Microsoft Defender for IoT-Logs (CyberX) erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Microsoft Defender for IoT-Logs (CyberX) mit Bindplane in Google Security Operations aufnehmen.

Microsoft Defender for IoT (ehemals CyberX) ist eine agentenlose IoT/OT-Sicherheitsplattform, die Asset-Erkennung, Verwaltung von Sicherheitslücken und kontinuierliches Bedrohungsmonitoring für industrielle Steuerungssysteme (ICS) und Betriebstechnologie-Umgebungen (OT) bietet. Er erkennt ungewöhnliches Verhalten und bekannte Bedrohungen in IoT-/OT-Netzwerken, ohne die Betriebsabläufe zu beeinträchtigen. Der Parser extrahiert Felder aus CyberX-Syslog- und Schlüssel/Wert-formatierten Logs. Dabei werden grok und/oder kv verwendet, um den Logeintrag zu parsen. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die Microsoft Defender for IoT-Sensorkonsole

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agenten so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CYBERX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • udplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
    • 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
    • 514: Portnummer, auf der gelauscht werden soll (Standard-Syslog-Port)

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: Kundennummer aus dem Abschnitt „Kundennummer abrufen“
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
    • log_type: Logtyp genau so, wie er in Google SecOps angezeigt wird (CYBERX)

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CYBERX'
    raw_log_field: body
    ingestion_labels:

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector

  3. Prüfen Sie die Logs auf Fehler:

    sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agenten unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Dienstkonsole:
      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sc query observiq-otel-collector

  3. Prüfen Sie die Logs auf Fehler:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung in Microsoft Defender for IoT konfigurieren

  1. Melden Sie sich als Administrator in der OT-Sensorkonsole von Microsoft Defender for IoT an.
  2. Wählen Sie im Menü auf der linken Seite Weiterleitung aus.
  3. Klicken Sie auf + Neue Regel erstellen.
  4. Geben Sie im Bereich Weiterleitungsregel hinzufügen die folgenden Details an:
    • Regelname: Geben Sie einen aussagekräftigen Namen ein, z. B. Google-SecOps-Bindplane.
    • Mindestschweregrad der Benachrichtigung: Wählen Sie Gering aus, um alle Schweregrade weiterzuleiten, oder wählen Sie einen höheren Schweregrad aus, um zu filtern.
    • Beliebiges erkanntes Protokoll: Aktivieren Sie diese Option, um Benachrichtigungen für den gesamten Protokolltraffic weiterzuleiten, oder deaktivieren Sie sie und wählen Sie bestimmte Protokolle aus.
    • Von einer beliebigen Engine erkannter Traffic: Aktivieren Sie diese Option, um Benachrichtigungen von allen Erkennungs-Engines weiterzuleiten, oder deaktivieren Sie sie und wählen Sie bestimmte Engines aus.

  5. Konfigurieren Sie im Bereich Aktionen den Syslog-Server:

    • Server: Wählen Sie SYSLOG Server (CEF format) aus.
    • Host: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
    • Port: Geben Sie 514 ein.
    • Zeitzone: Wählen Sie UTC aus (empfohlen).

  6. Klicken Sie auf Speichern. Die Regel wird auf der Seite Weiterleitung aufgeführt.

  7. Prüfen Sie die Regel, indem Sie das Optionsmenü … für die Regel auswählen und auf Testnachricht senden klicken.

  8. Prüfen Sie die Bindplane-Agent-Logs, um zu bestätigen, dass Syslog-Nachrichten empfangen werden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Zugriffsmaske security_result.detection_fields.value Wert von access_mask aus geparsten access_request_kvdata
Kontodomain principal.administrative_domain Wert von „principal_domain“ aus geparsten „principal_kvdata“
Kontodomain target.administrative_domain Wert von target_domain aus geparsten target_kvdata
Kontoname principal.user.userid Wert von „principal_account_name“ aus geparsten „principal_kvdata“
Kontoname target.user.userid Wert von target_account_name aus geparsten target_kvdata
Aktion security_result.action_details Wert der Aktion
Aktion security_result.action Abgeleitet. Wenn die Aktion „accept“, „passthrough“, „pass“, „permit“, „detected“ oder „close“ ist, wird sie „ALLOW“ zugeordnet. Wenn die Aktion „deny“, „dropped“ oder „blocked“ ist, wird sie „BLOCK“ zugeordnet. Wenn die Aktion „timeout“ ist, wird sie „FAIL“ zugeordnet. Andernfalls ordnen Sie „UNKNOWN_ACTION“ zu.
Algorithmusname security_result.detection_fields.value Wert von „algorithm_name“ aus geparsten „cryptographic_kvdata“
App target.application Wert des Dienstes, wenn „app_protocol_output“ leer ist
appcat security_result.detection_fields.value Wert von „appcat“
Name der Anwendung principal.application Wert von application_name
Authentifizierungspaket security_result.about.resource.name Wert von authentication_package
Azure Defender for IoT-Benachrichtigung security_result.detection_fields.value Wert von azure_defender_for_iot_alert
channel security_result.detection_fields.value Wert des Kanals
Clientadresse principal.ip, principal.asset.ip Wert von source_ip
Clientport principal.port Wert von source_port
craction security_result.detection_fields.value Wert der Aktion
Anmeldedaten im Credential Manager wurden gesichert security_result.description Wert der Beschreibung
Anmeldedaten des Credential Managers wurden gelesen. security_result.description Wert der Beschreibung
crscore security_result.severity_details Wert von crscore
crlevel security_result.severity, security_result.severity_details Wert von crlevel. Wenn „crlevel“ „HIGH“, „MEDIUM“, „LOW“ oder „CRITICAL“ ist, wird der entsprechende UDM-Schweregrad zugeordnet.
Kryptografischer Vorgang metadata.description Wert von product_desc
Name der CyberX-Plattform security_result.detection_fields.value Wert von cyberx_platform_name
Beschreibung security_result.description Wert der Beschreibung, wenn die Nachricht leer ist
Ziel target.ip, target.asset.ip oder target.hostname Wenn das Ziel eine IP-Adresse ist, ordnen Sie es „target.ip“ und „target.asset.ip“ zu. Andernfalls ordnen Sie target.hostname zu.
Zieladresse target.ip, target.asset.ip Wert von destination_ip aus geparsten network_information
Ziel-DRA target.resource.name Wert von destination_dra
Ziel-IP-Adresse target.ip, target.asset.ip Wert von destination_ip
Zielport target.port Wert von destination_port aus geparsten network_information
devid principal.resource.product_object_id Wert von devid
devname principal.resource.name Wert von devname
Richtung network.direction Wenn die Richtung „incoming“, „inbound“ oder „response“ ist, ordnen Sie sie „INBOUND“ zu. Wenn die Richtung „outgoing“, „outbound“ oder „request“ ist, ordnen Sie sie „OUTBOUND“ zu.
dstip target.ip, target.asset.ip Wert von dstip, wenn destination_ip leer ist
dstcountry target.location.country_or_region Wert von dstcountry
dstintf security_result.detection_fields.value Wert von dstintf
dstintfrole security_result.detection_fields.value Wert von dstintfrole
dstosname target.platform Wert von dstosname, wenn er „WINDOWS“, „LINUX“ oder „MAC“ ist.
dstport target.port Wert von dstport, wenn destination_port leer ist
dstswversion target.platform_version Wert von dstswversion
Dauer network.session_duration.seconds Wert der Dauer
event_id security_result.rule_name Wird verwendet, um den Regelnamen als „EventID: %{event_id}“ zu erstellen
event_in_sequence security_result.detection_fields.value Wert von event_in_sequence
Filterlaufzeit-ID security_result.detection_fields.value Wert von filter_run_time_id aus geparsten filter_information
Gruppenmitgliedschaft security_result.detection_fields.value Wert von „group_membership“, wenn „event_id“ nicht 4627 ist
Gruppenmitgliedschaft target.user.group_identifiers Werte aus geparstem group_membership, wenn event_id 4627 ist
handle_id security_result.detection_fields.value Wert von handle_id aus geparsten object_kvdata
Alias-ID security_result.detection_fields.value Wert von handle_id aus geparsten object_kvdata
impersonation_level security_result.detection_fields.value Wert von impersonation_level aus geparsten logon_information_kvdata
Schlüssellänge security_result.detection_fields.value Wert von key_length aus geparsten auth_kvdata
Schlüsselname security_result.detection_fields.value Wert von key_name aus geparsten cryptographic_kvdata
Schlüsseltyp security_result.detection_fields.value Wert von key_type aus geparsten cryptographic_kvdata
Keywords security_result.detection_fields.value Wert von Keywords
Name der Ebene security_result.detection_fields.value Wert von layer_name aus geparsten filter_information
Ebenenlaufzeit-ID security_result.detection_fields.value Wert von layer_run_time_id aus geparsten filter_information
logid metadata.product_log_id Wert von logid
Anmelde-GUID principal.resource.product_object_id Wert von logon_guid
Anmelde-ID security_result.detection_fields.value Wert von logon_id
logon_type event.idm.read_only_udm.extensions.auth.mechanism Abgeleitet. Wenn „logon_type“ „3“ ist, ordnen Sie „NETWORK“ zu. Wenn „4“, wird „BATCH“ zugeordnet. Wenn „5“, ordnen Sie „SERVICE“ zu. Wenn „8“, wird „NETWORK_CLEAR_TEXT“ zugeordnet. Wenn „9“, ordnen Sie „NEW_CREDENTIALS“ zu. Wenn „10“, wird „REMOTE_INTERACTIVE“ zugeordnet. Wenn „11“, wird „CACHED_INTERACTIVE“ zugeordnet. Andernfalls, wenn nicht leer, ordnen Sie „MECHANISM_OTHER“ zu.
Anmeldekonto security_result.detection_fields.value Wert von logon_id aus grok-Analyse
Anmeldevorgang security_result.detection_fields.value Wert von logon_process aus geparsten auth_kvdata
Obligatorisches Label security_result.detection_fields.value Wert von mandatory_label
mastersrcmac principal.mac Wert von mastersrcmac
Nachricht security_result.description Wert der Nachricht
new_process_id target.process.pid Wert von new_process_id aus geparsten process_kvdata
new_process_name target.process.file.full_path Wert von „new_process_name“ aus geparsten „process_kvdata“
Objektname security_result.detection_fields.value Wert von object_name aus geparsten object_kvdata
Objektserver security_result.detection_fields.value Wert von „object_server“ aus geparsten „object_kvdata“
Objektart security_result.detection_fields.value Wert von object_type aus geparsten object_kvdata
osname principal.platform Wert von osname, wenn er „WINDOWS“, „LINUX“ oder „MAC“ ist.
Paketname (nur NTLM) security_result.detection_fields.value Wert von package_name aus geparsten auth_kvdata
policyid security_result.rule_id Wert von policyid
policyname security_result.rule_name Wert von policyname
policytype security_result.rule_type Wert von policytype
Prozess-ID principal.process.pid Wert von process_id
Prozessname principal.process.file.full_path Wert von creator_process_name aus geparsten process_kvdata
profile_changed security_result.detection_fields.value Wert von profile_changed
Profil geändert security_result.detection_fields.value Wert von profile_changed aus grok-Analyse
Proto network.ip_protocol Wenn das Protokoll „17“ ist, wird es „UDP“ zugeordnet. Wenn „6“ oder der Untertyp „wad“ ist, wird „TCP“ zugeordnet. Wenn „41“, wird „IP6IN4“ zugeordnet. Wenn der Dienst „PING“ oder das Protokoll „1“ ist oder der Dienst „ICMP“ enthält, wird er „ICMP“ zugeordnet.
Protokoll network.application_protocol Wert von app_protocol_output, der von Protocol abgeleitet wurde
Name des Anbieters security_result.detection_fields.value Wert von provider_name aus geparsten provider_kvdata oder cryptographic_kvdata
rcvdbyte network.received_bytes Wert von rcvdbyte
rcvdpkt security_result.detection_fields.value Wert von rcvdpkt
restricted_admin_mode security_result.detection_fields.value Wert von „restricted_admin_mode“ aus geparsten „logon_information_kvdata“
Rückgabecode security_result.detection_fields.value Wert von return_code aus geparsten cryptographic_kvdata
Antwort security_result.detection_fields.value Wert der Antwort
rule_id security_result.rule_id Wert von rule_id
Sicherheits-ID principal.user.windows_sid Wert von „principal_security_id“ aus geparsten „principal_kvdata“
Sicherheits-ID target.user.windows_sid Wert von target_security_id aus geparsten target_kvdata
sentbyte network.sent_bytes Wert von sentbyte
sentpkt security_result.detection_fields.value Wert von sentpkt
Dienst network.application_protocol oder target.application Wert von „app_protocol_output“ wird vom Dienst abgeleitet. Wenn „app_protocol_output“ leer ist, wird es „target.application“ zugeordnet.
Dienst-ID security_result.detection_fields.value Wert von service_id aus geparsten service_kvdata
Dienstname security_result.detection_fields.value Wert von service_name aus geparsten service_kvdata
sessionid network.session_id Wert von sessionid
Schweregrad security_result.severity, security_result.severity_details Wenn der Schweregrad „ERROR“ oder „CRITICAL“ ist, ordnen Sie ihn dem entsprechenden UDM-Schweregrad zu. Wenn „INFO“, wird es „INFORMATIONAL“ zugeordnet. Wenn „MINOR“, wird „LOW“ zugeordnet. Wenn „WARNING“, wird „MEDIUM“ zugeordnet. Wenn „MAJOR“, wird es „HIGH“ zugeordnet. Ordnen Sie den Rohwert auch „severity_details“ zu.
die Ausprägung security_result.severity, security_result.severity_details Wenn der Schweregrad „1“, „2“ oder „3“ ist, wird er „LOW“ zugeordnet. Wenn „4“, „5“ oder „6“, wird „MEDIUM“ zugeordnet. Wenn „7“, „8“ oder „9“, wird „HIGH“ zugeordnet. Ordnen Sie den Rohwert auch „severity_details“ zu.
Freigabename security_result.detection_fields.value Wert von share_name aus geparsten share_information_kvdata
Pfad zur Freigabe security_result.detection_fields.value Wert von share_path aus geparsten share_information_kvdata
Quelle principal.ip, principal.asset.ip oder principal.hostname, principal.asset.hostname Wenn die Quelle eine IP-Adresse ist, ordnen Sie sie „principal.ip“ und „principal.asset.ip“ zu. Andernfalls ordnen Sie sie „principal.hostname“ und „principal.asset.hostname“ zu.
Quelladresse principal.ip, principal.asset.ip Wert von source_ip aus geparsten network_information
Quell-DRA principal.resource.name Wert von source_dra
Quell-IP-Adresse principal.ip Wert von source_ip
Quellnetzwerkadresse principal.ip, principal.asset.ip Wert von source_ip
Quellport principal.port Wert von source_port aus geparsten network_information
Quellworkstation workstation_name Wert von source_workstation_name
srcip source_ip Wert von srcip, wenn source_ip leer ist
srccountry principal.location.country_or_region Wert von srccountry
srcmac principal.mac Wert von srcmac
srcname principal.hostname, principal.asset.hostname Wert von srcname
srcport source_port Wert von srcport, wenn source_port leer ist
srcswversion principal.platform_version Wert von srcswversion
Statuscode network.http.response_code Wert von „status_code“
Token-Erhöhungstyp security_result.detection_fields.value Wert von token_elevation_type
transited_services security_result.detection_fields.value Wert von transited_services aus geparsten auth_kvdata
transip principal.nat_ip Wert von transip
transport principal.nat_port Wert des Transports
Typ metadata.product_event_type Wird mit dem Untertyp verwendet, um metadata.product_event_type zu erstellen.
Typ security_result.detection_fields.value Wert des Typs
UUID metadata.product_log_id Wert der UUID
vd principal.administrative_domain Wert von vd
virtual_account security_result.detection_fields.value Wert von virtual_account aus geparsten logon_information_kvdata
Name der Workstation principal.hostname, principal.asset.hostname Wert von workstation_name, wenn keine andere Hauptkonto-ID vorhanden ist
metadata.event_type metadata.event_type Abgeleitet. Wenn sowohl „principal_present“ als auch „target_present“ wahr sind, wird „NETWORK_CONNECTION“ zugeordnet. Wenn „user_present“ „true“ ist, wird „USER_RESOURCE_ACCESS“ zugeordnet. Wenn „principal_present“ „true“ ist, wird „STATUS_UPDATE“ zugeordnet. Andernfalls ordnen Sie sie „GENERIC_EVENT“ zu.
metadata.log_type metadata.log_type Hartcodiert auf „CYBERX“
metadata.product_name metadata.product_name Hartcodiert auf „CYBERX“
metadata.vendor_name metadata.vendor_name Hartcodiert auf „CYBERX“
metadata.event_timestamp metadata.event_timestamp Aus dem Zeitstempelfeld auf oberster Ebene kopiert oder aus den Feldern „eventtime“ oder „date“ und „time“ abgeleitet.
intermediary_hostname event.idm.read_only_udm.intermediary.hostname Aus Änderungsprotokoll zugeordnet
type event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
protocol event.idm.read_only_udm.network.application_protocol Aus Änderungsprotokoll zugeordnet
UUID event.idm.read_only_udm.metadata.product_log_id Aus Änderungsprotokoll zugeordnet
product_version_x metadata.product_version Aus Änderungsprotokoll zugeordnet
pro_event_type metadata.product_event_type Aus Änderungsprotokoll zugeordnet
title security_result.description Aus Änderungsprotokoll zugeordnet
msg metadata.description Aus Änderungsprotokoll zugeordnet
client_ip principal.ip Aus Änderungsprotokoll zugeordnet
src_ip principal.ip Aus Änderungsprotokoll zugeordnet
dst_ip target.ip Aus Änderungsprotokoll zugeordnet
src_mac principal.mac Aus Änderungsprotokoll zugeordnet
timestamp" and "ts metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
source_ip2 principal.ip Aus Änderungsprotokoll zugeordnet
destination_ip2 target.ip Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten