Collecter les journaux Aruba ClearPass

Compatible avec :

Ce document explique comment ingérer les journaux Aruba ClearPass dans Google Security Operations à l'aide de l'agent Bindplane.

Aruba ClearPass Policy Manager génère des messages syslog pour l'authentification RADIUS, TACACS+, l'authentification Web, la posture des points de terminaison, l'accès invité, les enregistrements d'audit et les événements système. L'analyseur mappe les champs extraits au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et ClearPass Policy Manager
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à la console ClearPass Policy Manager

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/clearpass:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CLEARPASS
    raw_log_field: body

service:
  pipelines:
    logs/clearpass_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/clearpass

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port à écouter :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite un accès racine sous Linux ; utilisez 1514 pour un accès non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/clearpass:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CLEARPASS
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le serveur syslog Aruba ClearPass

  1. Connectez-vous à la console ClearPass Policy Manager.
  2. Sélectionnez Administration > Serveurs externes > Cibles Syslog.
  3. Cliquez sur Ajouter.
  4. Dans la fenêtre Ajouter une cible Syslog qui s'affiche, spécifiez les détails suivants :
    • Adresse de l'hôte : saisissez l'adresse IP de BindPlane.
    • Port du serveur : saisissez le numéro de port Bindplane.
    • Protocole : sélectionnez UDP (vous pouvez également sélectionner TCP, selon votre configuration Bindplane).
  5. Cliquez sur Enregistrer.

Configurer des filtres d'exportation syslog

  1. Accédez à Administration > External servers > Syslog export filters (Administration > Serveurs externes > Filtres d'exportation Syslog).
  2. Cliquez sur Ajouter.
  3. Dans la fenêtre Ajouter des filtres Syslog qui s'affiche, spécifiez les éléments suivants dans l'onglet Général :
    • Nom : saisissez le nom du filtre d'exportation syslog en fonction du tableau dans Éléments du modèle d'exportation.
    • Modèle d'exportation : sélectionnez le modèle d'exportation approprié en fonction du tableau de la section Éléments du modèle d'exportation.
    • Type de format d'événement d'exportation : sélectionnez Standard.
    • Serveurs Syslog : sélectionnez l'adresse IP Bindplane.
  4. Dans la liste Exporter le modèle, lorsque vous sélectionnez les modèles d'exportation Session ou Insight, l'onglet Filtre et colonnes est activé. Procédez comme suit :
    • Cliquez sur l'onglet Filtre et colonnes.
    • Filtre de données : assurez-vous que la valeur par défaut Toutes les demandes est sélectionnée.
    • Sélection de colonnes : sélectionnez le groupe de champs prédéfini en fonction du tableau dans Éléments du modèle d'exportation.
    • Colonnes sélectionnées : vérifiez que les champs renseignés automatiquement correspondent au tableau Éléments du modèle d'exportation.
    • Cliquez sur l'onglet Récapitulatif.
    • Cliquez sur Enregistrer.
  5. Dans la liste Modèle d'exportation, lorsque vous sélectionnez les modèles d'exportation Événements système et Enregistrements d'audit, l'onglet Filtre et colonnes n'est pas activé. Accédez à l'onglet Résumé, puis cliquez sur Enregistrer.
  6. Répétez les étapes pour ajouter des filtres d'exportation Syslog pour tous les modèles d'exportation Session, Insight, Enregistrements d'audit et Événements système en fonction des détails du tableau dans Éléments du modèle d'exportation.

Exporter les éléments du modèle

Le tableau suivant décrit les éléments que vous devez configurer pour chaque modèle d'exportation. Les champs par défaut listés dans "Colonnes sélectionnées" sont compatibles avec l'analyse des événements. Assurez-vous que tous les champs mentionnés dans le tableau sous "Colonnes sélectionnées (par défaut)" sont présents et dans le même ordre. Assurez-vous de créer des modèles de filtres d'exportation syslog exactement comme indiqué dans le tableau, y compris le nom du filtre (sensible à la casse).

Nom du filtre d'exportation Syslog (sensible à la casse) Exporter le modèle Groupes de champs prédéfinis Colonnes sélectionnées (par défaut)
ACPPM_radauth Journaux d'insight Authentifications Radius Auth.Username, Auth.Host-MAC-Address, Auth.Protocol, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_radfailedauth Journaux d'insight Échecs d'authentification Radius Auth.Username, Auth.Host-MAC-Address, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_radacct Journaux d'insight Traçabilité RADIUS Radius.Username, Radius.Calling-Station-Id, Radius.Framed-IP-Address, Radius.NAS-IP-Address, Radius.Start-Time, Radius.End-Time, Radius.Duration, Radius.Input-bytes, Radius.Output-bytes
ACPPM_tacauth Journaux d'insight Authentification TACACS tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, tacacs.Auth-Source, tacacs.Roles, tacacs.Enforcement-Profiles, tacacs.Privilege-Level
ACPPM_tacfailedauth Journaux d'insight Échec de l'authentification TACACS tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_webauth Journaux d'insight WEBAUTH Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_webfailedauth Journaux d'insight Échecs d'authentification WEBAUTH Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_appauth Journaux d'insight Authentification de l'application Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_failedappauth Journaux d'insight Échec de l'authentification de l'application Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_endpoints Journaux d'insight Points de terminaison Endpoint.MAC-Address, Endpoint.MAC-Vendor, Endpoint.IP-Address, Endpoint.Username, Endpoint.Device-Category, Endpoint.Device-Family, Endpoint.Device-Name, Endpoint.Conflict, Endpoint.Status, Endpoint.Added-At, Endpoint.Updated-At
ACPPM_cpguest Journaux d'insight Clearpass Guest Guest.Username, Guest.MAC-Address, Guest.Visitor-Name, Guest.Visitor-Company, Guest.Role-Name, Guest.Enabled, Guest.Created-At, Guest.Starts-At, Guest.Expires-At
ACPPM_onbenroll Journaux d'insight Enregistrement embarqué OnboardEnrollment.Username, OnboardEnrollment.Device-Name, OnboardEnrollment.MAC-Address, OnboardEnrollment.Device-Product, OnboardEnrollment.Device-Version, OnboardEnrollment.Added-At, OnboardEnrollment.Updated-At
ACPPM_onbcert Journaux d'insight Certificat embarqué OnboardCert.Username, OnboardCert.Mac-Address, OnboardCert.Subject, OnboardCert.Issuer, OnboardCert.Valid-From, OnboardCert.Valid-To, OnboardCert.Revoked-At
ACPPM_onboscp Journaux d'insight Intégrer OCSP OnboardOCSP.Remote-Address, OnboardOCSP.Response-Status-Name, OnboardOCSP.Timestamp
ACPPM_cpsysevent Journaux d'insight Événements système ClearPass CppmNode.CPPM-Node, CppmSystemEvent.Source, CppmSystemEvent.Level, CppmSystemEvent.Category, CppmSystemEvent.Action, CppmSystemEvent.Timestamp
ACPPM_cpconfaudit Journaux d'insight Audit de configuration Clearpass CppmConfigAudit.Name, CppmConfigAudit.Action, CppmConfigAudit.Category, CppmConfigAudit.Updated-By, CppmConfigAudit.Updated-At
ACPPM_possummary Journaux d'insight Résumé de la stratégie Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Posture-Healthy, Endpoint.Posture-Unhealthy
ACPPM_posfwsummary Journaux d'insight Récapitulatif du pare-feu de posture Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Firewall-APT, Endpoint.Firewall-Input, Endpoint.Firewall-Output
ACPPM_poavsummary Journaux d'insight Résumé de l'antivirus de la stratégie Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antivirus-APT, Endpoint.Antivirus-Input, Endpoint.Antivirus-Output
ACPPM_posassummary Journaux d'insight Résumé de la stratégie antispyware Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antispyware-APT, Endpoint.Antispyware-Input, Endpoint.Antispyware-Output
ACPPM_posdskencrpsummary Journaux d'insight Résumé de la stratégie DiskEncryption Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.DiskEncryption-APT, Endpoint.DiskEncryption-Input, Endpoint.DiskEncryption-Output
ACPPM_loggedusers Journaux de session Utilisateurs connectés Common.Username, Common.Service, Common.Roles, Common.Host-MAC-Address, RADIUS.Acct-Framed-IP-Address, Common.NAS-IP-Address, Common.Request-Timestamp
ACPPM_failedauth Journaux de session Échecs d'authentification Common.Username, Common.Service, Common.Roles, RADIUS.Auth-Source, RADIUS.Auth-Method, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Host-MAC-Address, Common.NAS-IP-Address, Common.Error-Code, Common.Alerts, Common.Request-Timestamp
ACPPM_radacctsession Journaux de session Comptabilité RADIUS RADIUS.Acct-Username, RADIUS.Acct-NAS-IP-Address, RADIUS.Acct-NAS-Port, RADIUS.Acct-NAS-Port-Type, RADIUS.Acct-Calling-Station-Id, RADIUS.Acct-Framed-IP-Address, RADIUS.Acct-Session-Id, RADIUS.Acct-Session-Time, RADIUS.Acct-Output-Pkts, RADIUS.Acct-Input-Pkts, RADIUS.Acct-Output-Octets, RADIUS.Acct-Input.Octets, RADIUS.Acct-Service-Name, RADIUS.Acct-Timestamp
ACPPM_tacadmin Journaux de session Administration TACACS+ Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_tacacct Journaux de session Comptabilité tacacs+ Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Acct-Flags, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_webauthsession Journaux de session Authentification Web Common.Username, Common.Host-MAC-Address, WEBAUTH.Host-IP-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_guestacc Journaux de session Accès invité Common.Username, RADIUS.Auth-Method, Common.Host-MAC-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_auditrecords Enregistrements d'audit Non applicable Non applicable
ACPPM_systemevents Événements système Non applicable Non applicable

Table de mappage UDM

Champ du journal Mappage UDM Logique
Action security_result.action La valeur est mappée à partir du champ "Action" si sa valeur est "ALLOW" ou "BLOCK".
Auth.Enforcement-Profiles security_result.detection_fields.value La valeur est mappée à partir du champ "Auth.Enforcement-Profiles".
Auth.Host-MAC-Address principal.mac La valeur est mappée à partir du champ "Auth.Host-MAC-Address" après sa conversion au format d'adresse MAC séparée par des deux-points
Auth.Login-Status security_result.detection_fields.value La valeur est mappée à partir du champ "Auth.Login-Status"
Auth.NAS-IP-Address target.ip La valeur est mappée à partir du champ "Auth.NAS-IP-Address".
Auth.Protocol intermediary.application La valeur est mappée à partir du champ "Auth.Protocol"
Auth.Service security_result.detection_fields.value La valeur est mappée à partir du champ "Auth.Service".
Auth.Source principal.hostname La valeur est mappée à partir du champ "Auth.Source" après la suppression des caractères alphanumériques et des espaces de début
Auth.Username principal.user.user_display_name La valeur est mappée à partir du champ "Auth.Username".
Category metadata.event_type Si la valeur est "Connecté", le champ UDM est défini sur "USER_LOGIN". Si la valeur est "Logged out", le champ UDM est défini sur "USER_LOGOUT".
Common.Alerts security_result.description La valeur est mappée à partir du champ "Common.Alerts"
Common.Enforcement-Profiles security_result.detection_fields.value La valeur est mappée à partir du champ "Common.Enforcement-Profiles".
Common.Login-Status security_result.detection_fields.value La valeur est mappée à partir du champ "Common.Login-Status".
Common.NAS-IP-Address target.ip La valeur est mappée à partir du champ "Common.NAS-IP-Address".
Common.Roles principal.user.group_identifiers La valeur est mappée à partir du champ "Common.Roles".
Common.Service security_result.detection_fields.value La valeur est mappée à partir du champ "Common.Service"
Common.Username principal.user.userid La valeur est mappée à partir du champ "Common.Username".
Component intermediary.application La valeur est mappée à partir du champ "Composant"
Description metadata.description La valeur est mappée à partir du champ "Description" après le remplacement des caractères de nouvelle ligne par le symbole de barre verticale. Si le champ "Description" contient "User", "Address" et "Role", il est analysé en tant que paires clé-valeur et mappé aux champs UDM correspondants. Si le champ "Description" contient "Unable connection with", le nom d'hôte cible est extrait et mappé à "target.hostname".
EntityName principal.hostname La valeur est mappée à partir du champ "EntityName".
InterIP target.ip La valeur est mappée à partir du champ "InterIP"
Level security_result.severity Si la valeur est "ERROR" ou "FATAL", le champ UDM est défini sur "HIGH". Si la valeur est "WARN", le champ UDM est défini sur "MEDIUM". Si la valeur est "INFO" ou "DEBUG", le champ UDM est défini sur "LOW".
LogNumber metadata.product_log_id La valeur est mappée à partir du champ "LogNumber"
RADIUS.Acct-Framed-IP-Address principal.ip La valeur est mappée à partir du champ "RADIUS.Acct-Framed-IP-Address".
Timestamp metadata.event_timestamp La valeur est mappée à partir du champ "Code temporel" après avoir été convertie en UTC et analysée en tant que code temporel.
User principal.user.userid La valeur est mappée à partir du champ "Utilisateur".
agent_ip principal.ip,, principal.asset.ip La valeur est mappée à partir du champ "agent_ip".
community additional.fields.value.string_value La valeur est mappée à partir du champ "community" (communauté).
descr metadata.description La valeur est mappée à partir du champ "descr"
enterprise additional.fields.value.string_value La valeur est mappée à partir du champ "enterprise"
eventDescription metadata.description La valeur est mappée à partir du champ "eventDescription" après la suppression des guillemets
generic_num additional.fields.value.string_value La valeur est mappée à partir du champ "generic_num"
prin_mac principal.mac La valeur est mappée à partir du champ "prin_mac" après sa conversion au format d'adresse MAC séparée par des deux-points.
prin_port principal.port La valeur est mappée à partir du champ "prin_port" et convertie en entier
specificTrap_name additional.fields.value.string_value La valeur est mappée à partir du champ "specificTrap_name".
specificTrap_num additional.fields.value.string_value La valeur est mappée à partir du champ "specificTrap_num".
uptime additional.fields.value.string_value La valeur est mappée à partir du champ "uptime" (temps d'activité).
version metadata.product_version La valeur est mappée à partir du champ "version"
extensions.auth.type La valeur est définie sur "SSO".
metadata.event_type La valeur est déterminée en fonction de différents champs de journaux et de la logique de l'analyseur. Pour en savoir plus, consultez le code de l'analyseur.
metadata.log_type La valeur est définie sur "CLEARPASS".
metadata.product_name La valeur est définie sur "ClearPass".
metadata.vendor_name La valeur est définie sur "ArubaNetworks".
deviceProcessName event.idm.read_only_udm.intermediary.application Mappé à partir du journal des modifications
msg event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
NAD event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
user_name event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
nas_ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
dst event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
service_name event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
roles event.idm.read_only_udm.principal.user.attribute.roles Mappé à partir du journal des modifications
timestamp event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
rt event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
rt event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs1 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs3 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs4 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs5 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs6 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tags event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cribl_pipe event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
organization.id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
my_timestamp event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
VAR_TOPIC_ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
syslog_pri event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cef_version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cef_vendor event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cef_product event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cef_product_version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cef_signature_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
syslog_timestamp event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
dvc event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
syslog_host_ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
cs1 event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
cef_name event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
src event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
src event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
organization.name event.idm.read_only_udm.principal.group.group_display_name Mappé à partir du journal des modifications
cat event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
kafkaTopic event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
evnt.created event.idm.read_only_udm.security_result.first_discovered_time Mappé à partir du journal des modifications
cef_severity event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
dpriv event.idm.read_only_udm.target.user.attribute.roles Mappé à partir du journal des modifications
duser event.idm.read_only_udm.target.user.user_display_name Mappé à partir du journal des modifications
ts event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
monitor_mode event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
audit_apt event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
spt event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
end_host_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
request_status event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cpu_usage event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
res_mem_usage event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
virt_mem_usage event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
roles event.idm.read_only_udm.principal.user.group_identifiers Mappé à partir du journal des modifications
enf_profiles event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
auth_source event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
process_id event.idm.read_only_udm.principal.process.product_specific_process_id Mappé à partir du journal des modifications
service_name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
LogNumber event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
user_name event.idm.read_only_udm.principal.user.user_display_name Mappé à partir du journal des modifications
nas_port event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
nas_port_type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
seq_num event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
acct_authentic event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
acct_sessionId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
acct_status_type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
called_station_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
calling_station_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
acct_delaytimestamp event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
acct_delay_time event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Auth.Username event.idm.read_only_udm.principal.user.user_display_name Mappé à partir du journal des modifications
Auth.Host-MAC-Address event.idm.read_only_udm.principal.mac Mappé à partir du journal des modifications
Auth.Roles event.idm.read_only_udm.principal.user.group_identifiers Mappé à partir du journal des modifications
Auth.Protocol event.idm.read_only_udm.intermediary.application Mappé à partir du journal des modifications
Auth.NAS-IP-Address event.idm.read_only_udm.target.ip Mappé à partir du journal des modifications
Auth.NAS-IP-Address event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
Auth.Service event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Auth.Login-Status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Common.Connection-Status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
source_ip1 event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
identifier event.idm.read_only_udm.principal.asset.asset_id Mappé à partir du journal des modifications
log_type event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
id event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
val1 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
val2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
swap_memory_avail event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
system_memory_avail event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cpu_raw_user event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cpu_raw_system event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cpu_raw_idle event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cpu_raw_nice event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
mgmt_inf_status event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
data_inf_status event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
swap_size_used event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
slash_size_used event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ingest_timestamp event.idm.read_only_udm.metadata.collected_timestamp Mappé à partir du journal des modifications
source_ip2 event.idm.read_only_udm.observer.ip Mappé à partir du journal des modifications
vd event.idm.read_only_udm.observer.resource.attribute.labels Mappé à partir du journal des modifications
ui event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
ui event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
ExporterName event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Category event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Action event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
Action event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
Remote_IP_Address event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
Remote_IP_Address event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
InterIP event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
InterIP event.idm.read_only_udm.intermediary.asset.ip Mappé à partir du journal des modifications
sdescription event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
code event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
ip event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
ip event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
server event.idm.read_only_udm_principal.application Mappé à partir du journal des modifications
swVersion event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
enterpriseId event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
software event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
CppmNode.CPPM-Node event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
CppmNode.CPPM-Node event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
messagedetail event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
Thread_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
servicename event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Req_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Internalserviceid event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
InternalChallengeID event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
Entityid event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
handlervalue event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
instanceid event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
threadrequestinfo event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
Acct-NAS-IP-Address principal.ip Mappé à partir du journal des modifications
Acct-Username principal.user.userid Mappé à partir du journal des modifications
Acct-Calling-Station-Id principal.user.product_object_id Mappé à partir du journal des modifications
descr" and "eventDescription metadata.description Mappé à partir du journal des modifications
specificTrap_name", "uptime", "enterprise", "generic_num", "specificTrap_num", and "community additional.fields Mappé à partir du journal des modifications
Common.Service", "Common.Enforcement-Profiles", and "Common.Login-Status security_result.detection_fields Mappé à partir du journal des modifications
metadata.event_type STATUS_UPDATE Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.