איסוף יומנים מ-Cisco Secure Firewall Management Center

גרסת המנתח: 7.0

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומנים של Cisco Secure Firewall Management Center (לשעבר FireSIGHT/Firepower Management Center) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Cisco Secure Firewall Management Center ‏(FMC) הוא מסוף ניהול מרכזי שמספק ניהול מדיניות מקיף, ניתוח אירועים ודיווח למכשירי Cisco Secure Firewall Threat Defense. מערכת FMC יכולה לשלוח אירועי חיבור, התראות מודיעיניות, אירועי פריצה, אירועי קבצים ואירועי תוכנה זדונית דרך syslog למערכות SIEM חיצוניות.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • קישוריות רשת בין סוכן Bindplane לבין Cisco Secure Firewall Management Center
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות לממשק האינטרנט של Cisco Secure Firewall Management Center
  • תפקיד משתמש של אדמין או מנתח אבטחה ב-FMC

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

    השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

    השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

  • מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_fmc:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: chronicle.googleapis.com
        log_type: CISCO_FIRESIGHT
        raw_log_field: body
        ingestion_labels:
            env: production
            source: fmc

service:
    pipelines:
        logs/fmc_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_fmc

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת המקלט:

    • ‫listen_address: צריך להגדיר את הערך 0.0.0.0:514 כדי להאזין לכל הממשקים ביציאת UDP‏ 514. אם יציאה 514 דורשת הרשאות ברמה הבסיסית (root) ב-Linux, צריך להשתמש ביציאה 1514 ולהגדיר את FMC כך שישלח ליציאה הזו.

  • הגדרת הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫YOUR_CUSTOMER_ID: מחליפים את זה במספר הלקוח שהעתקתם בקטע הקודם
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
    • log_type: צריך להגדיר לערך CISCO_FIRESIGHT (נדרשת התאמה מדויקת)
    • ‫ingestion_labels: תוויות אופציונליות לסינון ולארגון

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
    chronicle/cisco_fmc:
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_FIRESIGHT
        raw_log_field: body
        ingestion_labels:
            env: production
            source: fmc

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
    • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

    1. מוודאים שהשירות פועל:

      sudo systemctl status observiq-otel-collector

    2. בודקים אם יש שגיאות ביומנים:

      sudo journalctl -u observiq-otel-collector -f

  • כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

    • שורת הפקודה או PowerShell כאדמין:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • מסוף השירותים:

      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מאתרים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

      4. מוודאים שהשירות פועל:

        sc query observiq-otel-collector

      5. בודקים אם יש שגיאות ביומנים:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Cisco Secure Firewall Management Center

בקטע הזה מוסבר איך להגדיר את FMC כדי לשלוח הודעות syslog של אירועי אבטחה (אירועי חיבור, מודיעין אבטחה, פריצה, קובץ ותוכנה זדונית) ממכשירי Secure Firewall Threat Defense לסוכן Bindplane.

יצירת תגובה להתראה ב-syslog

  1. נכנסים לממשק האינטרנט של Cisco Secure Firewall Management Center.
  2. עוברים אל System > Integration > Syslog (מערכת > שילוב > Syslog).
  3. לוחצים על יצירת התראה ב-Syslog.
  4. מזינים את פרטי ההגדרה הבאים:
    • שם: מזינים שם תיאורי (לדוגמה, Chronicle-Bindplane).
    • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514 (או 1514 אם הגדרתם את Bindplane להאזין ביציאה ללא הרשאות).
    • Facility: בוחרים אפשרות מהתפריט הנפתח (לדוגמה, SYSLOG).
    • חומרה: בוחרים רמת חומרה מהתפריט הנפתח (לדוגמה, INFO).

  5. לוחצים על Save.

קביעת הגדרות של syslog במכשירי Secure Firewall Threat Defense

  1. בממשק האינטרנט של Cisco Secure Firewall Management Center, עוברים אל Devices > Platform Settings.
  2. עורכים את מדיניות הגדרות הפלטפורמה שמשויכת למכשיר Secure Firewall Threat Defense, או יוצרים מדיניות חדשה.
  3. בחלונית הניווט שמימין, לוחצים על Syslog.
  4. לוחצים על Syslog Servers ואז על Add כדי להגדיר שרת syslog חדש.
  5. מזינים את פרטי ההגדרה הבאים:
    • IP Address: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • פרוטוקול: בוחרים באפשרות UDP.
    • יציאה: מזינים 514 (או 1514 אם הגדרתם את Bindplane להאזין ביציאה ללא הרשאות).
    • ממשק: בוחרים את ממשק הניהול או את הממשק שיכול להגיע לסוכן Bindplane.
  6. לוחצים על OK (אישור) כדי לשמור את ההגדרות של שרת ה-syslog.
  7. לוחצים על הגדרות Syslog וקובעים את ההגדרות הבאות:
    • מסמנים את התיבה הפעלת חותמת זמן בהודעות Syslog.
    • ‫Timestamp Format: בוחרים באפשרות ISO 8601 (מומלץ ל-Google SecOps).
    • מסמנים את האפשרות הפעלת מזהה מכשיר ב-Syslog ואם רוצים, מזינים מזהה מכשיר בהתאמה אישית.
  8. לוחצים על הגדרת רישום ביומן.
  9. בוחרים אם לשלוח יומני מערכת בפורמט EMBLEM. אפשר להשתמש בשני הפורמטים כדי להטמיע נתונים ב-Google SecOps.
  10. לוחצים על שמירה כדי לשמור את המדיניות של הגדרות הפלטפורמה.

הגדרת הגדרות הרישום ביומן של מדיניות בקרת הגישה

  1. בממשק האינטרנט של Cisco Secure Firewall Management Center, עוברים אל Policies > בקרת גישה.
  2. עורכים את מדיניות בקרת הגישה הרלוונטית.
  3. לוחצים על הכרטיסייה רישום ביומן.
  4. בוחרים באפשרות שימוש בהגדרות של syslog שנקבעו במדיניות של הגדרות פלטפורמת ההגנה מפני איומים שנפרסה במכשיר.
  5. אפשר לבחור רמת חומרה של Syslog (לדוגמה, מידע או התראה).
  6. אם אתם מתכוונים לשלוח אירועים של קבצים ותוכנות זדוניות, סמנו את האפשרות שליחת הודעות Syslog לאירועים של קבצים ותוכנות זדוניות.
  7. לוחצים על Save.

הפעלת רישום ביומן של התראות מודיעיניות של Security Intelligence

  1. באותה מדיניות של בקרת גישה, לוחצים על הכרטיסייה Security Intelligence.
  2. בכל אחד מהמיקומים הבאים, לוחצים על Logging ומפעילים את הרישום ביומן:
    • לצד DNS Policy: לוחצים על Logging, מפעילים את Log at Beginning of Connection ואת Log at End of Connection, ומפעילים את שרת Syslog.
    • בתיבה Block List של Networks: לוחצים על Logging, מפעילים את האפשרויות Log at Beginning of Connection ו-Log at End of Connection, ומפעילים את שרת Syslog.
    • בתיבה Block List (רשימת חסימה) של URLs (כתובות URL): לוחצים על Logging (רישום ביומן), מפעילים את Log at Beginning of Connection (רישום ביומן בתחילת החיבור) ואת Log at End of Connection (רישום ביומן בסוף החיבור), ומפעילים את Syslog Server (שרת Syslog).
  3. לוחצים על Save.

הפעלת רישום ביומן syslog לכללי בקרת גישה

  1. באותה מדיניות בקרת גישה, לוחצים על הכרטיסייה Rules.
  2. לוחצים על כלל כדי לערוך אותו.
  3. בכלל, לוחצים על הכרטיסייה רישום ביומן.
  4. בוחרים אם לתעד ביומן את ההתחלה או הסיום של החיבורים, או את שניהם:
    • מסמנים את האפשרות Log at Beginning of Connection (יוצרת נפח גבוה).
    • מסמנים את האפשרות Log at End of Connection (מומלץ ברוב תרחישי השימוש).
  5. אם רוצים לתעד אירועים בקובץ יומן, מסמנים את האפשרות Log Files.
  6. בודקים את שרת Syslog.
  7. מוודאים שהכלל הוא שימוש בהגדרת ברירת המחדל של syslog ביומן בקרת הגישה. אל תגדירו שינויים מברירת המחדל.
  8. לוחצים על הוספה כדי לשמור את הכלל.
  9. חוזרים על שלבים 2 עד 8 לכל כלל במדיניות שרוצים לתעד ביומן.

קביעת ההגדרות של יומן המערכת במדיניות למניעת פריצות

  1. עוברים אל Policies > Intrusion (מדיניות > פריצה).
  2. עורכים את מדיניות הפריצה שמשויכת למדיניות בקרת הגישה.
  3. לוחצים על הגדרות מתקדמות > התראות Syslog.
  4. מגדירים את Syslog Alerting (התראות Syslog) למצב Enabled (מופעל).
  5. לוחצים על עריכה לצד התראות Syslog.
  6. קובעים את ההגדרות הבאות:
    • מארח רישום ביומן: משאירים את השדה הזה ריק כדי להשתמש בהגדרות של syslog שנקבעו בהגדרות של פלטפורמת ההגנה מפני איומים. אם מציינים כאן מארח רישום ביומן, צריך להגדיר גם את Facility ו-Severity.
    • מתקן: רלוונטי רק אם מציינים מארח רישום ביומן. בוחרים מתקן (לדוגמה, AUTH או LOCAL0).
    • חומרה: רלוונטי רק אם מציינים מארח רישום ביומן. בוחרים רמת חומרה (לדוגמה, מידע או התראה).
  7. לוחצים על הקודם.
  8. בחלונית הניווט שמימין, לוחצים על פרטי הפוליסה.
  9. לוחצים על Commit Changes.

פריסת שינויים בהגדרות

  1. אחרי שמגדירים את כל הגדרות ה-syslog, פורסים את השינויים במכשירים המנוהלים.
  2. בממשק האינטרנט של Cisco Secure Firewall Management Center, לוחצים על Deploy בפינה הימנית העליונה.
  3. בוחרים את המכשירים שרוצים לפרוס בהם את ההגדרות האישיות.

  4. לוחצים על פריסה כדי להחיל את השינויים.

אימות של העברת syslog

  1. יוצרים תנועה לבדיקה או אירועי אבטחה במכשירי Secure Firewall Threat Defense.

  2. בודקים את יומני הסוכן של Bindplane כדי לוודא שהודעות syslog מתקבלות:

    • Linux:

      sudo journalctl -u observiq-otel-collector -f

    • Windows:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. נכנסים למסוף Google SecOps ומוודאים שהאירועים מופיעים בסטטיסטיקת האירועים.

סוגי האירועים הנתמכים

‫Cisco Secure Firewall Management Center יכול לשלוח את סוגי האירועים הבאים דרך syslog אל Google SecOps:

סוג האירוע תיאור
אירועי חיבור נתוני חיבור לרשת בין מארחים במעקב לבין כל המארחים האחרים
התראות מודיעיניות של אבטחה אירועים שקשורים לרשימות חסימה של Security Intelligence (כתובת IP, כתובת URL, ‏DNS)
אירועי פריצה אירועים של גילוי חדירות ומניעה שנוצרו על ידי מכשירים מנוהלים
אירועי קבצים אירועים של ניתוח קבצים
אירועי תוכנות זדוניות אירועים של זיהוי תוכנות זדוניות

פורמט ההודעה של Syslog

‫Cisco Secure Firewall Management Center שולח הודעות syslog בפורמט הבא:

  • אירוע חיבור לדוגמה:

    <134>1 2024-01-15T10:15:45.123Z fmc-hostname %FTD-6-430003: EventPriority: Low, DeviceUUID: abc123, InstanceID: 1, FirstPacketSecond: 1705318545, ConnectionID: 12345, AccessControlRuleAction: Allow, SrcIP: 10.0.0.5, DstIP: 8.8.8.8, SrcPort: 54321, DstPort: 53, Protocol: udp, IngressInterface: inside, EgressInterface: outside, IngressZone: inside-zone, EgressZone: outside-zone, ACPolicy: Default-Policy, AccessControlRuleName: Allow-DNS, User: user@example.com, ApplicationProtocol: DNS, InitiatorBytes: 64, ResponderBytes: 128

  • דוגמה לאירוע פריצה:

    <134>1 2024-01-15T10:16:30.456Z fmc-hostname %FTD-4-430001: EventPriority: High, DeviceUUID: abc123, InstanceID: 1, SrcIP: 192.168.1.100, DstIP: 10.0.0.50, SrcPort: 12345, DstPort: 80, Protocol: tcp, IngressInterface: outside, EgressInterface: inside, IngressZone: outside-zone, EgressZone: inside-zone, IntrusionPolicy: Security-Over-Connectivity, SignatureID: 1:2024123:1, SignatureGeneratorID: 1, Classification: web-application-attack, Priority: 1, Message: SQL injection attempt detected

ההודעות ב-syslog כוללות צמדי מפתח/ערך שמופרדים בפסיקים, כך ש-Google SecOps יכול לנתח אותן.

מגבלות

  • יכול להיות שיעברו עד 15 דקות עד שהאירועים יופיעו ב-Google SecOps אחרי שהם נשלחו מ-FMC.
  • אירועים רטרוספקטיביים של תוכנות זדוניות לא זמינים דרך syslog.
  • אירועים שנוצרו על ידי Cisco Secure Endpoint לא זמינים דרך syslog.
  • חלק מהמטא-נתונים שזמינים דרך eStreamer API לא נכללים בהודעות syslog (לדוגמה, פרטי משתמש מפורטים מ-LDAP, מטא-נתונים מורחבים של אפליקציות, נתוני מיקום גיאוגרפי).
  • אם אתם מגדירים שמות של אובייקטים (שמות של כללי מדיניות, שמות של כללים) עם תווים מיוחדים כמו פסיקים, הם עלולים להפריע לניתוח של syslog. אל תשתמשו בתווים מיוחדים בשמות של אובייקטים.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
WebApplication, URLReputation, EgressInterface, IngressInterface, ACPolicy, NAPPolicy, ConnectionID, ssl_ticket_id, qoa_applied_interface, sinkhole_uuid, security_context, sec_zone_egress, sec_zone_ingress additional.fields מוזג משדות שונים של תוויות אם הם לא ריקים
eventType extensions.auth.type צריך להגדיר את הערך "VPN" אם הערך של eventType הוא "USER_LOGIN_INFORMATION"
נקודות חולשה extensions.vulns.vulnerabilities מוזג מנקודות חולשה אם לא ריק
flowStatistics.httpReferrer http.referral_url הערך הועתק ישירות
flowStatistics.httpResponse http.response_code ההמרה למספר שלם
flowStatistics.userAgent http.user_agent הערך הועתק ישירות
_intermediary מתווך מוזג מ-_intermediary אם לא ריק
‫recordTypeDescription, entry.message metadata.description הערך מ-recordTypeDescription אם הוא לא ריק, אחרת מ-entry.message
event_second, connection_timestamp, _serverTimestamp metadata.event_timestamp תאריך שנותח מ-event_second אם הוא לא ריק, אחרת connection_timestamp, אחרת ‎_serverTimestamp
event_type metadata.event_type הערך הועתק ישירות
prod_event_type, eventId, recordTypeCategory, app, _recordTypeName, eventType metadata.product_event_type הערך מ-prod_event_type אם הוא לא ריק, אחרת eventId, אחרת recordTypeCategory, אחרת app, אחרת _recordTypeName, אחרת eventType
DeviceUUID metadata.product_log_id הערך הועתק ישירות
flowStatistics.clientAppVersion, client_version metadata.product_version הערך מ-flowStatistics.clientAppVersion אם הוא לא ריק, אחרת client_version
flowStatistics.clientAppURL metadata.url_back_to_product הערך הועתק ישירות
ApplicationProtocol network.application_protocol צריך להגדיר "LDAP" אם יש התאמה ל-(?i)ldap,‏ "HTTPS" אם יש התאמה ל-(?i)https,‏ "HTTP" אם יש התאמה ל-(?i)http
תשובה network.dns.answers מוזג מהתשובה
flowStatistics.dnsQuery network.dns.answers.name הערך הועתק ישירות
flowStatistics.dnsTTL network.dns.answers.ttl הומר למספר שלם חיובי
flowStatistics.dnsRecordType network.dns.answers.type הומר למספר שלם חיובי
flowStatistics.dnsResponseType network.dns.response_code הומר למספר שלם חיובי
user_agent network.http.parsed_user_agent הומרה ל-parseduseragent
user_agent network.http.user_agent הערך הועתק ישירות
‫proto, ‏ Protocol, ‏ inputType, ‏ proto_type, ‏ protocol, ‏ ip_v4_protocol, ‏ protocol_number_src network.ip_protocol הגדרה על סמך שדות שונים עם מיפויים ומקרים של פרוטוקולים
‫ResponderBytes, ‏ flowStatistics.bytesReceived network.received_bytes הערך מ-ResponderBytes אם הוא לא ריק, אחרת flowStatistics.bytesReceived, שהומר ל-uinteger
ResponderPackets network.received_packets ההמרה למספר שלם
InitiatorBytes, flowStatistics.bytesSent network.sent_bytes הערך מ-InitiatorBytes אם הוא לא ריק, אחרת flowStatistics.bytesSent, שהומר ל-uinteger
‫InitiatorPackets, ‏ packet_data network.sent_packets הערך מ-InitiatorPackets אם הוא לא ריק, אחרת packet_data, מומר למספר שלם
ssl_session_id network.session_id הערך הועתק ישירות
ssl_cipher_suite network.tls.cipher הערך הועתק ישירות
agent_type, agent_version observer.application משורשר כ-agent_type agent_version אם שניהם לא ריקים
entry.host.hostname observer.hostname הערך הועתק ישירות
entry.host.ip observer.ip מוזג מ-entry.host.ip
entry.host.mac observer.mac Merged from entry.host.mac
clientApplication, hold.app_string principal.application הערך מ-clientApplication אם הוא לא ריק, אחרת hold.app_string
prin_host, DeviceAddress, principal_hostname principal.asset.hostname הערך מ-prin_host אם הוא לא ריק, אחרת DeviceAddress אם sourceAddress ריק, אחרת principal_hostname
SrcIP, principal_ip, source_address_IPv4v6 principal.asset.ip מוזג מ-SrcIP (אומת באמצעות grok), ‏ principal_ip, ‏ source_address_IPv4v6 (אומת באמצעות grok)
file_sha_hash, sha_hash principal.file.sha256 הערך מ-file_sha_hash אם הוא לא ריק, אחרת sha_hash
prin_host, DeviceAddress, principal_hostname principal.hostname הערך מ-prin_host אם הוא לא ריק, אחרת DeviceAddress אם sourceAddress ריק, אחרת principal_hostname
SrcIP, principal_ip, source_address_IPv4v6 principal.ip מוזג מ-SrcIP (אומת באמצעות grok), ‏ principal_ip, ‏ source_address_IPv4v6 (אומת באמצעות grok)
flowStatistics.initiatorCountry.geolocation.countryName, src_ip_country principal.location.country_or_region הערך של flowStatistics.initiatorCountry.geolocation.countryName אם הוא לא ריק, אחרת src_ip_country
entry.macAddress principal.mac מוזג מ-entry.macAddress
host_os_platform principal.platform אם מדובר ב-centos, צריך להגדיר את הערך LINUX, אחרת צריך להגדיר את הערך entry.host.os.platform באותיות רישיות
entry.host.os.kernel principal.platform_patch_level הערך הועתק ישירות
identityData.fingerprintUUID.osName, osFingerprint.fingerprintUUID.osName principal.platform_version ‫osName osVersion משורשר מ-identityData אם הוא לא ריק, אחרת osFingerprint
SrcPort, entry.sourcePort, entry.sourcePortOrIcmpType, source_port, flowStatistics.initiatorPort, source_port_or_icmp_code principal.port הערך מ-SrcPort אם הוא לא ריק, אחרת entry.sourcePort, אחרת entry.sourcePortOrIcmpType, אחרת source_port, אחרת flowStatistics.initiatorPort, אחרת source_port_or_icmp_code, מומר למספר שלם
isecurityZoneName principal.resource.attribute.labels מוזג מ-isecurityZoneName
DeviceType principal.resource.name הערך הועתק ישירות
principal.resource.resource_type הגדרה כ-"DEVICE"
entry.computed.user principal.user.user_display_name הומרה למחרוזת
entry.userId, user_id, flowStatistics.user.userId, entry.computed.user, userLoginInformation.userName principal.user.userid הערך מ-entry.userId אם הוא לא ריק, אחרת user_id, אחרת flowStatistics.user.userId, אחרת entry.computed.user, אחרת userLoginInformation.userName
connectionID_label, FirstPacketSecond_label sec_result.about.resource.attribute.labels מוזג מ-connectionID_label ומ-FirstPacketSecond_label אם הוא לא ריק
sec_result_action sec_result.action Merged from sec_result_action
flowStatistics.securityIntelligenceList1.securityIntelligenceListName sec_result.category צריך להגדיר את הערך NETWORK_MALICIOUS אם rule_name הוא Malware, ואת הערך NETWORK_SUSPICIOUS אם rule_name הוא Anomali_IP
classification.description, userLoginInformation.description, sec_desc sec_result.description הערך מ-classification.description אם הוא לא ריק, אחרת userLoginInformation.description, אחרת sec_desc
entry.computed.priority sec_result.priority Uppercased entry.computed.priority _PRIORITY
entry.ruleId, rule_ruleId sec_result.rule_id הערך מ-entry.ruleId אם הוא לא ריק, אחרת rule_ruleId
AccessControlRuleName, rule_message, fw_rule, flowStatistics.securityIntelligenceList1.securityIntelligenceListName sec_result.rule_name הערך מ-AccessControlRuleName אם הוא לא ריק, אחרת rule_message, אחרת fw_rule, אחרת flowStatistics.securityIntelligenceList1.securityIntelligenceListName
‫EventPriority, ‏ sec_severity, ‏ severity_code, ‏ priority_name sec_result.severity מוגדר כ-LOW אם EventPriority הוא Low, כ-HIGH אם הוא High, כ-MEDIUM אם הוא Medium; אחרת, ממיפויים של sec_severity; אחרת, ממיפויים של severity_code; אחרת, priority_name באותיות רישיות
משתמש sec_result.summary הערך הועתק ישירות
threat_name sec_result.threat_name הערך הועתק ישירות
security_result security_result מוזג מ-security_result
firewallRuleAction, hold.action, AccessControlRuleAction, sec_result_action, vendor_blocked security_result.action ערך מ-firewallRuleAction באותיות רישיות אם לא no_action, אחרת hold.action, אחרת מ-AccessControlRuleAction עם רישיות, אחרת sec_result_action, אחרת מ-vendor_blocked (0 ALLOW, אחרת BLOCK)
מחיקה security_result.action_details אם הסטטוס הוא 3, צריך להגדיר אותו כ "נגוע", אחרת צריך להגדיר אותו כ "לא ידוע"
eventDescription security_result.description הערך הועתק ישירות
firewallRule security_result.rule_name הערך הועתק ישירות
threat_name security_result.threat_name הערך הועתק ישירות
hostService.webApplication.webApplication0.applicationId.webApplicationName target.application הערך הועתק ישירות
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 target.asset.ip מוזג מ-DstIP (grok), ‏ entry.destinationIpAddress, ‏ dest_ip, ‏ flowStatistics.responderIPAddress, ‏ destination_address_IPv4v6 (grok)
InstanceID, flowStatistics.clientAppId target.asset_id ערך מ-InstanceID אם הוא לא ריק, אחרת " Client_app_id: " + flowStatistics.clientAppId
קובץ target.file השם שונה מקובץ
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 target.ip מוזג מ-DstIP (grok), ‏ entry.destinationIpAddress, ‏ dest_ip, ‏ flowStatistics.responderIPAddress, ‏ destination_address_IPv4v6 (grok)
flowStatistics.responderCountry.geolocation.countryName, dest_ip_country, entry.country.data target.location.country_or_region הערך מ-flowStatistics.responderCountry.geolocation.countryName אם הוא לא ריק, אחרת dest_ip_country, אחרת entry.country.data
MACAddress target.mac כתובת MAC באותיות קטנות, אם היא לא 00:00:00:00:00:00
DstPort, entry.destinationPort, entry.destinationPortOrIcmpType, dest_port, flowStatistics.responderPort, destination_port_or_icmp_code target.port הערך מ-DstPort אם הוא לא ריק, אחרת entry.destinationPort, אחרת entry.destinationPortOrIcmpType, אחרת dest_port, אחרת flowStatistics.responderPort, אחרת destination_port_or_icmp_code, מומר למספר שלם
securityZoneName, det_engine, file_num, file_pos, rec_length target.resource.attribute.labels מוזג מ-securityZoneName, ‏ det_engine, ‏ file_num, ‏ file_pos, ‏ rec_length אם לא ריק
כתובת URL target.url הערך הועתק ישירות
entry.user.username.data target.user.userid הערך הועתק ישירות
descript vulnerabilities.description הערך הועתק ישירות
severity_detail vulnerabilities.severity_details הערך הועתק ישירות
מוצר vulnerabilities.vendor הערך הועתק ישירות
metadata.product_name צריך להגדיר את הערך "CISCO_FIRESIGHT"
metadata.vendor_name מגדירים את האפשרות "CISCO MANAGEMENT CENTER"
syslog_priority event.idm.read_only_udm.additional.fields מופה מיומן השינויים
IngressZone event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EgressZone event.idm.read_only_udm.additional.fields מופה מיומן השינויים
IngressVRF event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EgressVRF event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ClientAppDetector event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Prefilter Policy event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
Tunnel or Prefilter Rule event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
inter intermediary.hostname מופה מיומן השינויים
ConnectionID security_result.about.resource.attribute.labels מופה מיומן השינויים
FirstPacketSecond security_result.about.resource.attribute.labels מופה מיומן השינויים
EventPriority security_result.severity מופה מיומן השינויים
WebApplication", "URLReputation", "EgressInterface", "IngressInterface", "ACPolicy", and "NAPPolicy additional.fields מופה מיומן השינויים
service_type", "syslog_facility_code", "syslog_priority additional.fields מופה מיומן השינויים
entry_msg metadata.description מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.