Raccogli i log di Check Point EDR

Versione parser: 20.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Check Point EDR (SandBlast) in Google Security Operations utilizzando l'agente Bindplane.

Check Point EDR genera log per il rilevamento delle minacce degli endpoint, l'attività dei processi, gli eventi dei file e le connessioni di rete. Il parser estrae i campi CEF e coppia chiave-valore e li mappa al modello UDM (Unified Data Model).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e l'appliance Check Point
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso privilegiato all'appliance Check Point con SandBlast

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il numero di progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion legacy (malachiteingestion-pa.googleapis.com), il cui fine del ciclo di vita è previsto da Google per il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

  Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/checkpoint_edr:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: CHECKPOINT_EDR
      raw_log_field: body
  
  service:
    pipelines:
      logs/checkpoint_edr_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/checkpoint_edr
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del ricevitore:

  • listen_address: Indirizzo IP e porta da ascoltare:
    • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
    • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)

• Configurazione dell'esportatore:

  • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID cliente copiato dalla console Google SecOps
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione su chronicle.googleapis.com.

Esportatore API di importazione legacy

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/checkpoint_edr:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CHECKPOINT_EDR
      raw_log_field: body
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
  • Windows: fai clic su File > Salva

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per individuare eventuali errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per verificare la presenza di errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura syslog nella serie di appliance Check Point 1500

1. Accedi all'appliance Checkpoint.
2. Vai a Logs & Monitoring > Log Servers > Syslog Servers.
3. Fai clic su Configura.
4. Fornisci i seguenti dettagli di configurazione:
   • Protocollo: seleziona UDP.
   • Nome: inserisci un nome descrittivo.
   • Indirizzo IP: inserisci l'indirizzo IP dell'agente Bindplane.
   • Porta: inserisci il numero di porta dell'agente Bindplane.
   • Seleziona Attiva server di log.
   • Seleziona i log da inoltrare: sia i log di sistema che quelli di sicurezza.
5. Fai clic su Applica.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
action	event.idm.read_only_udm.security_result.action	Mappato direttamente dal campo CEF action.
action_comment	event.idm.read_only_udm.additional.fields[<N>].key: action_comment event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di action_comment	Mappato direttamente dal campo action_comment.
action_details	event.idm.read_only_udm.security_result.action_details	Mappato direttamente dal campo action_details CEF.
additional_info	event.idm.read_only_udm.additional.fields[<N>].key: additional_info event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di additional_info	Mappato direttamente dal campo additional_info.
am_update_proxy	event.idm.read_only_udm.intermediary.domain.name	Mappato direttamente dal campo am_update_proxy.
am_update_source	event.idm.read_only_udm.target.url	Mappato direttamente dal campo am_update_source.
client_version	event.idm.read_only_udm.metadata.product_version	Mappato direttamente dal campo client_version.
cn1	event.idm.read_only_udm.security_result.severity	Mappato dal campo CEF cn1 e convertito in valori di gravità UDM (CRITICAL, HIGH, MEDIUM, LOW, INFO).
cs1	event.idm.read_only_udm.additional.fields[<N>].key: Connectivity State event.idm.read_only_udm.additional.fields[<N>].value.string_value: Valore di cs1	Mappato direttamente dal campo cs1.
description	event.idm.read_only_udm.metadata.description	Mappato direttamente dal campo description CEF.
deviceDirection	event.idm.read_only_udm.network.direction	Mappato dal campo deviceDirection. Un valore di 0 è mappato a INBOUND, gli altri valori non sono mappati.
deviceFacility	event.idm.read_only_udm.additional.fields[<N>].key: deviceFacility event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di deviceFacility	Mappato direttamente dal campo deviceFacility.
dst	event.idm.read_only_udm.network.target.ip	Mappato direttamente dal campo dst quando event_type è Firewall.
engine_ver	event.idm.read_only_udm.additional.fields[<N>].key: engine_ver event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di engine_ver	Mappato direttamente dal campo engine_ver.
ep_rule_id	event.idm.read_only_udm.firewall.firewall_rule_id	Mappato direttamente dal campo ep_rule_id quando event_type è Firewall.
event_type	event.idm.read_only_udm.metadata.product_event_type	Mappato direttamente dal campo CEF event_type.
failed_updates	event.idm.read_only_udm.additional.fields[<N>].key: failed_updates event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di failed_updates	Mappato direttamente dal campo failed_updates.
file_md5	event.idm.read_only_udm.source_file.hash_md5	Mappato direttamente dal campo file_md5 quando event_type è TE Event.
file_name	event.idm.read_only_udm.source_file.file_name	Mappato direttamente dal campo file_name quando event_type è TE Event.
file_sha1	event.idm.read_only_udm.source_file.hash_sha1	Mappato direttamente dal campo file_sha1 quando event_type è TE Event.
file_sha256	event.idm.read_only_udm.source_file.hash_sha256	Mappato direttamente dal campo file_sha256 quando event_type è TE Event.
host_type	event.idm.read_only_udm.principal.asset.type	Mappato dal campo host_type. Desktop viene convertito in WORKSTATION, quindi il valore viene convertito in lettere maiuscole.
ifdir	event.idm.read_only_udm.network.direction	Mappato direttamente dal campo ifdir e convertito in lettere maiuscole quando event_type è Firewall.
installed_products	event.idm.read_only_udm.principal.asset.software.name	Mappato direttamente dal campo installed_products.
is_scanned	sec_res.detection_fields[<N>].key: is_scanned sec_res.detection_fields[<N>].value: valore di is_scanned	Mappato direttamente dal campo is_scanned.
local_time	event.idm.read_only_udm.additional.fields[<N>].key: local_time event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di local_time	Mappato direttamente dal campo local_time.
log_type	event.idm.read_only_udm.metadata.log_type	Mappato direttamente dal campo log_type.
loguid	event.idm.read_only_udm.metadata.product_log_id	Mappato direttamente dal campo loguid.
machine_guid	event.idm.read_only_udm.principal.asset.product_object_id	Mappato direttamente dal campo machine_guid.
media_authorized	event.idm.read_only_udm.additional.fields[<N>].key: media_authorized event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di media_authorized	Mappato direttamente dal campo media_authorized.
media_class_id	event.idm.read_only_udm.additional.fields[<N>].key: media_class_id event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di media_class_id	Mappato direttamente dal campo media_class_id.
media_description	event.idm.read_only_udm.additional.fields[<N>].key: media_description event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di media_description	Mappato direttamente dal campo media_description.
media_encrypted	event.idm.read_only_udm.additional.fields[<N>].key: media_encrypted event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di media_encrypted	Mappato direttamente dal campo media_encrypted.
media_manufacturer	event.idm.read_only_udm.additional.fields[<N>].key: media_manufacturer event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di media_manufacturer	Mappato direttamente dal campo media_manufacturer.
media_type	event.idm.read_only_udm.additional.fields[<N>].key: media_type event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di media_type	Mappato direttamente dal campo media_type.
msg	event.idm.read_only_udm.metadata.description	Mappato direttamente dal campo msg CEF.
origin	event.idm.read_only_udm.about.ip	Mappato direttamente dal campo origin CEF.
os_name	event.idm.read_only_udm.additional.fields[<N>].key: os_name event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di os_name	Mappato direttamente dal campo os_name.
os_version	event.idm.read_only_udm.principal.asset.platform_software.platform_version	Mappato direttamente dal campo os_version.
policy_date	event.idm.read_only_udm.additional.fields[<N>].key: policy_date event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di policy_date	Mappato direttamente dal campo policy_date.
policy_guid	event.idm.read_only_udm.principal.resource.product_object_id	Mappato direttamente dal campo policy_guid.
policy_name	event.idm.read_only_udm.principal.resource.name	Mappato direttamente dal campo policy_name.
policy_number	event.idm.read_only_udm.principal.resource.product_object_id	Mappato direttamente dal campo policy_number.
policy_type	event.idm.read_only_udm.additional.fields[<N>].key: policy_type event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di policy_type	Mappato direttamente dal campo policy_type.
policy_version	event.idm.read_only_udm.additional.fields[<N>].key: policy_version event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di policy_version	Mappato direttamente dal campo policy_version.
product	event.idm.read_only_udm.metadata.product_name	Mappato direttamente dal campo CEF product.
proto	event.idm.read_only_udm.network.protocol	Mappato direttamente dal campo proto quando event_type è Firewall.
reading_data_access	event.idm.read_only_udm.additional.fields[<N>].key: reading_data_access event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di reading_data_access	Mappato direttamente dal campo reading_data_access.
requestClientApplication	event.idm.read_only_udm.network.http.user_agent	Mappato direttamente dal campo requestClientApplication.
result	event.idm.read_only_udm.security_result.summary	Mappato direttamente dal campo result.
rt	event.idm.read_only_udm.metadata.event_timestamp.seconds	Mappato dal campo rt, diviso per 1000 e la parte intera viene considerata come secondi.
rule_name	event.idm.read_only_udm.firewall.firewall_rule	Mappato direttamente dal campo rule_name quando event_type è Firewall.
s_port	event.idm.read_only_udm.network.client.port	Mappato direttamente dal campo s_port quando event_type è Firewall.
sequencenum	event.idm.read_only_udm.additional.fields[<N>].key: sequencenum event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di sequencenum	Mappato direttamente dal campo sequencenum.
service	event.idm.read_only_udm.network.target.port	Mappato direttamente dal campo service quando event_type è Firewall.
severity	event.idm.read_only_udm.security_result.severity	Mappato dal campo severity e convertito in valori di gravità UDM (CRITICA, ALTA, MEDIA, BASSA, INFO).
shost	event.idm.read_only_udm.principal.hostname	Mappato direttamente dal campo CEF shost.
sig_ver	event.idm.read_only_udm.additional.fields[<N>].key: sig_ver event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di sig_ver	Mappato direttamente dal campo sig_ver.
src	event.idm.read_only_udm.principal.ip	Mappato direttamente dal campo CEF src.
src_machine_name	event.idm.read_only_udm.principal.hostname	Mappato direttamente dal campo src_machine_name quando event_type è vuoto.
subject	event.idm.read_only_udm.task.task_name	Mappato direttamente dal campo subject quando event_type è vuoto.
suser	event.idm.read_only_udm.principal.user.user_display_name	Mappato direttamente dal campo suser CEF.
time	event.idm.read_only_udm.metadata.event_timestamp.seconds	Mappato direttamente dal campo time e convertito in secondi Unix epoch.
user_name	event.idm.read_only_udm.principal.user.email_addresses	Mappato direttamente dal campo user_name CEF.
user_sid	event.idm.read_only_udm.principal.user.windows_sid	Mappato direttamente dal campo user_sid.
version	event.idm.read_only_udm.additional.fields[<N>].key: version event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di version	Mappato direttamente dal campo version.
writing_data_access	event.idm.read_only_udm.additional.fields[<N>].key: writing_data_access event.idm.read_only_udm.additional.fields[<N>].value.string_value: valore di writing_data_access	Mappato direttamente dal campo writing_data_access.
N/A	event.idm.read_only_udm.metadata.event_type	Imposta GENERIC_EVENT se nessuno di principal.ip, principal.hostname o principal.mac è presente nel log non elaborato, altrimenti imposta STATUS_UPDATE.
N/A	event.idm.read_only_udm.metadata.vendor_name	Valore costante: Check Point.
N/A	event.idm.read_only_udm.metadata.log_type	Valore costante: CHECKPOINT_EDR.
N/A	event.idm.read_only_udm.principal.asset.platform_software.platform	Imposta su WINDOWS se os_name contiene WINDOWS o Windows.
N/A	event.idm.read_only_udm.network.http.user_agent	Imposta su Check Point Endpoint Security Client se è presente requestClientApplication.
N/A	event.edr.data_source	Valore costante: CHECKPOINT_SANDBLAST quando message non contiene CEF.
operation	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
administrator	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
client_ip	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
objectname	event.idm.read_only_udm.target.resource.name	Mappato dal log delle modifiche
objecttype	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
Name	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
guid1	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
guid2	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
guid3	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
guid4	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
exclusionName1	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
exclusionName4	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
action	event.idm.read_only_udm.security_result_action	Mappato dal log delle modifiche
session_uid	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
origin	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
Icon	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
flags	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
originsicname	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
advanced_changes	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sendtotrackerasadvancedauditlog	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ExclusionName	event.idm.read_only_udm.principal.file.full_path	Mappato dal log delle modifiche
id	event.idm.read_only_udm.about.resource.product_object_id	Mappato dal log delle modifiche
program_file	event.idm.read_only_udm.about.file.full_path	Mappato dal log delle modifiche
exclusionName2	event.idm.read_only_udm.security_result.about.url	Mappato dal log delle modifiche
exclusionName3	event.idm.read_only_udm.security_result.about.file.full_path	Mappato dal log delle modifiche
auth	event.idm.read_only_udm.about.url	Mappato dal log delle modifiche
uid	event.idm.read_only_udm.target.resource.product_object_id	Mappato dal log delle modifiche
src_machine_name	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
src_user_name	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
src	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
dst	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
process_exe_path	event.idm.read_only_udm.principal.process.file.full_path	Mappato dal log delle modifiche
appi_name	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mappato dal log delle modifiche
matched_category	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
reason	event.idm.read_only_udm.security_result.summary	Mappato dal log delle modifiche
protection_name	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
protection_type	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
usercheck_incident_uid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
tenant_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
exclusion_engine_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
exclusion_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
virtual_groups	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
client_name	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
client_ip	event.edr.network.target_ip	Mappato dal log delle modifiche
origin	event.edr.network.target_ip	Mappato dal log delle modifiche
subject	event.edr.task.task_name	Mappato dal log delle modifiche
host_name	event.edr.client.hostname	Mappato dal log delle modifiche
ifdir	event.edr.network.direction	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.