Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Microsoft Exchange

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Microsoft Exchange ke Google Security Operations menggunakan Bindplane. Label penyerapan mengidentifikasi parser yang menormalisasi data log mentah ke format UDM terstruktur. Informasi dalam dokumen ini berlaku untuk parser dengan label penyerapan EXCHANGE_MAIL.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Windows Server 2016 atau yang lebih baru dengan Microsoft Exchange Server yang telah diinstal
Akses administratif ke Server Exchange
Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

Deployment baru: Gunakan Chronicle API (Opsi 1).
Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
Buka IAM & Admin > Service Accounts.
Klik Create service account.
Berikan detail konfigurasi berikut:
- Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
- Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
Klik Create and continue.
Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
Klik Continue lalu klik Done.
Klik akun layanan yang Anda buat, lalu buka tab Keys.
Klik Add key > Create new key.
Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

Login ke konsol Google SecOps.
Buka Setelan SIEM > Agen Pengumpulan.
Download file autentikasi penyerapan.
Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

Login ke konsol Google SecOps.
Buka Setelan SIEM > Profil.
Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

Buka Command Prompt atau PowerShell sebagai administrator.

Jalankan perintah berikut:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Referensi Penginstalan Tambahan

Untuk opsi pemasangan tambahan, lihat panduan pemasangan ini.

Mengonfigurasi agen Bindplane untuk mengumpulkan Log Peristiwa Windows dan mengirimkannya ke Google SecOps

Akses File Konfigurasi:
- Cari file config.yaml. Biasanya, ada di direktori `C:\Program Files\observIQ OpenTelemetry Collector` di Windows.
- Buka file menggunakan editor teks (misalnya, Notepad atau Notepad++).

Edit file config.yaml sebagai berikut:

receivers:
  windowseventlog/exchange_application:
    channel: Application
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

  windowseventlog/exchange_system:
    channel: System
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

  windowseventlog/exchange_management:
    channel: MSExchange Management
    raw: true
    max_reads: 100
    poll_interval: 5s
    start_at: end

processors:
  batch:

exporters:
  chronicle/exchange:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded earlier
    creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
    # Replace with your actual customer ID
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add ingestion labels for Exchange logs
    log_type: 'EXCHANGE_MAIL'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/exchange:
      receivers:
        - windowseventlog/exchange_application
        - windowseventlog/exchange_system
        - windowseventlog/exchange_management
      processors:
        - batch
      exporters:
        - chronicle/exchange

Ganti <PLACEHOLDER_CUSTOMER_ID> dengan ID Pelanggan sebenarnya yang diperoleh sebelumnya.
Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
Ganti /path/to/ingestion-authentication-file.json dengan jalur tempat file kunci akun layanan (Opsi 1) disimpan di bagian Mendapatkan kredensial Google SecOps untuk agen Bindplane.

Catatan konfigurasi

Saluran aplikasi: Mengumpulkan peristiwa tingkat aplikasi dari Exchange Server, termasuk startup layanan, error, dan peringatan.
Saluran sistem: Mengumpulkan peristiwa tingkat sistem yang dapat memengaruhi operasi Exchange Server.
Saluran MSExchange Management: Mengumpulkan peristiwa pengelolaan khusus Exchange, termasuk eksekusi cmdlet PowerShell dan tindakan administratif.
raw: true: Mengirim entri Log Peristiwa Windows lengkap dalam format aslinya untuk penguraian yang komprehensif.
start_at: end: Mulai mengumpulkan peristiwa baru dari titik saat ini ke depan (tidak menyerap log historis).

Pengekspor API penyerapan lama

Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/exchange:
    compression: gzip
    # Adjust the path to the credentials file you downloaded earlier
    creds_file_path: 'C:\path\to\ingestion-authentication-file.json'
    # Replace with your actual customer ID
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add ingestion labels for Exchange logs
    log_type: 'EXCHANGE_MAIL'
    raw_log_field: body
    ingestion_labels:

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut sebagai administrator:
```
net stop "observIQ OpenTelemetry Collector" && net start "observIQ OpenTelemetry Collector"
```

Contoh log Microsoft Exchange yang didukung

Syslog + W3C

<13>Jul 16 19:36:22 10.10.10.1
2020-07-16 23:36:06 10.10.10.2 POST /mapi/nspi/
MailboxId=00000000-0000-0000-0000-000000000000@example.com
&FrontEnd=SERVER01.EXAMPLE.LOCAL
&RequestId=11111111-2222-3333-4444-555555555555
&ClientRequestInfo=R:{244982AA-6563-4272-8A81-6435F8C98736}:362;RT:PING;CI:{F1037E72-B035-4F6F-9EE2-CDC028A174BD}:5;CID:{C0C8D580-5B1A-48D2-9285-D0981B30BCAF}
&ResponseInfo=XRC:0
&Stage=BegR:2020-07-16T23:36:06.0762130Z;PostAR:14;PreH:15;PostH:15;EndR:15
444 Anonymous 192.168.1.5 Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.4954;+Pro) - 200 0 0 25 10.0.0.1,10.0.0.2

JSON

{
  "EventReceivedTime": "2020-06-28 06:20:18",
  "SourceModuleName": "ExLogs",
  "SourceModuleType": "im_file",
  "date-time": "2020-06-28T10:00:52.987Z",
  "connector-id": "server-relay\\Anonymous Relay",
  "session-id": "08D91C389539A23E",
  "sequence-number": "4397",
  "local-endpoint": "10.0.0.1:25",
  "remote-endpoint": "192.168.1.100:30165",
  "event": "<",
  "data": "MAIL FROM:<sender@example.com>"
}

Syslog + CSV

<13>May 17 11:56:05 SERVER01 Microsoft_Exchange_Server: 2023-05-17T15:56:05.260Z,
,
SERVER02.EXAMPLE.LOCAL,
,
SERVER01,
08DB548089C89C20;2023-05-17T15:56:05.135Z;ClientSubmitTime:,
,
STOREDRIVER,
DELIVER,
135536282960527,
<835115255.9114241684338954615.JavaMail.app@example.com>,
00000000-0000-0000-0000-000000000000,
sender@example.com,
,
48294,
1,
,
,
Webinar Subject Line,
recipient@example.com,
bounce-address@bounce.example.com,
2023-05-17T15:56:04.064Z;SRV=SERVER01.EXAMPLE.LOCAL:TOTAL-FE=0.153|...,
Incoming,
,
10.10.10.1,
10.10.10.2,
S:IncludeInSla=True;...;S:AccountForest=EXAMPLE.LOCAL,
Email,
f351e35a-80b8-462a-197a-08db56ef38c4,
15.02.0986.042

CSV Murni

2023-05-04T11:01:06.971Z,
Inbound Proxy Internal Send Connector,
08DB4283F358F976,
231,
10.0.0.1:21,
192.168.1.50:25,
>,
MAIL FROM:user@example.nl SIZE=0 AUTH=<> XMESSAGEVALUE=MediumHigh,

Syslog + Key-Value

<13>Feb 08 12:43:54 SERVER01
AgentDevice=MicrosoftExchange
AgentLogFile=u_ex240208.log
PluginVersion=7.3.1.22
AgentLogFormat=W3C
AgentLogProtocol=OWA
date=2024-02-08
time=10:43:49
s-ip=10.0.0.1
cs-method=POST
cs-uri-stem=/mapi/emsmdb/
cs-uri-query=MailboxId=00000000-0000-0000-0000-000000000000@example.com&CorrelationID=<empty>;&ClientRequestInfo=R:{19C548BA-F616-4021-B925-5716E62B5CB3}:3105;RT:NotificationWait;CI:{518670B4-ADF1-4C59-8A26-377C3F9B7DAB}:62560018;CID:{111677F0-FEB1-4194-9DAC-CC0437A5AD5F}&cafeReqId=310eebda-23e9-46cd-9576-e9892bcaffd0;
s-port=443
cs-username=EXAMPLE\user
c-ip=192.168.1.10
cs(User-Agent)=Microsoft+Office/16.0+(Windows+NT+10.0;+Microsoft+Outlook+16.0.10382;+Pro)
cs(Referer)=-
sc-status=200
sc-substatus=0
sc-win32-status=0
time-taken=357708

CEF

CEF:0|Microsoft|Exchange|15.2|Mailbox|Deliver|3|
src=10.10.10.5
dst=192.168.1.20
suser=sender@example.com
duser=recipient@example.com
suid=DOMAIN\sender
duid=DOMAIN\recipient
msg=Message Subject Line
cs1Label=OriginalIP
cs1=172.16.0.1
cn1Label=MessageSize
cn1=45000

Pemetaan UDM

Kolom log	Pemetaan UDM	Logika
c-ip	read_only_udm.target.asset.ip	Nilai diambil dari kolom 'c-ip'
c-ip	read_only_udm.target.ip	Nilai diambil dari kolom 'c-ip'
client-hostname	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom 'client-hostname'
client-hostname	read_only_udm.principal.hostname	Nilai diambil dari kolom 'client-hostname'
client-ip	read_only_udm.principal.asset.ip	Nilai yang diambil dari kolom 'client-ip'
client-ip	read_only_udm.principal.ip	Nilai yang diambil dari kolom 'client-ip'
kolom1	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom 'column1'
column10	read_only_udm.intermediary.resource.attribute.labels.value	Nilai yang diambil dari kolom 'column10'
column11	read_only_udm.network.email.mail_id	Nilai diambil dari kolom 'column11'
column12	read_only_udm.additional.fields.value.string_value	Nilai yang diambil dari kolom 'column12'
column13	read_only_udm.network.email.to	Nilai diambil dari kolom 'column13'
column13	read_only_udm.target.user.email_addresses	Nilai diambil dari kolom 'column13'
column15	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom 'column15'
column16	read_only_udm.target.resource.attribute.labels.value	Nilai diambil dari kolom 'column16'
column19	read_only_udm.network.email.subject	Nilai diambil dari kolom 'column19'
kolom2	read_only_udm.principal.asset.ip	Nilai diambil dari kolom 'column2'
kolom2	read_only_udm.principal.ip	Nilai diambil dari kolom 'column2'
column20	read_only_udm.network.email.from	Nilai yang diambil dari kolom 'column20'
column20	read_only_udm.principal.user.email_addresses	Nilai diambil dari kolom 'column20'
column21	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'column21'
column22	read_only_udm.security_result.description	Nilai yang diambil dari kolom 'column22'
column24	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom 'column24'
column25	read_only_udm.principal.asset.ip	Nilai diambil dari kolom 'column25'
column25	read_only_udm.principal.ip	Nilai diambil dari kolom 'column25'
column26	read_only_udm.target.asset.ip	Nilai diambil dari kolom 'column26'
column26	read_only_udm.target.ip	Nilai diambil dari kolom 'column26'
column27	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'column27'
column28	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom 'column28'
column29	read_only_udm.metadata.product_log_id	Nilai diambil dari kolom 'column29'
kolom3	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom 'column3'
kolom3	read_only_udm.principal.hostname	Nilai diambil dari kolom 'column3'
column30	read_only_udm.metadata.product_version	Nilai yang diambil dari kolom 'column30'
column4	read_only_udm.target.asset.ip	Nilai diambil dari kolom 'column4'
column4	read_only_udm.target.ip	Nilai diambil dari kolom 'column4'
column5	read_only_udm.target.asset.hostname	Nilai diambil dari kolom 'column5'
column5	read_only_udm.target.hostname	Nilai diambil dari kolom 'column5'
column6	read_only_udm.metadata.event_timestamp	Nilai yang diambil dari kolom 'column6'
column6	read_only_udm.network.http.response_code	Nilai yang diambil dari kolom 'column6'
column6	read_only_udm.network.session_id	Nilai diambil dari kolom 'column6'
column6	read_only_udm.metadata.description	Nilai yang diambil dari kolom 'column6'
column7	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom 'column7'
column8	read_only_udm.additional.fields.value.string_value	Nilai yang diambil dari kolom 'column8'
column9	read_only_udm.metadata.product_event_type	Nilai diambil dari kolom 'column9'
connector_id	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom 'connector-id'
cs-method	read_only_udm.network.http.method	Nilai diambil dari kolom 'cs-method'
cs-uri-query	read_only_udm.target.url	Nilai diambil dari kolom 'cs-uri-query'
cs-uri-stem	read_only_udm.target.url	Nilai yang diambil dari kolom 'cs-uri-stem'
csReferer	read_only_udm.network.http.referral_url	Nilai diambil dari kolom 'csReferer'
csUser-Agent	read_only_udm.network.http.user_agent	Nilai diambil dari kolom 'csUser-Agent'
cs-username	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'cs-username'
custom-data	read_only_udm.security_result.detection_fields.value	Nilai yang diambil dari kolom 'custom-data'
data	read_only_udm.security_result.about.labels.value	Nilai diambil dari kolom 'data'
data	read_only_udm.security_result.description	Nilai diambil dari kolom 'data'
data	read_only_udm.network.email.from	Nilai diambil dari kolom 'data'
data	read_only_udm.network.email.to	Nilai diambil dari kolom 'data'
data	read_only_udm.target.hostname	Nilai diambil dari kolom 'data'
data	read_only_udm.security_result.description	Nilai diambil dari kolom 'data'
data	read_only_udm.network.sent_bytes	Nilai diambil dari kolom 'data'
data	read_only_udm.target.user.email_addresses	Nilai diambil dari kolom 'data'
tanggal	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom 'date' dan 'time'
date-time	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom 'date-time'
DeliveryLatency	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'DeliveryLatency' di 'custom-data' atau 'message-info'
DeliveryPriority	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'DeliveryPriority' di kolom 'custom-data' atau 'column21'
DeliveryPriority	read_only_udm.security_result.priority	Jika 'DeliveryPriority' adalah 'Low' atau 'Normal', maka 'LOW_PRIORITY'; jika 'DeliveryPriority' adalah 'Medium', maka 'MEDIUM_PRIORITY'; jika 'DeliveryPriority' adalah 'High', maka 'HIGH_PRIORITY'
arah	read_only_udm.network.direction	Jika 'directionality' adalah 'Incoming', maka 'INBOUND'. Jika 'directionality' adalah 'Originating', maka 'OUTBOUND'
E2ELatency	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'E2ELatency' di 'custom-data' atau 'message-info'
event	read_only_udm.metadata.product_event_type	Jika 'event' adalah '+', maka 'Connect'; jika 'event' adalah '-', maka 'Disconnect'; jika 'event' adalah '*', maka 'Information'; jika 'event' adalah '>', maka 'Send'; jika 'event' adalah '<', maka 'Receive'
event	read_only_udm.network.direction	Jika 'event' adalah '>', maka 'OUTBOUND', jika 'event' adalah '<', maka 'INBOUND'
EventID	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'EventID'
EventReceivedTime	read_only_udm.metadata.collected_timestamp	Nilai diambil dari kolom 'EventReceivedTime'
EventReceivedTime	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom 'EventReceivedTime' di 'column6'
FirstForestHop	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'FirstForestHop' di 'custom-data'
FromEntity	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'FromEntity' di 'custom-data' atau 'message-info'
guid	read_only_udm.metadata.product_log_id	Nilai yang diambil dari kolom 'guid'
Hostname	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom 'Nama host'
Hostname	read_only_udm.principal.hostname	Nilai diambil dari kolom 'Nama host'
IncludeInSla	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'IncludeInSla' di 'custom-data' atau 'message-info'
internal-message-id	read_only_udm.intermediary.resource.attribute.labels.value	Nilai yang diambil dari kolom 'internal-message-id'
IsProbe	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'IsProbe' di kolom 'custom-data' atau 'column21'
Kata kunci	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'Kata kunci'
local-endpoint	read_only_udm.principal.asset.ip	Nilai diambil dari kolom 'local-endpoint'
local-endpoint	read_only_udm.principal.ip	Nilai diambil dari kolom 'local-endpoint'
local-endpoint	read_only_udm.principal.port	Nilai diambil dari kolom 'local-endpoint'
Kotak surat	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'Mailboxes' di 'custom-data' atau 'message-info'
MailboxDatabaseGuid	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'MailboxDatabaseGuid' di 'custom-data' atau 'message-info'
MAIL FROM	read_only_udm.network.email.from	Nilai diambil dari kolom 'MAIL FROM' di 'data'
MAIL FROM	read_only_udm.principal.user.email_addresses	Nilai diambil dari kolom 'MAIL FROM' di 'data'
MAIL Dari	read_only_udm.network.email.from	Nilai diambil dari kolom 'MAIL From' di 'data'
MAIL Dari	read_only_udm.principal.user.email_addresses	Nilai diambil dari kolom 'MAIL From' di 'data'
message-id	read_only_udm.network.email.mail_id	Nilai diambil dari kolom 'message-id'
message-info	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'message-info'
message-info	read_only_udm.security_result.description	Nilai diambil dari kolom 'message-info'
MessageValue	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'MessageValue' di 'custom-data'
message-subject	read_only_udm.network.email.subject	Nilai diambil dari kolom 'message-subject'
metode	read_only_udm.network.http.method	Nilai diambil dari kolom 'method'
Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'Microsoft_Exchange_Transport_MailRecipient_RequiredTlsAuthLevel' di 'custom-data'
MsgRecipCount	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'MsgRecipCount' di 'custom-data' atau 'message-info'
network-message-id	read_only_udm.additional.fields.value.string_value	Nilai yang diambil dari kolom 'network-message-id'
OriginalFromAddress	read_only_udm.principal.user.email_addresses	Nilai diambil dari kolom 'OriginalFromAddress' di kolom 'custom-data' atau 'column21'
P2RecipStat	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'P2RecipStat' di 'custom-data' atau 'message-info'
PersistProbeTrace	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'PersistProbeTrace' di kolom 'custom-data' atau 'column21'
PrioritizationReason	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'PrioritizationReason' di 'custom-data'
ProbeType	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'ProbeType' di kolom 'custom-data' atau 'column21'
ProcessID	read_only_udm.principal.process.pid	Nilai diambil dari kolom 'ProcessID'
ProxiedClientHostname	read_only_udm.intermediary.hostname	Nilai yang diambil dari kolom 'ProxiedClientHostname' di 'custom-data'
ProxiedClientIPAddress	read_only_udm.intermediary.asset.ip	Nilai diambil dari kolom 'ProxiedClientIPAddress' di 'custom-data'
ProxiedClientIPAddress	read_only_udm.intermediary.ip	Nilai diambil dari kolom 'ProxiedClientIPAddress' di 'custom-data'
ProxyHop1	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'ProxyHop1' di 'custom-data'
RCPT TO	read_only_udm.network.email.to	Nilai diambil dari kolom 'RCPT TO' di 'data'
RCPT TO	read_only_udm.target.user.email_addresses	Nilai diambil dari kolom 'RCPT TO' di 'data'
RCPT To	read_only_udm.network.email.to	Nilai diambil dari kolom 'RCPT To' di 'data'
RCPT To	read_only_udm.target.user.email_addresses	Nilai diambil dari kolom 'RCPT To' di 'data'
recipient-address	read_only_udm.target.user.email_addresses	Nilai diambil dari kolom 'recipient-address'
recipient-count	read_only_udm.target.resource.attribute.labels.value	Nilai diambil dari kolom 'recipient-count'
status-penerima	read_only_udm.target.resource.attribute.labels.value	Nilai yang diambil dari kolom 'recipient-status'
remote-endpoint	read_only_udm.target.asset.ip	Nilai diambil dari kolom 'remote-endpoint'
remote-endpoint	read_only_udm.target.ip	Nilai diambil dari kolom 'remote-endpoint'
remote-endpoint	read_only_udm.target.port	Nilai diambil dari kolom 'remote-endpoint'
res_code	read_only_udm.network.http.response_code	Nilai diambil dari kolom 'res_code'
s-ip	read_only_udm.principal.asset.ip	Nilai diambil dari kolom 's-ip'
s-ip	read_only_udm.principal.ip	Nilai diambil dari kolom 's-ip'
s-port	read_only_udm.principal.port	Nilai diambil dari kolom 's-port'
sc-status	read_only_udm.network.http.response_code	Nilai yang diambil dari kolom 'sc-status'
sc-substatus	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom 'sc-substatus'
sender-address	read_only_udm.network.email.from	Nilai diambil dari kolom 'sender-address'
sender-address	read_only_udm.principal.user.email_addresses	Nilai diambil dari kolom 'sender-address'
sequence-number	read_only_udm.additional.fields.value.number_value	Nilai diambil dari kolom 'sequence-number'
server-hostname	read_only_udm.target.asset.hostname	Nilai diambil dari kolom 'server-hostname'
server-hostname	read_only_udm.target.hostname	Nilai diambil dari kolom 'server-hostname'
server-ip	read_only_udm.target.asset.ip	Nilai yang diambil dari kolom 'server-ip'
server-ip	read_only_udm.target.ip	Nilai yang diambil dari kolom 'server-ip'
session-id	read_only_udm.network.session_id	Nilai yang diambil dari kolom 'session-id'
sessionid	read_only_udm.network.session_id	Nilai diambil dari kolom 'sessionid'
Keparahan	read_only_udm.security_result.severity	Jika 'Severity' berisi 'Info', maka 'INFORMATIONAL', jika 'Severity' berisi 'Error', maka 'ERROR', jika 'Severity' berisi 'Warning', maka 'MEDIUM', jika tidak, 'UNKNOWN_SEVERITY'
SeverityValue	read_only_udm.security_result.severity_details	Nilai yang diambil dari kolom 'SeverityValue'
SlaExclusionReason	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'SlaExclusionReason' di 'custom-data'
sumber	read_only_udm.additional.fields.value.string_value	Nilai diambil dari kolom 'source'
SourceModuleName	read_only_udm.principal.resource.name	Nilai diambil dari kolom 'SourceModuleName'
SourceModuleType	read_only_udm.principal.resource.type	Nilai diambil dari kolom 'SourceModuleType'
SourceName	read_only_udm.principal.resource.attribute.labels.value	Nilai diambil dari kolom 'SourceName'
StoreObjectIds	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'StoreObjectIds' di 'custom-data' atau 'message-info'
Tugas	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'Task'
ThreadID	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'ThreadID'
waktu	read_only_udm.metadata.event_timestamp	Nilai diambil dari kolom 'date' dan 'time'
ToEntity	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'ToEntity' di 'custom-data' atau 'message-info'
total-byte	read_only_udm.additional.fields.value.string_value	Nilai yang diambil dari kolom 'total-bytes'
TransportTrafficSubType	read_only_udm.security_result.detection_fields.value	Nilai diambil dari kolom 'TransportTrafficSubType' di 'custom-data'
TransportTrafficSubType	read_only_udm.metadata.product_version	Nilai diambil dari kolom 'TransportTrafficSubType' di 'custom-data'
ts	read_only_udm.metadata.event_timestamp	Nilai yang diambil dari kolom 'ts'
u_agent	read_only_udm.network.http.user_agent	Nilai yang diambil dari kolom 'u_agent'
u_param	read_only_udm.target.url	Nilai diambil dari kolom 'u_param'
u_path	read_only_udm.target.url	Nilai diambil dari kolom 'u_path'
u_path	read_only_udm.target.url	Nilai diambil dari kolom 'u_path' dan 'u_param'
pengguna	read_only_udm.target.user.userid	Nilai diambil dari kolom 'user'
pengguna	read_only_udm.target.user.email_addresses	Nilai diambil dari kolom 'user'
metadata.event_type	read_only_udm.metadata.event_type	Jika 'has_principal_email' adalah 'true' dan 'has_target_email' adalah 'true', maka 'EMAIL_TRANSACTION'; jika 'event_type' adalah 'GENERIC_EVENT' dan 'principal_hostname' atau 's_ip' atau 'host' tidak kosong atau 'has_principal' adalah 'true', maka 'STATUS_UPDATE'; jika 'event_type' adalah 'GENERIC_EVENT' dan 'has_principal_email' adalah 'true' atau 'has_target_email' adalah 'true', maka 'USER_UNCATEGORIZED'; jika tidak, nilai diambil dari kolom 'event_type'
metadata.log_type	read_only_udm.metadata.log_type	Nilai hardcode 'EXCHANGE_MAIL'
metadata.product_name	read_only_udm.metadata.product_name	Nilai hardcode 'Exchange Mail'
metadata.vendor_name	read_only_udm.metadata.vendor_name	Nilai hardcode 'Microsoft'
network.application_protocol	read_only_udm.network.application_protocol	Jika 'app_protocol' adalah 'SMTP' atau 'HTTP' atau 'HTTPS', nilai akan diambil dari kolom 'app_protocol'. Jika 'app_protocol' berisi 'SMTP', maka 'SMTP'
network.direction	read_only_udm.network.direction	Jika 's_ip' tidak kosong, maka 'INBOUND'
network.email.from	read_only_udm.network.email.from	Nilai diambil dari kolom 'from_mail'
network.email.mail_id	read_only_udm.network.email.mail_id	Nilai yang diambil dari kolom 'msg_id'
network.email.subject	read_only_udm.network.email.subject	Nilai diambil dari kolom 'column19'
network.email.to	read_only_udm.network.email.to	Nilai diambil dari kolom 'to_mail'
network.http.method	read_only_udm.network.http.method	Nilai diambil dari kolom 'method'
network.http.response_code	read_only_udm.network.http.response_code	Nilai diambil dari kolom 'res_code'
network.http.user_agent	read_only_udm.network.http.user_agent	Nilai diambil dari kolom 'u_agent'
network.sent_bytes	read_only_udm.network.sent_bytes	Nilai diambil dari kolom 'sent_bytes'
network.session_id	read_only_udm.network.session_id	Nilai diambil dari kolom 'sessionid'
principal.asset.hostname	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom 'principal_hostname'
principal.asset.hostname	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom 'host'
principal.asset.hostname	read_only_udm.principal.asset.hostname	Nilai diambil dari kolom 'column3'
principal.asset.ip	read_only_udm.principal.asset.ip	Nilai diambil dari kolom 'column2'
principal.asset.ip	read_only_udm.principal.asset.ip	Nilai diambil dari kolom 'column25'
principal.asset.ip	read_only_udm.principal.asset.ip	Nilai diambil dari kolom 's_ip'
principal.hostname	read_only_udm.principal.hostname	Nilai diambil dari kolom 'principal_hostname'
principal.hostname	read_only_udm.principal.hostname	Nilai diambil dari kolom 'host'
principal.hostname	read_only_udm.principal.hostname	Nilai diambil dari kolom 'column3'
principal.ip	read_only_udm.principal.ip	Nilai diambil dari kolom 'column2'
principal.ip	read_only_udm.principal.ip	Nilai diambil dari kolom 'column25'
principal.ip	read_only_udm.principal.ip	Nilai diambil dari kolom 's_ip'
principal.port	read_only_udm.principal.port	Nilai diambil dari kolom 's-port'
principal.user.email_addresses	read_only_udm.principal.user.email_addresses	Nilai diambil dari kolom 'mail'
principal.user.email_addresses	read_only_udm.principal.user.email_addresses	Nilai diambil dari kolom 'email_address'
principal.user.userid	read_only_udm.principal.user.userid	Nilai diambil dari kolom 'cs-username'
security_result.about.labels.key	read_only_udm.security_result.about.labels.key	Nilai hardcode 'Kode Respons'
security_result.description	read_only_udm.security_result.description	Nilai diambil dari kolom 'context'
security_result.description	read_only_udm.security_result.description	Nilai diambil dari kolom 'column22'
security_result.priority	read_only_udm.security_result.priority	Jika 'severity' adalah '1' atau '2' atau '3', maka 'LOW', jika 'severity' adalah '4' atau '5' atau '6', maka 'MEDIUM', jika 'severity' adalah '7' atau '8' atau '9', maka 'HIGH'
security_result.severity	read_only_udm.security_result.severity	Jika 'Severity' berisi 'Info', maka 'INFORMATIONAL', jika 'Severity' berisi 'Error', maka 'ERROR', jika 'Severity' berisi 'Warning', maka 'MEDIUM', jika tidak, 'UNKNOWN_SEVERITY'
target.administrative_domain	read_only_udm.target.administrative_domain	Nilai diambil dari kolom 'domain'
target.asset.hostname	read_only_udm.target.asset.hostname	Nilai diambil dari kolom 'column5'
target.asset.hostname	read_only_udm.target.asset.hostname	Nilai diambil dari kolom 'target_host'
target.asset.ip	read_only_udm.target.asset.ip	Nilai diambil dari kolom 'column4'
target.asset.ip	read_only_udm.target.asset.ip	Nilai diambil dari kolom 'column26'
target.asset.ip	read_only_udm.target.asset.ip	Nilai yang diambil dari kolom 'c-ip'
target.hostname	read_only_udm.target.hostname	Nilai diambil dari kolom 'column5'
target.hostname	read_only_udm.target.hostname	Nilai diambil dari kolom 'target_host'
target.ip	read_only_udm.target.ip	Nilai diambil dari kolom 'column4'
target.ip	read_only_udm.target.ip	Nilai diambil dari kolom 'column26'
target.ip	read_only_udm.target.ip	Nilai yang diambil dari kolom 'c-ip'
target.port	read_only_udm.target.port	Nilai diambil dari kolom 'c_port'
target.resource.attribute.labels.key	read_only_udm.target.resource.attribute.labels.key	Nilai hardcode 'Recipients Count'
target.user.email_addresses	read_only_udm.target.user.email_addresses	Nilai diambil dari kolom 'user'
target.user.user_display_name	read_only_udm.target.user.user_display_name	Nilai diambil dari kolom 'username'
target.user.userid	read_only_udm.target.user.userid	Nilai diambil dari kolom 'pengguna'
target.url	read_only_udm.target.url	Nilai diambil dari kolom 'u_path'

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.