdr_threat_notes_present_label security_result.detection_fields Unita
modload_label security_result.detection_fields Unita
name_label security_result.detection_fields Unita
parent_username_label security_result.detection_fields Unita
process_reputation_label security_result.detection_fields Unita
process_username_label security_result.detection_fields Unita
reason_code_label security_result.detection_fields Unita
run_state_label security_result.detection_fields Unita
tags_label security_result.detection_fields Unita
threat_notes_present_label security_result.detection_fields Unita
workflow_status_label security_result.detection_fields Unita
device_policy security_result.rule_name Mappato direttamente
severity security_result.severity Mappato direttamente
threat_id security_result.threat_id Mappato direttamente
threat_cause_actor_name security_result.threat_name Mappato direttamente
device_external_ip target.asset.ip Unita
ioc_value target.asset.ip Unita
local_ip target.asset.ip Unita
netconn_ip target.asset.ip Unita
remote_ip target.asset.ip Unita
filemod_name target.file.full_path Mappato direttamente
path target.file.full_path Mappato direttamente
process_path target.file.full_path Mappato direttamente
utf8_on_disk_filename target.file.full_path Mappato direttamente
file_md5 target.file.md5 Mappato direttamente
filemod_hash.0 target.file.md5 Rinominate/mappate
md5 target.file.md5 Mappato direttamente
file_sha256 target.file.sha256 Mappato direttamente
filemod_hash.1 target.file.sha256 Rinominate/mappate
sha256 target.file.sha256 Mappato direttamente
size target.file.size Rinominate/mappate
group target.group.group_display_name Mappato direttamente
domain target.hostname Mappato direttamente
netconn_domain target.hostname Mappato direttamente
deviceInfo.externalIpAddress target.ip Unita
device_external_ip target.ip Unita
ioc_value target.ip Unita
local_ip target.ip Unita
netconn_ip target.ip Unita
remote_ip target.ip Unita
normalized_device_os target.platform Mappato direttamente
local_port target.port Rinominate/mappate
remote_port target.port Rinominate/mappate
requested_access target.process.access_mask Rinominate/mappate
child_command_line target.process.command_line Mappato direttamente
childproc_cmdline target.process.command_line Mappato direttamente
cmdline target.process.command_line Mappato direttamente
command_line target.process.command_line Mappato direttamente
docs.0.cmdline target.process.command_line Mappato direttamente
process_cmdline target.process.command_line Mappato direttamente
target_cmdline target.process.command_line Mappato direttamente
childproc_name target.process.file.full_path Mappato direttamente
crossproc_name target.process.file.full_path Mappato direttamente
docs.0.path target.process.file.full_path Mappato direttamente
modload_name target.process.file.full_path Mappato direttamente
path target.process.file.full_path Mappato direttamente
process_path target.process.file.full_path Mappato direttamente
target_path target.process.file.full_path Mappato direttamente
childproc_hash.0 target.process.file.md5 Rinominate/mappate
md5 target.process.file.md5 Mappato direttamente
target_md5 target.process.file.md5 Mappato direttamente
childproc_hash.1 target.process.file.sha256 Rinominate/mappate
childproc_sha256 target.process.file.sha256 Mappato direttamente
sha256 target.process.file.sha256 Mappato direttamente
target_sha256 target.process.file.sha256 Mappato direttamente
parent_path target.process.parent_process.file.full_path Mappato direttamente
docs.0.parent_pid target.process.parent_process.pid Mappato direttamente
parent_pid target.process.parent_process.pid Mappato direttamente
docs.0.parent_guid target.process.parent_process.product_specific_process_id Mappato direttamente
child_pid target.process.pid Mappato direttamente
childproc_pid target.process.pid Rinominate/mappate
docs.0.process_pid target.process.pid Mappato direttamente
pid target.process.pid Mappato direttamente
process_pid target.process.pid Mappato direttamente
target_pid target.process.pid Mappato direttamente
child_process_guid target.process.product_specific_process_id Mappato direttamente
childproc_guid target.process.product_specific_process_id Mappato direttamente
docs.0.process_guid target.process.product_specific_process_id Mappato direttamente
process_guid target.process.product_specific_process_id Mappato direttamente
target_process_guid target.process.product_specific_process_id Mappato direttamente
path target.registry.registry_key Mappato direttamente
path1 target.registry.registry_key Mappato direttamente
regmod_key target.registry.registry_key Mappato direttamente
regmod_name target.registry.registry_key Mappato direttamente
regmod_value target.registry.registry_value_name Mappato direttamente
value_name target.registry.registry_value_name Mappato direttamente
product_id_label target.resource.attribute.labels Unita
serial_number_label target.resource.attribute.labels Unita
vendor_id_label target.resource.attribute.labels Unita
report_id target.resource.id Mappato direttamente
watchlist_id target.resource.id Mappato direttamente
external_device_friendly_name target.resource.name Mappato direttamente
watchlist_name target.resource.name Mappato direttamente
docs.0.link_process target.url Mappato direttamente
loginName target.user.email_addresses Unita
child_username target.user.userid Mappato direttamente
childproc_username target.user.userid Mappato direttamente
docs.0.username target.user.userid Rinominate/mappate
loginName target.user.userid Mappato direttamente
N/D about Costante: local_about
N/D additional.fields Costante: additional_data
N/D extensions.auth.type Costante: AUTHTYPE_UNSPECIFIED
N/D intermediary Costante: _intermediary
N/D intermediary.asset.ip Costante: device_internal_ip
N/D intermediary.ip Costante: device_internal_ip
N/D metadata.event_type Costante: GENERIC_EVENT
N/D metadata.product_name Costante: EDR
N/D metadata.vendor_name Costante: Carbon Black
N/D network.direction Costante: INBOUND
N/D network.ip_protocol Costante: TCP
N/D observer.ip Costante: proxy_ip
N/D principal.asset.attribute.labels Costante: device_uem_id_label
N/D principal.asset.ip Costante: local_ip
N/D principal.asset.platform_software.platform Costante: WINDOWS
N/D principal.ip Costante: local_ip
N/D principal.nat_ip Costante: device_external_ip
N/D principal.platform Costante: WINDOWS
N/D principal.resource.attribute.labels Costante: org_key_label
N/D principal.resource.resource_subtype Costante: Feed
N/D security_result Costante: security_result
N/D security_result.action Costante: sec_action
N/D security_result.alert_state Costante: ALERTING
N/D security_result.attack_details.tactics Costante: tactic
N/D security_result.category_details Costante: category
N/D security_result.detection_fields Costante: process_reputation_label
N/D security_result.severity Costante: LOW
N/D target.asset.ip Costante: device_external_ip
N/D target.ip Costante: device_external_ip
N/D target.resource.attribute.labels Costante: vendor_id_label
N/D target.resource.name Costante: report_id
N/D target.resource.type Costante: watchlist
N/D target.user.email_addresses Costante: loginName
org_key event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
workflow.changed_by event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
primary_event_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
workflow.closure_reason event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
workflow.changed_by_type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
alert_origin event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
device_username event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
vendor_name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
product_name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tags event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
run_state event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
workflow.status event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
alert_notes_present event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
threat_notes_present event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
is_updated event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
device_policy_id event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
mdr_alert event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
mdr_alert_notes_present event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
mdr_threat_notes_present event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
determination.changed_by event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
determination.changed_by_type event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
determination.value event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
reason_code event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
device_uem_id event.idm.read_only_udm.principal.asset.attribute.labels Mappato dal log delle modifiche
device_target_value event.idm.read_only_udm.principal.asset.attribute.labels Mappato dal log delle modifiche
asset_group event.idm.read_only_udm.principal.asset.attribute.labels Mappato dal log delle modifiche
device_policy event.idm.read_only_udm.security_result.rule_name Mappato dal log delle modifiche
device_location event.idm.read_only_udm.principal.asset.location.name Mappato dal log delle modifiche
device_os_version event.idm.read_only_udm.principal.platform_version Mappato dal log delle modifiche
vendor_id event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
product_id event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
serial_number event.idm.read_only_udm.target.resource.attribute.labels Mappato dal log delle modifiche
external_device_friendly_name event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
first_event_timestamp event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
policy_applied event.idm.read_only_udm.security_result.action_details Mappato dal log delle modifiche
device_internal_ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
threat_id event.idm.read_only_udm.security_result.threat_id Mappato dal log delle modifiche
severity event.idm.read_only_udm.security_result.severity Mappato dal log delle modifiche
id event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
feed_id event.idm.read_only_udm.principal.resource.id Mappato dal log delle modifiche
intermediary_ip event.idm.read_only_udm.intermediary.ip Mappato dal log delle modifiche
session_id event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
interface_ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
host event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
reason event.idm.read_only_udm.metadata.description Mappato dal log delle modifiche
segment_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
index_type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
search_query event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
start_time event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
last_update event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
watchlist_id event.idm.read_only_udm.target.resource.id Mappato dal log delle modifiche
watchlist_name event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
group event.idm.read_only_udm.target.group.group_display_name Mappato dal log delle modifiche
report_id event.idm.read_only_udm.target.resource.id Mappato dal log delle modifiche
report_id event.idm.read_only_udm.target.resource.name Mappato dal log delle modifiche
process_sha256 event.idm.read_only_udm.principal.process.file.sha256 Mappato dal log delle modifiche
alliance_data_attackframework event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
alliance_updated_attackframework event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
alliance_score_attackframework event.idm.read_only_udm.security_result.confidence_score Mappato dal log delle modifiche
alliance_link_attackframework event.idm.read_only_udm.security_result.url_back_to_product Mappato dal log delle modifiche
comms_ip event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.