Raccogli i log di Check Point SmartDefense

Versione parser: 18.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Check Point SmartDefense in Google Security Operations utilizzando l'agente Bindplane.

Il parser estrae i campi dai log formattati di syslog di Check Point SmartDefense. Utilizza grok e/o kv per analizzare il messaggio di log e poi mappa questi valori al modello UDM (Unified Data Model). Imposta anche i valori predefiniti dei metadati per l'origine e il tipo di evento.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Un host Windows 2016 o versioni successive o Linux con systemd
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso con privilegi alla console o all'appliance di gestione di Check Point SmartDefense

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: <customer_id>
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'CHECKPOINT_SMARTDEFENSE'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
   • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
   • Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.
   • Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nel Passaggio 1.

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: <customer_id>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'CHECKPOINT_SMARTDEFENSE'
      raw_log_field: body
      ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura l'inoltro di Syslog su Check Point SmartDefense

Passaggio 1: crea l'oggetto Log Exporter/SIEM in SmartConsole

1. Accedi a Check Point SmartConsole.
2. Vai a Objects (Oggetti) > More object types (Altri tipi di oggetti) > Server > Log Exporter/SIEM (Esportatore di log/SIEM).
3. Fai clic su New (Nuovo) per creare un nuovo oggetto Log Exporter.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome oggetto: inserisci un nome descrittivo (ad esempio Google SecOps Bindplane).
   • Configurazione esportazione: seleziona Attivata.
   • Server di destinazione: inserisci l'indirizzo IP dell'agente Bindplane.
   • Porta di destinazione: inserisci 514 (o il numero di porta dell'agente Bindplane configurato).
   • Protocollo: seleziona UDP.
5. Vai alla pagina Manipolazione dei dati.
6. Fornisci i seguenti dettagli di configurazione:
   • Formato: seleziona Common Event Format (CEF).
   • Fuso orario: seleziona il fuso orario UTC per garantire la coerenza universale tra i sistemi.
7. Fai clic su Ok per salvare la configurazione.

Passaggio 2: configura il server di gestione o il server di log

1. In SmartConsole, vai a Gateway e server.
2. Apri l'oggetto Management Server o Dedicated Log Server/SmartEvent Server.
3. Vai a Log > Esporta.
4. Fai clic su + e seleziona l'oggetto Log Exporter/SIEM configurato in precedenza.
5. Fai clic su OK.

Passaggio 3: installa la policy del database

1. Nel menu in alto, fai clic su Install (Installa) > Install database (Installa database).
2. Seleziona tutti gli oggetti.
3. Fai clic su Installa.

Passaggio 4: verifica la configurazione dell'esportazione dei log

1. Connettiti alla riga di comando sul server di gestione/server di log.
2. Accedi alla modalità Esperto.

3. Esegui questo comando per verificare la configurazione:

   cp_log_export show
   

4. Per riavviare Log Exporter, se necessario:

   cp_log_export restart
   

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
message	about	Mappatura: CEF: → about
deviceNtDomain	about.administrative_domain	Rinominato/mappato
deviceExternalId	about.asset.asset_id	Mappatura diretta
device_product	about.asset.asset_id	Mappatura diretta
device_vendor	about.asset.asset_id	Mappatura diretta
fileHash	about.file.full_path	Mappatura diretta
filePath	about.file.full_path	Rinominato/mappato
_hash	about.file.sha256	Rinominato/mappato
fileHash	about.file.sha256	Rinominato/mappato
fsize	about.file.size	Rinominato/mappato
dvchost	about.hostname	Rinominato/mappato
ips	about.ip	Unita
message	about.ip	Mappatura: CEF: → ips
dvc_mac	about.mac	Mappatura: slot → mac_address
dvcmac	about.mac	Unita
mac_address	about.mac	Unita
message	about.mac	Mappatura: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress	about.nat_ip	Unita
message	about.nat_ip	Mappatura: CEF: → deviceTranslatedAddress
Emne	about.process.command_line	Mappatura diretta
Path	about.process.command_line	Mappatura diretta
Subject	about.process.command_line	Mappatura diretta
deviceProcessName	about.process.command_line	Rinominato/mappato
dvcpid	about.process.pid	Rinominato/mappato
message	about.resource.attribute.permissions	Mappatura: CEF: → permissions
permissions	about.resource.attribute.permissions	Unita
additional_cfp1	additional.fields	Unita
additional_cfp2	additional.fields	Unita
additional_cfp3	additional.fields	Unita
additional_cfp4	additional.fields	Unita
additional_cn1	additional.fields	Unita
additional_cn2	additional.fields	Unita
additional_cn3	additional.fields	Unita
additional_cs1	additional.fields	Unita
additional_cs2	additional.fields	Unita
additional_cs3	additional.fields	Unita
additional_cs4	additional.fields	Unita
additional_cs5	additional.fields	Unita
additional_cs6	additional.fields	Unita
additional_cs7	additional.fields	Unita
additional_devicePayloadId	additional.fields	Unita
additional_eventId	additional.fields	Unita
additional_flexString1	additional.fields	Unita
additional_fname	additional.fields	Unita
cs2	additional.fields	Mappatura: arc_test → additional_cs2
cs5_label	additional.fields	Unita
description_url_label	additional.fields	Unita
http_host_label	additional.fields	Unita
log_id_field	additional.fields	Unita
message	additional.fields	Valori mappati (27 in totale, ad es. CEF: → sequencenum_label, CEF: → additional_eventId, `…
originsicname_field	additional.fields	Unita
reject_id_kid_field	additional.fields	Unita
sequencenum_label	additional.fields	Unita
ser_agent_kid_field	additional.fields	Unita
version_field	additional.fields	Unita
message	extensions.vulns.vulnerabilities	Mappatura: CEF: → v
v	extensions.vulns.vulnerabilities	Unita
int	intermediary	Unita
message	intermediary	Mappatura: CEF: → int
msg	metadata.description	Mappatura diretta
Generated	metadata.event_timestamp	Analizzato come yyyy-MM-ddTHH:mm:ss
Received	metadata.event_timestamp	Analizzato come yyyy-MM-ddTHH:mm:ss
lastupdatetime	metadata.event_timestamp	Analizzato come UNIX
rt	metadata.event_timestamp	Analizzato come yyyy-MM-ddTHH:mm:ssZ
event_name	metadata.event_type	Mappatura: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
message	metadata.event_type	Mappatura: CEF: → PROCESS_UNCATEGORIZED, CEF: → SCAN_UNCATEGORIZED, CEF: → `NETWORK_C…
principal_machine_id_present	metadata.event_type	Mappatura: true → NETWORK_CONNECTION
device_event_class_id	metadata.product_event_type	Mappatura diretta
event_name	metadata.product_event_type	Mappatura diretta
externalId	metadata.product_log_id	Mappatura diretta
loguid	metadata.product_log_id	Mappatura diretta
device_product	metadata.product_name	Mappatura diretta
device_version	metadata.product_version	Mappatura diretta
device_vendor	metadata.vendor_name	Rinominato/mappato
app_protocol_output	network.application_protocol	Mappatura diretta
deviceDirection	network.direction	Mappatura: 0 → INBOUND, 1 → OUTBOUND
message	network.direction	Mappatura: CEF: → INBOUND, CEF: → OUTBOUND
requestMethod	network.http.method	Rinominato/mappato
requestClientApplication	network.http.user_agent	Rinominato/mappato
user_agent	network.http.user_agent	Mappatura diretta
ip_protocol_out	network.ip_protocol	Mappatura diretta
in	network.received_bytes	Rinominato/mappato
out	network.sent_bytes	Rinominato/mappato
session_id	network.session_id	Mappatura diretta
sntdom	principal.administrative_domain	Rinominato/mappato
sourceServiceName	principal.application	Rinominato/mappato
Group_name	principal.group.group_display_name	Mappatura diretta
Gruppenavn	principal.group.group_display_name	Mappatura diretta
Device_name	principal.hostname	Mappatura diretta
Enhetsnavn	principal.hostname	Mappatura diretta
shost	principal.hostname	Rinominato/mappato
ip_proxy	principal.ip	Unita
message	principal.ip	Mapped: CEF: → principal_ip, CEF: → shost, CEF: → ip_proxy
principal_ip	principal.ip	Unita
shost	principal.ip	Unita
mac	principal.mac	Unita
message	principal.mac	Mappatura: CEF: → mac
message	principal.nat_ip	Mappatura: CEF: → sourceTranslatedAddress
sourceTranslatedAddress	principal.nat_ip	Unita
sourceTranslatedPort	principal.nat_port	Rinominato/mappato
spt	principal.port	Rinominato/mappato
sproc	principal.process.command_line	Rinominato/mappato
spid	principal.process.pid	Rinominato/mappato
message	principal.user.attribute.roles	Mappatura: CEF: → principal_role
principal_role	principal.user.attribute.roles	Unita
suser	principal.user.user_display_name	Mappatura diretta
suid	principal.user.userid	Rinominato/mappato
message	security_result	Mappatura: CEF: → security_result
_action	security_result.action	Unita
act	security_result.action	Mappatura: accept → _action, deny → _action
message	security_result.action	Mappatura: CEF: → _action
Action_Taken	security_result.action_details	Mappatura diretta
act	security_result.action_details	Mappatura diretta
cat	security_result.category_details	Unita
message	security_result.category_details	Mappatura: CEF: → cat
Scan_Type	security_result.description	Mappatura diretta
Type	security_result.description	Mappatura diretta
msg_data_2	security_result.description	Mappatura diretta
fn1	security_result.detection_fields	Unita
fn2	security_result.detection_fields	Unita
fs2	security_result.detection_fields	Unita
ifname_label	security_result.detection_fields	Unita
infection_channel_label	security_result.detection_fields	Unita
layer_name_label	security_result.detection_fields	Unita
layer_uuid_label	security_result.detection_fields	Unita
message	security_result.detection_fields	Valori mappati (19 in totale, ad es. CEF: → mitre_execution_label, CEF: → ifname_label, "CE…
mitre_discovery_label	security_result.detection_fields	Unita
mitre_execution_label	security_result.detection_fields	Unita
operasjon_label	security_result.detection_fields	Unita
operation_label	security_result.detection_fields	Unita
permission_label	security_result.detection_fields	Unita
policy_label	security_result.detection_fields	Unita
policy_time_label	security_result.detection_fields	Unita
smartdefense_profile_label	security_result.detection_fields	Unita
spyware_Grayware_Type_label	security_result.detection_fields	Unita
tags_label	security_result.detection_fields	Unita
threat_probability_label	security_result.detection_fields	Unita
tillatelse_label	security_result.detection_fields	Unita
rule_uid	security_result.rule_id	Mappatura diretta
mwProfile	security_result.rule_name	Mappatura diretta
rule_name	security_result.rule_name	Mappatura diretta
message	security_result.severity	Mappatura: CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH, CEF: → CRITICAL
severity	security_result.severity	Mappato: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"…
Result	security_result.summary	Mappatura diretta
appcategory	security_result.summary	Mappatura diretta
reason	security_result.summary	Rinominato/mappato
Spyware	security_result.threat_name	Mappatura diretta
Unknown_Threat	security_result.threat_name	Mappatura diretta
Virus_Malware_Name	security_result.threat_name	Mappatura diretta
oldFilePath	src.file.full_path	Rinominato/mappato
oldFileSize	src.file.size	Rinominato/mappato
message	src.resource.attribute.permissions	Mappatura: CEF: → old_permissions
old_permissions	src.resource.attribute.permissions	Unita
dntdom	target.administrative_domain	Rinominato/mappato
destinationServiceName	target.application	Rinominato/mappato
temp_dhost	target.hostname	Mappatura diretta
IPv6_Address	target.ip	Unita
dst_ip	target.ip	Unita
ipv6	target.ip	Mappatura: - → IPv6_Address
message	target.ip	Mappatura: CEF: → dst_ip, CEF: → IPv6_Address
mac_address	target.mac	Unita
message	target.mac	Mappatura: CEF: → mac_address
destination_translated_address	target.nat_ip	Unita
message	target.nat_ip	Mappatura: CEF: → destination_translated_address
destinationTranslatedPort	target.nat_port	Rinominato/mappato
dpt	target.port	Rinominato/mappato
dproc	target.process.command_line	Rinominato/mappato
File_name	target.process.file.full_path	Mappatura diretta
Infected_Resource	target.process.file.full_path	Mappatura diretta
Object	target.process.file.full_path	Mappatura diretta
Objekt	target.process.file.full_path	Mappatura diretta
dpid	target.process.pid	Rinominato/mappato
message	target.resource.attribute.labels	Mappatura: CEF: → resource_Type_label
resource_Type_label	target.resource.attribute.labels	Unita
request	target.url	Mappatura diretta
message	target.user.attribute.roles	Mappatura: CEF: → target_role
target_role	target.user.attribute.roles	Unita
CustomerName	target.user.user_display_name	Mappatura diretta
temp_duser	target.user.user_display_name	Mappatura diretta
Bruker	target.user.userid	Mappatura diretta
User_value	target.user.userid	Mappatura diretta
temp_duid	target.user.userid	Mappatura diretta
N/D	metadata.event_type	Costante: PROCESS_UNCATEGORIZED
N/D	network.direction	Costante: INBOUND
N/D	security_result.severity	Costante: LOW
action	event.idm.read_only_udm.security_result.action	Mappato dal log delle modifiche
ifdir	event.idm.read_only_udm.network.direction	Mappato dal log delle modifiche
severity	event.idm.read_only_udm.security_result.severity	Mappato dal log delle modifiche
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
vendor_name	event.idm.read_only_udm.metadata.vendor_name	Mappato dal log delle modifiche
src_host	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
smartdefense_profile	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
layer_uuid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
layer_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
precise_error	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
suppressed_logs	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
flags	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
originsicname	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sequencenum	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
time	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
version	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
description_url	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
log_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
performance_impact	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
reject_id_kid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
received_bytes	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
sent_bytes	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ser_agent_kid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
packet_info	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ProductFamily	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
malware_rule_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
tags	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
policy_name	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
__policy_id_tag.product	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
db_tag	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
mgmt	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
date	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
ifname	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
policy	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
policy_time	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
protection_id	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
protection_type	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
rule	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
sub_policy_name	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
sub_policy_uid	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
action	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
loguid	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
attack	event.idm.read_only_udm.security_result.category_details	Mappato dal log delle modifiche
attack_info	event.idm.read_only_udm.security_result.threat_name	Mappato dal log delle modifiche
Attack Info	event.idm.read_only_udm.security_result.threat_name	Mappato dal log delle modifiche
dst	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mappato dal log delle modifiche
lastupdatetime	event.idm.read_only_udm.security_result.last_updated_time	Mappato dal log delle modifiche
protection_name	event.idm.read_only_udm.security_result.description	Mappato dal log delle modifiche
reason	event.idm.read_only_udm.security_result.description	Mappato dal log delle modifiche
src	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
proxy_src_ip	event.idm.read_only_udm.principal.nat_ip	Mappato dal log delle modifiche
received_bytes	event.idm.read_only_udm.network.received_bytes	Mappato dal log delle modifiche
resource	event.idm.read_only_udm.target.url	Mappato dal log delle modifiche
rule_name	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
rule_uid	event.idm.read_only_udm.security_result.rule_id	Mappato dal log delle modifiche
reject_id	event.idm.read_only_udm.security_result.rule_id	Mappato dal log delle modifiche
s_port	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
sport_svc	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
sent_bytes	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
service	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
svc	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
service_id	event.idm.read_only_udm.network.application_protocol	Mappato dal log delle modifiche
session_id	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
web_client_type	event.idm.read_only_udm.network.http.user_agent	Mappato dal log delle modifiche
web_client_type	event.idm.read_only_udm.network.http.parsed_user_agent	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.