Collecter les journaux Check Point SmartDefense

Version de l'analyseur : 18.0

Compatible avec :

Ce document explique comment ingérer des journaux Check Point SmartDefense dans Google Security Operations à l'aide de l'agent Bindplane.

L'analyseur extrait les champs des journaux au format syslog Check Point SmartDefense. Il utilise grok et/ou kv pour analyser le message de journal, puis mappe ces valeurs au modèle de données unifié (UDM). Il définit également les valeurs de métadonnées par défaut pour la source et le type d'événement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à la console ou à l'appliance de gestion Check Point SmartDefense

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Déploiements existants : continuez à utiliser le fichier d'authentification pour l'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.
  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    • Trouvez le fichier config.yaml. En général, il se trouve dans le répertoire /opt/observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CHECKPOINT_SMARTDEFENSE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
    • Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com.
    • Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • Remplacez <CUSTOMER_ID> par le numéro client réel.
    • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier de clé du compte de service (option 1) enregistré à l'étape 1.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CHECKPOINT_SMARTDEFENSE'
    raw_log_field: body
    ingestion_labels:

Redémarrez l'agent Bindplane pour appliquer les modifications.

  1. Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop observiq-otel-collector && net start observiq-otel-collector

Configurer le transfert Syslog sur Check Point SmartDefense

Étape 1 : Créez un objet Log Exporter/SIEM dans SmartConsole

  1. Connectez-vous à la Check Point SmartConsole.
  2. Accédez à Objects > More object types > Server > Log Exporter/SIEM (Objets > Autres types d'objets > Serveur > Exportateur de journaux/SIEM).
  3. Cliquez sur New (Nouveau) pour créer un objet d'exportateur de journaux.
  4. Fournissez les informations de configuration suivantes :
    • Nom de l'objet : saisissez un nom descriptif (par exemple, Google SecOps Bindplane).
    • Configuration de l'exportation : sélectionnez Activé.
    • Serveur cible : saisissez l'adresse IP de l'agent Bindplane.
    • Port cible : saisissez 514 (ou le numéro de port de l'agent Bindplane que vous avez configuré).
    • Protocole : sélectionnez UDP.
  5. Accédez à la page Manipulation des données.
  6. Fournissez les informations de configuration suivantes :
    • Format : sélectionnez Common Event Format (CEF).
    • Fuseau horaire : sélectionnez le fuseau horaire UTC pour assurer une cohérence universelle entre les systèmes.
  7. Cliquez sur OK pour enregistrer la configuration.

Étape 2 : Configurez le serveur de gestion ou le serveur de journaux

  1. Dans SmartConsole, accédez à Gateways & Servers (Passerelles et serveurs).
  2. Ouvrez votre objet Management Server (Serveur de gestion) ou Dedicated Log Server/SmartEvent Server (Serveur de journaux dédié/Serveur SmartEvent).
  3. Accédez à Journaux > Exporter.
  4. Cliquez sur + et sélectionnez l'objet Log Exporter/SIEM que vous avez configuré précédemment.
  5. Cliquez sur OK.

Étape 3 : Installez la règle de base de données

  1. Dans le menu supérieur, cliquez sur Install > Install database (Installer > Installer la base de données).
  2. Sélectionnez tous les objets.
  3. Cliquez sur Installer.

Étape 4 : Vérifier la configuration de l'exportation des journaux

  1. Connectez-vous à la ligne de commande sur le serveur de gestion/serveur de journaux.
  2. Connectez-vous au mode Expert.

  3. Exécutez la commande suivante pour vérifier la configuration :

    cp_log_export show

  4. Pour redémarrer Log Exporter si nécessaire :

    cp_log_export restart

Table de mappage UDM

Champ du journal Mappage UDM Logique
message about Mappé : CEF: → about
deviceNtDomain about.administrative_domain Renommé/Mappé
deviceExternalId about.asset.asset_id Mappage direct
device_product about.asset.asset_id Mappé directement
device_vendor about.asset.asset_id Mappé directement
fileHash about.file.full_path Mappage direct
filePath about.file.full_path Renommé/Mappé
_hash about.file.sha256 Renommé/Mappé
fileHash about.file.sha256 Renommé/Mappé
fsize about.file.size Renommé/Mappé
dvchost about.hostname Renommé/Mappé
ips about.ip Fusionné
message about.ip Mappé : CEF: → ips
dvc_mac about.mac Mappé : slot → mac_address
dvcmac about.mac Fusionné
mac_address about.mac Fusionné
message about.mac Mappé : CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip Fusionné
message about.nat_ip Mappé : CEF: → deviceTranslatedAddress
Emne about.process.command_line Mappé directement
Path about.process.command_line Mappé directement
Subject about.process.command_line Mappage direct
deviceProcessName about.process.command_line Renommé/Mappé
dvcpid about.process.pid Renommé/Mappé
message about.resource.attribute.permissions Mappé : CEF: → permissions
permissions about.resource.attribute.permissions Fusionné
additional_cfp1 additional.fields Fusionné
additional_cfp2 additional.fields Fusionné
additional_cfp3 additional.fields Fusionné
additional_cfp4 additional.fields Fusionné
additional_cn1 additional.fields Fusionné
additional_cn2 additional.fields Fusionné
additional_cn3 additional.fields Fusionné
additional_cs1 additional.fields Fusionné
additional_cs2 additional.fields Fusionné
additional_cs3 additional.fields Fusionné
additional_cs4 additional.fields Fusionné
additional_cs5 additional.fields Fusionné
additional_cs6 additional.fields Fusionné
additional_cs7 additional.fields Fusionné
additional_devicePayloadId additional.fields Fusionné
additional_eventId additional.fields Fusionné
additional_flexString1 additional.fields Fusionné
additional_fname additional.fields Fusionné
cs2 additional.fields Mappé : arc_test → additional_cs2
cs5_label additional.fields Fusionné
description_url_label additional.fields Fusionné
http_host_label additional.fields Fusionné
log_id_field additional.fields Fusionné
message additional.fields Valeurs mappées (27 au total, par exemple CEF: → sequencenum_label, CEF: → additional_eventId, `...
originsicname_field additional.fields Fusionné
reject_id_kid_field additional.fields Fusionné
sequencenum_label additional.fields Fusionné
ser_agent_kid_field additional.fields Fusionné
version_field additional.fields Fusionné
message extensions.vulns.vulnerabilities Mappé : CEF: → v
v extensions.vulns.vulnerabilities Fusionné
int intermediary Fusionné
message intermediary Mappé : CEF: → int
msg metadata.description Mappage direct
Generated metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ss
lastupdatetime metadata.event_timestamp Analysé en tant que UNIX
rt metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ssZ
event_name metadata.event_type Mappé : "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
message metadata.event_type Mappé : CEF: → PROCESS_UNCATEGORIZED, CEF: → SCAN_UNCATEGORIZED, CEF: → `NETWORK_C...
principal_machine_id_present metadata.event_type Mappé : true → NETWORK_CONNECTION
device_event_class_id metadata.product_event_type Mappage direct
event_name metadata.product_event_type Mappé directement
externalId metadata.product_log_id Mappé directement
loguid metadata.product_log_id Mappé directement
device_product metadata.product_name Mappé directement
device_version metadata.product_version Mappage direct
device_vendor metadata.vendor_name Renommé/Mappé
app_protocol_output network.application_protocol Mappé directement
deviceDirection network.direction Mapped: 0 → INBOUND, 1 → OUTBOUND
message network.direction Mappé : CEF: → INBOUND, CEF: → OUTBOUND
requestMethod network.http.method Renommé/Mappé
requestClientApplication network.http.user_agent Renommé/Mappé
user_agent network.http.user_agent Mappage direct
ip_protocol_out network.ip_protocol Mappage direct
in network.received_bytes Renommé/Mappé
out network.sent_bytes Renommé/Mappé
session_id network.session_id Mappage direct
sntdom principal.administrative_domain Renommé/Mappé
sourceServiceName principal.application Renommé/Mappé
Group_name principal.group.group_display_name Mappage direct
Gruppenavn principal.group.group_display_name Mappé directement
Device_name principal.hostname Mappé directement
Enhetsnavn principal.hostname Mappage direct
shost principal.hostname Renommé/Mappé
ip_proxy principal.ip Fusionné
message principal.ip Mappé : CEF: → principal_ip, CEF: → shost, CEF: → ip_proxy
principal_ip principal.ip Fusionné
shost principal.ip Fusionné
mac principal.mac Fusionné
message principal.mac Mappé : CEF: → mac
message principal.nat_ip Mappé : CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Fusionné
sourceTranslatedPort principal.nat_port Renommé/Mappé
spt principal.port Renommé/Mappé
sproc principal.process.command_line Renommé/Mappé
spid principal.process.pid Renommé/Mappé
message principal.user.attribute.roles Mappé : CEF: → principal_role
principal_role principal.user.attribute.roles Fusionné
suser principal.user.user_display_name Mappage direct
suid principal.user.userid Renommé/Mappé
message security_result Mappé : CEF: → security_result
_action security_result.action Fusionné
act security_result.action Mapped: accept → _action, deny → _action
message security_result.action Mappé : CEF: → _action
Action_Taken security_result.action_details Mappé directement
act security_result.action_details Mappage direct
cat security_result.category_details Fusionné
message security_result.category_details Mappé : CEF: → cat
Scan_Type security_result.description Mappé directement
Type security_result.description Mappé directement
msg_data_2 security_result.description Mappage direct
fn1 security_result.detection_fields Fusionné
fn2 security_result.detection_fields Fusionné
fs2 security_result.detection_fields Fusionné
ifname_label security_result.detection_fields Fusionné
infection_channel_label security_result.detection_fields Fusionné
layer_name_label security_result.detection_fields Fusionné
layer_uuid_label security_result.detection_fields Fusionné
message security_result.detection_fields Valeurs mappées (19 au total, par exemple CEF: → mitre_execution_label, CEF: → ifname_label, "CE...
mitre_discovery_label security_result.detection_fields Fusionné
mitre_execution_label security_result.detection_fields Fusionné
operasjon_label security_result.detection_fields Fusionné
operation_label security_result.detection_fields Fusionné
permission_label security_result.detection_fields Fusionné
policy_label security_result.detection_fields Fusionné
policy_time_label security_result.detection_fields Fusionné
smartdefense_profile_label security_result.detection_fields Fusionné
spyware_Grayware_Type_label security_result.detection_fields Fusionné
tags_label security_result.detection_fields Fusionné
threat_probability_label security_result.detection_fields Fusionné
tillatelse_label security_result.detection_fields Fusionné
rule_uid security_result.rule_id Mappage direct
mwProfile security_result.rule_name Mappé directement
rule_name security_result.rule_name Mappé directement
message security_result.severity Mappé : CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH, CEF: → CRITICAL
severity security_result.severity Mappé : "0", "1", "2", "3", "LOW" → LOW, "4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"…
Result security_result.summary Mappage direct
appcategory security_result.summary Mappage direct
reason security_result.summary Renommé/Mappé
Spyware security_result.threat_name Mappage direct
Unknown_Threat security_result.threat_name Mappé directement
Virus_Malware_Name security_result.threat_name Mappage direct
oldFilePath src.file.full_path Renommé/Mappé
oldFileSize src.file.size Renommé/Mappé
message src.resource.attribute.permissions Mappé : CEF: → old_permissions
old_permissions src.resource.attribute.permissions Fusionné
dntdom target.administrative_domain Renommé/Mappé
destinationServiceName target.application Renommé/Mappé
temp_dhost target.hostname Mappé directement
IPv6_Address target.ip Fusionné
dst_ip target.ip Fusionné
ipv6 target.ip Mappé : - → IPv6_Address
message target.ip Mapped: CEF: → dst_ip, CEF: → IPv6_Address
mac_address target.mac Fusionné
message target.mac Mappé : CEF: → mac_address
destination_translated_address target.nat_ip Fusionné
message target.nat_ip Mappé : CEF: → destination_translated_address
destinationTranslatedPort target.nat_port Renommé/Mappé
dpt target.port Renommé/Mappé
dproc target.process.command_line Renommé/Mappé
File_name target.process.file.full_path Mappage direct
Infected_Resource target.process.file.full_path Mappé directement
Object target.process.file.full_path Mappé directement
Objekt target.process.file.full_path Mappage direct
dpid target.process.pid Renommé/Mappé
message target.resource.attribute.labels Mappé : CEF: → resource_Type_label
resource_Type_label target.resource.attribute.labels Fusionné
request target.url Mappage direct
message target.user.attribute.roles Mappé : CEF: → target_role
target_role target.user.attribute.roles Fusionné
CustomerName target.user.user_display_name Mappage direct
temp_duser target.user.user_display_name Mappé directement
Bruker target.user.userid Mappé directement
User_value target.user.userid Mappé directement
temp_duid target.user.userid Mappage direct
N/A metadata.event_type Constante : PROCESS_UNCATEGORIZED
N/A network.direction Constante : INBOUND
N/A security_result.severity Constante : LOW
action event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
ifdir event.idm.read_only_udm.network.direction Mappé à partir du journal des modifications
severity event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
timestamp event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
vendor_name event.idm.read_only_udm.metadata.vendor_name Mappé à partir du journal des modifications
src_host event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
smartdefense_profile event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
layer_uuid event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
layer_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
precise_error event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
suppressed_logs event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
flags event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
originsicname event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sequencenum event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
time event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
description_url event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
log_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
performance_impact event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
reject_id_kid event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
received_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sent_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ser_agent_kid event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
packet_info event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ProductFamily event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
malware_rule_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tags event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
policy_name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
__policy_id_tag.product event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
db_tag event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
mgmt event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
date event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ifname event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
policy event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
policy_time event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
protection_id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
protection_type event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
rule event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
sub_policy_name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
sub_policy_uid event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
action event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
loguid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
attack event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
attack_info event.idm.read_only_udm.security_result.threat_name Mappé à partir du journal des modifications
Attack Info event.idm.read_only_udm.security_result.threat_name Mappé à partir du journal des modifications
dst event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
lastupdatetime event.idm.read_only_udm.security_result.last_updated_time Mappé à partir du journal des modifications
protection_name event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
reason event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
src event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
proxy_src_ip event.idm.read_only_udm.principal.nat_ip Mappé à partir du journal des modifications
received_bytes event.idm.read_only_udm.network.received_bytes Mappé à partir du journal des modifications
resource event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
rule_name event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
rule_uid event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
reject_id event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
s_port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
sport_svc event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
sent_bytes event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
service event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
svc event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
service_id event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
session_id event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
web_client_type event.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
web_client_type event.idm.read_only_udm.network.http.parsed_user_agent Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.