איסוף יומנים של Microsoft Exchange

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומנים של Microsoft Exchange ב-Google Security Operations באמצעות Bindplane. תווית הטמעה מזהה את המנתח שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח עם תווית ההטמעה EXCHANGE_MAIL.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • ‫Windows Server 2016 ואילך עם Microsoft Exchange Server מותקן
  • הרשאת אדמין לשרת Exchange
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

כדי להתקין את הסוכן של Bindplane במערכת ההפעלה Windows, פועלים לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מקורות מידע נוספים בנושא התקנה

הגדרת סוכן Bindplane לאיסוף יומני אירועים של Windows ושליחה שלהם אל Google SecOps

  1. גישה לקובץ התצורה:

    • מאתרים את הקובץ config.yaml. בדרך כלל, ב-Windows הוא נמצא בספרייה `C:\Program Files\observIQ OpenTelemetry Collector`.
    • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, Notepad או ++Notepad).

  2. עורכים את הקובץ config.yaml:

    receivers:
  windowseventlog/exchange_application:
    channel: Application
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

  windowseventlog/exchange_system:
    channel: System
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

  windowseventlog/exchange_management:
    channel: MSExchange Management
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

processors:
  batch:

exporters:
  chronicle/exchange:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded earlier
    creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
    # Replace with your actual customer ID
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add ingestion labels for Exchange logs
    log_type: 'EXCHANGE_MAIL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/exchange:
      receivers:
        - windowseventlog/exchange_application
        - windowseventlog/exchange_system
        - windowseventlog/exchange_management
      processors:
        - batch
      exporters:
        - chronicle/exchange
    • מחליפים את <PLACEHOLDER_CUSTOMER_ID> במספר הלקוח האמיתי שהתקבל קודם.
    • מחליפים את <LOCATION> באזור של המופע של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המערכת מוסיפה את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
    • מעדכנים את /path/to/ingestion-authentication-file.json לנתיב שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בקטע קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane.

הערות לגבי ההגדרה

  • ערוץ האפליקציה: אוסף אירועים ברמת האפליקציה מ-Exchange Server, כולל הפעלת שירות, שגיאות ואזהרות.
  • ערוץ מערכת: אוסף אירועים ברמת המערכת שעשויים להשפיע על הפעולה של שרת Exchange.
  • ערוץ MSExchange Management: אוסף אירועי ניהול ספציפיים ל-Exchange, כולל הפעלות של PowerShell cmdlet ופעולות ניהול.
  • ‫raw: true: שליחת רשומות מלאות של יומן האירועים של Windows בפורמט המקורי שלהן לניתוח מקיף.
  • ‫start_at: end: מתחיל לאסוף אירועים חדשים מהנקודה הנוכחית ואילך (לא מטמיע יומנים היסטוריים).

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/exchange:
    compression: gzip
    # Adjust the path to the credentials file you downloaded earlier
    creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
    # Replace with your actual customer ID
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add ingestion labels for Exchange logs
    log_type: 'EXCHANGE_MAIL'
    raw_log_field: body
    ingestion_labels:

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  • כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה כאדמין:

    net stop "observIQ OpenTelemetry Collector" && net start "observIQ OpenTelemetry Collector"

דוגמאות ליומנים נתמכים של Microsoft Exchange

  • Syslog + W3C

    <13>Jul 16 19:36:22 10.10.10.1
2020-07-16 23:36:06 10.10.10.2 POST /mapi/nspi/
MailboxId=00000000-0000-0000-0000-000000000000@example.com
&FrontEnd=SERVER01.EXAMPLE.LOCAL
&RequestId=11111111-2222-3333-4444-555555555555
&ClientRequestInfo=R:{244982AA-6563-4272-8A81-6435F8C98736}:362;RT:PING;CI:{F1037E72-B035-4F6F-9EE2-CDC028A174BD}:5;CID:{C0C8D580-5B1A-48D2-9285-D0981B30BCAF}
&ResponseInfo=XRC:0
&Stage=BegR:2020-07-16T23:36:06.0762130Z;PostAR:14;PreH:15;PostH:15;EndR:15
444 Anonymous 192.168.1.5 Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.4954;+Pro) - 200 0 0 25 10.0.0.1,10.0.0.2

  • JSON

    {
  "EventReceivedTime": "2020-06-28 06:20:18",
  "SourceModuleName": "ExLogs",
  "SourceModuleType": "im_file",
  "date-time": "2020-06-28T10:00:52.987Z",
  "connector-id": "server-relay\\Anonymous Relay",
  "session-id": "08D91C389539A23E",
  "sequence-number": "4397",
  "local-endpoint": "10.0.0.1:25",
  "remote-endpoint": "192.168.1.100:30165",
  "event": "<",
  "data": "MAIL FROM:<sender@example.com>"
}

  • Syslog + CSV

    <13>May 17 11:56:05 SERVER01 Microsoft_Exchange_Server: 2023-05-17T15:56:05.260Z,
,
SERVER02.EXAMPLE.LOCAL,
,
SERVER01,
08DB548089C89C20;2023-05-17T15:56:05.135Z;ClientSubmitTime:,
,
STOREDRIVER,
DELIVER,
135536282960527,
<835115255.9114241684338954615.JavaMail.app@example.com>,
00000000-0000-0000-0000-000000000000,
sender@example.com,
,
48294,
1,
,
,
Webinar Subject Line,
recipient@example.com,
bounce-address@bounce.example.com,
2023-05-17T15:56:04.064Z;SRV=SERVER01.EXAMPLE.LOCAL:TOTAL-FE=0.153|...,
Incoming,
,
10.10.10.1,
10.10.10.2,
S:IncludeInSla=True;...;S:AccountForest=EXAMPLE.LOCAL,
Email,
f351e35a-80b8-462a-197a-08db56ef38c4,
15.02.0986.042

  • קובץ CSV רגיל

    2023-05-04T11:01:06.971Z,
Inbound Proxy Internal Send Connector,
08DB4283F358F976,
231,
10.0.0.1:21,
192.168.1.50:25,
>,
MAIL FROM:user@example.nl SIZE=0 AUTH=<> XMESSAGEVALUE=MediumHigh,

  • Syslog + Key-Value

    <13>Feb 08 12:43:54 SERVER01
AgentDevice=MicrosoftExchange
AgentLogFile=u_ex240208.log
PluginVersion=7.3.1.22
AgentLogFormat=W3C
AgentLogProtocol=OWA
date=2024-02-08
time=10:43:49
s-ip=10.0.0.1
cs-method=POST
cs-uri-stem=/mapi/emsmdb/
cs-uri-query=MailboxId=00000000-0000-0000-0000-000000000000@example.com&CorrelationID=<empty>;&ClientRequestInfo=R:{19C548BA-F616-4021-B925-5716E62B5CB3}:3105;RT:NotificationWait;CI:{518670B4-ADF1-4C59-8A26-377C3F9B7DAB}:62560018;CID:{111677F0-FEB1-4194-9DAC-CC0437A5AD5F}&cafeReqId=310eebda-23e9-46cd-9576-e9892bcaffd0;
s-port=443
cs-username=EXAMPLE\user
c-ip=192.168.1.10
cs(User-Agent)=Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.10382;+Pro)
cs(Referer)=-
sc-status=200
sc-substatus=0
sc-win32-status=0
time-taken=357708

  • CEF

    CEF:0|Microsoft|Exchange|15.2|Mailbox|Deliver|3|
src=10.10.10.5
dst=192.168.1.20
suser=sender@example.com
duser=recipient@example.com
suid=DOMAIN\sender
duid=DOMAIN\recipient
msg=Message Subject Line
cs1Label=OriginalIP
cs1=172.16.0.1
cn1Label=MessageSize
cn1=45000

מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
c-ip read_only_udm.target.asset.ip הערך נלקח מהשדה "c-ip"
c-ip read_only_udm.target.ip הערך נלקח מהשדה "c-ip"
client-hostname read_only_udm.principal.asset.hostname הערך נלקח מהשדה client-hostname
client-hostname read_only_udm.principal.hostname הערך נלקח מהשדה client-hostname
client-ip read_only_udm.principal.asset.ip הערך נלקח מהשדה client-ip
client-ip read_only_udm.principal.ip הערך נלקח מהשדה client-ip
דףה 1 read_only_udm.metadata.event_timestamp הערך נלקח מהשדה "column1"
column10 read_only_udm.intermediary.resource.attribute.labels.value הערך נלקח מהשדה "column10"
column11 read_only_udm.network.email.mail_id הערך נלקח מהשדה "column11"
column12 read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה "column12"
column13 read_only_udm.network.email.to הערך נלקח מהשדה "column13"
column13 read_only_udm.target.user.email_addresses הערך נלקח מהשדה "column13"
column15 read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה "column15"
column16 read_only_udm.target.resource.attribute.labels.value הערך נלקח מהשדה "column16"
column19 read_only_udm.network.email.subject הערך נלקח מהשדה "column19"
דףה 2 read_only_udm.principal.asset.ip הערך נלקח מהשדה "column2"
דףה 2 read_only_udm.principal.ip הערך נלקח מהשדה "column2"
column20 read_only_udm.network.email.from הערך נלקח מהשדה "column20"
column20 read_only_udm.principal.user.email_addresses הערך נלקח מהשדה "column20"
column21 read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה "column21"
column22 read_only_udm.security_result.description הערך נלקח מהשדה "column22"
column24 read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה "column24"
column25 read_only_udm.principal.asset.ip הערך נלקח מהשדה "column25"
column25 read_only_udm.principal.ip הערך נלקח מהשדה "column25"
column26 read_only_udm.target.asset.ip הערך נלקח מהשדה column26
column26 read_only_udm.target.ip הערך נלקח מהשדה column26
column27 read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה "column27"
column28 read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה column28
column29 read_only_udm.metadata.product_log_id הערך נלקח מהשדה "column29"
דףה 3 read_only_udm.principal.asset.hostname הערך נלקח מהשדה "column3"
דףה 3 read_only_udm.principal.hostname הערך נלקח מהשדה "column3"
column30 read_only_udm.metadata.product_version הערך נלקח מהשדה "column30"
column4 read_only_udm.target.asset.ip הערך נלקח מהשדה "column4"
column4 read_only_udm.target.ip הערך נלקח מהשדה "column4"
column5 read_only_udm.target.asset.hostname הערך נלקח מהשדה "column5"
column5 read_only_udm.target.hostname הערך נלקח מהשדה "column5"
column6 read_only_udm.metadata.event_timestamp הערך נלקח מהשדה column6
column6 read_only_udm.network.http.response_code הערך נלקח מהשדה column6
column6 read_only_udm.network.session_id הערך נלקח מהשדה column6
column6 read_only_udm.metadata.description הערך נלקח מהשדה column6
column7 read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה column7
column8 read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה column8
column9 read_only_udm.metadata.product_event_type הערך נלקח מהשדה "column9"
connector_id read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה "connector-id"
cs-method read_only_udm.network.http.method הערך נלקח מהשדה "cs-method"
cs-uri-query read_only_udm.target.url הערך נלקח מהשדה "cs-uri-query"
cs-uri-stem read_only_udm.target.url הערך נלקח מהשדה "cs-uri-stem"
csReferer read_only_udm.network.http.referral_url הערך נלקח מהשדה csReferer
csUser-Agent read_only_udm.network.http.user_agent הערך נלקח מהשדה "csUser-Agent"
cs-username read_only_udm.principal.user.userid הערך נלקח מהשדה "cs-username"
custom-data read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה custom-data
נתונים read_only_udm.security_result.about.labels.value הערך נלקח מהשדה "נתונים"
נתונים read_only_udm.security_result.description הערך נלקח מהשדה "נתונים"
נתונים read_only_udm.network.email.from הערך נלקח מהשדה "נתונים"
נתונים read_only_udm.network.email.to הערך נלקח מהשדה "נתונים"
נתונים read_only_udm.target.hostname הערך נלקח מהשדה "נתונים"
נתונים read_only_udm.security_result.description הערך נלקח מהשדה "נתונים"
נתונים read_only_udm.network.sent_bytes הערך נלקח מהשדה "נתונים"
נתונים read_only_udm.target.user.email_addresses הערך נלקח מהשדה "נתונים"
תאריך read_only_udm.metadata.event_timestamp הערך נלקח מהשדות "תאריך" ו"שעה"
תאריך ושעה read_only_udm.metadata.event_timestamp הערך נלקח מהשדה "תאריך ושעה"
DeliveryLatency read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה DeliveryLatency ב-custom-data או ב-message-info
DeliveryPriority read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה DeliveryPriority ב-custom-data או מהשדה column21
DeliveryPriority read_only_udm.security_result.priority אם הערך של DeliveryPriority הוא Low או Normal, אז הערך הוא LOW_PRIORITY. אם הערך של DeliveryPriority הוא Medium, אז הערך הוא MEDIUM_PRIORITY. אם הערך של DeliveryPriority הוא High, אז הערך הוא HIGH_PRIORITY.
כיווניות read_only_udm.network.direction אם directionality הוא Incoming, אז INBOUND. אם directionality הוא Originating, אז OUTBOUND.
E2ELatency read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה "E2ELatency" ב-"custom-data" או ב-"message-info"
אירוע read_only_udm.metadata.product_event_type אם הערך של event הוא "+", אז "Connect", אם הערך של event הוא "-", אז "Disconnect", אם הערך של event הוא "*", אז "Information", אם הערך של event הוא ">", אז "Send", אם הערך של event הוא "<", אז "Receive"
אירוע read_only_udm.network.direction אם הערך של event הוא >, אז הערך של outbound הוא OUTBOUND. אם הערך של event הוא <, אז הערך של inbound הוא INBOUND.
EventID read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה EventID
EventReceivedTime read_only_udm.metadata.collected_timestamp הערך נלקח מהשדה EventReceivedTime
EventReceivedTime read_only_udm.metadata.event_timestamp הערך נלקח מהשדה EventReceivedTime ב-column6
FirstForestHop read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה FirstForestHop ב-custom-data
FromEntity read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה FromEntity ב-custom-data או ב-message-info
guid read_only_udm.metadata.product_log_id הערך נלקח מהשדה guid
שם המארח read_only_udm.principal.asset.hostname הערך נלקח מהשדה "שם המארח"
שם המארח read_only_udm.principal.hostname הערך נלקח מהשדה "שם המארח"
IncludeInSla read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה IncludeInSla ב-custom-data או ב-message-info
internal-message-id read_only_udm.intermediary.resource.attribute.labels.value הערך נלקח מהשדה "internal-message-id"
IsProbe read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה IsProbe בשדה custom-data או בשדה column21
מילות מפתח read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה "מילות מפתח"
local-endpoint read_only_udm.principal.asset.ip הערך נלקח מהשדה local-endpoint
local-endpoint read_only_udm.principal.ip הערך נלקח מהשדה local-endpoint
local-endpoint read_only_udm.principal.port הערך נלקח מהשדה local-endpoint
תיבות דואר read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה "תיבות דואר" ב-"custom-data" או ב-"message-info"
MailboxDatabaseGuid read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה MailboxDatabaseGuid ב-custom-data או ב-message-info
MAIL FROM read_only_udm.network.email.from הערך נלקח מהשדה MAIL FROM ב-data
MAIL FROM read_only_udm.principal.user.email_addresses הערך נלקח מהשדה MAIL FROM ב-data
MAIL From read_only_udm.network.email.from הערך נלקח מהשדה "MAIL From" ב-"data"
MAIL From read_only_udm.principal.user.email_addresses הערך נלקח מהשדה "MAIL From" ב-"data"
message-id read_only_udm.network.email.mail_id הערך נלקח מהשדה "message-id"
message-info read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה message-info
message-info read_only_udm.security_result.description הערך נלקח מהשדה message-info
MessageValue read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה MessageValue ב-custom-data
message-subject read_only_udm.network.email.subject הערך נלקח מהשדה "message-subject"
method read_only_udm.network.http.method הערך נלקח מהשדה "method"
Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel ב-custom-data
MsgRecipCount read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה MsgRecipCount ב-custom-data או ב-message-info
network-message-id read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה "network-message-id"
OriginalFromAddress read_only_udm.principal.user.email_addresses הערך נלקח מהשדה OriginalFromAddress בשדה custom-data או בשדה column21
P2RecipStat read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה "P2RecipStat" ב-"custom-data" או ב-"message-info"
PersistProbeTrace read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה PersistProbeTrace בשדה custom-data או בשדה column21
PrioritizationReason read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה PrioritizationReason ב-custom-data
ProbeType read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה ProbeType ב-custom-data או מהשדה column21
ProcessID read_only_udm.principal.process.pid הערך נלקח מהשדה ProcessID
ProxiedClientHostname read_only_udm.intermediary.hostname הערך נלקח מהשדה ProxiedClientHostname ב-custom-data
ProxiedClientIPAddress read_only_udm.intermediary.asset.ip הערך נלקח מהשדה ProxiedClientIPAddress ב-custom-data
ProxiedClientIPAddress read_only_udm.intermediary.ip הערך נלקח מהשדה ProxiedClientIPAddress ב-custom-data
ProxyHop1 read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה ProxyHop1 ב-custom-data
RCPT TO read_only_udm.network.email.to הערך נלקח מהשדה "RCPT TO" ב"נתונים"
RCPT TO read_only_udm.target.user.email_addresses הערך נלקח מהשדה "RCPT TO" ב"נתונים"
‫RCPT To read_only_udm.network.email.to הערך נלקח מהשדה "RCPT To" ב"נתונים"
‫RCPT To read_only_udm.target.user.email_addresses הערך נלקח מהשדה "RCPT To" ב"נתונים"
recipient-address read_only_udm.target.user.email_addresses הערך נלקח מהשדה "כתובת הנמען"
recipient-count read_only_udm.target.resource.attribute.labels.value הערך נלקח מהשדה "recipient-count"
recipient-status read_only_udm.target.resource.attribute.labels.value הערך נלקח מהשדה "recipient-status"
remote-endpoint read_only_udm.target.asset.ip הערך נלקח מהשדה "remote-endpoint"
remote-endpoint read_only_udm.target.ip הערך נלקח מהשדה "remote-endpoint"
remote-endpoint read_only_udm.target.port הערך נלקח מהשדה "remote-endpoint"
res_code read_only_udm.network.http.response_code הערך נלקח מהשדה "res_code"
s-ip read_only_udm.principal.asset.ip הערך נלקח מהשדה "s-ip"
s-ip read_only_udm.principal.ip הערך נלקח מהשדה "s-ip"
s-port read_only_udm.principal.port הערך נלקח מהשדה s-port
sc-status read_only_udm.network.http.response_code הערך נלקח מהשדה sc-status
sc-substatus read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה sc-substatus
sender-address read_only_udm.network.email.from הערך נלקח מהשדה "sender-address"
sender-address read_only_udm.principal.user.email_addresses הערך נלקח מהשדה "sender-address"
sequence-number read_only_udm.additional.fields.value.number_value הערך נלקח מהשדה "מספר סידורי"
server-hostname read_only_udm.target.asset.hostname הערך נלקח מהשדה server-hostname
server-hostname read_only_udm.target.hostname הערך נלקח מהשדה server-hostname
server-ip read_only_udm.target.asset.ip הערך נלקח מהשדה "server-ip"
server-ip read_only_udm.target.ip הערך נלקח מהשדה "server-ip"
session-id read_only_udm.network.session_id הערך נלקח מהשדה "session-id"
sessionid read_only_udm.network.session_id הערך נלקח מהשדה sessionid
חוּמרה read_only_udm.security_result.severity אם השדה Severity מכיל את הערך Info, אז הערך הוא INFORMATIONAL. אם השדה Severity מכיל את הערך Error, אז הערך הוא ERROR. אם השדה Severity מכיל את הערך Warning, אז הערך הוא MEDIUM. אחרת, הערך הוא UNKNOWN_SEVERITY.
SeverityValue read_only_udm.security_result.severity_details הערך נלקח מהשדה SeverityValue
SlaExclusionReason read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה SlaExclusionReason ב-custom-data
מקור read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה "מקור"
SourceModuleName read_only_udm.principal.resource.name הערך נלקח מהשדה "SourceModuleName"
SourceModuleType read_only_udm.principal.resource.type הערך נלקח מהשדה "SourceModuleType"
SourceName read_only_udm.principal.resource.attribute.labels.value הערך נלקח מהשדה "SourceName"
StoreObjectIds read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה StoreObjectIds ב-custom-data או ב-message-info
משימה read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה "משימה"
ThreadID read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה ThreadID
פעם read_only_udm.metadata.event_timestamp הערך נלקח מהשדות "תאריך" ו"שעה"
ToEntity read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה ToEntity ב-custom-data או ב-message-info
total-bytes read_only_udm.additional.fields.value.string_value הערך נלקח מהשדה total-bytes
TransportTrafficSubType read_only_udm.security_result.detection_fields.value הערך נלקח מהשדה TransportTrafficSubType ב-custom-data
TransportTrafficSubType read_only_udm.metadata.product_version הערך נלקח מהשדה TransportTrafficSubType ב-custom-data
ts read_only_udm.metadata.event_timestamp הערך נלקח מהשדה "ts"
u_agent read_only_udm.network.http.user_agent הערך נלקח מהשדה u_agent
u_param read_only_udm.target.url הערך נלקח מהשדה u_param
u_path read_only_udm.target.url הערך נלקח מהשדה "u_path"
u_path read_only_udm.target.url הערך נלקח מהשדות u_path ו-u_param
משתמש read_only_udm.target.user.userid הערך נלקח מהשדה "משתמש"
משתמש read_only_udm.target.user.email_addresses הערך נלקח מהשדה "משתמש"
metadata.event_type read_only_udm.metadata.event_type אם הערך של has_principal_email הוא true והערך של has_target_email הוא true, אז EMAIL_TRANSACTION. אם הערך של event_type הוא GENERIC_EVENT והערך של principal_hostname או s_ip או host לא ריק, או שהערך של has_principal הוא true, אז STATUS_UPDATE. אם הערך של event_type הוא GENERIC_EVENT והערך של has_principal_email הוא true או שהערך של has_target_email הוא true, אז USER_UNCATEGORIZED. אחרת, הערך נלקח מהשדה event_type
metadata.log_type read_only_udm.metadata.log_type ערך בקידוד קשיח 'EXCHANGE_MAIL'
metadata.product_name read_only_udm.metadata.product_name ערך בתוך הקוד "Exchange Mail"
metadata.vendor_name read_only_udm.metadata.vendor_name ערך בתוך הקוד "Microsoft"
network.application_protocol read_only_udm.network.application_protocol אם הערך של app_protocol הוא SMTP או HTTP או HTTPS, הערך נלקח מהשדה app_protocol. אם הערך של app_protocol מכיל SMTP, אז SMTP
network.direction read_only_udm.network.direction אם השדה "s_ip" לא ריק, אז "INBOUND"
network.email.from read_only_udm.network.email.from הערך נלקח מהשדה "from_mail"
network.email.mail_id read_only_udm.network.email.mail_id הערך נלקח מהשדה msg_id
network.email.subject read_only_udm.network.email.subject הערך נלקח מהשדה "column19"
network.email.to read_only_udm.network.email.to הערך נלקח מהשדה "to_mail"
network.http.method read_only_udm.network.http.method הערך נלקח מהשדה "method"
network.http.response_code read_only_udm.network.http.response_code הערך נלקח מהשדה "res_code"
network.http.user_agent read_only_udm.network.http.user_agent הערך נלקח מהשדה u_agent
network.sent_bytes read_only_udm.network.sent_bytes הערך נלקח מהשדה sent_bytes
network.session_id read_only_udm.network.session_id הערך נלקח מהשדה sessionid
principal.asset.hostname read_only_udm.principal.asset.hostname הערך נלקח מהשדה "principal_hostname"
principal.asset.hostname read_only_udm.principal.asset.hostname הערך נלקח מהשדה "מארח"
principal.asset.hostname read_only_udm.principal.asset.hostname הערך נלקח מהשדה "column3"
principal.asset.ip read_only_udm.principal.asset.ip הערך נלקח מהשדה "column2"
principal.asset.ip read_only_udm.principal.asset.ip הערך נלקח מהשדה "column25"
principal.asset.ip read_only_udm.principal.asset.ip הערך נלקח מהשדה s_ip
principal.hostname read_only_udm.principal.hostname הערך נלקח מהשדה "principal_hostname"
principal.hostname read_only_udm.principal.hostname הערך נלקח מהשדה "מארח"
principal.hostname read_only_udm.principal.hostname הערך נלקח מהשדה "column3"
principal.ip read_only_udm.principal.ip הערך נלקח מהשדה "column2"
principal.ip read_only_udm.principal.ip הערך נלקח מהשדה "column25"
principal.ip read_only_udm.principal.ip הערך נלקח מהשדה s_ip
principal.port read_only_udm.principal.port הערך נלקח מהשדה s-port
principal.user.email_addresses read_only_udm.principal.user.email_addresses הערך נלקח מהשדה "דואר"
principal.user.email_addresses read_only_udm.principal.user.email_addresses הערך נלקח מהשדה email_address
principal.user.userid read_only_udm.principal.user.userid הערך נלקח מהשדה "cs-username"
security_result.about.labels.key read_only_udm.security_result.about.labels.key ערך בקידוד קשיח 'קוד תגובה'
security_result.description read_only_udm.security_result.description הערך נלקח מהשדה "הקשר"
security_result.description read_only_udm.security_result.description הערך נלקח מהשדה "column22"
security_result.priority read_only_udm.security_result.priority אם הערך של "severity" הוא "1", "2" או "3", אז "LOW". אם הערך של "severity" הוא "4", "5" או "6", אז "MEDIUM". אם הערך של "severity" הוא "7", "8" או "9", אז "HIGH".
security_result.severity read_only_udm.security_result.severity אם השדה Severity מכיל את הערך Info, אז הערך הוא INFORMATIONAL. אם השדה Severity מכיל את הערך Error, אז הערך הוא ERROR. אם השדה Severity מכיל את הערך Warning, אז הערך הוא MEDIUM. אחרת, הערך הוא UNKNOWN_SEVERITY.
target.administrative_domain read_only_udm.target.administrative_domain הערך נלקח מהשדה "דומיין"
target.asset.hostname read_only_udm.target.asset.hostname הערך נלקח מהשדה "column5"
target.asset.hostname read_only_udm.target.asset.hostname הערך נלקח מהשדה target_host
target.asset.ip read_only_udm.target.asset.ip הערך נלקח מהשדה "column4"
target.asset.ip read_only_udm.target.asset.ip הערך נלקח מהשדה column26
target.asset.ip read_only_udm.target.asset.ip הערך נלקח מהשדה "c-ip"
target.hostname read_only_udm.target.hostname הערך נלקח מהשדה "column5"
target.hostname read_only_udm.target.hostname הערך נלקח מהשדה target_host
target.ip read_only_udm.target.ip הערך נלקח מהשדה "column4"
target.ip read_only_udm.target.ip הערך נלקח מהשדה column26
target.ip read_only_udm.target.ip הערך נלקח מהשדה "c-ip"
target.port read_only_udm.target.port הערך נלקח מהשדה "c_port"
target.resource.attribute.labels.key read_only_udm.target.resource.attribute.labels.key ערך בקידוד קשיח "מספר הנמענים"
target.user.email_addresses read_only_udm.target.user.email_addresses הערך נלקח מהשדה "משתמש"
target.user.user_display_name read_only_udm.target.user.user_display_name הערך נלקח מהשדה "שם משתמש"
target.user.userid read_only_udm.target.user.userid הערך נלקח מהשדה "משתמש"
target.url read_only_udm.target.url הערך נלקח מהשדה "u_path"

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.