Check Point EDR-Logs erfassen

Parserversion:20.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Check Point EDR-Logs (SandBlast) mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Check Point EDR generiert Logs für die Erkennung von Bedrohungen auf Endpunkten, Prozessaktivitäten, Dateiereignisse und Netzwerkverbindungen. Der Parser extrahiert CEF- und Schlüssel/Wert-Felder und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und der Check Point-Appliance
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf Check Point Appliance mit SandBlast

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Hinweis :Der JSON-Schlüssel ist eine Anmeldedaten. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird der neueste Release installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

  Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/checkpoint_edr:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: CHECKPOINT_EDR
      raw_log_field: body
  
  service:
    pipelines:
      logs/checkpoint_edr_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/checkpoint_edr
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
    • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/checkpoint_edr:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CHECKPOINT_EDR
      raw_log_field: body
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Logs auf Fehler prüfen:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Prüfen Sie die Logs auf Fehler:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog in Check Point 1500 Appliance Series konfigurieren

1. Melden Sie sich bei der Checkpoint-Appliance an.
2. Gehen Sie zu Logs & Monitoring > Log Servers > Syslog Servers.
3. Klicken Sie auf Konfigurieren.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Protokoll: Wählen Sie UDP aus.
   • Name: Geben Sie einen aussagekräftigen Namen ein.
   • IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agents ein.
   • Port: Geben Sie die Portnummer des Bindplane-Agents ein.
   • Wählen Sie Log-Server aktivieren aus.
   • Wählen Sie die weiterzuleitenden Protokolle aus: sowohl System- als auch Sicherheitsprotokolle.
5. Klicken Sie auf Übernehmen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
action	event.idm.read_only_udm.security_result.action	Direkt aus dem CEF-Feld action zugeordnet.
action_comment	event.idm.read_only_udm.additional.fields[<N>].key: action_comment event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von action_comment	Wird direkt aus dem Feld action_comment zugeordnet.
action_details	event.idm.read_only_udm.security_result.action_details	Direkt aus dem CEF-Feld action_details zugeordnet.
additional_info	event.idm.read_only_udm.additional.fields[<N>].key: additional_info event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von additional_info	Wird direkt aus dem Feld additional_info zugeordnet.
am_update_proxy	event.idm.read_only_udm.intermediary.domain.name	Wird direkt aus dem Feld am_update_proxy zugeordnet.
am_update_source	event.idm.read_only_udm.target.url	Wird direkt aus dem Feld am_update_source zugeordnet.
client_version	event.idm.read_only_udm.metadata.product_version	Wird direkt aus dem Feld client_version zugeordnet.
cn1	event.idm.read_only_udm.security_result.severity	Wird aus dem CEF-Feld cn1 zugeordnet und in UDM-Schweregradwerte (CRITICAL, HIGH, MEDIUM, LOW, INFO) konvertiert.
cs1	event.idm.read_only_udm.additional.fields[<N>].key: Connectivity State event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von cs1	Wird direkt aus dem Feld cs1 zugeordnet.
description	event.idm.read_only_udm.metadata.description	Direkt aus dem CEF-Feld description zugeordnet.
deviceDirection	event.idm.read_only_udm.network.direction	Aus dem Feld deviceDirection zugeordnet. Der Wert 0 wird INBOUND zugeordnet, andere Werte werden nicht zugeordnet.
deviceFacility	event.idm.read_only_udm.additional.fields[<N>].key: deviceFacility event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von deviceFacility	Wird direkt aus dem Feld deviceFacility zugeordnet.
dst	event.idm.read_only_udm.network.target.ip	Wird direkt aus dem Feld dst zugeordnet, wenn event_type den Wert Firewall hat.
engine_ver	event.idm.read_only_udm.additional.fields[<N>].key: engine_ver event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von engine_ver	Wird direkt aus dem Feld engine_ver zugeordnet.
ep_rule_id	event.idm.read_only_udm.firewall.firewall_rule_id	Wird direkt aus dem Feld ep_rule_id zugeordnet, wenn event_type den Wert Firewall hat.
event_type	event.idm.read_only_udm.metadata.product_event_type	Direkt aus dem CEF-Feld event_type zugeordnet.
failed_updates	event.idm.read_only_udm.additional.fields[<N>].key: failed_updates event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von failed_updates	Wird direkt aus dem Feld failed_updates zugeordnet.
file_md5	event.idm.read_only_udm.source_file.hash_md5	Wird direkt aus dem Feld file_md5 zugeordnet, wenn event_type den Wert TE Event hat.
file_name	event.idm.read_only_udm.source_file.file_name	Wird direkt aus dem Feld file_name zugeordnet, wenn event_type den Wert TE Event hat.
file_sha1	event.idm.read_only_udm.source_file.hash_sha1	Direkt aus dem Feld file_sha1 zugeordnet, wenn event_type gleich TE Event ist.
file_sha256	event.idm.read_only_udm.source_file.hash_sha256	Wird direkt aus dem Feld file_sha256 zugeordnet, wenn event_type den Wert TE Event hat.
host_type	event.idm.read_only_udm.principal.asset.type	Aus dem Feld host_type zugeordnet. Desktop wird in WORKSTATION konvertiert und der Wert wird in Großbuchstaben umgewandelt.
ifdir	event.idm.read_only_udm.network.direction	Wird direkt aus dem Feld ifdir zugeordnet und in Großbuchstaben geschrieben, wenn event_type den Wert Firewall hat.
installed_products	event.idm.read_only_udm.principal.asset.software.name	Wird direkt aus dem Feld installed_products zugeordnet.
is_scanned	sec_res.detection_fields[<N>].key: is_scanned sec_res.detection_fields[<N>].value: Wert von is_scanned	Wird direkt aus dem Feld is_scanned zugeordnet.
local_time	event.idm.read_only_udm.additional.fields[<N>].key: local_time event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von local_time	Direkt aus dem Feld local_time zugeordnet.
log_type	event.idm.read_only_udm.metadata.log_type	Direkt aus dem Feld log_type zugeordnet.
loguid	event.idm.read_only_udm.metadata.product_log_id	Direkt aus dem Feld loguid zugeordnet.
machine_guid	event.idm.read_only_udm.principal.asset.product_object_id	Wird direkt aus dem Feld machine_guid zugeordnet.
media_authorized	event.idm.read_only_udm.additional.fields[<N>].key: media_authorized event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_authorized	Wird direkt aus dem Feld media_authorized zugeordnet.
media_class_id	event.idm.read_only_udm.additional.fields[<N>].key: media_class_id event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_class_id	Direkt aus dem Feld media_class_id zugeordnet.
media_description	event.idm.read_only_udm.additional.fields[<N>].key: media_description event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_description	Direkt aus dem Feld media_description zugeordnet.
media_encrypted	event.idm.read_only_udm.additional.fields[<N>].key: media_encrypted event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_encrypted	Wird direkt aus dem Feld media_encrypted zugeordnet.
media_manufacturer	event.idm.read_only_udm.additional.fields[<N>].key: media_manufacturer event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_manufacturer	Direkt aus dem Feld media_manufacturer zugeordnet.
media_type	event.idm.read_only_udm.additional.fields[<N>].key: media_type event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_type	Wird direkt aus dem Feld media_type zugeordnet.
msg	event.idm.read_only_udm.metadata.description	Direkt aus dem CEF-Feld msg zugeordnet.
origin	event.idm.read_only_udm.about.ip	Direkt aus dem CEF-Feld origin zugeordnet.
os_name	event.idm.read_only_udm.additional.fields[<N>].key: os_name event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von os_name	Direkt aus dem Feld os_name zugeordnet.
os_version	event.idm.read_only_udm.principal.asset.platform_software.platform_version	Direkt aus dem Feld os_version zugeordnet.
policy_date	event.idm.read_only_udm.additional.fields[<N>].key: policy_date event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von policy_date	Wird direkt aus dem Feld policy_date zugeordnet.
policy_guid	event.idm.read_only_udm.principal.resource.product_object_id	Wird direkt aus dem Feld policy_guid zugeordnet.
policy_name	event.idm.read_only_udm.principal.resource.name	Wird direkt aus dem Feld policy_name zugeordnet.
policy_number	event.idm.read_only_udm.principal.resource.product_object_id	Direkt aus dem Feld policy_number zugeordnet.
policy_type	event.idm.read_only_udm.additional.fields[<N>].key: policy_type event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von policy_type	Direkt aus dem Feld policy_type zugeordnet.
policy_version	event.idm.read_only_udm.additional.fields[<N>].key: policy_version event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von policy_version	Wird direkt aus dem Feld policy_version zugeordnet.
product	event.idm.read_only_udm.metadata.product_name	Direkt aus dem CEF-Feld product zugeordnet.
proto	event.idm.read_only_udm.network.protocol	Wird direkt aus dem Feld proto zugeordnet, wenn event_type den Wert Firewall hat.
reading_data_access	event.idm.read_only_udm.additional.fields[<N>].key: reading_data_access event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von reading_data_access	Wird direkt aus dem Feld reading_data_access zugeordnet.
requestClientApplication	event.idm.read_only_udm.network.http.user_agent	Direkt aus dem Feld requestClientApplication zugeordnet.
result	event.idm.read_only_udm.security_result.summary	Wird direkt aus dem Feld result zugeordnet.
rt	event.idm.read_only_udm.metadata.event_timestamp.seconds	Wird aus dem Feld rt abgeleitet, durch 1.000 geteilt und der ganzzahlige Teil wird als Sekunden verwendet.
rule_name	event.idm.read_only_udm.firewall.firewall_rule	Direkt aus dem Feld rule_name zugeordnet, wenn event_type gleich Firewall ist.
s_port	event.idm.read_only_udm.network.client.port	Direkt aus dem Feld s_port zugeordnet, wenn event_type gleich Firewall ist.
sequencenum	event.idm.read_only_udm.additional.fields[<N>].key: sequencenum event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von sequencenum	Wird direkt aus dem Feld sequencenum zugeordnet.
service	event.idm.read_only_udm.network.target.port	Wird direkt aus dem Feld service zugeordnet, wenn event_type den Wert Firewall hat.
severity	event.idm.read_only_udm.security_result.severity	Wird aus dem Feld severity zugeordnet und in UDM-Schweregradwerte (CRITICAL, HIGH, MEDIUM, LOW, INFO) konvertiert.
shost	event.idm.read_only_udm.principal.hostname	Direkt aus dem CEF-Feld shost zugeordnet.
sig_ver	event.idm.read_only_udm.additional.fields[<N>].key: sig_ver event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von sig_ver	Wird direkt aus dem Feld sig_ver zugeordnet.
src	event.idm.read_only_udm.principal.ip	Direkt aus dem CEF-Feld src zugeordnet.
src_machine_name	event.idm.read_only_udm.principal.hostname	Wird direkt aus dem Feld src_machine_name zugeordnet, wenn event_type leer ist.
subject	event.idm.read_only_udm.task.task_name	Wird direkt aus dem Feld subject zugeordnet, wenn event_type leer ist.
suser	event.idm.read_only_udm.principal.user.user_display_name	Direkt aus dem CEF-Feld suser zugeordnet.
time	event.idm.read_only_udm.metadata.event_timestamp.seconds	Wird direkt aus dem Feld time zugeordnet und in Unix-Epochensekunden konvertiert.
user_name	event.idm.read_only_udm.principal.user.email_addresses	Direkt aus dem CEF-Feld user_name zugeordnet.
user_sid	event.idm.read_only_udm.principal.user.windows_sid	Direkt aus dem Feld user_sid zugeordnet.
version	event.idm.read_only_udm.additional.fields[<N>].key: version event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von version	Wird direkt aus dem Feld version zugeordnet.
writing_data_access	event.idm.read_only_udm.additional.fields[<N>].key: writing_data_access event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von writing_data_access	Direkt aus dem Feld writing_data_access zugeordnet.
–	event.idm.read_only_udm.metadata.event_type	Wird auf GENERIC_EVENT gesetzt, wenn weder principal.ip, principal.hostname noch principal.mac im Rohlog vorhanden sind, andernfalls auf STATUS_UPDATE.
–	event.idm.read_only_udm.metadata.vendor_name	Konstanter Wert: Check Point.
–	event.idm.read_only_udm.metadata.log_type	Konstanter Wert: CHECKPOINT_EDR.
–	event.idm.read_only_udm.principal.asset.platform_software.platform	Wird auf WINDOWS gesetzt, wenn os_name WINDOWS oder Windows enthält.
–	event.idm.read_only_udm.network.http.user_agent	Wird auf Check Point Endpoint Security Client gesetzt, wenn requestClientApplication vorhanden ist.
–	event.edr.data_source	Konstanter Wert: CHECKPOINT_SANDBLAST, wenn message nicht CEF enthält.
operation	event.idm.read_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
administrator	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
client_ip	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
objectname	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
objecttype	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
Name	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
guid1	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
guid2	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
guid3	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
guid4	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
exclusionName1	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
exclusionName4	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
action	event.idm.read_only_udm.security_result_action	Aus Änderungsprotokoll zugeordnet
session_uid	event.idm.read_only_udm.network.session_id	Aus Änderungsprotokoll zugeordnet
origin	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
Icon	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
flags	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
originsicname	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
advanced_changes	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
sendtotrackerasadvancedauditlog	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ExclusionName	event.idm.read_only_udm.principal.file.full_path	Aus Änderungsprotokoll zugeordnet
id	event.idm.read_only_udm.about.resource.product_object_id	Aus Änderungsprotokoll zugeordnet
program_file	event.idm.read_only_udm.about.file.full_path	Aus Änderungsprotokoll zugeordnet
exclusionName2	event.idm.read_only_udm.security_result.about.url	Aus Änderungsprotokoll zugeordnet
exclusionName3	event.idm.read_only_udm.security_result.about.file.full_path	Aus Änderungsprotokoll zugeordnet
auth	event.idm.read_only_udm.about.url	Aus Änderungsprotokoll zugeordnet
uid	event.idm.read_only_udm.target.resource.product_object_id	Aus Änderungsprotokoll zugeordnet
src_machine_name	event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname	Aus Änderungsprotokoll zugeordnet
src_user_name	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
src	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
dst	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
process_exe_path	event.idm.read_only_udm.principal.process.file.full_path	Aus Änderungsprotokoll zugeordnet
appi_name	event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname	Aus Änderungsprotokoll zugeordnet
matched_category	event.idm.read_only_udm.security_result.category_details	Aus Änderungsprotokoll zugeordnet
reason	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
protection_name	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
protection_type	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
usercheck_incident_uid	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
tenant_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
exclusion_engine_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
exclusion_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
virtual_groups	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
client_name	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
client_ip	event.edr.network.target_ip	Aus Änderungsprotokoll zugeordnet
origin	event.edr.network.target_ip	Aus Änderungsprotokoll zugeordnet
subject	event.edr.task.task_name	Aus Änderungsprotokoll zugeordnet
host_name	event.edr.client.hostname	Aus Änderungsprotokoll zugeordnet
ifdir	event.edr.network.direction	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten