Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux réseau Fidelis

Version de l'analyseur : 8.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Fidelis Network dans Google Security Operations à l'aide de Bindplane.

Fidelis Network est une solution de détection et de réponse réseau (NDR) qui fournit une inspection approfondie du contenu, une analyse au niveau de la session et une réponse automatisée aux menaces. Il surveille le trafic réseau en temps réel pour détecter les menaces avancées, les tentatives d'exfiltration de données et les cas de non-respect des règles sur l'ensemble des ports et des protocoles. L'analyseur extrait les champs des journaux au format syslog Fidelis Network à l'aide de modèles KV et JSON. Il mappe ensuite ces valeurs au modèle de données unifié (UDM). Il définit également des valeurs de métadonnées par défaut pour la source et le type d'événement.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Une instance Google SecOps
Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
Accès privilégié à l'interface Web Fidelis Network CommandPost

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

Nouveaux déploiements : utilisez l'API Chronicle (option 1).
Déploiements existants : continuez à utiliser le fichier d'authentification pour l'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
Accédez à IAM et administration > Comptes de service.
Cliquez sur Créer un compte de service.
Fournissez les informations de configuration suivantes :
- Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
- Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
Cliquez sur Créer et continuer.
Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
Cliquez sur Continue (Continuer), puis sur Done (OK).
Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
Cliquez sur Ajouter une clé > Créer une clé.
Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Remarque : Le numéro client est requis pour configurer l'exportateur de l'agent BindPlane.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```

Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

Ouvrez un terminal avec des droits d'accès racine ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```

Le service doit s'afficher comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux :

sudo nano /opt/observiq-otel-collector/config.yaml

Windows :

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'FIDELIS_NETWORK'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- tcplog : utilisez udplog pour syslog UDP ou tcplog pour syslog TCP.
- 0.0.0.0 : adresse IP à écouter (0.0.0.0 pour écouter sur toutes les interfaces)
- 514 : numéro de port à écouter (port syslog standard)
Configuration de l'exportateur :
- creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
  - Linux : /opt/observiq-otel-collector/ingestion-auth.json
  - Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- YOUR_CUSTOMER_ID : ID client de la section "Obtenir l'ID client"
- location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
- project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.
- endpoint : laissez la valeur définie sur chronicle.googleapis.com.
- log_type : type de journal tel qu'il apparaît dans Chronicle (FIDELIS_NETWORK)

Ancien exportateur d'API d'ingestion

Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'FIDELIS_NETWORK'
    raw_log_field: body
    ingestion_labels:
```

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le :
- Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
- Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent Bindplane sous Linux :

Exécutez la commande suivante :

sudo systemctl restart observiq-otel-collector

Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

Choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Recherchez observIQ OpenTelemetry Collector.
  3. Effectuez un clic droit, puis sélectionnez Redémarrer.
Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog Fidelis Network

Connectez-vous à l'interface Web CommandPost de Fidelis Network.
Accédez à Système> Exporter> Syslog.
Cliquez sur Ajouter un serveur Syslog.
Fournissez les informations de configuration suivantes :
- Nom : saisissez un nom descriptif (par exemple, Google-SecOps-Bindplane).
- Adresse IP/Nom d'hôte : saisissez l'adresse IP de l'hôte de l'agent Bindplane.
- Port : saisissez 514.
- Protocole : sélectionnez TCP.
- Format : sélectionnez CEF (Common Event Format) ou Syslog en fonction de vos exigences d'analyse.
- Facility (Fonction) : sélectionnez LOCAL0 (ou la fonction de votre choix).
- Gravité : sélectionnez Informations (ou le niveau de gravité de votre choix).
Dans la section Types d'alertes, sélectionnez les événements à transférer :
- Événements d'alerte
- Événements de logiciel malveillant
- Événements de protection contre la perte de données
- Événements DNS
- Événements de session
Cliquez sur Enregistrer.
Vérifiez que les messages syslog sont envoyés en consultant les journaux de l'agent BindPlane.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
aaction	event.idm.read_only_udm.security_result.action_details	Mappé directement s'il ne s'agit pas de "none" ou d'une chaîne vide.
alert_threat_score	event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de alert_threat_score	Mappé directement en tant que champ de détection.
alert_type	event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de alert_type	Mappé directement en tant que champ de détection.
answers	event.idm.read_only_udm.network.dns.answers[].data	Mappé directement pour les événements DNS.
application_user	event.idm.read_only_udm.principal.user.userid	Mappage direct.
asset_os	event.idm.read_only_udm.target.platform	Normalisé sur WINDOWS, LINUX, MAC ou UNKNOWN_PLATFORM.
certificate.end_date	event.idm.read_only_udm.network.tls.client.certificate.not_after	Analysé et converti en code temporel.
certificate.extended_key_usage	event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.extended_key_usage	Mappé en tant que champ supplémentaire.
certificate.issuer_name	event.idm.read_only_udm.network.tls.server.certificate.issuer	Mappé directement.
certificate.key_length	event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_length	Mappé en tant que champ supplémentaire.
certificate.key_usage	event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_usage	Mappé en tant que champ supplémentaire.
certificate.start_date	event.idm.read_only_udm.network.tls.client.certificate.not_before	Analysé et converti en code temporel.
certificate.subject_altname	event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.subject_altname	Mappé en tant que champ supplémentaire.
certificate.subject_name	event.idm.read_only_udm.network.tls.server.certificate.subject	Mappé directement.
certificate.type	event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.type	Mappé en tant que champ supplémentaire.
algorithme de chiffrement	event.idm.read_only_udm.network.tls.cipher	Mappage direct.
client_asset_name	event.idm.read_only_udm.principal.application	Mappage direct.
client_asset_subnet	event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of client_asset_subnet	Mappé en tant que champ supplémentaire.
client_ip	event.idm.read_only_udm.principal.ip	Mappage direct.
client_port	event.idm.read_only_udm.principal.port	Directement mappé et converti en entier.
ClientIP	event.idm.read_only_udm.principal.ip	Mappage direct.
ClientPort	event.idm.read_only_udm.principal.port	Mappé directement et converti en entier.
ClientCountry	event.idm.read_only_udm.principal.location.country_or_region	Mappé directement s'il ne s'agit pas de "UNKNOWN" ou d'une chaîne vide.
ClientAssetID	event.idm.read_only_udm.principal.asset_id	Préfixé par "Asset:" si la valeur n'est pas "0" ou une chaîne vide.
ClientAssetName	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetName	Mappé en tant qu'étiquette de ressource principale.
ClientAssetRole	event.idm.read_only_udm.principal.asset.attribute.roles[].name	Mappage direct.
ClientAssetServices	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetServices", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetServices	Mappé en tant que libellé de ressource principal.
Client	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "Client", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of Client	Mappé en tant que libellé de ressource principal.
Collecteur	event.idm.read_only_udm.security_result.detection_fields[].key: "Collector", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de Collector	Mappé en tant que champ de détection.
commande	event.idm.read_only_udm.network.http.method	Mappé directement pour les événements HTTP.
Commande	event.idm.read_only_udm.security_result.detection_fields[].key: "Command", event.idm.read_only_udm.security_result.detection_fields[].value: value of Command	Mappé en tant que champ de détection.
Connexion	event.idm.read_only_udm.security_result.detection_fields[].key: "Connection", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de Connection	Mappé en tant que champ de détection.
DecodingPath	event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de DecodingPath	Mappé en tant que champ de détection.
dest_country	event.idm.read_only_udm.target.location.country_or_region	Mappage direct.
dest_domain	event.idm.read_only_udm.target.hostname	Mappé directement.
dest_ip	event.idm.read_only_udm.target.ip	Mappage direct.
dest_port	event.idm.read_only_udm.target.port	Mappé directement et converti en entier.
Direction	event.idm.read_only_udm.security_result.detection_fields[].key: "Direction", event.idm.read_only_udm.security_result.detection_fields[].value: value of Direction	Mappé en tant que champ de détection.
dns.host	event.idm.read_only_udm.network.dns.questions[].name	Mappé directement pour les événements DNS.
DomainName	event.idm.read_only_udm.target.administrative_domain	Mappage direct.
DomainAlexaRank	event.idm.read_only_udm.security_result.detection_fields[].key: "DomainAlexaRank", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de DomainAlexaRank	Mappé en tant que champ de détection.
dport	event.idm.read_only_udm.target.port	Mappé directement et converti en entier.
dnsresolution.server_fqdn	event.idm.read_only_udm.target.hostname	Mappé directement.
Durée	event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de Duration	Mappé en tant que champ de détection.
Chiffré	event.idm.read_only_udm.security_result.detection_fields[].key: "Encrypted", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de Encrypted	Mappé en tant que champ de détection.
Entropie	event.idm.read_only_udm.security_result.detection_fields[].key: "Entropy", event.idm.read_only_udm.security_result.detection_fields[].value: value of Entropy	Mappé en tant que champ de détection.
event.idm.read_only_udm.additional.fields	event.idm.read_only_udm.additional.fields	Contient divers champs supplémentaires basés sur la logique de l'analyseur.
event.idm.read_only_udm.metadata.description	event.idm.read_only_udm.metadata.description	Mappé directement à partir du champ "Résumé".
event.idm.read_only_udm.metadata.event_type	event.idm.read_only_udm.metadata.event_type	Déterminé en fonction de divers champs de journaux et de la logique de l'analyseur. Il peut s'agir de GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_HTTP, NETWORK_SMTP, NETWORK_DNS, STATUS_UPDATE ou NETWORK_FLOW.
event.idm.read_only_udm.metadata.log_type	event.idm.read_only_udm.metadata.log_type	Défini sur "FIDELIS_NETWORK".
event.idm.read_only_udm.metadata.product_name	event.idm.read_only_udm.metadata.product_name	Défini sur "FIDELIS_NETWORK".
event.idm.read_only_udm.metadata.vendor_name	event.idm.read_only_udm.metadata.vendor_name	Défini sur "FIDELIS_NETWORK".
event.idm.read_only_udm.network.application_protocol	event.idm.read_only_udm.network.application_protocol	Déterminé en fonction du champ "server_port" ou "protocol". Il peut s'agir de HTTP, HTTPS, SMTP, SSH, RPC, DNS, NFS ou AOLMAIL.
event.idm.read_only_udm.network.direction	event.idm.read_only_udm.network.direction	Déterminé en fonction du champ de direction ou des mots clés du résumé. Il peut s'agir de "INBOUND" ou de "OUTBOUND".
event.idm.read_only_udm.network.dns.answers	event.idm.read_only_udm.network.dns.answers	Valeur renseignée pour les événements DNS.
event.idm.read_only_udm.network.dns.id	event.idm.read_only_udm.network.dns.id	Mappé à partir du champ de nombre pour les événements DNS.
event.idm.read_only_udm.network.dns.questions	event.idm.read_only_udm.network.dns.questions	Valeur renseignée pour les événements DNS.
event.idm.read_only_udm.network.email.from	event.idm.read_only_udm.network.email.from	Mappé directement à partir du champ "De" s'il s'agit d'une adresse e-mail valide.
event.idm.read_only_udm.network.email.subject	event.idm.read_only_udm.network.email.subject	Mappé directement à partir de "Subject".
event.idm.read_only_udm.network.email.to	event.idm.read_only_udm.network.email.to	Mappé directement à partir de "À".
event.idm.read_only_udm.network.ftp.command	event.idm.read_only_udm.network.ftp.command	Mappé directement à partir de ftp.command.
event.idm.read_only_udm.network.http.method	event.idm.read_only_udm.network.http.method	Mappé directement à partir de http.command ou Command.
event.idm.read_only_udm.network.http.referral_url	event.idm.read_only_udm.network.http.referral_url	Mappé directement à partir de l'en-tête Referer.
event.idm.read_only_udm.network.http.response_code	event.idm.read_only_udm.network.http.response_code	Mappé directement à partir de http.status_code ou StatusCode, et converti en entier.
event.idm.read_only_udm.network.http.user_agent	event.idm.read_only_udm.network.http.user_agent	Mappé directement à partir de http.useragent ou UserAgent.
event.idm.read_only_udm.network.ip_protocol	event.idm.read_only_udm.network.ip_protocol	Mappé directement à partir de tproto s'il s'agit de TCP ou UDP.
event.idm.read_only_udm.network.received_bytes	event.idm.read_only_udm.network.received_bytes	Renommée à partir de event1.server_packet_count et convertie en entier non signé.
event.idm.read_only_udm.network.sent_bytes	event.idm.read_only_udm.network.sent_bytes	Renommé à partir de event1.client_packet_count et converti en entier non signé.
event.idm.read_only_udm.network.session_duration.seconds	event.idm.read_only_udm.network.session_duration.seconds	Renommée "event1.session_size" et convertie en nombre entier.
event.idm.read_only_udm.network.session_id	event.idm.read_only_udm.network.session_id	Mappé directement à partir de event1.rel_sesid ou UserSessionID.
event.idm.read_only_udm.network.tls.client.certificate.issuer	event.idm.read_only_udm.network.tls.client.certificate.issuer	Mappé directement à partir de event1.certificate_issuer_name.
event.idm.read_only_udm.network.tls.client.certificate.not_after	event.idm.read_only_udm.network.tls.client.certificate.not_after	Analysé à partir de event1.certificate_end_date et converti en code temporel.
event.idm.read_only_udm.network.tls.client.certificate.not_before	event.idm.read_only_udm.network.tls.client.certificate.not_before	Analysé à partir de event1.certificate_start_date et converti en code temporel.
event.idm.read_only_udm.network.tls.client.certificate.subject	event.idm.read_only_udm.network.tls.client.certificate.subject	Mappé directement à partir de event1.certificate_subject_name.
event.idm.read_only_udm.network.tls.client.ja3	event.idm.read_only_udm.network.tls.client.ja3	Mappé directement à partir de event1.ja3digest et converti en chaîne.
event.idm.read_only_udm.network.tls.cipher	event.idm.read_only_udm.network.tls.cipher	Mappé directement à partir de event1.cipher, CipherSuite, cipher ou event1.tls_ciphersuite.
event.idm.read_only_udm.network.tls.server.certificate.issuer	event.idm.read_only_udm.network.tls.server.certificate.issuer	Mappé directement à partir de certificate_issuer_name.
event.idm.read_only_udm.network.tls.server.certificate.subject	event.idm.read_only_udm.network.tls.server.certificate.subject	Mappé directement à partir de certificate_subject_name.
event.idm.read_only_udm.network.tls.server.ja3s	event.idm.read_only_udm.network.tls.server.ja3s	Mappé directement à partir de event1.ja3sdigest et converti en chaîne.
event.idm.read_only_udm.network.tls.version	event.idm.read_only_udm.network.tls.version	Directement mappé à partir de event1.version.
event.idm.read_only_udm.principal.application	event.idm.read_only_udm.principal.application	Mappé directement à partir de event1.client_asset_name.
event.idm.read_only_udm.principal.asset.attribute.roles[].name	event.idm.read_only_udm.principal.asset.attribute.roles[].name	Directement mappé à partir de ClientAssetRole.
event.idm.read_only_udm.principal.asset_id	event.idm.read_only_udm.principal.asset_id	Mappé directement à partir de ClientAssetID ou ServerAssetID (avec le préfixe "Asset:").
event.idm.read_only_udm.principal.hostname	event.idm.read_only_udm.principal.hostname	Directement mappé à partir de event1.sld ou src_domain.
event.idm.read_only_udm.principal.ip	event.idm.read_only_udm.principal.ip	Mappé directement à partir de event1.src_ip6, client_ip ou ClientIP.
event.idm.read_only_udm.principal.location.country_or_region	event.idm.read_only_udm.principal.location.country_or_region	Mappé directement à partir de ClientCountry ou src_country s'il ne s'agit pas de "UNKNOWN" ou d'une chaîne vide.
event.idm.read_only_udm.principal.port	event.idm.read_only_udm.principal.port	Mappé directement à partir de event1.sport ou client_port, et converti en entier.
event.idm.read_only_udm.principal.resource.attribute.labels	event.idm.read_only_udm.principal.resource.attribute.labels	Contient différentes étiquettes basées sur la logique de l'analyseur.
event.idm.read_only_udm.principal.user.userid	event.idm.read_only_udm.principal.user.userid	Mappé directement à partir de ftp.user ou AppUser.
event.idm.read_only_udm.security_result.action	event.idm.read_only_udm.security_result.action	Déterminé en fonction de la gravité. Peut être ALLOW, BLOCK ou UNKNOWN_ACTION.
event.idm.read_only_udm.security_result.action_details	event.idm.read_only_udm.security_result.action_details	Mappé directement à partir de l'action si la valeur n'est pas "none" ou une chaîne vide.
event.idm.read_only_udm.security_result.category	event.idm.read_only_udm.security_result.category	Définissez sur NETWORK_SUSPICIOUS si malware_type est présent.
event.idm.read_only_udm.security_result.detection_fields	event.idm.read_only_udm.security_result.detection_fields	Contient différents champs de détection basés sur la logique de l'analyseur.
event.idm.read_only_udm.security_result.rule_name	event.idm.read_only_udm.security_result.rule_name	Mappé directement à partir de rule_name.
event.idm.read_only_udm.security_result.severity	event.idm.read_only_udm.security_result.severity	Déterminé en fonction de la gravité. Peut être INFORMATIONAL, MEDIUM, ERROR ou CRITICAL.
event.idm.read_only_udm.security_result.summary	event.idm.read_only_udm.security_result.summary	Mappé directement à partir du libellé.
event.idm.read_only_udm.security_result.threat_name	event.idm.read_only_udm.security_result.threat_name	Mappé directement à partir de malware_type ou analysé à partir du résumé s'il contient "CVE-".
event.idm.read_only_udm.target.administrative_domain	event.idm.read_only_udm.target.administrative_domain	Mappé directement à partir de DomainName.
event.idm.read_only_udm.target.asset.attribute.roles[].name	event.idm.read_only_udm.target.asset.attribute.roles[].name	Mappé directement à partir de ServerAssetRole.
event.idm.read_only_udm.target.file.full_path	event.idm.read_only_udm.target.file.full_path	Mappé directement à partir de ftp.filename ou Filename.
event.idm.read_only_udm.target.file.md5	event.idm.read_only_udm.target.file.md5	Mappé directement à partir de event1.md5 ou md5.
event.idm.read_only_udm.target.file.mime_type	event.idm.read_only_udm.target.file.mime_type	Mappé directement à partir de event1.filetype.
event.idm.read_only_udm.target.file.sha1	event.idm.read_only_udm.target.file.sha1	Mappé directement à partir de event1.srvcerthash.
event.idm.read_only_udm.target.file.sha256	event.idm.read_only_udm.target.file.sha256	Mappé directement à partir de event1.sha256 ou sha256.
event.idm.read_only_udm.target.file.size	event.idm.read_only_udm.target.file.size	Renommé à partir de event1.filesize et converti en entier non signé s'il n'est pas égal à 0.
event.idm.read_only_udm.target.hostname	event.idm.read_only_udm.target.hostname	Mappé directement à partir de event1.sni, dest_domain ou Host.
event.idm.read_only_udm.target.ip	event.idm.read_only_udm.target.ip	Mappé directement à partir de event1.dst_ip6, server_ip ou ServerIP.
event.idm.read_only_udm.target.location.country_or_region	event.idm.read_only_udm.target.location.country_or_region	Directement mappé à partir de dest_country ou ServerCountry.
event.idm.read_only_udm.target.platform	event.idm.read_only_udm.target.platform	Mappé à partir de asset_os après normalisation.
event.idm.read_only_udm.target.platform_version	event.idm.read_only_udm.target.platform_version	Directement mappé à partir de os_version.
event.idm.read_only_udm.target.port	event.idm.read_only_udm.target.port	Directement mappé à partir de event1.dport ou server_port et converti en entier.
event.idm.read_only_udm.target.resource.attribute.labels	event.idm.read_only_udm.target.resource.attribute.labels	Contient différents libellés basés sur la logique de l'analyseur.
event.idm.read_only_udm.target.url	event.idm.read_only_udm.target.url	Mappé directement à partir de "url" ou "URL".
event.idm.read_only_udm.target.user.product_object_id	event.idm.read_only_udm.target.user.product_object_id	Mappé directement à partir de l'UUID.
event1.certificate_end_date	event.idm.read_only_udm.network.tls.client.certificate.not_after	Analysé et converti en code temporel.
event1.certificate_extended_key_usage	event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: valeur de event1.certificate_extended_key_usage	Mappé en tant que champ supplémentaire.
event1.certificate_issuer_name	event.idm.read_only_udm.network.tls.client.certificate.issuer	Mappage direct.
event1.certificate_key_length	event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: valeur de event1.certificate_key_length	Mappé en tant que champ supplémentaire.
event1.certificate_key_usage	event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: valeur de event1.certificate_key_usage	Mappé en tant que champ supplémentaire.
event1.certificate_start_date	event.idm.read_only_udm.network.tls.client.certificate.not_before	Analysé et converti en code temporel.
event1.certificate_subject_altname	event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: valeur de event1.certificate_subject_altname	Mappé en tant que champ supplémentaire.
event1.certificate_subject_name	event.idm.read_only_udm.network.tls.client.certificate.subject	Mappage direct.
event1.client_asset_name	event.idm.read_only_udm.principal.application	Mappage direct.
event1.client_asset_subnet	event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: valeur de event1.client_asset_subnet	Mappé en tant que champ supplémentaire.
event1.client_packet_count	event.idm.read_only_udm.network.sent_bytes	Converti en entier non signé et renommé.
event1.cipher	event.idm.read_only_udm.network.tls.cipher	Mappage direct.
event1.direction	event.idm.read_only_udm.network.direction	Mappé sur ENTRANT si "s2c" ou SORTANT si "c2s".
event1.dport	event.idm.read_only_udm.target.port	La valeur de `event1.dport` du journal brut est convertie en entier et mappée au champ `target.port`.
event1.dst_ip6	event.idm.read_only_udm.target.ip	La valeur de `event1.dst_ip6` du journal brut est mappée au champ `target.ip`.
event1.filetype	event.idm.read_only_udm.target.file.mime_type	La valeur de `event1.filetype` du journal brut est mappée au champ `target.file.mime_type`.
event1.filesize	event.idm.read_only_udm.target.file.size	La valeur de `event1.filesize` du journal brut est convertie en entier non signé et mappée au champ `target.file.size` si elle n'est pas égale à 0.
event1.ja3digest	event.idm.read_only_udm.network.tls.client.ja3	La valeur de `event1.ja3digest` du journal brut est convertie en chaîne et mappée au champ `network.tls.client.ja3`.
event1.ja3sdigest	event.idm.read_only_udm.network.tls.server.ja3s	La valeur de `event1.ja3sdigest` du journal brut est convertie en chaîne et mappée au champ `network.tls.server.ja3s`.
event1.md5	event.idm.read_only_udm.target.file.md5	La valeur de `event1.md5` du journal brut est mappée au champ `target.file.md5`.
event1.rel_sesid	event.idm.read_only_udm.network.session_id	La valeur de `event1.rel_sesid` du journal brut est mappée au champ `network.session_id`.
event1.server_packet_count	event.idm.read_only_udm.network.received_bytes	La valeur de `event1.server_packet_count` du journal brut est convertie en entier non signé et mappée au champ `network.received_bytes`.
event1.session_size	event.idm.read_only_udm.network.session_duration.seconds	La valeur de `event1.session_size` du journal brut est convertie en entier et mappée au champ `network.session_duration.seconds`.
event1.sha256	event.idm.read_only_udm.target.file.sha256	La valeur de `event1.sha256` du journal brut est mappée au champ `target.file.sha256`.
event1.sld	event.idm.read_only_udm.principal.hostname	La valeur de `event1.sld` du journal brut est mappée au champ `principal.hostname`.
event1.sni	event.idm.read_only_udm.target.hostname	La valeur de `event1.sni` du journal brut est mappée au champ `target.hostname`.
event1.sport	event.idm.read_only_udm.principal.port	La valeur de `event1.sport` du journal brut est convertie en entier et mappée au champ `principal.port`.
event1.src_ip6	event.idm.read_only_udm.principal.ip	La valeur de `event1.src_ip6` du journal brut est mappée au champ `principal.ip`.
event1.srvcerthash	event.idm.read_only_udm.target.file.sha1	La valeur de `event1.srvcerthash` du journal brut est mappée au champ `target.file.sha1`.
event1.tls_ciphersuite	event.idm.read_only_udm.network.tls.cipher	La valeur de `event1.tls_ciphersuite` du journal brut est mappée au champ `network.tls.cipher`.
event1.version	event.idm.read_only_udm.network.tls.version	La valeur de `event1.version` du journal brut est mappée au champ `network.tls.version`.
Nom de fichier	event.idm.read_only_udm.target.file.full_path	La valeur de `Filename` du journal brut est mappée au champ `target.file.full_path`.
De	event.idm.read_only_udm.network.email.from	La valeur de `From` du journal brut est mappée au champ `network.email.from` s'il s'agit d'une adresse e-mail valide.
ftp.command	event.idm.read_only_udm.network.ftp.command	La valeur de `ftp.command` du journal brut est mappée au champ `network.ftp.command`.
ftp.filename	event.idm.read_only_udm.target.file.full_path	La valeur de `ftp.filename` du journal brut est mappée au champ `target.file.full_path`.
ftp.user	event.idm.read_only_udm.principal.user.userid	La valeur de `ftp.user` du journal brut est mappée au champ `principal.user.userid`.
Hôte	event.idm.read_only_udm.target.hostname	La valeur de `Host` du journal brut est mappée au champ `target.hostname`.
http.command	event.idm.read_only_udm.network.http.method	La valeur de `http.command` du journal brut est mappée au champ `network.http.method`.
http.status_code	event.idm.read_only_udm.network.http.response_code	La valeur de `http.status_code` du journal brut est convertie en entier et mappée au champ `network.http.response_code`.
http.useragent	event.idm.read_only_udm.network.http.user_agent	La valeur de `http.useragent` du journal brut est mappée au champ `network.http.user_agent`.
étiquette	event.idm.read_only_udm.security_result.summary	La valeur de `label` du journal brut est mappée au champ `security_result.summary`.
malware_type	event.idm.read_only_udm.security_result.threat_name	La valeur de `malware_type` du journal brut est mappée au champ `security_result.threat_name`.
md5	event.idm.read_only_udm.target.file.md5	La valeur de `md5` du journal brut est mappée au champ `target.file.md5`.
nombre	event.idm.read_only_udm.network.dns.id	La valeur de `number` du journal brut est mappée au champ `network.dns.id` pour les événements DNS.
os_version	event.idm.read_only_udm.target.platform_version	La valeur de `os_version` du journal brut est mappée au champ `target.platform_version`.
Référent	event.idm.read_only_udm.network.http.referral_url	La valeur de `Referer` du journal brut est mappée au champ `network.http.referral_url`.
rule_name	event.idm.read_only_udm.security_result.rule_name	La valeur de `rule_name` du journal brut est mappée au champ `security_result.rule_name`.
server_ip	event.idm.read_only_udm.target.ip	La valeur de `server_ip` du journal brut est mappée au champ `target.ip`.
server_port	event.idm.read_only_udm.target.port	La valeur de `server_port` du journal brut est convertie en entier et mappée au champ `target.port`.
ServerAssetID	event.idm.read_only_udm.principal.asset_id	La valeur de `ServerAssetID` du journal brut est précédée du préfixe "Asset:" et mappée au champ `principal.asset_id` si elle n'est pas "0" ou vide.
ServerAssetRole	event.idm.read_only_udm.target.asset.attribute.roles[].name	La valeur de `ServerAssetRole` du journal brut est mappée au champ `target.asset.attribute.roles[].name`.
ServerCountry	event.idm.read_only_udm.target.location.country_or_region	La valeur de `ServerCountry` du journal brut est mappée au champ `target.location.country_or_region`.
ServerIP	event.idm.read_only_udm.target.ip	La valeur de `ServerIP` du journal brut est mappée au champ `target.ip`.
sha256	event.idm.read_only_udm.target.file.sha256	La valeur de `sha256` du journal brut est mappée au champ `target.file.sha256`.
src_country	event.idm.read_only_udm.principal.location.country_or_region	La valeur `src_country` du journal brut est mappée au champ `principal.location.country_or_region` si elle n'est pas "UNKNOWN" (INCONNU) ni vide.
src_domain	event.idm.read_only_udm.principal.hostname	La valeur de `src_domain` du journal brut est mappée au champ `principal.hostname`.
StatusCode	event.idm.read_only_udm.network.http.response_code	La valeur de `StatusCode` du journal brut est convertie en entier et mappée au champ `network.http.response_code`.
Objet	event.idm.read_only_udm.network.email.subject	La valeur de `Subject` du journal brut est mappée au champ `network.email.subject`.
résumé	event.idm.read_only_udm.metadata.description	La valeur de `summary` du journal brut est mappée au champ `metadata.description`.
À	event.idm.read_only_udm.network.email.to	La valeur de `To` du journal brut est mappée au champ `network.email.to`.
tproto	event.idm.read_only_udm.network.ip_protocol	La valeur de `tproto` du journal brut est mappée au champ `network.ip_protocol` s'il s'agit de TCP ou UDP.
url	event.idm.read_only_udm.target.url	La valeur de `url` du journal brut est mappée au champ `target.url`.
URL	event.idm.read_only_udm.target.url	La valeur de `URL` du journal brut est mappée au champ `target.url`.
UserAgent	event.idm.read_only_udm.network.http.user_agent	La valeur de `UserAgent` du journal brut est mappée au champ `network.http.user_agent`.
UserSessionID	event.idm.read_only_udm.network.session_id	La valeur de `UserSessionID` du journal brut est mappée au champ `network.session_id`.
uuid	event.idm.read_only_udm.target.user.product_object_id	La valeur de `uuid` du journal brut est mappée au champ `target.user.product_object_id`.
N/A	event.idm.read_only_udm.metadata.log_type	Défini sur "FIDELIS_NETWORK".
N/A	event.idm.read_only_udm.metadata.product_name	Défini sur "FIDELIS_NETWORK".
N/A	event.idm.read_only_udm.metadata.vendor_name	Défini sur "FIDELIS_NETWORK".
`msg`	`event.idm.read_only_udm.metadata.description`	Mappé à partir du journal des modifications
`suser`	`event.idm.read_only_udm.principal.user.userid`	Mappé à partir du journal des modifications
`event1.tproto`	`network.ip_protocol`	Mappé à partir du journal des modifications
`event1.server_asset_subnet`	`read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`event1.sha1hash`	`read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`event1.type`	`read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`event1.histbuf`	`read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`event1.sen_name`	`read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score`	`security_result.detection_fields`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.