איסוף יומנים של Cisco Secure Email Gateway (לשעבר Email Security Appliance)
גרסת המנתח: 12.0
נתמך ב:
Google SecOps
SIEM
במאמר הזה מוסבר איך להטמיע יומנים של Cisco Secure Email Gateway (לשעבר Email Security Appliance) ב-Google Security Operations באמצעות Bindplane.
המנתח מחלץ שדות מיומנים של Cisco Secure Email Gateway בפורמטים syslog, key-value ו-JSON. הוא משתמש ב-grok או ב-kv כדי לנתח את הודעת היומן, ואז ממפה את הערכים האלה למודל הנתונים המאוחד (UDM). הוא גם מגדיר ערכי מטא-נתונים שמוגדרים כברירת מחדל למקור האירוע ולסוג האירוע.
לפני שמתחילים
חשוב לוודא שיש לכם את הדברים הבאים:
- מכונה של Google SecOps
- Windows Server 2016 ואילך, או מארח Linux עם
systemd - אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
- גישה עם הרשאות לממשק האינטרנט של Cisco Secure Email Gateway
קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane
כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:
- פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
- פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)
- נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
- נכנסים לדף IAM & Admin > Service Accounts.
- לוחצים על Create service account.
- מזינים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה,
bindplane-ingest). - Service account description: מזינים תיאור (לדוגמה,
Bindplane agent log ingestion).
- Service account name: מזינים שם לחשבון (לדוגמה,
- לוחצים על Create and continue.
- בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
- לוחצים על המשך ואז על סיום.
- לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
- לוחצים על Add key > Create new key.
- בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
- שומרים את קובץ המפתח בתור
ingestion-auth.jsonבספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.jsonב-Linux אוC:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.jsonב-Windows), או מעדכנים אתcreds_file_pathב-config.yamlכך שיתאים לנתיב שבו שמרתם אותו. - עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.
אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)
- נכנסים למסוף Google SecOps.
- עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
- מורידים את קובץ האימות להטמעת נתונים.
- שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.
איך מקבלים את מספר הלקוח ב-Google SecOps
- נכנסים למסוף Google SecOps.
- עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
- מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.
התקנת הסוכן של Bindplane
מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.
התקנת חלונות
- פותחים את שורת הפקודה או את PowerShell כאדמין.
מריצים את הפקודה הבאה:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quietמחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
sc query observiq-otel-collector
השירות אמור להופיע כ-RUNNING.
התקנה ב-Linux
- פותחים טרמינל עם הרשאות root או sudo.
מריצים את הפקודה הבאה:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.shמחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
sudo systemctl status observiq-otel-collector
השירות אמור להופיע כפעיל (פועל).
מקורות מידע נוספים בנושא התקנה
במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.
הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps
מאתרים את קובץ התצורה
מאתרים את קובץ התצורה במערכת ההפעלה:
- Linux:
sudo nano /opt/observiq-otel-collector/config.yaml- Windows:
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
עריכת קובץ התצורה
מחליפים את כל התוכן של
config.yamlבהגדרות הבאות:receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: chronicle.googleapis.com log_type: 'CISCO_EMAIL_SECURITY' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - tcplog exporters: - chronicle/chronicle_w_labels
פרמטרים להגדרה
מחליפים את ה-placeholders הבאים:
הגדרת המקלט:
-
tcplog: משתמשים ב-udplogל-UDP syslog או ב-tcplogל-TCP syslog -
0.0.0.0: כתובת ה-IP להאזנה (0.0.0.0להאזנה בכל הממשקים) -
514: מספר היציאה להאזנה (יציאת syslog רגילה)
-
הגדרת הייצוא:
-
creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):- Linux:
/opt/observiq-otel-collector/ingestion-auth.json - Windows:
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux:
-
YOUR_CUSTOMER_ID: מספר הלקוח מהקטע "קבלת מספר הלקוח" -
location: מחליפים את<LOCATION>באזור של המכונה של Google SecOps (לדוגמה,us,europeאוasia-southeast1). המייצא מוסיף את הערך הזה בתחילתchronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות. -
project: מחליפים את<PROJECT_NUMBER>במספר הפרויקט שמופיע בקטע IAM & Admin > Settings. -
endpoint: משאירים את הערךchronicle.googleapis.com. -
log_type: סוג היומן בדיוק כמו שהוא מופיע ב-Google SecOps (CISCO_EMAIL_SECURITY)
-
מייצא API להטמעה מדור קודם
אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק
exportersבקוד הבא. מגדירים אתcreds_file_pathלנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים אתmalachiteingestion-pa.googleapis.comבנקודת הקצה האזורית (לדוגמה,europe-malachiteingestion-pa.googleapis.com).exporters: chronicle/chronicle_w_labels: compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: malachiteingestion-pa.googleapis.com log_type: 'CISCO_EMAIL_SECURITY' raw_log_field: body ingestion_labels:
שמירת קובץ התצורה
- אחרי שמסיימים לערוך, שומרים את הקובץ:
- Linux: לוחצים על
Ctrl+O, אחר כך עלEnterואז עלCtrl+X - Windows: לוחצים על קובץ > שמירה
- Linux: לוחצים על
מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.
כדי להפעיל מחדש את סוכן Bindplane ב-Linux:
מריצים את הפקודה הבאה:
sudo systemctl restart observiq-otel-collectorמוודאים שהשירות פועל:
sudo systemctl status observiq-otel-collectorבודקים אם יש שגיאות ביומנים:
sudo journalctl -u observiq-otel-collector -f
כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:
בוחרים אחת מהאפשרויות האלה:
- שורת הפקודה או PowerShell כאדמין:
net stop observiq-otel-collector && net start observiq-otel-collector- מסוף השירותים:
- לוחצים על
Win+R, מקלידיםservices.mscולוחצים על Enter. - מאתרים את observIQ OpenTelemetry Collector.
- לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
- לוחצים על
מוודאים שהשירות פועל:
sc query observiq-otel-collectorבודקים אם יש שגיאות ביומנים:
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
הגדרת העברת syslog ב-Cisco Secure Email Gateway
- נכנסים לממשק האינטרנט של Cisco Secure Email Gateway.
- עוברים אל System Administration > Log Subscriptions.
- לוחצים על Add Log Subscription.
- מזינים את פרטי ההגדרה הבאים:
- סוג היומן: בוחרים את סוג היומן שרוצים להעביר (לדוגמה, יומני אירועים מאוחדים, יומני אימייל, יומני אימייל בטקסט).
- שם: מזינים שם תיאורי (לדוגמה,
Google-SecOps-Syslog). - שיטת אחזור: בוחרים באפשרות Syslog Push.
- שם המארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
- Protocol: בוחרים באפשרות TCP.
- יציאה: מזינים
514. - מתקן: בוחרים באפשרות LOG_MAIL (או במתקן המועדף).
- לוחצים על שליחה.
- חוזרים על שלבים 3 עד 5 לכל סוג נוסף של יומן שרוצים להעביר. סוגי היומנים המומלצים:
- יומני אירועים מאוחדים
- יומני אימייל בפורמט טקסט
- יומני ספאם
- יומני אנטי-וירוס
- יומנים של מנוע AMP
- יומני מסנן התוכן
- לוחצים על Commit Changes כדי להחיל את ההגדרות.
- כדי לוודא שהודעות syslog נשלחות, בודקים את יומני הסוכן של Bindplane.
טבלת מיפוי UDM
| שדה ביומן | מיפוי UDM | Logic (פונקציה לוגית) |
|---|---|---|
| acl_decision_tag | read_only_udm.security_result.detection_fields.value | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". המפתח הוא "תג החלטה של ACL". |
| access_or_decryption_policy_group | read_only_udm.security_result.detection_fields.value | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". המפתח הוא AccessOrDecryptionPolicyGroup. |
| פעולה | read_only_udm.security_result.action_details | מיפוי ישיר. |
| authenticated_user | read_only_udm.principal.user.userid | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". |
| cache_hierarchy_retrieval | read_only_udm.security_result.detection_fields.value | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". המפתח הוא "אחזור היררכיית מטמון". |
| צופן | read_only_udm.network.tls.cipher | מיפוי ישיר. |
| מדינה | read_only_udm.principal.location.country_or_region | מיפוי ישיר. |
| data_security_policy_group | read_only_udm.security_result.detection_fields.value | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". המפתח הוא "DataSecurityPolicyGroup". |
| description | read_only_udm.metadata.description | מיפוי ישיר להודעות syslog. בהודעות CEF, הוא הופך לתיאור המוצר הכולל. תבניות Grok שונות מחלצות תיאורים ספציפיים על סמך product_event. חלק מהתיאורים משתנים על ידי gsub כדי להסיר רווחים ונקודתיים בתחילת או בסוף התיאור. |
| deviceDirection | read_only_udm.network.direction | אם הערך הוא "0", הוא ממופה ל-"INBOUND". אם הערך הוא "1", הוא ממופה ל-"OUTBOUND". משמש לקביעה אילו פרוטוקול וצופן TLS למפות ישירות ואילו למפות כתוויות. |
| deviceExternalId | read_only_udm.principal.asset.asset_id | ממופה בתור "מזהה המכשיר:". |
| דומיין | read_only_udm.target.administrative_domain | ממופה ישירות מיומני JSON. |
| domain_age | read_only_udm.security_result.about.labels.value | מיפוי ישיר. המפתח הוא "YoungestDomainAge". |
| duser | read_only_udm.target.user.email_addresses, read_only_udm.network.email.to | אם הוא מכיל ";", צריך לפצל אותו לכמה כתובות אימייל ולמפות כל אחת מהן לשני שדות ה-UDM. אחרת, אם כתובת האימייל תקינה, ממפים ישירות לשני שדות ה-UDM. השדה הזה משמש גם לאכלוס השדה network_to אם הוא ריק. |
| dvc | read_only_udm.target.ip | מיפוי ישיר. |
| entries.collection_time.nanos, entries.collection_time.seconds | read_only_udm.metadata.event_timestamp.nanos, read_only_udm.metadata.event_timestamp.seconds | משמש ליצירת חותמת הזמן של האירוע. |
| env-from | read_only_udm.additional.fields.value.string_value | מיפוי ישיר. המפתח הוא "Env-From". |
| ESAAttachmentDetails | read_only_udm.security_result.about.file.full_path, read_only_udm.security_result.about.file.sha256 | מנותח כדי לחלץ שמות קבצים וגיבובי SHA256. אפשר לחלץ כמה קבצים וערכי גיבוב (hash). |
| ESADCID | read_only_udm.security_result.about.labels.value | מיפוי ישיר. המפתח הוא "ESADCID". |
| ESAFriendlyFrom | read_only_udm.principal.user.user_display_name, read_only_udm.network.email.from | מנותח כדי לחלץ את השם המוצג וכתובת האימייל. |
| ESAHeloDomain | read_only_udm.intermediary.administrative_domain | מיפוי ישיר. |
| ESAHeloIP | read_only_udm.intermediary.ip | מיפוי ישיר. |
| ESAICID | read_only_udm.security_result.about.labels.value | מיפוי ישיר. המפתח הוא "ESAICID". |
| ESAMailFlowPolicy | read_only_udm.security_result.rule_name | מיפוי ישיר. |
| ESAMID | read_only_udm.security_result.about.labels.value | מיפוי ישיר. המפתח הוא "ESAMID". |
| ESAReplyTo | read_only_udm.network.email.reply_to | מיפוי ישיר אם כתובת האימייל תקינה. משמש גם לאכלוס של network_to. |
| ESASDRDomainAge | read_only_udm.security_result.about.labels.value | מיפוי ישיר. המפתח הוא "ESASDRDomainAge". |
| ESASenderGroup | read_only_udm.principal.group.group_display_name | מיפוי ישיר. |
| ESAStatus | read_only_udm.security_result.about.labels.value | מיפוי ישיר. המפתח הוא "ESAStatus". |
| ESATLSInCipher | read_only_udm.network.tls.cipher או read_only_udm.security_result.about.labels.value | מיפוי ישיר למידע מוצפן (ciphertext) אם הערך של deviceDirection הוא "0". אחרת, הוא ממופה כתווית עם המפתח "ESATLSInCipher". |
| ESATLSInProtocol | read_only_udm.network.tls.version או read_only_udm.security_result.about.labels.value | גרסת ה-TLS חולצה ומופתה ישירות אם הערך של deviceDirection הוא "0". אחרת, ממופה כתווית עם המפתח "ESATLSInProtocol". |
| ESATLSOutCipher | read_only_udm.network.tls.cipher או read_only_udm.security_result.about.labels.value | מיפוי ישיר לצופן אם הערך של deviceDirection הוא "1". אחרת, הוא ממופה כתווית עם המפתח "ESATLSOutCipher". |
| ESATLSOutProtocol | read_only_udm.network.tls.version או read_only_udm.security_result.about.labels.value | גרסת ה-TLS חולצה ומופתה ישירות אם deviceDirection הוא "1". אחרת, הוא ממופה כתווית עם המפתח "ESATLSOutProtocol". |
| ESAURLDetails | read_only_udm.target.url | מנותח כדי לחלץ כתובות URL. רק כתובת ה-URL הראשונה ממופה כי השדה לא חוזר על עצמו. |
| external_dlp_policy_group | read_only_udm.security_result.detection_fields.value | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". המפתח הוא ExternalDlpPolicyGroup. |
| ExternalMsgID | read_only_udm.security_result.about.labels.value | מיפוי ישיר אחרי הסרת מירכאות בודדות וסוגריים משולשים. המפתח הוא "ExternalMsgID". |
| מאת | read_only_udm.network.email.from | מיפוי ישיר אם כתובת האימייל תקינה. משמש גם לאכלוס network_from. |
| host.hostname | read_only_udm.principal.hostname או read_only_udm.intermediary.hostname | ממופה לשם המארח הראשי אם שדה המארח לא תקין. ממופה גם לשם מארח מתווך. |
| host.ip | read_only_udm.principal.ip או read_only_udm.intermediary.ip | ממופה לכתובת ה-IP של החשבון הראשי אם השדה ip לא מוגדר ביומני JSON. גם ממופה לכתובת IP של מתווך. |
| שם המארח | read_only_udm.target.hostname | מיפוי ישיר. |
| http_method | read_only_udm.network.http.method | מיפוי ישיר. |
| http_response_code | read_only_udm.network.http.response_code | ממופה ישירות ומומר למספר שלם. |
| identity_policy_group | read_only_udm.security_result.detection_fields.value | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". המפתח הוא "IdentityPolicyGroup". |
| ip | read_only_udm.principal.ip | מיפוי ישיר. אם הפרמטר source_ip קיים, הוא מחליף את הערך של הפרמטר הזה. |
| kv_msg | שונים | נותח באמצעות מסנן kv. העיבוד המקדים כולל החלפת רווחים לפני מפתחות ב-"#" והחלפת ערכי csLabel. |
| log_type | read_only_udm.metadata.log_type | מקודד באופן קשיח ל-"CISCO_EMAIL_SECURITY". |
| loglevel | read_only_udm.security_result.severity, read_only_udm.security_result.action | משמש לקביעת החומרה והפעולה. "מידע", "", "ניפוי באגים", "מעקב" ממופים ל "מידע" ו "אישור". "אזהרה" ממופה ל "בינוני" ול "אישור". "גבוהה" ממופה ל-"HIGH" ול-"BLOCK". "קריטי" ו "התראה" ממופים ל "קריטי", "חסימה". |
| mail_id | read_only_udm.network.email.mail_id | ממופה ישירות מיומני JSON. |
| mailto | read_only_udm.target.user.email_addresses, read_only_udm.network.email.to | ממופה ישירות לשני שדות ה-UDM אם זו כתובת אימייל תקינה. |
| MailPolicy | read_only_udm.security_result.about.labels.value | מיפוי ישיר. המפתח הוא "MailPolicy". |
| הודעה | שונים | מנותח כ-JSON, אם אפשר. אחרת, היא מעובדת כהודעת syslog. |
| message_id | read_only_udm.network.email.mail_id | מיפוי ישיר. משמש גם לאכלוס network_data. |
| msg | read_only_udm.network.email.subject | ממופה ישירות אחרי פענוח UTF-8 והסרה של תווי חזרה לתחילת השורה, מעברי שורה ומירכאות מיותרות. משמש גם לאכלוס network_data. |
| msg1 | שונים | נותח באמצעות מסנן kv. משמש לחילוץ של שם המארח, helo, env-from ו-reply-to. |
| outbound_malware_scanning_policy_group | read_only_udm.security_result.detection_fields.value | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". המפתח הוא "DataSecurityPolicyGroup". |
| יציאה | read_only_udm.target.port | ממופה ישירות ומומר למספר שלם. |
| principalMail | read_only_udm.principal.user.email_addresses | מיפוי ישיר. |
| principalUrl | read_only_udm.principal.url | מיפוי ישיר. |
| product_event | read_only_udm.metadata.product_event_type | מיפוי ישיר. משמש לקביעה אילו תבניות grok להחיל. תווי "%" בתחילת השורה יוסרו. הערך "amp" מוחלף בערך "SIEM_AMPenginelogs". |
| product_version | read_only_udm.metadata.product_version | מיפוי ישיר. |
| פרוטוקול | read_only_udm.network.tls.version | מיפוי ישיר. |
| received_bytes | read_only_udm.network.received_bytes | ממופה ישירות ומומר למספר שלם ללא סימן. |
| השב אל | read_only_udm.additional.fields.value.string_value | מיפוי ישיר. המפתח הוא "Reply-To". |
| מוניטין | read_only_udm.security_result.confidence_details | מיפוי ישיר. |
| request_method_uri | read_only_udm.target.url | מיפוי ישיר. |
| result_code | read_only_udm.security_result.detection_fields.value | מיפוי ישיר. המפתח הוא "קוד תוצאה". |
| routing_policy_group | read_only_udm.security_result.detection_fields.value | מיפוי ישיר אם השדה לא ריק, או אם לא מופיע בו "-" או "NONE". המפתח הוא "RoutingPolicyGroup". |
| כלל | read_only_udm.security_result.detection_fields.value | מיפוי ישיר. המפתח הוא "תנאי תואם". |
| SDRThreatCategory | read_only_udm.security_result.threat_name | מיפוי ישיר אם השדה לא ריק או לא מכיל את הערך "לא רלוונטי". |
| SenderCountry | read_only_udm.principal.location.country_or_region | מיפוי ישיר. |
| senderGroup | read_only_udm.principal.group.group_display_name | מיפוי ישיר. |
| security_description | read_only_udm.security_result.description | מיפוי ישיר. |
| security_email | read_only_udm.security_result.about.email או read_only_udm.principal.hostname | ממופה לכתובת אימייל אם זו כתובת אימייל תקינה. אחרת, ממופה לשם המארח אחרי חילוץ באמצעות grok. |
| מקור | read_only_udm.network.ip_protocol | אם הוא מכיל את המחרוזת "tcp", הוא ממופה ל-"TCP". |
| sourceAddress | read_only_udm.principal.ip | מיפוי ישיר. |
| sourceHostName | read_only_udm.principal.administrative_domain | מיפוי ישיר אם לא "לא ידוע". |
| source_ip | read_only_udm.principal.ip | מיפוי ישיר. הפרמטר הזה מחליף את כתובת ה-IP אם היא קיימת. |
| נושא | read_only_udm.network.email.subject | מיפוי ישיר אחרי הסרת הנקודות בסוף. משמש גם לאכלוס network_data. |
| suser | read_only_udm.principal.user.email_addresses, read_only_udm.network.email.bounce_address | ממופה ישירות לשני שדות ה-UDM אם זו כתובת אימייל תקינה. |
| target_ip | read_only_udm.target.ip | מיפוי ישיר. |
| הם במצב | read_only_udm.network.email.to | מיפוי ישיר אם כתובת האימייל תקינה. משמש גם לאכלוס של network_to. |
| total_bytes | read_only_udm.network.sent_bytes | ממופה ישירות ומומר למספר שלם ללא סימן. |
| trackerHeader | read_only_udm.additional.fields.value.string_value | מיפוי ישיר. המפתח הוא "כותרת של מכשיר מעקב". |
| ts, ts1, year | read_only_udm.metadata.event_timestamp.seconds | משמש ליצירת חותמת הזמן של האירוע. אם הפרמטר ts1 קיים, הוא משולב עם הפרמטר year. יש תמיכה בפורמטים שונים, עם ובלי השנה. אם השנה לא מצוינת, המערכת משתמשת בשנה הנוכחית. מקודד באופן קשיח ל-"Cisco". מקודד באופן קשיח ל-"Cisco Email Security". ברירת המחדל היא ALLOW. צריך להגדיר את הערך BLOCK על סמך רמת הרישום ביומן או התיאור. אם application_protocol קיים, ברירת המחדל היא "INBOUND". ההגדרה מבוססת על deviceDirection להודעות CEF. נקבע על סמך שילוב של שדות, כולל network_from, network_to, target_ip, ip, description, event_type, principal_host, Hostname, user_id ו-sourceAddress. ערך ברירת המחדל הוא "GENERIC_EVENT". צריך להגדיר את הערך "SMTP" אם הערך של application_protocol הוא "SMTP" או "smtp", או אם target_ip ו-ip קיימים. אם login_status ו-user_id מופיעים ביומני sshd, צריך להגדיר את הערך "AUTHTYPE_UNSPECIFIED". הערך מוגדר כ-true אם רמת הרישום ביומן היא "קריטי" או "התראה". |
deviceInboundInterface |
event.idm.read_only_udm.additional.fields |
מופה מיומן השינויים |
dvc |
event.idm.read_only_udm.intermediary.ip וגם event.idm.read_only_udm.intermediary.asset.ip |
מופה מיומן השינויים |
ESAHeloIP |
event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip |
מופה מיומן השינויים |
startTime |
event.idm.read_only_udm.metadata.collected_timestamp |
מופה מיומן השינויים |
endTime |
event.idm.read_only_udm.additional.fields |
מופה מיומן השינויים |
deviceDirection |
event.idm.read_only_udm.additional.fields |
מופה מיומן השינויים |
ESAOFVerdict |
event.idm.read_only_udm.security_result.detection_fields |
מופה מיומן השינויים |
ESADLPVerdict |
event.idm.read_only_udm.security_result.detection_fields |
מופה מיומן השינויים |
ESAMFVerdict |
event.idm.read_only_udm.security_result.detection_fields |
מופה מיומן השינויים |
ESATLSOutConnStatus |
event.idm.read_only_udm.security_result.detection_fields |
מופה מיומן השינויים |
host |
event.idm.read_only_udm.principal.hostname |
מופה מיומן השינויים |
host |
event.idm.read_only_udm.principal.asset.hostname |
מופה מיומן השינויים |
ts_year |
event.idm.read_only_udm.metadata.event_timestamp |
מופה מיומן השינויים |
start |
event.idm.read_only_udm.metadata.event_timestamp |
מופה מיומן השינויים |
src |
event.idm.read_only_udm.principal.ip |
מופה מיומן השינויים |
src |
event.idm.read_only_udm.principal.asset.ip |
מופה מיומן השינויים |
shost |
event.idm.read_only_udm.principal.hostname |
מופה מיומן השינויים |
shost |
event.idm.read_only_udm.principal.asset.hostname |
מופה מיומן השינויים |
ESAMailFlowPolicy |
event.idm.read_only_udm.security_result.rule_name |
מופה מיומן השינויים |
ESAAMPVerdict |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
ESAASVerdict |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
ESAAVVerdict |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
ESACFVerdict |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
ESAGMVerdict |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
deviceOutboundInterface |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
end |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
ESAMsgSize |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
cfp1Label |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
cfp1 |
event.idm.read_only_udm.metadata.additional.fields |
מופה מיומן השינויים |
urls" and "WbrsScore |
security_result.detection_fields |
מופה מיומן השינויים |
message_id2 |
network.email.mail_id |
מופה מיומן השינויים |
injection_connection_id |
network.session_id |
מופה מיומן השינויים |
address_clean |
network.email.to |
מופה מיומן השינויים |
receiver |
network.email.to |
מופה מיומן השינויים |
inner_message |
metadata.description |
מופה מיומן השינויים |
host_msg |
intermediary.ip |
מופה מיומן השינויים |
host_msg |
principal.hostname |
מופה מיומן השינויים |
attack |
security_result.category_details |
מופה מיומן השינויים |
from_user |
principal.user.user_display_name |
מופה מיומן השינויים |
יומן שינויים
הצגת יומן השינויים של המנתח הזה
הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.