ChromeOS-XDR-Protokolle erfassen

Parserversion: 4.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie ChromeOS XDR-Logs mit Google Cloud Pub/Sub in Google Security Operations aufnehmen.

ChromeOS XDR leitet Sicherheitstelemetriedaten auf Betriebssystemebene von verwalteten ChromeOS-Geräten an ein von Ihnen verwaltetes Google Cloud Pub/Sub-Thema weiter. Diese Telemetriedaten umfassen Anmelde- und Abmeldeaktivitäten, den Bootstatus des Geräts, die Prozessausführung, Netzwerkflüsse und Änderungen an sensiblen Dateien. Sie verweisen in der Admin-Konsole mit der ChromeOS-XDR-Anbieterkonfiguration auf Ihr Pub/Sub-Thema. Ein Pub/Sub-Push-Abo liefert die Ereignisse dann an Ihren Google SecOps-Feed-Endpunkt.

Hinweis: Berichtsereignisse für Chrome-Browser für Unternehmen (z. B. Malware-Übertragungen, Aufrufe unsicherer Websites, Wiederverwendung von Passwörtern und Installationen von Erweiterungen) sind ein separater CHROME_MANAGEMENT-Protokolltyp und werden im Integrationsleitfaden für Chrome Enterprise (Chrome-Verwaltung) behandelt. In diesem Leitfaden wird nur die XDR-Telemetrie für ChromeOS-Geräte behandelt.

Hinweis: In der Admin-Konsole gibt es auch eine Anbieterkonfiguration für den ChromeOS-XDR-Connector, bei der ein Token und ein Hostname abgefragt werden. Diese Anbieterkonfiguration liefert an Drittanbieter-Endpunkte wie CrowdStrike Falcon und nicht an Google SecOps. Wenn Sie ChromeOS-XDR-Telemetriedaten in Google SecOps erfassen möchten, verwenden Sie die in diesem Leitfaden beschriebene Anbieterkonfiguration für Google Cloud Pub/Sub-XDR.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Ein Google Cloud -Projekt, das an Ihre Google SecOps-Instanz gebunden ist. Das Pub/Sub-Thema und das Push-Abo müssen sich in diesem Projekt befinden.
• Privilegierter Zugriff auf Identity and Access Management (IAM) und Pub/Sub in diesem Google Cloud -Projekt.
• Ein Google Workspace-Administratorkonto mit Super Admin-Berechtigungen.
• Verwaltete ChromeOS-Geräte, die in Ihrer Google Workspace-Organisation registriert sind.
• Wählen Sie die Organisationseinheiten aus, die die ChromeOS-Geräte enthalten, von denen Sie Telemetriedaten erfassen möchten.
• Zugriff auf die Google Cloud Pub/Sub‑XDR-Anbieterkonfiguration in der Admin-Konsole.

Hinweis: Die Konfiguration des Google Cloud Pub/Sub-Anbieters ist durch eine Zulassungsliste geschützt und nicht für jedes Google Workspace-Konto verfügbar. Wenn sie nicht in der Liste der Anbieterkonfigurationen angezeigt wird, hat Ihr Konto noch keinen Zugriff. Wenden Sie sich an Ihren Google-Ansprechpartner, um Zugriff anzufordern.

Google Cloud -Projekt an Ihre Google SecOps-Instanz binden

Bevor Sie einen Pub/Sub-Push-Feed erstellen, müssen Sie das Google Cloud -Projekt, in dem Ihr Thema gehostet wird, an Ihre Google SecOps-Instanz binden. Durch die Bindung kann sich das Push-Abo mit einem Dienstkonto authentifizieren.

Prüfen, ob das Projekt bereits gebunden ist

1. Rufen Sie in Ihrer Google SecOps-Instanz Einstellungen > Verwaltung > Google Cloud Platform auf.
2. Prüfen Sie, ob Ihr Google Cloud -Projekt aufgeführt ist.
3. Wenn es aufgeführt ist, ist das Projekt bereits gebunden. Fahren Sie mit dem nächsten Abschnitt fort.

Projekt binden

1. Gehen Sie zu Einstellungen > Verwaltung > Google Cloud Platform.
2. Klicken Sie auf Projekt hinzufügen.
3. Geben Sie im Feld Projekt-ID Ihre Google Cloud -Projekt-ID ein.
4. Klicken Sie auf Hinzufügen.
5. Warten Sie, bis die Bindung abgeschlossen ist. Aktualisieren Sie dann die Seite und prüfen Sie, ob das Projekt mit dem Status Aktiv angezeigt wird.

Hinweis: Nur Google SecOps-Administratoren können Projekte binden. Wenn Sie keine Berechtigung haben, wenden Sie sich an Ihren Google SecOps-Administrator.

Prüfen, ob die Chronicle API aktiviert ist

1. Rufen Sie die Google Cloud -Console-Bibliothek „APIs und Dienste“ auf.
2. Wählen Sie das gebundene Projekt aus.
3. Geben Sie Chronicle in das Suchfeld ein.
4. Klicken Sie auf Chronicle API.
5. Wenn die API nicht aktiviert ist, klicken Sie auf Aktivieren.

Pub/Sub-Thema erstellen

Erstellen Sie das Thema, das ChromeOS XDR-Ereignisse empfängt. Das Thema gehört Ihnen und ist der Wert, den Sie später in der Admin-Konsole eingeben.

Google Cloud Console verwenden

1. Rufen Sie Pub/Sub-Themen auf.
2. Wählen Sie das gebundene Projekt aus.
3. Klicken Sie auf Thema erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Themen-ID: Geben Sie einen aussagekräftigen Namen ein (z. B. chromeos-xdr-secops).
   • Standardabo hinzufügen: Entfernen Sie das Häkchen aus diesem Kästchen.
5. Klicken Sie auf Erstellen.

6. Kopieren Sie den vollständigen Themenpfad. Das Format dafür ist:

   projects/<PROJECT_ID>/topics/<TOPIC_ID>
   

gcloud-Befehlszeilentool verwenden

• Verwenden Sie den folgenden Befehl:

  gcloud pubsub topics create chromeos-xdr-secops \
          --project=<PROJECT_ID>
  

  • Ersetzen Sie <PROJECT_ID> durch die ID des gebundenen Google Cloud -Projekts.

Veröffentlichungszugriff für den ChromeOS-XDR-Publisher gewähren

ChromeOS XDR veröffentlicht Ereignisse über ein von Google verwaltetes Dienstkonto. Dieses Dienstkonto hat erst dann Zugriff auf Ihr Thema, wenn Sie den Zugriff gewähren. Bis dahin schlägt die Prüfung Verbindung testen in der Admin-Konsole fehl.

Google Cloud Console verwenden

1. Rufen Sie Pub/Sub-Themen auf.
2. Klicken Sie auf das von Ihnen erstellte Thema.
3. Öffnen Sie den Tab Berechtigungen und klicken Sie auf Hauptkonto hinzufügen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Neue Prinzipale: Geben Sie [e-mail] ein.
   • Rolle: Wählen Sie Pub/Sub > Pub/Sub-Publisher aus.
5. Klicken Sie auf Speichern.

gcloud-Befehlszeilentool verwenden

• Verwenden Sie den folgenden Befehl:

  gcloud pubsub topics add-iam-policy-binding chromeos-xdr-secops \
          --member="serviceAccount:[e-mail]" \
          --role="roles/pubsub.publisher" \
          --project=<PROJECT_ID>
  

  Hinweis: Dieses Publisher-Dienstkonto ist spezifisch für ChromeOS XDR. Für die Chrome-Berichterstellung für Unternehmen wird ein anderes Publisher-Konto verwendet. Daher ist diese Berechtigung auch für ein Thema erforderlich, das bereits für die Chrome-Berichterstellung konfiguriert wurde.

Pub/Sub-Push-Feed in Google SecOps erstellen

Feed erstellen

1. Rufen Sie in Google SecOps Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. ChromeOS XDR events.
5. Wählen Sie Google Cloud Pub/Sub Push als Quelltyp aus.
6. Wählen Sie ChromeOS XDR als Protokolltyp aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Split delimiter (Trennzeichen für Aufteilung): Lassen Sie dieses Feld leer. ChromeOS XDR veröffentlicht ein Ereignis pro Pub/Sub-Nachricht.
   • Asset-Namespace: Der Asset-Namespace
   • Labels für Datenaufnahme: Die Labels, die auf die Ereignisse aus diesem Feed angewendet werden sollen.
9. Klicken Sie auf Weiter.
10. Prüfen Sie die Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Push-Endpunkt-URL abrufen

1. Prüfen Sie auf der Feed-Detailseite, ob der Feedstatus Aktiv ist und ob die Ein/Aus-Schaltfläche Feed aktiviert aktiviert ist.

2. Kopieren Sie im Feld Endpunktinformationen die Push-Endpunkt-URL. Das Format dafür ist:

   https://<REGION>-chronicle.googleapis.com/v1alpha/projects/<PROJECT_NUMBER>/locations/<REGION>/instances/<INSTANCE_ID>/feeds/<FEED_ID>:importPushLogs
   

3. Speichern Sie diese URL für das Push-Abo.

Hinweis: Für Pub/Sub-Push-Feeds werden keine API-Schlüssel oder Secret Keys verwendet. Das Push-Abo wird mit einem OIDC-Token des Dienstkontos authentifiziert.

Dienstkonto für Pub/Sub-Push erstellen

Erstellen Sie das Dienstkonto:

1. Rufen Sie in der Google Cloud Console die Seite „Dienstkonten“ auf.
2. Wählen Sie das gebundene Projekt aus.
3. Klicken Sie auf + Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen aussagekräftigen Namen ein (z. B. chromeos-xdr-push).
   • Beschreibung des Dienstkontos: Geben Sie Pub/Sub Push to Google SecOps for ChromeOS XDR ein.
5. Klicken Sie auf Erstellen und fortfahren.
6. Lassen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen das Feld Rolle leer.
7. Klicken Sie auf Weiter > Fertig.

8. Kopieren Sie die E-Mail-Adresse des Dienstkontos. Das Format dafür ist:

   chromeos-xdr-push@<PROJECT_ID>.iam.gserviceaccount.com
   

gcloud-Befehlszeilentool verwenden

• Verwenden Sie den folgenden Befehl:

  gcloud iam service-accounts create chromeos-xdr-push \
          --display-name="ChromeOS XDR Push" \
          --description="Pub/Sub Push to Google SecOps for ChromeOS XDR" \
          --project=<PROJECT_ID>
  

Dienstkontoberechtigungen

Für dieses Dienstkonto ist keine zusätzliche IAM-Rolle erforderlich. Die zuvor konfigurierte Projektbindung ermöglicht die Authentifizierung des Dienstkontos. Das Push-Abo authentifiziert sich beim Google SecOps-Feed-Endpunkt mit dem OIDC-Token des Dienstkontos. Sie wählen dieses Dienstkonto aus, wenn Sie die Authentifizierung für das Push-Abo aktivieren.

Hinweis: Es gibt keine vordefinierte roles/chronicle.apiInvoker-Rolle. Gewähren Sie nicht roles/run.invoker, da dies für Cloud Run und nicht für die Google SecOps-Aufnahme gilt.

Pub/Sub-Push-Abo erstellen

Google Cloud Console verwenden

1. Rufen Sie Pub/Sub-Abos auf.
2. Klicken Sie auf Abo erstellen.

3. Geben Sie die folgenden Konfigurationsdetails an:

   Einstellung	Wert
   Abo-ID	Geben Sie einen aussagekräftigen Namen ein (z. B. secops-chromeos-xdr).
   Cloud Pub/Sub-Thema auswählen	Wählen Sie das von Ihnen erstellte Thema aus.
   Art der Anzeigenauslieferung	Push
   Endpunkt-URL	Fügen Sie die Push-Endpunkt-URL von der Detailseite des Feeds ein.
   Authentifizierung aktivieren	Ausgewählt
   Dienstkonto	Wählen Sie das von Ihnen erstellte Dienstkonto aus.
   Zielgruppe	Leer lassen
   Entpacken der Nutzlast aktivieren	Gelöscht
   Metadaten schreiben	Gelöscht
   Bestätigungsfrist	600 Sekunden
   Ablaufzeitraum	Läuft nie ab

4. Klicken Sie auf Erstellen.

Hinweis: Der Pub/Sub-Dienst-Agent service-<PROJECT_NUMBER>@gcp-sa-pubsub.iam.gserviceaccount.com muss die Rolle Dienstkonto-Tokenersteller (roles/iam.serviceAccountTokenCreator) für das Push-Dienstkonto haben. Andernfalls schlägt das Erstellen des authentifizierten Abos mit einem Berechtigungsfehler fehl. In der Google Cloud Konsole werden Sie aufgefordert, die Berechtigung zu erteilen, wenn Sie Authentifizierung aktivieren auswählen.

Hinweis: Lassen Sie sowohl Entpacken der Nutzlast aktivieren als auch Metadaten schreiben deaktiviert. Der Google SecOps-Feed-Endpunkt erwartet den vollständigen Pub/Sub-Nachrichten-Envelope und extrahiert die Ereignisnutzlast selbst. Wenn Sie das Entpacken der Nutzlast aktivieren, wird dieser Umschlag entfernt, bevor die Nachricht den Endpunkt erreicht.

gcloud-Befehlszeilentool verwenden

• Verwenden Sie den folgenden Befehl:

  gcloud pubsub subscriptions create secops-chromeos-xdr \
          --topic=chromeos-xdr-secops \
          --push-endpoint=<PUSH_ENDPOINT_URL> \
          --push-auth-service-account=chromeos-xdr-push@<PROJECT_ID>.iam.gserviceaccount.com \
          --ack-deadline=600 \
          --expiration-period=never \
          --project=<PROJECT_ID>
  

  Ersetzen Sie Folgendes:

  • <PUSH_ENDPOINT_URL>: Die URL des Push-Endpunkts von der Feed-Detailseite
  • <PROJECT_ID>: Die ID des gebundenen Google Cloud -Projekts

Prüfen, ob das Abo erstellt wurde

• Verwenden Sie den folgenden Befehl:

  gcloud pubsub subscriptions describe secops-chromeos-xdr \
          --project=<PROJECT_ID>
  

  Prüfen Sie, ob die Ausgabe Folgendes enthält:

  • pushConfig.pushEndpoint: Die Feed-Endpunkt-URL
  • pushConfig.oidcToken.serviceAccountEmail: Die E-Mail-Adresse Ihres Dienstkontos
  • ackDeadlineSeconds: 600

Google Cloud Pub/Sub-XDR-Anbieterkonfiguration hinzufügen

Verweisen Sie die ChromeOS-XDR-Anbieterkonfiguration auf Ihr Pub/Sub-Thema, damit verwaltete ChromeOS-Geräte ihre Telemetriedaten dort veröffentlichen.

1. Melden Sie sich mit einem Super-Admin-Konto in der Admin-Konsole an.

   Wenn Sie kein Super Admin-Konto verwenden, können Sie diese Schritte nicht ausführen.

2. Öffnen Sie das Menü > Geräte > Chrome > Connectors.

3. Optional: Wenn Sie die Einstellungen für Chrome Enterprise Connectors zum ersten Mal konfigurieren, folgen Sie der Anleitung zum Aktivieren von Chrome Enterprise Connectors.

4. Klicken Sie oben auf Neue Anbieterkonfiguration.

5. Suchen Sie nach Google Cloud Pub/Sub XDR und klicken Sie auf Einrichten.

   Das Dialogfeld Google Cloud Pub/Sub‑XDR-Konfiguration wird geöffnet.

6. Geben Sie die folgenden Konfigurationsdetails ein:

   • Konfigurationsname: Geben Sie einen aussagekräftigen Namen ein. Beispiel: ChromeOS XDR to Google SecOps.
   • Vollständiger Pfad zum Thema: Geben Sie den vollständigen Pfad des von Ihnen erstellten Themas im Format projects/<PROJECT_ID>/topics/<TOPIC_ID> ein.

7. Klicken Sie auf Verbindung testen, um die Konfigurationsdetails zu prüfen.

   Wenn die Validierung fehlschlägt, prüfen Sie Folgendes:

   • Der vollständige Pfad zum Thema ist korrekt und das Thema ist im gebundenen Google Cloud -Projekt vorhanden.
   • [e-mail] hat die Rolle Pub/Sub-Publisher für dieses Thema.
   • Die Pub/Sub API ist im Projekt aktiviert.
   Hinweis: Google SecOps dedupliziert identische Batches. Wenn Sie also Verbindung testen mehrmals ausführen, wird nur die erste Testnachricht in Ihrer Instanz angezeigt.

8. Maximieren Sie unter Ereignisse, die diese Konfiguration empfangen darf die Option XDR-Ereignisse und wählen Sie XDR-Ereignisse aktivieren aus.

9. Klicken Sie auf Save configuration (Konfiguration speichern).

Die Konfiguration wird für die gesamte Organisation hinzugefügt. Wenn Sie die Funktion für die ChromeOS-Geräte aktivieren möchten, die Sie überwachen möchten, wählen Sie die Organisationseinheit aus, die diese Geräte enthält, und setzen Sie ein Häkchen neben Ihrer Konfiguration.

ChromeOS-XDR-Berichterstellung aktivieren

Aktivieren Sie die ChromeOS XDR-Berichterstellung in den Geräteeinstellungen, um Sicherheitstelemetriedaten auf Betriebssystemebene von Ihren verwalteten ChromeOS-Geräten zu erfassen.

1. Öffnen Sie in der Admin-Konsole das Menü > Geräte > Chrome > Einstellungen > Geräteeinstellungen.
2. Wenn die Einstellung für alle ChromeOS-Geräte gelten soll, verwenden Sie die oberste Organisationseinheit (bereits ausgewählt). Wählen Sie andernfalls eine untergeordnete Organisationseinheit aus, die die Geräte enthält, von denen Sie Telemetriedaten erfassen möchten.
3. Rufen Sie Berichterstellung zu Nutzern und Geräten auf.
4. Wählen Sie neben Ereignisse vom Typ „Extended Detection and Response“ (XDR) melden die Option Informationen zu Ereignissen vom Typ „Extended Detection and Response“ (XDR) melden aus.

5. Klicken Sie auf Speichern.

   Klicken Sie für eine Organisationseinheit auf Überschreiben. Wenn Sie den übernommenen Wert später wiederherstellen möchten, klicken Sie auf Übernehmen.

6. Wiederholen Sie diese Schritte für alle anderen Organisationseinheiten, die ChromeOS-Geräte enthalten, von denen Sie Telemetriedaten erfassen möchten.

Datenfluss prüfen

So prüfen Sie, ob ChromeOS-XDR-Logs in Google SecOps aufgenommen werden:

1. Öffnen Sie Ihre Google SecOps-Instanz.
2. Gehen Sie zu Menü > Suchen.

3. Führen Sie die folgende Suchanfrage aus, um nach ChromeOS-XDR-Ereignissen zu suchen:

   metadata.log_type = "CHROMEOS_XDR"
   

4. Ereignisse sollten innerhalb weniger Minuten nach der Konfiguration angezeigt werden. Wenn keine Ereignisse angezeigt werden:

   • Öffnen Sie in der Google Cloud Console das Thema und prüfen Sie den Tab Messwerte auf veröffentlichte Nachrichten. Wenn keine Nachrichten veröffentlicht wurden, bedeutet das, dass die Admin-Konsole keine Nachrichten liefert.
   • Öffnen Sie in der Google Cloud Console das Abo und prüfen Sie die Messwerte auf die Anzahl der Push-Anfragen und Fehler. Push-Fehler bedeuten, dass die Endpunkt-URL, das Dienstkonto oder die Projektbindung falsch ist.
   • Prüfen Sie, ob die ChromeOS-XDR-Berichterstellung in der Admin-Konsole für die richtigen Organisationseinheiten aktiviert ist.
   • Prüfen Sie, ob die Anbieterkonfiguration auf die Organisationseinheiten angewendet wird, die Ihre Geräte enthalten.
   • Prüfen Sie, ob die Ziel-ChromeOS-Geräte in Ihrer Organisation registriert sind und verwaltet werden.
   • Prüfen Sie, ob Entpacken der Nutzlast aktivieren und Metadaten schreiben für das Push-Abo deaktiviert sind.

Unterstützte Logtypen

Bei der ChromeOS XDR-Berichterstellung werden die folgenden Telemetriedaten zur Sicherheit von ChromeOS-Geräten an Google SecOps weitergeleitet:

Ereigniskategorie	Beschreibung
An- und Abmeldung	Nutzeranmeldung, -abmeldung und Authentifizierungsfaktor-Aktivität auf dem ChromeOS-Gerät
Status des Bootmodus des Geräts	Berichte zum Bootmodus des Geräts, zum Secure Boot-Status der Firmware und zur Kernel-Version
Prozessausführung	Ausführung von Prozessen und übergeordneten Prozessen, einschließlich Befehlszeilen- und Image-Details
Netzwerkfluss	Netzwerkverbindungen, einschließlich lokaler und Remote-Endpunkte, Ports, Protokoll und übertragener Byte
Änderung sensibler Dateien	Erstellung und Änderung sensibler Dateien, einschließlich Pfad- und Hash-Details

UDM-Zuordnungstabelle

In der folgenden Tabelle sehen Sie, wie ChromeOS XDR-Protokollfelder den Feldern des Unified Data Model (UDM) von Google SecOps zugeordnet werden:

Logfeld	UDM-Zuordnung	Logik
application_protocol_label	additional.fields	Zusammengeführt
attributesBefore_canonicalGid_label	additional.fields	Zusammengeführt
attributesBefore_canonicalUid_label	additional.fields	Zusammengeführt
attributesBefore_mode_label	additional.fields	Zusammengeführt
authFactor_label	additional.fields	Zusammengeführt
bindAddr_label	additional.fields	Zusammengeführt
bindPort_label	additional.fields	Zusammengeführt
communityIdV1_label	additional.fields	Zusammengeführt
fileAfter_inodeDeviceId_label	additional.fields	Zusammengeführt
fileAfter_inode_label	additional.fields	Zusammengeführt
fileAfter_mntNs_label	additional.fields	Zusammengeführt
fileAfter_mode_label	additional.fields	Zusammengeführt
firmwareSecureBoot_label	additional.fields	Zusammengeführt
image_canonicalGid_label	additional.fields	Zusammengeführt
image_canonicalUid_label	additional.fields	Zusammengeführt
image_mode_label	additional.fields	Zusammengeführt
inodeDeviceId_label	additional.fields	Zusammengeführt
inode_label	additional.fields	Zusammengeführt
inode_process_label	additional.fields	Zusammengeführt
linuxKernelVersion_label	additional.fields	Zusammengeführt
local_timezone_label	additional.fields	Zusammengeführt
metaFirstAppearance_label	additional.fields	Zusammengeführt
modifyType_label	additional.fields	Zusammengeführt
networkFlow_direction_label	additional.fields	Zusammengeführt
process_image_canonicalGid_label	additional.fields	Zusammengeführt
process_image_canonicalUid_label	additional.fields	Zusammengeführt
process_image_mode_label	additional.fields	Zusammengeführt
process_inodeDeviceId_label	additional.fields	Zusammengeführt
process_metaFirstAppearance_label	additional.fields	Zusammengeführt
process_relStartTimeS_label	additional.fields	Zusammengeführt
rel_start_time_label	additional.fields	Zusammengeführt
sensitiveFileType_label	additional.fields	Zusammengeführt
socketType_label	additional.fields	Zusammengeführt
spawnProcess_canonicalUid_label	additional.fields	Zusammengeführt
spawnProcess_image_inodeDeviceId_label	additional.fields	Zusammengeführt
spawnProcess_image_inode_label	additional.fields	Zusammengeführt
spawnProcess_image_mode_label	additional.fields	Zusammengeführt
spawnProcess_metaFirstAppearance_label	additional.fields	Zusammengeführt
spawnProcess_relStartTimeS_label	additional.fields	Zusammengeführt
has_principal	metadata.event_type	Zugeordnet: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
schemaVersion	metadata.product_version	Direkt zugeordnet
app_protocol_output	network.application_protocol	Direkt zugeordnet
ip_protocol_out	network.ip_protocol	Umbenannt/zugeordnet
networkFlow.rxBytes	network.received_bytes	Umbenannt/zugeordnet
networkFlow.txBytes	network.sent_bytes	Umbenannt/zugeordnet
deviceName	principal.asset.asset_id	Direkt zugeordnet
localIp	principal.asset.ip	Zusammengeführt
sensitiveModify.attributesBefore.pathname	principal.file.full_path	Direkt zugeordnet
localIp	principal.ip	Zusammengeführt
networkFlow.localIp	principal.ip	Zusammengeführt
osVersion	principal.platform_version	Direkt zugeordnet
networkFlow.localPort	principal.port	Umbenannt/zugeordnet
spawnProcess.commandline	principal.process.parent_process.command_line	Direkt zugeordnet
spawnProcess.image.pathname	principal.process.parent_process.file.full_path	Direkt zugeordnet
spawnProcess.image.sha256	principal.process.parent_process.file.sha256	Direkt zugeordnet
spawnProcess.canonicalPid	principal.process.parent_process.pid	Direkt zugeordnet
spawnProcess.processUuid	principal.process.product_specific_process_id	Direkt zugeordnet
devicePermanentId	principal.resource.product_object_id	Direkt zugeordnet
event_log	security_result.summary	Direkt zugeordnet
sensitiveModify.fileAfter.pathname	target.file.full_path	Direkt zugeordnet
sensitiveModify.fileAfter.sha256	target.file.sha256	Direkt zugeordnet
networkFlow.remoteHostName	target.hostname	Direkt zugeordnet
networkFlow.remoteIp	target.ip	Zusammengeführt
networkFlow.remotePort	target.port	Umbenannt/zugeordnet
process.image.pathname	target.process.file.full_path	Direkt zugeordnet
process.image.sha256	target.process.file.sha256	Direkt zugeordnet
parentProcess.commandline	target.process.parent_process.command_line	Direkt zugeordnet
process.commandline	target.process.parent_process.command_line	Direkt zugeordnet
parentProcess.image.pathname	target.process.parent_process.file.full_path	Direkt zugeordnet
parentProcess.image.sha256	target.process.parent_process.file.sha256	Direkt zugeordnet
parentProcess.canonicalPid	target.process.parent_process.pid	Direkt zugeordnet
parentProcess.processUuid	target.process.parent_process.product_specific_process_id	Direkt zugeordnet
process.canonicalPid	target.process.pid	Direkt zugeordnet
process.processUuid	target.process.product_specific_process_id	Direkt zugeordnet
deviceUser	target.user.email_addresses	Zusammengeführt
–	metadata.event_type	Konstante: NETWORK_CONNECTION
–	metadata.product_name	Konstante: CHROMEOS XDR
–	metadata.vendor_name	Konstante: CHROMEOS XDR

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten