Fidelis Network-Protokolle erfassen

Parserversion: 8.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Fidelis Network-Logs mit Bindplane in Google Security Operations aufnehmen.

Fidelis Network ist eine NDR-Lösung (Network Detection and Response), die eine umfassende Inhaltsprüfung, eine Analyse auf Sitzungsebene und eine automatisierte Bedrohungsabwehr bietet. Er überwacht den Netzwerkverkehr in Echtzeit, um erweiterte Bedrohungen, Versuche zur Daten-Exfiltration und Richtlinienverstöße über alle Ports und Protokolle hinweg zu erkennen. Der Parser extrahiert Felder aus Syslog-formatierten Fidelis Network-Logs mithilfe von KV- und JSON-Mustern. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die Fidelis Network CommandPost-Weboberfläche

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Problembehebung finden Sie im Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'FIDELIS_NETWORK'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • tcplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
    • 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
    • 514: Portnummer, auf der gelauscht werden soll (Standard-Syslog-Port)

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: Kundennummer aus dem Abschnitt „Kundennummer abrufen“
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
    • log_type: Logtyp genau wie in Chronicle (FIDELIS_NETWORK)

Exporter für die Legacy Ingestion API

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'FIDELIS_NETWORK'
    raw_log_field: body
    ingestion_labels:

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agenten unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector

  3. Logs auf Fehler prüfen:

    sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agent unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Services Console:
      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sc query observiq-otel-collector

  3. Logs auf Fehler prüfen:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für Fidelis Network konfigurieren

  1. Melden Sie sich in der Weboberfläche von Fidelis Network CommandPost an.
  2. Gehen Sie zu System > Exportieren > Syslog.
  3. Klicken Sie auf Syslog-Server hinzufügen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google-SecOps-Bindplane.
    • IP-Adresse/Hostname: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
    • Port: Geben Sie 514 ein.
    • Protokoll: Wählen Sie TCP aus.
    • Format: Wählen Sie je nach Ihren Parsing-Anforderungen CEF (Common Event Format) oder Syslog aus.
    • Facility: Wählen Sie LOCAL0 (oder Ihre bevorzugte Facility) aus.
    • Schweregrad: Wählen Sie Information (oder den gewünschten Schweregrad) aus.
  5. Wählen Sie im Bereich Benachrichtigungstypen die Ereignisse aus, die weitergeleitet werden sollen:
    • Benachrichtigungsereignisse
    • Malware-Ereignisse
    • DLP-Ereignisse
    • DNS-Ereignisse
    • Sitzungsereignisse
  6. Klicken Sie auf Speichern.
  7. Prüfen Sie in den Bindplane-Agent-Logs, ob Syslog-Nachrichten gesendet werden.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
aaction event.idm.read_only_udm.security_result.action_details Direkt zugeordnet, wenn nicht „none“ oder ein leerer String.
alert_threat_score event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_threat_score Direkt als Erkennungsfeld zugeordnet.
alert_type event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_type Direkt als Erkennungsfeld zugeordnet.
Antworten erhalten event.idm.read_only_udm.network.dns.answers[].data Direkt für DNS-Ereignisse zugeordnet.
application_user event.idm.read_only_udm.principal.user.userid Direkt zugeordnet.
asset_os event.idm.read_only_udm.target.platform Normalisiert auf WINDOWS, LINUX, MAC oder UNKNOWN_PLATFORM.
certificate.end_date event.idm.read_only_udm.network.tls.client.certificate.not_after Geparst und in Zeitstempel konvertiert.
certificate.extended_key_usage event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.extended_key_usage Als zusätzliches Feld zugeordnet.
certificate.issuer_name event.idm.read_only_udm.network.tls.server.certificate.issuer Direkt zugeordnet.
certificate.key_length event.idm.read_only_udm.additional.fields[].key: „Key Length“, event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_length Als zusätzliches Feld zugeordnet.
certificate.key_usage event.idm.read_only_udm.additional.fields[].key: „Key Usage“, event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_usage Als zusätzliches Feld zugeordnet.
certificate.start_date event.idm.read_only_udm.network.tls.client.certificate.not_before Geparsed und in einen Zeitstempel konvertiert.
certificate.subject_altname event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.subject_altname Als zusätzliches Feld zugeordnet.
certificate.subject_name event.idm.read_only_udm.network.tls.server.certificate.subject Direkt zugeordnet.
certificate.type event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.type Als zusätzliches Feld zugeordnet.
Chiffre event.idm.read_only_udm.network.tls.cipher Direkt zugeordnet.
client_asset_name event.idm.read_only_udm.principal.application Direkt zugeordnet.
client_asset_subnet event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of client_asset_subnet Als zusätzliches Feld zugeordnet.
client_ip event.idm.read_only_udm.principal.ip Direkt zugeordnet.
client_port event.idm.read_only_udm.principal.port Direkt zugeordnet und in Ganzzahl konvertiert.
ClientIP event.idm.read_only_udm.principal.ip Direkt zugeordnet.
ClientPort event.idm.read_only_udm.principal.port Direkt zugeordnet und in Ganzzahl konvertiert.
ClientCountry event.idm.read_only_udm.principal.location.country_or_region Direkt zugeordnet, wenn nicht „UNKNOWN“ oder leerer String.
ClientAssetID event.idm.read_only_udm.principal.asset_id Präfix „Asset:“, wenn nicht „0“ oder leerer String.
ClientAssetName event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetName Als primäres Ressourcenlabel zugeordnet.
ClientAssetRole event.idm.read_only_udm.principal.asset.attribute.roles[].name Direkt zugeordnet.
ClientAssetServices event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetServices", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetServices Als Hauptressourcenlabel zugeordnet.
Kunde event.idm.read_only_udm.principal.resource.attribute.labels[].key: "Client", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of Client Als primäres Ressourcenlabel zugeordnet.
Collector event.idm.read_only_udm.security_result.detection_fields[].key: "Collector", event.idm.read_only_udm.security_result.detection_fields[].value: value of Collector Als Erkennungsfeld zugeordnet.
Befehl event.idm.read_only_udm.network.http.method Direkt zugeordnet für HTTP-Ereignisse.
Befehl event.idm.read_only_udm.security_result.detection_fields[].key: "Command", event.idm.read_only_udm.security_result.detection_fields[].value: value of Command Als Erkennungsfeld zugeordnet.
Verbindung event.idm.read_only_udm.security_result.detection_fields[].key: „Connection“, event.idm.read_only_udm.security_result.detection_fields[].value: Wert von „Connection“ Als Erkennungsfeld zugeordnet.
DecodingPath event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: value of DecodingPath Als Erkennungsfeld zugeordnet.
dest_country event.idm.read_only_udm.target.location.country_or_region Direkt zugeordnet.
dest_domain event.idm.read_only_udm.target.hostname Direkt zugeordnet.
dest_ip event.idm.read_only_udm.target.ip Direkt zugeordnet.
dest_port event.idm.read_only_udm.target.port Direkt zugeordnet und in Ganzzahl konvertiert.
Richtung event.idm.read_only_udm.security_result.detection_fields[].key: "Direction", event.idm.read_only_udm.security_result.detection_fields[].value: value of Direction Als Erkennungsfeld zugeordnet.
dns.host event.idm.read_only_udm.network.dns.questions[].name Direkt für DNS-Ereignisse zugeordnet.
DomainName event.idm.read_only_udm.target.administrative_domain Direkt zugeordnet.
DomainAlexaRank event.idm.read_only_udm.security_result.detection_fields[].key: "DomainAlexaRank", event.idm.read_only_udm.security_result.detection_fields[].value: value of DomainAlexaRank Als Erkennungsfeld zugeordnet.
dport event.idm.read_only_udm.target.port Direkt zugeordnet und in Ganzzahl konvertiert.
dnsresolution.server_fqdn event.idm.read_only_udm.target.hostname Direkt zugeordnet.
Dauer event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: value of Duration Als Erkennungsfeld zugeordnet.
Verschlüsselt event.idm.read_only_udm.security_result.detection_fields[].key: "Encrypted", event.idm.read_only_udm.security_result.detection_fields[].value: value of Encrypted Als Erkennungsfeld zugeordnet.
Entropie event.idm.read_only_udm.security_result.detection_fields[].key: „Entropy“, event.idm.read_only_udm.security_result.detection_fields[].value: Wert von „Entropy“ Als Erkennungsfeld zugeordnet.
event.idm.read_only_udm.additional.fields event.idm.read_only_udm.additional.fields Enthält verschiedene zusätzliche Felder basierend auf der Parserlogik.
event.idm.read_only_udm.metadata.description event.idm.read_only_udm.metadata.description Direkt aus dem Zusammenfassungsfeld zugeordnet.
event.idm.read_only_udm.metadata.event_type event.idm.read_only_udm.metadata.event_type Wird anhand verschiedener Logfelder und Parserlogik ermittelt. Kann GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_HTTP, NETWORK_SMTP, NETWORK_DNS, STATUS_UPDATE oder NETWORK_FLOW sein.
event.idm.read_only_udm.metadata.log_type event.idm.read_only_udm.metadata.log_type Legen Sie diesen Wert auf „FIDELIS_NETWORK“ fest.
event.idm.read_only_udm.metadata.product_name event.idm.read_only_udm.metadata.product_name Legen Sie diesen Wert auf „FIDELIS_NETWORK“ fest.
event.idm.read_only_udm.metadata.vendor_name event.idm.read_only_udm.metadata.vendor_name Legen Sie diesen Wert auf „FIDELIS_NETWORK“ fest.
event.idm.read_only_udm.network.application_protocol event.idm.read_only_udm.network.application_protocol Wird anhand des Felds „server_port“ oder „protocol“ bestimmt. Kann HTTP, HTTPS, SMTP, SSH, RPC, DNS, NFS oder AOLMAIL sein.
event.idm.read_only_udm.network.direction event.idm.read_only_udm.network.direction Wird anhand des Richtungsfelds oder der Keywords in der Zusammenfassung bestimmt. Kann INBOUND oder OUTBOUND sein.
event.idm.read_only_udm.network.dns.answers event.idm.read_only_udm.network.dns.answers Wird für DNS-Ereignisse ausgefüllt.
event.idm.read_only_udm.network.dns.id event.idm.read_only_udm.network.dns.id Aus dem Zahlenfeld für DNS-Ereignisse zugeordnet.
event.idm.read_only_udm.network.dns.questions event.idm.read_only_udm.network.dns.questions Wird für DNS-Ereignisse ausgefüllt.
event.idm.read_only_udm.network.email.from event.idm.read_only_udm.network.email.from Wird direkt aus „Von“ zugeordnet, wenn es sich um eine gültige E‑Mail-Adresse handelt.
event.idm.read_only_udm.network.email.subject event.idm.read_only_udm.network.email.subject Direkt aus „Subject“ zugeordnet.
event.idm.read_only_udm.network.email.to event.idm.read_only_udm.network.email.to Direkt aus „An“ zugeordnet.
event.idm.read_only_udm.network.ftp.command event.idm.read_only_udm.network.ftp.command Direkt aus ftp.command zugeordnet.
event.idm.read_only_udm.network.http.method event.idm.read_only_udm.network.http.method Direkt aus http.command oder Command zugeordnet.
event.idm.read_only_udm.network.http.referral_url event.idm.read_only_udm.network.http.referral_url Direkt aus „Referer“ zugeordnet.
event.idm.read_only_udm.network.http.response_code event.idm.read_only_udm.network.http.response_code Direkt aus „http.status_code“ oder „StatusCode“ zugeordnet und in eine Ganzzahl konvertiert.
event.idm.read_only_udm.network.http.user_agent event.idm.read_only_udm.network.http.user_agent Direkt aus http.useragent oder UserAgent zugeordnet.
event.idm.read_only_udm.network.ip_protocol event.idm.read_only_udm.network.ip_protocol Direkt von „tproto“ abgeleitet, wenn es sich um TCP oder UDP handelt.
event.idm.read_only_udm.network.received_bytes event.idm.read_only_udm.network.received_bytes Umbenannt von „event1.server_packet_count“ und in eine vorzeichenlose Ganzzahl konvertiert.
event.idm.read_only_udm.network.sent_bytes event.idm.read_only_udm.network.sent_bytes Umbenannt von „event1.client_packet_count“ und in eine vorzeichenlose Ganzzahl konvertiert.
event.idm.read_only_udm.network.session_duration.seconds event.idm.read_only_udm.network.session_duration.seconds Umbenannt von event1.session_size und in Ganzzahl konvertiert.
event.idm.read_only_udm.network.session_id event.idm.read_only_udm.network.session_id Wird direkt aus event1.rel_sesid oder UserSessionID zugeordnet.
event.idm.read_only_udm.network.tls.client.certificate.issuer event.idm.read_only_udm.network.tls.client.certificate.issuer Direkt aus event1.certificate_issuer_name zugeordnet.
event.idm.read_only_udm.network.tls.client.certificate.not_after event.idm.read_only_udm.network.tls.client.certificate.not_after Aus event1.certificate_end_date geparst und in einen Zeitstempel konvertiert.
event.idm.read_only_udm.network.tls.client.certificate.not_before event.idm.read_only_udm.network.tls.client.certificate.not_before Aus event1.certificate_start_date geparst und in Zeitstempel konvertiert.
event.idm.read_only_udm.network.tls.client.certificate.subject event.idm.read_only_udm.network.tls.client.certificate.subject Direkt aus event1.certificate_subject_name zugeordnet.
event.idm.read_only_udm.network.tls.client.ja3 event.idm.read_only_udm.network.tls.client.ja3 Direkt aus „event1.ja3digest“ zugeordnet und in einen String konvertiert.
event.idm.read_only_udm.network.tls.cipher event.idm.read_only_udm.network.tls.cipher Direkt aus „event1.cipher“, „CipherSuite“, „cipher“ oder „event1.tls_ciphersuite“ zugeordnet.
event.idm.read_only_udm.network.tls.server.certificate.issuer event.idm.read_only_udm.network.tls.server.certificate.issuer Direkt aus certificate_issuer_name zugeordnet.
event.idm.read_only_udm.network.tls.server.certificate.subject event.idm.read_only_udm.network.tls.server.certificate.subject Direkt aus certificate_subject_name zugeordnet.
event.idm.read_only_udm.network.tls.server.ja3s event.idm.read_only_udm.network.tls.server.ja3s Direkt aus „event1.ja3sdigest“ zugeordnet und in einen String konvertiert.
event.idm.read_only_udm.network.tls.version event.idm.read_only_udm.network.tls.version Direkt aus event1.version zugeordnet.
event.idm.read_only_udm.principal.application event.idm.read_only_udm.principal.application Direkt aus event1.client_asset_name zugeordnet.
event.idm.read_only_udm.principal.asset.attribute.roles[].name event.idm.read_only_udm.principal.asset.attribute.roles[].name Direkt aus ClientAssetRole zugeordnet.
event.idm.read_only_udm.principal.asset_id event.idm.read_only_udm.principal.asset_id Direkt aus ClientAssetID oder ServerAssetID zugeordnet (mit dem Präfix „Asset:“).
event.idm.read_only_udm.principal.hostname event.idm.read_only_udm.principal.hostname Direkt aus event1.sld oder src_domain zugeordnet.
event.idm.read_only_udm.principal.ip event.idm.read_only_udm.principal.ip Direkt aus event1.src_ip6, client_ip oder ClientIP zugeordnet.
event.idm.read_only_udm.principal.location.country_or_region event.idm.read_only_udm.principal.location.country_or_region Wird direkt aus ClientCountry oder src_country zugeordnet, wenn nicht „UNKNOWN“ oder ein leerer String.
event.idm.read_only_udm.principal.port event.idm.read_only_udm.principal.port Direkt aus event1.sport oder client_port zugeordnet und in eine Ganzzahl konvertiert.
event.idm.read_only_udm.principal.resource.attribute.labels event.idm.read_only_udm.principal.resource.attribute.labels Enthält verschiedene Labels basierend auf der Parserlogik.
event.idm.read_only_udm.principal.user.userid event.idm.read_only_udm.principal.user.userid Direkt von ftp.user oder AppUser zugeordnet.
event.idm.read_only_udm.security_result.action event.idm.read_only_udm.security_result.action Wird anhand des Schweregrads bestimmt. Kann ALLOW, BLOCK oder UNKNOWN_ACTION sein.
event.idm.read_only_udm.security_result.action_details event.idm.read_only_udm.security_result.action_details Wird direkt aus „Aktion“ zugeordnet, wenn nicht „Keine“ oder ein leerer String angegeben ist.
event.idm.read_only_udm.security_result.category event.idm.read_only_udm.security_result.category Wird auf NETWORK_SUSPICIOUS gesetzt, wenn malware_type vorhanden ist.
event.idm.read_only_udm.security_result.detection_fields event.idm.read_only_udm.security_result.detection_fields Enthält verschiedene Erkennungsfelder, die auf der Parserlogik basieren.
event.idm.read_only_udm.security_result.rule_name event.idm.read_only_udm.security_result.rule_name Direkt aus rule_name zugeordnet.
event.idm.read_only_udm.security_result.severity event.idm.read_only_udm.security_result.severity Wird anhand des Schweregrads bestimmt. Kann INFORMATIONAL, MEDIUM, ERROR oder CRITICAL sein.
event.idm.read_only_udm.security_result.summary event.idm.read_only_udm.security_result.summary Direkt aus dem Label zugeordnet.
event.idm.read_only_udm.security_result.threat_name event.idm.read_only_udm.security_result.threat_name Direkt aus „malware_type“ zugeordnet oder aus der Zusammenfassung geparst, wenn sie „CVE-“ enthält.
event.idm.read_only_udm.target.administrative_domain event.idm.read_only_udm.target.administrative_domain Direkt aus DomainName zugeordnet.
event.idm.read_only_udm.target.asset.attribute.roles[].name event.idm.read_only_udm.target.asset.attribute.roles[].name Direkt aus ServerAssetRole zugeordnet.
event.idm.read_only_udm.target.file.full_path event.idm.read_only_udm.target.file.full_path Wird direkt aus ftp.filename oder Filename zugeordnet.
event.idm.read_only_udm.target.file.md5 event.idm.read_only_udm.target.file.md5 Direkt aus event1.md5 oder md5 zugeordnet.
event.idm.read_only_udm.target.file.mime_type event.idm.read_only_udm.target.file.mime_type Direkt zugeordnet von event1.filetype.
event.idm.read_only_udm.target.file.sha1 event.idm.read_only_udm.target.file.sha1 Direkt aus event1.srvcerthash zugeordnet.
event.idm.read_only_udm.target.file.sha256 event.idm.read_only_udm.target.file.sha256 Direkt aus „event1.sha256“ oder „sha256“ zugeordnet.
event.idm.read_only_udm.target.file.size event.idm.read_only_udm.target.file.size Wurde von „event1.filesize“ umbenannt und in eine vorzeichenlose Ganzzahl konvertiert, wenn der Wert nicht 0 ist.
event.idm.read_only_udm.target.hostname event.idm.read_only_udm.target.hostname Direkt aus event1.sni, dest_domain oder Host zugeordnet.
event.idm.read_only_udm.target.ip event.idm.read_only_udm.target.ip Direkt aus event1.dst_ip6 oder server_ip oder ServerIP zugeordnet.
event.idm.read_only_udm.target.location.country_or_region event.idm.read_only_udm.target.location.country_or_region Direkt aus „dest_country“ oder „ServerCountry“ zugeordnet.
event.idm.read_only_udm.target.platform event.idm.read_only_udm.target.platform Wird nach der Normalisierung aus „asset_os“ abgeleitet.
event.idm.read_only_udm.target.platform_version event.idm.read_only_udm.target.platform_version Direkt aus os_version zugeordnet.
event.idm.read_only_udm.target.port event.idm.read_only_udm.target.port Wird direkt aus event1.dport oder server_port zugeordnet und in eine Ganzzahl konvertiert.
event.idm.read_only_udm.target.resource.attribute.labels event.idm.read_only_udm.target.resource.attribute.labels Enthält verschiedene Labels basierend auf der Parserlogik.
event.idm.read_only_udm.target.url event.idm.read_only_udm.target.url Direkt aus „url“ oder „URL“ zugeordnet.
event.idm.read_only_udm.target.user.product_object_id event.idm.read_only_udm.target.user.product_object_id Direkt aus UUID zugeordnet.
event1.certificate_end_date event.idm.read_only_udm.network.tls.client.certificate.not_after Geparst und in Zeitstempel konvertiert.
event1.certificate_extended_key_usage event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_extended_key_usage Als zusätzliches Feld zugeordnet.
event1.certificate_issuer_name event.idm.read_only_udm.network.tls.client.certificate.issuer Direkt zugeordnet.
event1.certificate_key_length event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_length Als zusätzliches Feld zugeordnet.
event1.certificate_key_usage event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_usage Als zusätzliches Feld zugeordnet.
event1.certificate_start_date event.idm.read_only_udm.network.tls.client.certificate.not_before Geparst und in Zeitstempel konvertiert.
event1.certificate_subject_altname event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_subject_altname Als zusätzliches Feld zugeordnet.
event1.certificate_subject_name event.idm.read_only_udm.network.tls.client.certificate.subject Direkt zugeordnet.
event1.client_asset_name event.idm.read_only_udm.principal.application Direkt zugeordnet.
event1.client_asset_subnet event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.client_asset_subnet Als zusätzliches Feld zugeordnet.
event1.client_packet_count event.idm.read_only_udm.network.sent_bytes In eine Ganzzahl ohne Vorzeichen konvertiert und umbenannt.
event1.cipher event.idm.read_only_udm.network.tls.cipher Direkt zugeordnet.
event1.direction event.idm.read_only_udm.network.direction Wird bei „s2c“ auf EINWÄRTS oder bei „c2s“ auf AUSWÄRTS zugeordnet.
event1.dport event.idm.read_only_udm.target.port Der Wert von event1.dport aus dem Rohlog wird in eine Ganzzahl konvertiert und dem Feld target.port zugeordnet.
event1.dst_ip6 event.idm.read_only_udm.target.ip Der Wert von event1.dst_ip6 aus dem Rohlog wird dem Feld target.ip zugeordnet.
event1.filetype event.idm.read_only_udm.target.file.mime_type Der Wert von event1.filetype aus dem Rohlog wird dem Feld target.file.mime_type zugeordnet.
event1.filesize event.idm.read_only_udm.target.file.size Der Wert von event1.filesize aus dem Rohlog wird in eine vorzeichenlose Ganzzahl konvertiert und dem Feld target.file.size zugeordnet, wenn er nicht 0 ist.
event1.ja3digest event.idm.read_only_udm.network.tls.client.ja3 Der Wert von event1.ja3digest aus dem Rohlog wird in einen String konvertiert und dem Feld network.tls.client.ja3 zugeordnet.
event1.ja3sdigest event.idm.read_only_udm.network.tls.server.ja3s Der Wert von event1.ja3sdigest aus dem Rohlog wird in einen String konvertiert und dem Feld network.tls.server.ja3s zugeordnet.
event1.md5 event.idm.read_only_udm.target.file.md5 Der Wert von event1.md5 aus dem Rohlog wird dem Feld target.file.md5 zugeordnet.
event1.rel_sesid event.idm.read_only_udm.network.session_id Der Wert von event1.rel_sesid aus dem Rohlog wird dem Feld network.session_id zugeordnet.
event1.server_packet_count event.idm.read_only_udm.network.received_bytes Der Wert von event1.server_packet_count aus dem Rohlog wird in eine vorzeichenlose Ganzzahl konvertiert und dem Feld network.received_bytes zugeordnet.
event1.session_size event.idm.read_only_udm.network.session_duration.seconds Der Wert von event1.session_size aus dem Rohlog wird in eine Ganzzahl umgewandelt und dem Feld network.session_duration.seconds zugeordnet.
event1.sha256 event.idm.read_only_udm.target.file.sha256 Der Wert von event1.sha256 aus dem Rohlog wird dem Feld target.file.sha256 zugeordnet.
event1.sld event.idm.read_only_udm.principal.hostname Der Wert von event1.sld aus dem Rohlog wird dem Feld principal.hostname zugeordnet.
event1.sni event.idm.read_only_udm.target.hostname Der Wert von event1.sni aus dem Rohlog wird dem Feld target.hostname zugeordnet.
event1.sport event.idm.read_only_udm.principal.port Der Wert von event1.sport aus dem Rohlog wird in eine Ganzzahl konvertiert und dem Feld principal.port zugeordnet.
event1.src_ip6 event.idm.read_only_udm.principal.ip Der Wert von event1.src_ip6 aus dem Rohlog wird dem Feld principal.ip zugeordnet.
event1.srvcerthash event.idm.read_only_udm.target.file.sha1 Der Wert von event1.srvcerthash aus dem Rohlog wird dem Feld target.file.sha1 zugeordnet.
event1.tls_ciphersuite event.idm.read_only_udm.network.tls.cipher Der Wert von event1.tls_ciphersuite aus dem Rohlog wird dem Feld network.tls.cipher zugeordnet.
event1.version event.idm.read_only_udm.network.tls.version Der Wert von event1.version aus dem Rohlog wird dem Feld network.tls.version zugeordnet.
Dateiname event.idm.read_only_udm.target.file.full_path Der Wert von Filename aus dem Rohlog wird dem Feld target.file.full_path zugeordnet.
Von event.idm.read_only_udm.network.email.from Der Wert von From aus dem Rohlog wird dem Feld network.email.from zugeordnet, sofern es sich um eine gültige E-Mail-Adresse handelt.
ftp.command event.idm.read_only_udm.network.ftp.command Der Wert von ftp.command aus dem Rohlog wird dem Feld network.ftp.command zugeordnet.
ftp.filename event.idm.read_only_udm.target.file.full_path Der Wert von ftp.filename aus dem Rohlog wird dem Feld target.file.full_path zugeordnet.
ftp.user event.idm.read_only_udm.principal.user.userid Der Wert von ftp.user aus dem Rohlog wird dem Feld principal.user.userid zugeordnet.
Host event.idm.read_only_udm.target.hostname Der Wert von Host aus dem Rohlog wird dem Feld target.hostname zugeordnet.
http.command event.idm.read_only_udm.network.http.method Der Wert von http.command aus dem Rohlog wird dem Feld network.http.method zugeordnet.
http.status_code event.idm.read_only_udm.network.http.response_code Der Wert von http.status_code aus dem Rohlog wird in eine Ganzzahl konvertiert und dem Feld network.http.response_code zugeordnet.
http.useragent event.idm.read_only_udm.network.http.user_agent Der Wert von http.useragent aus dem Rohlog wird dem Feld network.http.user_agent zugeordnet.
Label event.idm.read_only_udm.security_result.summary Der Wert von label aus dem Rohlog wird dem Feld security_result.summary zugeordnet.
malware_type event.idm.read_only_udm.security_result.threat_name Der Wert von malware_type aus dem Rohlog wird dem Feld security_result.threat_name zugeordnet.
md5 event.idm.read_only_udm.target.file.md5 Der Wert von md5 aus dem Rohlog wird dem Feld target.file.md5 zugeordnet.
Zahl event.idm.read_only_udm.network.dns.id Der Wert von number aus dem Rohlog wird dem Feld network.dns.id für DNS-Ereignisse zugeordnet.
os_version event.idm.read_only_udm.target.platform_version Der Wert von os_version aus dem Rohlog wird dem Feld target.platform_version zugeordnet.
Verwiesen von: event.idm.read_only_udm.network.http.referral_url Der Wert von Referer aus dem Rohlog wird dem Feld network.http.referral_url zugeordnet.
rule_name event.idm.read_only_udm.security_result.rule_name Der Wert von rule_name aus dem Rohlog wird dem Feld security_result.rule_name zugeordnet.
server_ip event.idm.read_only_udm.target.ip Der Wert von server_ip aus dem Rohlog wird dem Feld target.ip zugeordnet.
server_port event.idm.read_only_udm.target.port Der Wert von server_port aus dem Rohlog wird in eine Ganzzahl umgewandelt und dem Feld target.port zugeordnet.
ServerAssetID event.idm.read_only_udm.principal.asset_id Der Wert von ServerAssetID aus dem Rohlog hat das Präfix „Asset:“ und wird dem Feld principal.asset_id zugeordnet, sofern er nicht „0“ oder leer ist.
ServerAssetRole event.idm.read_only_udm.target.asset.attribute.roles[].name Der Wert von ServerAssetRole aus dem Rohlog wird dem Feld target.asset.attribute.roles[].name zugeordnet.
ServerCountry event.idm.read_only_udm.target.location.country_or_region Der Wert von ServerCountry aus dem Rohlog wird dem Feld target.location.country_or_region zugeordnet.
ServerIP event.idm.read_only_udm.target.ip Der Wert von ServerIP aus dem Rohlog wird dem Feld target.ip zugeordnet.
sha256 event.idm.read_only_udm.target.file.sha256 Der Wert von sha256 aus dem Rohlog wird dem Feld target.file.sha256 zugeordnet.
src_country event.idm.read_only_udm.principal.location.country_or_region Der Wert von src_country aus dem Rohlog wird dem Feld principal.location.country_or_region zugeordnet, wenn er nicht „UNKNOWN“ oder leer ist.
src_domain event.idm.read_only_udm.principal.hostname Der Wert von src_domain aus dem Rohlog wird dem Feld principal.hostname zugeordnet.
StatusCode event.idm.read_only_udm.network.http.response_code Der Wert von StatusCode aus dem Rohlog wird in eine Ganzzahl konvertiert und dem Feld network.http.response_code zugeordnet.
Betreff event.idm.read_only_udm.network.email.subject Der Wert von Subject aus dem Rohlog wird dem Feld network.email.subject zugeordnet.
Zusammenfassung event.idm.read_only_udm.metadata.description Der Wert von summary aus dem Rohlog wird dem Feld metadata.description zugeordnet.
An event.idm.read_only_udm.network.email.to Der Wert von To aus dem Rohlog wird dem Feld network.email.to zugeordnet.
tproto event.idm.read_only_udm.network.ip_protocol Der Wert von tproto aus dem Rohlog wird dem Feld network.ip_protocol zugeordnet, wenn es sich um TCP oder UDP handelt.
URL event.idm.read_only_udm.target.url Der Wert von url aus dem Rohlog wird dem Feld target.url zugeordnet.
URL event.idm.read_only_udm.target.url Der Wert von URL aus dem Rohlog wird dem Feld target.url zugeordnet.
User-Agent event.idm.read_only_udm.network.http.user_agent Der Wert von UserAgent aus dem Rohlog wird dem Feld network.http.user_agent zugeordnet.
UserSessionID event.idm.read_only_udm.network.session_id Der Wert von UserSessionID aus dem Rohlog wird dem Feld network.session_id zugeordnet.
uuid event.idm.read_only_udm.target.user.product_object_id Der Wert von uuid aus dem Rohlog wird dem Feld target.user.product_object_id zugeordnet.
– event.idm.read_only_udm.metadata.log_type Legen Sie diesen Wert auf „FIDELIS_NETWORK“ fest.
– event.idm.read_only_udm.metadata.product_name Legen Sie diesen Wert auf „FIDELIS_NETWORK“ fest.
– event.idm.read_only_udm.metadata.vendor_name Legen Sie diesen Wert auf „FIDELIS_NETWORK“ fest.
msg event.idm.read_only_udm.metadata.description Aus Änderungsprotokoll zugeordnet
suser event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
event1.tproto network.ip_protocol Aus Änderungsprotokoll zugeordnet
event1.server_asset_subnet read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
event1.sha1hash read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
event1.type read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
event1.histbuf read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
event1.sen_name read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score security_result.detection_fields Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten