Mengumpulkan log Cisco Secure Email Gateway (sebelumnya Email Security Appliance)

Versi Parser: 12.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log Cisco Secure Email Gateway (sebelumnya dikenal sebagai Email Security Appliance) ke Google Security Operations menggunakan Bindplane.

Parser mengekstrak kolom dari log syslog, nilai kunci, dan berformat JSON Cisco Secure Email Gateway. Parser ini menggunakan grok dan/atau kv untuk mengurai pesan log, lalu memetakan nilai ini ke Model Data Terpadu (UDM). Layanan ini juga menetapkan nilai metadata default untuk sumber dan jenis peristiwa.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke antarmuka web Cisco Secure Email Gateway

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

  • Deployment baru: Gunakan Chronicle API (Opsi 1).
  • Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.
  1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
  2. Buka IAM & Admin > Service Accounts.
  3. Klik Create service account.
  4. Berikan detail konfigurasi berikut:
    • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
    • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
  5. Klik Create and continue.
  6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
  7. Klik Continue lalu klik Done.
  8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
  9. Klik Add key > Create new key.
  10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
  11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
  12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download file autentikasi penyerapan.
  4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Profile.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

  • Cari file konfigurasi di sistem operasi Anda sebagai berikut:

    • Linux:
    sudo nano /opt/observiq-otel-collector/config.yaml
    • Windows:
    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Mengedit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • tcplog: Gunakan udplog untuk syslog UDP atau tcplog untuk syslog TCP
    • 0.0.0.0: Alamat IP yang akan dipantau (0.0.0.0 untuk memantau semua antarmuka)
    • 514: Nomor port yang akan diproses (port syslog standar)

  • Konfigurasi pengekspor:

    • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: ID pelanggan dari bagian Mendapatkan ID pelanggan
    • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
    • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
    • endpoint: Tetap tetapkan ke chronicle.googleapis.com.
    • log_type: Jenis log persis seperti yang muncul di Google SecOps (CISCO_EMAIL_SECURITY)

Pengekspor API penyerapan lama

  • Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

Menyimpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Pastikan layanan sedang berjalan:

    sudo systemctl status observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Konsol layanan:
      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Restart.

  2. Pastikan layanan sedang berjalan:

    sc query observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog di Cisco Secure Email Gateway

  1. Login ke antarmuka web Cisco Secure Email Gateway.
  2. Buka System Administration > Log Subscriptions.
  3. Klik Tambahkan Langganan Log.
  4. Berikan detail konfigurasi berikut:
    • Log Type: Pilih jenis log yang akan diteruskan (misalnya, Consolidated Event Logs, Mail Logs, Text Mail Logs).
    • Name: Masukkan nama deskriptif (misalnya, Google-SecOps-Syslog).
    • Retrieval Method: Pilih Syslog Push.
    • Nama host: Masukkan alamat IP host agen Bindplane.
    • Protocol: Pilih TCP.
    • Port: Masukkan 514.
    • Fasilitas: Pilih LOG_MAIL (atau fasilitas pilihan Anda).
  5. Klik Kirim.
  6. Ulangi langkah 3-5 untuk setiap jenis log tambahan yang akan diteruskan. Jenis log yang direkomendasikan:
    • Log Peristiwa Gabungan
    • Log Email Teks
    • Log Anti-Spam
    • Log Antivirus
    • Log AMP Engine
    • Log Filter Konten
  7. Klik Commit Changes untuk menerapkan konfigurasi.
  8. Pastikan pesan syslog dikirim dengan memeriksa log agen Bindplane.

Tabel pemetaan UDM

Kolom log Pemetaan UDM Logika
acl_decision_tag read_only_udm.security_result.detection_fields.value Dipetakan langsung jika tidak kosong, "-", atau "NONE". Kunci adalah "ACL Decision Tag".
access_or_decryption_policy_group read_only_udm.security_result.detection_fields.value Dipetakan langsung jika tidak kosong, "-", atau "NONE". Kuncinya adalah "AccessOrDecryptionPolicyGroup".
act read_only_udm.security_result.action_details Dipetakan secara langsung.
authenticated_user read_only_udm.principal.user.userid Dipetakan langsung jika tidak kosong, "-", atau "NONE".
cache_hierarchy_retrieval read_only_udm.security_result.detection_fields.value Dipetakan langsung jika tidak kosong, "-", atau "NONE". Kuncinya adalah "Cache Hierarchy Retrieval".
cipher read_only_udm.network.tls.cipher Dipetakan secara langsung.
country read_only_udm.principal.location.country_or_region Dipetakan secara langsung.
data_security_policy_group read_only_udm.security_result.detection_fields.value Dipetakan langsung jika tidak kosong, "-", atau "NONE". Kuncinya adalah "DataSecurityPolicyGroup".
deskripsi read_only_udm.metadata.description Dipetakan secara langsung untuk pesan syslog. Untuk pesan CEF, kolom ini menjadi deskripsi produk secara keseluruhan. Berbagai pola grok mengekstrak deskripsi tertentu berdasarkan product_event. Beberapa deskripsi diubah oleh gsub untuk menghapus spasi di awal/akhir dan titik dua.
deviceDirection read_only_udm.network.direction Jika '0', dipetakan ke 'INBOUND'. Jika '1', dipetakan ke 'OUTBOUND'. Digunakan untuk menentukan sandi dan protokol TLS mana yang akan dipetakan secara langsung dan mana yang akan dipetakan sebagai label.
deviceExternalId read_only_udm.principal.asset.asset_id Dipetakan sebagai "ID Perangkat:".
domain read_only_udm.target.administrative_domain Dipetakan langsung dari log JSON.
domain_age read_only_udm.security_result.about.labels.value Dipetakan secara langsung. Kuncinya adalah "YoungestDomainAge".
duser read_only_udm.target.user.email_addresses, read_only_udm.network.email.to Jika berisi ";", pisahkan menjadi beberapa alamat email dan petakan masing-masing ke kedua kolom UDM. Jika tidak, petakan langsung ke kedua kolom UDM jika alamat email valid. Juga digunakan untuk mengisi network_to jika kosong.
dvc read_only_udm.target.ip Dipetakan secara langsung.
entries.collection_time.nanos, entries.collection_time.seconds read_only_udm.metadata.event_timestamp.nanos, read_only_udm.metadata.event_timestamp.seconds Digunakan untuk membuat stempel waktu peristiwa.
env-from read_only_udm.additional.fields.value.string_value Dipetakan secara langsung. Kuncinya adalah "Env-From".
ESAAttachmentDetails read_only_udm.security_result.about.file.full_path, read_only_udm.security_result.about.file.sha256 Diuraikan untuk mengekstrak nama file dan hash SHA256. Beberapa file dan hash dapat diekstrak.
ESADCID read_only_udm.security_result.about.labels.value Dipetakan secara langsung. Kuncinya adalah "ESADCID".
ESAFriendlyFrom read_only_udm.principal.user.user_display_name, read_only_udm.network.email.from Diurai untuk mengekstrak nama tampilan dan alamat email.
ESAHeloDomain read_only_udm.intermediary.administrative_domain Dipetakan secara langsung.
ESAHeloIP read_only_udm.intermediary.ip Dipetakan secara langsung.
ESAICID read_only_udm.security_result.about.labels.value Dipetakan secara langsung. Kuncinya adalah "ESAICID".
ESAMailFlowPolicy read_only_udm.security_result.rule_name Dipetakan secara langsung.
ESAMID read_only_udm.security_result.about.labels.value Dipetakan secara langsung. Kunci adalah "ESAMID".
ESAReplyTo read_only_udm.network.email.reply_to Dipetakan secara langsung jika alamat email valid. Juga digunakan untuk mengisi network_to.
ESASDRDomainAge read_only_udm.security_result.about.labels.value Dipetakan secara langsung. Kuncinya adalah "ESASDRDomainAge".
ESASenderGroup read_only_udm.principal.group.group_display_name Dipetakan secara langsung.
ESAStatus read_only_udm.security_result.about.labels.value Dipetakan secara langsung. Kuncinya adalah "ESAStatus".
ESATLSInCipher read_only_udm.network.tls.cipher atau read_only_udm.security_result.about.labels.value Dipetakan langsung ke sandi jika deviceDirection adalah '0'. Jika tidak, dipetakan sebagai label dengan kunci "ESATLSInCipher".
ESATLSInProtocol read_only_udm.network.tls.version atau read_only_udm.security_result.about.labels.value Versi TLS diekstrak dan dipetakan secara langsung jika deviceDirection adalah '0'. Jika tidak, dipetakan sebagai label dengan kunci "ESATLSInProtocol".
ESATLSOutCipher read_only_udm.network.tls.cipher atau read_only_udm.security_result.about.labels.value Dipetakan langsung ke sandi jika deviceDirection adalah '1'. Jika tidak, dipetakan sebagai label dengan kunci "ESATLSOutCipher".
ESATLSOutProtocol read_only_udm.network.tls.version atau read_only_udm.security_result.about.labels.value Versi TLS diekstrak dan dipetakan secara langsung jika deviceDirection adalah '1'. Jika tidak, dipetakan sebagai label dengan kunci "ESATLSOutProtocol".
ESAURLDetails read_only_udm.target.url Diuraikan untuk mengekstrak URL. Hanya URL pertama yang dipetakan karena kolom tidak diulang.
external_dlp_policy_group read_only_udm.security_result.detection_fields.value Dipetakan langsung jika tidak kosong, "-", atau "NONE". Kuncinya adalah "ExternalDlpPolicyGroup".
ExternalMsgID read_only_udm.security_result.about.labels.value Dipetakan langsung setelah menghapus tanda petik tunggal dan tanda kurung sudut. Kuncinya adalah "ExternalMsgID".
dari read_only_udm.network.email.from Dipetakan secara langsung jika alamat email valid. Juga digunakan untuk mengisi network_from.
host.hostname read_only_udm.principal.hostname atau read_only_udm.intermediary.hostname Dipetakan ke nama host utama jika kolom host tidak valid. Juga dipetakan ke nama host perantara.
host.ip read_only_udm.principal.ip atau read_only_udm.intermediary.ip Dipetakan ke IP utama jika kolom ip tidak ditetapkan di log JSON. Juga dipetakan ke IP perantara.
hostname read_only_udm.target.hostname Dipetakan secara langsung.
http_method read_only_udm.network.http.method Dipetakan secara langsung.
http_response_code read_only_udm.network.http.response_code Dipetakan dan dikonversi langsung ke bilangan bulat.
identity_policy_group read_only_udm.security_result.detection_fields.value Dipetakan langsung jika tidak kosong, "-", atau "NONE". Kunci adalah "IdentityPolicyGroup".
ip read_only_udm.principal.ip Dipetakan secara langsung. Ditimpa oleh source_ip jika ada.
kv_msg Bervariasi Diurai menggunakan filter kv. Pra-pemrosesan mencakup penggantian spasi sebelum kunci dengan "#" dan penukaran nilai csLabel.
log_type read_only_udm.metadata.log_type Dikodekan secara permanen ke "CISCO_EMAIL_SECURITY".
loglevel read_only_udm.security_result.severity, read_only_udm.security_result.action Digunakan untuk menentukan tingkat keparahan dan tindakan. "Info", "", "Debug", "Trace" dipetakan ke "INFORMATIONAL" dan "ALLOW". "Peringatan" dipetakan ke "SEDANG" dan "IZINKAN". "Tinggi" dipetakan ke "TINGGI" dan "BLOKIR". "Critical" dan "Alert" dipetakan ke "CRITICAL", "BLOCK".
mail_id read_only_udm.network.email.mail_id Dipetakan langsung dari log JSON.
mailto read_only_udm.target.user.email_addresses, read_only_udm.network.email.to Dipetakan langsung ke kedua kolom UDM jika alamat email valid.
MailPolicy read_only_udm.security_result.about.labels.value Dipetakan secara langsung. Kuncinya adalah "MailPolicy".
pesan Bervariasi Diurai sebagai JSON jika memungkinkan. Jika tidak, pesan akan diproses sebagai pesan syslog.
message_id read_only_udm.network.email.mail_id Dipetakan secara langsung. Juga digunakan untuk mengisi network_data.
msg read_only_udm.network.email.subject Dipetakan langsung setelah decoding UTF-8 dan menghapus carriage return, baris baru, dan tanda kutip tambahan. Juga digunakan untuk mengisi network_data.
msg1 Bervariasi Diurai menggunakan filter kv. Digunakan untuk mengekstrak Nama host, helo, env-from, dan reply-to.
outbound_malware_scanning_policy_group read_only_udm.security_result.detection_fields.value Dipetakan langsung jika tidak kosong, "-", atau "NONE". Kuncinya adalah "DataSecurityPolicyGroup".
port read_only_udm.target.port Dipetakan dan dikonversi langsung ke bilangan bulat.
principalMail read_only_udm.principal.user.email_addresses Dipetakan secara langsung.
principalUrl read_only_udm.principal.url Dipetakan secara langsung.
product_event read_only_udm.metadata.product_event_type Dipetakan secara langsung. Digunakan untuk menentukan pola grok mana yang akan diterapkan. Karakter "%" di awal akan dihapus. "amp" diganti dengan "SIEM_AMPenginelogs".
product_version read_only_udm.metadata.product_version Dipetakan secara langsung.
protokol read_only_udm.network.tls.version Dipetakan secara langsung.
received_bytes read_only_udm.network.received_bytes Dipetakan dan dikonversi langsung ke bilangan bulat tanpa tanda tangan.
balas ke read_only_udm.additional.fields.value.string_value Dipetakan secara langsung. Kuncinya adalah "Reply-To".
reputasi read_only_udm.security_result.confidence_details Dipetakan secara langsung.
request_method_uri read_only_udm.target.url Dipetakan secara langsung.
result_code read_only_udm.security_result.detection_fields.value Dipetakan secara langsung. Kuncinya adalah "Result Code".
routing_policy_group read_only_udm.security_result.detection_fields.value Dipetakan langsung jika tidak kosong, "-", atau "NONE". Kunci adalah "RoutingPolicyGroup".
aturan read_only_udm.security_result.detection_fields.value Dipetakan secara langsung. Kuncinya adalah "Kondisi yang Cocok".
SDRThreatCategory read_only_udm.security_result.threat_name Dipetakan langsung jika tidak kosong atau "N/A".
SenderCountry read_only_udm.principal.location.country_or_region Dipetakan secara langsung.
senderGroup read_only_udm.principal.group.group_display_name Dipetakan secara langsung.
security_description read_only_udm.security_result.description Dipetakan secara langsung.
security_email read_only_udm.security_result.about.email atau read_only_udm.principal.hostname Dipetakan ke email jika alamat email valid. Jika tidak, dipetakan ke nama host setelah diekstrak dengan grok.
sumber read_only_udm.network.ip_protocol Jika berisi "tcp", dipetakan ke "TCP".
sourceAddress read_only_udm.principal.ip Dipetakan secara langsung.
sourceHostName read_only_udm.principal.administrative_domain Dipetakan secara langsung jika bukan "tidak diketahui".
source_ip read_only_udm.principal.ip Dipetakan secara langsung. Menimpa IP jika ada.
Subjek read_only_udm.network.email.subject Dipetakan langsung setelah menghapus titik di akhir. Juga digunakan untuk mengisi network_data.
suser read_only_udm.principal.user.email_addresses, read_only_udm.network.email.bounce_address Dipetakan langsung ke kedua kolom UDM jika alamat email valid.
target_ip read_only_udm.target.ip Dipetakan secara langsung.
sampai read_only_udm.network.email.to Dipetakan secara langsung jika alamat email valid. Juga digunakan untuk mengisi network_to.
total_bytes read_only_udm.network.sent_bytes Dipetakan dan dikonversi langsung ke bilangan bulat tanpa tanda tangan.
trackerHeader read_only_udm.additional.fields.value.string_value Dipetakan secara langsung. Kunci adalah "Tracker Header".
ts, ts1, year read_only_udm.metadata.event_timestamp.seconds Digunakan untuk membuat stempel waktu peristiwa. ts1 dan year digabungkan jika ts1 ada. Berbagai format didukung, dengan dan tanpa tahun. Jika tahun tidak ada, tahun saat ini akan digunakan. Diprogram secara permanen ke "Cisco". Dikodekan secara permanen ke "Cisco Email Security". Defaultnya adalah "ALLOW". Setel ke "BLOCK" berdasarkan loglevel atau deskripsi. Defaultnya adalah "INBOUND" jika application_protocol ada. Setel berdasarkan deviceDirection untuk pesan CEF. Ditentukan berdasarkan kombinasi kolom, termasuk network_from, network_to, target_ip, ip, description, event_type, principal_host, Hostname, user_id, dan sourceAddress. Default-nya adalah "GENERIC_EVENT". Disetel ke "SMTP" jika application_protocol adalah "SMTP" atau "smtp", atau jika target_ip dan ip ada. Tetapkan ke "AUTHTYPE_UNSPECIFIED" jika login_status dan user_id ada di log sshd. Tetapkan ke true jika loglevel adalah "Critical" atau "Alert".
deviceInboundInterface event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
dvc event.idm.read_only_udm.intermediary.ip dan event.idm.read_only_udm.intermediary.asset.ip Dipetakan dari log perubahan
ESAHeloIP event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
startTime event.idm.read_only_udm.metadata.collected_timestamp Dipetakan dari log perubahan
endTime event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
deviceDirection event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
ESAOFVerdict event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
ESADLPVerdict event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
ESAMFVerdict event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
ESATLSOutConnStatus event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
host event.idm.read_only_udm.principal.hostname Dipetakan dari log perubahan
host event.idm.read_only_udm.principal.asset.hostname Dipetakan dari log perubahan
ts_year event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
start event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
src event.idm.read_only_udm.principal.ip Dipetakan dari log perubahan
src event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
shost event.idm.read_only_udm.principal.hostname Dipetakan dari log perubahan
shost event.idm.read_only_udm.principal.asset.hostname Dipetakan dari log perubahan
ESAMailFlowPolicy event.idm.read_only_udm.security_result.rule_name Dipetakan dari log perubahan
ESAAMPVerdict event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
ESAASVerdict event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
ESAAVVerdict event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
ESACFVerdict event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
ESAGMVerdict event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
deviceOutboundInterface event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
end event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
ESAMsgSize event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
cfp1Label event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
cfp1 event.idm.read_only_udm.metadata.additional.fields Dipetakan dari log perubahan
urls" and "WbrsScore security_result.detection_fields Dipetakan dari log perubahan
message_id2 network.email.mail_id Dipetakan dari log perubahan
injection_connection_id network.session_id Dipetakan dari log perubahan
address_clean network.email.to Dipetakan dari log perubahan
receiver network.email.to Dipetakan dari log perubahan
inner_message metadata.description Dipetakan dari log perubahan
host_msg intermediary.ip Dipetakan dari log perubahan
host_msg principal.hostname Dipetakan dari log perubahan
attack security_result.category_details Dipetakan dari log perubahan
from_user principal.user.user_display_name Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.