Collecter les journaux Microsoft Exchange

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Microsoft Exchange dans Google Security Operations à l'aide de Bindplane. Un libellé d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion EXCHANGE_MAIL.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Windows Server 2016 ou version ultérieure avec Microsoft Exchange Server installé
• Accès administrateur à Exchange Server
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continue (Continuer), puis sur Done (OK).
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte Bindplane et faites tourner la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres SIEM> Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API Ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu la fin de vie le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir l'ID client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres du SIEM > Profil.
3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows en suivant les instructions ci-dessous.

Installation de Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Ressources d'installation supplémentaires

• Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite le collecteur Bindplane v1.106.0 ou version ultérieure. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour collecter les journaux d'événements Windows et les envoyer à Google SecOps

1. Accédez au fichier de configuration :

   • Trouvez le fichier config.yaml. En règle générale, il se trouve dans le répertoire "C:\Program Files\observIQ OpenTelemetry Collector" sous Windows.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, Bloc-notes ou Notepad++).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     windowseventlog/exchange_application:
       channel: Application
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
     windowseventlog/exchange_system:
       channel: System
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
     windowseventlog/exchange_management:
       channel: MSExchange Management
       raw: true
       max_reads: 100
       poll_interval: 5s
       start_at: end
   
   processors:
     batch:
   
   exporters:
     chronicle/exchange:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded earlier
       creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
       # Replace with your actual customer ID
       customer_id: <PLACEHOLDER_CUSTOMER_ID>
       endpoint: chronicle.googleapis.com
       # Add ingestion labels for Exchange logs
       log_type: 'EXCHANGE_MAIL'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/exchange:
         receivers:
           - windowseventlog/exchange_application
           - windowseventlog/exchange_system
           - windowseventlog/exchange_management
         processors:
           - batch
         exporters:
           - chronicle/exchange
   

   • Remplacez <PLACEHOLDER_CUSTOMER_ID> par le numéro client réel obtenu précédemment.
   • Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
   • Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
   • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès où le fichier de clé du compte de service (option 1) a été enregistré dans la section Obtenir les identifiants Google SecOps pour l'agent Bindplane.

Remarques concernant la configuration

• Canal d'application : collecte les événements au niveau de l'application à partir d'Exchange Server, y compris le démarrage du service, les erreurs et les avertissements.
• Canal système : collecte les événements au niveau du système qui peuvent affecter le fonctionnement d'Exchange Server.
• Canal de gestion MSExchange : collecte les événements de gestion spécifiques à Exchange, y compris les exécutions de cmdlets PowerShell et les actions administratives.
• raw: true : envoie les entrées complètes du journal des événements Windows dans leur format d'origine pour une analyse complète.
• start_at: end : commence à collecter de nouveaux événements à partir du point actuel (n'ingère pas les journaux historiques).

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/exchange:
      compression: gzip
      # Adjust the path to the credentials file you downloaded earlier
      creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
      # Replace with your actual customer ID
      customer_id: <PLACEHOLDER_CUSTOMER_ID>
      endpoint: malachiteingestion-pa.googleapis.com
      # Add ingestion labels for Exchange logs
      log_type: 'EXCHANGE_MAIL'
      raw_log_field: body
      ingestion_labels:
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API Ingestion sera abandonnée le 20 juillet 2027.

Redémarrez l'agent Bindplane pour appliquer les modifications.

• Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante en tant qu'administrateur :

  net stop "observIQ OpenTelemetry Collector" && net start "observIQ OpenTelemetry Collector"
  

Exemples de journaux Microsoft Exchange compatibles

• Syslog + W3C

  <13>Jul 16 19:36:22 10.10.10.1
  2020-07-16 23:36:06 10.10.10.2 POST /mapi/nspi/
  MailboxId=[e-mail]
  &FrontEnd=SERVER01.EXAMPLE.LOCAL
  &RequestId=11111111-2222-3333-4444-555555555555
  &ClientRequestInfo=R:{244982AA-6563-4272-8A81-6435F8C98736}:362;RT:PING;CI:{F1037E72-B035-4F6F-9EE2-CDC028A174BD}:5;CID:{C0C8D580-5B1A-48D2-9285-D0981B30BCAF}
  &ResponseInfo=XRC:0
  &Stage=BegR:2020-07-16T23:36:06.0762130Z;PostAR:14;PreH:15;PostH:15;EndR:15
  444 Anonymous 192.168.1.5 Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.4954;+Pro) - 200 0 0 25 10.0.0.1,10.0.0.2
  

• JSON

  {
    "EventReceivedTime": "2020-06-28 06:20:18",
    "SourceModuleName": "ExLogs",
    "SourceModuleType": "im_file",
    "date-time": "2020-06-28T10:00:52.987Z",
    "connector-id": "server-relay\\Anonymous Relay",
    "session-id": "08D91C389539A23E",
    "sequence-number": "4397",
    "local-endpoint": "10.0.0.1:25",
    "remote-endpoint": "192.168.1.100:30165",
    "event": "<",
    "data": "MAIL FROM:<[e-mail]>"
  }
  

• Syslog + CSV

  <13>May 17 11:56:05 SERVER01 Microsoft_Exchange_Server: 2023-05-17T15:56:05.260Z,
  ,
  SERVER02.EXAMPLE.LOCAL,
  ,
  SERVER01,
  08DB548089C89C20;2023-05-17T15:56:05.135Z;ClientSubmitTime:,
  ,
  STOREDRIVER,
  DELIVER,
  135536282960527,
  <[e-mail]>,
  00000000-0000-0000-0000-000000000000,
  [e-mail],
  ,
  48294,
  1,
  ,
  ,
  Webinar Subject Line,
  [e-mail],
  [e-mail],
  2023-05-17T15:56:04.064Z;SRV=SERVER01.EXAMPLE.LOCAL:TOTAL-FE=0.153|...,
  Incoming,
  ,
  10.10.10.1,
  10.10.10.2,
  S:IncludeInSla=True;...;S:AccountForest=EXAMPLE.LOCAL,
  Email,
  f351e35a-80b8-462a-197a-08db56ef38c4,
  15.02.0986.042
  

• CSV pur

  2023-05-04T11:01:06.971Z,
  Inbound Proxy Internal Send Connector,
  08DB4283F358F976,
  231,
  10.0.0.1:21,
  192.168.1.50:25,
  >,
  MAIL FROM:[e-mail] SIZE=0 AUTH=<> XMESSAGEVALUE=MediumHigh,
  

• Syslog + clé-valeur

  <13>Feb 08 12:43:54 SERVER01
  AgentDevice=MicrosoftExchange
  AgentLogFile=u_ex240208.log
  PluginVersion=7.3.1.22
  AgentLogFormat=W3C
  AgentLogProtocol=OWA
  date=2024-02-08
  time=10:43:49
  s-ip=10.0.0.1
  cs-method=POST
  cs-uri-stem=/mapi/emsmdb/
  cs-uri-query=MailboxId=[e-mail]&CorrelationID=<empty>;&ClientRequestInfo=R:{19C548BA-F616-4021-B925-5716E62B5CB3}:3105;RT:NotificationWait;CI:{518670B4-ADF1-4C59-8A26-377C3F9B7DAB}:62560018;CID:{111677F0-FEB1-4194-9DAC-CC0437A5AD5F}&cafeReqId=310eebda-23e9-46cd-9576-e9892bcaffd0;
  s-port=443
  cs-username=EXAMPLE\user
  c-ip=192.168.1.10
  cs(User-Agent)=Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.10382;+Pro)
  cs(Referer)=-
  sc-status=200
  sc-substatus=0
  sc-win32-status=0
  time-taken=357708
  

• CEF

  CEF:0|Microsoft|Exchange|15.2|Mailbox|Deliver|3|
  src=10.10.10.5
  dst=192.168.1.20
  suser=[e-mail]
  duser=[e-mail]
  suid=DOMAIN\sender
  duid=DOMAIN\recipient
  msg=Message Subject Line
  cs1Label=OriginalIP
  cs1=172.16.0.1
  cn1Label=MessageSize
  cn1=45000
  

Mappage UDM

Champ du journal	Mappage UDM	Logique
c-ip	read_only_udm.target.asset.ip	Valeur extraite du champ "c-ip"
c-ip	read_only_udm.target.ip	Valeur extraite du champ "c-ip"
client-hostname	read_only_udm.principal.asset.hostname	Valeur extraite du champ "client-hostname"
client-hostname	read_only_udm.principal.hostname	Valeur extraite du champ "client-hostname"
client-ip	read_only_udm.principal.asset.ip	Valeur extraite du champ "client-ip"
client-ip	read_only_udm.principal.ip	Valeur extraite du champ "client-ip"
column1	read_only_udm.metadata.event_timestamp	Valeur extraite du champ "column1"
column10	read_only_udm.intermediary.resource.attribute.labels.value	Valeur extraite du champ "column10"
column11	read_only_udm.network.email.mail_id	Valeur extraite du champ "column11"
column12	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "column12"
column13	read_only_udm.network.email.to	Valeur extraite du champ "column13"
column13	read_only_udm.target.user.email_addresses	Valeur extraite du champ "column13"
column15	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "column15"
column16	read_only_udm.target.resource.attribute.labels.value	Valeur extraite du champ "column16"
column19	read_only_udm.network.email.subject	Valeur extraite du champ "column19"
column2	read_only_udm.principal.asset.ip	Valeur extraite du champ "column2"
column2	read_only_udm.principal.ip	Valeur extraite du champ "column2"
column20	read_only_udm.network.email.from	Valeur extraite du champ "column20"
column20	read_only_udm.principal.user.email_addresses	Valeur extraite du champ "column20"
column21	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "column21"
column22	read_only_udm.security_result.description	Valeur extraite du champ "column22"
column24	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "column24"
column25	read_only_udm.principal.asset.ip	Valeur extraite du champ "column25"
column25	read_only_udm.principal.ip	Valeur extraite du champ "column25"
column26	read_only_udm.target.asset.ip	Valeur extraite du champ "column26"
column26	read_only_udm.target.ip	Valeur extraite du champ "column26"
column27	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "column27"
column28	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "column28"
column29	read_only_udm.metadata.product_log_id	Valeur extraite du champ "column29"
column3	read_only_udm.principal.asset.hostname	Valeur extraite du champ "column3"
column3	read_only_udm.principal.hostname	Valeur extraite du champ "column3"
column30	read_only_udm.metadata.product_version	Valeur extraite du champ "column30"
column4	read_only_udm.target.asset.ip	Valeur extraite du champ "column4"
column4	read_only_udm.target.ip	Valeur extraite du champ "column4"
column5	read_only_udm.target.asset.hostname	Valeur extraite du champ "column5"
column5	read_only_udm.target.hostname	Valeur extraite du champ "column5"
column6	read_only_udm.metadata.event_timestamp	Valeur extraite du champ "column6"
column6	read_only_udm.network.http.response_code	Valeur extraite du champ "column6"
column6	read_only_udm.network.session_id	Valeur extraite du champ "column6"
column6	read_only_udm.metadata.description	Valeur extraite du champ "column6"
column7	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "column7"
column8	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "column8"
column9	read_only_udm.metadata.product_event_type	Valeur extraite du champ "column9"
connector_id	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "connector-id"
cs-method	read_only_udm.network.http.method	Valeur extraite du champ "cs-method"
cs-uri-query	read_only_udm.target.url	Valeur extraite du champ "cs-uri-query"
cs-uri-stem	read_only_udm.target.url	Valeur extraite du champ "cs-uri-stem"
csReferer	read_only_udm.network.http.referral_url	Valeur extraite du champ "csReferer"
csUser-Agent	read_only_udm.network.http.user_agent	Valeur extraite du champ "csUser-Agent"
cs-username	read_only_udm.principal.user.userid	Valeur extraite du champ "cs-username"
custom-data	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "custom-data"
données	read_only_udm.security_result.about.labels.value	Valeur extraite du champ "data"
données	read_only_udm.security_result.description	Valeur extraite du champ "data"
données	read_only_udm.network.email.from	Valeur extraite du champ "data"
données	read_only_udm.network.email.to	Valeur extraite du champ "data"
données	read_only_udm.target.hostname	Valeur extraite du champ "data"
données	read_only_udm.security_result.description	Valeur extraite du champ "data"
données	read_only_udm.network.sent_bytes	Valeur extraite du champ "data"
données	read_only_udm.target.user.email_addresses	Valeur extraite du champ "data"
date	read_only_udm.metadata.event_timestamp	Valeur extraite des champs "date" et "time"
date-time	read_only_udm.metadata.event_timestamp	Valeur extraite du champ "date-time"
DeliveryLatency	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "DeliveryLatency" dans "custom-data" ou "message-info"
DeliveryPriority	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "DeliveryPriority" dans le champ "custom-data" ou "column21"
DeliveryPriority	read_only_udm.security_result.priority	Si "DeliveryPriority" est défini sur "Low" ou "Normal", alors "LOW_PRIORITY". Si "DeliveryPriority" est défini sur "Medium", alors "MEDIUM_PRIORITY". Si "DeliveryPriority" est défini sur "High", alors "HIGH_PRIORITY".
directionnalité	read_only_udm.network.direction	Si "directionality" est défini sur "Incoming", la valeur est "INBOUND". Si "directionality" est défini sur "Originating", la valeur est "OUTBOUND".
E2ELatency	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "E2ELatency" dans "custom-data" ou "message-info"
événement	read_only_udm.metadata.product_event_type	Si "event" est "+", alors "Connect" ; si "event" est "-", alors "Disconnect" ; si "event" est "*", alors "Information" ; si "event" est ">", alors "Send" ; si "event" est "<", alors "Receive"
événement	read_only_udm.network.direction	Si "event" est ">", alors "OUTBOUND" ; si "event" est "<", alors "INBOUND"
EventID	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "EventID"
EventReceivedTime	read_only_udm.metadata.collected_timestamp	Valeur extraite du champ "EventReceivedTime"
EventReceivedTime	read_only_udm.metadata.event_timestamp	Valeur extraite du champ "EventReceivedTime" dans "column6"
FirstForestHop	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "FirstForestHop" dans "custom-data"
FromEntity	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "FromEntity" dans "custom-data" ou "message-info"
guid	read_only_udm.metadata.product_log_id	Valeur extraite du champ "guid"
Nom d'hôte	read_only_udm.principal.asset.hostname	Valeur extraite du champ "Nom d'hôte"
Nom d'hôte	read_only_udm.principal.hostname	Valeur extraite du champ "Nom d'hôte"
IncludeInSla	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "IncludeInSla" dans "custom-data" ou "message-info"
internal-message-id	read_only_udm.intermediary.resource.attribute.labels.value	Valeur extraite du champ "internal-message-id"
IsProbe	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "IsProbe" dans le champ "custom-data" ou "column21"
Mots clés	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "Mots clés"
local-endpoint	read_only_udm.principal.asset.ip	Valeur extraite du champ "local-endpoint"
local-endpoint	read_only_udm.principal.ip	Valeur extraite du champ "local-endpoint"
local-endpoint	read_only_udm.principal.port	Valeur extraite du champ "local-endpoint"
Boîtes aux lettres	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "Boîtes aux lettres" dans "custom-data" ou "message-info"
MailboxDatabaseGuid	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "MailboxDatabaseGuid" dans "custom-data" ou "message-info"
MAIL FROM	read_only_udm.network.email.from	Valeur extraite du champ "MAIL FROM" dans "data"
MAIL FROM	read_only_udm.principal.user.email_addresses	Valeur extraite du champ "MAIL FROM" dans "data"
MAIL From	read_only_udm.network.email.from	Valeur extraite du champ "MAIL From" dans "data"
MAIL From	read_only_udm.principal.user.email_addresses	Valeur extraite du champ "MAIL From" dans "data"
message-id	read_only_udm.network.email.mail_id	Valeur extraite du champ "message-id"
message-info	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "message-info"
message-info	read_only_udm.security_result.description	Valeur extraite du champ "message-info"
MessageValue	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "MessageValue" dans "custom-data"
message-subject	read_only_udm.network.email.subject	Valeur extraite du champ "message-subject"
method	read_only_udm.network.http.method	Valeur extraite du champ "method"
Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel" dans "custom-data"
MsgRecipCount	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "MsgRecipCount" dans "custom-data" ou "message-info"
network-message-id	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "network-message-id"
OriginalFromAddress	read_only_udm.principal.user.email_addresses	Valeur extraite du champ "OriginalFromAddress" dans le champ "custom-data" ou "column21"
P2RecipStat	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "P2RecipStat" dans "custom-data" ou "message-info"
PersistProbeTrace	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "PersistProbeTrace" dans le champ "custom-data" ou "column21"
PrioritizationReason	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "PrioritizationReason" dans "custom-data"
ProbeType	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "ProbeType" dans le champ "custom-data" ou "column21"
ProcessID	read_only_udm.principal.process.pid	Valeur extraite du champ "ProcessID"
ProxiedClientHostname	read_only_udm.intermediary.hostname	Valeur extraite du champ "ProxiedClientHostname" dans "custom-data"
ProxiedClientIPAddress	read_only_udm.intermediary.asset.ip	Valeur extraite du champ "ProxiedClientIPAddress" dans "custom-data"
ProxiedClientIPAddress	read_only_udm.intermediary.ip	Valeur extraite du champ "ProxiedClientIPAddress" dans "custom-data"
ProxyHop1	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "ProxyHop1" dans "custom-data"
RCPT TO	read_only_udm.network.email.to	Valeur extraite du champ "RCPT TO" dans "data"
RCPT TO	read_only_udm.target.user.email_addresses	Valeur extraite du champ "RCPT TO" dans "data"
RCPT To	read_only_udm.network.email.to	Valeur extraite du champ "RCPT To" dans "data"
RCPT To	read_only_udm.target.user.email_addresses	Valeur extraite du champ "RCPT To" dans "data"
recipient-address	read_only_udm.target.user.email_addresses	Valeur extraite du champ "recipient-address"
recipient-count	read_only_udm.target.resource.attribute.labels.value	Valeur extraite du champ "recipient-count"
recipient-status	read_only_udm.target.resource.attribute.labels.value	Valeur extraite du champ "recipient-status"
remote-endpoint	read_only_udm.target.asset.ip	Valeur extraite du champ "remote-endpoint"
remote-endpoint	read_only_udm.target.ip	Valeur extraite du champ "remote-endpoint"
remote-endpoint	read_only_udm.target.port	Valeur extraite du champ "remote-endpoint"
res_code	read_only_udm.network.http.response_code	Valeur extraite du champ "res_code"
s-ip	read_only_udm.principal.asset.ip	Valeur extraite du champ "s-ip"
s-ip	read_only_udm.principal.ip	Valeur extraite du champ "s-ip"
s-port	read_only_udm.principal.port	Valeur extraite du champ "s-port"
sc-status	read_only_udm.network.http.response_code	Valeur extraite du champ "sc-status"
sc-substatus	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "sc-substatus"
sender-address	read_only_udm.network.email.from	Valeur extraite du champ "sender-address"
sender-address	read_only_udm.principal.user.email_addresses	Valeur extraite du champ "sender-address"
sequence-number	read_only_udm.additional.fields.value.number_value	Valeur extraite du champ "sequence-number"
server-hostname	read_only_udm.target.asset.hostname	Valeur extraite du champ "server-hostname"
server-hostname	read_only_udm.target.hostname	Valeur extraite du champ "server-hostname"
server-ip	read_only_udm.target.asset.ip	Valeur extraite du champ "server-ip"
server-ip	read_only_udm.target.ip	Valeur extraite du champ "server-ip"
session-id	read_only_udm.network.session_id	Valeur extraite du champ "session-id"
sessionid	read_only_udm.network.session_id	Valeur extraite du champ "sessionid"
Gravité	read_only_udm.security_result.severity	Si "Gravité" contient "Info", alors "INFORMATIONAL", si "Gravité" contient "Error", alors "ERROR", si "Gravité" contient "Warning", alors "MEDIUM", sinon "UNKNOWN_SEVERITY"
SeverityValue	read_only_udm.security_result.severity_details	Valeur extraite du champ "SeverityValue"
SlaExclusionReason	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "SlaExclusionReason" dans "custom-data"
source	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "source"
SourceModuleName	read_only_udm.principal.resource.name	Valeur extraite du champ "SourceModuleName"
SourceModuleType	read_only_udm.principal.resource.type	Valeur extraite du champ "SourceModuleType"
SourceName	read_only_udm.principal.resource.attribute.labels.value	Valeur extraite du champ "SourceName"
StoreObjectIds	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "StoreObjectIds" dans "custom-data" ou "message-info"
Tâche	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "Tâche"
ThreadID	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "ThreadID"
heure	read_only_udm.metadata.event_timestamp	Valeur extraite des champs "date" et "time"
ToEntity	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "ToEntity" dans "custom-data" ou "message-info"
total-bytes	read_only_udm.additional.fields.value.string_value	Valeur extraite du champ "total-bytes"
TransportTrafficSubType	read_only_udm.security_result.detection_fields.value	Valeur extraite du champ "TransportTrafficSubType" dans "custom-data"
TransportTrafficSubType	read_only_udm.metadata.product_version	Valeur extraite du champ "TransportTrafficSubType" dans "custom-data"
ts	read_only_udm.metadata.event_timestamp	Valeur extraite du champ "ts"
u_agent	read_only_udm.network.http.user_agent	Valeur extraite du champ "u_agent"
u_param	read_only_udm.target.url	Valeur extraite du champ "u_param"
u_path	read_only_udm.target.url	Valeur extraite du champ "u_path"
u_path	read_only_udm.target.url	Valeur extraite des champs "u_path" et "u_param"
utilisateur	read_only_udm.target.user.userid	Valeur extraite du champ "user" (utilisateur)
utilisateur	read_only_udm.target.user.email_addresses	Valeur extraite du champ "user"
metadata.event_type	read_only_udm.metadata.event_type	Si "has_principal_email" est défini sur "true" et "has_target_email" sur "true", alors "EMAIL_TRANSACTION". Si "event_type" est défini sur "GENERIC_EVENT" et que "principal_hostname", "s_ip" ou "host" n'est pas vide, ou que "has_principal" est défini sur "true", alors "STATUS_UPDATE". Si "event_type" est défini sur "GENERIC_EVENT" et que "has_principal_email" est défini sur "true" ou "has_target_email" sur "true", alors "USER_UNCATEGORIZED". Sinon, valeur extraite du champ "event_type".
metadata.log_type	read_only_udm.metadata.log_type	Valeur codée en dur "EXCHANGE_MAIL"
metadata.product_name	read_only_udm.metadata.product_name	Valeur codée en dur "Exchange Mail"
metadata.vendor_name	read_only_udm.metadata.vendor_name	Valeur codée en dur "Microsoft"
network.application_protocol	read_only_udm.network.application_protocol	Si "app_protocol" est défini sur "SMTP", "HTTP" ou "HTTPS", la valeur est extraite du champ "app_protocol". Si "app_protocol" contient "SMTP", la valeur est "SMTP".
network.direction	read_only_udm.network.direction	Si "s_ip" n'est pas vide, alors "INBOUND"
network.email.from	read_only_udm.network.email.from	Valeur extraite du champ "from_mail"
network.email.mail_id	read_only_udm.network.email.mail_id	Valeur extraite du champ "msg_id"
network.email.subject	read_only_udm.network.email.subject	Valeur extraite du champ "column19"
network.email.to	read_only_udm.network.email.to	Valeur extraite du champ "to_mail"
network.http.method	read_only_udm.network.http.method	Valeur extraite du champ "method"
network.http.response_code	read_only_udm.network.http.response_code	Valeur extraite du champ "res_code"
network.http.user_agent	read_only_udm.network.http.user_agent	Valeur extraite du champ "u_agent"
network.sent_bytes	read_only_udm.network.sent_bytes	Valeur extraite du champ "sent_bytes"
network.session_id	read_only_udm.network.session_id	Valeur extraite du champ "sessionid"
principal.asset.hostname	read_only_udm.principal.asset.hostname	Valeur extraite du champ "principal_hostname"
principal.asset.hostname	read_only_udm.principal.asset.hostname	Valeur extraite du champ "host"
principal.asset.hostname	read_only_udm.principal.asset.hostname	Valeur extraite du champ "column3"
principal.asset.ip	read_only_udm.principal.asset.ip	Valeur extraite du champ "column2"
principal.asset.ip	read_only_udm.principal.asset.ip	Valeur extraite du champ "column25"
principal.asset.ip	read_only_udm.principal.asset.ip	Valeur extraite du champ "s_ip"
principal.hostname	read_only_udm.principal.hostname	Valeur extraite du champ "principal_hostname"
principal.hostname	read_only_udm.principal.hostname	Valeur extraite du champ "host"
principal.hostname	read_only_udm.principal.hostname	Valeur extraite du champ "column3"
principal.ip	read_only_udm.principal.ip	Valeur extraite du champ "column2"
principal.ip	read_only_udm.principal.ip	Valeur extraite du champ "column25"
principal.ip	read_only_udm.principal.ip	Valeur extraite du champ "s_ip"
principal.port	read_only_udm.principal.port	Valeur extraite du champ "s-port"
principal.user.email_addresses	read_only_udm.principal.user.email_addresses	Valeur extraite du champ "mail"
principal.user.email_addresses	read_only_udm.principal.user.email_addresses	Valeur extraite du champ "email_address"
principal.user.userid	read_only_udm.principal.user.userid	Valeur extraite du champ "cs-username"
security_result.about.labels.key	read_only_udm.security_result.about.labels.key	Valeur codée en dur "Code de réponse"
security_result.description	read_only_udm.security_result.description	Valeur extraite du champ "context"
security_result.description	read_only_udm.security_result.description	Valeur extraite du champ "column22"
security_result.priority	read_only_udm.security_result.priority	Si "severity" est égal à "1", "2" ou "3", alors "LOW". Si "severity" est égal à "4", "5" ou "6", alors "MEDIUM". Si "severity" est égal à "7", "8" ou "9", alors "HIGH".
security_result.severity	read_only_udm.security_result.severity	Si "Gravité" contient "Info", alors "INFORMATIONAL", si "Gravité" contient "Error", alors "ERROR", si "Gravité" contient "Warning", alors "MEDIUM", sinon "UNKNOWN_SEVERITY"
target.administrative_domain	read_only_udm.target.administrative_domain	Valeur extraite du champ "domain"
target.asset.hostname	read_only_udm.target.asset.hostname	Valeur extraite du champ "column5"
target.asset.hostname	read_only_udm.target.asset.hostname	Valeur extraite du champ "target_host"
target.asset.ip	read_only_udm.target.asset.ip	Valeur extraite du champ "column4"
target.asset.ip	read_only_udm.target.asset.ip	Valeur extraite du champ "column26"
target.asset.ip	read_only_udm.target.asset.ip	Valeur extraite du champ "c-ip"
target.hostname	read_only_udm.target.hostname	Valeur extraite du champ "column5"
target.hostname	read_only_udm.target.hostname	Valeur extraite du champ "target_host"
target.ip	read_only_udm.target.ip	Valeur extraite du champ "column4"
target.ip	read_only_udm.target.ip	Valeur extraite du champ "column26"
target.ip	read_only_udm.target.ip	Valeur extraite du champ "c-ip"
target.port	read_only_udm.target.port	Valeur extraite du champ "c_port"
target.resource.attribute.labels.key	read_only_udm.target.resource.attribute.labels.key	Valeur codée en dur "Nombre de destinataires"
target.user.email_addresses	read_only_udm.target.user.email_addresses	Valeur extraite du champ "user"
target.user.user_display_name	read_only_udm.target.user.user_display_name	Valeur extraite du champ "username"
target.user.userid	read_only_udm.target.user.userid	Valeur extraite du champ "user"
target.url	read_only_udm.target.url	Valeur extraite du champ "u_path"

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.