Collecter les journaux Cisco IOS

Version de l'analyseur : 23.0

Compatible avec :

Ce document explique comment ingérer des journaux Cisco IOS dans Google Security Operations à l'aide de l'agent Bindplane.

Les appareils Cisco IOS génèrent des messages syslog pour les événements système, les changements d'état de l'interface, les correspondances de LCA, l'authentification et les événements de routage. L'analyseur extrait les champs à l'aide de modèles grok et les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et l'appareil Cisco IOS
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à l'appareil Cisco IOS via SSH ou la console

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation sous Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/cisco_ios:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CISCO_IOS
    raw_log_field: body

service:
  pipelines:
    logs/cisco_ios_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/cisco_ios

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port d'écoute :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite un accès racine sous Linux ; utilisez 1514 pour un accès non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/cisco_ios:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CISCO_IOS
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Recherchez les erreurs dans les journaux :

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer syslog sur un appareil Cisco IOS

  1. Connectez-vous à l'appareil Cisco IOS à l'aide de SSH ou d'une connexion à la console.

  2. Passez en mode privilégié :

    enable

  3. Passez en mode de configuration :

    conf t

  4. Configurez syslog :

    logging <BINDPLANE_IP>
logging source-interface <INTERFACE>
    • Remplacez <BINDPLANE_IP> par l'adresse IP réelle de l'agent Bindplane.
    • Remplacez <INTERFACE> par l'interface de communication réelle.

  5. Configurez le niveau de priorité :

    logging trap information
logging console information

  6. Configurez la fonctionnalité syslog :

    logging facility syslog

  7. Enregistrez la configuration :

    copy running-config startup-config

Table de mappage UDM

Champ du journal
 Mappage UDM
13_Protocol_Runtime_Context additional.fields
16_AdminWebappN additional.fields
16_AdminWebappT additional.fields
16_AdminWebappU additional.fields
16_BYODN additional.fields
16_BYODT additional.fields
16_BYODU additional.fields
16_DBListenerN additional.fields
16_DBListenerT additional.fields
16_DBListenerU additional.fields
16_DBServerN additional.fields
16_DBServerT additional.fields
16_DBServerU additional.fields
16_GuestN additional.fields
16_GuestT additional.fields
16_GuestU additional.fields
16_iowait additional.fields
16_ISEIndexingEngineN additional.fields
16_ISEIndexingEngineT additional.fields
16_ISEIndexingEngineU additional.fields
16_JVMN additional.fields
16_JVMT additional.fields
16_JVMU additional.fields
16_MessageQueueN additional.fields
16_MessageQueueT additional.fields
16_MessageQueueU additional.fields
16_MisservicesN additional.fields
16_MisservicesT additional.fields
16_MisservicesU additional.fields
16_NSFN additional.fields
16_NSFT additional.fields
16_NSFU additional.fields
16_ProfilerDatabaseN additional.fields
16_ProfilerDatabaseT additional.fields
16_ProfilerDatabaseU additional.fields
16_RMIT additional.fields
16_RMIU additional.fields
16_SyslogN additional.fields
16_SyslogT additional.fields
16_SyslogU additional.fields
4_ArpCache_InsertUpdate_Received additional.fields
4_HostName_Event_Fetch_FromAD additional.fields
4_Probe_Requests_Dropped additional.fields
4_Probe_Requests_Received additional.fields
AAA_ID security_result.detection_fields
about event.idm.read_only_udm.about
Acct-Session-Id principal.resource.attribute.labels
AcctRequest-Flags security_result.summary
AcctRequest-Flags security_result.action
Condition :
[AcctRequest-Flags] =~ "(?i)Start" ou "(?i)Stop"
AcsSessionID network.session_id
Action_number security_result.detection_fields
address_family security_result.detection_fields
admin_state security_result.detection_fields
aid security_result.detection_fields
applet_statement security_result.detection_fields
application principal.application
application_name principal.application
arp_resp additional.fields
arp_src principal.ip
principal.asset.ip
attr additional.fields
auditid network.session_id
auth_neg_dur additional.fields
Authen-Method security_result.detection_fields
Authen-Type additional.fields
authentication_protocol security_result.detection_fields
AuthenticationIdentityStore additional.fields
AuthenticationMethod additional.fields
AuthenticationStatus security_result.summary
AuthorizationPolicyMatchedRule security_result.rule_name
avg_time additional.fields
AVPair_priv-lvl security_result.detection_fields
AVPair_start_time additional.fields
AVPair_task_id additional.fields
AVPair_timezone additional.fields
band additional.fields
calledId security_result.detection_fields
calledId2 security_result.detection_fields
callID additional.fields
Calling-Station-ID additional.fields
category security_result.category
category_number security_result.detection_fields
channel additional.fields
Chassis_data additional.fields
cisco_facility_2 security_result.detection_fields
cisco_message network.application_protocol
Condition :
Si [cisco_message] =~ "ssh" sinon si [cisco_message] =~ "HTTP"
cisco_mnemonic security_result.rule_name
cisco_severity security_result.severity
Condition :
[cisco_severity] == "0"
Informations supplémentaires :
"security_result.severity" => "CRITICAL" "security_result.severity_details" => "System unusable"
cisco_severity security_result.severity
Condition :
[cisco_severity] == "1"
Informations supplémentaires :
"security_result.severity" => "CRITICAL" "security_result.severity_details" => "Immediate action needed"
cisco_severity security_result.severity
Condition :
[cisco_severity] == "2"
Informations supplémentaires :
"security_result.severity" => "HIGH" "security_result.severity_details" => "Critical condition"
cisco_severity security_result.severity
Condition :
[cisco_severity] == "3"
Informations supplémentaires :
"security_result.severity" => "ERROR" "security_result.severity_details" => "Error condition"
cisco_severity security_result.severity
Condition :
[cisco_severity] == "4"
Informations supplémentaires :
"security_result.severity" => "MEDIUM" "security_result.severity_details" => "Warning condition"
cisco_severity security_result.severity
Condition :
[cisco_severity] == "5"
Détails supplémentaires :
"security_result.severity" => "LOW" "security_result.severity_details" => "État normal, mais important"
cisco_severity security_result.severity
Condition :
[cisco_severity] == "6"
Informations supplémentaires :
"security_result.severity" => "INFORMATIONAL" "security_result.severity_details" => "Message d'information uniquement"
cisco_severity security_result.severity
Condition :
[cisco_severity] == "7"
Informations supplémentaires :
"security_result.severity" => "INFORMATIONAL" "security_result.severity_details" => "Appears during debugging only"
cisco_severity security_result.severity > "CRITICAL"
class_type security_result.detection_fields
client_mac principal.mac
principal.asset.mac
ClientLatency additional.fields
CmdSet principal.process.command_line
CName additional.fields
code additional.fields
code_reference additional.fields
collected_timestamp metadata.collected_timestamp
collector_id additional.fields
command principal.process.command_line
command_code additional.fields
community_count additional.fields
ConfigVersionId additional.fields
context additional.fields
context2 additional.fields
CPMSessionID additional.fields
current_state security_result.detection_fields
da_vendor additional.fields
data_value additional.fields
debug_file principal.process.file.full_path
debug_line additional.fields
debug_timestamp security_result.detection_fields
desc metadata.description
description metadata.description
DestinationIPAddress target.ip
target.asset.ip
DestinationPort target.port
DetailedInfo security_result.summary
dev_type principal.platform_version
device_component additional.fields
Device_IP_Address principal.ip
principal.asset.ip
device_os additional.fields
Device_Type additional.fields
DeviceType principal.resource.resource_subtype
DeviceType principal.resource.resource_type
Condition
[DeviceType] =~ "Phone"
DIP target.ip
target.asset.ip
DMac target.resource.attribute.labels
domain principal.administrative_domain
Domain principal.administrative_domain
dp_handle additional.fields
DPort target.port
dst_ip target.ip
target.asset.ip
dst_mac target.mac
target.asset.mac
dst_port target.port
dst_user target.user.userid
duration additional.fields
dynamic_mac target.resource.attribute.labels
EnableFlag security_result.detection_fields
ephone-1 principal.resource.attribute.labels
essid security_result.detection_fields
event_id additional.fields
failure_reason security_result.description
file_path principal.file.full_path
first_bgp_community additional.fields
flapping_port_1 additional.fields
flapping_port_2 additional.fields
flowtype security_result.detection_fields
for ALG additional.fields
fqdn security_result.detection_fields
framed security_result.detection_fields
full_conn additional.fields
group principal.group.group_display_name
Hit cnt additional.fields
hmac_algorithm additional.fields
hostname principal.hostname
principal.asset.hostname
hostname (value = %PARSER-5-CFGLOG_LOGGEDCMD) metadata.product_event_type
icmp_code additional.fields
icmp_type additional.fields
IdentityGroup principal.user.group_identifiers
IdentitySelectionMatchedRule security_result.detection_fields
IEC additional.fields
input intf additional.fields
input_interface additional.fields
inter_host intermediary.ip
intermediary.hostname
interface intermediary.resource.name
interface_2 intermediary.resource.attribute.labels
intermediary_host intermediary.ip
intermediary.hostname
intermediary_ip intermediary.ip
internal_error security_result.summary
invalid_arp_count additional.fields
ip_ident additional.fields
ip_resp additional.fields
ip_sla_id additional.fields
ip_src principal.ip
principal.asset.ip
IPSEC additional.fields
is_wpa additional.fields
IsMachineAuthentication additional.fields
IsMachineIdentity security_result.detection_fields
last_auth_ago additional.fields
list security_result.detection_fields
list_id additional.fields
loc_id security_result.detection_fields
Location additional.fields
logging_attribute principal.resource.attribute.labels
mapping-id additional.fields
MatchedCommandSet additional.fields
max_threshold security_result.detection_fields
message_type additional.fields
missed_packets security_result.detection_fields
Model_Name additional.fields
module security_result.detection_fields
module_id security_result.detection_fields
Name additional.fields
nas_identity target.hostname
target.asset.hostname
nas_ip target.nat_ip
NAS_IP_Address intermediary.ip
nas_port target.nat_port
NAS-Identifier target.resource.attribute.labels
nastype target.resource.attribute.labels
nat_ip principal.nat_ip
Network_Device_Profile additional.fields
network_processor additional.fields
NetworkDeviceProfileId principal.resource.product_object_id
NetworkDeviceProfileName principal.resource.name
new_value security_result.detection_fields
new-state security_result.detection_fields
non-PATable additional.fields
Notification additional.fields
object_tracking_number additional.fields
offset additional.fields
oid additional.fields
oper_state security_result.detection_fields
peer-system-ip target.ip
target.asset.ip
peer-type additional.fields
peer-vmanage-system-ip target.ip
target.asset.ip
personality principal.resource.attribute.labels
pid principal.process.pid
PktLen additional.fields
Port principal.resource.attribute.labels
port range additional.fields
port_channel security_result.detection_fields
previous_state security_result.detection_fields
previous_value security_result.detection_fields
principal_resource principal.resource.name
principal_user_address principal.user.attribute.labels
privilege_level security_result.detection_fields
Privilege-Level security_result.detection_fields
process principal.resource.attribute.labels
process_name target.application
processing_time additional.fields
product_log_id metadata.product_log_id
prot additional.fields
Proto additional.fields
protocol network.application_protocol
network.ip_protocol
Protocol additional.fields
protocol_number security_result.detection_fields
public-ip principal.nat_ip
public-port principal.nat_port
qfp_data additional.fields
radio additional.fields
reason security_result.summary
received_packets network.received_bytes
region principal.location.country_or_region
Remote-Address target.ip
target.asset.ip
request_id additional.fields
RequestLatency security_result.detection_fields
Response additional.fields
result_action security_result.action
RSA_keypair security_result.detection_fields
rssi additional.fields
rtt additional.fields
sec_action security_result.action
security_process security_result.detection_fields
SelectedAccessService security_result.action_details
SelectedAuthenticationIdentityStores security_result.detection_fields
SelectedAuthorizationProfiles security_result.detection_fields
SelectedCommandSet additional.fields
SelectedShellProfile additional.fields
Service additional.fields
service security_result.detection_fields
Service-Argument additional.fields
session_id network.session_id
session_id2 security_result.detection_fields
session_packet network.sent_bytes
severity-level security_result.detection_fields
SIP principal.ip
principal.asset.ip
SMac principal.resource.attribute.labels
Socket principal.resource.attribute.labels
Software_Version additional.fields
source_facility principal.hostname
principal.asset.hostname
sourced_by additional.fields
spi security_result.detection_fields
SPort principal.port
Src Intf principal.resource.attribute.labels
src_ip principal.ip
principal.asset.ip
principal.hostname
principal.asset.hostname
src_ip_2 principal.ip
principal.asset.ip
src_mac principal.mac
principal.asset.mac
src_port principal.port
src_user_id principal.user.userid
src_user_name principal.user.user_display_name
src_username principal.user.user_display_name
src-color principal.resource.attribute.labels
ssid security_result.detection_fields
state security_result.detection_fields
status_code network.http.response_code
status_msg security_result.rule_name
StepData_13 security_result.summary
StepData_14 security_result.detection_fields
StepData_15 security_result.detection_fields
StepData_20 security_result.detection_fields
StepData_21 security_result.detection_fields
StepData_3 additional.fields
StepData_4 security_result.detection_fields
StepData_6 security_result.detection_fields
StepData_7 security_result.detection_fields
StepData_8 security_result.detection_fields
StepLatency additional.fields
syslog_msg_category additional.fields
syslog_msg_id additional.fields
syslog_msg_level additional.fields
syslog_msg_source additional.fields
syslog_priority additional.fields
system-ip principal.ip
principal.asset.ip
target_ip target.ip
target.asset.ip
target_mac target.mac
target.asset.mac
target_process_id target.process.pid
target_process_name target.resource.attribute.labels
target_user_address target.user.attribute.labels
thirdparty additional.fields
thread_id principal.resource.attribute.labels
timestamp metadata.event_timestamp
timestamp1 additional.fields
tls_cipher network.tls.cipher
tls_client network.tls.client.supported_ciphers
TotalAuthenLatency additional.fields
tracked_object_id additional.fields
transport_protocol additional.fields
trustpoint about.resource.name
TS additional.fields
tty_number additional.fields
tunnel_client_endpoint principal.ip
principal.asset.ip
Type security_result.category_details
uptime additional.fields
url target.url
User principal.user.userid
userName target.user.userid
Condition:
if ([cisco_tag] =~ "SEC_LOGIN-4-LOGIN_FAILED" or [cisco_mnemonic] =~ "LOGIN_FAILED") [cisco_tag] =~ "SEC_LOGIN-5-LOGIN_SUCCESS" or [cisco_facility] =~ "SEC_LOGIN" or [cisco_facility] =~ "SEC LOGIN" or [cisco_mnemonic]=~ "LOGIN_SUCCESS" or [cisco_mnemonic] =~ "SSH2_USERAUTH" or [cisco_mnemonic] =~ "LOGIN"
Username principal.user.userid
username_length additional.fields
UserType additional.fields
vap additional.fields
vlan_id intermediary.resource.attribute.labels
vlan_id_2 intermediary.resource.attribute.labels
Vlan-Id additional.fields
VlanType additional.fields
vrid security_result.detection_fields
zone additional.fields
zone_pair security_result.detection_fields

Deltas de version

Google SecOps a publié une nouvelle version de l'analyseur Cisco IOS, qui inclut des modifications du mappage des champs de journal Parser_Name aux champs UDM et des modifications du mappage des types d'événements.

Delta de mappage des champs de journal

Le tableau suivant répertorie le delta de mappage pour les champs de journal Cisco IOS vers UDM :

Champ du journal Ancien mappage Mappage actuel
aid additional.fields security_result.detection_fields
auditid metadata.product_log_id network.session_id
cisco_severity "security_result.severity" => "LOW" "security_result.severity" => "CRITICAL"
CmdSet additional.fields principal.process.command_line
dst_user ( value=host) target.user.userid removed
fqdn principal.hostname security_result.detection_fields
hostname (value = %PARSER-5-CFGLOG_LOGGEDCMD) principal.hostname metadata.product_event_type
IdentityGroup additional.fields principal.user.group_identifiers
interface intermediary.labels intermediary.resource.name
sequence_id additional.fields metadata.product_log_id
User target.user.userid principal.user.userid

Delta de mappage du type d'événement

Types d'événements existants avec des modifications dans les conditions utilisées :

Type d'événement Conditions Motif
STATUS_UPDATE else if([principal_mid_present] == "true" or [has_principal] == "true")and [target_mid_present] == "false" { To avoid setting up STATUS_UPDATE if principal.ip and target.ip both are present.
USER_UNCATEGORIZED else if [principal_userid_present] == "true" or [principal_display_name_present] == "true" or [target_userid_present] == "true" {

Nouveaux types d'événements :

Nouveau type d'événement Conditions
DEVICE_CONFIG_UPDATE else if [principal_mid_present] == "true" and [cisco_tag] in ["PARSER-5-CFGLOG_LOGGEDCMD","SYS-5-CONFIG_I"] {
USER_LOGIN else if([principal_userid_present] == "true" or [principal_display_name_present] == "true" or [target_userid_present] == "true")and [process_name] != "" and([user_event] =~ "(?i)new tcp session" or [user_event] =~ "(?i)created new session"){
USER_LOGIN else if [target_mid_present] == "true" and [user_event] =~ "(?i)logging" {
USER_UNCATEGORIZED else if [principal_userid_present] == "true" or [target_userid_present] == "true" or [principal_mac_present] == "true" {
Champ du journal Mappage UDM
AcsSessionID network.session_id
AcctRequest-Flags security_result.summary
AcctRequest-Flags security_result.action
AuthenticationIdentityStore additional.fields.key = AuthenticationIdentityStore, value = AuthenticationIdentityStore
AuthenticationMethod additional.fields.key = AuthenticationMethod, value = AuthenticationMethod
AuthenticationStatus security_result.summary
Authen-Method security_result.detection_fields.key = Authen-Method, value = Authen-Method
Authen-Method extensions.auth.type
AVPair_priv-lvl security_result.detection_fields.key = AVPair_priv-lvl, value = AVPair_priv-lvl
AVPair_start_time additional.fields.key = AVPair_start_time, value = AVPair_start_time
AVPair_task_id additional.fields.key = AVPair_task_id, value = AVPair_task_id
AVPair_timezone additional.fields.key = AVPair_timezone, value = AVPair_timezone
auditid metadata.product_log_id
cisco_facility
cisco_message metadata.description
cisco_mnemonic security_result.rule_name
cisco_severity security_result.severity
cisco_severity security_result.severity_details
cisco_tag metadata.product_event_type
cisco_tag metadata.event_type
ClientLatency additional.fields.key = ClientLatency, value = ClientLatency
CmdSet additional.fields.key = CmdSet, value = CmdSet
commande principal.process.command_line
CPMSessionID additional.fields.key = CPMSessionID, value = CPMSessionID
description metadata.description
DestinationIPAddress target.asset.ip
DestinationIPAddress target.ip
DestinationPort target.port
Device_IP_Address principal.asset.ip
Device_IP_Address principal.ip
Device_Type additional.fields.key = Device_Type, value = Device_Type
dst_ip target.asset.ip
dst_ip target.ip
dst_port target.port
dst_user target.user.userid
EnableFlag security_result.detection_fields.key = EnableFlag, value = EnableFlag
IdentityGroup additional.fields.key = IdentityGroup, value = IdentityGroup
IdentitySelectionMatchedRule security_result.detection_fields.key = IdentitySelectionMatchedRule, value = IdentitySelectionMatchedRule
intermediary_host intermediary.hostname
intermediary_ip intermediary.ip
IPSEC additional.fields.key = IPSEC, value = IPSEC
ISEPolicySetName extensions.auth.type
IsMachineAuthentication additional.fields.key = IsMachineAuthentication, value = IsMachineAuthentication
IsMachineIdentity security_result.detection_fields.key = IsMachineIdentity, value = IsMachineIdentity
Emplacement additional.fields.key = Location, value = Location
MatchedCommandSet additional.fields.key = MatchedCommandSet, value = MatchedCommandSet
message
metadata_event_type metadata.event_type
Model_Name additional.fields.key = Model_Name, value = Model_Name
Nom additional.fields.key = Name, value = Name
Network_Device_Profile additional.fields.key = Network_Device_Profile, value = Network_Device_Profile
NetworkDeviceGroups additional.fields.key = NetworkDeviceGroups, value = NetworkDeviceGroups
NetworkDeviceName principal.asset.hostname
NetworkDeviceName principal.hostname
NetworkDeviceProfileId principal.resource.product_object_id
pid principal.process.pid
Port principal.resource.attribute.labels.key = Port, value = Port
Niveau de privilège security_result.detection_fields.key = Privilege-Level, value = Privilege-Level
product_event_type metadata.product_event_type
Protocole additional.fields.key = Protocol, value = Protocol
protocol network.application_protocol
protocol network.ip_protocol
reason security_result.summary
région principal.location.country_or_region
Adresse distante target.asset.ip
Remote-Address target.ip
RequestLatency security_result.detection_fields.key = RequestLatency, value = RequestLatency
Réponse additional.fields.key = Response, value = Response
SelectedAccessService security_result.action_details
SelectedAuthenticationIdentityStores security_result.detection_fields.key = SelectedAuthenticationIdentityStores, value = SelectedAuthenticationIdentityStores
SelectedCommandSet additional.fields.key = SelectedCommandSet, value = SelectedCommandSet
Service additional.fields.key = Service, value = Service
Service-Argument additional.fields.key = Service-Argument, value = Service-Argument
de gravité, security_result.severity
Software_Version additional.fields.key = Software_Version, value = Software_Version
source_facility principal.asset.hostname
source_facility principal.hostname
src_ip principal.asset.ip
src_ip principal.ip
src_mac principal.mac
src_port principal.port
src_user_id principal.user.userid
src_user_name principal.user.user_display_name
Étape additional.fields.key = Step, value = Step
StepData_10 principal.asset.hostname
StepData_10 principal.hostname
StepData_13 security_result.summary
StepData_14 security_result.detection_fields.key = StepData_14, value = StepData_14
StepData_15 security_result.detection_fields.key = StepData_15, value = StepData_15
StepData_20 security_result.detection_fields.key = StepData_20, value = StepData_20
StepData_21 security_result.detection_fields.key = StepData_21, value = StepData_21
StepData_3 additional.fields.key = StepData_3, value = StepData_3
StepData_4 security_result.detection_fields.key = StepData_4, value = StepData_4
StepData_6 security_result.detection_fields.key = StepData_6, value = StepData_6
StepData_7 security_result.detection_fields.key = StepData_7, value = StepData_7
StepData_8 security_result.detection_fields.key = StepData_8, value = StepData_8
StepData_9 principal.user.userid
target_host target.asset.hostname
target_host target.hostname
code temporel metadata.event_timestamp
TotalAuthenLatency additional.fields.key = TotalAuthenLatency, value = TotalAuthenLatency
ts metadata.event_timestamp
Type security_result.category_details
Utilisateur principal.user.userid
UserType additional.fields.key = UserType, value = UserType
metadata.vendor_name
metadata.product_name
metadata.log_type
hostname event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname
description event.idm.read_only_udm.metadata.description
application event.idm.read_only_udm.principal.application
userName event.idm.read_only_udm.target.user.userid
intermediary_host event.idm.read_only_udm.intermediary.ip
target_mac event.idm.read_only_udm.target.mac
target_mac event.idm.read_only_udm.target.asset.mac
fqdn event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname
sec_action event.idm.read_only_udm.security_result.action
session_packet event.idm.read_only_udm.network.sent_bytes
missed_packets event.idm.read_only_udm.additional.fields
inter_host event.idm.read_only_udm.intermediary.ip
target_host event.idm.read_only_udm.intermediary.ip
inter_host event.idm.read_only_udm.intermediary.hostname
tls_cipher network.tls.cipher
tls_client network.tls.client.supported_ciphers
Chassis_data additional.fields
extensions.auth.type AUTHTYPE_UNSPECIFIED
client_mac principal.mac
sequence_id","vap", "band", "channel", "rssi", "aid" and "radio additional.fields

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.