Elastic Packet Beats-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Elastic Packet Beats-Logs mit Bindplane in Google Security Operations aufnehmen. Der Parser initialisiert zuerst Standardwerte für verschiedene Felder in Elastic Packet Beats-Logs. Anschließend werden Daten aus den Log-Nachrichten extrahiert. Dazu wird eine Kombination aus grok-Mustern und json-Filtern verwendet. Es werden Datentypkonvertierungen durchgeführt und die extrahierten Felder werden den entsprechenden Feldern im Unified Data Model (UDM) zugeordnet. Die Zuordnung erfolgt auf Grundlage des Event-Dataset-Typs (z. B. „flow“, „dns“, „http“, „tls“, „dhcpv4“).

Hinweise

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz.
  • Ein Windows 2016- oder höher- oder Linux-Host mit systemd.
  • Wenn Sie den Agent hinter einem Proxy ausführen, achten Sie darauf, dass die Firewallports gemäß den Bindplane-Agent-Anforderungen geöffnet sind.
  • Privilegierter Zugriff auf die Elastic Packet Beats-Verwaltungskonsole oder -Appliance.
  • Logstash ist installiert und konfiguriert.

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
    • Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Konfigurationsdatei aufrufen:

    • Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'ELASTIC_PACKETBEATS'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
    • Ersetzen Sie YOUR_CUSTOMER_ID durch die tatsächliche Kunden-ID.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop observiq-otel-collector && net start observiq-otel-collector

Syslog-Weiterleitung in Elastic Packet Beats konfigurieren

Da Packetbeat keine direkte Syslog-Ausgabe unterstützt, müssen Sie Logstash als Vermittler verwenden.

Packetbeat so konfigurieren, dass Logs an Logstash gesendet werden

  1. Melden Sie sich in der Elastic Packet Beats Management Console an.
  2. Rufen Sie die Einstellungen> Log Forwarding auf.
  3. Klicken Sie auf die Schaltfläche + Hinzufügen oder Aktivieren.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Logstash Output.
    • Host: Geben Sie die IP-Adresse des Logstash-Servers ein.
    • Port: Geben Sie den Logstash-Beats-Eingabeport ein (normalerweise 5044).
    • Protokoll: Wählen Sie Beats-Protokoll aus.
    • Format: Wählen Sie JSON aus.
    • Zeitzone: Wählen Sie die UTC-Zeitzone aus, um eine universelle Konsistenz zwischen den Systemen zu gewährleisten.
    • Rufen Sie den Bereich Ereignisse auf und wählen Sie die relevanten Protokolltypen oder Alle aus.

  5. Speichern Sie die Konfiguration.

    Alternative: packetbeat.yml direkt bearbeiten:

    # /etc/packetbeat/packetbeat.yml
packetbeat.protocols:
  - type: dns
    ports: [53]
  - type: http
    ports: [80, 8080, 8000, 5000, 8002]
    send_headers: true
    send_all_headers: true
  - type: tls
    ports: [443, 993, 995, 5223, 8443, 8883, 9243]
  - type: dhcpv4
    ports: [67, 68]

# Enable processors for additional fields
processors:
  - add_network_direction:
      source: private
      destination: private
      internal_networks:
        - private
  - community_id:

# Send to Logstash using beats protocol
output.logstash:
  hosts: ["LOGSTASH_IP:5044"]

    Ersetzen Sie LOGSTASH_IP durch die IP-Adresse Ihres Logstash-Servers.

Logstash für die Weiterleitung an BindPlane über Syslog konfigurieren

  1. Erstellen Sie eine Logstash-Pipeline-Konfigurationsdatei:

    sudo nano /etc/logstash/conf.d/packetbeat-to-bindplane.conf

  2. Fügen Sie die folgende Konfiguration hinzu:

    # Receive from Packetbeat
input {
  beats {
    port => 5044
  }
}

# Optional: Add filters for data enrichment
filter {
  # Preserve original message structure
  mutate {
    copy => { "@metadata" => "[@metadata_backup]" }
  }
}

# Send to BindPlane via syslog
output {
  syslog {
    host => "BINDPLANE_IP"
    port => 514
    protocol => "udp"
    rfc => "rfc5424"
    facility => "local0"
    severity => "informational"
    sourcehost => "%{[agent][hostname]}"
    appname => "packetbeat"
    procid => "%{[agent][id]}"
    msgid => "ELASTIC_PACKETBEATS"
    structured_data => "packetbeat@32473"
    message => "%{message}"
  }
}

    Ersetzen Sie BINDPLANE_IP durch die IP-Adresse Ihres BindPlane-Agents.

  • Starten Sie Logstash neu, um die Konfiguration anzuwenden:

    sudo systemctl restart logstash

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
@timestamp metadata.event_timestamp Direkt aus dem Rohlogfeld @timestamp zugeordnet.
agent.hostname observer.hostname Direkt aus dem Rohlogfeld agent.hostname zugeordnet.
agent.id observer.asset_id Mit agent.type verkettet, um das Feld observer.asset_id zu bilden.
agent.type observer.application Direkt aus dem Rohlogfeld agent.type zugeordnet.
agent.version observer.platform_version Direkt aus dem Rohlogfeld agent.version zugeordnet.
audit_category security_result.category_details Direkt aus dem Rohlogfeld audit_category zugeordnet.
audit_cluster_name additional.fields.audit_cluster_name.value.string_value Direkt aus dem Rohlogfeld audit_cluster_name zugeordnet.
audit_node_host_address observer.ip Direkt aus dem Rohlogfeld audit_node_host_address zugeordnet.
audit_node_id additional.fields.audit_node_id.value.string_value Direkt aus dem Rohlogfeld audit_node_id zugeordnet.
audit_node_name additional.fields.audit_node_name.value.string_value Direkt aus dem Rohlogfeld audit_node_name zugeordnet.
audit_request_effective_user observer.user.userid Direkt aus dem Rohlogfeld audit_request_effective_user zugeordnet.
audit_request_initiating_user additional.fields.audit_request_initiating_user.value.string_value Direkt aus dem Rohlogfeld audit_request_initiating_user zugeordnet.
audit_request_remote_address observer.ip Direkt aus dem Rohlogfeld audit_request_remote_address zugeordnet, wenn es sich von audit_node_host_address unterscheidet.
client.bytes network.received_bytes (INBOUND) / network.sent_bytes (OUTBOUND) Auf Grundlage des Felds network.direction zugeordnet. Bei INBOUND wird sie network.received_bytes zugeordnet. Bei OUTBOUND wird sie network.sent_bytes zugeordnet.
client.ip target.ip (INBOUND) / principal.ip (OUTBOUND) Auf Grundlage des Felds network.direction zugeordnet. Bei INBOUND wird sie target.ip zugeordnet. Bei OUTBOUND wird sie principal.ip zugeordnet.
client.port target.port (INBOUND) / principal.port (OUTBOUND) Auf Grundlage des Felds network.direction zugeordnet. Bei INBOUND wird sie target.port zugeordnet. Bei OUTBOUND wird sie principal.port zugeordnet.
cluster.uuid additional.fields.uuid.value.string_value Direkt aus dem Rohlogfeld cluster.uuid zugeordnet.
Komponente additional.fields.component.value.string_value Direkt aus dem Rohlogfeld component zugeordnet.
destination.bytes network.sent_bytes Direkt aus dem Rohlogfeld destination.bytes für FLOW-Ereignisse zugeordnet.
destination.ip target.ip Direkt aus dem Rohlogfeld destination.ip zugeordnet, wenn network.direction nicht INBOUND oder OUTBOUND ist.
destination.mac target.mac Direkt aus dem Rohlogfeld destination.mac für FLOW-Ereignisse zugeordnet.
destination.port target.port Direkt aus dem Rohlogfeld destination.port für FLOW-Ereignisse zugeordnet.
dhcpv4.assigned_ip network.dhcp.requested_address Direkt aus dem Rohlogfeld dhcpv4.assigned_ip zugeordnet.
dhcpv4.client_ip network.dhcp.yiaddr (ACK) / network.dhcp.ciaddr (REQUEST) / source.ip (REQUEST, wenn dhcpv4.client_ip leer ist) Auf Grundlage des Felds network.dhcp.type zugeordnet. Bei ACK wird es network.dhcp.yiaddr zugeordnet. Bei REQUEST wird es network.dhcp.ciaddr zugeordnet. Wenn REQUEST und dhcpv4.client_ip leer sind, wird source.ip zugeordnet.
dhcpv4.client_mac network.dhcp.client_identifier Direkt aus dem Rohlogfeld dhcpv4.client_mac zugeordnet, nachdem es in Byte konvertiert wurde.
dhcpv4.op_code network.dhcp.opcode Wird network.dhcp.opcode basierend auf dem Wert von dhcpv4.op_code zugeordnet. Wenn dhcpv4.op_code gleich BOOTREPLY oder BOOTREQUEST ist, wird der Wert direkt zugeordnet. Andernfalls wird sie UNKNOWN_OPCODE zugeordnet.
dhcpv4.option.hostname network.dhcp.client_hostname Direkt aus dem Rohlogfeld dhcpv4.option.hostname zugeordnet.
dhcpv4.option.ip_address_lease_time_sec network.dhcp.lease_time_seconds Direkt aus dem Rohlogfeld dhcpv4.option.ip_address_lease_time_sec abgeleitet, nachdem es in eine vorzeichenlose Ganzzahl umgewandelt wurde.
dhcpv4.option.message_type network.dhcp.type Wird network.dhcp.type basierend auf dem Wert von dhcpv4.option.message_type zugeordnet. Die Zuordnung ist wie folgt: ack -> ACK, nack -> NAK, discover -> DISCOVER, offer -> OFFER, request -> REQUEST, decline -> DECLINE, release -> RELEASE, info -> INFORM. Wenn der Wert nicht einer dieser Werte ist, wird er UNKNOWN_MESSAGE_TYPE zugeordnet.
dhcpv4.option.server_identifier network.dhcp.sname Direkt aus dem Rohlogfeld dhcpv4.option.server_identifier zugeordnet.
dns.answers.data network.dns.answers.data Direkt aus dem Rohlogfeld dns.answers.data zugeordnet.
dns.answers.class network.dns.answers.class Wird network.dns.answers.class basierend auf dem Wert von dns.answers.class zugeordnet. Die Zuordnung ist wie folgt: IN -> 1, NONE -> 254, ANY -> 255.
dns.answers.name network.dns.answers.name Direkt aus dem Rohlogfeld dns.answers.name zugeordnet.
dns.answers.ttl network.dns.answers.ttl Direkt aus dem Rohlogfeld dns.answers.ttl abgeleitet, nachdem es in eine vorzeichenlose Ganzzahl umgewandelt wurde.
dns.answers.type network.dns.answers.type Wird network.dns.answers.type basierend auf dem Wert von dns.answers.type zugeordnet. Die Zuordnung ist wie folgt: A -> 1, NS -> 2, CNAME -> 5, SOA -> 6, PTR -> 12, MX -> 15, TXT -> 16, AAAA -> 28, SRV -> 33, NAPTR -> 35, DS -> 43, DNSKEY -> 48, IXFR -> 251, AXFR -> 252, TYPE99 -> 99, TKEY -> 249, ANY -> 255, ALL -> 255, URI -> 256, NULL -> 0.
dns.flags.authoritative network.dns.authoritative Direkt aus dem Rohlogfeld dns.flags.authoritative zugeordnet, wenn es „true“ ist.
dns.flags.recursion_available network.dns.recursion_available Direkt aus dem Rohlogfeld dns.flags.recursion_available zugeordnet, wenn es „true“ ist.
dns.flags.recursion_desired network.dns.recursion_desired Direkt aus dem Rohlogfeld dns.flags.recursion_desired zugeordnet, wenn es „true“ ist.
dns.flags.truncated_response network.dns.truncated Direkt aus dem Rohlogfeld dns.flags.truncated_response zugeordnet, wenn es „true“ ist.
dns.id network.dns.id Direkt aus dem Rohlogfeld dns.id abgeleitet, nachdem es in eine vorzeichenlose Ganzzahl umgewandelt wurde.
dns.question.class network.dns.questions.class Wird network.dns.questions.class basierend auf dem Wert von dns.question.class zugeordnet. Die Zuordnung ist wie folgt: IN -> 1, NONE -> 254, ANY -> 255.
dns.question.name network.dns.questions.name Direkt aus dem Rohlogfeld dns.question.name zugeordnet.
dns.question.type network.dns.questions.type Wird network.dns.questions.type basierend auf dem Wert von dns.question.type zugeordnet. Die Zuordnung ist wie folgt: A -> 1, NS -> 2, CNAME -> 5, SOA -> 6, PTR -> 12, MX -> 15, TXT -> 16, AAAA -> 28, SRV -> 33, NAPTR -> 35, DS -> 43, DNSKEY -> 48, IXFR -> 251, AXFR -> 252, TYPE99 -> 99, TKEY -> 249, ANY -> 255, ALL -> 255, URI -> 256, NULL -> 0.
dns.resolved_ip network.dns.additional.data Jedes Element im dns.resolved_ip-Array wird verarbeitet und dem Feld network.dns.additional.data zugeordnet.
dns.response_code network.dns.response_code Wird network.dns.response_code basierend auf dem Wert von dns.response_code zugeordnet. Die Zuordnung ist wie folgt: NOERROR –> 0, FORMERR –> 1, SERVFAIL –> 2, NXDOMAIN –> 3, NOTIMP –> 4, REFUSED –> 5, YXDOMAIN –> 6, YXRRSET –> 7, NXRRSET –> 8, NOTAUTH –> 9, NOTZONE –> 10.
error.message security_result.summary Wird mit status verkettet, um das Feld security_result.summary für HTTP-Ereignisse zu bilden.
event.dataset metadata.product_event_type Direkt aus dem Rohlogfeld event.dataset zugeordnet.
flow.final Wird verwendet, um festzustellen, ob der Ablauf abgeschlossen ist. Andernfalls wird das Ereignis verworfen.
flow.id network.session_id Direkt aus dem Rohlogfeld flow.id für FLOW-Ereignisse zugeordnet.
headers.accept_encoding security_result.about.labels.Accept-Encoding Direkt aus dem Rohlogfeld headers.accept_encoding zugeordnet.
headers.content_length additional.fields.content_length.value.string_value Direkt aus dem Rohlogfeld headers.content_length zugeordnet.
headers.content_type additional.fields.content_type.value.string_value Direkt aus dem Rohlogfeld headers.content_type zugeordnet.
headers.http_accept additional.fields.http_accept.value.string_value Direkt aus dem Rohlogfeld headers.http_accept zugeordnet.
headers.http_host hauptkonto.hostname, hauptkonto.asset.hostname Direkt aus dem Rohlogfeld headers.http_host zugeordnet.
headers.http_user_agent network.http.user_agent Direkt aus dem Rohlogfeld headers.http_user_agent zugeordnet.
headers.request_method network.http.method Direkt aus dem Rohlogfeld headers.request_method zugeordnet.
headers.x_b3_parentspanid additional.fields.x_b3_parentspanid.value.string_value Direkt aus dem Rohlogfeld headers.x_b3_parentspanid zugeordnet.
headers.x_b3_sampled additional.fields.x_b3_sampled.value.string_value Direkt aus dem Rohlogfeld headers.x_b3_sampled zugeordnet.
headers.x_envoy_attempt_count security_result.about.labels.x_envoy_attempt_count Direkt aus dem Rohlogfeld headers.x_envoy_attempt_count zugeordnet.
headers.x_envoy_original_path additional.fields.x_envoy_original_path.value.string_value Direkt aus dem Rohlogfeld headers.x_envoy_original_path zugeordnet.
headers.x_forwarded_client_cert additional.fields.client_cert.value.string_value Direkt aus dem Rohlogfeld headers.x_forwarded_client_cert zugeordnet.
headers.x_forwarded_for principal.ip, principal.asset.ip Direkt aus dem Rohlogfeld headers.x_forwarded_for abgeleitet, nachdem die IP-Adresse mit „grok“ extrahiert wurde.
headers.x_forwarded_proto additional.fields.x_forwarded_proto.value.string_value Direkt aus dem Rohlogfeld headers.x_forwarded_proto zugeordnet.
headers.x_request_id additional.fields.x_request_id.value.string_value Direkt aus dem Rohlogfeld headers.x_request_id zugeordnet.
Host principal.ip, principal.asset.ip Direkt aus dem Rohlogfeld host abgeleitet, nachdem die IP-Adresse mit „grok“ extrahiert wurde.
http.request.method network.http.method Direkt aus dem Rohlogfeld http.request.method zugeordnet.
level security_result.severity Wird security_result.severity basierend auf dem Wert von level zugeordnet. Die Zuordnung ist wie folgt: INFO -> INFORMATIONAL, ERROR -> ERROR, WARNING -> LOW.
logger additional.fields.logger.value.string_value Direkt aus dem Rohlogfeld logger zugeordnet.
Methode Wird verwendet, um festzustellen, ob es sich bei dem Ereignis um ein DNS-Ereignis handelt.
msg security_result.description Direkt aus dem Rohlogfeld msg zugeordnet, nachdem doppelte Anführungszeichen entfernt wurden.
network.community_id network.community_id Direkt aus dem Rohlogfeld network.community_id zugeordnet.
network.direction network.direction Direkt aus dem Rohlogfeld network.direction abgeleitet, nachdem es in Großbuchstaben umgewandelt wurde. Wenn der Wert INGRESS oder INBOUND ist, wird er INBOUND zugeordnet. Wenn der Wert EGRESS oder OUTBOUND ist, wird er OUTBOUND zugeordnet.
network.protocol network.application_protocol Direkt aus dem Rohlogfeld network.protocol zugeordnet.
network.transport network.ip_protocol Direkt aus dem Rohlogfeld network.transport für TLS-Ereignisse zugeordnet.
server.bytes network.sent_bytes (INBOUND) / network.received_bytes (OUTBOUND) Auf Grundlage des Felds network.direction zugeordnet. Bei INBOUND wird sie network.sent_bytes zugeordnet. Bei OUTBOUND wird sie network.received_bytes zugeordnet.
server.domain principal.hostname, principal.asset.hostname (INBOUND) / target.hostname, target.asset.hostname (OUTBOUND) Auf Grundlage des Felds network.direction zugeordnet. Bei INBOUND wird sie principal.hostname zugeordnet. Bei OUTBOUND wird sie target.hostname zugeordnet.
server.ip principal.ip, principal.asset.ip (INBOUND) / target.ip, target.asset.ip (OUTBOUND) Auf Grundlage des Felds network.direction zugeordnet. Bei INBOUND wird sie principal.ip zugeordnet. Bei OUTBOUND wird sie target.ip zugeordnet.
server.port principal.port (INBOUND) / target.port (OUTBOUND) Auf Grundlage des Felds network.direction zugeordnet. Bei INBOUND wird sie principal.port zugeordnet. Bei OUTBOUND wird sie target.port zugeordnet.
source.bytes network.received_bytes Direkt aus dem Rohlogfeld source.bytes für FLOW-Ereignisse zugeordnet.
source.ip principal.ip, principal.asset.ip Direkt aus dem Rohlogfeld source.ip für FLOW-Ereignisse zugeordnet.
source.mac principal.mac Direkt aus dem Rohlogfeld source.mac für FLOW-Ereignisse zugeordnet.
source.port principal.port Direkt aus dem Rohlogfeld source.port für FLOW-Ereignisse zugeordnet.
Status metadata.description, security_result.summary Wird metadata.description zugeordnet, wenn level leer ist. Wird mit error.message verkettet, um das Feld security_result.summary für HTTP- und TLS-Ereignisse zu bilden.
tls.client.ja3 network.tls.client.ja3 Direkt aus dem Rohlogfeld tls.client.ja3 zugeordnet.
tls.client.server_name network.tls.client.server_name Direkt aus dem Rohlogfeld tls.client.server_name zugeordnet.
tls.client.supported_ciphers network.tls.client.supported_ciphers Jedes Element im tls.client.supported_ciphers-Array wird verarbeitet und dem network.tls.client.supported_ciphers-Array zugeordnet.
tls.cipher network.tls.cipher Direkt aus dem Rohlogfeld tls.cipher zugeordnet.
tls.detailed.server_certificate.not_after network.tls.server.certificate.not_after Direkt aus dem Rohlogfeld tls.detailed.server_certificate.not_after abgeleitet, nachdem es in einen Zeitstempel konvertiert wurde.
tls.detailed.server_certificate.not_before network.tls.server.certificate.not_before Direkt aus dem Rohlogfeld tls.detailed.server_certificate.not_before abgeleitet, nachdem es in einen Zeitstempel konvertiert wurde.
tls.detailed.server_certificate.serial_number network.tls.server.certificate.serial Direkt aus dem Rohlogfeld tls.detailed.server_certificate.serial_number zugeordnet.
tls.detailed.server_certificate.version network.tls.server.certificate.version Direkt aus dem Rohlogfeld tls.detailed.server_certificate.version abgeleitet, nachdem es in einen String konvertiert wurde.
tls.established network.tls.established Direkt aus dem Rohlogfeld tls.established zugeordnet.
tls.next_protocol network.tls.next_protocol Direkt aus dem Rohlogfeld tls.next_protocol zugeordnet.
tls.resumed network.tls.resumed Direkt aus dem Rohlogfeld tls.resumed zugeordnet.
tls.server.hash.sha1 network.tls.server.certificate.sha1 Direkt aus dem Rohlogfeld tls.server.hash.sha1 abgeleitet, nachdem es in Kleinbuchstaben umgewandelt wurde.
tls.server.issuer network.tls.server.certificate.issuer Direkt aus dem Rohlogfeld tls.server.issuer zugeordnet.
tls.server.subject network.tls.server.certificate.subject Direkt aus dem Rohlogfeld tls.server.subject zugeordnet.
tls.version network.tls.version Direkt aus dem Rohlogfeld tls.version zugeordnet.
tls.version_protocol network.tls.version_protocol Direkt aus dem Rohlogfeld tls.version_protocol zugeordnet.
Typ Wird verwendet, um festzustellen, ob es sich bei dem Ereignis um ein DNS-Ereignis handelt.
url.full principal.url (INBOUND) / target.url (OUTBOUND) Auf Grundlage des Felds network.direction zugeordnet. Bei INBOUND wird sie principal.url zugeordnet. Bei OUTBOUND wird sie target.url zugeordnet.
user_id target.user.userid Direkt aus dem Rohlogfeld user_id zugeordnet.
user_name target.user.user_display_name Direkt aus dem Rohlogfeld user_name zugeordnet.
metadata.event_type Standardmäßig auf GENERIC_EVENT festgelegt. Die Werte wurden basierend auf der Protokollquelle und den Ereignisdaten in bestimmte Ereignistypen geändert.
metadata.vendor_name Standardmäßig auf Elastic festgelegt.
metadata.product_name Standardmäßig auf PacketBeat festgelegt.
security_result.action Standardmäßig auf ALLOW festgelegt.
metadata.log_type Standardmäßig auf ELASTIC_PACKETBEATS festgelegt.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten