Collecter les journaux Fidelis Network
Version de l'analyseur : 8.0
Compatible avec :
Google SecOps
SIEM
Ce document explique comment ingérer des journaux Fidelis Network dans Google Security Operations à l'aide de Bindplane.
Fidelis Network est une solution de détection et de réponse réseau (NDR, Network Detection and Response) qui offre une inspection approfondie du contenu, une analyse au niveau des sessions et une réponse automatisée aux menaces. Il surveille le trafic réseau en temps réel pour détecter les menaces avancées, les tentatives d'exfiltration de données et les cas de non-respect des règles sur tous les ports et protocoles. L'analyseur extrait les champs des journaux au format syslog Fidelis Network à l'aide de modèles KV et JSON. Il mappe ensuite ces valeurs au modèle de données unifié (UDM). Il définit également des valeurs de métadonnées par défaut pour la source et le type d'événement.
Avant de commencer
Assurez-vous de remplir les conditions suivantes :
- Une instance Google SecOps
- Windows Server 2016 ou version ultérieure, ou hôte Linux avec
systemd - Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
- Accès privilégié à l'interface Web Fidelis Network CommandPost
Obtenir le fichier d'authentification d'ingestion Google SecOps
- Connectez-vous à la console Google SecOps.
- Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.
Obtenir l'ID client Google SecOps
- Connectez-vous à la console Google SecOps.
- Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.
Installer l'agent Bindplane
Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.
Installation de Windows
- Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.
Exécutez la commande suivante :
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quietAttendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
sc query observiq-otel-collector
Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).
Installation de Linux
- Ouvrez un terminal avec des privilèges root ou sudo.
Exécutez la commande suivante :
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.shAttendez la fin de l'installation.
Vérifiez l'installation en exécutant la commande suivante :
sudo systemctl status observiq-otel-collector
Le service doit être indiqué comme actif (en cours d'exécution).
Autres ressources d'installation
Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.
Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps
Localiser le fichier de configuration
Linux :
sudo systemctl status observiq-otel-collectorWindows :
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
Modifiez le fichier de configuration
Remplacez l'intégralité du contenu de
config.yamlpar la configuration suivante :receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: malachiteingestion-pa.googleapis.com log_type: 'FIDELIS_NETWORK' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - tcplog exporters: - chronicle/chronicle_w_labels
Paramètres de configuration
Remplacez les espaces réservés suivants :
Configuration du récepteur :
tcplog: utilisezudplogpour syslog UDP outcplogpour syslog TCP.0.0.0.0: adresse IP à écouter (0.0.0.0pour écouter sur toutes les interfaces)514: numéro de port à écouter (port syslog standard)
Configuration de l'exportateur :
creds_file_path: chemin d'accès complet au fichier d'authentification de l'ingestion :- Linux :
/etc/bindplane-agent/ingestion-auth.json - Windows :
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux :
YOUR_CUSTOMER_ID: ID client de la section "Obtenir l'ID client"endpoint: URL du point de terminaison régional :- États-Unis :
malachiteingestion-pa.googleapis.com - Europe :
europe-malachiteingestion-pa.googleapis.com - Asie :
asia-southeast1-malachiteingestion-pa.googleapis.com - Pour obtenir la liste complète, consultez Points de terminaison régionaux.
- États-Unis :
log_type: type de journal tel qu'il apparaît dans Chronicle (FIDELIS_NETWORK)
Enregistrez le fichier de configuration.
- Après avoir modifié le fichier, enregistrez-le :
- Linux : appuyez sur
Ctrl+O, puis surEnter, puis surCtrl+X. - Windows : cliquez sur Fichier > Enregistrer.
- Linux : appuyez sur
Redémarrez l'agent Bindplane pour appliquer les modifications.
Pour redémarrer l'agent Bindplane sous Linux :
Exécutez la commande suivante :
sudo systemctl restart observiq-otel-collectorVérifiez que le service est en cours d'exécution :
sudo systemctl status observiq-otel-collectorRecherchez les erreurs dans les journaux :
sudo journalctl -u observiq-otel-collector -f
Pour redémarrer l'agent Bindplane sous Windows :
Choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
net stop observiq-otel-collector && net start observiq-otel-collector- Console Services :
- Appuyez sur
Win+R, saisissezservices.msc, puis appuyez sur Entrée. - Localisez observIQ OpenTelemetry Collector.
- Effectuez un clic droit, puis sélectionnez Redémarrer.
- Appuyez sur
Vérifiez que le service est en cours d'exécution :
sc query observiq-otel-collectorRecherchez les erreurs dans les journaux :
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
Configurer le transfert Syslog de Fidelis Network
- Connectez-vous à l'interface Web CommandPost de Fidelis Network.
- Accédez à Système> Exporter> Syslog.
- Cliquez sur Ajouter un serveur Syslog.
- Fournissez les informations de configuration suivantes :
- Nom : saisissez un nom descriptif (par exemple,
Google-SecOps-Bindplane). - Adresse IP/Nom d'hôte : saisissez l'adresse IP de l'hôte de l'agent Bindplane.
- Port : saisissez
514. - Protocole : sélectionnez TCP.
- Format : sélectionnez CEF (Common Event Format) ou Syslog en fonction de vos besoins d'analyse.
- Établissement : sélectionnez LOCAL0 (ou l'établissement de votre choix).
- Gravité : sélectionnez Informationnel (ou le niveau de gravité de votre choix).
- Nom : saisissez un nom descriptif (par exemple,
- Dans la section Types d'alertes, sélectionnez les événements à transférer :
- Événements d'alerte
- Événements de logiciel malveillant
- Événements de protection contre la perte de données
- Événements DNS
- Événements de session
- Cliquez sur Enregistrer.
- Vérifiez que les messages syslog sont envoyés en consultant les journaux de l'agent Bindplane.
Table de mappage UDM
| Champ de journal | Mappage UDM | Logique |
|---|---|---|
| aaction | event.idm.read_only_udm.security_result.action_details | Directement mappé si la valeur n'est pas "none" ni une chaîne vide. |
| alert_threat_score | event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de alert_threat_score | Mappé directement en tant que champ de détection. |
| alert_type | event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de alert_type | Mappé directement en tant que champ de détection. |
| réponses | event.idm.read_only_udm.network.dns.answers[].data | Mappé directement pour les événements DNS. |
| application_user | event.idm.read_only_udm.principal.user.userid | Mappé directement. |
| asset_os | event.idm.read_only_udm.target.platform | Normalisé sur WINDOWS, LINUX, MAC ou UNKNOWN_PLATFORM. |
| certificate.end_date | event.idm.read_only_udm.network.tls.client.certificate.not_after | Analysé et converti en code temporel. |
| certificate.extended_key_usage | event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.extended_key_usage | Mappé en tant que champ supplémentaire. |
| certificate.issuer_name | event.idm.read_only_udm.network.tls.server.certificate.issuer | Mappé directement. |
| certificate.key_length | event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_length | Mappé en tant que champ supplémentaire. |
| certificate.key_usage | event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_usage | Mappé en tant que champ supplémentaire. |
| certificate.start_date | event.idm.read_only_udm.network.tls.client.certificate.not_before | Analysé et converti en code temporel. |
| certificate.subject_altname | event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.subject_altname | Mappé en tant que champ supplémentaire. |
| certificate.subject_name | event.idm.read_only_udm.network.tls.server.certificate.subject | Mappé directement. |
| certificate.type | event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.type | Mappé en tant que champ supplémentaire. |
| chiffrement | event.idm.read_only_udm.network.tls.cipher | Mappé directement. |
| client_asset_name | event.idm.read_only_udm.principal.application | Mappé directement. |
| client_asset_subnet | event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of client_asset_subnet | Mappé en tant que champ supplémentaire. |
| client_ip | event.idm.read_only_udm.principal.ip | Mappé directement. |
| client_port | event.idm.read_only_udm.principal.port | Directement mappé et converti en entier. |
| ClientIP | event.idm.read_only_udm.principal.ip | Mappé directement. |
| ClientPort | event.idm.read_only_udm.principal.port | Directement mappé et converti en entier. |
| ClientCountry | event.idm.read_only_udm.principal.location.country_or_region | Directement mappé s'il n'est pas défini sur "UNKNOWN" ou sur une chaîne vide. |
| ClientAssetID | event.idm.read_only_udm.principal.asset_id | Préfixé par "Asset:" si la valeur n'est pas "0" ou une chaîne vide. |
| ClientAssetName | event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetName | Mappé en tant qu'étiquette de ressource principale. |
| ClientAssetRole | event.idm.read_only_udm.principal.asset.attribute.roles[].name | Mappé directement. |
| ClientAssetServices | event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetServices", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetServices | Mappé en tant qu'étiquette de ressource principale. |
| Client | event.idm.read_only_udm.principal.resource.attribute.labels[].key: "Client", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of Client | Mappé en tant qu'étiquette de ressource principale. |
| Collecteur | event.idm.read_only_udm.security_result.detection_fields[].key: "Collector", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de Collector | Mappé en tant que champ de détection. |
| commande | event.idm.read_only_udm.network.http.method | Directement mappé pour les événements HTTP. |
| Commande | event.idm.read_only_udm.security_result.detection_fields[].key: "Command", event.idm.read_only_udm.security_result.detection_fields[].value: value of Command | Mappé en tant que champ de détection. |
| Connexion | event.idm.read_only_udm.security_result.detection_fields[].key: "Connection", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de Connection | Mappé en tant que champ de détection. |
| DecodingPath | event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: value of DecodingPath | Mappé en tant que champ de détection. |
| dest_country | event.idm.read_only_udm.target.location.country_or_region | Mappé directement. |
| dest_domain | event.idm.read_only_udm.target.hostname | Mappé directement. |
| dest_ip | event.idm.read_only_udm.target.ip | Mappé directement. |
| dest_port | event.idm.read_only_udm.target.port | Directement mappé et converti en entier. |
| Direction | event.idm.read_only_udm.security_result.detection_fields[].key: "Direction", event.idm.read_only_udm.security_result.detection_fields[].value: value of Direction | Mappé en tant que champ de détection. |
| dns.host | event.idm.read_only_udm.network.dns.questions[].name | Mappé directement pour les événements DNS. |
| DomainName | event.idm.read_only_udm.target.administrative_domain | Mappé directement. |
| DomainAlexaRank | event.idm.read_only_udm.security_result.detection_fields[].key: "DomainAlexaRank", event.idm.read_only_udm.security_result.detection_fields[].value: valeur de DomainAlexaRank | Mappé en tant que champ de détection. |
| dport | event.idm.read_only_udm.target.port | Directement mappé et converti en entier. |
| dnsresolution.server_fqdn | event.idm.read_only_udm.target.hostname | Mappé directement. |
| Durée | event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: value of Duration | Mappé en tant que champ de détection. |
| Chiffré | event.idm.read_only_udm.security_result.detection_fields[].key: "Encrypted", event.idm.read_only_udm.security_result.detection_fields[].value: value of Encrypted | Mappé en tant que champ de détection. |
| Entropie | event.idm.read_only_udm.security_result.detection_fields[].key: "Entropy", event.idm.read_only_udm.security_result.detection_fields[].value: value of Entropy | Mappé en tant que champ de détection. |
| event.idm.read_only_udm.additional.fields | event.idm.read_only_udm.additional.fields | Contient divers champs supplémentaires basés sur la logique de l'analyseur. |
| event.idm.read_only_udm.metadata.description | event.idm.read_only_udm.metadata.description | Mappé directement à partir du champ "Résumé". |
| event.idm.read_only_udm.metadata.event_type | event.idm.read_only_udm.metadata.event_type | Déterminé en fonction de divers champs de journaux et de la logique de l'analyseur. Il peut s'agir de GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_HTTP, NETWORK_SMTP, NETWORK_DNS, STATUS_UPDATE ou NETWORK_FLOW. |
| event.idm.read_only_udm.metadata.log_type | event.idm.read_only_udm.metadata.log_type | Défini sur "FIDELIS_NETWORK". |
| event.idm.read_only_udm.metadata.product_name | event.idm.read_only_udm.metadata.product_name | Défini sur "FIDELIS_NETWORK". |
| event.idm.read_only_udm.metadata.vendor_name | event.idm.read_only_udm.metadata.vendor_name | Défini sur "FIDELIS_NETWORK". |
| event.idm.read_only_udm.network.application_protocol | event.idm.read_only_udm.network.application_protocol | Déterminé en fonction du champ "server_port" ou "protocol". Il peut s'agir de HTTP, HTTPS, SMTP, SSH, RPC, DNS, NFS ou AOLMAIL. |
| event.idm.read_only_udm.network.direction | event.idm.read_only_udm.network.direction | Déterminé en fonction du champ de direction ou des mots clés du résumé. Il peut s'agir de "INBOUND" ou de "OUTBOUND". |
| event.idm.read_only_udm.network.dns.answers | event.idm.read_only_udm.network.dns.answers | Valeur renseignée pour les événements DNS. |
| event.idm.read_only_udm.network.dns.id | event.idm.read_only_udm.network.dns.id | Mappé à partir du champ numérique pour les événements DNS. |
| event.idm.read_only_udm.network.dns.questions | event.idm.read_only_udm.network.dns.questions | Valeur renseignée pour les événements DNS. |
| event.idm.read_only_udm.network.email.from | event.idm.read_only_udm.network.email.from | Mappé directement à partir de "De" s'il s'agit d'une adresse e-mail valide. |
| event.idm.read_only_udm.network.email.subject | event.idm.read_only_udm.network.email.subject | Mappé directement à partir de "Subject". |
| event.idm.read_only_udm.network.email.to | event.idm.read_only_udm.network.email.to | Mappé directement à partir de "À". |
| event.idm.read_only_udm.network.ftp.command | event.idm.read_only_udm.network.ftp.command | Mappé directement à partir de ftp.command. |
| event.idm.read_only_udm.network.http.method | event.idm.read_only_udm.network.http.method | Directement mappé à partir de http.command ou Command. |
| event.idm.read_only_udm.network.http.referral_url | event.idm.read_only_udm.network.http.referral_url | Directement mappé à partir de "Referer". |
| event.idm.read_only_udm.network.http.response_code | event.idm.read_only_udm.network.http.response_code | Directement mappé à partir de http.status_code ou StatusCode et converti en entier. |
| event.idm.read_only_udm.network.http.user_agent | event.idm.read_only_udm.network.http.user_agent | Mappé directement à partir de http.useragent ou UserAgent. |
| event.idm.read_only_udm.network.ip_protocol | event.idm.read_only_udm.network.ip_protocol | Directement mappé à partir de tproto s'il s'agit de TCP ou d'UDP. |
| event.idm.read_only_udm.network.received_bytes | event.idm.read_only_udm.network.received_bytes | Renommée à partir de event1.server_packet_count et convertie en entier non signé. |
| event.idm.read_only_udm.network.sent_bytes | event.idm.read_only_udm.network.sent_bytes | Renommée à partir de event1.client_packet_count et convertie en entier non signé. |
| event.idm.read_only_udm.network.session_duration.seconds | event.idm.read_only_udm.network.session_duration.seconds | Renommée "event1.session_size" et convertie en nombre entier. |
| event.idm.read_only_udm.network.session_id | event.idm.read_only_udm.network.session_id | Directement mappé à partir de event1.rel_sesid ou UserSessionID. |
| event.idm.read_only_udm.network.tls.client.certificate.issuer | event.idm.read_only_udm.network.tls.client.certificate.issuer | Mappé directement à partir de event1.certificate_issuer_name. |
| event.idm.read_only_udm.network.tls.client.certificate.not_after | event.idm.read_only_udm.network.tls.client.certificate.not_after | Analysé à partir de event1.certificate_end_date et converti en code temporel. |
| event.idm.read_only_udm.network.tls.client.certificate.not_before | event.idm.read_only_udm.network.tls.client.certificate.not_before | Analysé à partir de event1.certificate_start_date et converti en code temporel. |
| event.idm.read_only_udm.network.tls.client.certificate.subject | event.idm.read_only_udm.network.tls.client.certificate.subject | Mappé directement à partir de event1.certificate_subject_name. |
| event.idm.read_only_udm.network.tls.client.ja3 | event.idm.read_only_udm.network.tls.client.ja3 | Mappé directement à partir de event1.ja3digest et converti en chaîne. |
| event.idm.read_only_udm.network.tls.cipher | event.idm.read_only_udm.network.tls.cipher | Mappé directement à partir de event1.cipher, CipherSuite, cipher ou event1.tls_ciphersuite. |
| event.idm.read_only_udm.network.tls.server.certificate.issuer | event.idm.read_only_udm.network.tls.server.certificate.issuer | Mappé directement à partir de certificate_issuer_name. |
| event.idm.read_only_udm.network.tls.server.certificate.subject | event.idm.read_only_udm.network.tls.server.certificate.subject | Mappé directement à partir de certificate_subject_name. |
| event.idm.read_only_udm.network.tls.server.ja3s | event.idm.read_only_udm.network.tls.server.ja3s | Mappé directement à partir de event1.ja3sdigest et converti en chaîne. |
| event.idm.read_only_udm.network.tls.version | event.idm.read_only_udm.network.tls.version | Directement mappé à partir de event1.version. |
| event.idm.read_only_udm.principal.application | event.idm.read_only_udm.principal.application | Mappé directement à partir de event1.client_asset_name. |
| event.idm.read_only_udm.principal.asset.attribute.roles[].name | event.idm.read_only_udm.principal.asset.attribute.roles[].name | Directement mappé à partir de ClientAssetRole. |
| event.idm.read_only_udm.principal.asset_id | event.idm.read_only_udm.principal.asset_id | Mappé directement à partir de ClientAssetID ou ServerAssetID (avec le préfixe "Asset:"). |
| event.idm.read_only_udm.principal.hostname | event.idm.read_only_udm.principal.hostname | Directement mappé à partir de event1.sld ou src_domain. |
| event.idm.read_only_udm.principal.ip | event.idm.read_only_udm.principal.ip | Mappé directement à partir de event1.src_ip6, client_ip ou ClientIP. |
| event.idm.read_only_udm.principal.location.country_or_region | event.idm.read_only_udm.principal.location.country_or_region | Directement mappé à partir de ClientCountry ou src_country si la valeur n'est pas "UNKNOWN" ni une chaîne vide. |
| event.idm.read_only_udm.principal.port | event.idm.read_only_udm.principal.port | Mappé directement à partir de event1.sport ou client_port et converti en entier. |
| event.idm.read_only_udm.principal.resource.attribute.labels | event.idm.read_only_udm.principal.resource.attribute.labels | Contient différents libellés basés sur la logique de l'analyseur. |
| event.idm.read_only_udm.principal.user.userid | event.idm.read_only_udm.principal.user.userid | Mappé directement à partir de ftp.user ou AppUser. |
| event.idm.read_only_udm.security_result.action | event.idm.read_only_udm.security_result.action | Déterminé en fonction de la gravité. Les valeurs possibles sont ALLOW, BLOCK ou UNKNOWN_ACTION. |
| event.idm.read_only_udm.security_result.action_details | event.idm.read_only_udm.security_result.action_details | Directement mappé à l'action si elle n'est pas définie sur "none" ou sur une chaîne vide. |
| event.idm.read_only_udm.security_result.category | event.idm.read_only_udm.security_result.category | Définissez sur NETWORK_SUSPICIOUS si malware_type est présent. |
| event.idm.read_only_udm.security_result.detection_fields | event.idm.read_only_udm.security_result.detection_fields | Contient différents champs de détection basés sur la logique de l'analyseur. |
| event.idm.read_only_udm.security_result.rule_name | event.idm.read_only_udm.security_result.rule_name | Mappé directement à partir de rule_name. |
| event.idm.read_only_udm.security_result.severity | event.idm.read_only_udm.security_result.severity | Déterminé en fonction de la gravité. Les valeurs possibles sont INFORMATIONAL, MEDIUM, ERROR ou CRITICAL. |
| event.idm.read_only_udm.security_result.summary | event.idm.read_only_udm.security_result.summary | Directement mappé à partir du libellé. |
| event.idm.read_only_udm.security_result.threat_name | event.idm.read_only_udm.security_result.threat_name | Mappé directement à partir de malware_type ou analysé à partir du résumé s'il contient "CVE-". |
| event.idm.read_only_udm.target.administrative_domain | event.idm.read_only_udm.target.administrative_domain | Mappé directement à partir de DomainName. |
| event.idm.read_only_udm.target.asset.attribute.roles[].name | event.idm.read_only_udm.target.asset.attribute.roles[].name | Directement mappé à partir de ServerAssetRole. |
| event.idm.read_only_udm.target.file.full_path | event.idm.read_only_udm.target.file.full_path | Directement mappé à partir de ftp.filename ou Filename. |
| event.idm.read_only_udm.target.file.md5 | event.idm.read_only_udm.target.file.md5 | Directement mappé à partir de event1.md5 ou md5. |
| event.idm.read_only_udm.target.file.mime_type | event.idm.read_only_udm.target.file.mime_type | Directement mappé à partir de event1.filetype. |
| event.idm.read_only_udm.target.file.sha1 | event.idm.read_only_udm.target.file.sha1 | Mappé directement à partir de event1.srvcerthash. |
| event.idm.read_only_udm.target.file.sha256 | event.idm.read_only_udm.target.file.sha256 | Directement mappé à partir de event1.sha256 ou sha256. |
| event.idm.read_only_udm.target.file.size | event.idm.read_only_udm.target.file.size | Renommé de event1.filesize et converti en entier non signé s'il n'est pas nul. |
| event.idm.read_only_udm.target.hostname | event.idm.read_only_udm.target.hostname | Mappé directement à partir de event1.sni, dest_domain ou Host. |
| event.idm.read_only_udm.target.ip | event.idm.read_only_udm.target.ip | Directement mappé à partir de event1.dst_ip6, server_ip ou ServerIP. |
| event.idm.read_only_udm.target.location.country_or_region | event.idm.read_only_udm.target.location.country_or_region | Directement mappé à partir de dest_country ou ServerCountry. |
| event.idm.read_only_udm.target.platform | event.idm.read_only_udm.target.platform | Mappé à partir de asset_os après normalisation. |
| event.idm.read_only_udm.target.platform_version | event.idm.read_only_udm.target.platform_version | Directement mappé à partir de os_version. |
| event.idm.read_only_udm.target.port | event.idm.read_only_udm.target.port | Directement mappé à partir de event1.dport ou server_port et converti en entier. |
| event.idm.read_only_udm.target.resource.attribute.labels | event.idm.read_only_udm.target.resource.attribute.labels | Contient différents libellés basés sur la logique de l'analyseur. |
| event.idm.read_only_udm.target.url | event.idm.read_only_udm.target.url | Mappé directement à partir de l'URL. |
| event.idm.read_only_udm.target.user.product_object_id | event.idm.read_only_udm.target.user.product_object_id | Mappé directement à partir de l'UUID. |
| event1.certificate_end_date | event.idm.read_only_udm.network.tls.client.certificate.not_after | Analysé et converti en code temporel. |
| event1.certificate_extended_key_usage | event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_extended_key_usage | Mappé en tant que champ supplémentaire. |
| event1.certificate_issuer_name | event.idm.read_only_udm.network.tls.client.certificate.issuer | Mappé directement. |
| event1.certificate_key_length | event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_length | Mappé en tant que champ supplémentaire. |
| event1.certificate_key_usage | event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_usage | Mappé en tant que champ supplémentaire. |
| event1.certificate_start_date | event.idm.read_only_udm.network.tls.client.certificate.not_before | Analysé et converti en code temporel. |
| event1.certificate_subject_altname | event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_subject_altname | Mappé en tant que champ supplémentaire. |
| event1.certificate_subject_name | event.idm.read_only_udm.network.tls.client.certificate.subject | Mappé directement. |
| event1.client_asset_name | event.idm.read_only_udm.principal.application | Mappé directement. |
| event1.client_asset_subnet | event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.client_asset_subnet | Mappé en tant que champ supplémentaire. |
| event1.client_packet_count | event.idm.read_only_udm.network.sent_bytes | Converti en entier non signé et renommé. |
| event1.cipher | event.idm.read_only_udm.network.tls.cipher | Mappé directement. |
| event1.direction | event.idm.read_only_udm.network.direction | Mappé sur "ENTRANT" si "s2c" ou sur "SORTANT" si "c2s". |
| event1.dport | event.idm.read_only_udm.target.port | La valeur de event1.dport du journal brut est convertie en entier et mappée au champ target.port. |
| event1.dst_ip6 | event.idm.read_only_udm.target.ip | La valeur de event1.dst_ip6 du journal brut est mappée au champ target.ip. |
| event1.filetype | event.idm.read_only_udm.target.file.mime_type | La valeur de event1.filetype du journal brut est mappée au champ target.file.mime_type. |
| event1.filesize | event.idm.read_only_udm.target.file.size | La valeur event1.filesize du journal brut est convertie en entier non signé et mappée au champ target.file.size si elle n'est pas égale à 0. |
| event1.ja3digest | event.idm.read_only_udm.network.tls.client.ja3 | La valeur de event1.ja3digest du journal brut est convertie en chaîne et mappée au champ network.tls.client.ja3. |
| event1.ja3sdigest | event.idm.read_only_udm.network.tls.server.ja3s | La valeur de event1.ja3sdigest du journal brut est convertie en chaîne et mappée au champ network.tls.server.ja3s. |
| event1.md5 | event.idm.read_only_udm.target.file.md5 | La valeur de event1.md5 du journal brut est mappée au champ target.file.md5. |
| event1.rel_sesid | event.idm.read_only_udm.network.session_id | La valeur de event1.rel_sesid du journal brut est mappée au champ network.session_id. |
| event1.server_packet_count | event.idm.read_only_udm.network.received_bytes | La valeur de event1.server_packet_count du journal brut est convertie en entier non signé et mappée au champ network.received_bytes. |
| event1.session_size | event.idm.read_only_udm.network.session_duration.seconds | La valeur de event1.session_size du journal brut est convertie en entier et mappée au champ network.session_duration.seconds. |
| event1.sha256 | event.idm.read_only_udm.target.file.sha256 | La valeur de event1.sha256 du journal brut est mappée au champ target.file.sha256. |
| event1.sld | event.idm.read_only_udm.principal.hostname | La valeur de event1.sld du journal brut est mappée au champ principal.hostname. |
| event1.sni | event.idm.read_only_udm.target.hostname | La valeur de event1.sni du journal brut est mappée au champ target.hostname. |
| event1.sport | event.idm.read_only_udm.principal.port | La valeur de event1.sport du journal brut est convertie en entier et mappée au champ principal.port. |
| event1.src_ip6 | event.idm.read_only_udm.principal.ip | La valeur de event1.src_ip6 du journal brut est mappée au champ principal.ip. |
| event1.srvcerthash | event.idm.read_only_udm.target.file.sha1 | La valeur de event1.srvcerthash du journal brut est mappée au champ target.file.sha1. |
| event1.tls_ciphersuite | event.idm.read_only_udm.network.tls.cipher | La valeur de event1.tls_ciphersuite du journal brut est mappée au champ network.tls.cipher. |
| event1.version | event.idm.read_only_udm.network.tls.version | La valeur de event1.version du journal brut est mappée au champ network.tls.version. |
| Nom de fichier | event.idm.read_only_udm.target.file.full_path | La valeur de Filename du journal brut est mappée au champ target.file.full_path. |
| De | event.idm.read_only_udm.network.email.from | La valeur de From du journal brut est mappée au champ network.email.from s'il s'agit d'une adresse e-mail valide. |
| ftp.command | event.idm.read_only_udm.network.ftp.command | La valeur de ftp.command du journal brut est mappée au champ network.ftp.command. |
| ftp.filename | event.idm.read_only_udm.target.file.full_path | La valeur de ftp.filename du journal brut est mappée au champ target.file.full_path. |
| ftp.user | event.idm.read_only_udm.principal.user.userid | La valeur de ftp.user du journal brut est mappée au champ principal.user.userid. |
| Hôte | event.idm.read_only_udm.target.hostname | La valeur de Host du journal brut est mappée au champ target.hostname. |
| http.command | event.idm.read_only_udm.network.http.method | La valeur de http.command du journal brut est mappée au champ network.http.method. |
| http.status_code | event.idm.read_only_udm.network.http.response_code | La valeur de http.status_code du journal brut est convertie en entier et mappée au champ network.http.response_code. |
| http.useragent | event.idm.read_only_udm.network.http.user_agent | La valeur de http.useragent du journal brut est mappée au champ network.http.user_agent. |
| étiquette | event.idm.read_only_udm.security_result.summary | La valeur de label du journal brut est mappée au champ security_result.summary. |
| malware_type | event.idm.read_only_udm.security_result.threat_name | La valeur de malware_type du journal brut est mappée au champ security_result.threat_name. |
| md5 | event.idm.read_only_udm.target.file.md5 | La valeur de md5 du journal brut est mappée au champ target.file.md5. |
| nombre | event.idm.read_only_udm.network.dns.id | La valeur de number du journal brut est mappée au champ network.dns.id pour les événements DNS. |
| os_version | event.idm.read_only_udm.target.platform_version | La valeur de os_version du journal brut est mappée au champ target.platform_version. |
| Référent | event.idm.read_only_udm.network.http.referral_url | La valeur de Referer du journal brut est mappée au champ network.http.referral_url. |
| rule_name | event.idm.read_only_udm.security_result.rule_name | La valeur de rule_name du journal brut est mappée au champ security_result.rule_name. |
| server_ip | event.idm.read_only_udm.target.ip | La valeur de server_ip du journal brut est mappée au champ target.ip. |
| server_port | event.idm.read_only_udm.target.port | La valeur de server_port du journal brut est convertie en entier et mappée au champ target.port. |
| ServerAssetID | event.idm.read_only_udm.principal.asset_id | La valeur de ServerAssetID du journal brut est précédée de "Asset:" et mappée au champ principal.asset_id si elle n'est pas "0" ni vide. |
| ServerAssetRole | event.idm.read_only_udm.target.asset.attribute.roles[].name | La valeur de ServerAssetRole du journal brut est mappée au champ target.asset.attribute.roles[].name. |
| ServerCountry | event.idm.read_only_udm.target.location.country_or_region | La valeur de ServerCountry du journal brut est mappée au champ target.location.country_or_region. |
| ServerIP | event.idm.read_only_udm.target.ip | La valeur de ServerIP du journal brut est mappée au champ target.ip. |
| sha256 | event.idm.read_only_udm.target.file.sha256 | La valeur de sha256 du journal brut est mappée au champ target.file.sha256. |
| src_country | event.idm.read_only_udm.principal.location.country_or_region | La valeur src_country du journal brut est mappée au champ principal.location.country_or_region si elle n'est pas "UNKNOWN" (INCONNU) ni vide. |
| src_domain | event.idm.read_only_udm.principal.hostname | La valeur de src_domain du journal brut est mappée au champ principal.hostname. |
| StatusCode | event.idm.read_only_udm.network.http.response_code | La valeur de StatusCode du journal brut est convertie en entier et mappée au champ network.http.response_code. |
| Objet | event.idm.read_only_udm.network.email.subject | La valeur de Subject du journal brut est mappée au champ network.email.subject. |
| résumé | event.idm.read_only_udm.metadata.description | La valeur de summary du journal brut est mappée au champ metadata.description. |
| À | event.idm.read_only_udm.network.email.to | La valeur de To du journal brut est mappée au champ network.email.to. |
| tproto | event.idm.read_only_udm.network.ip_protocol | La valeur de tproto du journal brut est mappée au champ network.ip_protocol s'il s'agit de TCP ou d'UDP. |
| url | event.idm.read_only_udm.target.url | La valeur de url du journal brut est mappée au champ target.url. |
| URL | event.idm.read_only_udm.target.url | La valeur de URL du journal brut est mappée au champ target.url. |
| UserAgent | event.idm.read_only_udm.network.http.user_agent | La valeur de UserAgent du journal brut est mappée au champ network.http.user_agent. |
| UserSessionID | event.idm.read_only_udm.network.session_id | La valeur de UserSessionID du journal brut est mappée au champ network.session_id. |
| uuid | event.idm.read_only_udm.target.user.product_object_id | La valeur de uuid du journal brut est mappée au champ target.user.product_object_id. |
| N/A | event.idm.read_only_udm.metadata.log_type | Défini sur "FIDELIS_NETWORK". |
| N/A | event.idm.read_only_udm.metadata.product_name | Défini sur "FIDELIS_NETWORK". |
| N/A | event.idm.read_only_udm.metadata.vendor_name | Défini sur "FIDELIS_NETWORK". |
msg |
event.idm.read_only_udm.metadata.description |
Mappé à partir du journal des modifications |
suser |
event.idm.read_only_udm.principal.user.userid |
Mappé à partir du journal des modifications |
event1.tproto |
network.ip_protocol |
Mappé à partir du journal des modifications |
event1.server_asset_subnet |
read_only_udm.additional.fields |
Mappé à partir du journal des modifications |
event1.sha1hash |
read_only_udm.additional.fields |
Mappé à partir du journal des modifications |
event1.type |
read_only_udm.additional.fields |
Mappé à partir du journal des modifications |
event1.histbuf |
read_only_udm.additional.fields |
Mappé à partir du journal des modifications |
event1.sen_name |
read_only_udm.additional.fields |
Mappé à partir du journal des modifications |
exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score |
security_result.detection_fields |
Mappé à partir du journal des modifications |
Journal des modifications
Afficher le journal des modifications pour ce parseur
Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.