Aruba ClearPass-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Aruba ClearPass-Logs mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Aruba ClearPass Policy Manager generiert Syslog-Nachrichten für die RADIUS-Authentifizierung, TACACS+, die Webauthentifizierung, den Endpunktstatus, den Gastzugriff, Audit-Datensätze und Systemereignisse. Der Parser ordnet extrahierte Felder dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und dem ClearPass Policy Manager
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die ClearPass Policy Manager-Konsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

  • Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/clearpass:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CLEARPASS
    raw_log_field: body

service:
  pipelines:
    logs/clearpass_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/clearpass

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Exporter für die Legacy Ingestion API

  • Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/clearpass:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CLEARPASS
    raw_log_field: body

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Prüfen Sie die Logs auf Fehler:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Logs auf Fehler prüfen:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Aruba ClearPass-Syslog-Server konfigurieren

  1. Melden Sie sich in der ClearPass Policy Manager-Konsole an.
  2. Wählen Sie Administration > External servers > Syslog targets aus.
  3. Klicken Sie auf Hinzufügen.
  4. Geben Sie im angezeigten Fenster Syslog-Ziel hinzufügen die folgenden Details an:
    • Hostadresse: Geben Sie die Bindplane-IP-Adresse ein.
    • Serverport: Geben Sie die Bindplane-Portnummer ein.
    • Protocol (Protokoll): Wählen Sie UDP aus. Je nach Bindplane-Konfiguration können Sie auch TCP auswählen.
  5. Klicken Sie auf Speichern.

Syslog-Exportfilter konfigurieren

  1. Gehen Sie zu Verwaltung > Externe Server > Syslog-Exportfilter.
  2. Klicken Sie auf Hinzufügen.
  3. Geben Sie im Fenster Syslog-Filter hinzufügen auf dem Tab Allgemein Folgendes an:
    • Name: Geben Sie den Namen des Syslog-Exportfilters basierend auf der Tabelle unter Elemente der Exportvorlage ein.
    • Vorlage exportieren: Wählen Sie die entsprechende Exportvorlage anhand der Tabelle unter Elemente der Exportvorlage aus.
    • Formattyp für den Ereignisexport: Wählen Sie Standard aus.
    • Syslog-Server: Wählen Sie die Bindplane-IP-Adresse aus.
  4. Wenn Sie in der Liste Vorlage exportieren die Exportvorlagen Sitzung oder Statistik auswählen, wird der Tab Filter und Spalten aktiviert. Gehen Sie folgendermaßen vor:
    • Klicken Sie auf den Tab Filter und Spalten.
    • Datenfilter: Achten Sie darauf, dass der Standardwert Alle Anfragen ausgewählt ist.
    • Spaltenauswahl: Wählen Sie die vordefinierte Feldgruppe basierend auf der Tabelle in Vorlagenelemente exportieren aus.
    • Ausgewählte Spalten: Prüfen Sie, ob die automatisch ausgefüllten Felder mit der Tabelle in Vorlagenelemente exportieren übereinstimmen.
    • Klicken Sie auf den Tab Zusammenfassung.
    • Klicken Sie auf Speichern.
  5. Wenn Sie in der Liste Exportvorlage die Exportvorlagen Systemereignisse und Audit-Datensätze auswählen, ist der Tab Filter und Spalten nicht aktiviert. Gehen Sie zum Tab Zusammenfassung und klicken Sie auf Speichern.
  6. Wiederholen Sie die Schritte, um Syslog-Exportfilter für alle Exportvorlagen für Sitzungen, Statistiken, Audit-Datensätze und Systemereignisse hinzuzufügen. Verwenden Sie dazu die Details aus der Tabelle in Elemente der Exportvorlage.

Vorlagenelemente exportieren

In der folgenden Tabelle werden die Elemente beschrieben, die Sie für jede Exportvorlage konfigurieren müssen. Die Standardfelder, die unter „Ausgewählte Spalten“ aufgeführt sind, werden für das Parsen von Ereignissen unterstützt. Achten Sie darauf, dass alle Felder, die in der Tabelle unter „Ausgewählte Spalten (Standard)“ aufgeführt sind, vorhanden sind und in derselben Reihenfolge angezeigt werden. Erstellen Sie die Vorlagen für Syslog-Exportfilter genau wie in der Tabelle angegeben, einschließlich des Namens des Filters, bei dem die Groß-/Kleinschreibung beachtet werden muss.

Name des Syslog-Exportfilters (Groß-/Kleinschreibung beachten) Vorlage exportieren Vordefinierte Feldgruppen Ausgewählte Spalten (Standard)
ACPPM_radauth Insight-Logs RADIUS-Authentifizierungen Auth.Username, Auth.Host-MAC-Address, Auth.Protocol, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_radfailedauth Insight-Logs Fehlgeschlagene Radius-Authentifizierungen Auth.Username, Auth.Host-MAC-Address, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_radacct Insight-Logs RADIUS-Accounting Radius.Username, Radius.Calling-Station-Id, Radius.Framed-IP-Address, Radius.NAS-IP-Address, Radius.Start-Time, Radius.End-Time, Radius.Duration, Radius.Input-bytes, Radius.Output-bytes
ACPPM_tacauth Insight-Logs TACACS-Authentifizierung tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, tacacs.Auth-Source, tacacs.Roles, tacacs.Enforcement-Profiles, tacacs.Privilege-Level
ACPPM_tacfailedauth Insight-Logs tacacs Failed Authentication tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_webauth Insight-Logs WEBAUTH Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_webfailedauth Insight-Logs WEBAUTH – Fehlgeschlagene Authentifizierungen Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_appauth Insight-Logs Anwendungsauthentifizierung Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_failedappauth Insight-Logs Authentifizierung der Anwendung fehlgeschlagen Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_endpoints Insight-Logs Endpunkte Endpoint.MAC-Address, Endpoint.MAC-Vendor, Endpoint.IP-Address, Endpoint.Username, Endpoint.Device-Category, Endpoint.Device-Family, Endpoint.Device-Name, Endpoint.Conflict, Endpoint.Status, Endpoint.Added-At, Endpoint.Updated-At
ACPPM_cpguest Insight-Logs Clearpass Guest Guest.Username, Guest.MAC-Address, Guest.Visitor-Name, Guest.Visitor-Company, Guest.Role-Name, Guest.Enabled, Guest.Created-At, Guest.Starts-At, Guest.Expires-At
ACPPM_onbenroll Insight-Logs Registrierung im Fahrzeug OnboardEnrollment.Username, OnboardEnrollment.Device-Name, OnboardEnrollment.MAC-Address, OnboardEnrollment.Device-Product, OnboardEnrollment.Device-Version, OnboardEnrollment.Added-At, OnboardEnrollment.Updated-At
ACPPM_onbcert Insight-Logs Onboard-Zertifikat OnboardCert.Username, OnboardCert.Mac-Address, OnboardCert.Subject, OnboardCert.Issuer, OnboardCert.Valid-From, OnboardCert.Valid-To, OnboardCert.Revoked-At
ACPPM_onboscp Insight-Logs OCSP einrichten OnboardOCSP.Remote-Address, OnboardOCSP.Response-Status-Name, OnboardOCSP.Timestamp
ACPPM_cpsysevent Insight-Logs Clearpass-Systemereignisse CppmNode.CPPM-Node, CppmSystemEvent.Source, CppmSystemEvent.Level, CppmSystemEvent.Category, CppmSystemEvent.Action, CppmSystemEvent.Timestamp
ACPPM_cpconfaudit Insight-Logs Clearpass-Konfigurationsprüfung CppmConfigAudit.Name, CppmConfigAudit.Action, CppmConfigAudit.Category, CppmConfigAudit.Updated-By, CppmConfigAudit.Updated-At
ACPPM_possummary Insight-Logs Zusammenfassung des Status Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Posture-Healthy, Endpoint.Posture-Unhealthy
ACPPM_posfwsummary Insight-Logs Zusammenfassung der Status-Firewall Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Firewall-APT, Endpoint.Firewall-Input, Endpoint.Firewall-Output
ACPPM_poavsummary Insight-Logs Zusammenfassung des Antivirenstatus Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antivirus-APT, Endpoint.Antivirus-Input, Endpoint.Antivirus-Output
ACPPM_posassummary Insight-Logs Zusammenfassung des Status der Anti-Spyware Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antispyware-APT, Endpoint.Antispyware-Input, Endpoint.Antispyware-Output
ACPPM_posdskencrpsummary Insight-Logs Zusammenfassung der Status-Laufwerkverschlüsselung Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.DiskEncryption-APT, Endpoint.DiskEncryption-Input, Endpoint.DiskEncryption-Output
ACPPM_loggedusers Sitzungsprotokolle Angemeldete Nutzer Common.Username, Common.Service, Common.Roles, Common.Host-MAC-Address, RADIUS.Acct-Framed-IP-Address, Common.NAS-IP-Address, Common.Request-Timestamp
ACPPM_failedauth Sitzungsprotokolle Fehlgeschlagene Authentifizierungen Common.Username, Common.Service, Common.Roles, RADIUS.Auth-Source, RADIUS.Auth-Method, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Host-MAC-Address, Common.NAS-IP-Address, Common.Error-Code, Common.Alerts, Common.Request-Timestamp
ACPPM_radacctsession Sitzungsprotokolle RADIUS-Abrechnung RADIUS.Acct-Username, RADIUS.Acct-NAS-IP-Address, RADIUS.Acct-NAS-Port, RADIUS.Acct-NAS-Port-Type, RADIUS.Acct-Calling-Station-Id, RADIUS.Acct-Framed-IP-Address, RADIUS.Acct-Session-Id, RADIUS.Acct-Session-Time, RADIUS.Acct-Output-Pkts, RADIUS.Acct-Input-Pkts, RADIUS.Acct-Output-Octets, RADIUS.Acct-Input.Octets, RADIUS.Acct-Service-Name, RADIUS.Acct-Timestamp
ACPPM_tacadmin Sitzungsprotokolle TACACS+-Verwaltung Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_tacacct Sitzungsprotokolle TACACS+-Accounting Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Acct-Flags, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_webauthsession Sitzungsprotokolle Webauthentifizierung Common.Username, Common.Host-MAC-Address, WEBAUTH.Host-IP-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_guestacc Sitzungsprotokolle Gastzugriff Common.Username, RADIUS.Auth-Method, Common.Host-MAC-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_auditrecords Audit-Einträge Nicht zutreffend Nicht zutreffend
ACPPM_systemevents Systemereignisse Nicht zutreffend Nicht zutreffend

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Action security_result.action Der Wert wird aus dem Feld „Action“ (Aktion) zugeordnet, wenn der Wert „ALLOW“ (ZULASSEN) oder „BLOCK“ (BLOCKIEREN) ist.
Auth.Enforcement-Profiles security_result.detection_fields.value Der Wert wird aus dem Feld „Auth.Enforcement-Profiles“ zugeordnet
Auth.Host-MAC-Address principal.mac Der Wert wird aus dem Feld „Auth.Host-MAC-Address“ zugeordnet, nachdem er in das durch Doppelpunkte getrennte MAC-Adressformat konvertiert wurde.
Auth.Login-Status security_result.detection_fields.value Der Wert wird aus dem Feld „Auth.Login-Status“ zugeordnet.
Auth.NAS-IP-Address target.ip Der Wert wird aus dem Feld „Auth.NAS-IP-Address“ zugeordnet.
Auth.Protocol intermediary.application Der Wert wird aus dem Feld „Auth.Protocol“ zugeordnet.
Auth.Service security_result.detection_fields.value Der Wert wird aus dem Feld „Auth.Service“ zugeordnet.
Auth.Source principal.hostname Der Wert wird aus dem Feld „Auth.Source“ zugeordnet, nachdem alle vorangestellten alphanumerischen Zeichen und Leerzeichen entfernt wurden.
Auth.Username principal.user.user_display_name Der Wert wird aus dem Feld „Auth.Username“ zugeordnet
Category metadata.event_type Wenn der Wert „angemeldet“ ist, wird das UDM-Feld auf „USER_LOGIN“ gesetzt. Wenn der Wert „Abgemeldet“ ist, wird das UDM-Feld auf „USER_LOGOUT“ gesetzt.
Common.Alerts security_result.description Der Wert wird aus dem Feld „Common.Alerts“ zugeordnet
Common.Enforcement-Profiles security_result.detection_fields.value Der Wert wird aus dem Feld „Common.Enforcement-Profiles“ zugeordnet
Common.Login-Status security_result.detection_fields.value Der Wert wird aus dem Feld „Common.Login-Status“ zugeordnet
Common.NAS-IP-Address target.ip Der Wert wird aus dem Feld „Common.NAS-IP-Address“ zugeordnet
Common.Roles principal.user.group_identifiers Der Wert wird aus dem Feld „Common.Roles“ zugeordnet
Common.Service security_result.detection_fields.value Der Wert wird aus dem Feld „Common.Service“ zugeordnet.
Common.Username principal.user.userid Der Wert wird aus dem Feld „Common.Username“ zugeordnet.
Component intermediary.application Der Wert wird aus dem Feld „Komponente“ zugeordnet.
Description metadata.description Der Wert wird aus dem Feld „Beschreibung“ zugeordnet, nachdem Zeilenumbruchzeichen durch das Pipe-Symbol ersetzt wurden. Wenn das Feld „Description“ die Werte „User“, „Address“ und „Role“ enthält, wird es als Schlüssel/Wert-Paare geparst und den entsprechenden UDM-Feldern zugeordnet. Wenn das Feld „Description“ den Wert „Unable connection with“ enthält, wird der Zielhostname extrahiert und „target.hostname“ zugeordnet.
EntityName principal.hostname Der Wert wird aus dem Feld „EntityName“ zugeordnet.
InterIP target.ip Der Wert wird aus dem Feld „InterIP“ zugeordnet
Level security_result.severity Wenn der Wert „ERROR“ oder „FATAL“ ist, wird das UDM-Feld auf „HIGH“ gesetzt. Wenn der Wert „WARN“ ist, wird das UDM-Feld auf „MEDIUM“ gesetzt. Wenn der Wert „INFO“ oder „DEBUG“ ist, wird das UDM-Feld auf „LOW“ gesetzt.
LogNumber metadata.product_log_id Der Wert wird aus dem Feld „LogNumber“ zugeordnet
RADIUS.Acct-Framed-IP-Address principal.ip Der Wert wird aus dem Feld „RADIUS.Acct-Framed-IP-Address“ zugeordnet.
Timestamp metadata.event_timestamp Der Wert wird aus dem Feld „Zeitstempel“ abgeleitet, nachdem er in UTC konvertiert und als Zeitstempel geparst wurde.
User principal.user.userid Wert wird aus dem Feld „Nutzer“ zugeordnet
agent_ip principal.ip,, principal.asset.ip Der Wert wird aus dem Feld „agent_ip“ zugeordnet
community additional.fields.value.string_value Der Wert wird aus dem Feld „community“ zugeordnet
descr metadata.description Der Wert wird aus dem Feld „descr“ zugeordnet
enterprise additional.fields.value.string_value Der Wert wird aus dem Feld „enterprise“ zugeordnet
eventDescription metadata.description Der Wert wird aus dem Feld „eventDescription“ zugeordnet, nachdem die Anführungszeichen entfernt wurden.
generic_num additional.fields.value.string_value Der Wert wird aus dem Feld „generic_num“ zugeordnet.
prin_mac principal.mac Der Wert wird aus dem Feld „prin_mac“ zugeordnet, nachdem er in das durch Doppelpunkte getrennte MAC-Adressformat konvertiert wurde.
prin_port principal.port Der Wert wird aus dem Feld „prin_port“ zugeordnet und in eine Ganzzahl konvertiert.
specificTrap_name additional.fields.value.string_value Der Wert wird aus dem Feld „specificTrap_name“ zugeordnet.
specificTrap_num additional.fields.value.string_value Der Wert wird aus dem Feld „specificTrap_num“ zugeordnet.
uptime additional.fields.value.string_value Der Wert wird aus dem Feld „uptime“ zugeordnet.
version metadata.product_version Der Wert wird aus dem Feld „version“ zugeordnet.
extensions.auth.type Der Wert ist auf „SSO“ festgelegt.
metadata.event_type Der Wert wird anhand verschiedener Logfelder und der Parserlogik bestimmt. Weitere Informationen finden Sie im Parsercode.
metadata.log_type Der Wert ist auf „CLEARPASS“ festgelegt.
metadata.product_name Der Wert ist auf „ClearPass“ festgelegt.
metadata.vendor_name Der Wert ist auf „ArubaNetworks“ festgelegt.
deviceProcessName event.idm.read_only_udm.intermediary.application Aus Änderungsprotokoll zugeordnet
msg event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
NAD event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
user_name event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
nas_ip event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
dst event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
service_name event.idm.read_only_udm.target.application Aus Änderungsprotokoll zugeordnet
roles event.idm.read_only_udm.principal.user.attribute.roles Aus Änderungsprotokoll zugeordnet
timestamp event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
rt event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
rt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs1 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs2 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs3 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs4 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs5 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs6 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
tags event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cribl_pipe event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
organization.id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
my_timestamp event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
VAR_TOPIC_ID event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
syslog_pri event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cef_version event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cef_vendor event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cef_product event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cef_product_version event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cef_signature_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
syslog_timestamp event.idm.read_only_udm.metadata.collected_timestamp Aus Änderungsprotokoll zugeordnet
dvc event.idm.read_only_udm.intermediary.ip Aus Änderungsprotokoll zugeordnet
syslog_host_ip event.idm.read_only_udm.intermediary.ip Aus Änderungsprotokoll zugeordnet
cs1 event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
cef_name event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
src event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
src event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
organization.name event.idm.read_only_udm.principal.group.group_display_name Aus Änderungsprotokoll zugeordnet
cat event.idm.read_only_udm.security_result.category_details Aus Änderungsprotokoll zugeordnet
kafkaTopic event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
evnt.created event.idm.read_only_udm.security_result.first_discovered_time Aus Änderungsprotokoll zugeordnet
cef_severity event.idm.read_only_udm.security_result.severity Aus Änderungsprotokoll zugeordnet
dpriv event.idm.read_only_udm.target.user.attribute.roles Aus Änderungsprotokoll zugeordnet
duser event.idm.read_only_udm.target.user.user_display_name Aus Änderungsprotokoll zugeordnet
ts event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
monitor_mode event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
audit_apt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
spt event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
end_host_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
request_status event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cpu_usage event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
res_mem_usage event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
virt_mem_usage event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
roles event.idm.read_only_udm.principal.user.group_identifiers Aus Änderungsprotokoll zugeordnet
enf_profiles event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
auth_source event.idm.read_only_udm.principal.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
process_id event.idm.read_only_udm.principal.process.product_specific_process_id Aus Änderungsprotokoll zugeordnet
service_name event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
LogNumber event.idm.read_only_udm.principal.process.pid Aus Änderungsprotokoll zugeordnet
user_name event.idm.read_only_udm.principal.user.user_display_name Aus Änderungsprotokoll zugeordnet
nas_port event.idm.read_only_udm.target.port Aus Änderungsprotokoll zugeordnet
nas_port_type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
seq_num event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
acct_authentic event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
acct_sessionId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
acct_status_type event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
called_station_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
calling_station_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
acct_delaytimestamp event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
acct_delay_time event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Auth.Username event.idm.read_only_udm.principal.user.user_display_name Aus Änderungsprotokoll zugeordnet
Auth.Host-MAC-Address event.idm.read_only_udm.principal.mac Aus Änderungsprotokoll zugeordnet
Auth.Roles event.idm.read_only_udm.principal.user.group_identifiers Aus Änderungsprotokoll zugeordnet
Auth.Protocol event.idm.read_only_udm.intermediary.application Aus Änderungsprotokoll zugeordnet
Auth.NAS-IP-Address event.idm.read_only_udm.target.ip Aus Änderungsprotokoll zugeordnet
Auth.NAS-IP-Address event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
Auth.Service event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
Auth.Login-Status event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
Common.Connection-Status event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
source_ip1 event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
identifier event.idm.read_only_udm.principal.asset.asset_id Aus Änderungsprotokoll zugeordnet
log_type event.idm.read_only_udm.metadata.product_event_type Aus Änderungsprotokoll zugeordnet
id event.idm.read_only_udm.metadata.product_log_id Aus Änderungsprotokoll zugeordnet
val1 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
val2 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
swap_memory_avail event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
system_memory_avail event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cpu_raw_user event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cpu_raw_system event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cpu_raw_idle event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cpu_raw_nice event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
mgmt_inf_status event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
data_inf_status event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
swap_size_used event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
slash_size_used event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ingest_timestamp event.idm.read_only_udm.metadata.collected_timestamp Aus Änderungsprotokoll zugeordnet
source_ip2 event.idm.read_only_udm.observer.ip Aus Änderungsprotokoll zugeordnet
vd event.idm.read_only_udm.observer.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
ui event.idm.read_only_udm.network.application_protocol Aus Änderungsprotokoll zugeordnet
ui event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
ExporterName event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Category event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
Action event.idm.read_only_udm.security_result.action Aus Änderungsprotokoll zugeordnet
Action event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
Remote_IP_Address event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
Remote_IP_Address event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
port event.idm.read_only_udm.principal.port Aus Änderungsprotokoll zugeordnet
InterIP event.idm.read_only_udm.intermediary.ip Aus Änderungsprotokoll zugeordnet
InterIP event.idm.read_only_udm.intermediary.asset.ip Aus Änderungsprotokoll zugeordnet
sdescription event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
code event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
ip event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
ip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
server event.idm.read_only_udm_principal.application Aus Änderungsprotokoll zugeordnet
swVersion event.idm.read_only_udm.metadata.product_version Aus Änderungsprotokoll zugeordnet
enterpriseId event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
software event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
ip event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
CppmNode.CPPM-Node event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
CppmNode.CPPM-Node event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
messagedetail event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
Thread_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
servicename event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Req_id event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
Internalserviceid event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
InternalChallengeID event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
Entityid event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
handlervalue event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
instanceid event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
threadrequestinfo event.idm.read_only_udm.metadata.description Aus Änderungsprotokoll zugeordnet
Acct-NAS-IP-Address principal.ip Aus Änderungsprotokoll zugeordnet
Acct-Username principal.user.userid Aus Änderungsprotokoll zugeordnet
Acct-Calling-Station-Id principal.user.product_object_id Aus Änderungsprotokoll zugeordnet
descr" and "eventDescription metadata.description Aus Änderungsprotokoll zugeordnet
specificTrap_name", "uptime", "enterprise", "generic_num", "specificTrap_num", and "community additional.fields Aus Änderungsprotokoll zugeordnet
Common.Service", "Common.Enforcement-Profiles", and "Common.Login-Status security_result.detection_fields Aus Änderungsprotokoll zugeordnet
metadata.event_type STATUS_UPDATE Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten