Check Point EDR-Logs erfassen

Parserversion:20.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Check Point EDR-Logs (SandBlast) mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Check Point EDR generiert Protokolle für die Erkennung von Endpunktbedrohungen, Prozessaktivitäten, Dateiereignissen und Netzwerkverbindungen. Der Parser extrahiert CEF- und Schlüsselwertfelder und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und der Check Point-Appliance
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf Check Point-Appliance mit SandBlast

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Authentifizierungsdatei für die Aufnahme herunterladen

  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.

  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /etc/bindplane-agent/config.yaml

    Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/checkpoint_edr:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CHECKPOINT_EDR
        raw_log_field: body

service:
    pipelines:
        logs/checkpoint_edr_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/checkpoint_edr

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
    • endpoint: Regionale Endpunkt-URL:
      • USA: malachiteingestion-pa.googleapis.com
      • Europa: europe-malachiteingestion-pa.googleapis.com
      • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Eine vollständige Liste finden Sie unter Regionale Endpunkte.

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Logs auf Fehler prüfen:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog in der Check Point 1500 Appliance Series konfigurieren

  1. Melden Sie sich bei der Checkpoint Appliance an.
  2. Gehen Sie zu Logs & Monitoring > Log Servers > Syslog Servers.
  3. Klicken Sie auf Konfigurieren.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Protokoll: Wählen Sie UDP aus.
    • Name: Geben Sie einen aussagekräftigen Namen ein.
    • IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Port: Geben Sie die Portnummer des Bindplane-Agents ein.
    • Wählen Sie Log-Server aktivieren aus.
    • Wählen Sie die weiterzuleitenden Protokolle aus: sowohl System- als auch Sicherheitsprotokolle.
  5. Klicken Sie auf Übernehmen.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
action event.idm.read_only_udm.security_result.action Direkt aus dem CEF-Feld action zugeordnet.
action_comment event.idm.read_only_udm.additional.fields[<N>].key: action_comment
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von action_comment		 Direkt aus dem Feld action_comment zugeordnet.
action_details event.idm.read_only_udm.security_result.action_details Direkt aus dem CEF-Feld action_details zugeordnet.
additional_info event.idm.read_only_udm.additional.fields[<N>].key: additional_info
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von additional_info		 Direkt aus dem Feld additional_info zugeordnet.
am_update_proxy event.idm.read_only_udm.intermediary.domain.name Direkt aus dem Feld am_update_proxy zugeordnet.
am_update_source event.idm.read_only_udm.target.url Direkt aus dem Feld am_update_source zugeordnet.
client_version event.idm.read_only_udm.metadata.product_version Direkt aus dem Feld client_version zugeordnet.
cn1 event.idm.read_only_udm.security_result.severity Wird aus dem CEF-Feld cn1 zugeordnet und in UDM-Schweregradwerte (CRITICAL, HIGH, MEDIUM, LOW, INFO) konvertiert.
cs1 event.idm.read_only_udm.additional.fields[<N>].key: Connectivity State
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von cs1		 Direkt aus dem Feld cs1 zugeordnet.
description event.idm.read_only_udm.metadata.description Direkt aus dem CEF-Feld description zugeordnet.
deviceDirection event.idm.read_only_udm.network.direction Zugeordnet aus dem Feld deviceDirection. Der Wert 0 wird INBOUND zugeordnet, andere Werte werden nicht zugeordnet.
deviceFacility event.idm.read_only_udm.additional.fields[<N>].key: deviceFacility
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von deviceFacility		 Direkt aus dem Feld deviceFacility zugeordnet.
dst event.idm.read_only_udm.network.target.ip Direkt aus dem Feld dst zugeordnet, wenn event_type gleich Firewall ist.
engine_ver event.idm.read_only_udm.additional.fields[<N>].key: engine_ver
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von engine_ver		 Direkt aus dem Feld engine_ver zugeordnet.
ep_rule_id event.idm.read_only_udm.firewall.firewall_rule_id Direkt aus dem Feld ep_rule_id zugeordnet, wenn event_type gleich Firewall ist.
event_type event.idm.read_only_udm.metadata.product_event_type Direkt aus dem CEF-Feld event_type zugeordnet.
failed_updates event.idm.read_only_udm.additional.fields[<N>].key: failed_updates
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von failed_updates		 Direkt aus dem Feld failed_updates zugeordnet.
file_md5 event.idm.read_only_udm.source_file.hash_md5 Direkt aus dem Feld file_md5 zugeordnet, wenn event_type gleich TE Event ist.
file_name event.idm.read_only_udm.source_file.file_name Direkt aus dem Feld file_name zugeordnet, wenn event_type gleich TE Event ist.
file_sha1 event.idm.read_only_udm.source_file.hash_sha1 Direkt aus dem Feld file_sha1 zugeordnet, wenn event_type gleich TE Event ist.
file_sha256 event.idm.read_only_udm.source_file.hash_sha256 Direkt aus dem Feld file_sha256 zugeordnet, wenn event_type gleich TE Event ist.
host_type event.idm.read_only_udm.principal.asset.type Zugeordnet aus dem Feld host_type. Desktop wird in WORKSTATION umgewandelt und der Wert wird in Großbuchstaben ausgegeben.
ifdir event.idm.read_only_udm.network.direction Direkt aus dem Feld ifdir übernommen und in Großbuchstaben dargestellt, wenn event_type gleich Firewall ist.
installed_products event.idm.read_only_udm.principal.asset.software.name Direkt aus dem Feld installed_products zugeordnet.
is_scanned sec_res.detection_fields[<N>].key: is_scanned
sec_res.detection_fields[<N>].value: Wert von is_scanned		 Direkt aus dem Feld is_scanned zugeordnet.
local_time event.idm.read_only_udm.additional.fields[<N>].key: local_time
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von local_time		 Direkt aus dem Feld local_time zugeordnet.
log_type event.idm.read_only_udm.metadata.log_type Direkt aus dem Feld log_type zugeordnet.
loguid event.idm.read_only_udm.metadata.product_log_id Direkt aus dem Feld loguid zugeordnet.
machine_guid event.idm.read_only_udm.principal.asset.product_object_id Direkt aus dem Feld machine_guid zugeordnet.
media_authorized event.idm.read_only_udm.additional.fields[<N>].key: media_authorized
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_authorized		 Direkt aus dem Feld media_authorized zugeordnet.
media_class_id event.idm.read_only_udm.additional.fields[<N>].key: media_class_id
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_class_id		 Direkt aus dem Feld media_class_id zugeordnet.
media_description event.idm.read_only_udm.additional.fields[<N>].key: media_description
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_description		 Direkt aus dem Feld media_description zugeordnet.
media_encrypted event.idm.read_only_udm.additional.fields[<N>].key: media_encrypted
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_encrypted		 Direkt aus dem Feld media_encrypted zugeordnet.
media_manufacturer event.idm.read_only_udm.additional.fields[<N>].key: media_manufacturer
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_manufacturer		 Direkt aus dem Feld media_manufacturer zugeordnet.
media_type event.idm.read_only_udm.additional.fields[<N>].key: media_type
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von media_type		 Direkt aus dem Feld media_type zugeordnet.
msg event.idm.read_only_udm.metadata.description Direkt aus dem CEF-Feld msg zugeordnet.
origin event.idm.read_only_udm.about.ip Direkt aus dem CEF-Feld origin zugeordnet.
os_name event.idm.read_only_udm.additional.fields[<N>].key: os_name
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von os_name		 Direkt aus dem Feld os_name zugeordnet.
os_version event.idm.read_only_udm.principal.asset.platform_software.platform_version Direkt aus dem Feld os_version zugeordnet.
policy_date event.idm.read_only_udm.additional.fields[<N>].key: policy_date
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von policy_date		 Direkt aus dem Feld policy_date zugeordnet.
policy_guid event.idm.read_only_udm.principal.resource.product_object_id Direkt aus dem Feld policy_guid zugeordnet.
policy_name event.idm.read_only_udm.principal.resource.name Direkt aus dem Feld policy_name zugeordnet.
policy_number event.idm.read_only_udm.principal.resource.product_object_id Direkt aus dem Feld policy_number zugeordnet.
policy_type event.idm.read_only_udm.additional.fields[<N>].key: policy_type
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von policy_type		 Direkt aus dem Feld policy_type zugeordnet.
policy_version event.idm.read_only_udm.additional.fields[<N>].key: policy_version
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von policy_version		 Direkt aus dem Feld policy_version zugeordnet.
product event.idm.read_only_udm.metadata.product_name Direkt aus dem CEF-Feld product zugeordnet.
proto event.idm.read_only_udm.network.protocol Direkt aus dem Feld proto zugeordnet, wenn event_type gleich Firewall ist.
reading_data_access event.idm.read_only_udm.additional.fields[<N>].key: reading_data_access
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von reading_data_access		 Direkt aus dem Feld reading_data_access zugeordnet.
requestClientApplication event.idm.read_only_udm.network.http.user_agent Direkt aus dem Feld requestClientApplication zugeordnet.
result event.idm.read_only_udm.security_result.summary Direkt aus dem Feld result zugeordnet.
rt event.idm.read_only_udm.metadata.event_timestamp.seconds Wird aus dem Feld rt abgeleitet, durch 1.000 geteilt und der ganzzahlige Teil wird als Sekunden verwendet.
rule_name event.idm.read_only_udm.firewall.firewall_rule Direkt aus dem Feld rule_name zugeordnet, wenn event_type gleich Firewall ist.
s_port event.idm.read_only_udm.network.client.port Direkt aus dem Feld s_port zugeordnet, wenn event_type gleich Firewall ist.
sequencenum event.idm.read_only_udm.additional.fields[<N>].key: sequencenum
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von sequencenum		 Direkt aus dem Feld sequencenum zugeordnet.
service event.idm.read_only_udm.network.target.port Direkt aus dem Feld service zugeordnet, wenn event_type gleich Firewall ist.
severity event.idm.read_only_udm.security_result.severity Wird aus dem Feld severity zugeordnet und in UDM-Schweregradwerte (CRITICAL, HIGH, MEDIUM, LOW, INFO) konvertiert.
shost event.idm.read_only_udm.principal.hostname Direkt aus dem CEF-Feld shost zugeordnet.
sig_ver event.idm.read_only_udm.additional.fields[<N>].key: sig_ver
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von sig_ver		 Direkt aus dem Feld sig_ver zugeordnet.
src event.idm.read_only_udm.principal.ip Direkt aus dem CEF-Feld src zugeordnet.
src_machine_name event.idm.read_only_udm.principal.hostname Wird direkt aus dem Feld src_machine_name zugeordnet, wenn event_type leer ist.
subject event.idm.read_only_udm.task.task_name Wird direkt aus dem Feld subject zugeordnet, wenn event_type leer ist.
suser event.idm.read_only_udm.principal.user.user_display_name Direkt aus dem CEF-Feld suser zugeordnet.
time event.idm.read_only_udm.metadata.event_timestamp.seconds Direkt aus dem Feld time zugeordnet und in Unix-Epochensekunden umgewandelt.
user_name event.idm.read_only_udm.principal.user.email_addresses Direkt aus dem CEF-Feld user_name zugeordnet.
user_sid event.idm.read_only_udm.principal.user.windows_sid Direkt aus dem Feld user_sid zugeordnet.
version event.idm.read_only_udm.additional.fields[<N>].key: version
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von version		 Direkt aus dem Feld version zugeordnet.
writing_data_access event.idm.read_only_udm.additional.fields[<N>].key: writing_data_access
event.idm.read_only_udm.additional.fields[<N>].value.string_value: Wert von writing_data_access		 Direkt aus dem Feld writing_data_access zugeordnet.
– event.idm.read_only_udm.metadata.event_type Wird auf GENERIC_EVENT gesetzt, wenn principal.ip, principal.hostname oder principal.mac nicht im Rohlog vorhanden sind. Andernfalls wird STATUS_UPDATE festgelegt.
– event.idm.read_only_udm.metadata.vendor_name Konstanter Wert: Check Point.
– event.idm.read_only_udm.metadata.log_type Konstanter Wert: CHECKPOINT_EDR.
– event.idm.read_only_udm.principal.asset.platform_software.platform Wird auf WINDOWS gesetzt, wenn os_name WINDOWS oder Windows enthält.
– event.idm.read_only_udm.network.http.user_agent Wird auf Check Point Endpoint Security Client gesetzt, wenn requestClientApplication vorhanden ist.
– event.edr.data_source Konstanter Wert: CHECKPOINT_SANDBLAST, wenn message nicht CEF enthält.
operation event.idm.read_only_udm.metadata.product_event_type Aus dem Änderungsprotokoll zugeordnet
administrator event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
client_ip event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus dem Änderungsprotokoll zugeordnet
objectname event.idm.read_only_udm.target.resource.name Aus dem Änderungsprotokoll zugeordnet
objecttype event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
Name event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
guid1 event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
guid2 event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
guid3 event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
guid4 event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
exclusionName1 event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
exclusionName4 event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
action event.idm.read_only_udm.security_result_action Aus dem Änderungsprotokoll zugeordnet
session_uid event.idm.read_only_udm.network.session_id Aus dem Änderungsprotokoll zugeordnet
origin event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
Icon event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
flags event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
originsicname event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
advanced_changes event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
sendtotrackerasadvancedauditlog event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
ExclusionName event.idm.read_only_udm.principal.file.full_path Aus dem Änderungsprotokoll zugeordnet
id event.idm.read_only_udm.about.resource.product_object_id Aus dem Änderungsprotokoll zugeordnet
program_file event.idm.read_only_udm.about.file.full_path Aus dem Änderungsprotokoll zugeordnet
exclusionName2 event.idm.read_only_udm.security_result.about.url Aus dem Änderungsprotokoll zugeordnet
exclusionName3 event.idm.read_only_udm.security_result.about.file.full_path Aus dem Änderungsprotokoll zugeordnet
auth event.idm.read_only_udm.about.url Aus dem Änderungsprotokoll zugeordnet
uid event.idm.read_only_udm.target.resource.product_object_id Aus dem Änderungsprotokoll zugeordnet
src_machine_name event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname Aus dem Änderungsprotokoll zugeordnet
src_user_name event.idm.read_only_udm.principal.user.userid Aus dem Änderungsprotokoll zugeordnet
src event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus dem Änderungsprotokoll zugeordnet
dst event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus dem Änderungsprotokoll zugeordnet
process_exe_path event.idm.read_only_udm.principal.process.file.full_path Aus dem Änderungsprotokoll zugeordnet
appi_name event.idm.read_only_udm.target.hostname und event.idm.read_only_udm.target.asset.hostname Aus dem Änderungsprotokoll zugeordnet
matched_category event.idm.read_only_udm.security_result.category_details Aus dem Änderungsprotokoll zugeordnet
reason event.idm.read_only_udm.security_result.summary Aus dem Änderungsprotokoll zugeordnet
protection_name event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
protection_type event.idm.read_only_udm.security_result.detection_fields Aus dem Änderungsprotokoll zugeordnet
usercheck_incident_uid event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
tenant_id event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
exclusion_engine_type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
exclusion_type event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
virtual_groups event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
client_name event.idm.read_only_udm.target.resource.attribute.labels Aus dem Änderungsprotokoll zugeordnet
client_ip event.edr.network.target_ip Aus dem Änderungsprotokoll zugeordnet
origin event.edr.network.target_ip Aus dem Änderungsprotokoll zugeordnet
subject event.edr.task.task_name Aus dem Änderungsprotokoll zugeordnet
host_name event.edr.client.hostname Aus dem Änderungsprotokoll zugeordnet
ifdir event.edr.network.direction Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten