Collecter les journaux Cisco Secure Firewall Management Center

Version de l'analyseur : 7.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux Cisco Secure Firewall Management Center (anciennement FireSIGHT/Firepower Management Center) dans Google Security Operations à l'aide de l'agent Bindplane.

Cisco Secure Firewall Management Center (FMC) est une console de gestion centralisée qui fournit une gestion complète des règles, une analyse des événements et des rapports pour les appareils Cisco Secure Firewall Threat Defense. FMC peut envoyer des événements de connexion, des événements de renseignement sur la sécurité, des événements d'intrusion, des événements de fichier et des événements de logiciel malveillant via syslog à des systèmes SIEM externes.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
• Connectivité réseau entre l'agent Bindplane et Cisco Secure Firewall Management Center
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
• Accès privilégié à l'interface Web de Cisco Secure Firewall Management Center
• Rôle d'utilisateur "Administrateur" ou "Analyste de sécurité" dans FMC

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continue (Continuer), puis sur Done (OK).
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte BindPlane et effectuez une rotation de la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API Ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu la fin de vie le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Profil.

3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

   Remarque : Le numéro client est requis pour configurer l'exportateur de l'agent BindPlane.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendez que l'installation se termine.

4. Vérifiez l'installation en exécutant la commande suivante :

   sc query observiq-otel-collector
   

   Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation sous Linux

1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendez que l'installation se termine.

4. Vérifiez l'installation en exécutant la commande suivante :

   sudo systemctl status observiq-otel-collector
   

   Le service doit s'afficher comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite la version 1.106.0 ou ultérieure du collecteur Bindplane. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

• Linux :

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows :

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifiez le fichier de configuration

• Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cisco_fmc:
          protocol: https
          # Region of your instance, for example us, europe, asia-southeast1
          location: <LOCATION>
          # Project number of the Google Cloud project linked to the instance
          project: '<PROJECT_NUMBER>'
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: chronicle.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  
  service:
      pipelines:
          logs/fmc_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/cisco_fmc
  

Paramètres de configuration

Remplacez les espaces réservés suivants :

• Configuration du récepteur :

  • listen_address : définissez la valeur sur 0.0.0.0:514 pour écouter sur toutes les interfaces sur le port UDP 514. Si le port 514 nécessite des droits racine sous Linux, utilisez plutôt le port 1514 et configurez FMC pour qu'il envoie les données vers ce port.

• Configuration de l'exportateur :

  • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
    • Linux : /opt/observiq-otel-collector/ingestion-auth.json
    • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID : remplacez par le numéro client copié dans la section précédente.
  • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
  • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
  • endpoint : laissez la valeur définie sur chronicle.googleapis.com.
  • log_type : définie sur CISCO_FIRESIGHT (correspondance exacte requise)
  • ingestion_labels : étiquettes facultatives pour le filtrage et l'organisation

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/cisco_fmc:
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API Ingestion sera abandonnée le 20 juillet 2027.

Enregistrez le fichier de configuration.

• Après avoir modifié le fichier, enregistrez-le :
  • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
  • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

• Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

  sudo systemctl restart observiq-otel-collector
  

  1. Vérifiez que le service est en cours d'exécution :

     sudo systemctl status observiq-otel-collector
     

  2. Recherchez les erreurs dans les journaux :

     sudo journalctl -u observiq-otel-collector -f
     

• Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

  • Invite de commande ou PowerShell en tant qu'administrateur :

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Services :

    1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
    2. Recherchez observIQ OpenTelemetry Collector.
    3. Effectuez un clic droit et sélectionnez Redémarrer.

    4. Vérifiez que le service est en cours d'exécution :

       sc query observiq-otel-collector
       

    5. Recherchez les erreurs dans les journaux :

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurer le transfert syslog de Cisco Secure Firewall Management Center

Cette section explique comment configurer FMC pour envoyer des messages syslog d'événements liés à la sécurité (événements de connexion, de renseignement sur la sécurité, d'intrusion, de fichier et de logiciel malveillant) depuis les appareils Secure Firewall Threat Defense vers l'agent BindPlane.

Créer une réponse d'alerte syslog

1. Connectez-vous à l'interface Web Cisco Secure Firewall Management Center.
2. Accédez à Système> Intégration> Syslog.
3. Cliquez sur Créer une alerte Syslog.
4. Fournissez les informations de configuration suivantes :
   • Nom : saisissez un nom descriptif (par exemple, Chronicle-Bindplane).
   • Hôte : saisissez l'adresse IP de l'hôte de l'agent Bindplane (par exemple, 192.168.1.100).
   • Port : saisissez 514 (ou 1514 si vous avez configuré BindPlane pour écouter sur un port non privilégié).
   • Établissement : sélectionnez un établissement dans le menu déroulant (par exemple, SYSLOG).
   • Gravité : sélectionnez un niveau de gravité dans le menu déroulant (par exemple, INFO).

5. Cliquez sur Enregistrer.

   Remarque : Les valeurs de fonction et de gravité n'apparaissent pas dans les messages syslog. Ils indiquent au système de réception comment classer les messages.

Configurer les paramètres syslog pour les appareils Secure Firewall Threat Defense

1. Dans l'interface Web Cisco Secure Firewall Management Center, accédez à Devices > Platform Settings (Appareils > Paramètres de la plate-forme).
2. Modifiez la règle de paramètres de plate-forme associée à votre appareil Secure Firewall Threat Defense ou créez-en une.
3. Dans le volet de navigation de gauche, cliquez sur Syslog.
4. Cliquez sur Syslog Servers (Serveurs Syslog), puis sur Add (Ajouter) pour configurer un nouveau serveur Syslog.
5. Fournissez les informations de configuration suivantes :
   • Adresse IP : saisissez l'adresse IP de l'hôte de l'agent Bindplane (par exemple, 192.168.1.100).
   • Protocole : sélectionnez UDP.
   • Port : saisissez 514 (ou 1514 si vous avez configuré Bindplane pour qu'il écoute sur un port non privilégié).
   • Interface : sélectionnez l'interface de gestion ou l'interface pouvant accéder à l'agent Bindplane.
6. Cliquez sur OK pour enregistrer la configuration du serveur syslog.
7. Cliquez sur Syslog Settings (Paramètres Syslog), puis configurez les paramètres suivants :
   • Cochez la case Enable Timestamp on Syslog Messages (Activer l'horodatage sur les messages Syslog).
   • Format du code temporel : sélectionnez ISO 8601 (recommandé pour Google SecOps).
   • Cochez la case Activer l'ID de périphérique Syslog et saisissez éventuellement un identifiant de périphérique personnalisé.
8. Cliquez sur Configuration de la journalisation.
9. Indiquez si vous souhaitez envoyer les journaux système au format EMBLEM. Pour l'ingestion Google SecOps, les deux formats sont acceptés.
10. Cliquez sur Enregistrer pour enregistrer la règle de paramètres de la plate-forme.

Configurer les paramètres de journalisation des règles de contrôle des accès

1. Dans l'interface Web de Cisco Secure Firewall Management Center, accédez à Policies > Access Control (Règles > Contrôle des accès).
2. Modifiez la stratégie de contrôle des accès applicable.
3. Cliquez sur l'onglet Journalisation.
4. Sélectionnez Utiliser les paramètres syslog configurés dans la règle "Paramètres de la plate-forme Threat Defense" déployée sur l'appareil.
5. Sélectionnez éventuellement un niveau de gravité Syslog (par exemple, Info ou Alerte).
6. Si vous envoyez des événements de fichiers et de logiciels malveillants, cochez l'option Send Syslog messages for File and Malware events (Envoyer des messages Syslog pour les événements de fichiers et de logiciels malveillants).
7. Cliquez sur Enregistrer.

Activer la journalisation des événements Security Intelligence

1. Dans la même stratégie de contrôle des accès, cliquez sur l'onglet Informations sur la sécurité.
2. Dans chacun des emplacements suivants, cliquez sur Journalisation et activez la journalisation :
   • À côté de DNS Policy (Règle DNS), cliquez sur Logging (Journalisation), activez Log at Beginning of Connection (Journaliser au début de la connexion) et Log at End of Connection (Journaliser à la fin de la connexion), puis activez Syslog Server (Serveur Syslog).
   • Dans la zone Block List (Liste de blocage) pour Networks (Réseaux) : cliquez sur Logging (Journalisation), activez Log at Beginning of Connection (Journaliser au début de la connexion) et Log at End of Connection (Journaliser à la fin de la connexion), puis activez Syslog Server (Serveur Syslog).
   • Dans la zone Liste de blocage pour les URL : cliquez sur Journalisation, activez Journaliser au début de la connexion et Journaliser à la fin de la connexion, puis activez Serveur Syslog.
3. Cliquez sur Enregistrer.

Activer la journalisation syslog pour les règles de contrôle des accès

1. Dans la même règle de contrôle des accès, cliquez sur l'onglet Règles.
2. Cliquez sur une règle pour la modifier.
3. Cliquez sur l'onglet Journalisation dans la règle.
4. Choisissez de consigner le début ou la fin des connexions, ou les deux :
   • Cochez la case Journaliser au début de la connexion (génère un volume élevé).
   • Cochez la case Log at End of Connection (Journaliser à la fin de la connexion, recommandé pour la plupart des cas d'utilisation).
5. Si vous souhaitez enregistrer les événements de fichier journal, cochez Fichiers journaux.
6. Cochez Serveur Syslog.
7. Vérifiez que la règle est Utiliser la configuration syslog par défaut dans la journalisation du contrôle des accès. Ne configurez pas de remplacements.
8. Cliquez sur Ajouter pour enregistrer la règle.
9. Répétez les étapes 2 à 8 pour chaque règle du règlement que vous souhaitez consigner.

Configurer les paramètres syslog de la stratégie d'intrusion

1. Accédez à Policies> Intrusion (Stratégies > Intrusion).
2. Modifiez la stratégie d'intrusion associée à votre stratégie de contrôle des accès.
3. Cliquez sur Paramètres avancés> Alertes Syslog.
4. Définissez Alertes Syslog sur Activé.
5. Cliquez sur Modifier à côté de Alertes Syslog.
6. Configurez les paramètres suivants :
   • Hôte de journalisation : laissez ce champ vide pour utiliser les paramètres syslog configurés dans les paramètres de la plate-forme Threat Defense. Si vous spécifiez un hôte de journalisation ici, vous devez également configurer les champs Facility (Fonctionnalité) et Severity (Gravité).
   • Facility : ne s'applique que si vous spécifiez un hôte de journalisation. Sélectionnez une installation (par exemple, AUTH ou LOCAL0).
   • Gravité : ne s'applique que si vous spécifiez un hôte de journalisation. Sélectionnez un niveau de gravité (par exemple, Info ou Alerte).
7. Cliquez sur Retour.
8. Cliquez sur Informations sur les règles dans le volet de navigation de gauche.
9. Cliquez sur Valider les modifications.

Déployer les modifications de configuration

1. Après avoir configuré tous les paramètres syslog, déployez les modifications sur vos appareils gérés.
2. Dans l'interface Web Cisco Secure Firewall Management Center, cliquez sur Deploy (Déployer) en haut à droite.
3. Sélectionnez les appareils sur lesquels vous souhaitez déployer la configuration.

4. Cliquez sur Déployer pour appliquer les modifications.

   Remarque : Les modifications apportées aux réponses aux alertes prennent effet immédiatement, sauf lors de l'envoi des journaux de connexion à un serveur syslog. Si vous utilisez des réponses d'alerte pour envoyer des journaux de connexion, vous devez déployer les modifications de configuration après avoir modifié ces réponses d'alerte.

Vérifier le transfert Syslog

1. Générez du trafic de test ou des événements de sécurité sur vos appareils Secure Firewall Threat Defense.

2. Consultez les journaux de l'agent Bindplane pour vérifier que les messages syslog sont bien reçus :

   • Linux :

     sudo journalctl -u observiq-otel-collector -f
     

   • Windows :

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

3. Connectez-vous à la console Google SecOps et vérifiez que les événements s'affichent dans le lecteur Événements.

   Remarque : Après la configuration initiale, l'affichage des événements dans Google SecOps peut prendre jusqu'à 15 minutes.

Types d'événements acceptés

Cisco Secure Firewall Management Center peut envoyer les types d'événements suivants via syslog à Google SecOps :

Type d'événement	Description
Événements de connexion	Données de connexion réseau entre les hôtes surveillés et tous les autres hôtes
Événements Security Intelligence	Événements liés aux listes de blocage de renseignements sur la sécurité (IP, URL, DNS)
Événements d'intrusion	Événements de détection et de prévention des intrusions générés par les appareils gérés
Événements de fichier	Événements d'analyse de fichiers
Événements de logiciel malveillant	Événements de détection de logiciels malveillants

Remarque : Les événements de logiciels malveillants rétrospectifs et les événements générés par Cisco Secure Endpoint ne sont pas disponibles via Syslog.

Format des messages Syslog

Cisco Secure Firewall Management Center envoie des messages syslog au format suivant :

• Exemple d'événement de connexion :

  <134>1 2024-01-15T10:15:45.123Z fmc-hostname %FTD-6-430003: EventPriority: Low, DeviceUUID: abc123, InstanceID: 1, FirstPacketSecond: 1705318545, ConnectionID: 12345, AccessControlRuleAction: Allow, SrcIP: 10.0.0.5, DstIP: 8.8.8.8, SrcPort: 54321, DstPort: 53, Protocol: udp, IngressInterface: inside, EgressInterface: outside, IngressZone: inside-zone, EgressZone: outside-zone, ACPolicy: Default-Policy, AccessControlRuleName: Allow-DNS, User: [e-mail], ApplicationProtocol: DNS, InitiatorBytes: 64, ResponderBytes: 128
  
  

• Exemple d'événement d'intrusion :

  <134>1 2024-01-15T10:16:30.456Z fmc-hostname %FTD-4-430001: EventPriority: High, DeviceUUID: abc123, InstanceID: 1, SrcIP: 192.168.1.100, DstIP: 10.0.0.50, SrcPort: 12345, DstPort: 80, Protocol: tcp, IngressInterface: outside, EgressInterface: inside, IngressZone: outside-zone, EgressZone: inside-zone, IntrusionPolicy: Security-Over-Connectivity, SignatureID: 1:2024123:1, SignatureGeneratorID: 1, Classification: web-application-attack, Priority: 1, Message: SQL injection attempt detected
  

Les messages syslog incluent des paires clé-valeur séparées par des virgules, ce qui les rend adaptés à l'analyse par Google SecOps.

Limites

• L'affichage des événements dans Google SecOps peut prendre jusqu'à 15 minutes après leur envoi depuis FMC.
• Les événements de logiciels malveillants rétrospectifs ne sont pas disponibles via syslog.
• Les événements générés par Cisco Secure Endpoint ne sont pas disponibles via syslog.
• Certaines métadonnées disponibles via l'API eStreamer ne sont pas incluses dans les messages syslog (par exemple, les informations utilisateur détaillées de LDAP, les métadonnées d'application étendues et les données de géolocalisation).
• Si vous configurez des noms d'objets (noms de règles ou de stratégies) avec des caractères spéciaux tels que des virgules, ils peuvent interférer avec l'analyse syslog. Évitez d'utiliser des caractères spéciaux dans les noms d'objets.

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
WebApplication, URLReputation, EgressInterface, IngressInterface, ACPolicy, NAPPolicy, ConnectionID, ssl_ticket_id, qoa_applied_interface, sinkhole_uuid, security_context, sec_zone_egress, sec_zone_ingress	additional.fields	Fusionné à partir de différents champs d'étiquette s'ils ne sont pas vides
eventType	extensions.auth.type	Définissez cette valeur sur "VPN" si eventType est "USER_LOGIN_INFORMATION".
vulnerabilities	extensions.vulns.vulnerabilities	Fusionné à partir des failles si le champ n'est pas vide
flowStatistics.httpReferrer	http.referral_url	Valeur copiée directement
flowStatistics.httpResponse	http.response_code	Converti en entier
flowStatistics.userAgent	http.user_agent	Valeur copiée directement
_intermediary	intermédiaire	Fusionné à partir de _intermediary si la valeur n'est pas vide
recordTypeDescription, entry.message	metadata.description	Valeur de recordTypeDescription si elle n'est pas vide, sinon de entry.message
event_second, connection_timestamp, _serverTimestamp	metadata.event_timestamp	Date analysée à partir de event_second si ce champ n'est pas vide, sinon connection_timestamp, sinon _serverTimestamp
event_type	metadata.event_type	Valeur copiée directement
prod_event_type, eventId, recordTypeCategory, app, _recordTypeName, eventType	metadata.product_event_type	Valeur de prod_event_type si elle n'est pas vide, sinon eventId, sinon recordTypeCategory, sinon app, sinon _recordTypeName, sinon eventType
DeviceUUID	metadata.product_log_id	Valeur copiée directement
flowStatistics.clientAppVersion, client_version	metadata.product_version	Valeur de flowStatistics.clientAppVersion si elle n'est pas vide, sinon client_version
flowStatistics.clientAppURL	metadata.url_back_to_product	Valeur copiée directement
ApplicationProtocol	network.application_protocol	Définissez sur "LDAP" si la valeur correspond à (?i)ldap, "HTTPS" si elle correspond à (?i)https, "HTTP" si elle correspond à (?i)http
réponse	network.dns.answers	Fusionné à partir d'une réponse
flowStatistics.dnsQuery	network.dns.answers.name	Valeur copiée directement
flowStatistics.dnsTTL	network.dns.answers.ttl	Converti en uinteger
flowStatistics.dnsRecordType	network.dns.answers.type	Converti en uinteger
flowStatistics.dnsResponseType	network.dns.response_code	Converti en uinteger
user_agent	network.http.parsed_user_agent	Converti en parseduseragent
user_agent	network.http.user_agent	Valeur copiée directement
proto, Protocol, inputType, proto_type, protocol, ip_v4_protocol, protocol_number_src	network.ip_protocol	Définissez-les en fonction de différents champs avec des mappages de protocoles et des cas.
ResponderBytes, flowStatistics.bytesReceived	network.received_bytes	Valeur de ResponderBytes si elle n'est pas vide, sinon flowStatistics.bytesReceived, convertie en uinteger
ResponderPackets	network.received_packets	Converti en entier
InitiatorBytes, flowStatistics.bytesSent	network.sent_bytes	Valeur de InitiatorBytes si elle n'est pas vide, sinon flowStatistics.bytesSent, convertie en uinteger
InitiatorPackets, packet_data	network.sent_packets	Valeur de InitiatorPackets si elle n'est pas vide, sinon packet_data, convertie en entier
ssl_session_id	network.session_id	Valeur copiée directement
ssl_cipher_suite	network.tls.cipher	Valeur copiée directement
agent_type, agent_version	observer.application	Concaténé sous la forme agent_type agent_version si les deux ne sont pas vides
entry.host.hostname	observer.hostname	Valeur copiée directement
entry.host.ip	observer.ip	Fusionné à partir de entry.host.ip
entry.host.mac	observer.mac	Fusionné à partir de entry.host.mac
clientApplication, hold.app_string	principal.application	Valeur de clientApplication si elle n'est pas vide, sinon hold.app_string
prin_host, DeviceAddress, principal_hostname	principal.asset.hostname	Valeur de prin_host si elle n'est pas vide, sinon DeviceAddress si sourceAddress est vide, sinon principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.asset.ip	Fusionné à partir de SrcIP (validé par grok), principal_ip, source_address_IPv4v6 (validé par grok)
file_sha_hash, sha_hash	principal.file.sha256	Valeur de file_sha_hash si elle n'est pas vide, sinon sha_hash
prin_host, DeviceAddress, principal_hostname	principal.hostname	Valeur de prin_host si elle n'est pas vide, sinon DeviceAddress si sourceAddress est vide, sinon principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.ip	Fusionné à partir de SrcIP (validé par grok), principal_ip, source_address_IPv4v6 (validé par grok)
flowStatistics.initiatorCountry.geolocation.countryName, src_ip_country	principal.location.country_or_region	Valeur de flowStatistics.initiatorCountry.geolocation.countryName si elle n'est pas vide, sinon src_ip_country
entry.macAddress	principal.mac	Fusionné à partir de entry.macAddress
host_os_platform	principal.platform	Définie sur LINUX si centos, sinon sur entry.host.os.platform en majuscules
entry.host.os.kernel	principal.platform_patch_level	Valeur copiée directement
identityData.fingerprintUUID.osName, osFingerprint.fingerprintUUID.osName	principal.platform_version	osName et osVersion concaténés à partir de identityData s'ils ne sont pas vides, sinon osFingerprint
SrcPort, entry.sourcePort, entry.sourcePortOrIcmpType, source_port, flowStatistics.initiatorPort, source_port_or_icmp_code	principal.port	Valeur de SrcPort si elle n'est pas vide, sinon entry.sourcePort, sinon entry.sourcePortOrIcmpType, sinon source_port, sinon flowStatistics.initiatorPort, sinon source_port_or_icmp_code, convertie en entier
isecurityZoneName	principal.resource.attribute.labels	Fusionné à partir de isecurityZoneName
DeviceType	principal.resource.name	Valeur copiée directement
	principal.resource.resource_type	Définissez la valeur sur "DEVICE".
entry.computed.user	principal.user.user_display_name	Converti en chaîne
entry.userId, user_id, flowStatistics.user.userId, entry.computed.user, userLoginInformation.userName	principal.user.userid	Valeur de entry.userId si elle n'est pas vide, sinon user_id, sinon flowStatistics.user.userId, sinon entry.computed.user, sinon userLoginInformation.userName
connectionID_label, FirstPacketSecond_label	sec_result.about.resource.attribute.labels	Fusionné à partir de connectionID_label et FirstPacketSecond_label s'il n'est pas vide
sec_result_action	sec_result.action	Merged from sec_result_action
flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.category	Définissez sur NETWORK_MALICIOUS si rule_name est Malware, NETWORK_SUSPICIOUS si Anomali_IP
classification.description, userLoginInformation.description, sec_desc	sec_result.description	Valeur issue de classification.description si elle n'est pas vide, sinon userLoginInformation.description, sinon sec_desc
entry.computed.priority	sec_result.priority	entry.computed.priority _PRIORITY en majuscules
entry.ruleId, rule_ruleId	sec_result.rule_id	Valeur de entry.ruleId si elle n'est pas vide, sinon rule_ruleId
AccessControlRuleName, rule_message, fw_rule, flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.rule_name	Valeur de AccessControlRuleName si elle n'est pas vide, sinon rule_message, sinon fw_rule, sinon flowStatistics.securityIntelligenceList1.securityIntelligenceListName
EventPriority, sec_severity, severity_code, priority_name	sec_result.severity	Définissez la valeur sur "LOW" si EventPriority est défini sur "Low", sur "HIGH" si la valeur est "High", sur "MEDIUM" si la valeur est "Medium", sinon à partir des mappages sec_severity, sinon à partir des mappages severity_code, sinon à partir de priority_name en majuscules.
Utilisateur	sec_result.summary	Valeur copiée directement
threat_name	sec_result.threat_name	Valeur copiée directement
security_result	security_result	Fusionné à partir de security_result
firewallRuleAction, hold.action, AccessControlRuleAction, sec_result_action, vendor_blocked	security_result.action	Valeur de firewallRuleAction en majuscules si elle n'est pas no_action, sinon hold.action, sinon d'AccessControlRuleAction avec des cas, sinon sec_result_action, sinon de vendor_blocked (0 ALLOW, sinon BLOCK)
disposition	security_result.action_details	Définissez la valeur sur "Infecté" si la disposition est 3, sinon sur "Inconnu".
eventDescription	security_result.description	Valeur copiée directement
firewallRule	security_result.rule_name	Valeur copiée directement
threat_name	security_result.threat_name	Valeur copiée directement
hostService.webApplication.webApplication0.applicationId.webApplicationName	target.application	Valeur copiée directement
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.asset.ip	Fusionné à partir de DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
InstanceID, flowStatistics.clientAppId	target.asset_id	Valeur de InstanceID si elle n'est pas vide, sinon " Client_app_id: " + flowStatistics.clientAppId
fichier	target.file	Renommé à partir du fichier
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.ip	Fusionné à partir de DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
flowStatistics.responderCountry.geolocation.countryName, dest_ip_country, entry.country.data	target.location.country_or_region	Valeur de flowStatistics.responderCountry.geolocation.countryName si elle n'est pas vide, sinon dest_ip_country, sinon entry.country.data
MACAddress	target.mac	Adresse MAC en minuscules si elle n'est pas 00:00:00:00:00:00
DstPort, entry.destinationPort, entry.destinationPortOrIcmpType, dest_port, flowStatistics.responderPort, destination_port_or_icmp_code	target.port	Valeur de DstPort si elle n'est pas vide, sinon entry.destinationPort, sinon entry.destinationPortOrIcmpType, sinon dest_port, sinon flowStatistics.responderPort, sinon destination_port_or_icmp_code, convertie en entier
securityZoneName, det_engine, file_num, file_pos, rec_length	target.resource.attribute.labels	Fusionné à partir de securityZoneName, det_engine, file_num, file_pos, rec_length s'ils ne sont pas vides
URL	target.url	Valeur copiée directement
entry.user.username.data	target.user.userid	Valeur copiée directement
descript	vulnerabilities.description	Valeur copiée directement
severity_detail	vulnerabilities.severity_details	Valeur copiée directement
produit	vulnerabilities.vendor	Valeur copiée directement
	metadata.product_name	Définissez cette option sur "CISCO_FIRESIGHT".
	metadata.vendor_name	Définissez cette option sur "CISCO MANAGEMENT CENTER".
syslog_priority	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
IngressZone	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
EgressZone	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
IngressVRF	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
EgressVRF	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
ClientAppDetector	event.idm.read_only_udm.additional.fields	Mappé à partir du journal des modifications
Prefilter Policy	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
Tunnel or Prefilter Rule	event.idm.read_only_udm.security_result.detection_fields	Mappé à partir du journal des modifications
inter	intermediary.hostname	Mappé à partir du journal des modifications
ConnectionID	security_result.about.resource.attribute.labels	Mappé à partir du journal des modifications
FirstPacketSecond	security_result.about.resource.attribute.labels	Mappé à partir du journal des modifications
EventPriority	security_result.severity	Mappé à partir du journal des modifications
WebApplication", "URLReputation", "EgressInterface", "IngressInterface", "ACPolicy", and "NAPPolicy	additional.fields	Mappé à partir du journal des modifications
service_type", "syslog_facility_code", "syslog_priority	additional.fields	Mappé à partir du journal des modifications
entry_msg	metadata.description	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.