Cisco Secure Firewall Management Center のログを収集する

パーサーのバージョン: 7.0

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Cisco Secure Firewall Management Center（以前の FireSIGHT/Firepower Management Center）のログを Google Security Operations に取り込む方法について説明します。

Cisco Secure Firewall Management Center（FMC）は、Cisco Secure Firewall Threat Defense デバイスの包括的なポリシー管理、イベント分析、レポート作成を提供する一元管理コンソールです。FMC は、接続イベント、セキュリティ インテリジェンス イベント、侵入イベント、ファイル イベント、マルウェア イベントを syslog 経由で外部 SIEM システムに送信できます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Cisco Secure Firewall Management Center 間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します
  • Cisco Secure Firewall Management Center ウェブ インターフェースへの特権アクセス
  • FMC の管理者またはセキュリティ アナリストのユーザーロール

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理> サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスは RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスが active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探します。

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_fmc:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: chronicle.googleapis.com
        log_type: CISCO_FIRESIGHT
        raw_log_field: body
        ingestion_labels:
            env: production
            source: fmc

service:
    pipelines:
        logs/fmc_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_fmc

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: 0.0.0.0:514 に設定すると、UDP ポート 514 のすべてのインターフェースをリッスンします。Linux でポート 514 に root 権限が必要な場合は、代わりにポート 1514 を使用し、そのポートに送信するように FMC を構成します。

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: 前のセクションでコピーしたお客様 ID に置き換えます。
    • location: <LOCATION> を Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポートでは、この値が chronicle.googleapis.com の前に付加されます。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。
    • log_type: CISCO_FIRESIGHT に設定します（完全一致が必要です）。
    • ingestion_labels: フィルタリングと整理に使用する省略可能なラベル

以前の取り込み API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
    chronicle/cisco_fmc:
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_FIRESIGHT
        raw_log_field: body
        ingestion_labels:
            env: production
            source: fmc

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      sudo systemctl status observiq-otel-collector

    2. ログでエラーを確認します。

      sudo journalctl -u observiq-otel-collector -f

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        sc query observiq-otel-collector

      5. ログでエラーを確認します。

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Cisco Secure Firewall Management Center の syslog 転送を構成する

このセクションでは、Secure Firewall Threat Defense デバイスから Bindplane エージェントにセキュリティ イベントの syslog メッセージ（接続、セキュリティ インテリジェンス、侵入、ファイル、マルウェア イベント）を送信するように FMC を構成する方法について説明します。

syslog アラート レスポンスを作成する

  1. Cisco Secure Firewall Management Center のウェブ インターフェースにログインします。
  2. [System] > [Integration] > [Syslog] に移動します。
  3. [Create Syslog Alert] をクリックします。
  4. 次の構成情報を指定します。
    • 名前: わかりやすい名前を入力します（例: Chronicle-Bindplane）。
    • ホスト: Bindplane エージェント ホストの IP アドレスを入力します（例: 192.168.1.100）。
    • ポート: 514 と入力します（Bindplane が非特権ポートでリッスンするように構成されている場合は 1514）。
    • ファシリティ: プルダウンからファシリティを選択します（例: SYSLOG）。
    • 重大度: プルダウンから重大度レベルを選択します（例: INFO）。

  5. [保存] をクリックします。

Secure Firewall Threat Defense デバイスの syslog 設定を構成する

  1. Cisco Secure Firewall Management Center のウェブ インターフェースで、[Devices] > [Platform Settings] に移動します。
  2. Secure Firewall Threat Defense デバイスに関連付けられているプラットフォーム設定ポリシーを編集するか、新しいポリシーを作成します。
  3. 左側のナビゲーション パネルで [Syslog] をクリックします。
  4. [Syslog Servers] をクリックし、[Add] をクリックして新しい syslog サーバーを構成します。
  5. 次の構成情報を指定します。
    • IP アドレス: Bindplane エージェント ホストの IP アドレスを入力します（例: 192.168.1.100）。
    • プロトコル: [UDP] を選択します。
    • ポート: 514 を入力します（または、非特権ポートでリッスンするように Bindplane を構成した場合は 1514）。
    • インターフェース: 管理インターフェースまたは Bindplane エージェントに到達できるインターフェースを選択します。
  6. [OK] をクリックして、Syslog サーバーの構成を保存します。
  7. [Syslog の設定] をクリックして、次の設定を構成します。
    • [Enable Timestamp on Syslog Messages] をオンにします。
    • タイムスタンプ形式: [ISO 8601] を選択します（Google SecOps で推奨）。
    • [Enable Syslog Device ID] をオンにして、必要に応じてカスタム デバイス ID を入力します。
  8. [ロギングの設定] をクリックします。
  9. [EMBLEM 形式で syslog を送信する] かどうかを選択します。Google SecOps の取り込みでは、どちらの形式もサポートされています。
  10. [保存] をクリックして、プラットフォーム設定ポリシーを保存します。

アクセス制御ポリシーのロギング設定を構成する

  1. Cisco Secure Firewall Management Center のウェブ インターフェースで、[Policies] > [Access Control] に移動します。
  2. 該当するアクセス制御ポリシーを編集します。
  3. [ロギング] タブをクリックします。
  4. [Use the syslog settings configured in the Threat Defense Platform Settings policy deployed on the device] を選択します。
  5. 必要に応じて、[Syslog Severity] レベル（[Info]、[Alert] など）を選択します。
  6. ファイル イベントとマルウェア イベントを送信する場合は、[ファイル イベントとマルウェア イベントの Syslog メッセージを送信する] をオンにします。
  7. [保存] をクリックします。

セキュリティ インテリジェンス イベントのロギングを有効にする

  1. 同じアクセス制御ポリシーで、[Security Intelligence] タブをクリックします。
  2. 次の各場所で [ロギング] をクリックし、ロギングを有効にします。
    • [DNS Policy] の横にある [Logging] をクリックし、[Log at Beginning of Connection] と [Log at End of Connection] を有効にして、[Syslog Server] を有効にします。
    • [Networks] の [Block List] ボックスで、[Logging] をクリックし、[Log at Beginning of Connection] と [Log at End of Connection] を有効にして、[Syslog サーバー] を有効にします。
    • [URLs] の [Block List] ボックスで、[Logging] をクリックし、[Log at Beginning of Connection] と [Log at End of Connection] を有効にして、[Syslog サーバー] を有効にします。
  3. [保存] をクリックします。

アクセス制御ルールの syslog ロギングを有効にする

  1. 同じアクセス制御ポリシーで、[ルール] タブをクリックします。
  2. 編集するルールをクリックします。
  3. ルールの [ロギング] タブをクリックします。
  4. 接続の開始または終了、あるいはその両方をログに記録するかどうかを選択します。
    • [Log at Beginning of Connection]（大量のログを生成）をオンにします。
    • [Log at End of Connection] をオンにします（ほとんどのユースケースで推奨）。
  5. ファイル イベントをログに記録する場合は、[ログファイル] をオンにします。
  6. [Syslog サーバー] をオンにします。
  7. ルールがアクセス制御ロギングでデフォルトの syslog 構成を使用していることを確認します。オーバーライドを構成しないでください。
  8. [追加] をクリックしてルールを保存します。
  9. ログに記録するポリシー内のルールごとに、手順 2 ～ 8 を繰り返します。

侵入ポリシーの syslog 設定を構成する

  1. [Policies] > [Intrusion] に移動します。
  2. アクセス制御ポリシーに関連付けられている侵入ポリシーを編集します。
  3. [詳細設定> Syslog アラート] をクリックします。
  4. [Syslog Alerting] を [Enabled] に設定します。
  5. [Syslog アラート] の横にある [編集] をクリックします。
  6. 以下の設定を構成します。
    • Logging Host: Threat Defense Platform Settings で構成された syslog 設定を使用する場合は、このフィールドを空白のままにします。ここでロギングホストを指定する場合は、[Facility] と [Severity] も構成する必要があります。
    • ファシリティ: ロギングホストを指定した場合にのみ適用されます。ファシリティ（AUTH や LOCAL0 など）を選択します。
    • 重大度: Logging Host を指定した場合にのみ適用されます。重大度レベル（[情報] や [アラート] など）を選択します。
  7. [戻る] をクリックします。
  8. 左側のナビゲーション パネルで [Policy Information]（ポリシー情報）をクリックします。
  9. [Commit Changes] をクリックします。

構成の変更をデプロイする

  1. すべての syslog 設定を構成したら、管理対象デバイスに変更をデプロイします。
  2. Cisco Secure Firewall Management Center ウェブ インターフェースで、右上にある [Deploy] をクリックします。
  3. 構成をデプロイするデバイスを選択します。

  4. [デプロイ] をクリックして、変更を適用します。

syslog 転送を確認する

  1. Secure Firewall Threat Defense デバイスでテスト トラフィックまたはセキュリティ イベントを生成します。

  2. Bindplane エージェント ログを調べて、syslog メッセージが受信されていることを確認します。

    • Linux:

      sudo journalctl -u observiq-otel-collector -f

    • Windows:

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. Google SecOps コンソールにログインし、[イベント] ビューアにイベントが表示されていることを確認します。

サポートされているイベントタイプ

Cisco Secure Firewall Management Center は、syslog 経由で次のイベントタイプを Google SecOps に送信できます。

イベントタイプ 説明
接続イベント モニタリング対象ホストと他のすべてのホスト間のネットワーク接続データ
セキュリティ インテリジェンス イベント セキュリティ インテリジェンスのブロックリスト（IP、URL、DNS）に関連するイベント
侵入イベント 管理対象デバイスによって生成された侵入検知および防止イベント
ファイル イベント ファイル分析イベント
マルウェア イベント マルウェア検出イベント

Syslog メッセージの形式

Cisco Secure Firewall Management Center は、次の形式で syslog メッセージを送信します。

  • 接続イベントの例:

    <134>1 2024-01-15T10:15:45.123Z fmc-hostname %FTD-6-430003: EventPriority: Low, DeviceUUID: abc123, InstanceID: 1, FirstPacketSecond: 1705318545, ConnectionID: 12345, AccessControlRuleAction: Allow, SrcIP: 10.0.0.5, DstIP: 8.8.8.8, SrcPort: 54321, DstPort: 53, Protocol: udp, IngressInterface: inside, EgressInterface: outside, IngressZone: inside-zone, EgressZone: outside-zone, ACPolicy: Default-Policy, AccessControlRuleName: Allow-DNS, User: user@example.com, ApplicationProtocol: DNS, InitiatorBytes: 64, ResponderBytes: 128

  • 侵入イベントの例:

    <134>1 2024-01-15T10:16:30.456Z fmc-hostname %FTD-4-430001: EventPriority: High, DeviceUUID: abc123, InstanceID: 1, SrcIP: 192.168.1.100, DstIP: 10.0.0.50, SrcPort: 12345, DstPort: 80, Protocol: tcp, IngressInterface: outside, EgressInterface: inside, IngressZone: outside-zone, EgressZone: inside-zone, IntrusionPolicy: Security-Over-Connectivity, SignatureID: 1:2024123:1, SignatureGeneratorID: 1, Classification: web-application-attack, Priority: 1, Message: SQL injection attempt detected

syslog メッセージには、カンマで区切られた Key-Value ペアが含まれているため、Google SecOps による解析に適しています。

制限事項

  • FMC から送信されたイベントが Google SecOps に表示されるまでに最大 15 分かかることがあります。
  • 遡及的なマルウェア イベントは、syslog 経由では利用できません。
  • Cisco Secure Endpoint によって生成されたイベントは、syslog 経由では利用できません。
  • eStreamer API を介して利用可能なメタデータの一部は、syslog メッセージに含まれていません（たとえば、LDAP からの詳細なユーザー情報、拡張アプリケーション メタデータ、位置情報データなど）。
  • オブジェクト名（ポリシー名、ルール名）にカンマなどの特殊文字を使用すると、syslog の解析に影響する可能性があります。オブジェクト名に特殊文字を使用しないでください。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
WebApplication、URLReputation、EgressInterface、IngressInterface、ACPolicy、NAPPolicy、ConnectionID、ssl_ticket_id、qoa_applied_interface、sinkhole_uuid、security_context、sec_zone_egress、sec_zone_ingress additional.fields 空でない場合は、さまざまなラベル フィールドから統合されます。
eventType extensions.auth.type eventType が「USER_LOGIN_INFORMATION」の場合は「VPN」に設定します。
vulnerabilities extensions.vulns.vulnerabilities 空でない場合は、脆弱性からマージされます
flowStatistics.httpReferrer http.referral_url 値が直接コピーされる
flowStatistics.httpResponse http.response_code 整数に変換
flowStatistics.userAgent http.user_agent 値が直接コピーされる
_intermediary intermediary 空でない場合は _intermediary からマージ
recordTypeDescription, entry.message metadata.description 空でない場合は recordTypeDescription の値、それ以外の場合は entry.message の値
event_second, connection_timestamp, _serverTimestamp metadata.event_timestamp event_second が空でない場合は、event_second から解析された日付。それ以外の場合は connection_timestamp。それ以外の場合は _serverTimestamp
event_type metadata.event_type 値を直接コピーする
prod_event_type、eventId、recordTypeCategory、app、_recordTypeName、eventType metadata.product_event_type prod_event_type の値（空でない場合）。空の場合は eventId、eventId が空の場合は recordTypeCategory、recordTypeCategory が空の場合は app、app が空の場合は _recordTypeName、_recordTypeName が空の場合は eventType
DeviceUUID metadata.product_log_id 値が直接コピーされる
flowStatistics.clientAppVersion、client_version metadata.product_version flowStatistics.clientAppVersion が空でない場合はその値、それ以外の場合は client_version
flowStatistics.clientAppURL metadata.url_back_to_product 値を直接コピーする
ApplicationProtocol network.application_protocol (?i)ldap と一致する場合は「LDAP」、(?i)https と一致する場合は「HTTPS」、(?i)http と一致する場合は「HTTP」に設定されます。
answer network.dns.answers 回答から統合
flowStatistics.dnsQuery network.dns.answers.name 値が直接コピーされる
flowStatistics.dnsTTL network.dns.answers.ttl uinteger に変換
flowStatistics.dnsRecordType network.dns.answers.type uinteger に変換
flowStatistics.dnsResponseType network.dns.response_code uinteger に変換
user_agent network.http.parsed_user_agent parseduseragent に変換
user_agent network.http.user_agent 値が直接コピーされる
proto、Protocol、inputType、proto_type、protocol、ip_v4_protocol、protocol_number_src network.ip_protocol プロトコル マッピングとケースを使用して、さまざまなフィールドに基づいて設定する
ResponderBytes、flowStatistics.bytesReceived network.received_bytes ResponderBytes の値（空でない場合）。空の場合は flowStatistics.bytesReceived。uinteger に変換されます。
ResponderPackets network.received_packets 整数に変換しました
InitiatorBytes、flowStatistics.bytesSent network.sent_bytes InitiatorBytes の値（空でない場合）。空の場合は flowStatistics.bytesSent（uinteger に変換）
InitiatorPackets、packet_data network.sent_packets 空でない場合は InitiatorPackets の値、それ以外の場合は packet_data。整数に変換されます。
ssl_session_id network.session_id 値を直接コピーする
ssl_cipher_suite network.tls.cipher 値が直接コピーされる
agent_type、agent_version observer.application 両方が空でない場合は、agent_type と agent_version を連結
entry.host.hostname observer.hostname 値を直接コピーする
entry.host.ip observer.ip entry.host.ip から統合
entry.host.mac observer.mac entry.host.mac から統合
clientApplication、hold.app_string principal.application clientApplication の値（空でない場合）。空の場合は hold.app_string
prin_host、DeviceAddress、principal_hostname principal.asset.hostname 空でない場合は prin_host の値。sourceAddress が空の場合は DeviceAddress。それ以外の場合は principal_hostname
SrcIP、principal_ip、source_address_IPv4v6 principal.asset.ip SrcIP（grok 検証済み）、principal_ip、source_address_IPv4v6（grok 検証済み）から統合
file_sha_hash、sha_hash principal.file.sha256 file_sha_hash が空でない場合はその値、それ以外の場合は sha_hash
prin_host、DeviceAddress、principal_hostname principal.hostname prin_host が空でない場合はその値、sourceAddress が空の場合は DeviceAddress、それ以外の場合は principal_hostname
SrcIP、principal_ip、source_address_IPv4v6 principal.ip SrcIP（grok 検証済み）、principal_ip、source_address_IPv4v6（grok 検証済み）から統合
flowStatistics.initiatorCountry.geolocation.countryName, src_ip_country principal.location.country_or_region flowStatistics.initiatorCountry.geolocation.countryName の値（空でない場合）。空の場合は src_ip_country
entry.macAddress principal.mac entry.macAddress から統合
host_os_platform principal.platform centos の場合は LINUX に設定し、それ以外の場合は entry.host.os.platform を大文字に変換します。
entry.host.os.kernel principal.platform_patch_level 値が直接コピーされる
identityData.fingerprintUUID.osName、osFingerprint.fingerprintUUID.osName principal.platform_version identityData の osName と osVersion を連結したもの（空でない場合）。空の場合は osFingerprint
SrcPort、entry.sourcePort、entry.sourcePortOrIcmpType、source_port、flowStatistics.initiatorPort、source_port_or_icmp_code principal.port SrcPort の値（空でない場合）。それ以外の場合は entry.sourcePort、それ以外の場合は entry.sourcePortOrIcmpType、それ以外の場合は source_port、それ以外の場合は flowStatistics.initiatorPort、それ以外の場合は source_port_or_icmp_code（整数に変換）
isecurityZoneName principal.resource.attribute.labels isecurityZoneName から統合
DeviceType principal.resource.name 値を直接コピーする
principal.resource.resource_type 「DEVICE」に設定します。
entry.computed.user principal.user.user_display_name 文字列に変換しました
entry.userId、user_id、flowStatistics.user.userId、entry.computed.user、userLoginInformation.userName principal.user.userid 空でない場合は entry.userId の値、それ以外の場合は user_id、それ以外の場合は flowStatistics.user.userId、それ以外の場合は entry.computed.user、それ以外の場合は userLoginInformation.userName
connectionID_label、FirstPacketSecond_label sec_result.about.resource.attribute.labels 空でない場合は connectionID_label と FirstPacketSecond_label からマージされます
sec_result_action sec_result.action sec_result_action から統合
flowStatistics.securityIntelligenceList1.securityIntelligenceListName sec_result.category rule_name が Malware の場合は NETWORK_MALICIOUS、Anomali_IP の場合は NETWORK_SUSPICIOUS に設定します。
classification.description、userLoginInformation.description、sec_desc sec_result.description classification.description の値（空でない場合）。空の場合は userLoginInformation.description、それ以外の場合は sec_desc
entry.computed.priority sec_result.priority 大文字のエントリ。computed.priority _PRIORITY
entry.ruleId、rule_ruleId sec_result.rule_id 空でない場合は entry.ruleId の値、それ以外の場合は rule_ruleId
AccessControlRuleName、rule_message、fw_rule、flowStatistics.securityIntelligenceList1.securityIntelligenceListName sec_result.rule_name 空でない場合は AccessControlRuleName の値、それ以外の場合は rule_message、それ以外の場合は fw_rule、それ以外の場合は flowStatistics.securityIntelligenceList1.securityIntelligenceListName
EventPriority、sec_severity、severity_code、priority_name sec_result.severity EventPriority が Low の場合は LOW、High の場合は HIGH、Medium の場合は MEDIUM に設定。それ以外の場合は sec_severity マッピングから、それ以外の場合は severity_code マッピングから、それ以外の場合は priority_name を大文字に変換
ユーザー sec_result.summary 値が直接コピーされる
threat_name sec_result.threat_name 値が直接コピーされる
security_result security_result security_result から統合
firewallRuleAction、hold.action、AccessControlRuleAction、sec_result_action、vendor_blocked security_result.action firewallRuleAction の値（no_action でない場合は大文字、それ以外の場合は hold.action、それ以外の場合は AccessControlRuleAction の値（大文字と小文字を区別）、それ以外の場合は sec_result_action、それ以外の場合は vendor_blocked の値（0 の場合は ALLOW、それ以外の場合は BLOCK））
disposition security_result.action_details 処理 3 の場合は「感染」に設定し、それ以外の場合は「不明」に設定します。
eventDescription security_result.description 値が直接コピーされる
firewallRule security_result.rule_name 値を直接コピーする
threat_name security_result.threat_name 値が直接コピーされる
hostService.webApplication.webApplication0.applicationId.webApplicationName target.application 値を直接コピーする
DstIP、entry.destinationIpAddress、dest_ip、flowStatistics.responderIPAddress、destination_address_IPv4v6 target.asset.ip DstIP（grok）、entry.destinationIpAddress、dest_ip、flowStatistics.responderIPAddress、destination_address_IPv4v6（grok）から統合
InstanceID、flowStatistics.clientAppId target.asset_id 空でない場合は InstanceID の値。それ以外の場合は「Client_app_id: 」+ flowStatistics.clientAppId
ファイル target.file ファイルから名前変更
DstIP、entry.destinationIpAddress、dest_ip、flowStatistics.responderIPAddress、destination_address_IPv4v6 target.ip DstIP（grok）、entry.destinationIpAddress、dest_ip、flowStatistics.responderIPAddress、destination_address_IPv4v6（grok）から統合
flowStatistics.responderCountry.geolocation.countryName、dest_ip_country、entry.country.data target.location.country_or_region flowStatistics.responderCountry.geolocation.countryName が空でない場合はその値、それ以外の場合は dest_ip_country、それ以外の場合は entry.country.data
MACAddress target.mac 00:00:00:00:00:00 でない場合は、小文字の MACAddress
DstPort、entry.destinationPort、entry.destinationPortOrIcmpType、dest_port、flowStatistics.responderPort、destination_port_or_icmp_code target.port DstPort が空でない場合は DstPort の値、それ以外の場合は entry.destinationPort、それ以外の場合は entry.destinationPortOrIcmpType、それ以外の場合は dest_port、それ以外の場合は flowStatistics.responderPort、それ以外の場合は destination_port_or_icmp_code。整数に変換されます。
securityZoneName, det_engine, file_num, file_pos, rec_length target.resource.attribute.labels securityZoneName、det_engine、file_num、file_pos、rec_length が空でない場合は、それらから統合されます。
URL target.url 値を直接コピーする
entry.user.username.data target.user.userid 値を直接コピーする
descript vulnerabilities.description 値が直接コピーされる
severity_detail vulnerabilities.severity_details 値が直接コピーされる
product vulnerabilities.vendor 値が直接コピーされる
metadata.product_name 「CISCO_FIRESIGHT」に設定
metadata.vendor_name 「CISCO MANAGEMENT CENTER」に設定されます。
syslog_priority event.idm.read_only_udm.additional.fields 変更履歴からマッピング
IngressZone event.idm.read_only_udm.additional.fields 変更履歴からマッピング
EgressZone event.idm.read_only_udm.additional.fields 変更履歴からマッピング
IngressVRF event.idm.read_only_udm.additional.fields 変更履歴からマッピング
EgressVRF event.idm.read_only_udm.additional.fields 変更履歴からマッピング
ClientAppDetector event.idm.read_only_udm.additional.fields 変更履歴からマッピング
Prefilter Policy event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
Tunnel or Prefilter Rule event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
inter intermediary.hostname 変更履歴からマッピング
ConnectionID security_result.about.resource.attribute.labels 変更履歴からマッピング
FirstPacketSecond security_result.about.resource.attribute.labels 変更履歴からマッピング
EventPriority security_result.severity 変更履歴からマッピング
WebApplication", "URLReputation", "EgressInterface", "IngressInterface", "ACPolicy", and "NAPPolicy additional.fields 変更履歴からマッピング
service_type", "syslog_facility_code", "syslog_priority additional.fields 変更履歴からマッピング
entry_msg metadata.description 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。