Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Cisco Secure Email Gateway-Protokolle (früher Email Security Appliance) erfassen

Parserversion: 12.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cisco Secure Email Gateway-Logs (früher Email Security Appliance) mit Bindplane in Google Security Operations aufnehmen.

Der Parser extrahiert Felder aus Syslog-, Schlüssel/Wert- und JSON-formatierten Logs von Cisco Secure Email Gateway. Dabei werden grok und/oder kv verwendet, um den Logeintrag zu parsen. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf die Weboberfläche des Cisco Secure Email Gateway

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agenten so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

Suchen Sie die Konfigurationsdatei auf Ihrem Betriebssystem so:

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- tcplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
- 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
- 514: Portnummer, auf der gelauscht werden soll (Standard-Syslog-Port)
Exporter-Konfiguration:
- creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- YOUR_CUSTOMER_ID: Kundennummer aus dem Abschnitt „Kundennummer abrufen“
- location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
- endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
- log_type: Logtyp genau so, wie er in Google SecOps angezeigt wird (CISCO_EMAIL_SECURITY)

Legacy-Ingestion-API-Exporter

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
- Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

Führen Sie dazu diesen Befehl aus:

sudo systemctl restart observiq-otel-collector

Prüfen Sie, ob der Dienst ausgeführt wird:

sudo systemctl status observiq-otel-collector

Prüfen Sie die Logs auf Fehler:

sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agenten unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Dienstkonsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Rechtsklicken Sie und wählen Sie Neu starten aus.
Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```

Prüfen Sie die Logs auf Fehler:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung auf Cisco Secure Email Gateway konfigurieren

Melden Sie sich in der Weboberfläche von Cisco Secure Email Gateway an.
Rufen Sie Systemverwaltung > Log-Abos auf.
Klicken Sie auf Log-Abo hinzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
- Protokolltyp: Wählen Sie den Protokolltyp aus, der weitergeleitet werden soll (z. B. Konsolidierte Ereignisprotokolle, E‑Mail-Protokolle, Text-E‑Mail-Protokolle).
- Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Google-SecOps-Syslog).
- Abrufmethode: Wählen Sie Syslog Push aus.
- Hostname: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
- Protokoll: Wählen Sie TCP aus.
- Port: Geben Sie 514 ein.
- Facility: Wählen Sie LOG_MAIL (oder Ihre bevorzugte Facility) aus.
Klicken Sie auf Senden.
Wiederholen Sie die Schritte 3 bis 5 für jeden weiteren Logtyp, den Sie weiterleiten möchten. Empfohlene Logtypen:
- Konsolidierte Ereignisprotokolle
- Text Mail Logs
- Spamschutz-Protokolle
- Antivirenprotokolle
- AMP Engine-Logs
- Inhaltsfilterprotokolle
Klicken Sie auf Änderungen übernehmen, um die Konfiguration anzuwenden.
Prüfen Sie, ob Syslog-Nachrichten gesendet werden, indem Sie die Bindplane-Agent-Logs prüfen.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
acl_decision_tag	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „ACL Decision Tag“.
access_or_decryption_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „AccessOrDecryptionPolicyGroup“.
handeln	read_only_udm.security_result.action_details	Direkt zugeordnet.
authenticated_user	read_only_udm.principal.user.userid	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“.
cache_hierarchy_retrieval	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „Cache Hierarchy Retrieval“.
cipher	read_only_udm.network.tls.cipher	Direkt zugeordnet.
country	read_only_udm.principal.location.country_or_region	Direkt zugeordnet.
data_security_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „DataSecurityPolicyGroup“.
Beschreibung	read_only_udm.metadata.description	Direkt für Syslog-Nachrichten zugeordnet. Bei CEF-Nachrichten wird es zur allgemeinen Produktbeschreibung. Verschiedene Grok-Muster extrahieren spezifische Beschreibungen basierend auf dem product_event. Einige Beschreibungen werden durch gsub geändert, um vor- und nachgestellte Leerzeichen und Doppelpunkte zu entfernen.
deviceDirection	read_only_udm.network.direction	Wenn „0“, wird „INBOUND“ zugeordnet. Wenn „1“, wird „OUTBOUND“ zugeordnet. Wird verwendet, um zu bestimmen, welche TLS-Chiffre und welches TLS-Protokoll direkt und welche als Labels zugeordnet werden sollen.
deviceExternalId	read_only_udm.principal.asset.asset_id	Zugeordnet als „Geräte-ID:“.
Domain	read_only_udm.target.administrative_domain	Direkt aus JSON-Logs zugeordnet.
domain_age	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „YoungestDomainAge“.
duser	read_only_udm.target.user.email_addresses, read_only_udm.network.email.to	Wenn „;“ enthalten ist, wird der Wert in mehrere E-Mail-Adressen aufgeteilt und jede wird beiden UDM-Feldern zugeordnet. Andernfalls ordnen Sie die Felder direkt beiden UDM-Feldern zu, wenn es sich um eine gültige E-Mail-Adresse handelt. Wird auch zum Ausfüllen von network_to verwendet, wenn es leer ist.
dvc	read_only_udm.target.ip	Direkt zugeordnet.
entries.collection_time.nanos, entries.collection_time.seconds	read_only_udm.metadata.event_timestamp.nanos, read_only_udm.metadata.event_timestamp.seconds	Wird zum Erstellen des Ereigniszeitstempels verwendet.
env-from	read_only_udm.additional.fields.value.string_value	Direkt zugeordnet. Der Schlüssel ist „Env-From“.
ESAAttachmentDetails	read_only_udm.security_result.about.file.full_path, read_only_udm.security_result.about.file.sha256	Wird geparst, um Dateinamen und SHA256-Hashes zu extrahieren. Es können mehrere Dateien und Hashes extrahiert werden.
ESADCID	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESADCID“.
ESAFriendlyFrom	read_only_udm.principal.user.user_display_name, read_only_udm.network.email.from	Wird geparst, um den Anzeigenamen und die E-Mail-Adresse zu extrahieren.
ESAHeloDomain	read_only_udm.intermediary.administrative_domain	Direkt zugeordnet.
ESAHeloIP	read_only_udm.intermediary.ip	Direkt zugeordnet.
ESAICID	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESAICID“.
ESAMailFlowPolicy	read_only_udm.security_result.rule_name	Direkt zugeordnet.
ESAMID	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESAMID“.
ESAReplyTo	read_only_udm.network.email.reply_to	Wird direkt zugeordnet, wenn es sich um eine gültige E‑Mail-Adresse handelt. Wird auch zum Ausfüllen von network_to verwendet.
ESASDRDomainAge	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESASDRDomainAge“.
ESASenderGroup	read_only_udm.principal.group.group_display_name	Direkt zugeordnet.
ESAStatus	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESAStatus“.
ESATLSInCipher	read_only_udm.network.tls.cipher oder read_only_udm.security_result.about.labels.value	Wird direkt der Chiffre zugeordnet, wenn „deviceDirection“ „0“ ist. Andernfalls wird es als Label mit dem Schlüssel „ESATLSInCipher“ zugeordnet.
ESATLSInProtocol	read_only_udm.network.tls.version oder read_only_udm.security_result.about.labels.value	Die TLS-Version wird extrahiert und direkt zugeordnet, wenn „deviceDirection“ „0“ ist. Andernfalls wird es als Label mit dem Schlüssel „ESATLSInProtocol“ zugeordnet.
ESATLSOutCipher	read_only_udm.network.tls.cipher oder read_only_udm.security_result.about.labels.value	Wird direkt der Chiffre zugeordnet, wenn „deviceDirection“ „1“ ist. Andernfalls wird es als Label mit dem Schlüssel „ESATLSOutCipher“ zugeordnet.
ESATLSOutProtocol	read_only_udm.network.tls.version oder read_only_udm.security_result.about.labels.value	Die TLS-Version wird extrahiert und direkt zugeordnet, wenn „deviceDirection“ „1“ ist. Andernfalls wird es als Label mit dem Schlüssel „ESATLSOutProtocol“ zugeordnet.
ESAURLDetails	read_only_udm.target.url	Wird geparst, um URLs zu extrahieren. Nur die erste URL wird zugeordnet, da das Feld nicht wiederholt wird.
external_dlp_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „ExternalDlpPolicyGroup“.
ExternalMsgID	read_only_udm.security_result.about.labels.value	Wird nach dem Entfernen von einfachen Anführungszeichen und spitzen Klammern direkt zugeordnet. Der Schlüssel ist „ExternalMsgID“.
von	read_only_udm.network.email.from	Wird direkt zugeordnet, wenn es sich um eine gültige E‑Mail-Adresse handelt. Wird auch zum Ausfüllen von network_from verwendet.
host.hostname	read_only_udm.principal.hostname oder read_only_udm.intermediary.hostname	Wird dem Haupt-Hostnamen zugeordnet, wenn das Hostfeld ungültig ist. Auch dem Hostnamen des Vermittlers zugeordnet.
host.ip	read_only_udm.principal.ip oder read_only_udm.intermediary.ip	Wird der Hauptkonto-IP zugeordnet, wenn das Feld „ip“ in JSON-Logs nicht festgelegt ist. Auch der Intermediary-IP-Adresse zugeordnet.
Hostname	read_only_udm.target.hostname	Direkt zugeordnet.
http_method	read_only_udm.network.http.method	Direkt zugeordnet.
http_response_code	read_only_udm.network.http.response_code	Direkt zugeordnet und in Ganzzahl konvertiert.
identity_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „IdentityPolicyGroup“.
ip	read_only_udm.principal.ip	Direkt zugeordnet. Wird durch „source_ip“ überschrieben, falls vorhanden.
kv_msg	Verschiedene	Mit kv-Filter geparst. Die Vorverarbeitung umfasst das Ersetzen von Leerzeichen vor Schlüsseln durch „#“ und das Austauschen von csLabel-Werten.
log_type	read_only_udm.metadata.log_type	Hartcodiert auf „CISCO_EMAIL_SECURITY“.
loglevel	read_only_udm.security_result.severity, read_only_udm.security_result.action	Wird verwendet, um den Schweregrad und die Aktion zu bestimmen. „Info“, „“, „Debug“ und „Trace“ werden „INFORMATIONAL“ und „ALLOW“ zugeordnet. „Warnung“ wird „MITTEL“ und „ZULASSEN“ zugeordnet. „Hoch“ wird „HOCH“ und „BLOCKIEREN“ zugeordnet. „Kritisch“ und „Warnung“ werden „KRITISCH“ und „BLOCKIEREN“ zugeordnet.
mail_id	read_only_udm.network.email.mail_id	Direkt aus JSON-Logs zugeordnet.
mailto	read_only_udm.target.user.email_addresses, read_only_udm.network.email.to	Wird direkt beiden UDM-Feldern zugeordnet, wenn es sich um eine gültige E‑Mail-Adresse handelt.
MailPolicy	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „MailPolicy“.
Nachricht	Verschiedene	Wenn möglich, als JSON geparst. Andernfalls wird sie als Syslog-Nachricht verarbeitet.
message_id	read_only_udm.network.email.mail_id	Direkt zugeordnet. Wird auch zum Ausfüllen von network_data verwendet.
msg	read_only_udm.network.email.subject	Wird nach der UTF-8-Decodierung und dem Entfernen von Zeilenumbrüchen, Zeilenwechseln und zusätzlichen Anführungszeichen direkt zugeordnet. Wird auch zum Ausfüllen von network_data verwendet.
msg1	Verschiedene	Mit kv-Filter geparst. Wird verwendet, um Hostname, helo, env-from und reply-to zu extrahieren.
outbound_malware_scanning_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „DataSecurityPolicyGroup“.
Port	read_only_udm.target.port	Direkt zugeordnet und in Ganzzahl konvertiert.
principalMail	read_only_udm.principal.user.email_addresses	Direkt zugeordnet.
principalUrl	read_only_udm.principal.url	Direkt zugeordnet.
product_event	read_only_udm.metadata.product_event_type	Direkt zugeordnet. Wird verwendet, um zu bestimmen, welche Grok-Muster angewendet werden sollen. Vorangestellte „%“-Zeichen werden entfernt. „amp“ wird durch „SIEM_AMPenginelogs“ ersetzt.
product_version	read_only_udm.metadata.product_version	Direkt zugeordnet.
Protokoll	read_only_udm.network.tls.version	Direkt zugeordnet.
received_bytes	read_only_udm.network.received_bytes	Direkt zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
Antwort an:	read_only_udm.additional.fields.value.string_value	Direkt zugeordnet. Der Schlüssel ist „Reply-To“.
Bewertung	read_only_udm.security_result.confidence_details	Direkt zugeordnet.
request_method_uri	read_only_udm.target.url	Direkt zugeordnet.
result_code	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet. Der Schlüssel ist „Result Code“.
routing_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „RoutingPolicyGroup“.
Regel	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet. Der Schlüssel ist „Übereinstimmende Bedingung“.
SDRThreatCategory	read_only_udm.security_result.threat_name	Wird direkt zugeordnet, wenn nicht leer oder „–“.
SenderCountry	read_only_udm.principal.location.country_or_region	Direkt zugeordnet.
senderGroup	read_only_udm.principal.group.group_display_name	Direkt zugeordnet.
security_description	read_only_udm.security_result.description	Direkt zugeordnet.
security_email	read_only_udm.security_result.about.email oder read_only_udm.principal.hostname	Wird der E-Mail-Adresse zugeordnet, wenn es sich um eine gültige E-Mail-Adresse handelt. Andernfalls wird nach dem Extrahieren mit Grok dem Hostnamen zugeordnet.
Quelle	read_only_udm.network.ip_protocol	Wenn „tcp“ enthalten ist, wird es „TCP“ zugeordnet.
sourceAddress	read_only_udm.principal.ip	Direkt zugeordnet.
sourceHostName	read_only_udm.principal.administrative_domain	Direkt zugeordnet, wenn nicht „unknown“.
source_ip	read_only_udm.principal.ip	Direkt zugeordnet. Überschreibt die IP-Adresse, falls vorhanden.
Betreff	read_only_udm.network.email.subject	Direkt zugeordnet, nachdem nachgestellte Punkte entfernt wurden. Wird auch zum Ausfüllen von network_data verwendet.
suser	read_only_udm.principal.user.email_addresses, read_only_udm.network.email.bounce_address	Wird direkt beiden UDM-Feldern zugeordnet, wenn es sich um eine gültige E‑Mail-Adresse handelt.
target_ip	read_only_udm.target.ip	Direkt zugeordnet.
bis	read_only_udm.network.email.to	Wird direkt zugeordnet, wenn es sich um eine gültige E‑Mail-Adresse handelt. Wird auch zum Ausfüllen von network_to verwendet.
total_bytes	read_only_udm.network.sent_bytes	Direkt zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
trackerHeader	read_only_udm.additional.fields.value.string_value	Direkt zugeordnet. Der Schlüssel ist „Tracker Header“.
ts, ts1, year	read_only_udm.metadata.event_timestamp.seconds	Wird verwendet, um den Ereigniszeitstempel zu erstellen. ts1 und year werden kombiniert, wenn ts1 vorhanden ist. Es werden verschiedene Formate mit und ohne Jahresangabe unterstützt. Wenn das Jahr nicht angegeben ist, wird das aktuelle Jahr verwendet. Hartcodiert auf „Cisco“. Festgelegt auf „Cisco Email Security“. Die Standardeinstellung ist „ALLOW“. Wird basierend auf der Protokollebene oder Beschreibung auf „BLOCK“ festgelegt. Die Standardeinstellung ist „INBOUND“, wenn „application_protocol“ vorhanden ist. Wird für CEF-Nachrichten basierend auf „deviceDirection“ festgelegt. Wird anhand einer Kombination von Feldern ermittelt, darunter „network_from“, „network_to“, „target_ip“, „ip“, „description“, „event_type“, „principal_host“, „Hostname“, „user_id“ und „sourceAddress“. Der Standardwert ist „GENERIC_EVENT“. Wird auf „SMTP“ gesetzt, wenn „application_protocol“ „SMTP“ oder „smtp“ ist oder wenn „target_ip“ und „ip“ vorhanden sind. Legen Sie „AUTHTYPE_UNSPECIFIED“ fest, wenn „login_status“ und „user_id“ in sshd-Logs vorhanden sind. Wird auf „true“ gesetzt, wenn die Protokollstufe „Critical“ oder „Alert“ ist.
`deviceInboundInterface`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`dvc`	`event.idm.read_only_udm.intermediary.ip` und `event.idm.read_only_udm.intermediary.asset.ip`	Aus Änderungsprotokoll zugeordnet
`ESAHeloIP`	`event.idm.read_only_udm.principal.ip` und `event.idm.read_only_udm.principal.asset.ip`	Aus Änderungsprotokoll zugeordnet
`startTime`	`event.idm.read_only_udm.metadata.collected_timestamp`	Aus Änderungsprotokoll zugeordnet
`endTime`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`deviceDirection`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAOFVerdict`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`ESADLPVerdict`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`ESAMFVerdict`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`ESATLSOutConnStatus`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`host`	`event.idm.read_only_udm.principal.hostname`	Aus Änderungsprotokoll zugeordnet
`host`	`event.idm.read_only_udm.principal.asset.hostname`	Aus Änderungsprotokoll zugeordnet
`ts_year`	`event.idm.read_only_udm.metadata.event_timestamp`	Aus Änderungsprotokoll zugeordnet
`start`	`event.idm.read_only_udm.metadata.event_timestamp`	Aus Änderungsprotokoll zugeordnet
`src`	`event.idm.read_only_udm.principal.ip`	Aus Änderungsprotokoll zugeordnet
`src`	`event.idm.read_only_udm.principal.asset.ip`	Aus Änderungsprotokoll zugeordnet
`shost`	`event.idm.read_only_udm.principal.hostname`	Aus Änderungsprotokoll zugeordnet
`shost`	`event.idm.read_only_udm.principal.asset.hostname`	Aus Änderungsprotokoll zugeordnet
`ESAMailFlowPolicy`	`event.idm.read_only_udm.security_result.rule_name`	Aus Änderungsprotokoll zugeordnet
`ESAAMPVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAASVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAAVVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESACFVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAGMVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`deviceOutboundInterface`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`end`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAMsgSize`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`cfp1Label`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`cfp1`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`urls" and "WbrsScore`	`security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`message_id2`	`network.email.mail_id`	Aus Änderungsprotokoll zugeordnet
`injection_connection_id`	`network.session_id`	Aus Änderungsprotokoll zugeordnet
`address_clean`	`network.email.to`	Aus Änderungsprotokoll zugeordnet
`receiver`	`network.email.to`	Aus Änderungsprotokoll zugeordnet
`inner_message`	`metadata.description`	Aus Änderungsprotokoll zugeordnet
`host_msg`	`intermediary.ip`	Aus Änderungsprotokoll zugeordnet
`host_msg`	`principal.hostname`	Aus Änderungsprotokoll zugeordnet
`attack`	`security_result.category_details`	Aus Änderungsprotokoll zugeordnet
`from_user`	`principal.user.user_display_name`	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten