ארגנו מחדש את מבנה הניווט במסמכי התיעוד כדי שיתאים ישירות לתהליכי העבודה התפעוליים שלכם. מידע נוסף זמין בהערות הגרסה ובסרטון ההדרכה.

‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Cisco Secure Network Analytics

גרסת מנתח הנתונים: 19.0

נתמך ב:

Google secops SIEM

במסמך הזה מוסבר איך להטמיע יומנים של Cisco Secure Network Analytics (לשעבר Stealthwatch) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Cisco Secure Network Analytics הוא פתרון לניתוח תנועת נתונים ברשת שמשתמש בטלמטריה מתשתית הרשת הקיימת שלכם כדי לזהות איומים. הוא מספק תובנות לגבי פעילות ברשת, מזהה התנהגות חריגה ומגלה איומים מתקדמים כמו תקשורת של שליטה ובקרה, תנועה לרוחב וגניבת נתונים, בלי צורך בסוכנים או בחומרה נוספת.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps.
‫Windows Server 2016 ואילך, או מארח Linux עם systemd.
אם מריצים את הסוכן מאחורי שרת proxy, צריך לוודא שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישת הרשאה ל-Cisco Secure Network Analytics Manager (לשעבר Stealthwatch Management Console).
קישוריות רשת בין Cisco Secure Network Analytics Manager לבין מארח הסוכן Bindplane ביציאת UDP‏ 514 (או ביציאת ה-syslog שבחרתם).

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
הורדת קובץ אימות להטמעת נתונים
שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת Windows

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```
השירות אמור להופיע עם הערך RUNNING.

התקנה של Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```
השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

איתור קובץ התצורה

‫Linux:

sudo nano /etc/bindplane-agent/config.yaml

‫Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_sna:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: 'your-customer-id-here'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_STEALTHWATCH
        raw_log_field: body
        ingestion_labels:

service:
    pipelines:
        logs/cisco_sna_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_sna

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת מקלט:
- ‫listen_address: כתובת ה-IP והיציאה להאזנה. כדי להאזין בכל הממשקים, משתמשים ב0.0.0.0. היציאה צריכה להיות זהה ליציאה שהוגדרה ב-Cisco Secure Network Analytics (ברירת מחדל: 514).
הגדרות של הכלי לייצוא:
- ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
  - ‫Linux: /etc/bindplane-agent/ingestion-auth.json
  - ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- ‫customer_id: מספר הלקוח שהועתק מ-Google SecOps.
- endpoint: Regional endpoint URL:
  - ארה"ב: malachiteingestion-pa.googleapis.com
  - אירופה: europe-malachiteingestion-pa.googleapis.com
  - אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
  - רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ ההגדרות

אחרי שמסיימים לערוך, שומרים את הקובץ:
- ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
- ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
1. מוודאים שהשירות פועל:
```
sudo systemctl status observiq-otel-collector
```
2. בודקים אם יש שגיאות ביומנים:
```
sudo journalctl -u observiq-otel-collector -f
```
כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:
- שורת פקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- מסוף השירותים:
  1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
  2. מחפשים את observIQ OpenTelemetry Collector.
  3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
  4. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
  5. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת העברה של syslog ב-Cisco Secure Network Analytics

נכנסים אל Cisco Secure Network Analytics Manager (לשעבר Stealthwatch Management Console).
עוברים אל הגדרה > ניהול תגובות לזיהוי.
לוחצים על הכרטיסייה פעולות.
מאתרים את פעולת ברירת המחדל שליחה אל Syslog ברשימה.
לוחצים על סמל האפשרויות הנוספות (...) בעמודה פעולה ליד שליחה אל Syslog, ואז לוחצים על עריכה.
מזינים את פרטי ההגדרה הבאים:
- כתובת שרת Syslog: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
- יציאת UDP: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane config.yaml).
- פורמט ההודעה: בוחרים באפשרות CEF.
לוחצים על הלחצן הכחול שמירה בפינה השמאלית העליונה.
לוחצים על הכרטיסייה כללים.
לוחצים על הוספת כלל חדש או עורכים כלל קיים.
מגדירים את התנאים של הכלל כדי להגדיר אילו התראות יפעילו את הפעולה של syslog:
- התראה למארח: בוחרים את קטגוריות ההתראות להעברה (לדוגמה, מדד גבוה של חשש, חילוץ נתונים, פקודות ושליטה).
- התראה על קשר בין קבוצות מארחים: בוחרים את כללי המדיניות לגבי קשרים להעברה (לדוגמה, תנועה גבוהה, הצפת SYN).
בקטע Response Actions, בוחרים בפעולה Send to Syslog.
לוחצים על Save.
כדי לוודא שהודעות syslog מתקבלות, בודקים את היומנים של סוכן Bindplane.

הערה: חשוב לוודא שיציאת ה-UDP‏ 514 (או יציאת ה-syslog שבחרתם) מורשית בכל חומות האש או המכשירים המתווכים בין Cisco Secure Network Analytics Manager לבין מארח הסוכן של Bindplane.

מידע נוסף זמין במסמכי התיעוד של Cisco Secure Network Analytics ובמדריך ההגדרה של Response Management syslog.

טבלת מיפוי UDM

שדה היומן	מיפוי UDM	לוגיקה
`_about`	`about`	ממוזג
`about`	`about`	ממוזג
`deviceNtDomain`	`about.administrative_domain`	שם שונה/מיפוי
`deviceExternalId`	`about.asset.asset_id`	מיפוי ישיר
`device_product`	`about.asset.asset_id`	מיפוי ישיר
`device_vendor`	`about.asset.asset_id`	מיפוי ישיר
`fileHash`	`about.file.full_path`	מיפוי ישיר
`filePath`	`about.file.full_path`	שם שונה/מיפוי
`_hash`	`about.file.sha256`	שם שונה/מיפוי
`fileHash`	`about.file.sha256`	שם שונה/מיפוי
`fsize`	`about.file.size`	שם שונה/מיפוי
`dvchost`	`about.hostname`	שם שונה/מיפוי
`ips`	`about.ip`	ממוזג
`dvcmac`	`about.mac`	ממוזג
`mac_address`	`about.mac`	ממוזג
`deviceTranslatedAddress`	`about.nat_ip`	ממוזג
`Emne`	`about.process.command_line`	מיפוי ישיר
`Path`	`about.process.command_line`	מיפוי ישיר
`Subject`	`about.process.command_line`	מיפוי ישיר
`deviceProcessName`	`about.process.command_line`	שם שונה/מיפוי
`dvcpid`	`about.process.pid`	שם שונה/מיפוי
`permissions`	`about.resource.attribute.permissions`	ממוזג
`additional_cfp1`	`additional.fields`	ממוזג
`additional_cfp2`	`additional.fields`	ממוזג
`additional_cfp3`	`additional.fields`	ממוזג
`additional_cfp4`	`additional.fields`	ממוזג
`additional_cn1`	`additional.fields`	ממוזג
`additional_cn2`	`additional.fields`	ממוזג
`additional_cn3`	`additional.fields`	ממוזג
`additional_cs1`	`additional.fields`	ממוזג
`additional_cs2`	`additional.fields`	ממוזג
`additional_cs3`	`additional.fields`	ממוזג
`additional_cs4`	`additional.fields`	ממוזג
`additional_cs5`	`additional.fields`	ממוזג
`additional_cs6`	`additional.fields`	ממוזג
`additional_cs7`	`additional.fields`	ממוזג
`additional_devicePayloadId`	`additional.fields`	ממוזג
`additional_eventId`	`additional.fields`	ממוזג
`additional_flexString1`	`additional.fields`	ממוזג
`additional_fname`	`additional.fields`	ממוזג
`cs5_label`	`additional.fields`	ממוזג
`field_`	`additional.fields`	ממוזג
`_intermediary`	`intermediary`	ממוזג
`data.short_text`	`metadata.description`	מיפוי ישיר
`desc`	`metadata.description`	מיפוי ישיר
`description`	`metadata.description`	מיפוי ישיר
`leef.fullmessage`	`metadata.description`	מיפוי ישיר
`msg`	`metadata.description`	שם שונה/מיפוי
`short_text`	`metadata.description`	מיפוי ישיר
`device_event_class_id`	`metadata.product_event_type`	מיפוי ישיר
`eventData_id`	`metadata.product_event_type`	מיפוי ישיר
`event_name`	`metadata.product_event_type`	מיפוי ישיר
`reportName`	`metadata.product_event_type`	מיפוי ישיר
`externalId`	`metadata.product_log_id`	מיפוי ישיר
`id`	`metadata.product_log_id`	מיפוי ישיר
`device_product`	`metadata.product_name`	מיפוי ישיר
`Version`	`metadata.product_version`	מיפוי ישיר
`device_version`	`metadata.product_version`	מיפוי ישיר
`version`	`metadata.product_version`	מיפוי ישיר
`device_vendor`	`metadata.vendor_name`	שם שונה/מיפוי
`app_protocol_output`	`network.application_protocol`	מיפוי ישיר
`protocol`	`network.application_protocol`	מיפוי ישיר
`method`	`network.http.method`	מיפוי ישיר
`requestMethod`	`network.http.method`	שם שונה/מיפוי
`requestClientApplication`	`network.http.user_agent`	שם שונה/מיפוי
`ip_protocol_out`	`network.ip_protocol`	מיפוי ישיר
`ServerBytes`	`network.received_bytes`	שם שונה/מיפוי
`in`	`network.received_bytes`	שם שונה/מיפוי
`peerBytes`	`network.received_bytes`	שם שונה/מיפוי
`data.packets_in`	`network.received_packets`	מיפוי ישיר
`packets_in`	`network.received_packets`	מיפוי ישיר
`ClientBytes`	`network.sent_bytes`	שם שונה/מיפוי
`hostBytes`	`network.sent_bytes`	שם שונה/מיפוי
`out`	`network.sent_bytes`	שם שונה/מיפוי
`data.packets_out`	`network.sent_packets`	מיפוי ישיר
`packets_out`	`network.sent_packets`	מיפוי ישיר
`session_id`	`network.session_id`	מיפוי ישיר
`SourceModuleType`	`observer.application`	מיפוי ישיר
`leef_flowCollectorIP`	`observer.asset.ip`	ממוזג
`leef.flowCollectorName`	`observer.hostname`	מיפוי ישיר
`leef_flowCollectorIP`	`observer.ip`	ממוזג
`leef.domain`	`principal.administrative_domain`	מיפוי ישיר
`sntdom`	`principal.administrative_domain`	שם שונה/מיפוי
`sourceServiceName`	`principal.application`	שם שונה/מיפוי
`details.title`	`principal.asset.hostname`	מיפוי ישיר
`hostname`	`principal.asset.hostname`	מיפוי ישיר
`prin_host`	`principal.asset.hostname`	מיפוי ישיר
`source_name`	`principal.asset.hostname`	מיפוי ישיר
`ClientIP`	`principal.asset.ip`	ממוזג
`MessageSourceAddress`	`principal.asset.ip`	ממוזג
`connected_ip`	`principal.asset.ip`	ממוזג
`data.connected_ip`	`principal.asset.ip`	ממוזג
`details.ip`	`principal.asset.ip`	ממוזג
`host.ipAddress`	`principal.asset.ip`	ממוזג
`host_ip`	`principal.asset.ip`	ממוזג
`ip`	`principal.asset.ip`	ממוזג
`leef.src`	`principal.asset.ip`	ממוזג
`prin_ip`	`principal.asset.ip`	ממוזג
`sourceIPv4Address`	`principal.asset.ip`	ממוזג
`source_name`	`principal.asset.ip`	ממוזג
`src_ip`	`principal.asset.ip`	ממוזג
`Group_name`	`principal.group.group_display_name`	מיפוי ישיר
`Gruppenavn`	`principal.group.group_display_name`	מיפוי ישיר
`Device_name`	`principal.hostname`	מיפוי ישיר
`Enhetsnavn`	`principal.hostname`	מיפוי ישיר
`details.title`	`principal.hostname`	מיפוי ישיר
`hostname`	`principal.hostname`	מיפוי ישיר
`prin_host`	`principal.hostname`	מיפוי ישיר
`shost`	`principal.hostname`	שם שונה/מיפוי
`source_name`	`principal.hostname`	מיפוי ישיר
`ClientIP`	`principal.ip`	ממוזג
`MessageSourceAddress`	`principal.ip`	ממוזג
`connected_ip`	`principal.ip`	ממוזג
`data.connected_ip`	`principal.ip`	ממוזג
`details.ip`	`principal.ip`	ממוזג
`host.ipAddress`	`principal.ip`	ממוזג
`host_ip`	`principal.ip`	ממוזג
`ip`	`principal.ip`	ממוזג
`leef.src`	`principal.ip`	ממוזג
`prin_ip`	`principal.ip`	ממוזג
`principal_ip`	`principal.ip`	ממוזג
`shost`	`principal.ip`	ממוזג
`sourceIPv4Address`	`principal.ip`	ממוזג
`source_name`	`principal.ip`	ממוזג
`src_ip`	`principal.ip`	ממוזג
`Source_HG`	`principal.location.country_or_region`	מיפוי ישיר
`host.country`	`principal.location.country_or_region`	מיפוי ישיר
`leef.sourceHG`	`principal.location.country_or_region`	מיפוי ישיר
`ClientMAC`	`principal.mac`	ממוזג
`mac`	`principal.mac`	ממוזג
`source_mac_address`	`principal.mac`	ממוזג
`source_info.namespace`	`principal.namespace`	מיפוי ישיר
`sourceTranslatedAddress`	`principal.nat_ip`	ממוזג
`sourceTranslatedPort`	`principal.nat_port`	שם שונה/מיפוי
`ClientPort`	`principal.port`	שם שונה/מיפוי
`SourcePort`	`principal.port`	שם שונה/מיפוי
`data.port`	`principal.port`	שם שונה/מיפוי
`port`	`principal.port`	שם שונה/מיפוי
`spt`	`principal.port`	שם שונה/מיפוי
`sproc`	`principal.process.command_line`	שם שונה/מיפוי
`process_name`	`principal.process.file.full_path`	מיפוי ישיר
`process_pid`	`principal.process.pid`	מיפוי ישיר
`spid`	`principal.process.pid`	שם שונה/מיפוי
`Source_HostSnapshot`	`principal.url`	מיפוי ישיר
`leef.sourceHostSnapshot`	`principal.url`	מיפוי ישיר
`principal_role`	`principal.user.attribute.roles`	ממוזג
`actor_email`	`principal.user.email_addresses`	ממוזג
`actor_name`	`principal.user.email_addresses`	ממוזג
`UserName`	`principal.user.user_display_name`	מיפוי ישיר
`actor.username`	`principal.user.user_display_name`	מיפוי ישיר
`data.actor.username`	`principal.user.user_display_name`	מיפוי ישיר
`source_username`	`principal.user.user_display_name`	מיפוי ישיר
`suser`	`principal.user.user_display_name`	מיפוי ישיר
`actor.id`	`principal.user.userid`	מיפוי ישיר
`data.actor.id`	`principal.user.userid`	מיפוי ישיר
`suid`	`principal.user.userid`	שם שונה/מיפוי
`user_name`	`principal.user.userid`	מיפוי ישיר
`security_res`	`security_result`	ממוזג
`security_result`	`security_result`	ממוזג
`_action`	`security_result.action`	ממוזג
`Action_Taken`	`security_result.action_details`	מיפוי ישיר
`act`	`security_result.action_details`	מיפוי ישיר
`cat`	`security_result.category_details`	ממוזג
`Scan_Type`	`security_result.description`	מיפוי ישיר
`Type`	`security_result.description`	מיפוי ישיר
`msg_data_2`	`security_result.description`	מיפוי ישיר
`infection_channel_label`	`security_result.detection_fields`	ממוזג
`operasjon_label`	`security_result.detection_fields`	ממוזג
`operation_label`	`security_result.detection_fields`	ממוזג
`permission_label`	`security_result.detection_fields`	ממוזג
`spyware_Grayware_Type_label`	`security_result.detection_fields`	ממוזג
`threat_probability_label`	`security_result.detection_fields`	ממוזג
`tillatelse_label`	`security_result.detection_fields`	ממוזג
`mwProfile`	`security_result.rule_name`	מיפוי ישיר
`Result`	`security_result.summary`	מיפוי ישיר
`appcategory`	`security_result.summary`	מיפוי ישיר
`reason`	`security_result.summary`	שם שונה/מיפוי
`Spyware`	`security_result.threat_name`	מיפוי ישיר
`Unknown_Threat`	`security_result.threat_name`	מיפוי ישיר
`Virus_Malware_Name`	`security_result.threat_name`	מיפוי ישיר
`oldFilePath`	`src.file.full_path`	שם שונה/מיפוי
`oldFileSize`	`src.file.size`	שם שונה/מיפוי
`old_permissions`	`src.resource.attribute.permissions`	ממוזג
`dntdom`	`target.administrative_domain`	שם שונה/מיפוי
`destinationServiceName`	`target.application`	שם שונה/מיפוי
`target_hostname`	`target.asset.hostname`	מיפוי ישיר
`DestIPv4Address`	`target.asset.ip`	ממוזג
`ServerIP`	`target.asset.ip`	ממוזג
`ipt`	`target.asset.ip`	ממוזג
`leef.dst`	`target.asset.ip`	ממוזג
`peer.ipAddress`	`target.asset.ip`	ממוזג
`file_path`	`target.file.full_path`	מיפוי ישיר
`file_type`	`target.file.mime_type`	מיפוי ישיר
`target_hostname`	`target.hostname`	מיפוי ישיר
`temp_dhost`	`target.hostname`	מיפוי ישיר
`DestIPv4Address`	`target.ip`	ממוזג
`IPv6_Address`	`target.ip`	ממוזג
`ServerIP`	`target.ip`	ממוזג
`dst_ip`	`target.ip`	ממוזג
`ipt`	`target.ip`	ממוזג
`leef.dst`	`target.ip`	ממוזג
`peer.ipAddress`	`target.ip`	ממוזג
`peer.country`	`target.location.country_or_region`	מיפוי ישיר
`ServerMAC`	`target.mac`	ממוזג
`mac_address`	`target.mac`	ממוזג
`target_mac_address`	`target.mac`	ממוזג
`destination_translated_address`	`target.nat_ip`	ממוזג
`destinationTranslatedPort`	`target.nat_port`	שם שונה/מיפוי
`DestPort`	`target.port`	שם שונה/מיפוי
`ServerPort`	`target.port`	שם שונה/מיפוי
`dpt`	`target.port`	שם שונה/מיפוי
`dproc`	`target.process.command_line`	שם שונה/מיפוי
`File_name`	`target.process.file.full_path`	מיפוי ישיר
`Infected_Resource`	`target.process.file.full_path`	מיפוי ישיר
`Object`	`target.process.file.full_path`	מיפוי ישיר
`Objekt`	`target.process.file.full_path`	מיפוי ישיר
`dpid`	`target.process.pid`	שם שונה/מיפוי
`process_id`	`target.process.pid`	מיפוי ישיר
`resource_Type_label`	`target.resource.attribute.labels`	ממוזג
`SourceModuleName`	`target.resource.name`	מיפוי ישיר
`Target_HostSnapshot`	`target.url`	מיפוי ישיר
`leef.targetHostSnapshot`	`target.url`	מיפוי ישיר
`request`	`target.url`	מיפוי ישיר
`target_role`	`target.user.attribute.roles`	ממוזג
`CustomerName`	`target.user.user_display_name`	מיפוי ישיר
`temp_duser`	`target.user.user_display_name`	מיפוי ישיר
`Bruker`	`target.user.userid`	מיפוי ישיר
`User_value`	`target.user.userid`	מיפוי ישיר
`temp_duid`	`target.user.userid`	מיפוי ישיר
`sid`	`target.user.windows_sid`	מיפוי ישיר
לא רלוונטי	`about`	קבוע: `about`
לא רלוונטי	`about.ip`	קבוע: `ips`
לא רלוונטי	`about.mac`	קבוע: `mac_address`
לא רלוונטי	`about.nat_ip`	קבוע: `deviceTranslatedAddress`
לא רלוונטי	`about.resource.attribute.permissions`	קבוע: `permissions`
לא רלוונטי	`additional.fields`	קבוע: `additional_eventId`
לא רלוונטי	`intermediary`	קבוע: `_intermediary`
לא רלוונטי	`metadata.event_type`	קבוע: `PROCESS_UNCATEGORIZED`
לא רלוונטי	`metadata.product_name`	קבוע: `Cisco Stealthwatch`
לא רלוונטי	`metadata.vendor_name`	קבוע: `Cisco`
לא רלוונטי	`network.direction`	קבוע: `INBOUND`
לא רלוונטי	`network.ip_protocol`	קבוע: `TCP`
לא רלוונטי	`observer.asset.ip`	קבוע: `leef_flowCollectorIP`
לא רלוונטי	`observer.ip`	קבוע: `leef_flowCollectorIP`
לא רלוונטי	`principal.asset.ip`	קבוע: `host_ip`
לא רלוונטי	`principal.ip`	קבוע: `host_ip`
לא רלוונטי	`principal.mac`	קבוע: `mac`
לא רלוונטי	`principal.nat_ip`	קבוע: `sourceTranslatedAddress`
לא רלוונטי	`principal.user.attribute.roles`	קבוע: `principal_role`
לא רלוונטי	`principal.user.email_addresses`	קבוע: `actor_name`
לא רלוונטי	`security_result`	קבוע: `security_result`
לא רלוונטי	`security_result.action`	קבוע: `_action`
לא רלוונטי	`security_result.category_details`	קבוע: `cat`
לא רלוונטי	`security_result.detection_fields`	קבוע: `operation_label`
לא רלוונטי	`security_result.severity`	קבוע: `LOW`
לא רלוונטי	`src.resource.attribute.permissions`	קבוע: `old_permissions`
לא רלוונטי	`target.asset.ip`	קבוע: `leef.dst`
לא רלוונטי	`target.ip`	קבוע: `leef.dst`
לא רלוונטי	`target.mac`	קבוע: `mac_address`
לא רלוונטי	`target.nat_ip`	קבוע: `destination_translated_address`
לא רלוונטי	`target.resource.attribute.labels`	קבוע: `resource_Type_label`
לא רלוונטי	`target.user.attribute.roles`	קבוע: `target_role`
`ProtocolIdentifier`	`network.ip_protocol`	מופה מיומן השינויים
`inputSNMPIface", "outputSNMPIface", "InPackets`	`additional.fields`	מופה מיומן השינויים

שנה רישום

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.