Raccogli i log di Check Point SmartDefense

Versione parser: 18.0

Supportato in:

Questo documento spiega come importare i log di Check Point SmartDefense in Google Security Operations utilizzando l'agente Bindplane.

Il parser estrae i campi dai log formattati di syslog di Check Point SmartDefense. Utilizza grok e/o kv per analizzare il messaggio di log e poi mappa questi valori al modello UDM (Unified Data Model). Inoltre, imposta i valori predefiniti dei metadati per l'origine e il tipo di evento.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Un host Windows 2016 o versioni successive o Linux con systemd
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
  • Accesso con privilegi alla console o all'appliance di gestione di Check Point SmartDefense

Recupera le credenziali Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

  • Nuovi deployment: utilizza l'API Chronicle (opzione 1).
  • Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.
  1. Accedi alla Google Cloud console e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
  2. Vai a IAM e amministrazione > Service account.
  3. Fai clic su Crea service account.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
    • Descrizione del service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
  5. Fai clic su Crea e continua.
  6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
  7. Fai clic su Continua, quindi su Fine.
  8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
  9. Fai clic su Aggiungi chiave > Crea nuova chiave.
  10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
  11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
  12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Ottieni l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.
  3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

  1. Accedi al file di configurazione:

    • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
    • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

  2. Modifica il file config.yaml come segue:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CHECKPOINT_SMARTDEFENSE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Sostituisci la porta e l'indirizzo IP in base alle esigenze della tua infrastruttura.
    • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore.
    • Sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
    • Sostituisci <CUSTOMER_ID> con l'ID cliente effettivo.
    • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (opzione 1) nel passaggio 1.

Esportatore API di importazione legacy

  • Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'importazione e, se la tua istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con l'endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'CHECKPOINT_SMARTDEFENSE'
    raw_log_field: body
    ingestion_labels:

Riavvia l'agente Bindplane per applicare le modifiche

  1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

  2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

    net stop observiq-otel-collector && net start observiq-otel-collector

Configura l'inoltro di Syslog su Check Point SmartDefense

Passaggio 1: crea l'oggetto Log Exporter/SIEM in SmartConsole

  1. Accedi a Check Point SmartConsole.
  2. Vai a Objects (Oggetti) > More object types (Altri tipi di oggetti) > Server > Log Exporter/SIEM (Esportatore di log/SIEM).
  3. Fai clic su New (Nuovo) per creare un nuovo oggetto Log Exporter.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome oggetto: inserisci un nome descrittivo (ad esempio, Google SecOps Bindplane).
    • Esporta configurazione: seleziona Attivata.
    • Server di destinazione: inserisci l'indirizzo IP dell'agente Bindplane.
    • Porta di destinazione: inserisci 514 (o il numero di porta dell'agente Bindplane configurato).
    • Protocollo: seleziona UDP.
  5. Vai alla pagina Manipolazione dei dati.
  6. Fornisci i seguenti dettagli di configurazione:
    • Formato: seleziona Common Event Format (CEF).
    • Fuso orario: seleziona il fuso orario UTC per garantire la coerenza universale tra i sistemi.
  7. Fai clic su OK per salvare la configurazione.

Passaggio 2: configura il server di gestione o il server di log

  1. In SmartConsole, vai a Gateway e server.
  2. Apri l'oggetto Management Server o Dedicated Log Server/SmartEvent Server.
  3. Vai a Log > Esporta.
  4. Fai clic su + e seleziona l'oggetto Log Exporter/SIEM configurato in precedenza.
  5. Fai clic su OK.

Passaggio 3: installa la policy del database

  1. Nel menu in alto, fai clic su Install (Installa) > Install database (Installa database).
  2. Seleziona Tutti gli oggetti.
  3. Fai clic su Installa.

Passaggio 4: verifica la configurazione dell'esportazione dei log

  1. Connettiti alla riga di comando sul server di gestione/server di log.
  2. Accedi alla modalità Esperto.

  3. Esegui questo comando per verificare la configurazione:

    cp_log_export show

  4. Per riavviare Log Exporter, se necessario:

    cp_log_export restart

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
message about Mappato: CEF: → about
deviceNtDomain about.administrative_domain Rinominate/mappate
deviceExternalId about.asset.asset_id Mappato direttamente
device_product about.asset.asset_id Mappata direttamente
device_vendor about.asset.asset_id Mappata direttamente
fileHash about.file.full_path Mappata direttamente
filePath about.file.full_path Rinominato/mappato
_hash about.file.sha256 Rinominato/mappato
fileHash about.file.sha256 Rinominato/mappato
fsize about.file.size Rinominato/mappato
dvchost about.hostname Rinominato/mappato
ips about.ip Unita
message about.ip Mappatura: CEF: → ips
dvc_mac about.mac Mappato: slot → mac_address
dvcmac about.mac Unita
mac_address about.mac Unita
message about.mac Mappatura: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip Unita
message about.nat_ip Mappato: CEF: → deviceTranslatedAddress
Emne about.process.command_line Mappato direttamente
Path about.process.command_line Mappata direttamente
Subject about.process.command_line Mappata direttamente
deviceProcessName about.process.command_line Rinominato/mappato
dvcpid about.process.pid Rinominato/mappato
message about.resource.attribute.permissions Mappato: CEF: → permissions
permissions about.resource.attribute.permissions Unita
additional_cfp1 additional.fields Unita
additional_cfp2 additional.fields Unita
additional_cfp3 additional.fields Unita
additional_cfp4 additional.fields Unita
additional_cn1 additional.fields Unita
additional_cn2 additional.fields Unita
additional_cn3 additional.fields Unita
additional_cs1 additional.fields Unita
additional_cs2 additional.fields Unita
additional_cs3 additional.fields Unita
additional_cs4 additional.fields Unita
additional_cs5 additional.fields Unita
additional_cs6 additional.fields Unita
additional_cs7 additional.fields Unita
additional_devicePayloadId additional.fields Unita
additional_eventId additional.fields Unita
additional_flexString1 additional.fields Unita
additional_fname additional.fields Unita
cs2 additional.fields Mappato: arc_test → additional_cs2
cs5_label additional.fields Unita
description_url_label additional.fields Unita
http_host_label additional.fields Unita
log_id_field additional.fields Unita
message additional.fields Valori mappati (27 in totale, ad es. CEF: → sequencenum_label, CEF: → additional_eventId, `…
originsicname_field additional.fields Unita
reject_id_kid_field additional.fields Unita
sequencenum_label additional.fields Unita
ser_agent_kid_field additional.fields Unita
version_field additional.fields Unita
message extensions.vulns.vulnerabilities Mappatura: CEF: → v
v extensions.vulns.vulnerabilities Unita
int intermediary Unita
message intermediary Mappatura: CEF: → int
msg metadata.description Mappata direttamente
Generated metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
lastupdatetime metadata.event_timestamp Analizzato come UNIX
rt metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
event_name metadata.event_type Mappato: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
message metadata.event_type Mappato: CEF: → PROCESS_UNCATEGORIZED, CEF: → SCAN_UNCATEGORIZED, CEF: → `NETWORK_C…
principal_machine_id_present metadata.event_type Mappatura: true → NETWORK_CONNECTION
device_event_class_id metadata.product_event_type Mappato direttamente
event_name metadata.product_event_type Mappata direttamente
externalId metadata.product_log_id Mappata direttamente
loguid metadata.product_log_id Mappata direttamente
device_product metadata.product_name Mappata direttamente
device_version metadata.product_version Mappata direttamente
device_vendor metadata.vendor_name Rinominato/mappato
app_protocol_output network.application_protocol Mappata direttamente
deviceDirection network.direction Mappatura: 0 → INBOUND, 1 → OUTBOUND
message network.direction Mappatura: CEF: → INBOUND, CEF: → OUTBOUND
requestMethod network.http.method Rinominato/mappato
requestClientApplication network.http.user_agent Rinominato/mappato
user_agent network.http.user_agent Mappato direttamente
ip_protocol_out network.ip_protocol Mappata direttamente
in network.received_bytes Rinominato/mappato
out network.sent_bytes Rinominato/mappato
session_id network.session_id Mappata direttamente
sntdom principal.administrative_domain Rinominato/mappato
sourceServiceName principal.application Rinominato/mappato
Group_name principal.group.group_display_name Mappato direttamente
Gruppenavn principal.group.group_display_name Mappata direttamente
Device_name principal.hostname Mappata direttamente
Enhetsnavn principal.hostname Mappata direttamente
shost principal.hostname Rinominato/mappato
ip_proxy principal.ip Unita
message principal.ip Mappatura: CEF: → principal_ip, CEF: → shost, CEF: → ip_proxy
principal_ip principal.ip Unita
shost principal.ip Unita
mac principal.mac Unita
message principal.mac Mappato: CEF: → mac
message principal.nat_ip Mappatura: CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Unita
sourceTranslatedPort principal.nat_port Rinominate/mappate
spt principal.port Rinominato/mappato
sproc principal.process.command_line Rinominato/mappato
spid principal.process.pid Rinominate/mappate
message principal.user.attribute.roles Mappatura: CEF: → principal_role
principal_role principal.user.attribute.roles Unita
suser principal.user.user_display_name Mappato direttamente
suid principal.user.userid Rinominate/mappate
message security_result Mappatura: CEF: → security_result
_action security_result.action Unita
act security_result.action Mappatura: accept → _action, deny → _action
message security_result.action Mappatura: CEF: → _action
Action_Taken security_result.action_details Mappata direttamente
act security_result.action_details Mappata direttamente
cat security_result.category_details Unita
message security_result.category_details Mappatura: CEF: → cat
Scan_Type security_result.description Mappato direttamente
Type security_result.description Mappata direttamente
msg_data_2 security_result.description Mappata direttamente
fn1 security_result.detection_fields Unita
fn2 security_result.detection_fields Unita
fs2 security_result.detection_fields Unita
ifname_label security_result.detection_fields Unita
infection_channel_label security_result.detection_fields Unita
layer_name_label security_result.detection_fields Unita
layer_uuid_label security_result.detection_fields Unita
message security_result.detection_fields Valori mappati (19 in totale, ad es. CEF: → mitre_execution_label, CEF: → ifname_label, `CE…
mitre_discovery_label security_result.detection_fields Unita
mitre_execution_label security_result.detection_fields Unita
operasjon_label security_result.detection_fields Unita
operation_label security_result.detection_fields Unita
permission_label security_result.detection_fields Unita
policy_label security_result.detection_fields Unita
policy_time_label security_result.detection_fields Unita
smartdefense_profile_label security_result.detection_fields Unita
spyware_Grayware_Type_label security_result.detection_fields Unita
tags_label security_result.detection_fields Unita
threat_probability_label security_result.detection_fields Unita
tillatelse_label security_result.detection_fields Unita
rule_uid security_result.rule_id Mappato direttamente
mwProfile security_result.rule_name Mappata direttamente
rule_name security_result.rule_name Mappata direttamente
message security_result.severity Mappato: CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH, CEF: → CRITICAL
severity security_result.severity Mappatura: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"…
Result security_result.summary Mappato direttamente
appcategory security_result.summary Mappata direttamente
reason security_result.summary Rinominato/mappato
Spyware security_result.threat_name Mappato direttamente
Unknown_Threat security_result.threat_name Mappata direttamente
Virus_Malware_Name security_result.threat_name Mappata direttamente
oldFilePath src.file.full_path Rinominato/mappato
oldFileSize src.file.size Rinominate/mappate
message src.resource.attribute.permissions Mappatura: CEF: → old_permissions
old_permissions src.resource.attribute.permissions Unita
dntdom target.administrative_domain Rinominate/mappate
destinationServiceName target.application Rinominato/mappato
temp_dhost target.hostname Mappata direttamente
IPv6_Address target.ip Unita
dst_ip target.ip Unita
ipv6 target.ip Mappato: - → IPv6_Address
message target.ip Mappatura: CEF: → dst_ip, CEF: → IPv6_Address
mac_address target.mac Unita
message target.mac Mappatura: CEF: → mac_address
destination_translated_address target.nat_ip Unita
message target.nat_ip Mappatura: CEF: → destination_translated_address
destinationTranslatedPort target.nat_port Rinominate/mappate
dpt target.port Rinominato/mappato
dproc target.process.command_line Rinominato/mappato
File_name target.process.file.full_path Mappato direttamente
Infected_Resource target.process.file.full_path Mappata direttamente
Object target.process.file.full_path Mappata direttamente
Objekt target.process.file.full_path Mappata direttamente
dpid target.process.pid Rinominate/mappate
message target.resource.attribute.labels Mappato: CEF: → resource_Type_label
resource_Type_label target.resource.attribute.labels Unita
request target.url Mappata direttamente
message target.user.attribute.roles Mappatura: CEF: → target_role
target_role target.user.attribute.roles Unita
CustomerName target.user.user_display_name Mappato direttamente
temp_duser target.user.user_display_name Mappata direttamente
Bruker target.user.userid Mappata direttamente
User_value target.user.userid Mappata direttamente
temp_duid target.user.userid Mappata direttamente
N/D metadata.event_type Costante: PROCESS_UNCATEGORIZED
N/D network.direction Costante: INBOUND
N/D security_result.severity Costante: LOW
action event.idm.read_only_udm.security_result.action Mappato dal log delle modifiche
ifdir event.idm.read_only_udm.network.direction Mappato dal log delle modifiche
severity event.idm.read_only_udm.security_result.severity Mappato dal log delle modifiche
timestamp event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
vendor_name event.idm.read_only_udm.metadata.vendor_name Mappato dal log delle modifiche
src_host event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mappato dal log delle modifiche
smartdefense_profile event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
layer_uuid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
layer_name event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
precise_error event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
suppressed_logs event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
flags event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
originsicname event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
sequencenum event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
time event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
version event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
description_url event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
log_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
performance_impact event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
reject_id_kid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
received_bytes event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
sent_bytes event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ser_agent_kid event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
packet_info event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ProductFamily event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
malware_rule_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tags event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
policy_name event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
__policy_id_tag.product event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
db_tag event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
mgmt event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
date event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
ifname event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
policy event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
policy_time event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
protection_id event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
protection_type event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
rule event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
sub_policy_name event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
sub_policy_uid event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
action event.idm.read_only_udm.security_result.action_details Mappato dal log delle modifiche
loguid event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
attack event.idm.read_only_udm.security_result.category_details Mappato dal log delle modifiche
attack_info event.idm.read_only_udm.security_result.threat_name Mappato dal log delle modifiche
Attack Info event.idm.read_only_udm.security_result.threat_name Mappato dal log delle modifiche
dst event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
lastupdatetime event.idm.read_only_udm.security_result.last_updated_time Mappato dal log delle modifiche
protection_name event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
reason event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
src event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
proxy_src_ip event.idm.read_only_udm.principal.nat_ip Mappato dal log delle modifiche
received_bytes event.idm.read_only_udm.network.received_bytes Mappato dal log delle modifiche
resource event.idm.read_only_udm.target.url Mappato dal log delle modifiche
rule_name event.idm.read_only_udm.security_result.rule_name Mappato dal log delle modifiche
rule_uid event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
reject_id event.idm.read_only_udm.security_result.rule_id Mappato dal log delle modifiche
s_port event.idm.read_only_udm.principal.port Mappato dal log delle modifiche
sport_svc event.idm.read_only_udm.principal.port Mappato dal log delle modifiche
sent_bytes event.idm.read_only_udm.network.sent_bytes Mappato dal log delle modifiche
service event.idm.read_only_udm.target.port Mappato dal log delle modifiche
svc event.idm.read_only_udm.target.port Mappato dal log delle modifiche
service_id event.idm.read_only_udm.network.application_protocol Mappato dal log delle modifiche
session_id event.idm.read_only_udm.network.session_id Mappato dal log delle modifiche
web_client_type event.idm.read_only_udm.network.http.user_agent Mappato dal log delle modifiche
web_client_type event.idm.read_only_udm.network.http.parsed_user_agent Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.