Coletar registros do Aruba ClearPass

Compatível com:

Google SecOps SIEM

Neste documento, explicamos como ingerir registros do Aruba ClearPass no Google Security Operations usando o agente do Bindplane.

O Aruba ClearPass Policy Manager gera mensagens de syslog para autenticação RADIUS, TACACS+, autenticação da Web, postura de endpoint, acesso de convidado, registros de auditoria e eventos do sistema. O analisador mapeia os campos extraídos para o modelo de dados unificado (UDM).

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Windows Server 2016 ou mais recente ou host Linux com systemd
• Conectividade de rede entre o agente do Bindplane e o ClearPass Policy Manager
• Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso privilegiado ao console do ClearPass Policy Manager

Receber credenciais do Google SecOps para o agente do Bindplane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para configurar o exportador.

Observação: a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do BindPlane e alterne a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações > Gerenciamento de dados > Agentes de coleta. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje a mudança para a Opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações > Administração > Perfil. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Perfil.

3. Copie e salve o ID de cliente na seção Detalhes da organização.

   Observação: o ID de cliente é necessário para configurar o exportador do agente do BindPlane.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sc query observiq-otel-collector
   

   O serviço precisa aparecer como RUNNING.

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sudo systemctl status observiq-otel-collector
   

   O serviço precisa aparecer como active (running).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Observação: a configuração do exportador da API Chronicle requer o coletor Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir o syslog e enviar ao Google SecOps

Localize o arquivo de configuração.

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Editar o arquivo de configuração

• Substitua todo o conteúdo de config.yaml pela seguinte configuração:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/clearpass:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: CLEARPASS
      raw_log_field: body
  
  service:
    pipelines:
      logs/clearpass_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/clearpass
  

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

• Configuração do receptor:

  • listen_address: endereço IP e porta a serem detectados:
    • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
    • A porta 514 é a porta padrão do syslog (requer raiz no Linux; use 1514 para não raiz)

• Configuração do exportador:

  • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID de cliente copiado do console do Google SecOps
  • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor. Consulte Endpoints regionais para ver a lista completa.
  • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
  • endpoint: mantenha definido como chronicle.googleapis.com.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/clearpass:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CLEARPASS
      raw_log_field: body
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for desativada em 20 de julho de 2027.

Salve o arquivo de configuração.

• Depois de editar, salve o arquivo:
  • Linux: pressione Ctrl+O, depois Enter e, em seguida, Ctrl+X.
  • Windows: clique em Arquivo > Salvar.

Reinicie o agente do BindPlane para aplicar as mudanças:

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifique se o serviço está em execução:

     sudo systemctl status observiq-otel-collector
     

  2. Verifique se há erros nos registros:

     sudo journalctl -u observiq-otel-collector -f
     

• Para reiniciar o agente do Bindplane no Windows, escolha uma das seguintes opções:

  • Prompt de comando ou PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console de serviços:

    1. Pressione Win+R, digite services.msc e pressione Enter.
    2. Localize o coletor do OpenTelemetry da observIQ.
    3. Clique com o botão direito do mouse e selecione Reiniciar.

    4. Verifique se o serviço está em execução:

       sc query observiq-otel-collector
       

    5. Verifique se há erros nos registros:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurar o servidor syslog do Aruba ClearPass

1. Faça login no console do ClearPass Policy Manager.
2. Selecione Administração > Servidores externos > Destinos do Syslog.
3. Clique em Adicionar.
4. Na janela Adicionar destino do syslog que aparece, especifique os seguintes detalhes:
   • Endereço do host: insira o endereço IP do BindPlane.
   • Porta do servidor: digite o número da porta do Bindplane.
   • Protocolo: selecione UDP (também é possível selecionar TCP, dependendo da configuração do Bindplane).
5. Clique em Salvar.

Configurar filtros de exportação do syslog

1. Acesse Administração > Servidores externos > Filtros de exportação do Syslog.
2. Clique em Adicionar.
3. Na janela Adicionar filtros do Syslog que aparece, especifique o seguinte na guia Geral:
   • Nome: insira o nome do filtro de exportação do syslog com base na tabela em Exportar itens do modelo.
   • Exportar modelo: selecione o modelo de exportação adequado com base na tabela em Exportar itens de modelo.
   • Tipo de formato do evento de exportação: selecione Padrão.
   • Servidores Syslog: selecione o endereço IP do BindPlane.
4. Na lista Modelo de exportação, quando você seleciona os modelos de exportação Sessão ou Insight, a guia Filtro e colunas é ativada. Siga estas etapas:
   • Clique na guia Filtro e colunas.
   • Filtro de dados: verifique se o valor padrão Todas as solicitações está selecionado.
   • Seleção de colunas: selecione o grupo de campos predefinido com base na tabela em Exportar itens de modelo.
   • Colunas selecionadas: verifique se os campos preenchidos automaticamente correspondem à tabela em Exportar itens do modelo.
   • Clique na guia Resumo.
   • Clique em Salvar.
5. Na lista Exportar modelo, quando você seleciona os modelos de exportação Eventos do sistema e Registros de auditoria, a guia Filtro e colunas não é ativada. Acesse a guia Resumo e clique em Salvar.
6. Repita as etapas para adicionar filtros de exportação do syslog para todos os modelos de exportação de Sessão, Insight, Registros de auditoria e Eventos do sistema com base nos detalhes da tabela em Exportar itens de modelo.

Exportar itens do modelo

A tabela a seguir descreve os itens que você precisa configurar para cada modelo de exportação. Os campos padrão listados em "Colunas selecionadas" são compatíveis com a análise de eventos. Verifique se todos os campos mencionados na tabela em "Colunas selecionadas (padrão)" estão presentes e na mesma ordem. Crie modelos de filtro de exportação de syslog exatamente como fornecido na tabela, incluindo o nome do filtro que diferencia maiúsculas de minúsculas.

Observação: é possível adicionar mais campos de "Colunas disponíveis", mas eles não são compatíveis com a análise de eventos e estão disponíveis em registros brutos.

Nome do filtro de exportação do Syslog (diferencia maiúsculas de minúsculas)	Exportar modelo	Grupos de campos predefinidos	Colunas selecionadas (padrão)
ACPPM_radauth	Registros de insight	Autenticações do Radius	Auth.Username, Auth.Host-MAC-Address, Auth.Protocol, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_radfailedauth	Registros de insight	Falhas de autenticação do Radius	Auth.Username, Auth.Host-MAC-Address, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_radacct	Registros de insight	Contabilidade do RADIUS	Radius.Username, Radius.Calling-Station-Id, Radius.Framed-IP-Address, Radius.NAS-IP-Address, Radius.Start-Time, Radius.End-Time, Radius.Duration, Radius.Input-bytes, Radius.Output-bytes
ACPPM_tacauth	Registros de insight	Autenticação TACACS	tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, tacacs.Auth-Source, tacacs.Roles, tacacs.Enforcement-Profiles, tacacs.Privilege-Level
ACPPM_tacfailedauth	Registros de insight	Falha na autenticação do TACACS	tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_webauth	Registros de insight	WEBAUTH	Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_webfailedauth	Registros de insight	Falhas de autenticação do WEBAUTH	Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_appauth	Registros de insight	Autenticação de aplicativos	Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_failedappauth	Registros de insight	Falha na autenticação do aplicativo	Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_endpoints	Registros de insight	Endpoints	Endpoint.MAC-Address, Endpoint.MAC-Vendor, Endpoint.IP-Address, Endpoint.Username, Endpoint.Device-Category, Endpoint.Device-Family, Endpoint.Device-Name, Endpoint.Conflict, Endpoint.Status, Endpoint.Added-At, Endpoint.Updated-At
ACPPM_cpguest	Registros de insight	Clearpass Guest	Guest.Username, Guest.MAC-Address, Guest.Visitor-Name, Guest.Visitor-Company, Guest.Role-Name, Guest.Enabled, Guest.Created-At, Guest.Starts-At, Guest.Expires-At
ACPPM_onbenroll	Registros de insight	Registro de integração	OnboardEnrollment.Username, OnboardEnrollment.Device-Name, OnboardEnrollment.MAC-Address, OnboardEnrollment.Device-Product, OnboardEnrollment.Device-Version, OnboardEnrollment.Added-At, OnboardEnrollment.Updated-At
ACPPM_onbcert	Registros de insight	Certificado de integração	OnboardCert.Username, OnboardCert.Mac-Address, OnboardCert.Subject, OnboardCert.Issuer, OnboardCert.Valid-From, OnboardCert.Valid-To, OnboardCert.Revoked-At
ACPPM_onboscp	Registros de insight	Integrar o OCSP	OnboardOCSP.Remote-Address, OnboardOCSP.Response-Status-Name, OnboardOCSP.Timestamp
ACPPM_cpsysevent	Registros de insight	Eventos do sistema Clearpass	CppmNode.CPPM-Node, CppmSystemEvent.Source, CppmSystemEvent.Level, CppmSystemEvent.Category, CppmSystemEvent.Action, CppmSystemEvent.Timestamp
ACPPM_cpconfaudit	Registros de insight	Auditoria de configuração do Clearpass	CppmConfigAudit.Name, CppmConfigAudit.Action, CppmConfigAudit.Category, CppmConfigAudit.Updated-By, CppmConfigAudit.Updated-At
ACPPM_possummary	Registros de insight	Resumo da postura	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Posture-Healthy, Endpoint.Posture-Unhealthy
ACPPM_posfwsummary	Registros de insight	Resumo do firewall de postura	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Firewall-APT, Endpoint.Firewall-Input, Endpoint.Firewall-Output
ACPPM_poavsummary	Registros de insight	Resumo do antivírus de postura	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antivirus-APT, Endpoint.Antivirus-Input, Endpoint.Antivirus-Output
ACPPM_posassummary	Registros de insight	Resumo do antispyware da postura	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antispyware-APT, Endpoint.Antispyware-Input, Endpoint.Antispyware-Output
ACPPM_posdskencrpsummary	Registros de insight	Resumo de DiskEncryption da postura	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.DiskEncryption-APT, Endpoint.DiskEncryption-Input, Endpoint.DiskEncryption-Output
ACPPM_loggedusers	Registros da sessão	Usuários conectados	Common.Username, Common.Service, Common.Roles, Common.Host-MAC-Address, RADIUS.Acct-Framed-IP-Address, Common.NAS-IP-Address, Common.Request-Timestamp
ACPPM_failedauth	Registros da sessão	Autenticações com falha	Common.Username, Common.Service, Common.Roles, RADIUS.Auth-Source, RADIUS.Auth-Method, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Host-MAC-Address, Common.NAS-IP-Address, Common.Error-Code, Common.Alerts, Common.Request-Timestamp
ACPPM_radacctsession	Registros da sessão	Contabilidade do RADIUS	RADIUS.Acct-Username, RADIUS.Acct-NAS-IP-Address, RADIUS.Acct-NAS-Port, RADIUS.Acct-NAS-Port-Type, RADIUS.Acct-Calling-Station-Id, RADIUS.Acct-Framed-IP-Address, RADIUS.Acct-Session-Id, RADIUS.Acct-Session-Time, RADIUS.Acct-Output-Pkts, RADIUS.Acct-Input-Pkts, RADIUS.Acct-Output-Octets, RADIUS.Acct-Input.Octets, RADIUS.Acct-Service-Name, RADIUS.Acct-Timestamp
ACPPM_tacadmin	Registros da sessão	Administração do tacacs+	Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_tacacct	Registros da sessão	Contabilização TACACS+	Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Acct-Flags, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_webauthsession	Registros da sessão	Autenticação da Web	Common.Username, Common.Host-MAC-Address, WEBAUTH.Host-IP-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_guestacc	Registros da sessão	Acesso para convidados	Common.Username, RADIUS.Auth-Method, Common.Host-MAC-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_auditrecords	Registros de auditoria	Não relevante	Não relevante
ACPPM_systemevents	Eventos do sistema	Não relevante	Não relevante

Tabela de mapeamento de UDM

Campo de registro	mapeamento de UDM	Lógica
Action	security_result.action	O valor é mapeado do campo "Ação" se o valor dele for "PERMITIR" ou "BLOQUEAR"
Auth.Enforcement-Profiles	security_result.detection_fields.value	O valor é mapeado do campo "Auth.Enforcement-Profiles"
Auth.Host-MAC-Address	principal.mac	O valor é mapeado do campo "Auth.Host-MAC-Address" após a conversão para o formato de endereço MAC separado por dois-pontos.
Auth.Login-Status	security_result.detection_fields.value	O valor é mapeado do campo "Auth.Login-Status"
Auth.NAS-IP-Address	target.ip	O valor é mapeado do campo "Auth.NAS-IP-Address"
Auth.Protocol	intermediary.application	O valor é mapeado do campo "Auth.Protocol"
Auth.Service	security_result.detection_fields.value	O valor é mapeado do campo "Auth.Service"
Auth.Source	principal.hostname	O valor é mapeado do campo "Auth.Source" após a remoção de todos os caracteres alfanuméricos e espaços iniciais
Auth.Username	principal.user.user_display_name	O valor é mapeado do campo "Auth.Username"
Category	metadata.event_type	Se o valor for "Logged in", o campo UDM será definido como "USER_LOGIN". Se o valor for "Logged out", o campo do UDM será definido como "USER_LOGOUT"
Common.Alerts	security_result.description	O valor é mapeado do campo "Common.Alerts"
Common.Enforcement-Profiles	security_result.detection_fields.value	O valor é mapeado do campo "Common.Enforcement-Profiles"
Common.Login-Status	security_result.detection_fields.value	O valor é mapeado do campo "Common.Login-Status"
Common.NAS-IP-Address	target.ip	O valor é mapeado do campo "Common.NAS-IP-Address"
Common.Roles	principal.user.group_identifiers	O valor é mapeado do campo "Common.Roles"
Common.Service	security_result.detection_fields.value	O valor é mapeado do campo "Common.Service"
Common.Username	principal.user.userid	O valor é mapeado do campo "Common.Username"
Component	intermediary.application	O valor é mapeado do campo "Componente"
Description	metadata.description	O valor é mapeado do campo "Descrição" depois de substituir os caracteres de nova linha pelo símbolo de barra vertical. Se o campo "Descrição" contiver "Usuário", "Endereço" e "Papel", ele será analisado como pares de chave-valor e mapeado para os campos correspondentes do UDM. Se o campo "Descrição" contiver "Não foi possível conectar com", o nome do host de destino será extraído e mapeado para "target.hostname"
EntityName	principal.hostname	O valor é mapeado do campo "EntityName"
InterIP	target.ip	O valor é mapeado do campo "InterIP"
Level	security_result.severity	Se o valor for "ERROR" ou "FATAL", o campo UDM será definido como "HIGH". Se o valor for "WARN", o campo UDM será definido como "MEDIUM". Se o valor for "INFO" ou "DEBUG", o campo UDM será definido como "LOW"
LogNumber	metadata.product_log_id	O valor é mapeado do campo "LogNumber"
RADIUS.Acct-Framed-IP-Address	principal.ip	O valor é mapeado do campo "RADIUS.Acct-Framed-IP-Address"
Timestamp	metadata.event_timestamp	O valor é mapeado do campo "Timestamp" depois de ser convertido para UTC e analisado como um carimbo de data/hora
User	principal.user.userid	O valor é mapeado do campo "Usuário"
agent_ip	principal.ip,, principal.asset.ip	O valor é mapeado do campo "agent_ip"
community	additional.fields.value.string_value	O valor é mapeado do campo "community"
descr	metadata.description	O valor é mapeado do campo "descr"
enterprise	additional.fields.value.string_value	O valor é mapeado do campo "enterprise"
eventDescription	metadata.description	O valor é mapeado do campo "eventDescription" após a remoção das aspas
generic_num	additional.fields.value.string_value	O valor é mapeado do campo "generic_num"
prin_mac	principal.mac	O valor é mapeado do campo "prin_mac" após a conversão para o formato de endereço MAC separado por dois-pontos.
prin_port	principal.port	O valor é mapeado do campo "prin_port" e convertido em um número inteiro.
specificTrap_name	additional.fields.value.string_value	O valor é mapeado do campo "specificTrap_name"
specificTrap_num	additional.fields.value.string_value	O valor é mapeado do campo "specificTrap_num"
uptime	additional.fields.value.string_value	O valor é mapeado do campo "uptime"
version	metadata.product_version	O valor é mapeado do campo "version"
	extensions.auth.type	O valor é definido como "SSO"
	metadata.event_type	O valor é determinado com base em vários campos de registro e na lógica do analisador. Consulte o código do analisador para mais detalhes.
	metadata.log_type	O valor está definido como "CLEARPASS"
	metadata.product_name	O valor está definido como "ClearPass"
	metadata.vendor_name	O valor está definido como "ArubaNetworks"
deviceProcessName	event.idm.read_only_udm.intermediary.application	Mapeado do registro de alterações
msg	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
NAD	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
user_name	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
nas_ip	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
dst	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
service_name	event.idm.read_only_udm.target.application	Mapeado do registro de alterações
roles	event.idm.read_only_udm.principal.user.attribute.roles	Mapeado do registro de alterações
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de alterações
rt	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de alterações
rt	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cs1	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cs2	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cs3	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cs4	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cs5	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cs6	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
tags	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cribl_pipe	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
organization.id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
my_timestamp	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
VAR_TOPIC_ID	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
syslog_pri	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cef_version	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cef_vendor	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cef_product	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cef_product_version	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cef_signature_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
syslog_timestamp	event.idm.read_only_udm.metadata.collected_timestamp	Mapeado do registro de alterações
dvc	event.idm.read_only_udm.intermediary.ip	Mapeado do registro de alterações
syslog_host_ip	event.idm.read_only_udm.intermediary.ip	Mapeado do registro de alterações
cs1	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
cef_name	event.idm.read_only_udm.metadata.product_event_type	Mapeado do registro de alterações
src	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
src	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
organization.name	event.idm.read_only_udm.principal.group.group_display_name	Mapeado do registro de alterações
cat	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de alterações
kafkaTopic	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
evnt.created	event.idm.read_only_udm.security_result.first_discovered_time	Mapeado do registro de alterações
cef_severity	event.idm.read_only_udm.security_result.severity	Mapeado do registro de alterações
dpriv	event.idm.read_only_udm.target.user.attribute.roles	Mapeado do registro de alterações
duser	event.idm.read_only_udm.target.user.user_display_name	Mapeado do registro de alterações
ts	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
monitor_mode	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
audit_apt	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
spt	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
end_host_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
request_status	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cpu_usage	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
res_mem_usage	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
virt_mem_usage	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
roles	event.idm.read_only_udm.principal.user.group_identifiers	Mapeado do registro de alterações
enf_profiles	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
auth_source	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de alterações
process_id	event.idm.read_only_udm.principal.process.product_specific_process_id	Mapeado do registro de alterações
service_name	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
LogNumber	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
user_name	event.idm.read_only_udm.principal.user.user_display_name	Mapeado do registro de alterações
nas_port	event.idm.read_only_udm.target.port	Mapeado do registro de alterações
nas_port_type	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
seq_num	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
acct_authentic	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
acct_sessionId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
acct_status_type	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
called_station_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
calling_station_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
acct_delaytimestamp	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
acct_delay_time	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Auth.Username	event.idm.read_only_udm.principal.user.user_display_name	Mapeado do registro de alterações
Auth.Host-MAC-Address	event.idm.read_only_udm.principal.mac	Mapeado do registro de alterações
Auth.Roles	event.idm.read_only_udm.principal.user.group_identifiers	Mapeado do registro de alterações
Auth.Protocol	event.idm.read_only_udm.intermediary.application	Mapeado do registro de alterações
Auth.NAS-IP-Address	event.idm.read_only_udm.target.ip	Mapeado do registro de alterações
Auth.NAS-IP-Address	event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
Auth.Service	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
Auth.Login-Status	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
Common.Connection-Status	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
source_ip1	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
identifier	event.idm.read_only_udm.principal.asset.asset_id	Mapeado do registro de alterações
log_type	event.idm.read_only_udm.metadata.product_event_type	Mapeado do registro de alterações
id	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de alterações
val1	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
val2	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
swap_memory_avail	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
system_memory_avail	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cpu_raw_user	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cpu_raw_system	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cpu_raw_idle	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
cpu_raw_nice	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
mgmt_inf_status	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
data_inf_status	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
swap_size_used	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
slash_size_used	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ingest_timestamp	event.idm.read_only_udm.metadata.collected_timestamp	Mapeado do registro de alterações
source_ip2	event.idm.read_only_udm.observer.ip	Mapeado do registro de alterações
vd	event.idm.read_only_udm.observer.resource.attribute.labels	Mapeado do registro de alterações
ui	event.idm.read_only_udm.network.application_protocol	Mapeado do registro de alterações
ui	event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
ExporterName	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Category	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
Action	event.idm.read_only_udm.security_result.action	Mapeado do registro de alterações
Action	event.idm.read_only_udm.security_result.action_details	Mapeado do registro de alterações
Remote_IP_Address	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
Remote_IP_Address	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
port	event.idm.read_only_udm.principal.port	Mapeado do registro de alterações
InterIP	event.idm.read_only_udm.intermediary.ip	Mapeado do registro de alterações
InterIP	event.idm.read_only_udm.intermediary.asset.ip	Mapeado do registro de alterações
sdescription	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
code	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
ip	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
ip	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
server	event.idm.read_only_udm_principal.application	Mapeado do registro de alterações
swVersion	event.idm.read_only_udm.metadata.product_version	Mapeado do registro de alterações
enterpriseId	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
software	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
CppmNode.CPPM-Node	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
CppmNode.CPPM-Node	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
messagedetail	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
Thread_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
servicename	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Req_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
Internalserviceid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
InternalChallengeID	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
Entityid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
handlervalue	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
instanceid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
threadrequestinfo	event.idm.read_only_udm.metadata.description	Mapeado do registro de alterações
Acct-NAS-IP-Address	principal.ip	Mapeado do registro de alterações
Acct-Username	principal.user.userid	Mapeado do registro de alterações
Acct-Calling-Station-Id	principal.user.product_object_id	Mapeado do registro de alterações
descr" and "eventDescription	metadata.description	Mapeado do registro de alterações
specificTrap_name", "uptime", "enterprise", "generic_num", "specificTrap_num", and "community	additional.fields	Mapeado do registro de alterações
Common.Service", "Common.Enforcement-Profiles", and "Common.Login-Status	security_result.detection_fields	Mapeado do registro de alterações
metadata.event_type	STATUS_UPDATE	Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.