Raccogli i log di Cisco Secure Firewall Management Center

Versione parser: 7.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Cisco Secure Firewall Management Center (in precedenza FireSIGHT/Firepower Management Center) in Google Security Operations utilizzando l'agente Bindplane.

Cisco Secure Firewall Management Center (FMC) è una console di gestione centralizzata che fornisce gestione completa delle policy, analisi degli eventi e report per i dispositivi Cisco Secure Firewall Threat Defense. FMC può inviare eventi di connessione, eventi di intelligence per la sicurezza, eventi di intrusione, eventi di file ed eventi di malware tramite syslog a sistemi SIEM esterni.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive o host Linux con systemd
• Connettività di rete tra l'agente Bindplane e Cisco Secure Firewall Management Center
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso con privilegi all'interfaccia web di Cisco Secure Firewall Management Center
• Ruolo utente Amministratore o Analista della sicurezza in FMC

Recuperare il file di autenticazione dell'acquisizione di Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.

4. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

   Nota :questo file JSON contiene le credenziali per l'autenticazione dell'agente Bindplane in Google SecOps.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri Prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /etc/bindplane-agent/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
      udplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/cisco_fmc:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: 'YOUR_CUSTOMER_ID'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: CISCO_FIRESIGHT
          raw_log_field: body
          ingestion_labels:
              env: production
              source: fmc
  
  service:
      pipelines:
          logs/fmc_to_chronicle:
              receivers:
                  - udplog
              exporters:
                  - chronicle/cisco_fmc
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del destinatario:

  • listen_address: impostalo su 0.0.0.0:514 per ascoltare su tutte le interfacce sulla porta UDP 514. Se la porta 514 richiede privilegi di root su Linux, utilizza la porta 1514 e configura FMC per l'invio a questa porta.

• Configurazione dell'esportatore:

  • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: sostituisci con l'ID cliente copiato nella sezione precedente
  • endpoint: URL dell'endpoint regionale:
    • Stati Uniti: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  • log_type: impostato su CISCO_FIRESIGHT (corrispondenza esatta obbligatoria)
  • ingestion_labels: Etichette facoltative per il filtro e l'organizzazione

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     sudo systemctl status observiq-otel-collector
     

  2. Controlla i log per individuare eventuali errori:

     sudo journalctl -u observiq-otel-collector -f
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console dei servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per individuare eventuali errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configura l'inoltro di syslog di Cisco Secure Firewall Management Center

Questa sezione descrive come configurare FMC per inviare messaggi syslog di eventi di sicurezza (eventi di connessione, intelligence per la sicurezza, intrusione, file e malware) dai dispositivi Secure Firewall Threat Defense all'agente Bindplane.

Crea una risposta di avviso syslog

1. Accedi all'interfaccia web di Cisco Secure Firewall Management Center.
2. Vai a Sistema > Integrazione > Syslog.
3. Fai clic su Crea avviso Syslog.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome: inserisci un nome descrittivo (ad esempio, Chronicle-Bindplane).
   • Host: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Porta: inserisci 514 (o 1514 se hai configurato Bindplane per l'ascolto su una porta non privilegiata).
   • Struttura: seleziona una struttura dal menu a discesa (ad esempio SYSLOG).
   • Gravità: seleziona un livello di gravità dal menu a discesa (ad esempio INFO).

5. Fai clic su Salva.

   Nota :i valori di facility e gravità non vengono visualizzati nei messaggi syslog. Indicano al sistema ricevente come classificare i messaggi.

Configura le impostazioni syslog per i dispositivi Secure Firewall Threat Defense

1. Nell'interfaccia web di Cisco Secure Firewall Management Center, vai a Dispositivi > Impostazioni piattaforma.
2. Modifica la policy delle impostazioni della piattaforma associata al tuo dispositivo Secure Firewall Threat Defense o crea una nuova policy.
3. Nel riquadro di navigazione a sinistra, fai clic su Syslog.
4. Fai clic su Server Syslog e poi su Aggiungi per configurare un nuovo server Syslog.
5. Fornisci i seguenti dettagli di configurazione:
   • Indirizzo IP: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Protocollo: seleziona UDP.
   • Porta: inserisci 514 (o 1514 se hai configurato Bindplane per l'ascolto su una porta non privilegiata).
   • Interfaccia: seleziona l'interfaccia di gestione o l'interfaccia che può raggiungere l'agente Bindplane.
6. Fai clic su Ok per salvare la configurazione del server syslog.
7. Fai clic su Impostazioni Syslog e configura le seguenti impostazioni:
   • Seleziona Enable Timestamp on Syslog Messages (Attiva timestamp sui messaggi Syslog).
   • Formato timestamp: seleziona ISO 8601 (opzione consigliata per Google SecOps).
   • Seleziona Attiva ID dispositivo Syslog e, se vuoi, inserisci un identificatore del dispositivo personalizzato.
8. Fai clic su Configurazione della registrazione.
9. Seleziona se inviare o meno i syslog in formato EMBLEM. Per l'importazione di Google SecOps, è supportato uno dei due formati.
10. Fai clic su Salva per salvare la norma relativa alle impostazioni della piattaforma.

Configura le impostazioni di logging delle policy di controllo dell'accesso

1. Nell'interfaccia web di Cisco Secure Firewall Management Center, vai a Policies > Access Control.
2. Modifica il criterio di controllo dell'accesso applicabile.
3. Fai clic sulla scheda Registrazione.
4. Seleziona Utilizza le impostazioni syslog configurate nel criterio Impostazioni della piattaforma Threat Defense Platform implementato sul dispositivo.
5. (Facoltativo) Seleziona un livello di gravità Syslog (ad esempio Informazioni o Avviso).
6. Se invii eventi relativi a file e malware, seleziona Invia messaggi Syslog per eventi relativi a file e malware.
7. Fai clic su Salva.

Abilita la registrazione per gli eventi di Security Intelligence

1. Nella stessa policy di controllo dell'accesso, fai clic sulla scheda Security Intelligence.
2. In ognuna delle seguenti posizioni, fai clic su Logging e attiva il logging:
   • Accanto a Policy DNS, fai clic su Logging, abilita Registra all'inizio della connessione e Registra alla fine della connessione e abilita Server Syslog.
   • Nella casella Elenco bloccati per Reti: fai clic su Logging, attiva Registra all'inizio della connessione e Registra alla fine della connessione e attiva Server Syslog.
   • Nella casella Elenco bloccati per URL: fai clic su Logging, attiva Registra all'inizio della connessione e Registra alla fine della connessione e attiva Server Syslog.
3. Fai clic su Salva.

Abilita la registrazione syslog per le regole di controllo dell'accesso'accesso

1. Nella stessa policy di controllo dell'accesso, fai clic sulla scheda Regole.
2. Fai clic su una regola per modificarla.
3. Fai clic sulla scheda Logging nella regola.
4. Scegli se registrare l'inizio o la fine delle connessioni oppure entrambe:
   • Seleziona Registra all'inizio della connessione (genera un volume elevato).
   • Seleziona Log at End of Connection (consigliato per la maggior parte dei casi d'uso).
5. Se vuoi registrare gli eventi dei file di log, seleziona File di log.
6. Seleziona Syslog Server.
7. Verifica che la regola Utilizzo della configurazione syslog predefinita nella registrazione del controllo dell'accesso. Non configurare override.
8. Fai clic su Aggiungi per salvare la regola.
9. Ripeti i passaggi 2-8 per ogni regola delle norme che vuoi registrare.

Configura le impostazioni syslog della policy di rilevamento delle intrusioni

1. Vai a Norme > Intrusione.
2. Modifica la policy di intrusione associata alla policy di controllo dell'accesso.
3. Fai clic su Impostazioni avanzate > Avvisi Syslog.
4. Imposta Avvisi Syslog su Attivato.
5. Fai clic su Modifica accanto a Avvisi Syslog.
6. Configura le seguenti impostazioni:
   • Host di logging: lascia vuoto questo campo per utilizzare le impostazioni syslog configurate nelle impostazioni della piattaforma Threat Defense. Se specifichi un host di logging qui, devi configurare anche Facility e Severity.
   • Struttura: applicabile solo se specifichi un host di logging. Seleziona una struttura (ad esempio AUTH o LOCAL0).
   • Gravità: applicabile solo se specifichi un host di logging. Seleziona un livello di gravità (ad esempio Informazioni o Avviso).
7. Fai clic su Back (Indietro).
8. Fai clic su Informazioni sulle norme nel riquadro di navigazione a sinistra.
9. Fai clic su Applica modifiche.

Esegui il deployment delle modifiche alla configurazione

1. Dopo aver configurato tutte le impostazioni di syslog, esegui il deployment delle modifiche sui tuoi dispositivi gestiti.
2. Nell'interfaccia web di Cisco Secure Firewall Management Center, fai clic su Esegui il deployment nell'angolo in alto a destra.
3. Seleziona i dispositivi su cui vuoi implementare la configurazione.

4. Fai clic su Esegui il deployment per applicare le modifiche.

   Nota :le modifiche alle risposte agli avvisi vengono applicate immediatamente, tranne quando i log di connessione vengono inviati a un server syslog. Se utilizzi le risposte agli avvisi per inviare i log di connessione, devi implementare le modifiche alla configurazione dopo aver modificato le risposte agli avvisi.

Verificare l'inoltro di Syslog

1. Genera traffico di test o eventi di sicurezza sui tuoi dispositivi Secure Firewall Threat Defense.

2. Controlla i log dell'agente Bindplane per verificare che i messaggi syslog vengano ricevuti:

   • Linux:

     sudo journalctl -u observiq-otel-collector -f
     

   • Windows:

     type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
     

3. Accedi alla console Google SecOps e verifica che gli eventi vengano visualizzati nel visualizzatore Eventi.

   Nota: dopo la configurazione iniziale, potrebbero essere necessari fino a 15 minuti prima che gli eventi vengano visualizzati in Google SecOps.

Tipi di eventi supportati

Cisco Secure Firewall Management Center può inviare i seguenti tipi di eventi tramite syslog a Google SecOps:

Tipo di evento	Descrizione
Eventi di connessione	Dati di connessione di rete tra gli host monitorati e tutti gli altri host
Eventi Intelligence di sicurezza	Eventi correlati agli elenchi di blocco di Security Intelligence (IP, URL, DNS)
Eventi di intrusione	Eventi di rilevamento e prevenzione delle intrusioni generati dai dispositivi gestiti
Eventi file	Eventi di analisi dei file
Eventi di malware	Eventi di rilevamento del malware

Nota: gli eventi di malware retrospettivi e gli eventi generati da Cisco Secure Endpoint non sono disponibili tramite syslog.

Formato dei messaggi Syslog

Cisco Secure Firewall Management Center invia messaggi syslog nel seguente formato:

• Esempio di evento di connessione:

  <134>1 2024-01-15T10:15:45.123Z fmc-hostname %FTD-6-430003: EventPriority: Low, DeviceUUID: abc123, InstanceID: 1, FirstPacketSecond: 1705318545, ConnectionID: 12345, AccessControlRuleAction: Allow, SrcIP: 10.0.0.5, DstIP: 8.8.8.8, SrcPort: 54321, DstPort: 53, Protocol: udp, IngressInterface: inside, EgressInterface: outside, IngressZone: inside-zone, EgressZone: outside-zone, ACPolicy: Default-Policy, AccessControlRuleName: Allow-DNS, User: [e-mail], ApplicationProtocol: DNS, InitiatorBytes: 64, ResponderBytes: 128
  
  

• Esempio di evento di intrusione:

  <134>1 2024-01-15T10:16:30.456Z fmc-hostname %FTD-4-430001: EventPriority: High, DeviceUUID: abc123, InstanceID: 1, SrcIP: 192.168.1.100, DstIP: 10.0.0.50, SrcPort: 12345, DstPort: 80, Protocol: tcp, IngressInterface: outside, EgressInterface: inside, IngressZone: outside-zone, EgressZone: inside-zone, IntrusionPolicy: Security-Over-Connectivity, SignatureID: 1:2024123:1, SignatureGeneratorID: 1, Classification: web-application-attack, Priority: 1, Message: SQL injection attempt detected
  

I messaggi syslog includono coppie chiave-valore separate da virgole, il che li rende adatti all'analisi da parte di Google SecOps.

Limitazioni

• Potrebbero essere necessari fino a 15 minuti prima che gli eventi vengano visualizzati in Google SecOps dopo essere stati inviati da FMC.
• Gli eventi di malware retrospettivi non sono disponibili tramite syslog.
• Gli eventi generati da Cisco Secure Endpoint non sono disponibili tramite syslog.
• Alcuni metadati disponibili tramite l'API eStreamer non sono inclusi nei messaggi syslog (ad esempio, informazioni dettagliate sugli utenti di LDAP, metadati estesi delle applicazioni, dati di geolocalizzazione).
• Se configuri i nomi degli oggetti (nomi dei criteri, nomi delle regole) con caratteri speciali come le virgole, questi potrebbero interferire con l'analisi di syslog. Evita di utilizzare caratteri speciali nei nomi degli oggetti.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
WebApplication, URLReputation, EgressInterface, IngressInterface, ACPolicy, NAPPolicy, ConnectionID, ssl_ticket_id, qoa_applied_interface, sinkhole_uuid, security_context, sec_zone_egress, sec_zone_ingress	additional.fields	Uniti da vari campi dell'etichetta, se non vuoti
eventType	extensions.auth.type	Imposta su "VPN" se eventType è "USER_LOGIN_INFORMATION"
vulnerabilities	extensions.vulns.vulnerabilities	Unito dalle vulnerabilità se non è vuoto
flowStatistics.httpReferrer	http.referral_url	Valore copiato direttamente
flowStatistics.httpResponse	http.response_code	Convertito in numero intero
flowStatistics.userAgent	http.user_agent	Valore copiato direttamente
_intermediary	intermediario	Unito da _intermediary se non vuoto
recordTypeDescription, entry.message	metadata.description	Valore di recordTypeDescription se non è vuoto, altrimenti di entry.message
event_second, connection_timestamp, _serverTimestamp	metadata.event_timestamp	Data analizzata da event_second se non è vuoto, altrimenti connection_timestamp, altrimenti _serverTimestamp
event_type	metadata.event_type	Valore copiato direttamente
prod_event_type, eventId, recordTypeCategory, app, _recordTypeName, eventType	metadata.product_event_type	Valore di prod_event_type se non è vuoto, altrimenti eventId, altrimenti recordTypeCategory, altrimenti app, altrimenti _recordTypeName, altrimenti eventType
DeviceUUID	metadata.product_log_id	Valore copiato direttamente
flowStatistics.clientAppVersion, client_version	metadata.product_version	Valore di flowStatistics.clientAppVersion se non è vuoto, altrimenti client_version
flowStatistics.clientAppURL	metadata.url_back_to_product	Valore copiato direttamente
ApplicationProtocol	network.application_protocol	Imposta su "LDAP" se corrisponde a (?i)ldap, "HTTPS" se (?i)https, "HTTP" se (?i)http
rispondi	network.dns.answers	Unito dalla risposta
flowStatistics.dnsQuery	network.dns.answers.name	Valore copiato direttamente
flowStatistics.dnsTTL	network.dns.answers.ttl	Convertito in uinteger
flowStatistics.dnsRecordType	network.dns.answers.type	Convertito in uinteger
flowStatistics.dnsResponseType	network.dns.response_code	Convertito in uinteger
user_agent	network.http.parsed_user_agent	Convertito in parseduseragent
user_agent	network.http.user_agent	Valore copiato direttamente
proto, Protocol, inputType, proto_type, protocol, ip_v4_protocol, protocol_number_src	network.ip_protocol	Set basato su vari campi con mappature e casi di protocollo
ResponderBytes, flowStatistics.bytesReceived	network.received_bytes	Valore di ResponderBytes se non è vuoto, altrimenti flowStatistics.bytesReceived, convertito in uinteger
ResponderPackets	network.received_packets	Convertito in numero intero
InitiatorBytes, flowStatistics.bytesSent	network.sent_bytes	Valore di InitiatorBytes se non è vuoto, altrimenti flowStatistics.bytesSent, convertito in uinteger
InitiatorPackets, packet_data	network.sent_packets	Valore di InitiatorPackets se non è vuoto, altrimenti packet_data, convertito in numero intero
ssl_session_id	network.session_id	Valore copiato direttamente
ssl_cipher_suite	network.tls.cipher	Valore copiato direttamente
agent_type, agent_version	observer.application	Concatenato come agent_type agent_version se entrambi non sono vuoti
entry.host.hostname	observer.hostname	Valore copiato direttamente
entry.host.ip	observer.ip	Unito da entry.host.ip
entry.host.mac	observer.mac	Unito da entry.host.mac
clientApplication, hold.app_string	principal.application	Valore di clientApplication se non è vuoto, altrimenti hold.app_string
prin_host, DeviceAddress, principal_hostname	principal.asset.hostname	Valore di prin_host se non è vuoto, altrimenti DeviceAddress se sourceAddress è vuoto, altrimenti principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.asset.ip	Unito da SrcIP (convalida grok), principal_ip, source_address_IPv4v6 (convalida grok)
file_sha_hash, sha_hash	principal.file.sha256	Valore di file_sha_hash se non è vuoto, altrimenti sha_hash
prin_host, DeviceAddress, principal_hostname	principal.hostname	Valore di prin_host se non è vuoto, altrimenti DeviceAddress se sourceAddress è vuoto, altrimenti principal_hostname
SrcIP, principal_ip, source_address_IPv4v6	principal.ip	Unito da SrcIP (convalida grok), principal_ip, source_address_IPv4v6 (convalida grok)
flowStatistics.initiatorCountry.geolocation.countryName, src_ip_country	principal.location.country_or_region	Valore di flowStatistics.initiatorCountry.geolocation.countryName se non è vuoto, altrimenti src_ip_country
entry.macAddress	principal.mac	Unito da entry.macAddress
host_os_platform	principal.platform	Imposta LINUX se centos, altrimenti entry.host.os.platform in maiuscolo
entry.host.os.kernel	principal.platform_patch_level	Valore copiato direttamente
identityData.fingerprintUUID.osName, osFingerprint.fingerprintUUID.osName	principal.platform_version	osName osVersion concatenati da identityData se non vuoti, altrimenti osFingerprint
SrcPort, entry.sourcePort, entry.sourcePortOrIcmpType, source_port, flowStatistics.initiatorPort, source_port_or_icmp_code	principal.port	Valore di SrcPort se non è vuoto, altrimenti entry.sourcePort, altrimenti entry.sourcePortOrIcmpType, altrimenti source_port, altrimenti flowStatistics.initiatorPort, altrimenti source_port_or_icmp_code, convertito in numero intero
isecurityZoneName	principal.resource.attribute.labels	Unito da isecurityZoneName
DeviceType	principal.resource.name	Valore copiato direttamente
	principal.resource.resource_type	Impostato su "DEVICE"
entry.computed.user	principal.user.user_display_name	Convertito in stringa
entry.userId, user_id, flowStatistics.user.userId, entry.computed.user, userLoginInformation.userName	principal.user.userid	Valore di entry.userId se non è vuoto, altrimenti user_id, altrimenti flowStatistics.user.userId, altrimenti entry.computed.user, altrimenti userLoginInformation.userName
connectionID_label, FirstPacketSecond_label	sec_result.about.resource.attribute.labels	Unito da connectionID_label e FirstPacketSecond_label se non vuoti
sec_result_action	sec_result.action	Unito da sec_result_action
flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.category	Imposta su NETWORK_MALICIOUS se rule_name è Malware, NETWORK_SUSPICIOUS se Anomali_IP
classification.description, userLoginInformation.description, sec_desc	sec_result.description	Valore di classification.description se non è vuoto, altrimenti userLoginInformation.description, altrimenti sec_desc
entry.computed.priority	sec_result.priority	Uppercased entry.computed.priority _PRIORITY
entry.ruleId, rule_ruleId	sec_result.rule_id	Valore di entry.ruleId se non è vuoto, altrimenti rule_ruleId
AccessControlRuleName, rule_message, fw_rule, flowStatistics.securityIntelligenceList1.securityIntelligenceListName	sec_result.rule_name	Valore di AccessControlRuleName se non è vuoto, altrimenti rule_message, altrimenti fw_rule, altrimenti flowStatistics.securityIntelligenceList1.securityIntelligenceListName
EventPriority, sec_severity, severity_code, priority_name	sec_result.severity	Impostato su LOW se EventPriority è Low, HIGH se è High, MEDIUM se è Medium; altrimenti dai mapping sec_severity; altrimenti dai mapping severity_code; altrimenti priority_name in maiuscolo
Utente	sec_result.summary	Valore copiato direttamente
threat_name	sec_result.threat_name	Valore copiato direttamente
security_result	security_result	Unito da security_result
firewallRuleAction, hold.action, AccessControlRuleAction, sec_result_action, vendor_blocked	security_result.action	Valore di firewallRuleAction in maiuscolo se non no_action, altrimenti hold.action, altrimenti da AccessControlRuleAction con casi, altrimenti sec_result_action, altrimenti da vendor_blocked (0 ALLOW, altrimenti BLOCK)
disposizione	security_result.action_details	Impostato su "Infetto" se la disposizione è 3, altrimenti "Sconosciuto"
eventDescription	security_result.description	Valore copiato direttamente
firewallRule	security_result.rule_name	Valore copiato direttamente
threat_name	security_result.threat_name	Valore copiato direttamente
hostService.webApplication.webApplication0.applicationId.webApplicationName	target.application	Valore copiato direttamente
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.asset.ip	Unito da DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
InstanceID, flowStatistics.clientAppId	target.asset_id	Valore di InstanceID se non è vuoto, altrimenti " Client_app_id: " + flowStatistics.clientAppId
file	target.file	Ridenominato da file
DstIP, entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6	target.ip	Unito da DstIP (grok), entry.destinationIpAddress, dest_ip, flowStatistics.responderIPAddress, destination_address_IPv4v6 (grok)
flowStatistics.responderCountry.geolocation.countryName, dest_ip_country, entry.country.data	target.location.country_or_region	Valore di flowStatistics.responderCountry.geolocation.countryName se non è vuoto, altrimenti dest_ip_country, altrimenti entry.country.data
MACAddress	target.mac	Indirizzo MAC in minuscolo se non è 00:00:00:00:00:00
DstPort, entry.destinationPort, entry.destinationPortOrIcmpType, dest_port, flowStatistics.responderPort, destination_port_or_icmp_code	target.port	Valore di DstPort se non è vuoto, altrimenti entry.destinationPort, altrimenti entry.destinationPortOrIcmpType, altrimenti dest_port, altrimenti flowStatistics.responderPort, altrimenti destination_port_or_icmp_code, convertito in numero intero
securityZoneName, det_engine, file_num, file_pos, rec_length	target.resource.attribute.labels	Unito da securityZoneName, det_engine, file_num, file_pos, rec_length se non vuoto
URL	target.url	Valore copiato direttamente
entry.user.username.data	target.user.userid	Valore copiato direttamente
descript	vulnerabilities.description	Valore copiato direttamente
severity_detail	vulnerabilities.severity_details	Valore copiato direttamente
prodotto	vulnerabilities.vendor	Valore copiato direttamente
	metadata.product_name	Imposta su "CISCO_FIRESIGHT"
	metadata.vendor_name	Imposta su "CISCO MANAGEMENT CENTER"
syslog_priority	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
IngressZone	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
EgressZone	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
IngressVRF	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
EgressVRF	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ClientAppDetector	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
Prefilter Policy	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
Tunnel or Prefilter Rule	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
inter	intermediary.hostname	Mappato dal log delle modifiche
ConnectionID	security_result.about.resource.attribute.labels	Mappato dal log delle modifiche
FirstPacketSecond	security_result.about.resource.attribute.labels	Mappato dal log delle modifiche
EventPriority	security_result.severity	Mappato dal log delle modifiche
WebApplication", "URLReputation", "EgressInterface", "IngressInterface", "ACPolicy", and "NAPPolicy	additional.fields	Mappato dal log delle modifiche
service_type", "syslog_facility_code", "syslog_priority	additional.fields	Mappato dal log delle modifiche
entry_msg	metadata.description	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.