Raccogli i log di Aruba ClearPass

Supportata in:

Questo documento spiega come importare i log di Aruba ClearPass in Google Security Operations utilizzando l'agente Bindplane.

Aruba ClearPass Policy Manager genera messaggi syslog per l'autenticazione RADIUS, TACACS+, l'autenticazione web, la postura degli endpoint, l'accesso ospite, i record di controllo e gli eventi di sistema. Il parser mappa i campi estratti al modello UDM (Unified Data Model).

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive oppure host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e ClearPass Policy Manager
  • Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso con privilegi alla console ClearPass Policy Manager

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

  • Nuovi deployment: utilizza l'API Chronicle (opzione 1).
  • Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.
  1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
  2. Vai a IAM e amministrazione > Service account.
  3. Fai clic su Crea account di servizio.
  4. Fornisci i seguenti dettagli di configurazione:
    • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
    • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
  5. Fai clic su Crea e continua.
  6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
  7. Fai clic su Continua e poi su Fine.
  8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
  9. Fai clic su Aggiungi chiave > Crea nuova chiave.
  10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
  11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
  12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
  3. Scarica il file di autenticazione dell'acquisizione.
  4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Ottieni l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

  1. Apri il prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/clearpass:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CLEARPASS
    raw_log_field: body

service:
  pipelines:
    logs/clearpass_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/clearpass

Parametri di configurazione

Sostituisci i seguenti segnaposto:

  • Configurazione del ricevitore:

    • listen_address: indirizzo IP e porta su cui ascoltare:
      • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
      • La porta 514 è la porta syslog standard (richiede l'accesso root su Linux; utilizza 1514 per l'accesso non root)

  • Configurazione dell'esportatore:

    • creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID cliente copiato dalla console Google SecOps
    • location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
    • project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.
    • endpoint: mantieni l'impostazione chronicle.googleapis.com.

Esportatore API di importazione precedente

  • Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/clearpass:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CLEARPASS
    raw_log_field: body

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      sudo systemctl status observiq-otel-collector

    2. Controlla i log per verificare la presenza di errori:

      sudo journalctl -u observiq-otel-collector -f

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        sc query observiq-otel-collector

      5. Controlla i log per verificare la presenza di errori:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura il server syslog Aruba ClearPass

  1. Accedi alla console ClearPass Policy Manager.
  2. Seleziona Administration (Amministrazione) > External servers (Server esterni) > Syslog targets (Destinazioni syslog).
  3. Fai clic su Aggiungi.
  4. Nella finestra Aggiungi destinazione syslog visualizzata, specifica i seguenti dettagli:
    • Indirizzo host: inserisci l'indirizzo IP di Bindplane.
    • Porta del server: inserisci il numero di porta di Bindplane.
    • Protocollo: seleziona UDP (puoi anche selezionare TCP, a seconda della configurazione di Bindplane).
  5. Fai clic su Salva.

Configura i filtri di esportazione di syslog

  1. Vai ad Administration (Amministrazione) > External servers (Server esterni) > Syslog export filters (Filtri di esportazione Syslog).
  2. Fai clic su Aggiungi.
  3. Nella finestra Aggiungi filtri Syslog visualizzata, specifica quanto segue nella scheda Generali:
    • Nome: inserisci il nome del filtro di esportazione syslog in base alla tabella in Esporta elementi del modello.
    • Modello di esportazione: seleziona il modello di esportazione appropriato in base alla tabella in Elementi del modello di esportazione.
    • Tipo di formato dell'evento di esportazione: seleziona Standard.
    • Server Syslog: seleziona l'indirizzo IP di Bindplane.
  4. Nell'elenco Modello di esportazione, quando selezioni i modelli di esportazione Sessione o Insight, viene attivata la scheda Filtro e colonne. Procedi come indicato di seguito:
    • Fai clic sulla scheda Filtro e colonne.
    • Filtro dati: assicurati che sia selezionato il valore predefinito Tutte le richieste.
    • Selezione delle colonne: seleziona il gruppo di campi predefinito in base alla tabella in Esporta elementi del modello.
    • Colonne selezionate: verifica che i campi compilati automaticamente corrispondano alla tabella in Esporta elementi del modello.
    • Fai clic sulla scheda Riepilogo.
    • Fai clic su Salva.
  5. Nell'elenco Modello di esportazione, quando selezioni i modelli di esportazione Eventi di sistema e Audit record, la scheda Filtro e colonne non è attiva. Vai alla scheda Riepilogo e fai clic su Salva.
  6. Ripeti i passaggi per aggiungere filtri di esportazione syslog per tutti i modelli di esportazione Session (Sessione), Insight, Audit records (Record di controllo) e System events (Eventi di sistema) in base ai dettagli della tabella in Elementi dei modelli di esportazione.

Esporta elementi del modello

La tabella seguente descrive gli elementi che devi configurare per ogni modello di esportazione. I campi predefiniti elencati in Colonne selezionate sono supportati per l'analisi degli eventi. Assicurati che tutti i campi menzionati nella tabella in Colonne selezionate (predefinite) siano presenti e nello stesso ordine. Assicurati di creare i template dei filtri di esportazione syslog esattamente come indicato nella tabella, incluso il nome del filtro sensibile alle maiuscole.

Nome del filtro di esportazione Syslog (sensibile alle maiuscole) Modello di esportazione Gruppi di campi predefiniti Colonne selezionate (predefinite)
ACPPM_radauth Log degli insight Autenticazioni Radius Auth.Username, Auth.Host-MAC-Address, Auth.Protocol, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_radfailedauth Log degli insight Autenticazioni RADIUS non riuscite Auth.Username, Auth.Host-MAC-Address, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_radacct Log degli insight RADIUS Accounting Radius.Username, Radius.Calling-Station-Id, Radius.Framed-IP-Address, Radius.NAS-IP-Address, Radius.Start-Time, Radius.End-Time, Radius.Duration, Radius.Input-bytes, Radius.Output-bytes
ACPPM_tacauth Log degli insight Autenticazione TACACS tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, tacacs.Auth-Source, tacacs.Roles, tacacs.Enforcement-Profiles, tacacs.Privilege-Level
ACPPM_tacfailedauth Log degli insight Autenticazione TACACS non riuscita tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_webauth Log degli insight WEBAUTH Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_webfailedauth Log degli insight Autenticazioni WEBAUTH non riuscita Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_appauth Log degli insight Autenticazione dell'applicazione Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_failedappauth Log degli insight Autenticazione dell'applicazione non riuscita Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_endpoints Log degli insight Endpoint Endpoint.MAC-Address, Endpoint.MAC-Vendor, Endpoint.IP-Address, Endpoint.Username, Endpoint.Device-Category, Endpoint.Device-Family, Endpoint.Device-Name, Endpoint.Conflict, Endpoint.Status, Endpoint.Added-At, Endpoint.Updated-At
ACPPM_cpguest Log degli insight Clearpass Guest Guest.Username, Guest.MAC-Address, Guest.Visitor-Name, Guest.Visitor-Company, Guest.Role-Name, Guest.Enabled, Guest.Created-At, Guest.Starts-At, Guest.Expires-At
ACPPM_onbenroll Log degli insight Registrazione integrata OnboardEnrollment.Username, OnboardEnrollment.Device-Name, OnboardEnrollment.MAC-Address, OnboardEnrollment.Device-Product, OnboardEnrollment.Device-Version, OnboardEnrollment.Added-At, OnboardEnrollment.Updated-At
ACPPM_onbcert Log degli insight Certificato di bordo OnboardCert.Username, OnboardCert.Mac-Address, OnboardCert.Subject, OnboardCert.Issuer, OnboardCert.Valid-From, OnboardCert.Valid-To, OnboardCert.Revoked-At
ACPPM_onboscp Log degli insight Onboard OCSP OnboardOCSP.Remote-Address, OnboardOCSP.Response-Status-Name, OnboardOCSP.Timestamp
ACPPM_cpsysevent Log degli insight Eventi di sistema Clearpass CppmNode.CPPM-Node, CppmSystemEvent.Source, CppmSystemEvent.Level, CppmSystemEvent.Category, CppmSystemEvent.Action, CppmSystemEvent.Timestamp
ACPPM_cpconfaudit Log degli insight Clearpass Configuration Audit CppmConfigAudit.Name, CppmConfigAudit.Action, CppmConfigAudit.Category, CppmConfigAudit.Updated-By, CppmConfigAudit.Updated-At
ACPPM_possummary Log degli insight Riepilogo della postura Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Posture-Healthy, Endpoint.Posture-Unhealthy
ACPPM_posfwsummary Log degli insight Riepilogo del firewall di postura Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Firewall-APT, Endpoint.Firewall-Input, Endpoint.Firewall-Output
ACPPM_poavsummary Log degli insight Riepilogo antivirus della postura Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antivirus-APT, Endpoint.Antivirus-Input, Endpoint.Antivirus-Output
ACPPM_posassummary Log degli insight Riepilogo antispyware della postura Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antispyware-APT, Endpoint.Antispyware-Input, Endpoint.Antispyware-Output
ACPPM_posdskencrpsummary Log degli insight Riepilogo della crittografia del disco della postura Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.DiskEncryption-APT, Endpoint.DiskEncryption-Input, Endpoint.DiskEncryption-Output
ACPPM_loggedusers Log sessione Utenti che hanno eseguito l'accesso Common.Username, Common.Service, Common.Roles, Common.Host-MAC-Address, RADIUS.Acct-Framed-IP-Address, Common.NAS-IP-Address, Common.Request-Timestamp
ACPPM_failedauth Log sessione Autenticazioni non riuscite Common.Username, Common.Service, Common.Roles, RADIUS.Auth-Source, RADIUS.Auth-Method, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Host-MAC-Address, Common.NAS-IP-Address, Common.Error-Code, Common.Alerts, Common.Request-Timestamp
ACPPM_radacctsession Log sessione RADIUS Accounting RADIUS.Acct-Username, RADIUS.Acct-NAS-IP-Address, RADIUS.Acct-NAS-Port, RADIUS.Acct-NAS-Port-Type, RADIUS.Acct-Calling-Station-Id, RADIUS.Acct-Framed-IP-Address, RADIUS.Acct-Session-Id, RADIUS.Acct-Session-Time, RADIUS.Acct-Output-Pkts, RADIUS.Acct-Input-Pkts, RADIUS.Acct-Output-Octets, RADIUS.Acct-Input.Octets, RADIUS.Acct-Service-Name, RADIUS.Acct-Timestamp
ACPPM_tacadmin Log sessione Amministrazione TACACS+ Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_tacacct Log sessione tacacs+ Accounting Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Acct-Flags, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_webauthsession Log sessione Autenticazione web Common.Username, Common.Host-MAC-Address, WEBAUTH.Host-IP-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_guestacc Log sessione Accesso ospite Common.Username, RADIUS.Auth-Method, Common.Host-MAC-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_auditrecords Audit Records Non applicabile Non applicabile
ACPPM_systemevents Eventi di sistema Non applicabile Non applicabile

Tabella di mappatura UDM

Campo del log mappatura UDM Logica
Action security_result.action Il valore viene mappato dal campo "Azione" se il suo valore è "ALLOW" o "BLOCK"
Auth.Enforcement-Profiles security_result.detection_fields.value Il valore viene mappato dal campo "Auth.Enforcement-Profiles"
Auth.Host-MAC-Address principal.mac Il valore viene mappato dal campo "Auth.Host-MAC-Address" dopo la conversione nel formato dell'indirizzo MAC separato da due punti
Auth.Login-Status security_result.detection_fields.value Il valore viene mappato dal campo "Auth.Login-Status"
Auth.NAS-IP-Address target.ip Il valore viene mappato dal campo "Auth.NAS-IP-Address"
Auth.Protocol intermediary.application Il valore viene mappato dal campo "Auth.Protocol"
Auth.Service security_result.detection_fields.value Il valore è mappato dal campo "Auth.Service"
Auth.Source principal.hostname Il valore viene mappato dal campo "Auth.Source" dopo aver rimosso eventuali caratteri alfanumerici e spazi iniziali
Auth.Username principal.user.user_display_name Il valore viene mappato dal campo "Auth.Username"
Category metadata.event_type Se il valore è 'connesso', il campo UDM è impostato su 'USER_LOGIN'. Se il valore è "Logged out", il campo UDM è impostato su "USER_LOGOUT"
Common.Alerts security_result.description Il valore viene mappato dal campo "Common.Alerts"
Common.Enforcement-Profiles security_result.detection_fields.value Il valore viene mappato dal campo "Common.Enforcement-Profiles"
Common.Login-Status security_result.detection_fields.value Il valore viene mappato dal campo "Common.Login-Status"
Common.NAS-IP-Address target.ip Il valore viene mappato dal campo "Common.NAS-IP-Address"
Common.Roles principal.user.group_identifiers Il valore viene mappato dal campo "Common.Roles"
Common.Service security_result.detection_fields.value Il valore viene mappato dal campo "Common.Service"
Common.Username principal.user.userid Il valore viene mappato dal campo "Common.Username"
Component intermediary.application Il valore viene mappato dal campo "Componente"
Description metadata.description Il valore viene mappato dal campo "Descrizione" dopo aver sostituito i caratteri di nuova riga con il simbolo pipe. Se il campo "Description" contiene "User", "Address" e "Role", viene analizzato come coppie chiave-valore e mappato ai campi UDM corrispondenti. Se il campo "Description" contiene "Unable connection with", il nome host di destinazione viene estratto e mappato a "target.hostname"
EntityName principal.hostname Il valore viene mappato dal campo "EntityName"
InterIP target.ip Il valore è mappato dal campo "InterIP"
Level security_result.severity Se il valore è "ERROR" o "FATAL", il campo UDM è impostato su "HIGH". Se il valore è "WARN", il campo UDM è impostato su "MEDIUM". Se il valore è "INFO" o "DEBUG", il campo UDM è impostato su "LOW"
LogNumber metadata.product_log_id Il valore viene mappato dal campo "LogNumber"
RADIUS.Acct-Framed-IP-Address principal.ip Il valore viene mappato dal campo "RADIUS.Acct-Framed-IP-Address"
Timestamp metadata.event_timestamp Il valore viene mappato dal campo "Timestamp" dopo averlo convertito in UTC e analizzato come timestamp
User principal.user.userid Il valore viene mappato dal campo "Utente"
agent_ip principal.ip,, principal.asset.ip Il valore viene mappato dal campo "agent_ip"
community additional.fields.value.string_value Il valore viene mappato dal campo "community"
descr metadata.description Il valore viene mappato dal campo "descr"
enterprise additional.fields.value.string_value Il valore viene mappato dal campo "enterprise"
eventDescription metadata.description Il valore viene mappato dal campo "eventDescription" dopo la rimozione delle virgolette
generic_num additional.fields.value.string_value Il valore viene mappato dal campo "generic_num"
prin_mac principal.mac Il valore viene mappato dal campo "prin_mac" dopo la conversione nel formato dell'indirizzo MAC separato da due punti
prin_port principal.port Il valore viene mappato dal campo "prin_port" e convertito in un numero intero
specificTrap_name additional.fields.value.string_value Il valore viene mappato dal campo "specificTrap_name"
specificTrap_num additional.fields.value.string_value Il valore viene mappato dal campo "specificTrap_num"
uptime additional.fields.value.string_value Il valore viene mappato dal campo "uptime"
version metadata.product_version Il valore è mappato dal campo "version"
extensions.auth.type Il valore è impostato su "SSO"
metadata.event_type Il valore viene determinato in base a vari campi dei log e alla logica del parser. Per i dettagli, consulta il codice del parser
metadata.log_type Il valore è impostato su "CLEARPASS"
metadata.product_name Il valore è impostato su "ClearPass"
metadata.vendor_name Il valore è impostato su "ArubaNetworks"
deviceProcessName event.idm.read_only_udm.intermediary.application Mappato dal log delle modifiche
msg event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
NAD event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
user_name event.idm.read_only_udm.principal.user.userid Mappato dal log delle modifiche
nas_ip event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
dst event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
service_name event.idm.read_only_udm.target.application Mappato dal log delle modifiche
roles event.idm.read_only_udm.principal.user.attribute.roles Mappato dal log delle modifiche
timestamp event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
rt event.idm.read_only_udm.metadata.event_timestamp Mappato dal log delle modifiche
rt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cs1 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cs2 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cs3 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cs4 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cs5 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cs6 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
tags event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cribl_pipe event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
organization.id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
my_timestamp event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
VAR_TOPIC_ID event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog_pri event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cef_version event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cef_vendor event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cef_product event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cef_product_version event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cef_signature_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
syslog_timestamp event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
dvc event.idm.read_only_udm.intermediary.ip Mappato dal log delle modifiche
syslog_host_ip event.idm.read_only_udm.intermediary.ip Mappato dal log delle modifiche
cs1 event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
cef_name event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
src event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
src event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
organization.name event.idm.read_only_udm.principal.group.group_display_name Mappato dal log delle modifiche
cat event.idm.read_only_udm.security_result.category_details Mappato dal log delle modifiche
kafkaTopic event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
evnt.created event.idm.read_only_udm.security_result.first_discovered_time Mappato dal log delle modifiche
cef_severity event.idm.read_only_udm.security_result.severity Mappato dal log delle modifiche
dpriv event.idm.read_only_udm.target.user.attribute.roles Mappato dal log delle modifiche
duser event.idm.read_only_udm.target.user.user_display_name Mappato dal log delle modifiche
ts event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
monitor_mode event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
audit_apt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
spt event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
end_host_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
request_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cpu_usage event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
res_mem_usage event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
virt_mem_usage event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
roles event.idm.read_only_udm.principal.user.group_identifiers Mappato dal log delle modifiche
enf_profiles event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
auth_source event.idm.read_only_udm.principal.resource.attribute.labels Mappato dal log delle modifiche
process_id event.idm.read_only_udm.principal.process.product_specific_process_id Mappato dal log delle modifiche
service_name event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
LogNumber event.idm.read_only_udm.principal.process.pid Mappato dal log delle modifiche
user_name event.idm.read_only_udm.principal.user.user_display_name Mappato dal log delle modifiche
nas_port event.idm.read_only_udm.target.port Mappato dal log delle modifiche
nas_port_type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
seq_num event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
acct_authentic event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
acct_sessionId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
acct_status_type event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
called_station_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
calling_station_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
acct_delaytimestamp event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
acct_delay_time event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Auth.Username event.idm.read_only_udm.principal.user.user_display_name Mappato dal log delle modifiche
Auth.Host-MAC-Address event.idm.read_only_udm.principal.mac Mappato dal log delle modifiche
Auth.Roles event.idm.read_only_udm.principal.user.group_identifiers Mappato dal log delle modifiche
Auth.Protocol event.idm.read_only_udm.intermediary.application Mappato dal log delle modifiche
Auth.NAS-IP-Address event.idm.read_only_udm.target.ip Mappato dal log delle modifiche
Auth.NAS-IP-Address event.idm.read_only_udm.target.asset.ip Mappato dal log delle modifiche
Auth.Service event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
Auth.Login-Status event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
Common.Connection-Status event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
source_ip1 event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
identifier event.idm.read_only_udm.principal.asset.asset_id Mappato dal log delle modifiche
log_type event.idm.read_only_udm.metadata.product_event_type Mappato dal log delle modifiche
id event.idm.read_only_udm.metadata.product_log_id Mappato dal log delle modifiche
val1 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
val2 event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
swap_memory_avail event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
system_memory_avail event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cpu_raw_user event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cpu_raw_system event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cpu_raw_idle event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
cpu_raw_nice event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
mgmt_inf_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
data_inf_status event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
swap_size_used event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
slash_size_used event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ingest_timestamp event.idm.read_only_udm.metadata.collected_timestamp Mappato dal log delle modifiche
source_ip2 event.idm.read_only_udm.observer.ip Mappato dal log delle modifiche
vd event.idm.read_only_udm.observer.resource.attribute.labels Mappato dal log delle modifiche
ui event.idm.read_only_udm.network.application_protocol Mappato dal log delle modifiche
ui event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
ExporterName event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Category event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
Action event.idm.read_only_udm.security_result.action Mappato dal log delle modifiche
Action event.idm.read_only_udm.security_result.action_details Mappato dal log delle modifiche
Remote_IP_Address event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
Remote_IP_Address event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
port event.idm.read_only_udm.principal.port Mappato dal log delle modifiche
InterIP event.idm.read_only_udm.intermediary.ip Mappato dal log delle modifiche
InterIP event.idm.read_only_udm.intermediary.asset.ip Mappato dal log delle modifiche
sdescription event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
code event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
ip event.idm.read_only_udm.principal.ip Mappato dal log delle modifiche
ip event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
server event.idm.read_only_udm_principal.application Mappato dal log delle modifiche
swVersion event.idm.read_only_udm.metadata.product_version Mappato dal log delle modifiche
enterpriseId event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
software event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
CppmNode.CPPM-Node event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mappato dal log delle modifiche
CppmNode.CPPM-Node event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
messagedetail event.idm.read_only_udm.security_result.description Mappato dal log delle modifiche
Thread_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
servicename event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Req_id event.idm.read_only_udm.additional.fields Mappato dal log delle modifiche
Internalserviceid event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
InternalChallengeID event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
Entityid event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
handlervalue event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
instanceid event.idm.read_only_udm.security_result.detection_fields Mappato dal log delle modifiche
threadrequestinfo event.idm.read_only_udm.metadata.description Mappato dal log delle modifiche
Acct-NAS-IP-Address principal.ip Mappato dal log delle modifiche
Acct-Username principal.user.userid Mappato dal log delle modifiche
Acct-Calling-Station-Id principal.user.product_object_id Mappato dal log delle modifiche
descr" and "eventDescription metadata.description Mappato dal log delle modifiche
specificTrap_name", "uptime", "enterprise", "generic_num", "specificTrap_num", and "community additional.fields Mappato dal log delle modifiche
Common.Service", "Common.Enforcement-Profiles", and "Common.Login-Status security_result.detection_fields Mappato dal log delle modifiche
metadata.event_type STATUS_UPDATE Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.