איסוף יומנים של Microsoft Defender for IoT (CyberX)‎

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Microsoft Defender for IoT (CyberX) ב-Google Security Operations באמצעות Bindplane.

‫Microsoft Defender for IoT (לשעבר CyberX) היא פלטפורמת אבטחה ל-IoT/OT שלא דורשת התקנת סוכן. היא מספקת גילוי נכסים, ניהול נקודות חולשה ומעקב רציף אחרי איומים למערכות בקרה תעשייתיות (ICS) ולסביבות של טכנולוגיה תפעולית (OT). הוא מזהה התנהגות חריגה ואיומים ידועים ברשתות IoT/OT בלי להשפיע על התהליכים התפעוליים. המנתח מחלץ שדות מ-syslog של CyberX ומיומני רישום בפורמט של מפתח/ערך. הוא משתמש ב-grok או ב-kv כדי לנתח את הודעת היומן, ואז ממפה את הערכים האלה למודל הנתונים המאוחד (UDM). הוא גם מגדיר ערכי מטא-נתונים שמוגדרים כברירת מחדל למקור האירוע ולסוג האירוע.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות מיוחדות למסוף החיישנים של Microsoft Defender for IoT

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות SIEM > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile.
  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. מאמתים את ההתקנה על ידי הרצת:

    sc query observiq-otel-collector

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

  • ‫Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ תצורה

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'CYBERX'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • udplog: משתמשים ב-udplog ל-UDP syslog או ב-tcplog ל-TCP syslog
    • ‫0.0.0.0: כתובת ה-IP להאזנה (0.0.0.0 להאזנה בכל הממשקים)
    • ‫514: מספר היציאה להאזנה (יציאת syslog רגילה)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
      • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫YOUR_CUSTOMER_ID: מספר הלקוח מהקטע 'איך מאתרים את מספר הלקוח'
    • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
    • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.
    • ‫log_type: סוג היומן בדיוק כמו שהוא מופיע ב-Google SecOps‏ (CYBERX)

כלי לייצוא נתונים מ-Legacy ingestion API

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'CYBERX'
    raw_log_field: body
    ingestion_labels:

שמירת קובץ התצורה

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux:

  1. מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

  2. מוודאים שהשירות פועל:

    sudo systemctl status observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

  1. בוחרים אחת מהאפשרויות האלה:

    • שורת פקודה או PowerShell כאדמין:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • מסוף השירותים:
      1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

  2. מוודאים שהשירות פועל:

    sc query observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברת syslog ב-Microsoft Defender for IoT

  1. נכנסים למסוף החיישנים של Microsoft Defender for IoT OT כמשתמשים עם הרשאת אדמין.
  2. בתפריט הימני, לוחצים על העברה.
  3. לוחצים על + יצירת כלל חדש.
  4. בחלונית Add forwarding rule, ממלאים את הפרטים הבאים:
    • שם הכלל: מזינים שם תיאורי (לדוגמה, Google-SecOps-Bindplane).
    • רמת התראה מינימלית: בוחרים באפשרות נמוכה כדי להעביר את כל רמות החומרה, או בוחרים רמה גבוהה יותר כדי לסנן.
    • כל פרוטוקול שזוהה: מפעילים את המתג כדי להעביר התראות מכל תנועת הפרוטוקולים, או משביתים את המתג ובוחרים פרוטוקולים ספציפיים.
    • תעבורה שזוהתה על ידי מנוע כלשהו: מפעילים כדי להעביר התראות מכל מנועי הזיהוי, או משביתים ובוחרים מנועים ספציפיים.

  5. באזור Actions, מגדירים את שרת ה-syslog:

    • שרת: בוחרים באפשרות שרת SYSLOG (פורמט CEF).
    • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
    • יציאה: מזינים 514.
    • אזור זמן: בוחרים באפשרות UTC (מומלץ).

  6. לוחצים על Save. הכלל מופיע בדף העברה.

  7. כדי לאמת את הכלל, לוחצים על תפריט האפשרויות (…) של הכלל ואז על שליחת הודעת בדיקה.

  8. בודקים את היומנים של סוכן Bindplane כדי לוודא שהודעות syslog מתקבלות.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
מסכת גישה security_result.detection_fields.value הערך של access_mask מתוך access_request_kvdata שנותח
דומיין החשבון principal.administrative_domain הערך של principal_domain מ-principal_kvdata שנותח
דומיין החשבון target.administrative_domain הערך של target_domain מתוך target_kvdata שנותח
Account Name principal.user.userid הערך של principal_account_name מתוך principal_kvdata שנותח
Account Name target.user.userid הערך של target_account_name מתוך target_kvdata שנותח
פעולה security_result.action_details ערך הפעולה
פעולה security_result.action נגזרת. אם הפעולה היא accept,‏ passthrough,‏ pass,‏ permit,‏ detected או close, צריך למפות אותה ל-ALLOW. אם הפעולה היא "deny",‏ "dropped" או "blocked", ממפים אותה ל-"BLOCK". אם הפעולה היא timeout (פסק זמן), המיפוי הוא ל-FAIL (נכשל). אחרת, ממפים ל-"UNKNOWN_ACTION".
שם האלגוריתם security_result.detection_fields.value הערך של algorithm_name מ-cryptographic_kvdata שנותח
אפליקציה target.application ערך השירות אם app_protocol_output ריק
appcat security_result.detection_fields.value הערך של appcat
שם האפליקציה principal.application הערך של application_name
חבילת אימות security_result.about.resource.name הערך של authentication_package
התראה מ-Azure Defender for IoT security_result.detection_fields.value הערך של azure_defender_for_iot_alert
ערוץ security_result.detection_fields.value הערך של הערוץ
כתובת הלקוח ‫principal.ip, ‏ principal.asset.ip הערך של source_ip
יציאת הלקוח principal.port הערך של source_port
craction security_result.detection_fields.value ערך השבר
פרטי הכניסה של Credential Manager גובו security_result.description ערך התיאור
פרטי הכניסה של Credential Manager נקראו. security_result.description ערך התיאור
crscore security_result.severity_details הערך של crscore
crlevel security_result.severity, security_result.severity_details הערך של crlevel. אם הערך של crlevel הוא "HIGH",‏ "MEDIUM",‏ "LOW" או "CRITICAL", ממפים אותו לרמת החומרה התואמת ב-UDM.
פעולה קריפטוגרפית metadata.description הערך של מאפיין product_desc
שם הפלטפורמה של CyberX security_result.detection_fields.value הערך של cyberx_platform_name
תיאור security_result.description הערך של התיאור אם ההודעה ריקה
יעד target.ip, ‏ target.asset.ip או target.hostname אם היעד הוא כתובת IP, ממפים ל-target.ip ול-target.asset.ip. אחרת, ממפים ל-target.hostname.
כתובת היעד target.ip, target.asset.ip הערך של destination_ip מ-network_information שנותח
יעד DRA target.resource.name הערך של destination_dra
כתובת ה-IP של היעד target.ip, target.asset.ip הערך של destination_ip
יציאת היעד target.port הערך של destination_port מתוך network_information שנותח
devid principal.resource.product_object_id הערך של devid
devname principal.resource.name הערך של devname
כיוון network.direction אם הכיוון הוא "נכנס", "שיחה נכנסת" או "תגובה", ממפים ל-"INBOUND". אם הערך של Direction הוא outgoing,‏ outbound או request, צריך למפות אותו ל-OUTBOUND.
dstip target.ip, target.asset.ip הערך של dstip אם destination_ip ריק
dstcountry target.location.country_or_region הערך של dstcountry
dstintf security_result.detection_fields.value הערך של dstintf
dstintfrole security_result.detection_fields.value הערך של dstintfrole
dstosname target.platform הערך של dstosname אם הוא WINDOWS,‏ LINUX או MAC.
dstport target.port הערך של dstport אם destination_port ריק
dstswversion target.platform_version הערך של dstswversion
duration network.session_duration.seconds ערך משך הזמן
event_id security_result.rule_name משמש ליצירת שם כלל כמו "EventID: %{event_id}"
event_in_sequence security_result.detection_fields.value הערך של event_in_sequence
סינון לפי מזהה של זמן ריצה security_result.detection_fields.value הערך של filter_run_time_id מתוך filter_information שנותח
חברות בקבוצה security_result.detection_fields.value הערך של group_membership אם event_id הוא לא 4627
חברות בקבוצה target.user.group_identifiers ערכים מ-group_membership שנותח אם event_id הוא 4627
handle_id security_result.detection_fields.value הערך של handle_id מ-object_kvdata שנותח
מזהה הכינוי security_result.detection_fields.value הערך של handle_id מתוך object_kvdata שנותח
impersonation_level security_result.detection_fields.value הערך של impersonation_level מ-logon_information_kvdata שנותח
אורך המפתח security_result.detection_fields.value הערך של key_length מתוך auth_kvdata שנותח
שם מפתח security_result.detection_fields.value הערך של key_name מתוך cryptographic_kvdata שנותח
סוג המפתח security_result.detection_fields.value הערך של key_type מ-cryptographic_kvdata שנותח
מילות מפתח security_result.detection_fields.value הערך של מילות מפתח
שם שכבה security_result.detection_fields.value הערך של layer_name מתוך filter_information שנותח
מזהה זמן הריצה של השכבה security_result.detection_fields.value הערך של layer_run_time_id מתוך filter_information שנותח
logid metadata.product_log_id הערך של logid
GUID של ההתחברות principal.resource.product_object_id הערך של logon_guid
מזהה התחברות security_result.detection_fields.value הערך של logon_id
logon_type event.idm.read_only_udm.extensions.auth.mechanism נגזרת. אם הערך של logon_type הוא "3", ממפים ל-"NETWORK". אם הערך הוא '4', ממפים ל-BATCH. אם הערך הוא "5", ממפים אותו ל-"SERVICE". אם הערך הוא "8", ממפים ל-"NETWORK_CLEAR_TEXT". אם הערך הוא '9', המיפוי הוא ל-NEW_CREDENTIALS. אם הערך הוא "10", ממפים אותו ל-"REMOTE_INTERACTIVE". אם הערך הוא "11", ממפים ל-"CACHED_INTERACTIVE". אחרת, אם הוא לא ריק, ממפים אותו ל-MECHANISM_OTHER.
חשבון ההתחברות security_result.detection_fields.value הערך של logon_id מניתוח Grok
תהליך הכניסה security_result.detection_fields.value הערך של logon_process מ-auth_kvdata שנותח
תווית חובה security_result.detection_fields.value הערך של mandatory_label
mastersrcmac principal.mac הערך של mastersrcmac
הודעה security_result.description הערך של ההודעה
new_process_id target.process.pid הערך של new_process_id מ-process_kvdata שנותח
new_process_name target.process.file.full_path הערך של new_process_name מתוך process_kvdata שנותח
שם האובייקט security_result.detection_fields.value הערך של object_name מתוך object_kvdata שנותח
שרת אובייקטים security_result.detection_fields.value הערך של object_server מתוך object_kvdata שנותח
סוג אובייקט security_result.detection_fields.value הערך של object_type מ-object_kvdata שנותח
osname principal.platform הערך של osname אם הוא WINDOWS,‏ LINUX או MAC.
שם החבילה (NTLM בלבד) security_result.detection_fields.value הערך של package_name מ-auth_kvdata שנותח
policyid security_result.rule_id הערך של policyid
policyname security_result.rule_name הערך של policyname
policytype security_result.rule_type הערך של policytype
מזהה התהליך principal.process.pid הערך של process_id
שם התהליך principal.process.file.full_path הערך של creator_process_name מתוך process_kvdata שנותח
profile_changed security_result.detection_fields.value הערך של profile_changed
הפרופיל השתנה security_result.detection_fields.value ערך של profile_changed מניתוח grok
proto network.ip_protocol אם הפרוטוקול הוא '17', המיפוי הוא ל-UDP. אם הערך הוא 6 או שסוג המשנה הוא wad, צריך למפות ל-TCP. אם הערך הוא '41', ממפים ל-'IP6IN4'. אם השירות הוא PING או אם הפרוטוקול הוא 1 או אם השירות מכיל ICMP, המיפוי הוא ל-ICMP.
פרוטוקול network.application_protocol הערך של app_protocol_output שנגזר מ-Protocol
שם הספק security_result.detection_fields.value הערך של provider_name מתוך provider_kvdata או cryptographic_kvdata שעברו ניתוח
rcvdbyte network.received_bytes הערך של rcvdbyte
rcvdpkt security_result.detection_fields.value הערך של rcvdpkt
restricted_admin_mode security_result.detection_fields.value הערך של restricted_admin_mode מתוך logon_information_kvdata שנותח
קוד החזרה security_result.detection_fields.value הערך של return_code מ-cryptographic_kvdata שנותח
תשובה security_result.detection_fields.value ערך התגובה
rule_id security_result.rule_id הערך של rule_id
מזהה אבטחה principal.user.windows_sid הערך של principal_security_id מ-principal_kvdata שנותח
מזהה אבטחה target.user.windows_sid הערך של target_security_id מתוך target_kvdata שנותח
sentbyte network.sent_bytes הערך של sentbyte
sentpkt security_result.detection_fields.value הערך של sentpkt
שירות network.application_protocol או target.application הערך של app_protocol_output נגזר מהשירות. אם app_protocol_output ריק, ממפים ל-target.application.
Service ID security_result.detection_fields.value הערך של service_id מתוך service_kvdata שנותח
שם השירות security_result.detection_fields.value הערך של service_name מתוך service_kvdata שנותח
sessionid network.session_id הערך של sessionid
חוּמרה security_result.severity, security_result.severity_details אם רמת החומרה היא ERROR או CRITICAL, צריך למפות אותה לרמת החומרה התואמת ב-UDM. אם הערך הוא "INFO", ממפים אותו ל-"INFORMATIONAL". אם הערך הוא MINOR, ממפים אותו ל-LOW. אם הערך הוא WARNING, ממפים ל-MEDIUM. אם הערך הוא MAJOR, ממפים אותו ל-HIGH. צריך למפות גם את הערך הגולמי ל-severity_details.
severity security_result.severity, security_result.severity_details אם רמת החומרה היא 1, 2 או 3, המיפוי הוא LOW. אם הערך הוא 4, 5 או 6, המיפוי הוא ל-MEDIUM. אם הציון הוא "7",‏ "8" או "9", ממפים אותו לערך "HIGH". צריך גם למפות את הערך הגולמי אל severity_details.
שם השיתוף security_result.detection_fields.value הערך של share_name מתוך share_information_kvdata שנותח
שיתוף הנתיב security_result.detection_fields.value הערך של share_path מתוך share_information_kvdata שנותח
מקור ‫principal.ip, ‏ principal.asset.ip או principal.hostname, ‏ principal.asset.hostname אם המקור הוא כתובת IP, ממפים ל-principal.ip ול-principal.asset.ip. אחרת, ממפים ל-principal.hostname ול-principal.asset.hostname.
כתובת המקור principal.ip, principal.asset.ip הערך של source_ip מתוך network_information שנותח
מקור DRA principal.resource.name הערך של source_dra
כתובת ה-IP של המקור principal.ip הערך של source_ip
כתובת הרשת של המקור principal.ip, principal.asset.ip הערך של source_ip
יציאת המקור principal.port הערך של source_port מ-network_information שנותח
תחנת עבודה של המקור workstation_name הערך של source_workstation_name
srcip source_ip הערך של srcip אם source_ip ריק
srccountry principal.location.country_or_region הערך של srccountry
srcmac principal.mac הערך של srcmac
srcname principal.hostname, principal.asset.hostname הערך של srcname
srcport source_port הערך של srcport אם source_port ריק
srcswversion principal.platform_version הערך של srcswversion
קוד סטטוס network.http.response_code הערך של status_code
סוג הרשאות הניהול של הטוקן security_result.detection_fields.value הערך של token_elevation_type
transited_services security_result.detection_fields.value הערך של transited_services מ-auth_kvdata שנותח
transip principal.nat_ip ערך העסקה
תחבורה principal.nat_port ערך ההובלה
סוג metadata.product_event_type משמש עם subtype ליצירת metadata.product_event_type
סוג security_result.detection_fields.value ערך הסוג
UUID metadata.product_log_id ערך ה-UUID
vd principal.administrative_domain הערך של vd
virtual_account security_result.detection_fields.value הערך של virtual_account מתוך logon_information_kvdata שנותח
שם תחנת העבודה principal.hostname, principal.asset.hostname הערך של workstation_name אם לא קיים מזהה ראשי אחר
metadata.event_type metadata.event_type נגזרת. אם גם principal_present וגם target_present הם True, ממפים ל-"NETWORK_CONNECTION". אם user_present הוא true, צריך למפות ל-USER_RESOURCE_ACCESS. אם הערך של principal_present הוא true, ממפים ל-"STATUS_UPDATE". אחרת, ממפים ל-GENERIC_EVENT.
metadata.log_type metadata.log_type מקודד באופן קשיח ל-"CYBERX"
metadata.product_name metadata.product_name מקודד באופן קשיח ל-"CYBERX"
metadata.vendor_name metadata.vendor_name מקודד באופן קשיח ל-"CYBERX"
metadata.event_timestamp metadata.event_timestamp מועתק משדה חותמת הזמן ברמה העליונה, או נגזר משדות של eventtime או date ו-time.
intermediary_hostname event.idm.read_only_udm.intermediary.hostname מופה מיומן השינויים
type event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
protocol event.idm.read_only_udm.network.application_protocol מופה מיומן השינויים
UUID event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
product_version_x metadata.product_version מופה מיומן השינויים
pro_event_type metadata.product_event_type מופה מיומן השינויים
title security_result.description מופה מיומן השינויים
msg metadata.description מופה מיומן השינויים
client_ip principal.ip מופה מיומן השינויים
src_ip principal.ip מופה מיומן השינויים
dst_ip target.ip מופה מיומן השינויים
src_mac principal.mac מופה מיומן השינויים
timestamp" and "ts metadata.event_timestamp מופה מיומן השינויים
source_ip2 principal.ip מופה מיומן השינויים
destination_ip2 target.ip מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.