Cisco Secure Email Gateway（旧 Email Security Appliance）のログを収集する

パーサーのバージョン: 12.0

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Cisco Secure Email Gateway（以前の Email Security Appliance）のログを Google Security Operations に取り込む方法について説明します。

パーサーは、Cisco Secure Email Gateway の syslog、Key-Value、JSON 形式のログからフィールドを抽出します。grok または kv を使用してログ メッセージを解析し、これらの値を統合データモデル（UDM）にマッピングします。また、イベントのソースとタイプのデフォルトのメタデータ値も設定します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • Cisco Secure Email Gateway ウェブ インターフェースへの特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポーターの構成に必要になります。

オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows のインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

サービスが RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

サービスが active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探します。

  • オペレーティング システムで構成ファイルを次の手順で探します。

    • Linux:
    sudo nano /opt/observiq-otel-collector/config.yaml
    • Windows:
    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • tcplog: UDP Syslog には udplog を使用し、TCP Syslog には tcplog を使用します。
    • 0.0.0.0: リッスンする IP アドレス（すべてのインターフェースでリッスンする場合は 0.0.0.0）
    • 514: リッスンするポート番号（標準の syslog ポート）

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: 「お客様 ID を取得する」セクションのお客様 ID
    • location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。
    • log_type: Google SecOps に表示されるログタイプ（CISCO_EMAIL_SECURITY）

以前の Ingestion API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CISCO_EMAIL_SECURITY'
    raw_log_field: body
    ingestion_labels:

構成ファイルを保存する

  • 編集が完了したら、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:

  1. 次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. サービスが実行されていることを確認します。

    sudo systemctl status observiq-otel-collector

  3. ログでエラーを確認します。

    sudo journalctl -u observiq-otel-collector -f

Windows で Bindplane エージェントを再起動するには:

  1. 次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。
    net stop observiq-otel-collector && net start observiq-otel-collector
    • サービス コンソール:
      1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

  2. サービスが実行されていることを確認します。

    sc query observiq-otel-collector

  3. ログでエラーを確認します。

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Cisco Secure Email Gateway で syslog 転送を構成する

  1. Cisco Secure Email Gateway のウェブ インターフェースにログインします。
  2. [System Administration] > [Log Subscriptions] に移動します。
  3. [Add Log Subscription] をクリックします。
  4. 次の構成情報を指定します。
    • ログタイプ: 転送するログタイプを選択します（例: 統合イベントログ、メールログ、テキスト メールログ）。
    • [名前]: わかりやすい名前を入力します（例: Google-SecOps-Syslog）。
    • 取得方法: [Syslog Push] を選択します。
    • ホスト名: Bindplane エージェント ホストの IP アドレスを入力します。
    • プロトコル: [TCP] を選択します。
    • ポート: 「514」と入力します。
    • ファシリティ: LOG_MAIL（または任意のファシリティ）を選択します。
  5. [送信] をクリックします。
  6. 転送するログタイプごとに手順 3 ～ 5 を繰り返します。推奨されるログタイプ:
    • 統合イベントログ
    • テキスト メールログ
    • スパム対策ログ
    • ウイルス対策ログ
    • AMP Engine のログ
    • コンテンツ フィルタのログ
  7. [Commit Changes] をクリックして構成を適用します。
  8. Bindplane エージェント ログをチェックして、syslog メッセージが送信されていることを確認します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
acl_decision_tag read_only_udm.security_result.detection_fields.value 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。キーは「ACL Decision Tag」です。
access_or_decryption_policy_group read_only_udm.security_result.detection_fields.value 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。キーは「AccessOrDecryptionPolicyGroup」です。
act read_only_udm.security_result.action_details 直接マッピングされます。
authenticated_user read_only_udm.principal.user.userid 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。
cache_hierarchy_retrieval read_only_udm.security_result.detection_fields.value 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。キーは「Cache Hierarchy Retrieval」です。
暗号 read_only_udm.network.tls.cipher 直接マッピングされます。
country read_only_udm.principal.location.country_or_region 直接マッピングされます。
data_security_policy_group read_only_udm.security_result.detection_fields.value 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。キーは「DataSecurityPolicyGroup」です。
説明 read_only_udm.metadata.description syslog メッセージに直接マッピングされます。CEF メッセージの場合、これはプロダクトの全体的な説明になります。さまざまな grok パターンが、product_event に基づいて特定の説明を抽出します。一部の説明は gsub によって変更され、先頭および末尾のスペースとコロンが削除されます。
deviceDirection read_only_udm.network.direction 0 の場合は「INBOUND」にマッピングします。1 の場合は「OUTBOUND」にマッピングします。直接マッピングする TLS 暗号とプロトコル、ラベルとしてマッピングする TLS 暗号とプロトコルを決定するために使用されます。
deviceExternalId read_only_udm.principal.asset.asset_id 「デバイス ID:」としてマッピングされます。
ドメイン read_only_udm.target.administrative_domain JSON ログから直接マッピングされます。
domain_age read_only_udm.security_result.about.labels.value 直接マッピングされます。キーは「YoungestDomainAge」です。
duser read_only_udm.target.user.email_addresses、read_only_udm.network.email.to 「;」が含まれている場合は、複数のメールアドレスに分割し、それぞれを両方の UDM フィールドにマッピングします。それ以外の場合は、有効なメールアドレスであれば、両方の UDM フィールドに直接マッピングします。network_to が空の場合に、その値を設定するためにも使用されます。
dvc read_only_udm.target.ip 直接マッピングされます。
entries.collection_time.nanos、entries.collection_time.seconds read_only_udm.metadata.event_timestamp.nanos、read_only_udm.metadata.event_timestamp.seconds イベント タイムスタンプの作成に使用されます。
env-from read_only_udm.additional.fields.value.string_value 直接マッピングされます。キーは「Env-From」です。
ESAAttachmentDetails read_only_udm.security_result.about.file.full_path、read_only_udm.security_result.about.file.sha256 ファイル名と SHA256 ハッシュを抽出するために解析されます。複数のファイルとハッシュを抽出できます。
ESADCID read_only_udm.security_result.about.labels.value 直接マッピングされます。キーは「ESADCID」です。
ESAFriendlyFrom read_only_udm.principal.user.user_display_name, read_only_udm.network.email.from 解析して表示名とメールアドレスを抽出します。
ESAHeloDomain read_only_udm.intermediary.administrative_domain 直接マッピングされます。
ESAHeloIP read_only_udm.intermediary.ip 直接マッピングされます。
ESAICID read_only_udm.security_result.about.labels.value 直接マッピングされます。キーは「ESAICID」です。
ESAMailFlowPolicy read_only_udm.security_result.rule_name 直接マッピングされます。
ESAMID read_only_udm.security_result.about.labels.value 直接マッピングされます。キーは「ESAMID」です。
ESAReplyTo read_only_udm.network.email.reply_to 有効なメールアドレスの場合、直接マッピングされます。network_to の入力にも使用されます。
ESASDRDomainAge read_only_udm.security_result.about.labels.value 直接マッピングされます。キーは「ESASDRDomainAge」です。
ESASenderGroup read_only_udm.principal.group.group_display_name 直接マッピングされます。
ESAStatus read_only_udm.security_result.about.labels.value 直接マッピングされます。キーは「ESAStatus」です。
ESATLSInCipher read_only_udm.network.tls.cipher または read_only_udm.security_result.about.labels.value deviceDirection が「0」の場合、暗号に直接マッピングされます。それ以外の場合は、キー「ESATLSInCipher」のラベルとしてマッピングされます。
ESATLSInProtocol read_only_udm.network.tls.version または read_only_udm.security_result.about.labels.value deviceDirection が「0」の場合、TLS バージョンが抽出され、直接マッピングされます。それ以外の場合は、キー「ESATLSInProtocol」のラベルとしてマッピングされます。
ESATLSOutCipher read_only_udm.network.tls.cipher または read_only_udm.security_result.about.labels.value deviceDirection が「1」の場合、暗号に直接マッピングされます。それ以外の場合は、キー「ESATLSOutCipher」のラベルとしてマッピングされます。
ESATLSOutProtocol read_only_udm.network.tls.version または read_only_udm.security_result.about.labels.value deviceDirection が「1」の場合、TLS バージョンが抽出され、直接マッピングされます。それ以外の場合は、キー「ESATLSOutProtocol」のラベルとしてマッピングされます。
ESAURLDetails read_only_udm.target.url URL を抽出するために解析されます。フィールドは繰り返されないため、最初の URL のみがマッピングされます。
external_dlp_policy_group read_only_udm.security_result.detection_fields.value 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。キーは「ExternalDlpPolicyGroup」です。
ExternalMsgID read_only_udm.security_result.about.labels.value 一重引用符と山かっこを削除した後、直接マッピングされます。キーは「ExternalMsgID」です。
from read_only_udm.network.email.from 有効なメールアドレスの場合、直接マッピングされます。network_from の入力にも使用されます。
host.hostname read_only_udm.principal.hostname または read_only_udm.intermediary.hostname host フィールドが無効な場合、プリンシパル ホスト名にマッピングされます。中間ホスト名にもマッピングされます。
host.ip read_only_udm.principal.ip または read_only_udm.intermediary.ip JSON ログで ip フィールドが設定されていない場合、プリンシパル IP にマッピングされます。また、仲介 IP にもマッピングされます。
hostname read_only_udm.target.hostname 直接マッピングされます。
http_method read_only_udm.network.http.method 直接マッピングされます。
http_response_code read_only_udm.network.http.response_code 直接マッピングされ、整数に変換されます。
identity_policy_group read_only_udm.security_result.detection_fields.value 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。キーは「IdentityPolicyGroup」です。
ip read_only_udm.principal.ip 直接マッピングされます。source_ip が存在する場合はその値で上書きされます。
kv_msg 各種 kv フィルタを使用して解析されます。前処理でキーの前のスペースが「#」に置き換えられ、csLabel の値が入れ替えられます。
log_type read_only_udm.metadata.log_type 「CISCO_EMAIL_SECURITY」にハードコードされています。
loglevel read_only_udm.security_result.severity, read_only_udm.security_result.action 重大度と対応を判断するために使用されます。"Info"、""、"Debug"、"Trace" は「INFORMATIONAL」と「ALLOW」にマッピングされます。「Warning」は「MEDIUM」と「ALLOW」にマッピングされます。「High」は「HIGH」と「BLOCK」にマッピングされます。「Critical」と「Alert」が「CRITICAL」、「BLOCK」にマッピングされます。
mail_id read_only_udm.network.email.mail_id JSON ログから直接マッピングされます。
mailto read_only_udm.target.user.email_addresses, read_only_udm.network.email.to 有効なメールアドレスの場合、両方の UDM フィールドに直接マッピングされます。
MailPolicy read_only_udm.security_result.about.labels.value 直接マッピングされます。キーは「MailPolicy」です。
メッセージ 各種 可能であれば JSON として解析されます。それ以外の場合は、Syslog メッセージとして処理されます。
message_id read_only_udm.network.email.mail_id 直接マッピングされます。network_data の入力にも使用されます。
msg read_only_udm.network.email.subject UTF-8 デコードを行い、復帰、改行、余分な引用符を削除した後、直接マッピングされます。network_data の入力にも使用されます。
msg1 各種 kv フィルタを使用して解析されます。Hostname、helo、env-from、reply-to を抽出するために使用されます。
outbound_malware_scanning_policy_group read_only_udm.security_result.detection_fields.value 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。キーは「DataSecurityPolicyGroup」です。
ポート read_only_udm.target.port 直接マッピングされ、整数に変換されます。
principalMail read_only_udm.principal.user.email_addresses 直接マッピングされます。
principalUrl read_only_udm.principal.url 直接マッピングされます。
product_event read_only_udm.metadata.product_event_type 直接マッピングされます。適用する grok パターンを決定するために使用されます。先頭の「%」文字は削除されます。「amp」は「SIEM_AMPenginelogs」に置き換えられます。
product_version read_only_udm.metadata.product_version 直接マッピングされます。
プロトコル read_only_udm.network.tls.version 直接マッピングされます。
received_bytes read_only_udm.network.received_bytes 直接マッピングされ、符号なし整数に変換されます。
返信先 read_only_udm.additional.fields.value.string_value 直接マッピングされます。キーは「Reply-To」です。
評価 read_only_udm.security_result.confidence_details 直接マッピングされます。
request_method_uri read_only_udm.target.url 直接マッピングされます。
result_code read_only_udm.security_result.detection_fields.value 直接マッピングされます。キーは「Result Code」です。
routing_policy_group read_only_udm.security_result.detection_fields.value 空白、「-」、「NONE」のいずれでもない場合は、直接マッピングされます。キーは「RoutingPolicyGroup」です。
ルール read_only_udm.security_result.detection_fields.value 直接マッピングされます。キーは「Matched Condition」です。
SDRThreatCategory read_only_udm.security_result.threat_name 空白でも「N/A」でもない場合、直接マッピングされます。
SenderCountry read_only_udm.principal.location.country_or_region 直接マッピングされます。
senderGroup read_only_udm.principal.group.group_display_name 直接マッピングされます。
security_description read_only_udm.security_result.description 直接マッピングされます。
security_email read_only_udm.security_result.about.email or read_only_udm.principal.hostname 有効なメールアドレスの場合、メールにマッピングされます。それ以外の場合は、grok で抽出した後にホスト名にマッピングされます。
ソース read_only_udm.network.ip_protocol 「tcp」が含まれている場合は、「TCP」にマッピングされます。
sourceAddress read_only_udm.principal.ip 直接マッピングされます。
sourceHostName read_only_udm.principal.administrative_domain 「unknown」でない場合、直接マッピングされます。
source_ip read_only_udm.principal.ip 直接マッピングされます。ip が存在する場合は上書きします。
件名 read_only_udm.network.email.subject 末尾のピリオドを削除した後、直接マッピングされます。network_data の入力にも使用されます。
suser read_only_udm.principal.user.email_addresses, read_only_udm.network.email.bounce_address 有効なメールアドレスの場合は、両方の UDM フィールドに直接マッピングされます。
target_ip read_only_udm.target.ip 直接マッピングされます。
～ read_only_udm.network.email.to 有効なメールアドレスの場合は直接マッピングされます。network_to の入力にも使用されます。
total_bytes read_only_udm.network.sent_bytes 直接マッピングされ、符号なし整数に変換されます。
trackerHeader read_only_udm.additional.fields.value.string_value 直接マッピングされます。キーは「Tracker Header」です。
ts, ts1, year read_only_udm.metadata.event_timestamp.seconds イベント タイムスタンプの作成に使用されます。ts1 が存在する場合は、ts1 と year が結合されます。年あり、年なしのさまざまな形式がサポートされています。年が指定されていない場合は、現在の年が使用されます。「Cisco」にハードコードされます。「Cisco Email Security」にハードコードされます。デフォルトは「ALLOW」です。loglevel または説明に基づいて「BLOCK」に設定されます。application_protocol が存在する場合、デフォルトで「INBOUND」になります。CEF メッセージについては deviceDirection に基づいて設定されます。network_from、network_to、target_ip、ip、description、event_type、principal_host、Hostname、user_id、sourceAddress などのフィールドの組み合わせに基づいて決定されます。デフォルトで「GENERIC_EVENT」になります。application_protocol が「SMTP」または「smtp」の場合、または target_ip と ip が存在する場合は、「SMTP」に設定されます。sshd ログに login_status と user_id が存在する場合は、「AUTHTYPE_UNSPECIFIED」に設定されます。loglevel が「Critical」または「Alert」の場合は true に設定されます。
deviceInboundInterface event.idm.read_only_udm.additional.fields 変更履歴からマッピング
dvc event.idm.read_only_udm.intermediary.ip と event.idm.read_only_udm.intermediary.asset.ip 変更履歴からマッピング
ESAHeloIP event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
startTime event.idm.read_only_udm.metadata.collected_timestamp 変更履歴からマッピング
endTime event.idm.read_only_udm.additional.fields 変更履歴からマッピング
deviceDirection event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ESAOFVerdict event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
ESADLPVerdict event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
ESAMFVerdict event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
ESATLSOutConnStatus event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
host event.idm.read_only_udm.principal.hostname 変更履歴からマッピング
host event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
ts_year event.idm.read_only_udm.metadata.event_timestamp 変更履歴からマッピング
start event.idm.read_only_udm.metadata.event_timestamp 変更履歴からマッピング
src event.idm.read_only_udm.principal.ip 変更履歴からマッピング
src event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
shost event.idm.read_only_udm.principal.hostname 変更履歴からマッピング
shost event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
ESAMailFlowPolicy event.idm.read_only_udm.security_result.rule_name 変更履歴からマッピング
ESAAMPVerdict event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
ESAASVerdict event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
ESAAVVerdict event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
ESACFVerdict event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
ESAGMVerdict event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
deviceOutboundInterface event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
end event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
ESAMsgSize event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
cfp1Label event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
cfp1 event.idm.read_only_udm.metadata.additional.fields 変更履歴からマッピング
urls" and "WbrsScore security_result.detection_fields 変更履歴からマッピング
message_id2 network.email.mail_id 変更履歴からマッピング
injection_connection_id network.session_id 変更履歴からマッピング
address_clean network.email.to 変更履歴からマッピング
receiver network.email.to 変更履歴からマッピング
inner_message metadata.description 変更履歴からマッピング
host_msg intermediary.ip 変更履歴からマッピング
host_msg principal.hostname 変更履歴からマッピング
attack security_result.category_details 変更履歴からマッピング
from_user principal.user.user_display_name 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。