F5 AFM-Logs erfassen

Parserversion: 23.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie F5 Advanced Firewall Management (AFM)-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

F5 BIG-IP AFM ist ein Netzwerk-Firewall-Modul, das Syslog-Nachrichten für Firewallregelaktionen (Akzeptieren, Verwerfen, Ablehnen), IP-Intelligence-Ereignisse und TCP-Fehler generiert. Der Parser extrahiert Felder aus CSV- oder Syslog-formatierten Logs und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und der F5 BIG-IP-Appliance
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf F5 BIG-IP und F5 Advanced Firewall Management

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.

3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

   Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:5145"
  
  exporters:
    chronicle/f5_afm:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: F5_AFM
      raw_log_field: body
  
  service:
    pipelines:
      logs/f5_afm_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/f5_afm
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll:
    • 0.0.0.0, um auf allen Schnittstellen zu lauschen (empfohlen)
    • Port 5145 wird für das High-Speed-Logging von F5 AFM verwendet (passen Sie ihn an Ihre F5-Konfiguration an)

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/f5_afm:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: F5_AFM
      raw_log_field: body
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Prüfen Sie die Logs auf Fehler:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Prüfen Sie die Logs auf Fehler:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

F5 BIG-IP Advanced Firewall Manager aktivieren

1. Melden Sie sich in der Verwaltungskonsole der BIG-IP-Appliance an.
2. Gehen Sie zu System > Lizenz.
3. Prüfen Sie, ob der Advanced Firewall Manager lizenziert und aktiviert ist.
4. Wenn Sie den Advanced Firewall Manager aktivieren möchten, rufen Sie System > Resource > Provisioning auf.
5. Klicken Sie in der Spalte Bereitstellung auf das Kästchen und wählen Sie Nominal aus der Liste aus.
6. Klicken Sie auf Senden.

Logging-Pool in F5 AFM konfigurieren

1. Gehen Sie zu Lokaler Traffic > Pools.
2. Klicken Sie auf Erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen Namen für den Logging-Pool ein (z. B. logging_pool).
   • Health Monitor: Wählen Sie in der Liste Verfügbar die Option TCP aus und klicken Sie auf <<.
4. Wählen Sie auf dem Tab Ressource den zuvor erstellten Logging-Pool aus der Liste Knotenname aus.
5. Geben Sie im Feld Adresse die IP-Adresse des Bindplane-Agents ein.
6. Geben Sie im Feld Dienstport den Wert 5145 oder einen anderen Port ein, den Sie im Bindplane-Agent definiert haben.
7. Klicken Sie auf Hinzufügen.
8. Klicken Sie auf Beenden.

Formatiertes Logziel in F5 AFM konfigurieren

1. Gehen Sie zu System > Logs > Konfiguration > Logziele.
2. Klicken Sie auf Erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen Namen für das Ziel des Logging-Formats ein (z. B. Logging_Format_Destination).
   • Beschreibung: Geben Sie eine Beschreibung ein.
   • Typ: Wählen Sie Remote Syslog aus.
   • Syslog-Format: Wählen Sie Syslog aus.
   • High-Speed Log Destination: Wählen Sie Ihr Ziel für das Hochgeschwindigkeits-Logging aus (z. B. Logging_HSL_Destination).
4. Klicken Sie auf Fertig.

Log Publisher in F5 AFM konfigurieren

1. Gehen Sie zu System > Logs > Konfiguration > Log-Publisher.
2. Klicken Sie auf Erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen Namen für den Publisher ein (z. B. Log_Publisher).
   • Beschreibung: Geben Sie eine Beschreibung ein.
   • Ziele: Wählen Sie den Namen des Logging-Ziels aus, den Sie im Schritt Logging-Pool in F5 AFM konfigurieren erstellt haben, und klicken Sie auf <<, um Elemente zur Liste Ausgewählt hinzuzufügen.

Logging-Profil in F5 AFM konfigurieren

1. Gehen Sie zu Sicherheit > Ereignisprotokolle > Logging-Profil.
2. Klicken Sie auf Erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen Namen für das Logprofil ein (z. B. Logging_Profile).
   • Netzwerk-Firewall: Klicken Sie das Kästchen Aktiviert an.
   • Publisher: Wählen Sie den Log-Publisher aus, den Sie zuvor konfiguriert haben (z. B. Log_Publisher).
   • Log Rule Matches: Wählen Sie die Kästchen Accept, Drop, and Reject aus.
   • IP-Fehler protokollieren: Klicken Sie das Kästchen Aktiviert an.
   • TCP-Fehler protokollieren: Klicken Sie das Kästchen Aktiviert an.
   • TCP-Ereignisse protokollieren: Klicken Sie das Kästchen Aktiviert an.
   • Speicherformat: Wählen Sie Feldliste aus.
   • Trennzeichen: Geben Sie , (Komma) als Trennzeichen für Ereignisse ein.
   • Speicheroptionen: Wählen Sie alle Optionen in der Liste Verfügbare Elemente aus und klicken Sie auf <<.
   • Wählen Sie auf dem Tab IP Intelligence den Log-Publisher aus, den Sie konfiguriert haben (z. B. Log_Publisher).
4. Klicken Sie auf Fertig.

Verknüpfung von virtuellen Serverprofilen in F5 AFM konfigurieren

1. Gehen Sie zu Lokaler Traffic > Virtuelle Server.
2. Wählen Sie den virtuellen Server aus, den Sie ändern möchten.
3. Rufen Sie den Tab Sicherheit > Richtlinien auf.
4. Wählen Sie in der Liste Log Profile (Profil protokollieren) die Option Enabled (Aktiviert) aus.
5. Wählen Sie im Feld Profil die Option Logging_Profile aus und klicken Sie auf <<.
6. Klicken Sie auf Aktualisieren.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
acl_policy_name	security_result.detection_fields.acl_policy_name	Wert von column22, wenn das Logformat SYSLOG ist, andernfalls Wert von column13
acl_policy_type	security_result.detection_fields.acl_policy_type	Wert von column21, wenn das Logformat SYSLOG ist, andernfalls Wert von column18
acl_rule_name	security_result.rule_name	Wert von column23, wenn das Logformat SYSLOG ist, andernfalls Wert von column11
acl_rule_uuid	security_result.rule_id	Wert des Felds „acl_rule_uuid“ aus dem Grok-Muster
Aktion	security_result.action	Wenn der Wert von column25 Drop, Reject oder Block ist, dann BLOCKIEREN, andernfalls, wenn der Wert von column25 Accept, Accept decisively, Established oder Allow ist, dann ZULASSEN
attackID	security_result.detection_fields.attackID	Wert von column12, wenn das Logformat CSV ohne src_ip ist
bigip_hostname	intermediary.hostname	Wert von column2, wenn das Logformat SYSLOG ist, andernfalls Wert von column3
bigip_ip	intermediary.ip	Wert von column2, wenn das Logformat SYSLOG ist, andernfalls Wert von column1
context_name	additional.fields.context_name.string_value	Wert von column4, wenn das Logformat SYSLOG ist, andernfalls Wert von column10, wenn src_ip vorhanden ist, andernfalls Wert von column5
context_type	additional.fields.context_type.string_value	Wert von column3, wenn das Logformat SYSLOG ist, andernfalls Wert von column4, wenn src_ip vorhanden ist, andernfalls Wert von column4
dest_fqdn	additional.fields.dest_fqdn.string_value	Wert von column7, wenn das Logformat SYSLOG ist, andernfalls Wert von column13
dest_geo	additional.fields.dest_geo.string_value	Wert von Spalte 14
dest_ip	target.asset.ip, target.ip	Wert von column8, wenn das Logformat SYSLOG ist, andernfalls Wert von column6, wenn src_ip vorhanden ist, andernfalls Wert von column6
dest_port	target.port	Wert von column10, wenn das Logformat SYSLOG ist, andernfalls Wert von column8, wenn src_ip vorhanden ist, andernfalls Wert von column8
drop_reason	security_result.summary	Wert von column26, wenn das Logformat SYSLOG ist, andernfalls Wert von column19
eventId	additional.fields.eventId.string_value	Im Grok-Muster erfasster Wert
flow_id	additional.fields.flow_id.string_value	Wert von column29, wenn das Logformat SYSLOG ist, andernfalls Wert von column17
loglevel	security_result.severity	Wenn der Wert des Felds „loglevel“ aus dem Grok-Muster warning, debug oder notice ist, dann MEDIUM, sonst wenn der Wert info oder informational ist, dann INFORMATIONAL, sonst wenn der Wert err oder error ist, dann HIGH, sonst wenn der Wert alert, crit oder emer ist, dann CRITICAL
packetsReceived	network.received_packets	Wert von column15, wenn das Protokollformat CSV ohne src_ip ist
verarbeiten	target.application	Wert des Prozessfelds aus dem Grok-Muster
protocol_number_src	network.ip_protocol	Wert von column12, wenn das Logformat SYSLOG ist, andernfalls der aus der Variablen „ip_protocol_out“ extrahierte Wert
route_domain	additional.fields.route_domain.string_value	Wert von column13, wenn das Logformat SYSLOG ist, andernfalls Wert von column9
source_fqdn	additional.fields.source_fqdn.string_value	Wert von column5, wenn das Logformat SYSLOG ist, andernfalls Wert von column7
src_geo	additional.fields.src_geo.string_value	Wert von Spalte8
src_ip	principal.asset.ip, principal.ip	Wert von column6, wenn das Logformat SYSLOG ist, andernfalls Wert von column9, wenn das Logformat CSV ohne src_ip ist, andernfalls Wert von column5
src_port	principal.port	Wert von column9, wenn das Logformat SYSLOG ist, andernfalls Wert von column7, wenn das Logformat CSV ohne src_ip ist, andernfalls Wert von column7
ts	metadata.event_timestamp	Wert des ts-Felds aus dem Grok-Muster
vlan	additional.fields.vlan.string_value	Wert von column11, wenn das Logformat SYSLOG ist, andernfalls Wert von column21
	metadata.event_type	Wenn „src_ip“ und „dest_ip“ vorhanden sind, dann NETWORK_CONNECTION, andernfalls, wenn nur „src_ip“ vorhanden ist, dann STATUS_UPDATE, andernfalls GENERIC_EVENT
	metadata.log_type	F5_AFM
	metadata.product_name	Erweiterte Firewall-Verwaltung
	metadata.vendor_name	F5
partition	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
level	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
tty	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
attempts	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
start	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
end	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
prin_ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
internal_tag	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
src_zone	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
dest_zone	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
translated_dest_ip	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
translated_dest_port	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
translated_source_ip	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
translated_source_port	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
syslog_reporter_host	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
sa_translation_pool	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
sa_translation_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
translated_route_domain	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
send_to_vs	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
src_zone	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
dest_zone	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
acl_policy_name	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
acl_policy_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
chronicle_log_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
chronicle_namespace	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
flow_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
vlan	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
route_domain	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
partition_name	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
source_ipint_categories	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
src_geo	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
source_fqdn	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
dest_ipint_categories	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
dst_geo	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
dest_fqdn	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
acl_rule_name	event.idm.read_only_udm.security_result.rule_name	Aus Änderungsprotokoll zugeordnet
acl_rule_id	event.idm.read_only_udm.security_result.rule_id	Aus Änderungsprotokoll zugeordnet
action	event.idm.read_only_udm.security_result.action	Aus Änderungsprotokoll zugeordnet
bigip_mgmt_ip	event.idm.read_only_udm.intermediary.ip	Aus Änderungsprotokoll zugeordnet
context_name	event.idm.read_only_udm.target.resource.name	Aus Änderungsprotokoll zugeordnet
context_type	event.idm.read_only_udm.target.resource.type	Aus Änderungsprotokoll zugeordnet
date_time	event.idm.read_only_udm.metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
dest_ip	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
net.peer.ip	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
dest_port	event.idm.read_only_udm.target.port	Aus Änderungsprotokoll zugeordnet
net.peer.port	event.idm.read_only_udm.target.port	Aus Änderungsprotokoll zugeordnet
device_version	event.idm.read_only_udm.metadata.product_version	Aus Änderungsprotokoll zugeordnet
drop_reason	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
hostname	event.idm.read_only_udm.principal.hostname und event.idm.read_only_udm.principal.asset.hostname	Aus Änderungsprotokoll zugeordnet
ip_protocol	event.idm.read_only_udm.network.ip_protocol	Aus Änderungsprotokoll zugeordnet
source_ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
net.host.ip	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
source_port	event.idm.read_only_udm.principal.port	Aus Änderungsprotokoll zugeordnet
net.host.port	event.idm.read_only_udm.principal.port	Aus Änderungsprotokoll zugeordnet
errdefs_msg_name	event.idm.read_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
errdefs_msgno	event.idm.read_only_udm.metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
source_user	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
source_user_group	event.idm.read_only_udm.principal.user.group_identifiers	Aus Änderungsprotokoll zugeordnet
severity	event.idm.read_only_udm.security_result.severity_details	Aus Änderungsprotokoll zugeordnet
dvchost	event.idm.read_only_udm.intermediary.hostname und event.idm.read_only_udm.intermediary.asset.hostname	Aus Änderungsprotokoll zugeordnet
dvc	event.idm.read_only_udm.intermediary.ip und event.idm.read_only_udm.intermediary.asset.ip	Aus Änderungsprotokoll zugeordnet
c6a2	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
F5SrcZone	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
F5SrcFqdn	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
F5SrcUser	event.idm.read_only_udm.principal.user.attribute.labels	Aus Änderungsprotokoll zugeordnet
c6a3	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
F5DstZone	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
F5DstVlan	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
F5DstFqdn	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
F5SendToVs	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
F5SrcIpiCategories	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
F5DstIpiCategories	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
module	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
tid	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cpu	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cmd_line	event.idm.read_only_udm.target.process.command_line	Aus Änderungsprotokoll zugeordnet
msg_data	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
pid	event.idm.read_only_udm.principal.process.pid	Aus Änderungsprotokoll zugeordnet
user	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
folder_path	event.idm.read_only_udm.principal.file.full_path	Aus Änderungsprotokoll zugeordnet
status	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
cmd_data	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
target_ip	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
desc	metadata.description	Aus Änderungsprotokoll zugeordnet
prin_port	principal.port	Aus Änderungsprotokoll zugeordnet
target_port	target.port	Aus Änderungsprotokoll zugeordnet
ts2	metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
tls_ver	network.tls.version	Aus Änderungsprotokoll zugeordnet
cipher	network.tls.cipher	Aus Änderungsprotokoll zugeordnet
prod_event_type	metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
path	target.url	Aus Änderungsprotokoll zugeordnet
response_size	network.sent_bytes	Aus Änderungsprotokoll zugeordnet
received_size	network.received_bytes	Aus Änderungsprotokoll zugeordnet
usr	principal.user.userid	Aus Änderungsprotokoll zugeordnet
schema_version	target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
severity_info	security_result.severity_details	Aus Änderungsprotokoll zugeordnet
target_pid	target.process.pid	Aus Änderungsprotokoll zugeordnet
additional1	additional.fields	Aus Änderungsprotokoll zugeordnet
dvc	intermediary.hostname	Aus Änderungsprotokoll zugeordnet
metadata.event_type	USER_UNCATEGORIZED	Aus Änderungsprotokoll zugeordnet
prin_ip	principal.ip	Aus Änderungsprotokoll zugeordnet
F5FlowID	additional.fields	Aus Änderungsprotokoll zugeordnet
F5TranslatedVlan	additional.fields	Aus Änderungsprotokoll zugeordnet
F5SrcTranslationType	additional.fields	Aus Änderungsprotokoll zugeordnet
F5SrcTranslationPool	additional.fields	Aus Änderungsprotokoll zugeordnet
F5SrcGeo	additional.fields	Aus Änderungsprotokoll zugeordnet
F5DstGeo	additional.fields	Aus Änderungsprotokoll zugeordnet
F5RouteDomain	additional.fields	Aus Änderungsprotokoll zugeordnet
Column12	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
Column14	security_result.action	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten