Mengumpulkan log Cisco Secure Firewall Management Center

Versi Parser: 7.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Cisco Secure Firewall Management Center (sebelumnya FireSIGHT/Firepower Management Center) ke Google Security Operations menggunakan agen Bindplane.

Cisco Secure Firewall Management Center (FMC) adalah konsol pengelolaan terpusat yang menyediakan pengelolaan kebijakan, analisis peristiwa, dan pelaporan yang komprehensif untuk perangkat Cisco Secure Firewall Threat Defense. FMC dapat mengirim peristiwa koneksi, peristiwa intelijen keamanan, peristiwa intrusi, peristiwa file, dan peristiwa malware melalui syslog ke sistem SIEM eksternal.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Cisco Secure Firewall Management Center
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke antarmuka web Cisco Secure Firewall Management Center
• Peran pengguna Admin atau Security Analyst di FMC

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cisco_fmc:
          protocol: https
          # Region of your instance, for example us, europe, asia-southeast1
          location: <LOCATION>
          # Project number of the Google Cloud project linked to the instance
          project: '<PROJECT_NUMBER>'
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: chronicle.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  
  service:
      pipelines:
          logs/fmc_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/cisco_fmc
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Tetapkan ke 0.0.0.0:514 untuk memproses semua antarmuka di port UDP 514. Jika port 514 memerlukan hak istimewa root di Linux, gunakan port 1514 dan konfigurasikan FMC untuk mengirim ke port tersebut.

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: Ganti dengan ID pelanggan yang disalin di bagian sebelumnya
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.
  • log_type: Tetapkan ke CISCO_FIRESIGHT (pencocokan persis diperlukan)
  • ingestion_labels: Label opsional untuk pemfilteran dan pengorganisasian

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/cisco_fmc:
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol Services:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi penerusan syslog Cisco Secure Firewall Management Center

Bagian ini menjelaskan cara mengonfigurasi FMC untuk mengirim pesan syslog peristiwa keamanan (peristiwa koneksi, intelijen keamanan, penyusupan, file, dan malware) dari perangkat Secure Firewall Threat Defense ke agen Bindplane.

Membuat respons pemberitahuan syslog

1. Login ke antarmuka web Cisco Secure Firewall Management Center.
2. Buka System > Integration > Syslog.
3. Klik Create Syslog Alert.
4. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama deskriptif (misalnya, Chronicle-Bindplane).
   • Host: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
   • Port: Masukkan 514 (atau 1514 jika Anda mengonfigurasi Bindplane untuk memproses port non-privileged).
   • Facility: Pilih fasilitas dari menu drop-down (misalnya, SYSLOG).
   • Tingkat keparahan: Pilih tingkat keparahan dari drop-down (misalnya, INFO).

5. Klik Simpan.

   Catatan: Nilai fasilitas dan tingkat keparahan tidak muncul dalam pesan syslog. Header memberi tahu sistem penerima cara mengategorikan pesan.

Mengonfigurasi setelan syslog untuk perangkat Secure Firewall Threat Defense

1. Di antarmuka web Cisco Secure Firewall Management Center, buka Devices > Platform Settings.
2. Edit kebijakan setelan platform yang terkait dengan perangkat Secure Firewall Threat Defense Anda, atau buat kebijakan baru.
3. Di panel navigasi kiri, klik Syslog.
4. Klik Syslog Servers, lalu klik Add untuk mengonfigurasi server syslog baru.
5. Berikan detail konfigurasi berikut:
   • IP Address: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
   • Protocol: Pilih UDP.
   • Port: Masukkan 514 (atau 1514 jika Anda mengonfigurasi Bindplane untuk memproses port non-privileged).
   • Interface: Pilih antarmuka pengelolaan atau antarmuka yang dapat menjangkau agen Bindplane.
6. Klik OK untuk menyimpan konfigurasi server syslog.
7. Klik Syslog Settings dan konfigurasikan setelan berikut:
   • Centang Enable Timestamp on Syslog Messages.
   • Timestamp Format: Pilih ISO 8601 (direkomendasikan untuk Google SecOps).
   • Centang Enable Syslog Device ID dan masukkan ID perangkat kustom (opsional).
8. Klik Logging Setup.
9. Pilih apakah akan Mengirim syslog dalam format EMBLEM atau tidak. Untuk penyerapan Google SecOps, kedua format tersebut didukung.
10. Klik Simpan untuk menyimpan kebijakan setelan platform.

Mengonfigurasi setelan logging kebijakan kontrol akses

1. Di antarmuka web Cisco Secure Firewall Management Center, buka Policies > Kontrol Akses.
2. Edit kebijakan kontrol akses yang berlaku.
3. Klik tab Logging.
4. Pilih Use the syslog settings configured in the Threat Defense Platform Settings policy deployed on the device.
5. Jika perlu, pilih tingkat Syslog Severity (misalnya, Info atau Alert).
6. Jika Anda akan mengirim peristiwa file dan malware, centang Send Syslog messages for File and Malware events.
7. Klik Simpan.

Mengaktifkan logging untuk peristiwa Security Intelligence

1. Dalam kebijakan kontrol akses yang sama, klik tab Security Intelligence.
2. Di setiap lokasi berikut, klik Logging dan aktifkan logging:
   • Di samping DNS Policy: Klik Logging, aktifkan Log at Beginning of Connection dan Log at End of Connection, lalu aktifkan Syslog Server.
   • Di kotak Block List untuk Networks: Klik Logging, aktifkan Log at Beginning of Connection dan Log at End of Connection, lalu aktifkan Syslog Server.
   • Di kotak Daftar Pemblokiran untuk URL: Klik Pencatatan Aktivitas, aktifkan Catat Aktivitas di Awal Koneksi dan Catat Aktivitas di Akhir Koneksi, lalu aktifkan Server Syslog.
3. Klik Simpan.

Mengaktifkan logging syslog untuk aturan kontrol akses

1. Dalam kebijakan kontrol akses yang sama, klik tab Rules.
2. Klik aturan untuk mengedit.
3. Klik tab Logging di aturan.
4. Pilih apakah akan mencatat awal atau akhir koneksi, atau keduanya:
   • Centang Log at Beginning of Connection (menghasilkan volume tinggi).
   • Centang Log at End of Connection (direkomendasikan untuk sebagian besar kasus penggunaan).
5. Jika Anda akan mencatat peristiwa file ke dalam file log, centang Log Files.
6. Periksa Syslog Server.
7. Pastikan aturan Menggunakan konfigurasi syslog default di Logging Kontrol Akses. Jangan mengonfigurasi penggantian.
8. Klik Tambahkan untuk menyimpan aturan.
9. Ulangi langkah 2-8 untuk setiap aturan dalam kebijakan yang ingin Anda catat dalam log.

Mengonfigurasi setelan syslog kebijakan deteksi penyusupan

1. Buka Policies > Intrusion.
2. Edit kebijakan intrusi yang terkait dengan kebijakan kontrol akses Anda.
3. Klik Setelan Lanjutan > Pemberitahuan Syslog.
4. Setel Syslog Alerting ke Enabled.
5. Klik Edit di samping Syslog Alerting.
6. Konfigurasikan setelan berikut:
   • Logging Host: Biarkan kosong untuk menggunakan setelan syslog yang dikonfigurasi di Threat Defense Platform Settings. Jika Anda menentukan host logging di sini, Anda juga harus mengonfigurasi Fasilitas dan Tingkat Keparahan.
   • Fasilitas: Hanya berlaku jika Anda menentukan Host Logging. Pilih fasilitas (misalnya, AUTH atau LOCAL0).
   • Tingkat Keparahan: Hanya berlaku jika Anda menentukan Host Logging. Pilih tingkat keparahan (misalnya, Info atau Pemberitahuan).
7. Klik Back.
8. Klik Policy Information di panel navigasi sebelah kiri.
9. Klik Commit Changes.

Men-deploy perubahan konfigurasi

1. Setelah mengonfigurasi semua setelan syslog, deploy perubahan ke perangkat terkelola Anda.
2. Di antarmuka web Cisco Secure Firewall Management Center, klik Deploy di sudut kanan atas.
3. Pilih perangkat tempat Anda ingin men-deploy konfigurasi.

4. Klik Deploy untuk menerapkan perubahan.

   Catatan: Perubahan pada respons pemberitahuan akan langsung diterapkan, kecuali saat mengirim log koneksi ke server syslog. Jika Anda menggunakan respons pemberitahuan untuk mengirim log koneksi, Anda harus men-deploy perubahan konfigurasi setelah mengedit respons pemberitahuan tersebut.

Memverifikasi penerusan syslog

1. Buat traffic pengujian atau peristiwa keamanan di perangkat Secure Firewall Threat Defense Anda.

2. Periksa log agen Bindplane untuk memastikan bahwa pesan syslog diterima:

   • Linux:

     sudo journalctl -u observiq-otel-collector -f
     

   • Windows:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

3. Login ke konsol Google SecOps dan pastikan peristiwa muncul di penampil Events.

   Catatan: Mungkin perlu waktu hingga 15 menit agar peristiwa muncul di Google SecOps setelah konfigurasi awal.

Jenis acara yang didukung

Cisco Secure Firewall Management Center dapat mengirimkan jenis peristiwa berikut melalui syslog ke Google SecOps:

Jenis Peristiwa	Deskripsi
Peristiwa Koneksi	Data koneksi jaringan antara host yang dipantau dan semua host lainnya
Peristiwa Security Intelligence	Peristiwa yang terkait dengan daftar blokir Security Intelligence (IP, URL, DNS)
Peristiwa Penyusupan	Peristiwa deteksi dan pencegahan penyusupan yang dihasilkan oleh perangkat terkelola
Peristiwa File	Peristiwa analisis file
Peristiwa Malware	Peristiwa deteksi malware

Catatan: Peristiwa malware retrospektif dan peristiwa yang dihasilkan oleh Cisco Secure Endpoint tidak tersedia melalui syslog.

Format pesan Syslog

Cisco Secure Firewall Management Center mengirimkan pesan syslog dalam format berikut:

• Contoh peristiwa koneksi:

  <134>1 2024-01-15T10:15:45.123Z fmc-hostname %FTD-6-430003: EventPriority: Low, DeviceUUID: abc123, InstanceID: 1, FirstPacketSecond: 1705318545, ConnectionID: 12345, AccessControlRuleAction: Allow, SrcIP: 10.0.0.5, DstIP: 8.8.8.8, SrcPort: 54321, DstPort: 53, Protocol: udp, IngressInterface: inside, EgressInterface: outside, IngressZone: inside-zone, EgressZone: outside-zone, ACPolicy: Default-Policy, AccessControlRuleName: Allow-DNS, User: [e-mail], ApplicationProtocol: DNS, InitiatorBytes: 64, ResponderBytes: 128
  
  

• Contoh peristiwa penyusupan:

  <134>1 2024-01-15T10:16:30.456Z fmc-hostname %FTD-4-430001: EventPriority: High, DeviceUUID: abc123, InstanceID: 1, SrcIP: 192.168.1.100, DstIP: 10.0.0.50, SrcPort: 12345, DstPort: 80, Protocol: tcp, IngressInterface: outside, EgressInterface: inside, IngressZone: outside-zone, EgressZone: inside-zone, IntrusionPolicy: Security-Over-Connectivity, SignatureID: 1:2024123:1, SignatureGeneratorID: 1, Classification: web-application-attack, Priority: 1, Message: SQL injection attempt detected
  

Pesan syslog menyertakan key-value pair yang dipisahkan dengan koma, sehingga cocok untuk diuraikan oleh Google SecOps.

Batasan

• Mungkin perlu waktu hingga 15 menit agar peristiwa muncul di Google SecOps setelah dikirim dari FMC.
• Peristiwa malware retrospektif tidak tersedia melalui syslog.
• Peristiwa yang dihasilkan oleh Cisco Secure Endpoint tidak tersedia melalui syslog.
• Beberapa metadata yang tersedia melalui eStreamer API tidak disertakan dalam pesan syslog (misalnya, informasi pengguna mendetail dari LDAP, metadata aplikasi yang diperluas, data geolokasi).
• Jika Anda mengonfigurasi nama objek (nama kebijakan, nama aturan) dengan karakter khusus seperti koma, karakter tersebut dapat mengganggu penguraian syslog. Hindari penggunaan karakter khusus dalam nama objek.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
WebApplication, URLReputation, EgressInterface, IngressInterface, ACPolicy, NAPPolicy, ConnectionID, ssl_ticket_id, qoa_applied_interface, sinkhole_uuid, security_context, sec_zone_egress, sec_zone_ingress	additional.fields	Digabungkan dari berbagai kolom label jika tidak kosong
eventType	extensions.auth.type	Disetel ke "VPN" jika eventType adalah "USER_LOGIN_INFORMATION"
kerentanan	extensions.vulns.vulnerabilities	Digabungkan dari kerentanan jika tidak kosong
flowStatistics.httpReferrer	http.referral_url	Nilai disalin secara langsung
flowStatistics.httpResponse	http.response_code	Dikonversi ke bilangan bulat
flowStatistics.userAgent	http.user_agent	Nilai disalin secara langsung
_intermediary	intermediary	Digabungkan dari _intermediary jika tidak kosong
recordTypeDescription, entry.message	metadata.description	Nilai dari recordTypeDescription jika tidak kosong, atau dari entry.message
event_second, connection_timestamp, _serverTimestamp	metadata.event_timestamp	Tanggal yang diuraikan dari event_second jika tidak kosong, atau connection_timestamp, atau _serverTimestamp
event_type	metadata.event_type	Nilai disalin langsung
prod_event_type, eventId, recordTypeCategory, app, _recordTypeName, eventType	metadata.product_event_type	Nilai dari prod_event_type jika tidak kosong, atau eventId, atau recordTypeCategory, atau app, atau _recordTypeName, atau eventType
DeviceUUID	metadata.product_log_id	Nilai disalin langsung
flowStatistics.clientAppVersion, client_version	metadata.product_version	Nilai dari flowStatistics.clientAppVersion jika tidak kosong, jika tidak, client_version
flowStatistics.clientAppURL	metadata.url_back_to_product	Nilai disalin langsung
ApplicationProtocol	network.application_protocol	Setel ke "LDAP" jika cocok dengan (?i)ldap, "HTTPS" jika (?i)https, "HTTP" jika (?i)http
jawab	network.dns.answers	Digabungkan dari jawaban
flowStatistics.dnsQuery	network.dns.answers.name	Nilai disalin langsung
flowStatistics.dnsTTL	network.dns.answers.ttl	Dikonversi ke uinteger
flowStatistics.dnsRecordType	network.dns.answers.type	Dikonversi ke uinteger
flowStatistics.dnsResponseType	network.dns.response_code	Dikonversi ke uinteger
user_agent	network.http.parsed_user_agent	Dikonversi ke parseduseragent
user_agent	network.http.user_agent	Nilai disalin langsung
proto, Protocol, inputType, proto_type, protocol, ip_v4_protocol, protocol_number_src	network.ip_protocol	Ditetapkan berdasarkan berbagai kolom dengan pemetaan dan kasus protokol
ResponderBytes, flowStatistics.bytesReceived	network.received_bytes	Nilai dari ResponderBytes jika tidak kosong, jika tidak, flowStatistics.bytesReceived, dikonversi menjadi uinteger
ResponderPackets	network.received_packets	Dikonversi ke bilangan bulat
InitiatorBytes, flowStatistics.bytesSent	network.sent_bytes	Nilai dari InitiatorBytes jika tidak kosong, jika tidak, flowStatistics.bytesSent, dikonversi menjadi uinteger
InitiatorPackets, packet_data	network.sent_packets	Nilai dari InitiatorPackets jika tidak kosong, atau packet_data, dikonversi menjadi bilangan bulat
ssl_session_id	network.session_id	Nilai disalin langsung
ssl_cipher_suite	network.tls.cipher	Nilai disalin secara langsung
agent_type, agent_version	observer.application	Digabungkan sebagai agent_type agent_version jika keduanya tidak kosong
entry.host.hostname	observer.hostname	Nilai disalin langsung
entry.host.ip	observer.ip	Digabungkan dari entry.host.ip
entry.host.mac	observer.mac	Digabungkan dari entry.host.mac
clientApplication, hold.app_string	principal.application	Nilai dari clientApplication jika tidak kosong, jika tidak, hold.app_string
prin_host, DeviceAddress, principal_hostname	principal.asset.hostname	Nilai dari prin_host jika tidak kosong, atau DeviceAddress jika sourceAddress kosong, atau principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.asset.ip	Digabungkan dari SrcIP (grok divalidasi), principal_ip, source_address_IPv4v6 (grok divalidasi)
file_sha_hash, sha_hash	principal.file.sha256	Nilai dari file_sha_hash jika tidak kosong, atau sha_hash
prin_host, DeviceAddress, principal_hostname	principal.hostname	Nilai dari prin_host jika tidak kosong, atau DeviceAddress jika sourceAddress kosong, atau principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.ip	Digabungkan dari SrcIP (divalidasi grok), principal_ip, source_address_IPv4v6 (divalidasi grok)
flowStatistics.initiatorCountry.geolocation.countryName, src_ip_country	principal.location.country_or_region	Nilai dari flowStatistics.initiatorCountry.geolocation.countryName jika tidak kosong, jika tidak, src_ip_country
entry.macAddress	principal.mac	Digabungkan dari entry.macAddress
host_os_platform	principal.platform	Disetel ke LINUX jika centos, atau entry.host.os.platform huruf besar.
entry.host.os.kernel	principal.platform_patch_level	Nilai disalin langsung
identityData.fingerprintUUID.osName, osFingerprint.fingerprintUUID.osName	principal.platform_version	osName osVersion yang digabungkan dari identityData jika tidak kosong, jika tidak, osFingerprint
SrcPort, entry.sourcePort, entry.sourcePortOrIcmpType, source_port, flowStatistics.initiatorPort, source_port_or_icmp_code	principal.port	Nilai dari SrcPort jika tidak kosong, jika tidak entry.sourcePort, jika tidak entry.sourcePortOrIcmpType, jika tidak source_port, jika tidak flowStatistics.initiatorPort, jika tidak source_port_or_icmp_code, dikonversi menjadi bilangan bulat
isecurityZoneName	principal.resource.attribute.labels	Digabungkan dari isecurityZoneName
DeviceType	principal.resource.name	Nilai disalin secara langsung
	principal.resource.resource_type	Ditetapkan ke "DEVICE"
entry.computed.user	principal.user.user_display_name	Dikonversi ke string
entry.userId, user_id, flowStatistics.user.userId, entry.computed.user, userLoginInformation.userName	principal.user.userid	Nilai dari entry.userId jika tidak kosong, jika tidak, user_id, jika tidak, flowStatistics.user.userId, jika tidak, entry.computed.user, jika tidak, userLoginInformation.userName
connectionID_label, FirstPacketSecond_label	sec_result.about.resource.attribute.labels	Digabungkan dari connectionID_label dan FirstPacketSecond_label jika tidak kosong
sec_result_action	sec_result.action	Digabungkan dari sec_result_action
flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.category	Setel ke NETWORK_MALICIOUS jika rule_name adalah Malware, NETWORK_SUSPICIOUS jika Anomali_IP
classification.description, userLoginInformation.description, sec_desc	sec_result.description	Nilai dari classification.description jika tidak kosong, atau userLoginInformation.description, atau sec_desc
entry.computed.priority	sec_result.priority	Entry.computed.priority _PRIORITY dalam huruf besar
entry.ruleId, rule_ruleId	sec_result.rule_id	Nilai dari entry.ruleId jika tidak kosong, jika tidak, rule_ruleId
AccessControlRuleName, rule_message, fw_rule, flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.rule_name	Nilai dari AccessControlRuleName jika tidak kosong, atau rule_message, atau fw_rule, atau flowStatistics.securityIntelligenceList1.securityIntelligenceListName
EventPriority, sec_severity, severity_code, priority_name	sec_result.severity	Setel ke LOW jika EventPriority Low, HIGH jika High, MEDIUM jika Medium; jika tidak, dari pemetaan sec_severity; jika tidak, dari pemetaan severity_code; jika tidak, priority_name dalam huruf besar
Pengguna	sec_result.summary	Nilai disalin secara langsung
threat_name	sec_result.threat_name	Nilai disalin langsung
security_result	security_result	Digabungkan dari security_result
firewallRuleAction, hold.action, AccessControlRuleAction, sec_result_action, vendor_blocked	security_result.action	Nilai dari firewallRuleAction dalam huruf besar jika bukan no_action, atau hold.action, atau dari AccessControlRuleAction dengan kasus, atau sec_result_action, atau dari vendor_blocked (0 ALLOW, atau BLOCK)
disposisi	security_result.action_details	Setel ke "Terinfeksi" jika disposisi 3, jika tidak, setel ke "Tidak diketahui"
eventDescription	security_result.description	Nilai disalin langsung
firewallRule	security_result.rule_name	Nilai disalin secara langsung
threat_name	security_result.threat_name	Nilai disalin secara langsung
hostService.webApplication.webApplication0.applicationId.webApplicationName	target.application	Nilai disalin langsung
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.asset.ip	Digabungkan dari DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
InstanceID, flowStatistics.clientAppId	target.asset_id	Nilai dari InstanceID jika tidak kosong, jika tidak, " Client_app_id: " + flowStatistics.clientAppId
file	target.file	Nama diganti dari file
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.ip	Digabungkan dari DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
flowStatistics.responderCountry.geolocation.countryName, dest_ip_country, entry.country.data	target.location.country_or_region	Nilai dari flowStatistics.responderCountry.geolocation.countryName jika tidak kosong, jika tidak dest_ip_country, jika tidak entry.country.data
MACAddress	target.mac	MACAddress huruf kecil jika bukan 00:00:00:00:00:00
DstPort, entry.destinationPort, entry.destinationPortOrIcmpType, dest_port, flowStatistics.responderPort, destination_port_or_icmp_code	target.port	Nilai dari DstPort jika tidak kosong, jika tidak, entry.destinationPort, jika tidak, entry.destinationPortOrIcmpType, jika tidak, dest_port, jika tidak, flowStatistics.responderPort, jika tidak, destination_port_or_icmp_code, dikonversi menjadi bilangan bulat
securityZoneName, det_engine, file_num, file_pos, rec_length	target.resource.attribute.labels	Digabungkan dari securityZoneName, det_engine, file_num, file_pos, rec_length jika tidak kosong
URL	target.url	Nilai disalin langsung
entry.user.username.data	target.user.userid	Nilai disalin langsung
deskripsi	vulnerabilities.description	Nilai disalin langsung
severity_detail	vulnerabilities.severity_details	Nilai disalin secara langsung
produk	vulnerabilities.vendor	Nilai disalin langsung
	metadata.product_name	Tetapkan ke "CISCO_FIRESIGHT"
	metadata.vendor_name	Setel ke "CISCO MANAGEMENT CENTER"
syslog_priority	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
IngressZone	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
EgressZone	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
IngressVRF	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
EgressVRF	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ClientAppDetector	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Prefilter Policy	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
Tunnel or Prefilter Rule	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
inter	intermediary.hostname	Dipetakan dari log perubahan
ConnectionID	security_result.about.resource.attribute.labels	Dipetakan dari log perubahan
FirstPacketSecond	security_result.about.resource.attribute.labels	Dipetakan dari log perubahan
EventPriority	security_result.severity	Dipetakan dari log perubahan
WebApplication", "URLReputation", "EgressInterface", "IngressInterface", "ACPolicy", and "NAPPolicy	additional.fields	Dipetakan dari log perubahan
service_type", "syslog_facility_code", "syslog_priority	additional.fields	Dipetakan dari log perubahan
entry_msg	metadata.description	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.