איסוף יומנים של Check Point EDR

גרסת כלי הניתוח: 20.0

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני Check Point EDR ‏ (SandBlast) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Check Point EDR יוצר יומנים לזיהוי איומים בנקודות קצה, לפעילות של תהליכים, לאירועים של קבצים ולחיבורים לרשת. הכלי לניתוח מחלץ שדות של CEF ושל צמדי מפתח/ערך וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות לרשת בין סוכן Bindplane לבין מכשיר Check Point
  • אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות ל-Check Point Appliance עם SandBlast

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על יצירת חשבון שירות.
  4. מזינים את פרטי ההגדרה הבאים:
    • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות SIEM > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

    Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/checkpoint_edr:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CHECKPOINT_EDR
    raw_log_field: body

service:
  pipelines:
    logs/checkpoint_edr_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/checkpoint_edr

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
      • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
      • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/checkpoint_edr:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CHECKPOINT_EDR
    raw_log_field: body

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת פקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת syslog ב-Check Point 1500 Appliance Series

  1. נכנסים אל Checkpoint Appliance.
  2. עוברים אל Logs & Monitoring > Log Servers > Syslog Servers.
  3. לוחצים על הגדרה.
  4. מספקים את פרטי ההגדרה הבאים:
    • פרוטוקול: בוחרים באפשרות UDP.
    • שם: מזינים שם תיאורי.
    • ‫IP Address: מזינים את כתובת ה-IP של סוכן Bindplane.
    • יציאה: מזינים את מספר היציאה של סוכן Bindplane.
    • בוחרים באפשרות הפעלה של שרת היומן.
    • בוחרים את היומנים להעברה: יומני מערכת ויומני אבטחה.
  5. לוחצים על אישור.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
action event.idm.read_only_udm.security_result.action ממופה ישירות מהשדה action ב-CEF.
action_comment ‫event.idm.read_only_udm.additional.fields[<N>].key: action_comment
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של action_comment		 ממופה ישירות מהשדה action_comment.
action_details event.idm.read_only_udm.security_result.action_details ממופה ישירות מהשדה action_details CEF.
additional_info ‫event.idm.read_only_udm.additional.fields[<N>].key: additional_info
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של additional_info		 ממופה ישירות מהשדה additional_info.
am_update_proxy event.idm.read_only_udm.intermediary.domain.name ממופה ישירות מהשדה am_update_proxy.
am_update_source event.idm.read_only_udm.target.url ממופה ישירות מהשדה am_update_source.
client_version event.idm.read_only_udm.metadata.product_version ממופה ישירות מהשדה client_version.
cn1 event.idm.read_only_udm.security_result.severity ממופה מהשדה cn1 ב-CEF ומומר לערכי חומרה ב-UDM‏ (CRITICAL, ‏ HIGH, ‏ MEDIUM, ‏ LOW, ‏ INFO).
cs1 ‫event.idm.read_only_udm.additional.fields[<N>].key: Connectivity State
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של cs1		 ממופה ישירות מהשדה cs1.
description event.idm.read_only_udm.metadata.description ממופה ישירות מהשדה description ב-CEF.
deviceDirection event.idm.read_only_udm.network.direction ממופה מהשדה deviceDirection. הערך 0 ממופה לערך INBOUND, וערכים אחרים לא ממופים.
deviceFacility ‫event.idm.read_only_udm.additional.fields[<N>].key: deviceFacility
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של deviceFacility		 ממופה ישירות מהשדה deviceFacility.
dst event.idm.read_only_udm.network.target.ip ממופה ישירות מהשדה dst כשהערך של event_type הוא Firewall.
engine_ver event.idm.read_only_udm.additional.fields[<N>].key: engine_ver
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של engine_ver		 ממופה ישירות מהשדה engine_ver.
ep_rule_id event.idm.read_only_udm.firewall.firewall_rule_id ממופה ישירות מהשדה ep_rule_id כשהערך של event_type הוא Firewall.
event_type event.idm.read_only_udm.metadata.product_event_type ממופה ישירות מהשדה event_type CEF.
failed_updates event.idm.read_only_udm.additional.fields[<N>].key: failed_updates
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של failed_updates		 ממופה ישירות מהשדה failed_updates.
file_md5 event.idm.read_only_udm.source_file.hash_md5 ממופה ישירות מהשדה file_md5 כשהערך של event_type הוא TE Event.
file_name event.idm.read_only_udm.source_file.file_name ממופה ישירות מהשדה file_name כשהערך של event_type הוא TE Event.
file_sha1 event.idm.read_only_udm.source_file.hash_sha1 ממופה ישירות מהשדה file_sha1 כשהערך של event_type הוא TE Event.
file_sha256 event.idm.read_only_udm.source_file.hash_sha256 ממופה ישירות מהשדה file_sha256 כשהערך של event_type הוא TE Event.
host_type event.idm.read_only_udm.principal.asset.type ממופה מהשדה host_type. Desktop מומר ל-WORKSTATION, ואז הערך מומר לאותיות רישיות.
ifdir event.idm.read_only_udm.network.direction ממופה ישירות מהשדה ifdir ומופיע באותיות רישיות כשהשדה event_type הוא Firewall.
installed_products event.idm.read_only_udm.principal.asset.software.name ממופה ישירות מהשדה installed_products.
is_scanned ‫sec_res.detection_fields[<N>].key: is_scanned
sec_res.detection_fields[<N>].value: ערך של is_scanned		 ממופה ישירות מהשדה is_scanned.
local_time event.idm.read_only_udm.additional.fields[<N>].key: local_time
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של local_time		 ממופה ישירות מהשדה local_time.
log_type event.idm.read_only_udm.metadata.log_type ממופה ישירות מהשדה log_type.
loguid event.idm.read_only_udm.metadata.product_log_id ממופה ישירות מהשדה loguid.
machine_guid event.idm.read_only_udm.principal.asset.product_object_id ממופה ישירות מהשדה machine_guid.
media_authorized ‫event.idm.read_only_udm.additional.fields[<N>].key: media_authorized
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של media_authorized		 ממופה ישירות מהשדה media_authorized.
media_class_id event.idm.read_only_udm.additional.fields[<N>].key: media_class_id
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של media_class_id		 ממופה ישירות מהשדה media_class_id.
media_description event.idm.read_only_udm.additional.fields[<N>].key: media_description
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של media_description		 ממופה ישירות מהשדה media_description.
media_encrypted ‫event.idm.read_only_udm.additional.fields[<N>].key: media_encrypted
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של media_encrypted		 ממופה ישירות מהשדה media_encrypted.
media_manufacturer event.idm.read_only_udm.additional.fields[<N>].key: media_manufacturer
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של media_manufacturer		 ממופה ישירות מהשדה media_manufacturer.
media_type ‫event.idm.read_only_udm.additional.fields[<N>].key: media_type
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של media_type		 ממופה ישירות מהשדה media_type.
msg event.idm.read_only_udm.metadata.description ממופה ישירות מהשדה msg ב-CEF.
origin event.idm.read_only_udm.about.ip ממופה ישירות מהשדה origin ב-CEF.
os_name ‫event.idm.read_only_udm.additional.fields[<N>].key: os_name
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של os_name		 ממופה ישירות מהשדה os_name.
os_version event.idm.read_only_udm.principal.asset.platform_software.platform_version ממופה ישירות מהשדה os_version.
policy_date ‫event.idm.read_only_udm.additional.fields[<N>].key: policy_date
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של policy_date		 ממופה ישירות מהשדה policy_date.
policy_guid event.idm.read_only_udm.principal.resource.product_object_id ממופה ישירות מהשדה policy_guid.
policy_name event.idm.read_only_udm.principal.resource.name ממופה ישירות מהשדה policy_name.
policy_number event.idm.read_only_udm.principal.resource.product_object_id ממופה ישירות מהשדה policy_number.
policy_type event.idm.read_only_udm.additional.fields[<N>].key: policy_type
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של policy_type		 ממופה ישירות מהשדה policy_type.
policy_version event.idm.read_only_udm.additional.fields[<N>].key: policy_version
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של policy_version		 ממופה ישירות מהשדה policy_version.
product event.idm.read_only_udm.metadata.product_name ממופה ישירות מהשדה product ב-CEF.
proto event.idm.read_only_udm.network.protocol ממופה ישירות מהשדה proto כשהערך של event_type הוא Firewall.
reading_data_access ‫event.idm.read_only_udm.additional.fields[<N>].key: reading_data_access
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של reading_data_access		 ממופה ישירות מהשדה reading_data_access.
requestClientApplication event.idm.read_only_udm.network.http.user_agent ממופה ישירות מהשדה requestClientApplication.
result event.idm.read_only_udm.security_result.summary ממופה ישירות מהשדה result.
rt event.idm.read_only_udm.metadata.event_timestamp.seconds הערך ממופה מהשדה rt, מחולק ב-1,000, והחלק השלם נלקח כשניות.
rule_name event.idm.read_only_udm.firewall.firewall_rule ממופה ישירות מהשדה rule_name כשהערך של event_type הוא Firewall.
s_port event.idm.read_only_udm.network.client.port ממופה ישירות מהשדה s_port כשהערך של event_type הוא Firewall.
sequencenum event.idm.read_only_udm.additional.fields[<N>].key: sequencenum
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של sequencenum		 ממופה ישירות מהשדה sequencenum.
service event.idm.read_only_udm.network.target.port ממופה ישירות מהשדה service כשהערך של event_type הוא Firewall.
severity event.idm.read_only_udm.security_result.severity ממופה מהשדה severity ומומר לערכי חומרה של UDM (קריטי, גבוה, בינוני, נמוך, מידע).
shost event.idm.read_only_udm.principal.hostname ממופה ישירות מהשדה shost CEF.
sig_ver event.idm.read_only_udm.additional.fields[<N>].key: sig_ver
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של sig_ver		 ממופה ישירות מהשדה sig_ver.
src event.idm.read_only_udm.principal.ip ממופה ישירות מהשדה src ב-CEF.
src_machine_name event.idm.read_only_udm.principal.hostname ממופה ישירות מהשדה src_machine_name כשהשדה event_type ריק.
subject event.idm.read_only_udm.task.task_name ממופה ישירות מהשדה subject כשהשדה event_type ריק.
suser event.idm.read_only_udm.principal.user.user_display_name ממופה ישירות מהשדה suser ב-CEF.
time event.idm.read_only_udm.metadata.event_timestamp.seconds ממופה ישירות מהשדה time ומומר לשניות של ראשית זמן יוניקס (Unix epoch).
user_name event.idm.read_only_udm.principal.user.email_addresses ממופה ישירות מהשדה user_name CEF.
user_sid event.idm.read_only_udm.principal.user.windows_sid ממופה ישירות מהשדה user_sid.
version ‫event.idm.read_only_udm.additional.fields[<N>].key: version
event.idm.read_only_udm.additional.fields[<N>].value.string_value: ערך של version		 ממופה ישירות מהשדה version.
writing_data_access event.idm.read_only_udm.additional.fields[<N>].key: writing_data_access
event.idm.read_only_udm.additional.fields[<N>].value.string_value: הערך של writing_data_access		 ממופה ישירות מהשדה writing_data_access.
לא רלוונטי event.idm.read_only_udm.metadata.event_type צריך להגדיר את הערך GENERIC_EVENT אם אף אחד מהשדות principal.ip,‏ principal.hostname או principal.mac לא מופיע ביומן הגולמי. אחרת, צריך להגדיר את הערך STATUS_UPDATE.
לא רלוונטי event.idm.read_only_udm.metadata.vendor_name ערך קבוע: Check Point.
לא רלוונטי event.idm.read_only_udm.metadata.log_type ערך קבוע: CHECKPOINT_EDR.
N/A event.idm.read_only_udm.principal.asset.platform_software.platform מגדירים את הערך WINDOWS אם os_name מכיל את הערך WINDOWS או Windows.
N/A event.idm.read_only_udm.network.http.user_agent מגדירים את הערך Check Point Endpoint Security Client אם קיים הערך requestClientApplication.
לא רלוונטי event.edr.data_source ערך קבוע: CHECKPOINT_SANDBLAST אם message לא מכיל את CEF.
operation event.idm.read_only_udm.metadata.product_event_type מופה מיומן השינויים
administrator event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
client_ip event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
objectname event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
objecttype event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
Name event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
guid1 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
guid2 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
guid3 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
guid4 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
exclusionName1 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
exclusionName4 event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
action event.idm.read_only_udm.security_result_action מופה מיומן השינויים
session_uid event.idm.read_only_udm.network.session_id מופה מיומן השינויים
origin event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
Icon event.idm.read_only_udm.additional.fields מופה מיומן השינויים
flags event.idm.read_only_udm.additional.fields מופה מיומן השינויים
originsicname event.idm.read_only_udm.additional.fields מופה מיומן השינויים
advanced_changes event.idm.read_only_udm.additional.fields מופה מיומן השינויים
sendtotrackerasadvancedauditlog event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ExclusionName event.idm.read_only_udm.principal.file.full_path מופה מיומן השינויים
id event.idm.read_only_udm.about.resource.product_object_id מופה מיומן השינויים
program_file event.idm.read_only_udm.about.file.full_path מופה מיומן השינויים
exclusionName2 event.idm.read_only_udm.security_result.about.url מופה מיומן השינויים
exclusionName3 event.idm.read_only_udm.security_result.about.file.full_path מופה מיומן השינויים
auth event.idm.read_only_udm.about.url מופה מיומן השינויים
uid event.idm.read_only_udm.target.resource.product_object_id מופה מיומן השינויים
src_machine_name event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname מופה מיומן השינויים
src_user_name event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
src event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
dst event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
process_exe_path event.idm.read_only_udm.principal.process.file.full_path מופה מיומן השינויים
appi_name event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname מופה מיומן השינויים
matched_category event.idm.read_only_udm.security_result.category_details מופה מיומן השינויים
reason event.idm.read_only_udm.security_result.summary מופה מיומן השינויים
protection_name event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
protection_type event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
usercheck_incident_uid event.idm.read_only_udm.additional.fields מופה מיומן השינויים
tenant_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
exclusion_engine_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
exclusion_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
virtual_groups event.idm.read_only_udm.additional.fields מופה מיומן השינויים
client_name event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
client_ip event.edr.network.target_ip מופה מיומן השינויים
origin event.edr.network.target_ip מופה מיומן השינויים
subject event.edr.task.task_name מופה מיומן השינויים
host_name event.edr.client.hostname מופה מיומן השינויים
ifdir event.edr.network.direction מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.