Raccogli i log dello switch Cisco

Versione parser: 27.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log degli switch Cisco in Google Security Operations utilizzando l'agente Bindplane.

Gli switch Cisco generano messaggi syslog per le modifiche dello stato delle porte, gli eventi di spanning tree, le corrispondenze ACL, l'autenticazione e le operazioni di sistema. Il parser estrae i campi utilizzando i pattern grok e li mappa al modello UDM (Unified Data Model).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e lo switch Cisco
• Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane.
• Accesso con privilegi all'interfaccia a riga di comando dello switch Cisco

Recupera le credenziali Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuove implementazioni: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (Opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Editor Chronicle.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul tuo computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) oppure aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

   Nota: l'ID cliente è necessario per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/cisco_switch:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: CISCO_SWITCH
      raw_log_field: body
  
  service:
    pipelines:
      logs/cisco_switch_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/cisco_switch
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

• Configurazione del destinatario:

  • listen_address: indirizzo IP e porta su cui ascoltare:
    • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
    • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)

• Configurazione dell'esportatore:

  • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID cliente copiato dalla console Google SecOps
  • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
  • project: sostituisci <PROJECT_NUMBER> con il numero di progetto in IAM e amministrazione > Impostazioni.
  • endpoint: mantieni l'impostazione su chronicle.googleapis.com.

Esportatore dell'API di importazione precedente

• Se utilizzi il file di autenticazione dell'importazione dell'opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/cisco_switch:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CISCO_SWITCH
      raw_log_field: body
  

Nota: questo esportatore smetterà di funzionare quando l'API Ingestion verrà ritirata il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
  • Windows: fai clic su File > Salva

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. Controlla i log per individuare eventuali errori:

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       sc query observiq-otel-collector
       

    5. Controlla i log per verificare la presenza di errori:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurare syslog su uno switch Cisco

1. Accedi allo switch Cisco.

2. Aumento dei privilegi:

   enable
   

3. Passa alla modalità di configurazione:

   conf t
   

4. Configura Syslog:

   logging host <BINDPLANE_IP> transport <tcp/udp> port <PORT>
   logging source-interface <INTERFACE>
   

   • Sostituisci <BINDPLANE_IP> con l'indirizzo IP dell'agente Bindplane.
   • Sostituisci <tcp/udp> con il protocollo di ascolto configurato (ad esempio, udp).
   • Sostituisci <INTERFACE> con l'ID interfaccia Cisco.

5. Imposta il livello di priorità:

   logging trap Informational
   logging console Informational
   logging severity Informational
   

6. Imposta la struttura syslog:

   logging facility local6
   

7. Attiva i timestamp:

   service timestamps log datetime
   

8. Salva ed esci.

9. Salva la configurazione per sopravvivere al riavvio:

   copy running-config startup-config
   

Tabella di mappatura UDM

Campo log	mappatura UDM	Logica
azione	security_result.action_details	Il valore di questo campo è derivato dal campo action nel log non elaborato.
giorno
descrizione	metadata.description	Il valore di questo campo deriva dal campo description nel log non elaborato.
descrizione	security_result.description	Il valore di questo campo è derivato dal campo description nel log non elaborato.
destination_ip	target.asset.ip	Il valore di questo campo deriva dal campo destination_ip nel log non elaborato.
destination_ip	target.ip	Il valore di questo campo è derivato dal campo destination_ip nel log non elaborato.
destination_port	target.port	Il valore di questo campo è derivato dal campo destination_port nel log non elaborato.
dispositivo	principal.asset.hostname	Il valore di questo campo deriva dal campo device nel log non elaborato.
dispositivo	principal.hostname	Il valore di questo campo deriva dal campo device nel log non elaborato.
dispositivo	target.asset.hostname	Il valore di questo campo è derivato dal campo device nel log non elaborato.
dispositivo	target.hostname	Il valore di questo campo deriva dal campo device nel log non elaborato.
device_ip	principal.asset.ip	Il valore di questo campo è derivato dal campo device_ip nel log non elaborato.
device_ip	principal.ip	Il valore di questo campo deriva dal campo device_ip nel log non elaborato.
device_ip	target.asset.ip	Il valore di questo campo deriva dal campo device_ip nel log non elaborato.
device_ip	target.ip	Il valore di questo campo deriva dal campo device_ip nel log non elaborato.
struttura	principal.resource.type	Il valore di questo campo è derivato dal campo facility nel log non elaborato.
header_data	metadata.product_log_id	Il valore di questo campo è derivato dal campo header_data nel log non elaborato.
header_data	target.asset.ip	Il valore di questo campo deriva dal campo header_data nel log non elaborato.
header_data	target.ip	Il valore di questo campo deriva dal campo header_data nel log non elaborato.
nome host	principal.asset.hostname	Il valore di questo campo deriva dal campo hostname nel log non elaborato.
nome host	principal.hostname	Il valore di questo campo deriva dal campo hostname nel log non elaborato.
ip	principal.asset.ip	Il valore di questo campo deriva dal campo ip nel log non elaborato.
ip	principal.ip	Il valore di questo campo deriva dal campo ip nel log non elaborato.
ip_address	principal.asset.ip	Il valore di questo campo deriva dal campo ip_address nel log non elaborato.
ip_address	principal.ip	Il valore di questo campo deriva dal campo ip_address nel log non elaborato.
ip_protocol	network.ip_protocol	Il valore di questo campo deriva dal campo ip_protocol nel log non elaborato.
mac	principal.mac	Il valore di questo campo deriva dal campo mac nel log non elaborato.
mnemonic	network.dhcp.opcode	Il valore di questo campo deriva dal campo mnemonic nel log non elaborato.
mnemonico	metadata.product_event_type	Il valore di questo campo è derivato dal campo mnemonic nel log non elaborato.
mese
p_ip	principal.asset.ip	Il valore di questo campo è derivato dal campo p_ip nel log non elaborato.
p_ip	principal.ip	Il valore di questo campo deriva dal campo p_ip nel log non elaborato.
porta	target.port	Il valore di questo campo deriva dal campo port nel log non elaborato.
priorità
protocollo	network.ip_protocol	Il valore di questo campo è derivato dal campo protocol nel log non elaborato.
reason
regola	security_result.rule_id	Il valore di questo campo deriva dal campo rule nel log non elaborato.
sec_result_action	security_result.action	Il valore di questo campo deriva dal campo sec_result_action nel log non elaborato.
gravità
origine	principal.asset.ip	Il valore di questo campo è derivato dal campo source nel log non elaborato.
origine	principal.ip	Il valore di questo campo deriva dal campo source nel log non elaborato.
source_ip	network.dhcp.ciaddr	Il valore di questo campo deriva dal campo source_ip nel log non elaborato.
source_ip	principal.asset.ip	Il valore di questo campo deriva dal campo source_ip nel log non elaborato.
source_ip	principal.ip	Il valore di questo campo è derivato dal campo source_ip nel log non elaborato.
source_mac	network.dhcp.chaddr	Il valore di questo campo è derivato dal campo source_mac nel log non elaborato.
source_port	principal.port	Il valore di questo campo deriva dal campo source_port nel log non elaborato.
riepilogo	security_result.summary	Il valore di questo campo deriva dal campo summary nel log non elaborato.
tempo
timezone
utente	principal.user.userid	Il valore di questo campo è derivato dal campo user nel log non elaborato.
utente	target.user.userid	Il valore di questo campo deriva dal campo user nel log non elaborato.
quando
anno
	extensions.auth.type	MACHINE
	metadata.log_type	CISCO_SWITCH
	metadata.vendor_name	Cisco
	metadata.product_name	Switch Cisco
	network.application_protocol	DHCP
	network.dhcp.type	RICHIEDI
intermediary_ip	event.idm.read_only_udm.intermediary.ip e event.idm.read_only_udm.intermediary.asset.ip	Mappato dal log delle modifiche
priority	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
product_log_id	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
_time	event.idm.read_only_udm.metadata.collected_timestamp	Mappato dal log delle modifiche
vlan_data	event.idm.read_only_udm.intermediary.resource.attribute.labels	Mappato dal log delle modifiche
intermediary_ip	event.idm.read_only_udm.intermediary.ip	Mappato dal log delle modifiche
intermediary_ip	event.idm.read_only_udm.intermediary.asset.ip	Mappato dal log delle modifiche
time_stamp	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
process_name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
switch_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
log_seq_num	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
log_seq_num_2	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
p_interface	event.idm.read_only_udm.principal.resource.name	Mappato dal log delle modifiche
audit_session_id	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
mac	event.idm.read_only_udm.principal.mac	Mappato dal log delle modifiche
packets	event.idm.read_only_udm.network.sent_packets	Mappato dal log delle modifiche
facility	event.idm.read_only_udm.principal.resource.resource_subtype	Mappato dal log delle modifiche
seq_num	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
device_hostname	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mappato dal log delle modifiche
id	event.idm.read_only_udm.principal.user.userid	Mappato dal log delle modifiche
seq_num	event.idm.read_only_udm.target.user.userid	Mappato dal log delle modifiche
log_message	event.idm.read_only_udm.metadata.description	Mappato dal log delle modifiche
syslog_tag	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
syslog_pri	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
appcat	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
applist	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dstintf	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
dstintfrole	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mastersrcmac	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
osname	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
poluuid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
service	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
srchwvendor	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
srcintf	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
srcintfrole	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
srcserver	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
transport	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
trandisp	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
vd	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
vwlid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
devid	event.idm.read_only_udm.intermediary.asset.product_object_id	Mappato dal log delle modifiche
devname	event.idm.read_only_udm.intermediary.hostname	Mappato dal log delle modifiche
logid	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
subtype	event.idm.read_only_udm.network.direction	Mappato dal log delle modifiche
proto	event.idm.read_only_udm.network.ip_protocol	Mappato dal log delle modifiche
rcvdbyte	event.idm.read_only_udm.network.received_bytes	Mappato dal log delle modifiche
sentbyte	event.idm.read_only_udm.network.sent_bytes	Mappato dal log delle modifiche
sentpkt	event.idm.read_only_udm.network.sent_packets	Mappato dal log delle modifiche
duration	event.idm.read_only_udm.network.session_duration.seconds	Mappato dal log delle modifiche
sessionid	event.idm.read_only_udm.network.session_id	Mappato dal log delle modifiche
srcname	event.idm.read_only_udm.principal.asset.hostname, event.idm.read_only_udm.principal.hostname	Mappato dal log delle modifiche
srcip	event.idm.read_only_udm.principal.asset.ip, event.idm.read_only_udm.principal.ip	Mappato dal log delle modifiche
srcmac	event.idm.read_only_udm.principal.asset.mac, event.idm.read_only_udm.principal.mac	Mappato dal log delle modifiche
osname	event.idm.read_only_udm.principal.asset.platform_software.platform	Mappato dal log delle modifiche
srcswversion	event.idm.read_only_udm.principal.asset.platform_software.platform_version	Mappato dal log delle modifiche
srccountry	event.idm.read_only_udm.principal.location.country_or_region	Mappato dal log delle modifiche
transip	event.idm.read_only_udm.principal.nat_ip	Mappato dal log delle modifiche
srcport	event.idm.read_only_udm.principal.port	Mappato dal log delle modifiche
action	event.idm.read_only_udm.security_result.action	Mappato dal log delle modifiche
policyid	event.idm.read_only_udm.security_result.rule_id	Mappato dal log delle modifiche
policyname	event.idm.read_only_udm.security_result.rule_name	Mappato dal log delle modifiche
policytype	event.idm.read_only_udm.security_result.rule_type	Mappato dal log delle modifiche
level	event.idm.read_only_udm.security_result.severity	Mappato dal log delle modifiche
action	event.idm.read_only_udm.security_result.summary	Mappato dal log delle modifiche
dstip	event.idm.read_only_udm.target.asset.ip, event.idm.read_only_udm.target.ip	Mappato dal log delle modifiche
dstcountry	event.idm.read_only_udm.target.location.country_or_region	Mappato dal log delle modifiche
dstport	event.idm.read_only_udm.target.port	Mappato dal log delle modifiche
device	principle.hostname	Mappato dal log delle modifiche
username3	principal.user.userid	Mappato dal log delle modifiche
login_status	security_result.summary	Mappato dal log delle modifiche
ecs.version	metadata.product_version	Mappato dal log delle modifiche
fileset.name", "flow.locality", "flow.id", "input.type", "netflow.exporter.source_id", and "netflow.exporter.uptime_millis	additional.fields	Mappato dal log delle modifiche
network.transport	network.ip_protocol	Mappato dal log delle modifiche
netflow.post_nat_source_ipv4_address	principal.ip	Mappato dal log delle modifiche
netflow.source_transport_port	principal.port	Mappato dal log delle modifiche
network.direction	network.direction	Mappato dal log delle modifiche
intermediary_ip	intermediary.ip	Mappato dal log delle modifiche
intermediary_hostname	intermediary.hostname	Mappato dal log delle modifiche
principal_host	principal.hostname	Mappato dal log delle modifiche
src_mac	principal.mac	Mappato dal log delle modifiche
eventSummary	metadata.product_event_type	Mappato dal log delle modifiche
error_msg	security_result.detection_fields	Mappato dal log delle modifiche
pid	principal.process.pid	Mappato dal log delle modifiche
srcPort	principal.port	Mappato dal log delle modifiche
srcUser	principal.user.userid	Mappato dal log delle modifiche
username1	target.user.userid	Mappato dal log delle modifiche
command	target.process.command_line	Mappato dal log delle modifiche
PWD	target.process.file.full_path	Mappato dal log delle modifiche
node_id", "cluster_id", "exception", "UniqueId", and "app_id	additional.fields	Mappato dal log delle modifiche
DEVICE	principal.mac	Mappato dal log delle modifiche
SRC	principal.ip	Mappato dal log delle modifiche
SPT	principal.port	Mappato dal log delle modifiche
DST	target.ip	Mappato dal log delle modifiche
DPT	target.port	Mappato dal log delle modifiche
ID	network.session_id	Mappato dal log delle modifiche
LEN	network.session_duration.seconds	Mappato dal log delle modifiche
PROTO	network.ip_protocol	Mappato dal log delle modifiche
IN", "OUT", "PHYSIN", "WINDOW", "RES, "TOS", "PREC", "TTL" ,"URGP", "MAC", "radio", "vap", "auth_type", "sugg_band", "ssid_id", "ssid_profile_name" and "protocol	additional.fields	Mappato dal log delle modifiche
client_mac	principal.mac	Mappato dal log delle modifiche
aid	network.session_id	Mappato dal log delle modifiche
rssi	intermediary.asset.product_object_id	Mappato dal log delle modifiche
channel	security_result.detection_fields	Mappato dal log delle modifiche
eventSummary", "dhcp_ip", "client_mac", "aid" and "ip_src	metadata.product_event_type	Mappato dal log delle modifiche
mac", "src", "sport", "dst", "dport", "action", "protocol", "url" and "signature	principal.mac	Mappato dal log delle modifiche
metadata.event_type" and "extensions.auth.type	USER_LOGIN	Mappato dal log delle modifiche
eventSummary", "aid", "rssi", "channel", "last_known_client_ip" and "event_type	security_result.summary	Mappato dal log delle modifiche
pid	target.process.pid	Mappato dal log delle modifiche
app_name	target.application	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.