Collecter les journaux Cisco Secure Email Gateway (anciennement Email Security Appliance)

Version de l'analyseur : 12.0

Compatible avec :

Ce document explique comment ingérer les journaux Cisco Secure Email Gateway (anciennement Email Security Appliance) dans Google Security Operations à l'aide de Bindplane.

L'analyseur extrait les champs des journaux Cisco Secure Email Gateway au format syslog, clé-valeur et JSON. Il utilise grok et/ou kv pour analyser le message de journal, puis mappe ces valeurs au modèle de données unifié (UDM). Il définit également les valeurs de métadonnées par défaut pour la source et le type d'événement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié à l'interface Web de Cisco Secure Email Gateway

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir le numéro client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.
  3. Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Recherchez le fichier de configuration sur votre système d'exploitation comme suit :

    • Linux :
    sudo nano /opt/observiq-otel-collector/config.yaml
    • Windows :
    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • tcplog : utilisez udplog pour syslog UDP ou tcplog pour syslog TCP.
    • 0.0.0.0 : adresse IP sur laquelle écouter (0.0.0.0 pour écouter sur toutes les interfaces)
    • 514 : numéro de port sur lequel écouter (port syslog standard)

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID : ID client de la section "Obtenir l'ID client"
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.
    • log_type : type de journal exactement tel qu'il apparaît dans Google SecOps (CISCO_EMAIL_SECURITY)

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent BindPlane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Vérifiez les journaux pour détecter d'éventuelles erreurs :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent BindPlane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Vérifiez les journaux pour détecter d'éventuelles erreurs :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog sur Cisco Secure Email Gateway

  1. Connectez-vous à l'interface Web de Cisco Secure Email Gateway.
  2. Accédez à System Administration > Log Subscriptions (Administration système > Abonnements aux journaux).
  3. Cliquez sur Ajouter un abonnement aux journaux.
  4. Fournissez les informations de configuration suivantes :
    • Type de journal : sélectionnez le type de journal à transférer (par exemple, Journaux d'événements consolidés, Journaux de messagerie, Journaux de messagerie texte).
    • Nom : saisissez un nom descriptif (par exemple, Google-SecOps-Syslog).
    • Méthode de récupération : sélectionnez Syslog Push.
    • Nom d'hôte : saisissez l'adresse IP de l'hôte de l'agent BindPlane.
    • Protocole : sélectionnez TCP.
    • Port : saisissez 514.
    • Fonction : sélectionnez LOG_MAIL (ou la fonction de votre choix).
  5. Cliquez sur Envoyer.
  6. Répétez les étapes 3 à 5 pour chaque type de journal supplémentaire à transférer. Types de journaux recommandés :
    • Journaux d'événements consolidés
    • Journaux des messages texte
    • Journaux antispam
    • Journaux de l'antivirus
    • Journaux App Engine
    • Journaux du filtre de contenu
  7. Cliquez sur Commit Changes (Valider les modifications) pour appliquer la configuration.
  8. Vérifiez que les messages syslog sont envoyés en consultant les journaux de l'agent BindPlane.

Table de mappage UDM

Champ du journal mappage UDM Logique
acl_decision_tag read_only_udm.security_result.detection_fields.value Mappé directement s'il n'est pas vide, "-" ou "NONE". La clé est "ACL Decision Tag".
access_or_decryption_policy_group read_only_udm.security_result.detection_fields.value Mappé directement s'il n'est pas vide, "-" ou "NONE". La clé est "AccessOrDecryptionPolicyGroup".
agir read_only_udm.security_result.action_details Mappage direct.
authenticated_user read_only_udm.principal.user.userid Mappé directement s'il n'est pas vide, "-" ou "NONE".
cache_hierarchy_retrieval read_only_udm.security_result.detection_fields.value Mappé directement s'il n'est pas vide, "-" ou "NONE". La clé est "Récupération de la hiérarchie du cache".
algorithme de chiffrement read_only_udm.network.tls.cipher Mappage direct.
pays read_only_udm.principal.location.country_or_region Mappage direct.
data_security_policy_group read_only_udm.security_result.detection_fields.value Mappé directement s'il n'est pas vide, "-" ou "NONE". La clé est "DataSecurityPolicyGroup".
description read_only_udm.metadata.description Mappé directement pour les messages syslog. Pour les messages CEF, il devient la description globale du produit. Différents modèles grok extraient des descriptions spécifiques en fonction de product_event. Certaines descriptions sont modifiées par gsub pour supprimer les espaces et les deux-points au début et à la fin.
deviceDirection read_only_udm.network.direction Si la valeur est "0", elle est mappée sur "INBOUND". Si la valeur est "1", elle est mappée sur "OUTBOUND". Permet de déterminer quel chiffrement et protocole TLS mapper directement et lesquels mapper en tant qu'étiquettes.
deviceExternalId read_only_udm.principal.asset.asset_id Mappé en tant que "ID de l'appareil".
domaine read_only_udm.target.administrative_domain Mappé directement à partir des journaux JSON.
domain_age read_only_udm.security_result.about.labels.value Mappage direct. La clé est "YoungestDomainAge".
duser read_only_udm.target.user.email_addresses, read_only_udm.network.email.to Si le champ contient ";", divisez-le en plusieurs adresses e-mail et mappez chacune d'elles aux deux champs UDM. Sinon, mappez directement sur les deux champs UDM s'il s'agit d'une adresse e-mail valide. Également utilisé pour renseigner network_to s'il est vide.
dvc read_only_udm.target.ip Mappage direct.
entries.collection_time.nanos, entries.collection_time.seconds read_only_udm.metadata.event_timestamp.nanos, read_only_udm.metadata.event_timestamp.seconds Utilisé pour construire le code temporel de l'événement.
env-from read_only_udm.additional.fields.value.string_value Mappage direct. La clé est "Env-From".
ESAAttachmentDetails read_only_udm.security_result.about.file.full_path, read_only_udm.security_result.about.file.sha256 Analysé pour extraire les noms de fichiers et les hachages SHA256. Plusieurs fichiers et hachages peuvent être extraits.
ESADCID read_only_udm.security_result.about.labels.value Mappage direct. La clé est "ESADCID".
ESAFriendlyFrom read_only_udm.principal.user.user_display_name, read_only_udm.network.email.from Analysé pour extraire le nom à afficher et l'adresse e-mail.
ESAHeloDomain read_only_udm.intermediary.administrative_domain Mappage direct.
ESAHeloIP read_only_udm.intermediary.ip Mappage direct.
ESAICID read_only_udm.security_result.about.labels.value Mappage direct. La clé est "ESAICID".
ESAMailFlowPolicy read_only_udm.security_result.rule_name Mappage direct.
ESAMID read_only_udm.security_result.about.labels.value Mappage direct. La clé est "ESAMID".
ESAReplyTo read_only_udm.network.email.reply_to Mappé directement s'il s'agit d'une adresse e-mail valide. Également utilisé pour renseigner network_to.
ESASDRDomainAge read_only_udm.security_result.about.labels.value Mappage direct. La clé est "ESASDRDomainAge".
ESASenderGroup read_only_udm.principal.group.group_display_name Mappage direct.
ESAStatus read_only_udm.security_result.about.labels.value Mappage direct. La clé est "ESAStatus".
ESATLSInCipher read_only_udm.network.tls.cipher ou read_only_udm.security_result.about.labels.value Mappé directement au chiffrement si deviceDirection est défini sur "0". Sinon, mappé en tant qu'étiquette avec la clé "ESATLSInCipher".
ESATLSInProtocol read_only_udm.network.tls.version ou read_only_udm.security_result.about.labels.value Version TLS extraite et mappée directement si deviceDirection est défini sur "0". Sinon, mappé en tant qu'étiquette avec la clé "ESATLSInProtocol".
ESATLSOutCipher read_only_udm.network.tls.cipher ou read_only_udm.security_result.about.labels.value Mappé directement au chiffrement si deviceDirection est défini sur "1". Sinon, mappé en tant qu'étiquette avec la clé "ESATLSOutCipher".
ESATLSOutProtocol read_only_udm.network.tls.version ou read_only_udm.security_result.about.labels.value Version TLS extraite et mappée directement si deviceDirection est défini sur "1". Sinon, mappé en tant qu'étiquette avec la clé "ESATLSOutProtocol".
ESAURLDetails read_only_udm.target.url Analyse pour extraire les URL. Seule la première URL est mappée, car le champ n'est pas répété.
external_dlp_policy_group read_only_udm.security_result.detection_fields.value Mappé directement s'il n'est pas vide, "-" ou "NONE". La clé est "ExternalDlpPolicyGroup".
ExternalMsgID read_only_udm.security_result.about.labels.value Mappé directement après la suppression des guillemets simples et des chevrons. La clé est "ExternalMsgID".
de read_only_udm.network.email.from Mappé directement s'il s'agit d'une adresse e-mail valide. Également utilisé pour renseigner network_from.
host.hostname read_only_udm.principal.hostname ou read_only_udm.intermediary.hostname Mappé au nom d'hôte principal si le champ "host" n'est pas valide. Également mappé au nom d'hôte intermédiaire.
host.ip read_only_udm.principal.ip ou read_only_udm.intermediary.ip Mappé sur l'adresse IP principale si le champ "ip" n'est pas défini dans les journaux JSON. Également mappé à l'adresse IP intermédiaire.
nom d'hôte read_only_udm.target.hostname Mappage direct.
http_method read_only_udm.network.http.method Mappage direct.
http_response_code read_only_udm.network.http.response_code Mappé directement et converti en entier.
identity_policy_group read_only_udm.security_result.detection_fields.value Mappé directement s'il n'est pas vide, "-" ou "NONE". La clé est "IdentityPolicyGroup".
ip read_only_udm.principal.ip Mappage direct. Remplacé par source_ip, le cas échéant.
kv_msg Diverses Analyse à l'aide du filtre kv. Le prétraitement consiste à remplacer les espaces avant les clés par "#" et à échanger les valeurs csLabel.
log_type read_only_udm.metadata.log_type Codé en dur sur "CISCO_EMAIL_SECURITY".
loglevel read_only_udm.security_result.severity, read_only_udm.security_result.action Utilisé pour déterminer la gravité et l'action. "Info", "", "Debug" et "Trace" sont mappés sur "INFORMATIONAL" et "ALLOW". "Avertissement" correspond à "MOYEN" et "AUTORISER". "Élevé" correspond à "HIGH" et "BLOCK". "Critical" et "Alert" sont mappés sur "CRITICAL", "BLOCK".
mail_id read_only_udm.network.email.mail_id Mappé directement à partir des journaux JSON.
mailto read_only_udm.target.user.email_addresses, read_only_udm.network.email.to Mappé directement aux deux champs UDM s'il s'agit d'une adresse e-mail valide.
MailPolicy read_only_udm.security_result.about.labels.value Mappage direct. La clé est "MailPolicy".
message Diverses Analysé au format JSON si possible. Sinon, il est traité comme un message syslog.
message_id read_only_udm.network.email.mail_id Mappage direct. Également utilisé pour renseigner network_data.
Message read_only_udm.network.email.subject Mappé directement après le décodage UTF-8 et la suppression des retours chariot, des sauts de ligne et des guillemets supplémentaires. Également utilisé pour renseigner network_data.
msg1 Diverses Analyse à l'aide du filtre kv. Utilisé pour extraire le nom d'hôte, helo, env-from et reply-to.
outbound_malware_scanning_policy_group read_only_udm.security_result.detection_fields.value Mappé directement s'il n'est pas vide, "-" ou "NONE". La clé est "DataSecurityPolicyGroup".
port read_only_udm.target.port Mappé directement et converti en entier.
principalMail read_only_udm.principal.user.email_addresses Mappage direct.
principalUrl read_only_udm.principal.url Mappage direct.
product_event read_only_udm.metadata.product_event_type Mappage direct. Utilisé pour déterminer les modèles grok à appliquer. Les caractères "%" de début sont supprimés. "amp" est remplacé par "SIEM_AMPenginelogs".
product_version read_only_udm.metadata.product_version Mappage direct.
protocol read_only_udm.network.tls.version Mappage direct.
received_bytes read_only_udm.network.received_bytes Mappé directement et converti en entier non signé.
adresse-réponse read_only_udm.additional.fields.value.string_value Mappage direct. La clé est "Reply-To".
réputation read_only_udm.security_result.confidence_details Mappage direct.
request_method_uri read_only_udm.target.url Mappage direct.
result_code read_only_udm.security_result.detection_fields.value Mappage direct. La clé est "Result Code".
routing_policy_group read_only_udm.security_result.detection_fields.value Mappé directement s'il n'est pas vide, "-" ou "NONE". La clé est "RoutingPolicyGroup".
règle read_only_udm.security_result.detection_fields.value Mappage direct. La clé est "Matched Condition".
SDRThreatCategory read_only_udm.security_result.threat_name Mappé directement s'il n'est pas vide ou s'il n'est pas défini sur "N/A".
SenderCountry read_only_udm.principal.location.country_or_region Mappage direct.
senderGroup read_only_udm.principal.group.group_display_name Mappage direct.
security_description read_only_udm.security_result.description Mappage direct.
security_email read_only_udm.security_result.about.email ou read_only_udm.principal.hostname Mappé à l'adresse e-mail si elle est valide. Sinon, mappé sur le nom d'hôte après l'extraction avec grok.
source read_only_udm.network.ip_protocol Si elle contient "tcp", elle est mappée sur "TCP".
sourceAddress read_only_udm.principal.ip Mappage direct.
sourceHostName read_only_udm.principal.administrative_domain Mappé directement s'il n'est pas "unknown".
source_ip read_only_udm.principal.ip Mappage direct. Remplace l'adresse IP si elle est présente.
Objet read_only_udm.network.email.subject Mappé directement après la suppression des points de fin. Également utilisé pour renseigner network_data.
suser read_only_udm.principal.user.email_addresses, read_only_udm.network.email.bounce_address Mappé directement aux deux champs UDM s'il s'agit d'une adresse e-mail valide.
target_ip read_only_udm.target.ip Mappage direct.
à read_only_udm.network.email.to Mappé directement s'il s'agit d'une adresse e-mail valide. Également utilisé pour renseigner network_to.
total_bytes read_only_udm.network.sent_bytes Mappé directement et converti en entier non signé.
trackerHeader read_only_udm.additional.fields.value.string_value Mappage direct. La clé est "Tracker Header".
ts, ts1, year read_only_udm.metadata.event_timestamp.seconds Utilisé pour construire le code temporel de l'événement. ts1 et year sont combinés si ts1 est présent. Différents formats sont acceptés, avec et sans l'année. Si l'année n'est pas présente, l'année en cours est utilisée. Codé en dur sur "Cisco". Codé en dur sur "Cisco Email Security". La valeur par défaut est "ALLOW". Définissez cette option sur "BLOCK" en fonction du niveau de journalisation ou de la description. La valeur par défaut est "INBOUND" si application_protocol est présent. Défini en fonction de deviceDirection pour les messages CEF. Déterminé en fonction d'une combinaison de champs, y compris network_from, network_to, target_ip, ip, description, event_type, principal_host, Hostname, user_id et sourceAddress. La valeur par défaut est "GENERIC_EVENT". Définissez ce champ sur "SMTP" si application_protocol est défini sur "SMTP" ou "smtp", ou si target_ip et ip sont présents. Définissez cette option sur "AUTHTYPE_UNSPECIFIED" si login_status et user_id sont présents dans les journaux sshd. Définissez cette option sur "true" si le niveau de journalisation est "Critical" ou "Alert".
deviceInboundInterface event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dvc event.idm.read_only_udm.intermediary.ip et event.idm.read_only_udm.intermediary.asset.ip Mappé à partir du journal des modifications
ESAHeloIP event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
startTime event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
endTime event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
deviceDirection event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ESAOFVerdict event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ESADLPVerdict event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ESAMFVerdict event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ESATLSOutConnStatus event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
host event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
host event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
ts_year event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
start event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
src event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
src event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
shost event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
shost event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
ESAMailFlowPolicy event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
ESAAMPVerdict event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
ESAASVerdict event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
ESAAVVerdict event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
ESACFVerdict event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
ESAGMVerdict event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
deviceOutboundInterface event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
end event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
ESAMsgSize event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
cfp1Label event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
cfp1 event.idm.read_only_udm.metadata.additional.fields Mappé à partir du journal des modifications
urls" and "WbrsScore security_result.detection_fields Mappé à partir du journal des modifications
message_id2 network.email.mail_id Mappé à partir du journal des modifications
injection_connection_id network.session_id Mappé à partir du journal des modifications
address_clean network.email.to Mappé à partir du journal des modifications
receiver network.email.to Mappé à partir du journal des modifications
inner_message metadata.description Mappé à partir du journal des modifications
host_msg intermediary.ip Mappé à partir du journal des modifications
host_msg principal.hostname Mappé à partir du journal des modifications
attack security_result.category_details Mappé à partir du journal des modifications
from_user principal.user.user_display_name Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.