איסוף יומנים של Fidelis Network

גרסת מנתח: 8.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Fidelis Network ב-Google Security Operations באמצעות Bindplane.

‫Fidelis Network הוא פתרון לזיהוי איומים ברשת ותגובה לאיומים (NDR) שמספק בדיקת תוכן מעמיקה, ניתוח ברמת הסשן ותגובה אוטומטית לאיומים. הוא עוקב אחרי תעבורת הרשת בזמן אמת כדי לזהות איומים מתקדמים, ניסיונות לגניבת נתונים והפרות מדיניות בכל הפורטים והפרוטוקולים. הכלי לניתוח מחלץ שדות מיומנים בפורמט Fidelis Network syslog באמצעות דפוסי KV ו-JSON. לאחר מכן, המערכת ממפה את הערכים האלה למודל הנתונים המאוחד (UDM). בנוסף, הוא מגדיר ערכי ברירת מחדל של מטא-נתונים למקור ולסוג האירוע.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
  • אם מריצים מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
  • גישה עם הרשאות מיוחדות לממשק האינטרנט של Fidelis Network CommandPost

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Collection Agents.

  3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ בצורה מאובטחת במערכת שבה תותקן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

  3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת סוכן Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sc query observiq-otel-collector

השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. מחכים שההתקנה תסתיים.

  4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

    sudo systemctl status observiq-otel-collector

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

איתור קובץ ההגדרות

  • ‫Linux:

    sudo systemctl status observiq-otel-collector

  • ‫Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ ההגדרות

  • מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'FIDELIS_NETWORK'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • ‫tcplog: משתמשים ב-udplog עבור UDP syslog או ב-tcplog עבור TCP syslog
    • ‫0.0.0.0: כתובת ה-IP להאזנה (0.0.0.0 להאזנה בכל הממשקים)
    • ‫514: מספר היציאה להאזנה (יציאת syslog רגילה)

  • הגדרת כלי הייצוא:

    • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
      • ‫Linux: /etc/bindplane-agent/ingestion-auth.json
      • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • ‫YOUR_CUSTOMER_ID: מספר הלקוח מהקטע 'איך מאתרים את מספר הלקוח'
    • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
      • ארה"ב: malachiteingestion-pa.googleapis.com
      • אירופה: europe-malachiteingestion-pa.googleapis.com
      • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
      • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.
    • ‫log_type: סוג היומן בדיוק כמו שהוא מופיע ב-Chronicle‏ (FIDELIS_NETWORK)

שמירת קובץ ההגדרות

  • אחרי שמסיימים לערוך, שומרים את הקובץ:
    • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
    • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

  1. מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

  2. מוודאים שהשירות פועל:

    sudo systemctl status observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    sudo journalctl -u observiq-otel-collector -f

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

  1. בוחרים אחת מהאפשרויות האלה:

    • שורת הפקודה או PowerShell כאדמין:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • מסוף השירותים:
      1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
      2. מחפשים את observIQ OpenTelemetry Collector.
      3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

  2. מוודאים שהשירות פועל:

    sc query observiq-otel-collector

  3. בודקים אם יש שגיאות ביומנים:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

הגדרת העברה של syslog ב-Fidelis Network

  1. נכנסים לממשק האינטרנט של Fidelis Network CommandPost.
  2. עוברים אל מערכת > ייצוא > Syslog.
  3. לוחצים על הוספת שרת Syslog.
  4. מספקים את פרטי ההגדרה הבאים:
    • שם: מזינים שם תיאורי (לדוגמה, Google-SecOps-Bindplane).
    • כתובת IP או שם מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
    • יציאה: מזינים 514.
    • פרוטוקול: בוחרים באפשרות TCP.
    • פורמט: בוחרים באפשרות CEF (פורמט אירועים נפוץ) או Syslog בהתאם לדרישות הניתוח.
    • מתקן: בוחרים באפשרות LOCAL0 (או במתקן המועדף).
    • חומרה: בוחרים באפשרות Informational (או ברמת החומרה המועדפת).
  5. בקטע סוגי התראות, בוחרים את האירועים להעברה:
    • אירועים שקשורים להתראות
    • אירועים שקשורים לתוכנות זדוניות
    • אירועי DLP
    • אירועי DNS
    • אירועים ברמת הסשן
  6. לוחצים על Save.
  7. כדי לוודא שהודעות syslog נשלחות, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
aaction event.idm.read_only_udm.security_result.action_details ממופה ישירות אם הערך הוא לא none או מחרוזת ריקה.
alert_threat_score event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_threat_score ממופה ישירות כשדה זיהוי.
alert_type event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_type ממופה ישירות כשדה זיהוי.
תשובות event.idm.read_only_udm.network.dns.answers[].data ממופה ישירות לאירועי DNS.
application_user event.idm.read_only_udm.principal.user.userid ממופים ישירות.
asset_os event.idm.read_only_udm.target.platform הערך מנורמל ל-WINDOWS,‏ LINUX,‏ MAC או UNKNOWN_PLATFORM.
certificate.end_date event.idm.read_only_udm.network.tls.client.certificate.not_after הערך מנותח ומומר לחותמת זמן.
certificate.extended_key_usage event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.extended_key_usage ממופה כשדה נוסף.
certificate.issuer_name event.idm.read_only_udm.network.tls.server.certificate.issuer ממופים ישירות.
certificate.key_length event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_length ממופה כשדה נוסף.
certificate.key_usage event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_usage ממופה כשדה נוסף.
certificate.start_date event.idm.read_only_udm.network.tls.client.certificate.not_before הערך מנותח ומומר לחותמת זמן.
certificate.subject_altname event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.subject_altname ממופה כשדה נוסף.
certificate.subject_name event.idm.read_only_udm.network.tls.server.certificate.subject ממופים ישירות.
certificate.type event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.type ממופה כשדה נוסף.
צופן event.idm.read_only_udm.network.tls.cipher ממופים ישירות.
client_asset_name event.idm.read_only_udm.principal.application ממופים ישירות.
client_asset_subnet event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of client_asset_subnet ממופה כשדה נוסף.
client_ip event.idm.read_only_udm.principal.ip ממופים ישירות.
client_port event.idm.read_only_udm.principal.port מופה ישירות והומר למספר שלם.
ClientIP event.idm.read_only_udm.principal.ip ממופים ישירות.
ClientPort event.idm.read_only_udm.principal.port מופה ישירות והומר למספר שלם.
ClientCountry event.idm.read_only_udm.principal.location.country_or_region ממופה ישירות אם הערך הוא לא UNKNOWN או מחרוזת ריקה.
ClientAssetID event.idm.read_only_udm.principal.asset_id אם הערך לא 0 או מחרוזת ריקה, צריך להוסיף לפניו את התחילית Asset:.
ClientAssetName event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetName ממופה כתווית משאב ראשית.
ClientAssetRole event.idm.read_only_udm.principal.asset.attribute.roles[].name ממופים ישירות.
ClientAssetServices event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetServices", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetServices ממופה כתווית משאב ראשית.
לקוח event.idm.read_only_udm.principal.resource.attribute.labels[].key: "Client", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of Client ממופה כתווית משאב ראשית.
אספן event.idm.read_only_udm.security_result.detection_fields[].key: "Collector", event.idm.read_only_udm.security_result.detection_fields[].value: value of Collector ממופה כשדה זיהוי.
פקודה event.idm.read_only_udm.network.http.method ממופים ישירות לאירועי HTTP.
פקודה event.idm.read_only_udm.security_result.detection_fields[].key: "Command", event.idm.read_only_udm.security_result.detection_fields[].value: value of Command ממופה כשדה זיהוי.
חיבור event.idm.read_only_udm.security_result.detection_fields[].key: "Connection", event.idm.read_only_udm.security_result.detection_fields[].value: value of Connection ממופה כשדה זיהוי.
DecodingPath event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: value of DecodingPath ממופה כשדה זיהוי.
dest_country event.idm.read_only_udm.target.location.country_or_region ממופים ישירות.
dest_domain event.idm.read_only_udm.target.hostname ממופים ישירות.
dest_ip event.idm.read_only_udm.target.ip ממופים ישירות.
dest_port event.idm.read_only_udm.target.port מופה ישירות והומר למספר שלם.
כיוון event.idm.read_only_udm.security_result.detection_fields[].key: "Direction", event.idm.read_only_udm.security_result.detection_fields[].value: value of Direction ממופה כשדה זיהוי.
dns.host event.idm.read_only_udm.network.dns.questions[].name ממופה ישירות לאירועי DNS.
DomainName event.idm.read_only_udm.target.administrative_domain ממופים ישירות.
DomainAlexaRank event.idm.read_only_udm.security_result.detection_fields[].key: "DomainAlexaRank", event.idm.read_only_udm.security_result.detection_fields[].value: value of DomainAlexaRank ממופה כשדה זיהוי.
dport event.idm.read_only_udm.target.port מופה ישירות והומר למספר שלם.
dnsresolution.server_fqdn event.idm.read_only_udm.target.hostname ממופים ישירות.
משך event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: value of Duration ממופה כשדה זיהוי.
מוצפן event.idm.read_only_udm.security_result.detection_fields[].key: "Encrypted", event.idm.read_only_udm.security_result.detection_fields[].value: value of Encrypted ממופה כשדה זיהוי.
אנטרופיה event.idm.read_only_udm.security_result.detection_fields[].key: "Entropy", event.idm.read_only_udm.security_result.detection_fields[].value: value of Entropy ממופה כשדה זיהוי.
event.idm.read_only_udm.additional.fields event.idm.read_only_udm.additional.fields הוא מכיל שדות נוספים שונים שמבוססים על לוגיקת הניתוח.
event.idm.read_only_udm.metadata.description event.idm.read_only_udm.metadata.description ממופה ישירות משדה הסיכום.
event.idm.read_only_udm.metadata.event_type event.idm.read_only_udm.metadata.event_type הערך נקבע על סמך שדות שונים ביומן והלוגיקה של מנתח התוכן. יכול להיות GENERIC_EVENT,‏ NETWORK_CONNECTION,‏ NETWORK_HTTP,‏ NETWORK_SMTP,‏ NETWORK_DNS,‏ STATUS_UPDATE או NETWORK_FLOW.
event.idm.read_only_udm.metadata.log_type event.idm.read_only_udm.metadata.log_type מגדירים את הערך FIDELIS_NETWORK.
event.idm.read_only_udm.metadata.product_name event.idm.read_only_udm.metadata.product_name מגדירים את הערך FIDELIS_NETWORK.
event.idm.read_only_udm.metadata.vendor_name event.idm.read_only_udm.metadata.vendor_name מגדירים את הערך FIDELIS_NETWORK.
event.idm.read_only_udm.network.application_protocol event.idm.read_only_udm.network.application_protocol הערך נקבע על סמך השדה server_port או protocol. יכול להיות HTTP, ‏ HTTPS, ‏ SMTP, ‏ SSH, ‏ RPC, ‏ DNS, ‏ NFS, ‏ AOLMAIL.
event.idm.read_only_udm.network.direction event.idm.read_only_udm.network.direction נקבע על סמך שדה הכיוון או מילות המפתח בסיכום. יכול להיות INBOUND או OUTBOUND.
event.idm.read_only_udm.network.dns.answers event.idm.read_only_udm.network.dns.answers השדה הזה מאוכלס בנתונים של אירועי DNS.
event.idm.read_only_udm.network.dns.id event.idm.read_only_udm.network.dns.id ממופה משדה מספר לאירועי DNS.
event.idm.read_only_udm.network.dns.questions event.idm.read_only_udm.network.dns.questions השדה הזה מאוכלס בנתונים של אירועי DNS.
event.idm.read_only_udm.network.email.from event.idm.read_only_udm.network.email.from ממופה ישירות מהשדה 'מאת' אם זו כתובת אימייל תקינה.
event.idm.read_only_udm.network.email.subject event.idm.read_only_udm.network.email.subject ממופה ישירות מהנושא.
event.idm.read_only_udm.network.email.to event.idm.read_only_udm.network.email.to ממופה ישירות מהשדה 'אל'.
event.idm.read_only_udm.network.ftp.command event.idm.read_only_udm.network.ftp.command ממופה ישירות מ-ftp.command.
event.idm.read_only_udm.network.http.method event.idm.read_only_udm.network.http.method ממופה ישירות מ-http.command או מ-Command.
event.idm.read_only_udm.network.http.referral_url event.idm.read_only_udm.network.http.referral_url ממופה ישירות מההפניה.
event.idm.read_only_udm.network.http.response_code event.idm.read_only_udm.network.http.response_code ממופה ישירות מ-http.status_code או מ-StatusCode ומומר למספר שלם.
event.idm.read_only_udm.network.http.user_agent event.idm.read_only_udm.network.http.user_agent ממופה ישירות מ-http.useragent או מ-UserAgent.
event.idm.read_only_udm.network.ip_protocol event.idm.read_only_udm.network.ip_protocol ממופה ישירות מ-tproto אם מדובר ב-TCP או ב-UDP.
event.idm.read_only_udm.network.received_bytes event.idm.read_only_udm.network.received_bytes השם שונה מ-event1.server_packet_count והערך הומר למספר שלם לא מסומן.
event.idm.read_only_udm.network.sent_bytes event.idm.read_only_udm.network.sent_bytes השם שונה מ-event1.client_packet_count וההמרה בוצעה למספר שלם לא חתום.
event.idm.read_only_udm.network.session_duration.seconds event.idm.read_only_udm.network.session_duration.seconds השם שונה מ-event1.session_size והערך הומר למספר שלם.
event.idm.read_only_udm.network.session_id event.idm.read_only_udm.network.session_id ממופה ישירות מ-event1.rel_sesid או מ-UserSessionID.
event.idm.read_only_udm.network.tls.client.certificate.issuer event.idm.read_only_udm.network.tls.client.certificate.issuer ממופה ישירות מ-event1.certificate_issuer_name.
event.idm.read_only_udm.network.tls.client.certificate.not_after event.idm.read_only_udm.network.tls.client.certificate.not_after הערך הזה מנותח מתוך event1.certificate_end_date ומומר לחותמת זמן.
event.idm.read_only_udm.network.tls.client.certificate.not_before event.idm.read_only_udm.network.tls.client.certificate.not_before מנותח מ-event1.certificate_start_date ומומר לחותמת זמן.
event.idm.read_only_udm.network.tls.client.certificate.subject event.idm.read_only_udm.network.tls.client.certificate.subject ממופה ישירות מ-event1.certificate_subject_name.
event.idm.read_only_udm.network.tls.client.ja3 event.idm.read_only_udm.network.tls.client.ja3 מופה ישירות מ-event1.ja3digest והומר למחרוזת.
event.idm.read_only_udm.network.tls.cipher event.idm.read_only_udm.network.tls.cipher ממופה ישירות מ-event1.cipher,‏ CipherSuite,‏ cipher או event1.tls_ciphersuite.
event.idm.read_only_udm.network.tls.server.certificate.issuer event.idm.read_only_udm.network.tls.server.certificate.issuer מיפוי ישיר מהמאפיין certificate_issuer_name.
event.idm.read_only_udm.network.tls.server.certificate.subject event.idm.read_only_udm.network.tls.server.certificate.subject מיפוי ישיר מהמאפיין certificate_subject_name.
event.idm.read_only_udm.network.tls.server.ja3s event.idm.read_only_udm.network.tls.server.ja3s מופה ישירות מ-event1.ja3sdigest והומר למחרוזת.
event.idm.read_only_udm.network.tls.version event.idm.read_only_udm.network.tls.version ממופה ישירות מ-event1.version.
event.idm.read_only_udm.principal.application event.idm.read_only_udm.principal.application ממופה ישירות מ-event1.client_asset_name.
event.idm.read_only_udm.principal.asset.attribute.roles[].name event.idm.read_only_udm.principal.asset.attribute.roles[].name ממופה ישירות מ-ClientAssetRole.
event.idm.read_only_udm.principal.asset_id event.idm.read_only_udm.principal.asset_id מופה ישירות מ-ClientAssetID או מ-ServerAssetID (עם הקידומת 'Asset:‎').
event.idm.read_only_udm.principal.hostname event.idm.read_only_udm.principal.hostname ממופה ישירות מ-event1.sld או מ-src_domain.
event.idm.read_only_udm.principal.ip event.idm.read_only_udm.principal.ip ממופה ישירות מ-event1.src_ip6,‏ client_ip או ClientIP.
event.idm.read_only_udm.principal.location.country_or_region event.idm.read_only_udm.principal.location.country_or_region ממופה ישירות מ-ClientCountry או מ-src_country אם הערך הוא לא UNKNOWN או מחרוזת ריקה.
event.idm.read_only_udm.principal.port event.idm.read_only_udm.principal.port ממופה ישירות מ-event1.sport או מ-client_port ומומר למספר שלם.
event.idm.read_only_udm.principal.resource.attribute.labels event.idm.read_only_udm.principal.resource.attribute.labels מכיל תוויות שונות שמבוססות על הלוגיקה של מנתח התוכן.
event.idm.read_only_udm.principal.user.userid event.idm.read_only_udm.principal.user.userid ממופה ישירות מ-ftp.user או מ-AppUser.
event.idm.read_only_udm.security_result.action event.idm.read_only_udm.security_result.action נקבע לפי רמת החומרה. יכול להיות ALLOW,‏ BLOCK או UNKNOWN_ACTION.
event.idm.read_only_udm.security_result.action_details event.idm.read_only_udm.security_result.action_details ממופה ישירות מ-Action אם הערך הוא לא none או מחרוזת ריקה.
event.idm.read_only_udm.security_result.category event.idm.read_only_udm.security_result.category הערך שמוגדר הוא NETWORK_SUSPICIOUS אם קיים malware_type.
event.idm.read_only_udm.security_result.detection_fields event.idm.read_only_udm.security_result.detection_fields מכיל שדות שונים של זיהוי שמבוססים על הלוגיקה של כלי הניתוח.
event.idm.read_only_udm.security_result.rule_name event.idm.read_only_udm.security_result.rule_name מיפוי ישיר מהמאפיין rule_name.
event.idm.read_only_udm.security_result.severity event.idm.read_only_udm.security_result.severity נקבע לפי רמת החומרה. יכול להיות INFORMATIONAL,‏ MEDIUM,‏ ERROR או CRITICAL.
event.idm.read_only_udm.security_result.summary event.idm.read_only_udm.security_result.summary ממופה ישירות מהתווית.
event.idm.read_only_udm.security_result.threat_name event.idm.read_only_udm.security_result.threat_name מופה ישירות מ-malware_type או מפוענח מסיכום אם הוא מכיל את המחרוזת 'CVE-‎'.
event.idm.read_only_udm.target.administrative_domain event.idm.read_only_udm.target.administrative_domain ממופה ישירות מ-DomainName.
event.idm.read_only_udm.target.asset.attribute.roles[].name event.idm.read_only_udm.target.asset.attribute.roles[].name ממופה ישירות מ-ServerAssetRole.
event.idm.read_only_udm.target.file.full_path event.idm.read_only_udm.target.file.full_path ממופה ישירות מ-ftp.filename או Filename.
event.idm.read_only_udm.target.file.md5 event.idm.read_only_udm.target.file.md5 ממופה ישירות מ-event1.md5 או מ-md5.
event.idm.read_only_udm.target.file.mime_type event.idm.read_only_udm.target.file.mime_type ממופה ישירות מ-event1.filetype.
event.idm.read_only_udm.target.file.sha1 event.idm.read_only_udm.target.file.sha1 מופה ישירות מ-event1.srvcerthash.
event.idm.read_only_udm.target.file.sha256 event.idm.read_only_udm.target.file.sha256 ממופה ישירות מ-event1.sha256 או מ-sha256.
event.idm.read_only_udm.target.file.size event.idm.read_only_udm.target.file.size השם שונה מ-event1.filesize והערך הומר למספר שלם לא מסומן אם הוא לא 0.
event.idm.read_only_udm.target.hostname event.idm.read_only_udm.target.hostname ממופה ישירות מ-event1.sni,‏ dest_domain או Host.
event.idm.read_only_udm.target.ip event.idm.read_only_udm.target.ip ממופה ישירות מ-event1.dst_ip6 או מ-server_ip או מ-ServerIP.
event.idm.read_only_udm.target.location.country_or_region event.idm.read_only_udm.target.location.country_or_region ממופה ישירות מ-dest_country או מ-ServerCountry.
event.idm.read_only_udm.target.platform event.idm.read_only_udm.target.platform ממופה מ-asset_os אחרי נרמול.
event.idm.read_only_udm.target.platform_version event.idm.read_only_udm.target.platform_version ממופה ישירות מ-os_version.
event.idm.read_only_udm.target.port event.idm.read_only_udm.target.port ממופה ישירות מ-event1.dport או מ-server_port ומומר למספר שלם.
event.idm.read_only_udm.target.resource.attribute.labels event.idm.read_only_udm.target.resource.attribute.labels מכיל תוויות שונות שמבוססות על הלוגיקה של מנתח התוכן.
event.idm.read_only_udm.target.url event.idm.read_only_udm.target.url ממופה ישירות מכתובת אתר או מכתובת URL.
event.idm.read_only_udm.target.user.product_object_id event.idm.read_only_udm.target.user.product_object_id מיפוי ישיר מ-uuid.
event1.certificate_end_date event.idm.read_only_udm.network.tls.client.certificate.not_after הערך מנותח ומומר לחותמת זמן.
event1.certificate_extended_key_usage event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_extended_key_usage ממופה כשדה נוסף.
event1.certificate_issuer_name event.idm.read_only_udm.network.tls.client.certificate.issuer ממופים ישירות.
event1.certificate_key_length event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_length ממופה כשדה נוסף.
event1.certificate_key_usage event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_usage ממופה כשדה נוסף.
event1.certificate_start_date event.idm.read_only_udm.network.tls.client.certificate.not_before הערך מנותח ומומר לחותמת זמן.
event1.certificate_subject_altname event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_subject_altname ממופה כשדה נוסף.
event1.certificate_subject_name event.idm.read_only_udm.network.tls.client.certificate.subject ממופים ישירות.
event1.client_asset_name event.idm.read_only_udm.principal.application ממופים ישירות.
event1.client_asset_subnet event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.client_asset_subnet ממופה כשדה נוסף.
event1.client_packet_count event.idm.read_only_udm.network.sent_bytes הערך הומר למספר שלם לא חתום ושמו שונה.
event1.cipher event.idm.read_only_udm.network.tls.cipher ממופים ישירות.
event1.direction event.idm.read_only_udm.network.direction הערך INBOUND אם הכיוון הוא s2c, או הערך OUTBOUND אם הכיוון הוא c2s.
event1.dport event.idm.read_only_udm.target.port הערך של event1.dport מיומן הגולמי מומר למספר שלם וממופה לשדה target.port.
event1.dst_ip6 event.idm.read_only_udm.target.ip הערך של event1.dst_ip6 מיומן הגולמי ממופה לשדה target.ip.
event1.filetype event.idm.read_only_udm.target.file.mime_type הערך של event1.filetype מיומן הגולמי ממופה לשדה target.file.mime_type.
event1.filesize event.idm.read_only_udm.target.file.size הערך של event1.filesize מיומן הגולמי מומר למספר שלם לא חתום וממופה לשדה target.file.size אם הוא לא 0.
event1.ja3digest event.idm.read_only_udm.network.tls.client.ja3 הערך של event1.ja3digest מיומן הגולמי מומר למחרוזת וממופה לשדה network.tls.client.ja3.
event1.ja3sdigest event.idm.read_only_udm.network.tls.server.ja3s הערך של event1.ja3sdigest מיומן הגולמי מומר למחרוזת וממופה לשדה network.tls.server.ja3s.
event1.md5 event.idm.read_only_udm.target.file.md5 הערך של event1.md5 מיומן הגולמי ממופה לשדה target.file.md5.
event1.rel_sesid event.idm.read_only_udm.network.session_id הערך של event1.rel_sesid מיומן הגולמי ממופה לשדה network.session_id.
event1.server_packet_count event.idm.read_only_udm.network.received_bytes הערך של event1.server_packet_count מיומן הגולמי מומר למספר שלם לא חתום וממופה לשדה network.received_bytes.
event1.session_size event.idm.read_only_udm.network.session_duration.seconds הערך של event1.session_size מיומן הגולמי מומר למספר שלם וממופה לשדה network.session_duration.seconds.
event1.sha256 event.idm.read_only_udm.target.file.sha256 הערך של event1.sha256 מיומן הגולמי ממופה לשדה target.file.sha256.
event1.sld event.idm.read_only_udm.principal.hostname הערך של event1.sld מיומן הגולמי ממופה לשדה principal.hostname.
event1.sni event.idm.read_only_udm.target.hostname הערך של event1.sni מיומן הגולמי ממופה לשדה target.hostname.
event1.sport event.idm.read_only_udm.principal.port הערך של event1.sport מיומן הגולמי מומר למספר שלם וממופה לשדה principal.port.
event1.src_ip6 event.idm.read_only_udm.principal.ip הערך של event1.src_ip6 מיומן הגולמי ממופה לשדה principal.ip.
event1.srvcerthash event.idm.read_only_udm.target.file.sha1 הערך של event1.srvcerthash מיומן הגולמי ממופה לשדה target.file.sha1.
event1.tls_ciphersuite event.idm.read_only_udm.network.tls.cipher הערך של event1.tls_ciphersuite מיומן הגולמי ממופה לשדה network.tls.cipher.
event1.version event.idm.read_only_udm.network.tls.version הערך של event1.version מיומן הגולמי ממופה לשדה network.tls.version.
שם קובץ event.idm.read_only_udm.target.file.full_path הערך של Filename מיומן הגולמי ממופה לשדה target.file.full_path.
מאת event.idm.read_only_udm.network.email.from הערך של From מהיומן הגולמי ממופה לשדה network.email.from אם זו כתובת אימייל תקינה.
ftp.command event.idm.read_only_udm.network.ftp.command הערך של ftp.command מיומן הגולמי ממופה לשדה network.ftp.command.
ftp.filename event.idm.read_only_udm.target.file.full_path הערך של ftp.filename מיומן הגולמי ממופה לשדה target.file.full_path.
ftp.user event.idm.read_only_udm.principal.user.userid הערך של ftp.user מיומן הגולמי ממופה לשדה principal.user.userid.
מארח event.idm.read_only_udm.target.hostname הערך של Host מיומן הגולמי ממופה לשדה target.hostname.
http.command event.idm.read_only_udm.network.http.method הערך של http.command מיומן הגולמי ממופה לשדה network.http.method.
http.status_code event.idm.read_only_udm.network.http.response_code הערך של http.status_code מיומן הגולמי מומר למספר שלם וממופה לשדה network.http.response_code.
http.useragent event.idm.read_only_udm.network.http.user_agent הערך של http.useragent מיומן הגולמי ממופה לשדה network.http.user_agent.
תווית event.idm.read_only_udm.security_result.summary הערך של label מיומן הגולמי ממופה לשדה security_result.summary.
malware_type event.idm.read_only_udm.security_result.threat_name הערך של malware_type מיומן הגולמי ממופה לשדה security_result.threat_name.
md5 event.idm.read_only_udm.target.file.md5 הערך של md5 מיומן הגולמי ממופה לשדה target.file.md5.
מספר event.idm.read_only_udm.network.dns.id הערך של number מיומן הגולמי ממופה לשדה network.dns.id עבור אירועי DNS.
os_version event.idm.read_only_udm.target.platform_version הערך של os_version מיומן הגולמי ממופה לשדה target.platform_version.
מפנה event.idm.read_only_udm.network.http.referral_url הערך של Referer מיומן הגולמי ממופה לשדה network.http.referral_url.
rule_name event.idm.read_only_udm.security_result.rule_name הערך של rule_name מיומן הגולמי ממופה לשדה security_result.rule_name.
server_ip event.idm.read_only_udm.target.ip הערך של server_ip מיומן הגולמי ממופה לשדה target.ip.
server_port event.idm.read_only_udm.target.port הערך של server_port מיומן הגולמי מומר למספר שלם וממופה לשדה target.port.
ServerAssetID event.idm.read_only_udm.principal.asset_id הערך של ServerAssetID מיומן הגולמי מתחיל ב-Asset:‎ וממופה לשדה principal.asset_id אם הוא לא 0 או ריק.
ServerAssetRole event.idm.read_only_udm.target.asset.attribute.roles[].name הערך של ServerAssetRole מיומן הגולמי ממופה לשדה target.asset.attribute.roles[].name.
ServerCountry event.idm.read_only_udm.target.location.country_or_region הערך של ServerCountry מיומן הגולמי ממופה לשדה target.location.country_or_region.
ServerIP event.idm.read_only_udm.target.ip הערך של ServerIP מיומן הגולמי ממופה לשדה target.ip.
sha256 event.idm.read_only_udm.target.file.sha256 הערך של sha256 מיומן הגולמי ממופה לשדה target.file.sha256.
src_country event.idm.read_only_udm.principal.location.country_or_region הערך של src_country ממידע היומן הגולמי ממופה לשדה principal.location.country_or_region אם הוא לא 'UNKNOWN' או ריק.
src_domain event.idm.read_only_udm.principal.hostname הערך של src_domain מיומן הגולמי ממופה לשדה principal.hostname.
StatusCode event.idm.read_only_udm.network.http.response_code הערך של StatusCode מיומן הגולמי מומר למספר שלם וממופה לשדה network.http.response_code.
נושא event.idm.read_only_udm.network.email.subject הערך של Subject מיומן הגולמי ממופה לשדה network.email.subject.
סיכום event.idm.read_only_udm.metadata.description הערך של summary מיומן הגולמי ממופה לשדה metadata.description.
אל event.idm.read_only_udm.network.email.to הערך של To מיומן הגולמי ממופה לשדה network.email.to.
tproto event.idm.read_only_udm.network.ip_protocol הערך של tproto מיומן הגולמי ממופה לשדה network.ip_protocol אם הוא TCP או UDP.
url event.idm.read_only_udm.target.url הערך של url מיומן הגולמי ממופה לשדה target.url.
כתובת URL event.idm.read_only_udm.target.url הערך של URL מיומן הגולמי ממופה לשדה target.url.
UserAgent event.idm.read_only_udm.network.http.user_agent הערך של UserAgent מיומן הגולמי ממופה לשדה network.http.user_agent.
UserSessionID event.idm.read_only_udm.network.session_id הערך של UserSessionID מיומן הגולמי ממופה לשדה network.session_id.
uuid event.idm.read_only_udm.target.user.product_object_id הערך של uuid מיומן הגולמי ממופה לשדה target.user.product_object_id.
לא רלוונטי event.idm.read_only_udm.metadata.log_type מגדירים את הערך FIDELIS_NETWORK.
לא רלוונטי event.idm.read_only_udm.metadata.product_name מגדירים את הערך FIDELIS_NETWORK.
לא רלוונטי event.idm.read_only_udm.metadata.vendor_name מגדירים את הערך FIDELIS_NETWORK.
msg event.idm.read_only_udm.metadata.description מופה מיומן השינויים
suser event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
event1.tproto network.ip_protocol מופה מיומן השינויים
event1.server_asset_subnet read_only_udm.additional.fields מופה מיומן השינויים
event1.sha1hash read_only_udm.additional.fields מופה מיומן השינויים
event1.type read_only_udm.additional.fields מופה מיומן השינויים
event1.histbuf read_only_udm.additional.fields מופה מיומן השינויים
event1.sen_name read_only_udm.additional.fields מופה מיומן השינויים
exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score security_result.detection_fields מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.