Raccogli i log di Cisco Secure Firewall Management Center

Versione parser: 7.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Cisco Secure Firewall Management Center (precedentemente FireSIGHT/Firepower Management Center) in Google Security Operations utilizzando l'agente Bindplane.

Cisco Secure Firewall Management Center (FMC) è una console di gestione centralizzata che fornisce gestione completa delle policy, analisi degli eventi e report per i dispositivi Cisco Secure Firewall Threat Defense. FMC può inviare eventi di connessione, eventi di security intelligence, eventi di intrusione, eventi di file ed eventi di malware tramite syslog a sistemi SIEM esterni.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e Cisco Secure Firewall Management Center
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso con privilegi all'interfaccia web di Cisco Secure Firewall Management Center
• Ruolo utente Amministratore o Analista della sicurezza in FMC

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

   Nota: l'ID cliente è obbligatorio per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cisco_fmc:
          protocol: https
          # Region of your instance, for example us, europe, asia-southeast1
          location: <LOCATION>
          # Project number of the Google Cloud project linked to the instance
          project: '<PROJECT_NUMBER>'
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: chronicle.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  
  service:
      pipelines:
          logs/fmc_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/cisco_fmc
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del ricevitore:

  • listen_address: imposta su 0.0.0.0:514 per ascoltare su tutte le interfacce sulla porta UDP 514. Se la porta 514 richiede i privilegi root su Linux, utilizza la porta 1514 e configura FMC per l'invio a quella porta.

• Configurazione dell'esportatore:

  • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: sostituisci con l'ID cliente copiato nella sezione precedente
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione chronicle.googleapis.com.
  • log_type: impostato su CISCO_FIRESIGHT (è richiesta la corrispondenza esatta)
  • ingestion_labels: etichette facoltative per l'applicazione di filtri e l'organizzazione

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
      chronicle/cisco_fmc:
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per verificare la presenza di errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per verificare la presenza di errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura l'inoltro del syslog di Cisco Secure Firewall Management Center

Questa sezione descrive come configurare FMC per inviare messaggi syslog di eventi di sicurezza (eventi di connessione, security intelligence, intrusioni, file e malware) dai dispositivi Secure Firewall Threat Defense all'agente Bindplane.

Crea una risposta di avviso syslog

1. Accedi all'interfaccia web di Cisco Secure Firewall Management Center.
2. Vai a System > Integration > Syslog.
3. Fai clic su Crea avviso Syslog.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome: inserisci un nome descrittivo (ad esempio Chronicle-Bindplane).
   • Host: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Porta: inserisci 514 (o 1514 se hai configurato Bindplane per l'ascolto su una porta non privilegiata).
   • Facility: seleziona una facility dal menu a discesa (ad esempio, SYSLOG).
   • Gravità: seleziona un livello di gravità dal menu a discesa (ad esempio INFO).

5. Fai clic su Salva.

   Nota: i valori di facility e severity non vengono visualizzati nei messaggi syslog. Indicano al sistema di ricezione come classificare i messaggi.

Configura le impostazioni di syslog per i dispositivi Secure Firewall Threat Defense

1. Nell'interfaccia web di Cisco Secure Firewall Management Center, vai a Dispositivi > Impostazioni piattaforma.
2. Modifica la policy delle impostazioni della piattaforma associata al tuo dispositivo Secure Firewall Threat Defense o crea una nuova policy.
3. Nel riquadro di navigazione a sinistra, fai clic su Syslog.
4. Fai clic su Syslog Servers (Server Syslog) e poi su Add (Aggiungi) per configurare un nuovo server Syslog.
5. Fornisci i seguenti dettagli di configurazione:
   • Indirizzo IP: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Protocollo: seleziona UDP.
   • Porta: inserisci 514 (o 1514 se hai configurato Bindplane per l'ascolto su una porta non privilegiata).
   • Interfaccia: seleziona l'interfaccia di gestione o l'interfaccia che può raggiungere l'agente Bindplane.
6. Fai clic su OK per salvare la configurazione del server syslog.
7. Fai clic su Syslog Settings (Impostazioni Syslog) e configura le seguenti impostazioni:
   • Seleziona Enable Timestamp on Syslog Messages (Attiva timestamp sui messaggi Syslog).
   • Formato timestamp: seleziona ISO 8601 (consigliato per Google SecOps).
   • Seleziona Attiva ID dispositivo Syslog e, se vuoi, inserisci un identificatore del dispositivo personalizzato.
8. Fai clic su Configurazione del logging.
9. Scegli se Inviare i syslog in formato EMBLEM o meno. Per l'importazione di Google SecOps, sono supportati entrambi i formati.
10. Fai clic su Salva per salvare la policy delle impostazioni della piattaforma.

Configura le impostazioni di logging delle policy di controllo dell'accesso

1. Nell'interfaccia web di Cisco Secure Firewall Management Center, vai a Policies (Policy) > Access Control (Controllo degli accessi).
2. Modifica la policy di controllo dell'accesso applicabile.
3. Fai clic sulla scheda Logging.
4. Seleziona Utilizza le impostazioni syslog configurate nella policy Impostazioni della piattaforma Threat Defense di cui è stato eseguito il deployment sul dispositivo.
5. Facoltativamente, seleziona un livello di Gravità syslog (ad esempio, Informazioni o Avviso).
6. Se invierai eventi relativi a file e malware, seleziona Invia messaggi Syslog per eventi relativi a file e malware.
7. Fai clic su Salva.

Abilita il logging per gli eventi di Security Intelligence

1. Nella stessa policy di controllo dell'accesso, fai clic sulla scheda Security Intelligence.
2. In ciascuna delle seguenti posizioni, fai clic su Logging e abilita il logging:
   • Accanto a DNS Policy (Policy DNS): fai clic su Logging, attiva Log at Beginning of Connection (Log all'inizio della connessione) e Log at End of Connection (Log alla fine della connessione) e attiva Syslog Server (Server Syslog).
   • Nella casella Block List (Lista di blocco) per Networks (Reti): fai clic su Logging, attiva Log at Beginning of Connection (Log all'inizio della connessione) e Log at End of Connection (Log alla fine della connessione) e attiva Syslog Server (Server Syslog).
   • Nella casella Block List (Lista bloccati) per URLs (URL): fai clic su Logging, attiva Log at Beginning of Connection (Log all'inizio della connessione) e Log at End of Connection (Log alla fine della connessione) e attiva Syslog Server (Server Syslog).
3. Fai clic su Salva.

Abilita il logging syslog per le regole di controllo dell'accesso'accesso

1. Nella stessa policy di controllo dell'accesso, fai clic sulla scheda Regole.
2. Fai clic su una regola per modificarla.
3. Fai clic sulla scheda Logging nella regola.
4. Scegli se registrare l'inizio o la fine delle connessioni o entrambi:
   • Seleziona Log all'inizio della connessione (genera un volume elevato).
   • Seleziona Log al termine della connessione (opzione consigliata per la maggior parte dei casi d'uso).
5. Se vuoi registrare gli eventi dei file, seleziona File di log.
6. Seleziona server Syslog.
7. Verifica che la regola sia Utilizza la configurazione syslog predefinita nel logging del controllo degli accessi. Non configurare gli override.
8. Fai clic su Aggiungi per salvare la regola.
9. Ripeti i passaggi da 2 a 8 per ogni regola della policy che vuoi registrare.

Configura le impostazioni syslog della policy di intrusione

1. Vai a Policies (Policy) > Intrusion (Intrusione).
2. Modifica la policy di intrusione associata alla policy di controllo dell'accesso.
3. Fai clic su Impostazioni avanzate > Avvisi Syslog.
4. Imposta Syslog Alerting (Avvisi Syslog) su Enabled (Attivato).
5. Fai clic su Modifica accanto ad Avvisi Syslog.
6. Configura le seguenti impostazioni:
   • Logging Host (Host di logging): lascia vuoto questo campo per utilizzare le impostazioni syslog configurate nelle impostazioni della piattaforma Threat Defense. Se specifichi un host di logging qui, devi anche configurare Facility e Severity.
   • Facility: applicabile solo se specifichi un Logging Host. Seleziona una facility (ad esempio AUTH o LOCAL0).
   • Gravità: applicabile solo se specifichi un Host di logging. Seleziona un livello di gravità (ad esempio, Informazioni o Avviso).
7. Fai clic su Back (Indietro).
8. Fai clic su Informazioni sulle policy nel riquadro di navigazione a sinistra.
9. Fai clic su Commit Changes (Esegui commit delle modifiche).

Esegui il deployment delle modifiche alla configurazione

1. Dopo aver configurato tutte le impostazioni di syslog, esegui il deployment delle modifiche sui dispositivi gestiti.
2. Nell'interfaccia web di Cisco Secure Firewall Management Center, fai clic su Deploy (Esegui il deployment) nell'angolo in alto a destra.
3. Seleziona i dispositivi su cui vuoi eseguire il deployment della configurazione.

4. Fai clic su Esegui il deployment per applicare le modifiche.

   Nota: le modifiche alle risposte agli avvisi vengono applicate immediatamente, tranne quando i log di connessione vengono inviati a un server syslog. Se utilizzi le risposte agli avvisi per inviare i log di connessione, devi eseguire il deployment delle modifiche alla configurazione dopo aver modificato le risposte agli avvisi.

Verifica l'inoltro di Syslog

1. Genera traffico di test o eventi di sicurezza sui tuoi dispositivi Secure Firewall Threat Defense.

2. Controlla i log dell'agente Bindplane per verificare che i messaggi syslog vengano ricevuti:

   • Linux:

     sudo journalctl -u observiq-otel-collector -f
     

   • Windows:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

3. Accedi alla console Google SecOps e verifica che gli eventi vengano visualizzati nel visualizzatore Eventi.

   Nota: potrebbero essere necessari fino a 15 minuti prima che gli eventi vengano visualizzati in Google SecOps dopo la configurazione iniziale.

Tipi di eventi supportati

Cisco Secure Firewall Management Center può inviare i seguenti tipi di eventi tramite syslog a Google SecOps:

Tipo di evento	Descrizione
Eventi di connessione	Dati di connessione di rete tra gli host monitorati e tutti gli altri host
Eventi Intelligence di sicurezza	Eventi correlati alle liste bloccate di Security Intelligence (IP, URL, DNS)
Eventi di intrusione	Eventi di rilevamento e prevenzione delle intrusioni generati dai dispositivi gestiti
Eventi file	Eventi di analisi dei file
Eventi malware	Eventi di rilevamento di malware

Nota: gli eventi di malware retrospettivi e gli eventi generati da Cisco Secure Endpoint non sono disponibili tramite syslog.

Formato dei messaggi Syslog

Cisco Secure Firewall Management Center invia messaggi syslog nel seguente formato:

• Esempio di evento di connessione:

  <134>1 2024-01-15T10:15:45.123Z fmc-hostname %FTD-6-430003: EventPriority: Low, DeviceUUID: abc123, InstanceID: 1, FirstPacketSecond: 1705318545, ConnectionID: 12345, AccessControlRuleAction: Allow, SrcIP: 10.0.0.5, DstIP: 8.8.8.8, SrcPort: 54321, DstPort: 53, Protocol: udp, IngressInterface: inside, EgressInterface: outside, IngressZone: inside-zone, EgressZone: outside-zone, ACPolicy: Default-Policy, AccessControlRuleName: Allow-DNS, User: [e-mail], ApplicationProtocol: DNS, InitiatorBytes: 64, ResponderBytes: 128
  
  

• Esempio di evento di intrusione:

  <134>1 2024-01-15T10:16:30.456Z fmc-hostname %FTD-4-430001: EventPriority: High, DeviceUUID: abc123, InstanceID: 1, SrcIP: 192.168.1.100, DstIP: 10.0.0.50, SrcPort: 12345, DstPort: 80, Protocol: tcp, IngressInterface: outside, EgressInterface: inside, IngressZone: outside-zone, EgressZone: inside-zone, IntrusionPolicy: Security-Over-Connectivity, SignatureID: 1:2024123:1, SignatureGeneratorID: 1, Classification: web-application-attack, Priority: 1, Message: SQL injection attempt detected
  

I messaggi syslog includono coppie chiave-valore separate da virgole, il che li rende adatti all'analisi da parte di Google SecOps.

Limitazioni

• Potrebbero essere necessari fino a 15 minuti prima che gli eventi vengano visualizzati in Google SecOps dopo l'invio da FMC.
• Gli eventi di malware retrospettivi non sono disponibili tramite syslog.
• Gli eventi generati da Cisco Secure Endpoint non sono disponibili tramite syslog.
• Alcuni metadati disponibili tramite l'API eStreamer non sono inclusi nei messaggi syslog (ad esempio, informazioni dettagliate sugli utenti da LDAP, metadati delle applicazioni estesi, dati di geolocalizzazione).
• Se configuri i nomi degli oggetti (nomi delle policy, nomi delle regole) con caratteri speciali come le virgole, questi potrebbero interferire con l'analisi del syslog. Evita di utilizzare caratteri speciali nei nomi degli oggetti.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
WebApplication, URLReputation, EgressInterface, IngressInterface, ACPolicy, NAPPolicy, ConnectionID, ssl_ticket_id, qoa_applied_interface, sinkhole_uuid, security_context, sec_zone_egress, sec_zone_ingress	additional.fields	Uniti da vari campi di etichette se non vuoti
eventType	extensions.auth.type	Impostato su "VPN" se eventType è "USER_LOGIN_INFORMATION"
vulnerabilities	extensions.vulns.vulnerabilities	Unito dalle vulnerabilità se non vuoto
flowStatistics.httpReferrer	http.referral_url	Valore copiato direttamente
flowStatistics.httpResponse	http.response_code	Convertito in numero intero
flowStatistics.userAgent	http.user_agent	Valore copiato direttamente
_intermediary	intermediario	Unito da _intermediary se non vuoto
recordTypeDescription, entry.message	metadata.description	Valore di recordTypeDescription se non vuoto, altrimenti di entry.message
event_second, connection_timestamp, _serverTimestamp	metadata.event_timestamp	Data analizzata da event_second se non vuota, altrimenti connection_timestamp, altrimenti _serverTimestamp
event_type	metadata.event_type	Valore copiato direttamente
prod_event_type, eventId, recordTypeCategory, app, _recordTypeName, eventType	metadata.product_event_type	Valore di prod_event_type se non è vuoto, altrimenti eventId, altrimenti recordTypeCategory, altrimenti app, altrimenti _recordTypeName, altrimenti eventType
DeviceUUID	metadata.product_log_id	Valore copiato direttamente
flowStatistics.clientAppVersion, client_version	metadata.product_version	Valore di flowStatistics.clientAppVersion se non è vuoto, altrimenti client_version
flowStatistics.clientAppURL	metadata.url_back_to_product	Valore copiato direttamente
ApplicationProtocol	network.application_protocol	Impostato su "LDAP" se corrisponde a (?i)ldap, "HTTPS" se (?i)https, "HTTP" se (?i)http
rispondi	network.dns.answers	Unito dalla risposta
flowStatistics.dnsQuery	network.dns.answers.name	Valore copiato direttamente
flowStatistics.dnsTTL	network.dns.answers.ttl	Convertito in uinteger
flowStatistics.dnsRecordType	network.dns.answers.type	Convertito in uinteger
flowStatistics.dnsResponseType	network.dns.response_code	Convertito in uinteger
user_agent	network.http.parsed_user_agent	Convertito in parseduseragent
user_agent	network.http.user_agent	Valore copiato direttamente
proto, Protocol, inputType, proto_type, protocol, ip_v4_protocol, protocol_number_src	network.ip_protocol	Impostato in base a vari campi con mappature e casi di protocollo
ResponderBytes, flowStatistics.bytesReceived	network.received_bytes	Valore di ResponderBytes se non è vuoto, altrimenti flowStatistics.bytesReceived, convertito in uinteger
ResponderPackets	network.received_packets	Convertito in numero intero
InitiatorBytes, flowStatistics.bytesSent	network.sent_bytes	Valore di InitiatorBytes se non vuoto, altrimenti flowStatistics.bytesSent, convertito in uinteger
InitiatorPackets, packet_data	network.sent_packets	Valore di InitiatorPackets se non è vuoto, altrimenti packet_data, convertito in numero intero
ssl_session_id	network.session_id	Valore copiato direttamente
ssl_cipher_suite	network.tls.cipher	Valore copiato direttamente
agent_type, agent_version	observer.application	Concatenato come agent_type agent_version se entrambi non sono vuoti
entry.host.hostname	observer.hostname	Valore copiato direttamente
entry.host.ip	observer.ip	Unito da entry.host.ip
entry.host.mac	observer.mac	Unito da entry.host.mac
clientApplication, hold.app_string	principal.application	Valore di clientApplication se non è vuoto, altrimenti hold.app_string
prin_host, DeviceAddress, principal_hostname	principal.asset.hostname	Valore di prin_host se non è vuoto, altrimenti DeviceAddress se sourceAddress è vuoto, altrimenti principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.asset.ip	Unito da SrcIP (convalida grok), principal_ip, source_address_IPv4v6 (convalida grok)
file_sha_hash, sha_hash	principal.file.sha256	Valore di file_sha_hash se non è vuoto, altrimenti sha_hash
prin_host, DeviceAddress, principal_hostname	principal.hostname	Valore di prin_host se non è vuoto, altrimenti DeviceAddress se sourceAddress è vuoto, altrimenti principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.ip	Unito da SrcIP (convalida grok), principal_ip, source_address_IPv4v6 (convalida grok)
flowStatistics.initiatorCountry.geolocation.countryName, src_ip_country	principal.location.country_or_region	Valore di flowStatistics.initiatorCountry.geolocation.countryName se non vuoto, altrimenti src_ip_country
entry.macAddress	principal.mac	Unito da entry.macAddress
host_os_platform	principal.platform	Impostato su LINUX se centos, altrimenti entry.host.os.platform in maiuscolo
entry.host.os.kernel	principal.platform_patch_level	Valore copiato direttamente
identityData.fingerprintUUID.osName, osFingerprint.fingerprintUUID.osName	principal.platform_version	osName osVersion concatenati da identityData se non vuoti, altrimenti osFingerprint
SrcPort, entry.sourcePort, entry.sourcePortOrIcmpType, source_port, flowStatistics.initiatorPort, source_port_or_icmp_code	principal.port	Valore di SrcPort se non è vuoto, altrimenti entry.sourcePort, altrimenti entry.sourcePortOrIcmpType, altrimenti source_port, altrimenti flowStatistics.initiatorPort, altrimenti source_port_or_icmp_code, convertito in numero intero
isecurityZoneName	principal.resource.attribute.labels	Unito da isecurityZoneName
DeviceType	principal.resource.name	Valore copiato direttamente
	principal.resource.resource_type	Impostato su "DEVICE"
entry.computed.user	principal.user.user_display_name	Convertito in stringa
entry.userId, user_id, flowStatistics.user.userId, entry.computed.user, userLoginInformation.userName	principal.user.userid	Valore di entry.userId se non vuoto, altrimenti user_id, altrimenti flowStatistics.user.userId, altrimenti entry.computed.user, altrimenti userLoginInformation.userName
connectionID_label, FirstPacketSecond_label	sec_result.about.resource.attribute.labels	Unito da connectionID_label e FirstPacketSecond_label se non vuoto
sec_result_action	sec_result.action	Unito da sec_result_action
flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.category	Impostato su NETWORK_MALICIOUS se rule_name è Malware, NETWORK_SUSPICIOUS se Anomali_IP
classification.description, userLoginInformation.description, sec_desc	sec_result.description	Valore di classification.description se non vuoto, altrimenti userLoginInformation.description, altrimenti sec_desc
entry.computed.priority	sec_result.priority	Uppercased entry.computed.priority _PRIORITY
entry.ruleId, rule_ruleId	sec_result.rule_id	Valore di entry.ruleId se non è vuoto, altrimenti rule_ruleId
AccessControlRuleName, rule_message, fw_rule, flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.rule_name	Valore di AccessControlRuleName se non vuoto, altrimenti rule_message, altrimenti fw_rule, altrimenti flowStatistics.securityIntelligenceList1.securityIntelligenceListName
EventPriority, sec_severity, severity_code, priority_name	sec_result.severity	Impostato su LOW se EventPriority è Low, HIGH se è High, MEDIUM se è Medium; altrimenti dalle mappature sec_severity; altrimenti dalle mappature severity_code; altrimenti priority_name in maiuscolo
Utente	sec_result.summary	Valore copiato direttamente
threat_name	sec_result.threat_name	Valore copiato direttamente
security_result	security_result	Unito da security_result
firewallRuleAction, hold.action, AccessControlRuleAction, sec_result_action, vendor_blocked	security_result.action	Valore di firewallRuleAction in maiuscolo se non è no_action, altrimenti hold.action, altrimenti di AccessControlRuleAction con i casi, altrimenti sec_result_action, altrimenti di vendor_blocked (0 ALLOW, altrimenti BLOCK)
disposizione	security_result.action_details	Impostato su "Infected" se la disposizione è 3, altrimenti su "Unknown"
eventDescription	security_result.description	Valore copiato direttamente
firewallRule	security_result.rule_name	Valore copiato direttamente
threat_name	security_result.threat_name	Valore copiato direttamente
hostService.webApplication.webApplication0.applicationId.webApplicationName	target.application	Valore copiato direttamente
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.asset.ip	Unito da DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
InstanceID, flowStatistics.clientAppId	target.asset_id	Valore di InstanceID se non è vuoto, altrimenti " Client_app_id: " + flowStatistics.clientAppId
file	target.file	Rinominato dal file
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.ip	Unito da DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
flowStatistics.responderCountry.geolocation.countryName, dest_ip_country, entry.country.data	target.location.country_or_region	Valore di flowStatistics.responderCountry.geolocation.countryName se non vuoto, altrimenti dest_ip_country, altrimenti entry.country.data
MACAddress	target.mac	MACAddress in minuscolo se non è 00:00:00:00:00:00
DstPort, entry.destinationPort, entry.destinationPortOrIcmpType, dest_port, flowStatistics.responderPort, destination_port_or_icmp_code	target.port	Valore di DstPort se non vuoto, altrimenti entry.destinationPort, altrimenti entry.destinationPortOrIcmpType, altrimenti dest_port, altrimenti flowStatistics.responderPort, altrimenti destination_port_or_icmp_code, convertito in numero intero
securityZoneName, det_engine, file_num, file_pos, rec_length	target.resource.attribute.labels	Unito da securityZoneName, det_engine, file_num, file_pos, rec_length se non vuoto
URL	target.url	Valore copiato direttamente
entry.user.username.data	target.user.userid	Valore copiato direttamente
descript	vulnerabilities.description	Valore copiato direttamente
severity_detail	vulnerabilities.severity_details	Valore copiato direttamente
prodotto	vulnerabilities.vendor	Valore copiato direttamente
	metadata.product_name	Imposta su "CISCO_FIRESIGHT"
	metadata.vendor_name	Imposta su "CISCO MANAGEMENT CENTER"
syslog_priority	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
IngressZone	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
EgressZone	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
IngressVRF	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
EgressVRF	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ClientAppDetector	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
Prefilter Policy	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
Tunnel or Prefilter Rule	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
inter	intermediary.hostname	Mappato dal log delle modifiche
ConnectionID	security_result.about.resource.attribute.labels	Mappato dal log delle modifiche
FirstPacketSecond	security_result.about.resource.attribute.labels	Mappato dal log delle modifiche
EventPriority	security_result.severity	Mappato dal log delle modifiche
WebApplication", "URLReputation", "EgressInterface", "IngressInterface", "ACPolicy", and "NAPPolicy	additional.fields	Mappato dal log delle modifiche
service_type", "syslog_facility_code", "syslog_priority	additional.fields	Mappato dal log delle modifiche
entry_msg	metadata.description	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.