ChromeOS-XDR-Protokolle erfassen

Parserversion:4.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie ChromeOS XDR-Logs mit Google Cloud Pub/Sub in Google Security Operations aufnehmen.

ChromeOS XDR leitet Sicherheits-Telemetriedaten auf Betriebssystemebene von verwalteten ChromeOS-Geräten an ein Google Cloud Pub/Sub-Thema weiter, das Ihnen gehört. Diese Telemetriedaten umfassen An- und Abmeldeaktivitäten, den Gerätestartstatus, die Ausführung von Prozessen, Netzwerkflüsse und Änderungen an vertraulichen Dateien. Sie verweisen in der Google Admin Console in der ChromeOS XDR-Anbieterkonfiguration auf Ihr Pub/Sub-Thema. Ein Pub/Sub-Push-Abo sendet die Ereignisse an Ihren Google SecOps-Feed-Endpunkt.

Hinweis :Ereignisse für die Berichterstellung in Chrome Enterprise (z. B. Malware-Übertragungen, Aufrufe unsicherer Websites, Wiederverwendung von Passwörtern und Erweiterungsinstallationen) sind ein separater CHROME_MANAGEMENT-Protokolltyp und werden im Integrationsleitfaden für Chrome Enterprise (Chrome-Verwaltung) behandelt. In dieser Anleitung wird nur die XDR-Telemetrie für ChromeOS-Geräte behandelt.

Hinweis :In der Admin-Konsole ist auch eine Anbieterkonfiguration für den ChromeOS-XDR-Connector verfügbar, für die ein Token und ein Hostname erforderlich sind. Diese Anbieterkonfiguration wird an Drittanbieterendpunkte wie CrowdStrike Falcon gesendet, aber nicht an Google SecOps. Wenn Sie ChromeOS XDR-Telemetrie in Google SecOps erfassen möchten, verwenden Sie die in diesem Leitfaden beschriebene Google Cloud Pub/Sub XDR-Anbieterkonfiguration.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Ein Google Cloud Projekt, das an Ihre Google SecOps-Instanz gebunden ist. Das Pub/Sub-Thema und das Push-Abo müssen sich in diesem Projekt befinden.
• Privilegierter Zugriff auf IAM (Identity and Access Management) und Pub/Sub in diesem Google Cloud Projekt.
• Ein Google Workspace-Administratorkonto mit Super Admin-Berechtigungen.
• Verwaltete ChromeOS-Geräte, die in Ihrer Google Workspace-Organisation registriert sind.
• Organisationseinheiten mit den ChromeOS-Geräten, von denen Sie Telemetriedaten erfassen möchten
• Zugriff auf die Google Cloud Pub/Sub‑XDR-Anbieterkonfiguration in der Admin-Konsole.

Hinweis :Die Konfiguration des Google Cloud Pub/Sub-Anbieters ist durch eine Zulassungsliste eingeschränkt und nicht für alle Google Workspace-Konten verfügbar. Wenn es nicht in der Liste der Anbieterkonfigurationen angezeigt wird, hat Ihr Konto noch keinen Zugriff. Wenden Sie sich an Ihren Google-Ansprechpartner, um Zugriff anzufordern.

Google Cloud -Projekt mit Ihrer Google SecOps-Instanz verknüpfen

Bevor Sie einen Pub/Sub-Push-Feed erstellen, müssen Sie das Google Cloud Projekt, in dem sich Ihr Thema befindet, an Ihre Google SecOps-Instanz binden. Durch die Bindung kann das Push-Abo sich mit einem Dienstkonto authentifizieren.

Prüfen, ob das Projekt bereits verknüpft ist

1. Rufen Sie in Ihrer Google SecOps-Instanz die SIEM-Einstellungen > Projekte auf.
2. Prüfen Sie, ob Ihr Google Cloud Projekt aufgeführt ist.
3. Wenn es aufgeführt ist, ist das Projekt bereits gebunden. Fahren Sie mit dem nächsten Abschnitt fort.

Projekt binden

1. Rufen Sie die SIEM-Einstellungen > Projekte auf.
2. Klicken Sie auf Projekt hinzufügen.
3. Geben Sie im Feld Projekt-ID Ihre Google Cloud Projekt-ID ein.
4. Klicken Sie auf Hinzufügen.
5. Warten Sie, bis die Verknüpfung abgeschlossen ist. Aktualisieren Sie dann die Seite und prüfen Sie, ob das Projekt mit dem Status Aktiv angezeigt wird.

Hinweis :Nur Google SecOps-Administratoren können Projekte verknüpfen. Wenn Sie keine Berechtigung haben, wenden Sie sich an Ihren Google SecOps-Administrator.

Prüfen, ob die Chronicle API aktiviert ist

1. Rufen Sie die Google Cloud Console-Bibliothek „APIs und Dienste“ auf.
2. Wählen Sie das verknüpfte Projekt aus.
3. Geben Sie Chronicle in das Suchfeld ein.
4. Klicken Sie auf Chronicle API.
5. Wenn die API nicht aktiviert ist, klicken Sie auf Aktivieren.

Pub/Sub-Thema erstellen

Erstellen Sie das Thema, das ChromeOS XDR-Ereignisse empfängt. Das Thema gehört Ihnen und ist der Wert, den Sie später in der Admin-Konsole eingeben.

Google Cloud Console verwenden

1. Rufen Sie Pub/Sub-Themen auf.
2. Wählen Sie das verknüpfte Projekt aus.
3. Klicken Sie auf Thema erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Themen-ID: Geben Sie einen aussagekräftigen Namen ein, z. B. chromeos-xdr-secops.
   • Standardabo hinzufügen: Entfernen Sie das Häkchen aus diesem Kästchen.
5. Klicken Sie auf Erstellen.

6. Kopieren Sie den vollständigen Pfad zum Thema. Das Format dafür ist:

   projects/<PROJECT_ID>/topics/<TOPIC_ID>
   

gcloud-Befehlszeilentool verwenden

• Verwenden Sie den folgenden Befehl:

  gcloud pubsub topics create chromeos-xdr-secops \
          --project=<PROJECT_ID>
  

  • Ersetzen Sie <PROJECT_ID> durch die ID des verknüpften Google Cloud Projekts.

Veröffentlichungszugriff für den ChromeOS XDR-Publisher gewähren

ChromeOS XDR veröffentlicht Ereignisse mit einem von Google verwalteten Dienstkonto. Dieses Dienstkonto hat erst Zugriff auf Ihr Thema, wenn Sie den Zugriff gewähren. Bis dahin schlägt die Prüfung Verbindung testen in der Admin-Konsole fehl.

Google Cloud Console verwenden

1. Rufen Sie Pub/Sub-Themen auf.
2. Klicken Sie auf das von Ihnen erstellte Thema.
3. Öffnen Sie den Tab Berechtigungen und klicken Sie auf Hauptkonto hinzufügen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Neue Hauptkonten: Geben Sie [e-mail] ein.
   • Rolle: Wählen Sie Pub/Sub > Pub/Sub-Publisher aus.
5. Klicken Sie auf Speichern.

gcloud-Befehlszeilentool verwenden

• Verwenden Sie den folgenden Befehl:

  gcloud pubsub topics add-iam-policy-binding chromeos-xdr-secops \
          --member="serviceAccount:[e-mail]" \
          --role="roles/pubsub.publisher" \
          --project=<PROJECT_ID>
  

  Hinweis :Dieses Dienstkonto für Publisher ist speziell für ChromeOS XDR vorgesehen. Für die Berichterstellung für Chrome-Browser für Unternehmen wird ein anderes Publisher-Konto verwendet. Daher ist diese Berechtigung auch für ein Thema erforderlich, das bereits für die Berichterstellung für Chrome-Browser konfiguriert ist.

Pub/Sub-Push-Feed in Google SecOps erstellen

Feed erstellen

1. Rufen Sie in Ihrer Google SecOps-Instanz die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. ChromeOS XDR events.
5. Wählen Sie Google Cloud Pub/Sub Push als Quelltyp aus.
6. Wählen Sie ChromeOS XDR als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Trennzeichen für Aufteilung: Lassen Sie dieses Feld leer. ChromeOS XDR veröffentlicht ein Ereignis pro Pub/Sub-Nachricht.
   • Asset-Namespace: Der Asset-Namespace
   • Labels für Datenaufnahme: Die Labels, die auf die Ereignisse aus diesem Feed angewendet werden sollen
9. Klicken Sie auf Weiter.
10. Prüfen Sie die Feedkonfiguration auf dem Finalize screen (Bildschirm „Abschließen“) und klicken Sie dann auf Submit (Senden).

Push-Endpunkt-URL abrufen

1. Prüfen Sie auf der Feed-Detailseite, ob der Feedstatus Aktiv ist und der Ein/Aus-Button Feed aktiviert auf „Ein“ steht.

2. Kopieren Sie im Feld Endpoint Information (Endpunktinformationen) die Push-Endpunkt-URL. Das Format dafür ist:

   https://<REGION>-chronicle.googleapis.com/v1alpha/projects/<PROJECT_NUMBER>/locations/<REGION>/instances/<INSTANCE_ID>/feeds/<FEED_ID>:importPushLogs
   

3. Speichern Sie diese URL für das Push-Abo.

Hinweis :Für Pub/Sub-Push-Feeds werden keine API-Schlüssel oder geheimen Schlüssel verwendet. Das Push-Abo wird mit einem OIDC-Token für ein Dienstkonto authentifiziert.

Dienstkonto für Pub/Sub-Push erstellen

Erstellen Sie das Dienstkonto:

1. Rufen Sie in der Google Cloud Console die Seite „Dienstkonten“ auf.
2. Wählen Sie das verknüpfte Projekt aus.
3. Klicken Sie auf + Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen aussagekräftigen Namen ein, z. B. chromeos-xdr-push.
   • Beschreibung des Dienstkontos: Geben Sie Pub/Sub Push to Google SecOps for ChromeOS XDR ein.
5. Klicken Sie auf Erstellen und fortfahren.
6. Lassen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen das Feld Rolle leer.
7. Klicke auf Weiter> Fertig.

8. Kopieren Sie die E-Mail-Adresse des Dienstkontos. Das Format dafür ist:

   chromeos-xdr-push@<PROJECT_ID>.iam.gserviceaccount.com
   

gcloud-Befehlszeilentool verwenden

• Verwenden Sie den folgenden Befehl:

  gcloud iam service-accounts create chromeos-xdr-push \
          --display-name="ChromeOS XDR Push" \
          --description="Pub/Sub Push to Google SecOps for ChromeOS XDR" \
          --project=<PROJECT_ID>
  

Dienstkontoberechtigungen

Für dieses Dienstkonto ist keine zusätzliche IAM-Rolle erforderlich. Die zuvor konfigurierte Projektbindung ermöglicht die Dienstkonto-Authentifizierung und das Push-Abo authentifiziert sich am Google SecOps-Feed-Endpunkt mit dem OIDC-Token des Dienstkontos. Sie wählen dieses Dienstkonto aus, wenn Sie die Authentifizierung für das Push-Abo aktivieren.

Hinweis :Es gibt keine vordefinierte Rolle roles/chronicle.apiInvoker. Gewähren Sie nicht roles/run.invoker, da dies für Cloud Run und nicht für die Google SecOps-Aufnahme gilt.

Pub/Sub-Push-Abo erstellen

Google Cloud Console verwenden

1. Rufen Sie Pub/Sub-Abos auf.
2. Klicken Sie auf Abo erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Abo-ID	Geben Sie einen aussagekräftigen Namen ein, z. B. secops-chromeos-xdr.
   Cloud Pub/Sub-Thema auswählen	Wählen Sie das von Ihnen erstellte Thema aus.
   Typ der Anzeigenschaltung	Push
   Endpunkt-URL	Push-Endpunkt-URL von der Detailseite des Feeds einfügen
   Authentifizierung aktivieren	Ausgewählt
   Dienstkonto	Wählen Sie das von Ihnen erstellte Dienstkonto aus.
   Zielgruppe	Leer lassen
   Entpacken der Nutzlast aktivieren	Gelöscht
   Metadaten schreiben	Gelöscht
   Bestätigungsfrist	600 Sekunden
   Ablaufzeitraum	Läuft nie ab

4. Klicken Sie auf Erstellen.

Hinweis :Der Pub/Sub-Dienst-Agent service-<PROJECT_NUMBER>@gcp-sa-pubsub.iam.gserviceaccount.com muss die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) für das Push-Dienstkonto haben. Andernfalls schlägt das Erstellen des authentifizierten Abos mit einem Berechtigungsfehler fehl. In der Google Cloud Konsole werden Sie aufgefordert, die Berechtigung zu erteilen, wenn Sie Authentifizierung aktivieren auswählen.

Hinweis :Lassen Sie sowohl Entpacken der Nutzlast aktivieren als auch Metadaten schreiben deaktiviert. Für den Google SecOps-Feed-Endpunkt wird der vollständige Pub/Sub-Nachrichten-Envelope erwartet. Die Ereignisnutzlast wird dann extrahiert. Wenn Sie das Entpacken der Nutzlast aktivieren, wird diese Hülle entfernt, bevor die Nachricht den Endpunkt erreicht.

gcloud-Befehlszeilentool verwenden

• Verwenden Sie den folgenden Befehl:

  gcloud pubsub subscriptions create secops-chromeos-xdr \
          --topic=chromeos-xdr-secops \
          --push-endpoint=<PUSH_ENDPOINT_URL> \
          --push-auth-service-account=chromeos-xdr-push@<PROJECT_ID>.iam.gserviceaccount.com \
          --ack-deadline=600 \
          --expiration-period=never \
          --project=<PROJECT_ID>
  

  Ersetzen Sie Folgendes:

  • <PUSH_ENDPOINT_URL>: Die Push-Endpunkt-URL von der Detailseite des Feeds
  • <PROJECT_ID>: Die ID des gebundenen Google Cloud -Projekts.

Prüfen, ob das Abo erstellt wurde

• Verwenden Sie den folgenden Befehl:

  gcloud pubsub subscriptions describe secops-chromeos-xdr \
          --project=<PROJECT_ID>
  

  Prüfen Sie, ob in der Ausgabe Folgendes angezeigt wird:

  • pushConfig.pushEndpoint: Die Feed-Endpunkt-URL
  • pushConfig.oidcToken.serviceAccountEmail: Die E-Mail-Adresse Ihres Dienstkontos
  • ackDeadlineSeconds: 600

Google Cloud Pub/Sub-XDR-Anbieterkonfiguration hinzufügen

Richten Sie die ChromeOS XDR-Anbieterkonfiguration auf Ihr Pub/Sub-Thema aus, damit verwaltete ChromeOS-Geräte ihre Telemetriedaten darin veröffentlichen.

1. Melden Sie sich mit einem Super-Admin-Konto in der Admin-Konsole an.

   Wenn Sie kein Super-Admin-Konto verwenden, können Sie diese Schritte nicht ausführen.

2. Öffnen Sie das Dreistrich-Menü > „Geräte“ > „Chrome“ > „Connectors“.

3. Optional: Wenn Sie die Einstellungen für Chrome Enterprise Connectors zum ersten Mal konfigurieren, folgen Sie der Anleitung zum Aktivieren von Chrome Enterprise Connectors.

4. Klicken Sie oben auf Neue Anbieterkonfiguration.

5. Suchen Sie nach Google Cloud Pub/Sub XDR und klicken Sie auf Einrichten.

   Das Dialogfeld Google Cloud Pub/Sub‑XDR-Konfiguration wird geöffnet.

6. Geben Sie die folgenden Konfigurationsdetails ein:

   • Konfigurationsname: Geben Sie einen aussagekräftigen Namen ein. Beispiel: ChromeOS XDR to Google SecOps.
   • Vollständiger Pfad zum Thema: Geben Sie den vollständigen Pfad des erstellten Themas im Format projects/<PROJECT_ID>/topics/<TOPIC_ID> ein.

7. Klicken Sie auf Verbindung testen, um die Konfigurationsdetails zu prüfen.

   Wenn die Validierung fehlschlägt, prüfen Sie Folgendes:

   • Der vollständige Pfad zum Thema ist korrekt und das Thema ist im verknüpften Google Cloud Projekt vorhanden.
   • [e-mail] hat die Rolle Pub/Sub-Publisher für dieses Thema.
   • Die Pub/Sub API ist im Projekt aktiviert.
   Hinweis :Google SecOps dedupliziert identische Batches. Wenn Sie Verbindung testen also mehrmals ausführen, wird nur die erste Testnachricht in Ihrer Instanz angezeigt.

8. Maximieren Sie unter Ereignisse, die diese Konfiguration empfangen darf die Option XDR-Ereignisse und wählen Sie XDR-Ereignisse aktivieren aus.

9. Klicken Sie auf Save configuration (Konfiguration speichern).

Die Konfiguration wird für die gesamte Organisation hinzugefügt. Wenn Sie die Funktion für die ChromeOS-Geräte aktivieren möchten, die Sie überwachen möchten, wählen Sie die Organisationseinheit aus, die diese Geräte enthält, und setzen Sie ein Häkchen neben Ihrer Konfiguration.

ChromeOS XDR-Berichte aktivieren

Aktivieren Sie die ChromeOS XDR-Berichterstellung in den Geräteeinstellungen, um mit dem Erfassen von Sicherheits-Telemetriedaten auf Betriebssystemebene von Ihren verwalteten ChromeOS-Geräten zu beginnen.

1. Öffnen Sie in der Admin-Konsole das Dreistrich-Menü > „Geräte“ > „Chrome“ > „Einstellungen“ > „Geräteeinstellungen“.
2. Wenn die Einstellung für alle ChromeOS-Geräte gelten soll, verwenden Sie die oberste Organisationseinheit (bereits ausgewählt). Wählen Sie andernfalls eine untergeordnete Organisationseinheit aus, die die Geräte enthält, von denen Sie Telemetriedaten erfassen möchten.
3. Rufen Sie Berichterstellung zu Nutzern und Geräten auf.
4. Wählen Sie neben Ereignisse vom Typ „Extended Detection and Response“ (XDR) melden die Option Informationen zu Ereignissen vom Typ „Extended Detection and Response“ (XDR) melden aus.

5. Klicken Sie auf Speichern.

   Klicken Sie für eine Organisationseinheit auf Überschreiben. Wenn Sie den übernommenen Wert später wiederherstellen möchten, klicken Sie auf Übernehmen.

6. Wiederholen Sie diese Schritte für alle anderen Organisationseinheiten, die ChromeOS-Geräte enthalten, von denen Sie Telemetriedaten erfassen möchten.

Datenfluss prüfen

So prüfen Sie, ob ChromeOS XDR-Logs in Google SecOps aufgenommen werden:

1. Öffnen Sie Ihre Google SecOps-Instanz.
2. Gehen Sie zum Menü > Suche.

3. Führen Sie die folgende Suchanfrage aus, um nach ChromeOS XDR-Ereignissen zu suchen:

   metadata.log_type = "CHROMEOS_XDR"
   

4. Innerhalb weniger Minuten nach der Konfiguration sollten Ereignisse angezeigt werden. Wenn keine Ereignisse angezeigt werden:

   • Öffnen Sie in der Google Cloud Console das Thema und prüfen Sie auf dem Tab Messwerte, ob Nachrichten veröffentlicht wurden. Wenn keine Nachrichten veröffentlicht werden, liegt das Problem auf der Seite der Admin-Konsole.
   • Öffnen Sie in der Google Cloud Console das Abo und prüfen Sie die Messwerte für die Anzahl der Push-Anfragen und Fehler. Push-Fehler bedeuten, dass die Endpunkt-URL, das Dienstkonto oder die Projektbindung falsch ist.
   • Prüfen Sie, ob die Berichterstellung für ChromeOS XDR in der Admin-Konsole für die richtigen Organisationseinheiten aktiviert ist.
   • Prüfen, ob die Anbieterkonfiguration auf die Organisationseinheiten angewendet wird, die Ihre Geräte enthalten
   • Prüfen, ob die ChromeOS-Zielgeräte in Ihrer Organisation registriert und verwaltet werden
   • Prüfen Sie, ob Entpacken der Nutzlast aktivieren und Metadaten schreiben für das Push-Abo deaktiviert sind.

Unterstützte Protokolltypen

Beim ChromeOS XDR-Bericht werden die folgenden Telemetriedaten zur Gerätesicherheit von ChromeOS an Google SecOps weitergeleitet:

Ereigniskategorie	Beschreibung
An- und Abmelden	Nutzeranmeldung, ‑abmeldung und Aktivitäten des Authentifizierungsfaktors auf dem ChromeOS-Gerät
Geräte-Bootstatus	Berichte zum Geräte-Bootstatus, zum Secure Boot-Status der Firmware und zur Kernel-Version
Prozessausführung	Ausführung von Prozessen und übergeordneten Prozessen, einschließlich Befehlszeilen- und Bilddetails
Netzwerkfluss	Netzwerkverbindungen, einschließlich lokaler und Remote-Endpunkte, Ports, Protokoll und übertragene Byte
Sensible Dateiänderung	Erstellung und Änderung sensibler Dateien, einschließlich Pfad- und Hashdetails

UDM-Zuordnungstabelle

In der folgenden Tabelle sehen Sie, wie ChromeOS XDR-Logfelder Google SecOps Unified Data Model-Feldern (UDM) zugeordnet werden:

Logfeld	UDM-Zuordnung	Logik
application_protocol_label	additional.fields	Zusammengeführt
attributesBefore_canonicalGid_label	additional.fields	Zusammengeführt
attributesBefore_canonicalUid_label	additional.fields	Zusammengeführt
attributesBefore_mode_label	additional.fields	Zusammengeführt
authFactor_label	additional.fields	Zusammengeführt
bindAddr_label	additional.fields	Zusammengeführt
bindPort_label	additional.fields	Zusammengeführt
communityIdV1_label	additional.fields	Zusammengeführt
fileAfter_inodeDeviceId_label	additional.fields	Zusammengeführt
fileAfter_inode_label	additional.fields	Zusammengeführt
fileAfter_mntNs_label	additional.fields	Zusammengeführt
fileAfter_mode_label	additional.fields	Zusammengeführt
firmwareSecureBoot_label	additional.fields	Zusammengeführt
image_canonicalGid_label	additional.fields	Zusammengeführt
image_canonicalUid_label	additional.fields	Zusammengeführt
image_mode_label	additional.fields	Zusammengeführt
inodeDeviceId_label	additional.fields	Zusammengeführt
inode_label	additional.fields	Zusammengeführt
inode_process_label	additional.fields	Zusammengeführt
linuxKernelVersion_label	additional.fields	Zusammengeführt
local_timezone_label	additional.fields	Zusammengeführt
metaFirstAppearance_label	additional.fields	Zusammengeführt
modifyType_label	additional.fields	Zusammengeführt
networkFlow_direction_label	additional.fields	Zusammengeführt
process_image_canonicalGid_label	additional.fields	Zusammengeführt
process_image_canonicalUid_label	additional.fields	Zusammengeführt
process_image_mode_label	additional.fields	Zusammengeführt
process_inodeDeviceId_label	additional.fields	Zusammengeführt
process_metaFirstAppearance_label	additional.fields	Zusammengeführt
process_relStartTimeS_label	additional.fields	Zusammengeführt
rel_start_time_label	additional.fields	Zusammengeführt
sensitiveFileType_label	additional.fields	Zusammengeführt
socketType_label	additional.fields	Zusammengeführt
spawnProcess_canonicalUid_label	additional.fields	Zusammengeführt
spawnProcess_image_inodeDeviceId_label	additional.fields	Zusammengeführt
spawnProcess_image_inode_label	additional.fields	Zusammengeführt
spawnProcess_image_mode_label	additional.fields	Zusammengeführt
spawnProcess_metaFirstAppearance_label	additional.fields	Zusammengeführt
spawnProcess_relStartTimeS_label	additional.fields	Zusammengeführt
has_principal	metadata.event_type	Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
schemaVersion	metadata.product_version	Direkt zugeordnet
app_protocol_output	network.application_protocol	Direkt zugeordnet
ip_protocol_out	network.ip_protocol	Umbenannt/zugeordnet
networkFlow.rxBytes	network.received_bytes	Umbenannt/zugeordnet
networkFlow.txBytes	network.sent_bytes	Umbenannt/zugeordnet
deviceName	principal.asset.asset_id	Direkt zugeordnet
localIp	principal.asset.ip	Zusammengeführt
sensitiveModify.attributesBefore.pathname	principal.file.full_path	Direkt zugeordnet
localIp	principal.ip	Zusammengeführt
networkFlow.localIp	principal.ip	Zusammengeführt
osVersion	principal.platform_version	Direkt zugeordnet
networkFlow.localPort	principal.port	Umbenannt/zugeordnet
spawnProcess.commandline	principal.process.parent_process.command_line	Direkt zugeordnet
spawnProcess.image.pathname	principal.process.parent_process.file.full_path	Direkt zugeordnet
spawnProcess.image.sha256	principal.process.parent_process.file.sha256	Direkt zugeordnet
spawnProcess.canonicalPid	principal.process.parent_process.pid	Direkt zugeordnet
spawnProcess.processUuid	principal.process.product_specific_process_id	Direkt zugeordnet
devicePermanentId	principal.resource.product_object_id	Direkt zugeordnet
event_log	security_result.summary	Direkt zugeordnet
sensitiveModify.fileAfter.pathname	target.file.full_path	Direkt zugeordnet
sensitiveModify.fileAfter.sha256	target.file.sha256	Direkt zugeordnet
networkFlow.remoteHostName	target.hostname	Direkt zugeordnet
networkFlow.remoteIp	target.ip	Zusammengeführt
networkFlow.remotePort	target.port	Umbenannt/zugeordnet
process.image.pathname	target.process.file.full_path	Direkt zugeordnet
process.image.sha256	target.process.file.sha256	Direkt zugeordnet
parentProcess.commandline	target.process.parent_process.command_line	Direkt zugeordnet
process.commandline	target.process.parent_process.command_line	Direkt zugeordnet
parentProcess.image.pathname	target.process.parent_process.file.full_path	Direkt zugeordnet
parentProcess.image.sha256	target.process.parent_process.file.sha256	Direkt zugeordnet
parentProcess.canonicalPid	target.process.parent_process.pid	Direkt zugeordnet
parentProcess.processUuid	target.process.parent_process.product_specific_process_id	Direkt zugeordnet
process.canonicalPid	target.process.pid	Direkt zugeordnet
process.processUuid	target.process.product_specific_process_id	Direkt zugeordnet
deviceUser	target.user.email_addresses	Zusammengeführt
–	metadata.event_type	Konstante: NETWORK_CONNECTION
–	metadata.product_name	Konstante: CHROMEOS XDR
–	metadata.vendor_name	Konstante: CHROMEOS XDR

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten