Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Protokolle von Cisco Secure Email Gateway (früher Email Security Appliance) erfassen

Parserversion: 12.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Cisco Secure Email Gateway-Logs (früher Email Security Appliance) mit Bindplane in Google Security Operations aufnehmen.

Der Parser extrahiert Felder aus Syslog-, Schlüssel/Wert- und JSON-formatierten Protokollen von Cisco Secure Email Gateway. Dazu werden die Logeinträge mit „grok“ und/oder „kv“ geparst und die Werte dann dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf die Cisco Secure Email Gateway-Weboberfläche

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```

Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

Suchen Sie die Konfigurationsdatei auf Ihrem Betriebssystem so:

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:
- tcplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
- 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
- 514: Portnummer, an der gelauscht werden soll (Standard-Syslog-Port)
Exporter-Konfiguration:
- creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- YOUR_CUSTOMER_ID: Kundennummer aus dem Abschnitt „Kundennummer abrufen“
- location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
- endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
- log_type: Logtyp genau wie in Google SecOps (CISCO_EMAIL_SECURITY)

Legacy-Ingestion-API-Exporter

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:
- Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
- Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agent unter Linux neu:

Führen Sie dazu diesen Befehl aus:

sudo systemctl restart observiq-otel-collector

Prüfen Sie, ob der Dienst ausgeführt wird:

sudo systemctl status observiq-otel-collector

Prüfen Sie die Logs auf Fehler:

sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agent unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Dienstkonsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Rechtsklicken Sie und wählen Sie Neu starten aus.
Prüfen Sie, ob der Dienst ausgeführt wird:
```
sc query observiq-otel-collector
```

Logs auf Fehler prüfen:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung auf Cisco Secure Email Gateway konfigurieren

Melden Sie sich in der Weboberfläche des Cisco Secure Email Gateway an.
Rufen Sie Systemverwaltung > Log-Abos auf.
Klicken Sie auf Log-Abo hinzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
- Protokolltyp: Wählen Sie den Protokolltyp aus, der weitergeleitet werden soll, z. B. Consolidated Event Logs (Konsolidierte Ereignisprotokolle), Mail Logs (E‑Mail-Protokolle) oder Text Mail Logs (SMS-Protokolle).
- Name: Geben Sie einen aussagekräftigen Namen ein (z. B. Google-SecOps-Syslog).
- Abrufmethode: Wählen Sie Syslog Push aus.
- Hostname: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
- Protokoll: Wählen Sie TCP aus.
- Port: Geben Sie 514 ein.
- Facility: Wählen Sie LOG_MAIL (oder Ihre bevorzugte Facility) aus.
Klicken Sie auf Senden.
Wiederholen Sie die Schritte 3 bis 5 für jeden weiteren Logtyp, den Sie weiterleiten möchten. Empfohlene Logtypen:
- Konsolidierte Ereignisprotokolle
- Text Mail Logs
- Anti-Spam-Protokolle
- Antivirenprotokolle
- AMP Engine-Logs
- Inhaltsfilterprotokolle
Klicken Sie auf Änderungen übernehmen, um die Konfiguration anzuwenden.
Prüfen Sie in den Bindplane-Agent-Logs, ob Syslog-Nachrichten gesendet werden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
acl_decision_tag	read_only_udm.security_result.detection_fields.value	Wird direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „ACL Decision Tag“.
access_or_decryption_policy_group	read_only_udm.security_result.detection_fields.value	Wird direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „AccessOrDecryptionPolicyGroup“.
handeln	read_only_udm.security_result.action_details	Direkt zugeordnet.
authenticated_user	read_only_udm.principal.user.userid	Wird direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“.
cache_hierarchy_retrieval	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „Cache Hierarchy Retrieval“.
Chiffre	read_only_udm.network.tls.cipher	Direkt zugeordnet.
country	read_only_udm.principal.location.country_or_region	Direkt zugeordnet.
data_security_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „DataSecurityPolicyGroup“.
Beschreibung	read_only_udm.metadata.description	Direkt für Syslog-Nachrichten zugeordnet. Bei CEF-Nachrichten wird sie zur allgemeinen Produktbeschreibung. Verschiedene Grok-Muster extrahieren bestimmte Beschreibungen basierend auf dem product_event. Einige Beschreibungen werden von gsub geändert, um vor- und nachstehende Leerzeichen und Doppelpunkte zu entfernen.
deviceDirection	read_only_udm.network.direction	Wenn „0“, wird „INBOUND“ zugeordnet. Wenn „1“, wird „OUTBOUND“ zugeordnet. Wird verwendet, um zu bestimmen, welche TLS-Chiffre und welches TLS-Protokoll direkt zugeordnet und welche als Labels zugeordnet werden sollen.
deviceExternalId	read_only_udm.principal.asset.asset_id	Zugeordnet als „Geräte-ID:“.
Domain	read_only_udm.target.administrative_domain	Direkt aus JSON-Logs zugeordnet.
domain_age	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „YoungestDomainAge“.
duser	read_only_udm.target.user.email_addresses, read_only_udm.network.email.to	Wenn „;“ enthalten ist, in mehrere E-Mail-Adressen aufteilen und jede den beiden UDM-Feldern zuordnen. Andernfalls wird die E-Mail-Adresse direkt beiden UDM-Feldern zugeordnet, wenn sie gültig ist. Wird auch zum Ausfüllen von network_to verwendet, wenn es leer ist.
dvc	read_only_udm.target.ip	Direkt zugeordnet.
entries.collection_time.nanos, entries.collection_time.seconds	read_only_udm.metadata.event_timestamp.nanos, read_only_udm.metadata.event_timestamp.seconds	Wird zum Erstellen des Ereigniszeitstempels verwendet.
env-from	read_only_udm.additional.fields.value.string_value	Direkt zugeordnet. Der Schlüssel ist „Env-From“.
ESAAttachmentDetails	read_only_udm.security_result.about.file.full_path, read_only_udm.security_result.about.file.sha256	Wird geparst, um Dateinamen und SHA256-Hashes zu extrahieren. Es können mehrere Dateien und Hashes extrahiert werden.
ESADCID	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESADCID“.
ESAFriendlyFrom	read_only_udm.principal.user.user_display_name, read_only_udm.network.email.from	Wird analysiert, um den Anzeigenamen und die E-Mail-Adresse zu extrahieren.
ESAHeloDomain	read_only_udm.intermediary.administrative_domain	Direkt zugeordnet.
ESAHeloIP	read_only_udm.intermediary.ip	Direkt zugeordnet.
ESAICID	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESAICID“.
ESAMailFlowPolicy	read_only_udm.security_result.rule_name	Direkt zugeordnet.
ESAMID	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESAMID“.
ESAReplyTo	read_only_udm.network.email.reply_to	Wird direkt zugeordnet, wenn es sich um eine gültige E-Mail-Adresse handelt. Wird auch zum Ausfüllen von network_to verwendet.
ESASDRDomainAge	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESASDRDomainAge“.
ESASenderGroup	read_only_udm.principal.group.group_display_name	Direkt zugeordnet.
ESAStatus	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „ESAStatus“.
ESATLSInCipher	read_only_udm.network.tls.cipher oder read_only_udm.security_result.about.labels.value	Wird direkt dem Chiffre zugeordnet, wenn „deviceDirection“ = „0“. Andernfalls wird sie als Label mit dem Schlüssel „ESATLSInCipher“ zugeordnet.
ESATLSInProtocol	read_only_udm.network.tls.version oder read_only_udm.security_result.about.labels.value	Die TLS-Version wird extrahiert und direkt zugeordnet, wenn „deviceDirection“ „0“ ist. Andernfalls wird es als Label mit dem Schlüssel „ESATLSInProtocol“ zugeordnet.
ESATLSOutCipher	read_only_udm.network.tls.cipher oder read_only_udm.security_result.about.labels.value	Wird direkt dem Chiffre zugeordnet, wenn „deviceDirection“ auf „1“ gesetzt ist. Andernfalls wird es als Label mit dem Schlüssel „ESATLSOutCipher“ zugeordnet.
ESATLSOutProtocol	read_only_udm.network.tls.version oder read_only_udm.security_result.about.labels.value	Die TLS-Version wird direkt extrahiert und zugeordnet, wenn „deviceDirection“ „1“ ist. Andernfalls wird es als Label mit dem Schlüssel „ESATLSOutProtocol“ zugeordnet.
ESAURLDetails	read_only_udm.target.url	Die URL wird geparst, um URLs zu extrahieren. Nur die erste URL wird zugeordnet, da das Feld nicht wiederholt wird.
external_dlp_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „ExternalDlpPolicyGroup“.
ExternalMsgID	read_only_udm.security_result.about.labels.value	Direkt zugeordnet nach dem Entfernen von einfachen Anführungszeichen und spitzen Klammern. Der Schlüssel ist „ExternalMsgID“.
von	read_only_udm.network.email.from	Direkt zugeordnet, wenn eine gültige E‑Mail-Adresse angegeben wurde. Wird auch zum Ausfüllen von „network_from“ verwendet.
host.hostname	read_only_udm.principal.hostname oder read_only_udm.intermediary.hostname	Wird dem primären Hostnamen zugeordnet, wenn das Hostfeld ungültig ist. Auch dem Hostnamen des Vermittlers zugeordnet.
host.ip	read_only_udm.principal.ip oder read_only_udm.intermediary.ip	Wird der Haupt-IP-Adresse zugeordnet, wenn das Feld „ip“ in JSON-Logs nicht festgelegt ist. Wird auch der IP-Adresse des Vermittlers zugeordnet.
Hostname	read_only_udm.target.hostname	Direkt zugeordnet.
http_method	read_only_udm.network.http.method	Direkt zugeordnet.
http_response_code	read_only_udm.network.http.response_code	Direkt zugeordnet und in eine Ganzzahl konvertiert.
identity_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „IdentityPolicyGroup“.
ip	read_only_udm.principal.ip	Direkt zugeordnet. Wird bei Vorhandensein durch „source_ip“ überschrieben.
kv_msg	Verschiedene	Mit dem kv-Filter geparst. Die Vorverarbeitung umfasst das Ersetzen von Leerzeichen vor Schlüsseln durch „#“ und das Austauschen von csLabel-Werten.
log_type	read_only_udm.metadata.log_type	Hartcodiert auf „CISCO_EMAIL_SECURITY“.
loglevel	read_only_udm.security_result.severity, read_only_udm.security_result.action	Wird verwendet, um den Schweregrad und die Aktion zu bestimmen. „Info“, „“, „Debug“ und „Trace“ werden „INFORMATIONAL“ und „ALLOW“ zugeordnet. „Warning“ wird „MEDIUM“ und „ALLOW“ zugeordnet. „Hoch“ wird „HIGH“ und „BLOCK“ zugeordnet. „Kritisch“ und „Warnung“ werden „KRITISCH“ und „BLOCKIEREN“ zugeordnet.
mail_id	read_only_udm.network.email.mail_id	Direkt aus JSON-Logs zugeordnet.
mailto	read_only_udm.target.user.email_addresses, read_only_udm.network.email.to	Wird direkt beiden UDM-Feldern zugeordnet, wenn es sich um eine gültige E‑Mail-Adresse handelt.
MailPolicy	read_only_udm.security_result.about.labels.value	Direkt zugeordnet. Der Schlüssel ist „MailPolicy“.
Nachricht	Verschiedene	Wenn möglich, als JSON geparst. Andernfalls wird sie als Syslog-Meldung verarbeitet.
message_id	read_only_udm.network.email.mail_id	Direkt zugeordnet. Wird auch verwendet, um network_data zu füllen.
msg	read_only_udm.network.email.subject	Wird nach der UTF-8-Decodierung und dem Entfernen von Zeilenumbrüchen, Zeilenwechseln und zusätzlichen Anführungszeichen direkt zugeordnet. Wird auch verwendet, um network_data zu füllen.
msg1	Verschiedene	Mit kv-Filter geparst. Wird verwendet, um Hostname, helo, env-from und reply-to zu extrahieren.
outbound_malware_scanning_policy_group	read_only_udm.security_result.detection_fields.value	Wird direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel lautet „DataSecurityPolicyGroup“.
Port	read_only_udm.target.port	Direkt zugeordnet und in Ganzzahl konvertiert.
principalMail	read_only_udm.principal.user.email_addresses	Direkt zugeordnet.
principalUrl	read_only_udm.principal.url	Direkt zugeordnet.
product_event	read_only_udm.metadata.product_event_type	Direkt zugeordnet. Wird verwendet, um zu bestimmen, welche Grok-Muster angewendet werden sollen. Führende „%“-Zeichen werden entfernt. „amp“ wird durch „SIEM_AMPenginelogs“ ersetzt.
product_version	read_only_udm.metadata.product_version	Direkt zugeordnet.
Protokoll	read_only_udm.network.tls.version	Direkt zugeordnet.
received_bytes	read_only_udm.network.received_bytes	Direkt zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
Antwort an:	read_only_udm.additional.fields.value.string_value	Direkt zugeordnet. Der Schlüssel ist „Reply-To“.
Bewertung	read_only_udm.security_result.confidence_details	Direkt zugeordnet.
request_method_uri	read_only_udm.target.url	Direkt zugeordnet.
result_code	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet. Der Schlüssel ist „Ergebniscode“.
routing_policy_group	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet, wenn nicht leer, „-“ oder „NONE“. Der Schlüssel ist „RoutingPolicyGroup“.
Regel	read_only_udm.security_result.detection_fields.value	Direkt zugeordnet. Der Schlüssel ist „Matched Condition“.
SDRThreatCategory	read_only_udm.security_result.threat_name	Wird direkt zugeordnet, wenn nicht leer oder „–“.
SenderCountry	read_only_udm.principal.location.country_or_region	Direkt zugeordnet.
senderGroup	read_only_udm.principal.group.group_display_name	Direkt zugeordnet.
security_description	read_only_udm.security_result.description	Direkt zugeordnet.
security_email	read_only_udm.security_result.about.email oder read_only_udm.principal.hostname	Wird der E-Mail-Adresse zugeordnet, wenn es sich um eine gültige E-Mail-Adresse handelt. Andernfalls wird nach dem Extrahieren mit Grok dem Hostnamen zugeordnet.
Quelle	read_only_udm.network.ip_protocol	Wenn „tcp“ enthalten ist, wird es „TCP“ zugeordnet.
sourceAddress	read_only_udm.principal.ip	Direkt zugeordnet.
sourceHostName	read_only_udm.principal.administrative_domain	Direkt zugeordnet, sofern nicht „unbekannt“.
source_ip	read_only_udm.principal.ip	Direkt zugeordnet. Überschreibt „ip“, falls vorhanden.
Betreff	read_only_udm.network.email.subject	Direkt zugeordnet, nachdem nachgestellte Punkte entfernt wurden. Wird auch verwendet, um network_data zu füllen.
suser	read_only_udm.principal.user.email_addresses, read_only_udm.network.email.bounce_address	Direkt beiden UDM-Feldern zugeordnet, wenn eine gültige E‑Mail-Adresse angegeben ist.
target_ip	read_only_udm.target.ip	Direkt zugeordnet.
bis	read_only_udm.network.email.to	Wird direkt zugeordnet, wenn es sich um eine gültige E‑Mail-Adresse handelt. Wird auch zum Ausfüllen von „network_to“ verwendet.
total_bytes	read_only_udm.network.sent_bytes	Direkt zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
trackerHeader	read_only_udm.additional.fields.value.string_value	Direkt zugeordnet. Der Schlüssel ist „Tracker Header“.
ts, ts1, year	read_only_udm.metadata.event_timestamp.seconds	Wird verwendet, um den Ereigniszeitstempel zu erstellen. „ts1“ und „year“ werden kombiniert, wenn „ts1“ vorhanden ist. Es werden verschiedene Formate mit und ohne Jahresangabe unterstützt. Wenn das Jahr nicht angegeben ist, wird das aktuelle Jahr verwendet. Festgelegt auf „Cisco“. Festgelegt auf „Cisco Email Security“. Die Standardeinstellung ist „ALLOW“. Wird basierend auf der Protokollebene oder Beschreibung auf „BLOCK“ festgelegt. Die Standardeinstellung ist „INBOUND“, wenn „application_protocol“ vorhanden ist. Wird basierend auf „deviceDirection“ für CEF-Nachrichten festgelegt. Wird anhand einer Kombination von Feldern ermittelt, darunter „network_from“, „network_to“, „target_ip“, „ip“, „description“, „event_type“, „principal_host“, „Hostname“, „user_id“ und „sourceAddress“. Der Standardwert ist „GENERIC_EVENT“. Wird auf „SMTP“ gesetzt, wenn „application_protocol“ „SMTP“ oder „smtp“ ist oder wenn „target_ip“ und „ip“ vorhanden sind. Auf „AUTHTYPE_UNSPECIFIED“ setzen, wenn „login_status“ und „user_id“ in den SSHD-Logs vorhanden sind. Wird auf „true“ gesetzt, wenn die Protokollstufe „Critical“ oder „Alert“ ist.
`deviceInboundInterface`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`dvc`	`event.idm.read_only_udm.intermediary.ip` und `event.idm.read_only_udm.intermediary.asset.ip`	Aus Änderungsprotokoll zugeordnet
`ESAHeloIP`	`event.idm.read_only_udm.principal.ip` und `event.idm.read_only_udm.principal.asset.ip`	Aus Änderungsprotokoll zugeordnet
`startTime`	`event.idm.read_only_udm.metadata.collected_timestamp`	Aus Änderungsprotokoll zugeordnet
`endTime`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`deviceDirection`	`event.idm.read_only_udm.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAOFVerdict`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`ESADLPVerdict`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`ESAMFVerdict`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`ESATLSOutConnStatus`	`event.idm.read_only_udm.security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`host`	`event.idm.read_only_udm.principal.hostname`	Aus Änderungsprotokoll zugeordnet
`host`	`event.idm.read_only_udm.principal.asset.hostname`	Aus Änderungsprotokoll zugeordnet
`ts_year`	`event.idm.read_only_udm.metadata.event_timestamp`	Aus Änderungsprotokoll zugeordnet
`start`	`event.idm.read_only_udm.metadata.event_timestamp`	Aus Änderungsprotokoll zugeordnet
`src`	`event.idm.read_only_udm.principal.ip`	Aus Änderungsprotokoll zugeordnet
`src`	`event.idm.read_only_udm.principal.asset.ip`	Aus Änderungsprotokoll zugeordnet
`shost`	`event.idm.read_only_udm.principal.hostname`	Aus Änderungsprotokoll zugeordnet
`shost`	`event.idm.read_only_udm.principal.asset.hostname`	Aus Änderungsprotokoll zugeordnet
`ESAMailFlowPolicy`	`event.idm.read_only_udm.security_result.rule_name`	Aus Änderungsprotokoll zugeordnet
`ESAAMPVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAASVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAAVVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESACFVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAGMVerdict`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`deviceOutboundInterface`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`end`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`ESAMsgSize`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`cfp1Label`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`cfp1`	`event.idm.read_only_udm.metadata.additional.fields`	Aus Änderungsprotokoll zugeordnet
`urls" and "WbrsScore`	`security_result.detection_fields`	Aus Änderungsprotokoll zugeordnet
`message_id2`	`network.email.mail_id`	Aus Änderungsprotokoll zugeordnet
`injection_connection_id`	`network.session_id`	Aus Änderungsprotokoll zugeordnet
`address_clean`	`network.email.to`	Aus Änderungsprotokoll zugeordnet
`receiver`	`network.email.to`	Aus Änderungsprotokoll zugeordnet
`inner_message`	`metadata.description`	Aus Änderungsprotokoll zugeordnet
`host_msg`	`intermediary.ip`	Aus Änderungsprotokoll zugeordnet
`host_msg`	`principal.hostname`	Aus Änderungsprotokoll zugeordnet
`attack`	`security_result.category_details`	Aus Änderungsprotokoll zugeordnet
`from_user`	`principal.user.user_display_name`	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten