Mengumpulkan log Fidelis Network

Versi Parser: 8.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log Fidelis Network ke Google Security Operations menggunakan Bindplane.

Fidelis Network adalah solusi deteksi dan respons jaringan (NDR) yang menyediakan inspeksi konten mendalam, analisis tingkat sesi, dan respons ancaman otomatis. Layanan ini memantau traffic jaringan secara real-time untuk mendeteksi ancaman tingkat lanjut, upaya pemindahan data yang tidak sah, dan pelanggaran kebijakan di semua port dan protokol. Parser mengekstrak kolom dari log berformat syslog Fidelis Network menggunakan pola KV dan JSON. Kemudian, nilai ini dipetakan ke Model Data Terpadu (UDM). Layanan ini juga menetapkan nilai metadata default untuk sumber dan jenis peristiwa.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke antarmuka web Fidelis Network CommandPost

Mendapatkan file autentikasi penyerapan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.

  3. Download File Autentikasi Penyerapan. Simpan file dengan aman di sistem tempat BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Profil.

  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

  • Linux:

    sudo systemctl status observiq-otel-collector

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'FIDELIS_NETWORK'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • tcplog: Gunakan udplog untuk syslog UDP atau tcplog untuk syslog TCP
    • 0.0.0.0: Alamat IP yang akan didengarkan (0.0.0.0 untuk mendengarkan semua antarmuka)
    • 514: Nomor port yang akan diproses (port syslog standar)

  • Konfigurasi pengekspor:

    • creds_file_path: Jalur lengkap ke file autentikasi penyerapan:
      • Linux: /etc/bindplane-agent/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID: ID Pelanggan dari bagian Dapatkan ID pelanggan
    • endpoint: URL endpoint regional:
      • Amerika Serikat: malachiteingestion-pa.googleapis.com
      • Eropa: europe-malachiteingestion-pa.googleapis.com
      • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
      • Lihat Endpoint Regional untuk mengetahui daftar lengkapnya
    • log_type: Jenis log persis seperti yang muncul di Chronicle (FIDELIS_NETWORK)

Simpan file konfigurasi

  • Setelah mengedit, simpan file:
    • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
    • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Pastikan layanan sedang berjalan:

    sudo systemctl status observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Konsol layanan:
      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Mulai ulang.

  2. Pastikan layanan sedang berjalan:

    sc query observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog Fidelis Network

  1. Login ke antarmuka web CommandPost Fidelis Network.
  2. Buka Sistem > Ekspor > Syslog.
  3. Klik Tambahkan Server Syslog.
  4. Berikan detail konfigurasi berikut:
    • Name: Masukkan nama deskriptif (misalnya, Google-SecOps-Bindplane).
    • Alamat IP/Nama Host: Masukkan alamat IP host agen Bindplane.
    • Port: Masukkan 514.
    • Protocol: Pilih TCP.
    • Format: Pilih CEF (Common Event Format) atau Syslog berdasarkan persyaratan parsing Anda.
    • Fasilitas: Pilih LOCAL0 (atau fasilitas pilihan Anda).
    • Tingkat keparahan: Pilih Informasional (atau tingkat keparahan yang Anda inginkan).
  5. Di bagian Jenis Pemberitahuan, pilih peristiwa yang akan diteruskan:
    • Peristiwa pemberitahuan
    • Peristiwa malware
    • Peristiwa DLP
    • Peristiwa DNS
    • Peristiwa sesi
  6. Klik Simpan.
  7. Pastikan pesan syslog dikirim dengan memeriksa log agen Bindplane.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
aaction event.idm.read_only_udm.security_result.action_details Dipetakan secara langsung jika bukan "none" atau string kosong.
alert_threat_score event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: nilai alert_threat_score Dipetakan langsung sebagai kolom deteksi.
alert_type event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_type Dipetakan langsung sebagai kolom deteksi.
jawaban event.idm.read_only_udm.network.dns.answers[].data Dipetakan secara langsung untuk peristiwa DNS.
application_user event.idm.read_only_udm.principal.user.userid Dipetakan secara langsung.
asset_os event.idm.read_only_udm.target.platform Dinormalisasi ke WINDOWS, LINUX, MAC, atau UNKNOWN_PLATFORM.
certificate.end_date event.idm.read_only_udm.network.tls.client.certificate.not_after Diparsing dan dikonversi menjadi stempel waktu.
certificate.extended_key_usage event.idm.read_only_udm.additional.fields[].key: "Penggunaan Kunci yang Diperluas", event.idm.read_only_udm.additional.fields[].value.string_value: nilai certificate.extended_key_usage Dipetakan sebagai kolom tambahan.
certificate.issuer_name event.idm.read_only_udm.network.tls.server.certificate.issuer Dipetakan secara langsung.
certificate.key_length event.idm.read_only_udm.additional.fields[].key: "Panjang Kunci", event.idm.read_only_udm.additional.fields[].value.string_value: nilai certificate.key_length Dipetakan sebagai kolom tambahan.
certificate.key_usage event.idm.read_only_udm.additional.fields[].key: "Penggunaan Kunci", event.idm.read_only_udm.additional.fields[].value.string_value: nilai certificate.key_usage Dipetakan sebagai kolom tambahan.
certificate.start_date event.idm.read_only_udm.network.tls.client.certificate.not_before Diparsing dan dikonversi menjadi stempel waktu.
certificate.subject_altname event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.subject_altname Dipetakan sebagai kolom tambahan.
certificate.subject_name event.idm.read_only_udm.network.tls.server.certificate.subject Dipetakan secara langsung.
certificate.type event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.type Dipetakan sebagai kolom tambahan.
cipher event.idm.read_only_udm.network.tls.cipher Dipetakan secara langsung.
client_asset_name event.idm.read_only_udm.principal.application Dipetakan secara langsung.
client_asset_subnet event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of client_asset_subnet Dipetakan sebagai kolom tambahan.
client_ip event.idm.read_only_udm.principal.ip Dipetakan secara langsung.
client_port event.idm.read_only_udm.principal.port Dipetakan dan dikonversi langsung ke bilangan bulat.
ClientIP event.idm.read_only_udm.principal.ip Dipetakan secara langsung.
ClientPort event.idm.read_only_udm.principal.port Dipetakan dan dikonversi langsung ke bilangan bulat.
ClientCountry event.idm.read_only_udm.principal.location.country_or_region Dipetakan secara langsung jika bukan "UNKNOWN" atau string kosong.
ClientAssetID event.idm.read_only_udm.principal.asset_id Diberi awalan "Aset:" jika bukan "0" atau string kosong.
ClientAssetName event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: nilai ClientAssetName Dipetakan sebagai label resource utama.
ClientAssetRole event.idm.read_only_udm.principal.asset.attribute.roles[].name Dipetakan secara langsung.
ClientAssetServices event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetServices", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of ClientAssetServices Dipetakan sebagai label resource utama.
Klien event.idm.read_only_udm.principal.resource.attribute.labels[].key: "Client", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of Client Dipetakan sebagai label resource utama.
Pengumpul event.idm.read_only_udm.security_result.detection_fields[].key: "Collector", event.idm.read_only_udm.security_result.detection_fields[].value: value of Collector Dipetakan sebagai kolom deteksi.
perintah event.idm.read_only_udm.network.http.method Dipetakan langsung untuk peristiwa HTTP.
Perintah event.idm.read_only_udm.security_result.detection_fields[].key: "Command", event.idm.read_only_udm.security_result.detection_fields[].value: value of Command Dipetakan sebagai kolom deteksi.
Koneksi event.idm.read_only_udm.security_result.detection_fields[].key: "Connection", event.idm.read_only_udm.security_result.detection_fields[].value: value of Connection Dipetakan sebagai kolom deteksi.
DecodingPath event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: nilai DecodingPath Dipetakan sebagai kolom deteksi.
dest_country event.idm.read_only_udm.target.location.country_or_region Dipetakan secara langsung.
dest_domain event.idm.read_only_udm.target.hostname Dipetakan secara langsung.
dest_ip event.idm.read_only_udm.target.ip Dipetakan secara langsung.
dest_port event.idm.read_only_udm.target.port Dipetakan dan dikonversi langsung ke bilangan bulat.
Arah event.idm.read_only_udm.security_result.detection_fields[].key: "Arah", event.idm.read_only_udm.security_result.detection_fields[].value: nilai Arah Dipetakan sebagai kolom deteksi.
dns.host event.idm.read_only_udm.network.dns.questions[].name Dipetakan secara langsung untuk peristiwa DNS.
DomainName event.idm.read_only_udm.target.administrative_domain Dipetakan secara langsung.
DomainAlexaRank event.idm.read_only_udm.security_result.detection_fields[].key: "DomainAlexaRank", event.idm.read_only_udm.security_result.detection_fields[].value: nilai DomainAlexaRank Dipetakan sebagai kolom deteksi.
dport event.idm.read_only_udm.target.port Dipetakan dan dikonversi langsung ke bilangan bulat.
dnsresolution.server_fqdn event.idm.read_only_udm.target.hostname Dipetakan secara langsung.
Durasi event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: value of Duration Dipetakan sebagai kolom deteksi.
Dienkripsi event.idm.read_only_udm.security_result.detection_fields[].key: "Encrypted", event.idm.read_only_udm.security_result.detection_fields[].value: value of Encrypted Dipetakan sebagai kolom deteksi.
Entropi event.idm.read_only_udm.security_result.detection_fields[].key: "Entropy", event.idm.read_only_udm.security_result.detection_fields[].value: value of Entropy Dipetakan sebagai kolom deteksi.
event.idm.read_only_udm.additional.fields event.idm.read_only_udm.additional.fields Berisi berbagai kolom tambahan berdasarkan logika parser.
event.idm.read_only_udm.metadata.description event.idm.read_only_udm.metadata.description Dipetakan langsung dari kolom ringkasan.
event.idm.read_only_udm.metadata.event_type event.idm.read_only_udm.metadata.event_type Ditentukan berdasarkan berbagai kolom log dan logika parser. Dapat berupa GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_HTTP, NETWORK_SMTP, NETWORK_DNS, STATUS_UPDATE, NETWORK_FLOW.
event.idm.read_only_udm.metadata.log_type event.idm.read_only_udm.metadata.log_type Setel ke "FIDELIS_NETWORK".
event.idm.read_only_udm.metadata.product_name event.idm.read_only_udm.metadata.product_name Setel ke "FIDELIS_NETWORK".
event.idm.read_only_udm.metadata.vendor_name event.idm.read_only_udm.metadata.vendor_name Setel ke "FIDELIS_NETWORK".
event.idm.read_only_udm.network.application_protocol event.idm.read_only_udm.network.application_protocol Ditentukan berdasarkan kolom server_port atau protokol. Dapat berupa HTTP, HTTPS, SMTP, SSH, RPC, DNS, NFS, AOLMAIL.
event.idm.read_only_udm.network.direction event.idm.read_only_udm.network.direction Ditentukan berdasarkan kolom arah atau kata kunci dalam ringkasan. Dapat berupa INBOUND atau OUTBOUND.
event.idm.read_only_udm.network.dns.answers event.idm.read_only_udm.network.dns.answers Diisi untuk peristiwa DNS.
event.idm.read_only_udm.network.dns.id event.idm.read_only_udm.network.dns.id Dipetakan dari kolom angka untuk peristiwa DNS.
event.idm.read_only_udm.network.dns.questions event.idm.read_only_udm.network.dns.questions Diisi untuk peristiwa DNS.
event.idm.read_only_udm.network.email.from event.idm.read_only_udm.network.email.from Dipetakan langsung dari Dari jika merupakan alamat email yang valid.
event.idm.read_only_udm.network.email.subject event.idm.read_only_udm.network.email.subject Dipetakan langsung dari Subjek.
event.idm.read_only_udm.network.email.to event.idm.read_only_udm.network.email.to Dipetakan langsung dari To.
event.idm.read_only_udm.network.ftp.command event.idm.read_only_udm.network.ftp.command Dipetakan langsung dari ftp.command.
event.idm.read_only_udm.network.http.method event.idm.read_only_udm.network.http.method Dipetakan langsung dari http.command atau Command.
event.idm.read_only_udm.network.http.referral_url event.idm.read_only_udm.network.http.referral_url Dipetakan langsung dari Referer.
event.idm.read_only_udm.network.http.response_code event.idm.read_only_udm.network.http.response_code Dipetakan langsung dari http.status_code atau StatusCode dan dikonversi menjadi bilangan bulat.
event.idm.read_only_udm.network.http.user_agent event.idm.read_only_udm.network.http.user_agent Dipetakan langsung dari http.useragent atau UserAgent.
event.idm.read_only_udm.network.ip_protocol event.idm.read_only_udm.network.ip_protocol Dipetakan langsung dari tproto jika berupa TCP atau UDP.
event.idm.read_only_udm.network.received_bytes event.idm.read_only_udm.network.received_bytes Diganti namanya dari event1.server_packet_count dan dikonversi menjadi bilangan bulat tidak bertanda.
event.idm.read_only_udm.network.sent_bytes event.idm.read_only_udm.network.sent_bytes Diganti namanya dari event1.client_packet_count dan dikonversi menjadi bilangan bulat tidak bertanda.
event.idm.read_only_udm.network.session_duration.seconds event.idm.read_only_udm.network.session_duration.seconds Diganti namanya dari event1.session_size dan dikonversi menjadi bilangan bulat.
event.idm.read_only_udm.network.session_id event.idm.read_only_udm.network.session_id Dipetakan langsung dari event1.rel_sesid atau UserSessionID.
event.idm.read_only_udm.network.tls.client.certificate.issuer event.idm.read_only_udm.network.tls.client.certificate.issuer Dipetakan langsung dari event1.certificate_issuer_name.
event.idm.read_only_udm.network.tls.client.certificate.not_after event.idm.read_only_udm.network.tls.client.certificate.not_after Diuraikan dari event1.certificate_end_date dan dikonversi menjadi stempel waktu.
event.idm.read_only_udm.network.tls.client.certificate.not_before event.idm.read_only_udm.network.tls.client.certificate.not_before Diuraikan dari event1.certificate_start_date dan dikonversi menjadi stempel waktu.
event.idm.read_only_udm.network.tls.client.certificate.subject event.idm.read_only_udm.network.tls.client.certificate.subject Dipetakan langsung dari event1.certificate_subject_name.
event.idm.read_only_udm.network.tls.client.ja3 event.idm.read_only_udm.network.tls.client.ja3 Dipetakan langsung dari event1.ja3digest dan dikonversi menjadi string.
event.idm.read_only_udm.network.tls.cipher event.idm.read_only_udm.network.tls.cipher Dipetakan langsung dari event1.cipher, CipherSuite, cipher, atau event1.tls_ciphersuite.
event.idm.read_only_udm.network.tls.server.certificate.issuer event.idm.read_only_udm.network.tls.server.certificate.issuer Dipetakan langsung dari certificate_issuer_name.
event.idm.read_only_udm.network.tls.server.certificate.subject event.idm.read_only_udm.network.tls.server.certificate.subject Dipetakan langsung dari certificate_subject_name.
event.idm.read_only_udm.network.tls.server.ja3s event.idm.read_only_udm.network.tls.server.ja3s Dipetakan langsung dari event1.ja3sdigest dan dikonversi menjadi string.
event.idm.read_only_udm.network.tls.version event.idm.read_only_udm.network.tls.version Dipetakan langsung dari event1.version.
event.idm.read_only_udm.principal.application event.idm.read_only_udm.principal.application Dipetakan langsung dari event1.client_asset_name.
event.idm.read_only_udm.principal.asset.attribute.roles[].name event.idm.read_only_udm.principal.asset.attribute.roles[].name Dipetakan langsung dari ClientAssetRole.
event.idm.read_only_udm.principal.asset_id event.idm.read_only_udm.principal.asset_id Dipetakan langsung dari ClientAssetID atau ServerAssetID (diawali dengan "Asset:").
event.idm.read_only_udm.principal.hostname event.idm.read_only_udm.principal.hostname Dipetakan langsung dari event1.sld atau src_domain.
event.idm.read_only_udm.principal.ip event.idm.read_only_udm.principal.ip Dipetakan langsung dari event1.src_ip6, client_ip, atau ClientIP.
event.idm.read_only_udm.principal.location.country_or_region event.idm.read_only_udm.principal.location.country_or_region Dipetakan langsung dari ClientCountry atau src_country jika bukan "UNKNOWN" atau string kosong.
event.idm.read_only_udm.principal.port event.idm.read_only_udm.principal.port Dipetakan langsung dari event1.sport atau client_port dan dikonversi menjadi bilangan bulat.
event.idm.read_only_udm.principal.resource.attribute.labels event.idm.read_only_udm.principal.resource.attribute.labels Berisi berbagai label berdasarkan logika parser.
event.idm.read_only_udm.principal.user.userid event.idm.read_only_udm.principal.user.userid Dipetakan langsung dari ftp.user atau AppUser.
event.idm.read_only_udm.security_result.action event.idm.read_only_udm.security_result.action Ditentukan berdasarkan tingkat keparahan. Dapat berupa ALLOW, BLOCK, atau UNKNOWN_ACTION.
event.idm.read_only_udm.security_result.action_details event.idm.read_only_udm.security_result.action_details Dipetakan langsung dari Tindakan jika bukan "none" atau string kosong.
event.idm.read_only_udm.security_result.category event.idm.read_only_udm.security_result.category Disetel ke NETWORK_SUSPICIOUS jika malware_type ada.
event.idm.read_only_udm.security_result.detection_fields event.idm.read_only_udm.security_result.detection_fields Berisi berbagai kolom deteksi berdasarkan logika parser.
event.idm.read_only_udm.security_result.rule_name event.idm.read_only_udm.security_result.rule_name Dipetakan langsung dari rule_name.
event.idm.read_only_udm.security_result.severity event.idm.read_only_udm.security_result.severity Ditentukan berdasarkan tingkat keparahan. Dapat berupa INFORMATIONAL, MEDIUM, ERROR, atau CRITICAL.
event.idm.read_only_udm.security_result.summary event.idm.read_only_udm.security_result.summary Dipetakan langsung dari label.
event.idm.read_only_udm.security_result.threat_name event.idm.read_only_udm.security_result.threat_name Dipetakan langsung dari malware_type atau diuraikan dari summary jika berisi "CVE-".
event.idm.read_only_udm.target.administrative_domain event.idm.read_only_udm.target.administrative_domain Dipetakan langsung dari DomainName.
event.idm.read_only_udm.target.asset.attribute.roles[].name event.idm.read_only_udm.target.asset.attribute.roles[].name Dipetakan langsung dari ServerAssetRole.
event.idm.read_only_udm.target.file.full_path event.idm.read_only_udm.target.file.full_path Dipetakan langsung dari ftp.filename atau Filename.
event.idm.read_only_udm.target.file.md5 event.idm.read_only_udm.target.file.md5 Dipetakan langsung dari event1.md5 atau md5.
event.idm.read_only_udm.target.file.mime_type event.idm.read_only_udm.target.file.mime_type Dipetakan langsung dari event1.filetype.
event.idm.read_only_udm.target.file.sha1 event.idm.read_only_udm.target.file.sha1 Dipetakan langsung dari event1.srvcerthash.
event.idm.read_only_udm.target.file.sha256 event.idm.read_only_udm.target.file.sha256 Dipetakan langsung dari event1.sha256 atau sha256.
event.idm.read_only_udm.target.file.size event.idm.read_only_udm.target.file.size Diganti namanya dari event1.filesize dan dikonversi menjadi bilangan bulat yang tidak bertanda tangan jika bukan 0.
event.idm.read_only_udm.target.hostname event.idm.read_only_udm.target.hostname Dipetakan langsung dari event1.sni, dest_domain, atau Host.
event.idm.read_only_udm.target.ip event.idm.read_only_udm.target.ip Dipetakan langsung dari event1.dst_ip6 atau server_ip atau ServerIP.
event.idm.read_only_udm.target.location.country_or_region event.idm.read_only_udm.target.location.country_or_region Dipetakan langsung dari dest_country atau ServerCountry.
event.idm.read_only_udm.target.platform event.idm.read_only_udm.target.platform Dipetakan dari asset_os setelah normalisasi.
event.idm.read_only_udm.target.platform_version event.idm.read_only_udm.target.platform_version Dipetakan langsung dari os_version.
event.idm.read_only_udm.target.port event.idm.read_only_udm.target.port Dipetakan langsung dari event1.dport atau server_port dan dikonversi menjadi bilangan bulat.
event.idm.read_only_udm.target.resource.attribute.labels event.idm.read_only_udm.target.resource.attribute.labels Berisi berbagai label berdasarkan logika parser.
event.idm.read_only_udm.target.url event.idm.read_only_udm.target.url Dipetakan langsung dari URL atau URL.
event.idm.read_only_udm.target.user.product_object_id event.idm.read_only_udm.target.user.product_object_id Dipetakan langsung dari UUID.
event1.certificate_end_date event.idm.read_only_udm.network.tls.client.certificate.not_after Diparsing dan dikonversi menjadi stempel waktu.
event1.certificate_extended_key_usage event.idm.read_only_udm.additional.fields[].key: "Penggunaan Kunci yang Diperluas", event.idm.read_only_udm.additional.fields[].value.string_value: nilai event1.certificate_extended_key_usage Dipetakan sebagai kolom tambahan.
event1.certificate_issuer_name event.idm.read_only_udm.network.tls.client.certificate.issuer Dipetakan secara langsung.
event1.certificate_key_length event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_length Dipetakan sebagai kolom tambahan.
event1.certificate_key_usage event.idm.read_only_udm.additional.fields[].key: "Penggunaan Kunci", event.idm.read_only_udm.additional.fields[].value.string_value: nilai event1.certificate_key_usage Dipetakan sebagai kolom tambahan.
event1.certificate_start_date event.idm.read_only_udm.network.tls.client.certificate.not_before Diparsing dan dikonversi menjadi stempel waktu.
event1.certificate_subject_altname event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_subject_altname Dipetakan sebagai kolom tambahan.
event1.certificate_subject_name event.idm.read_only_udm.network.tls.client.certificate.subject Dipetakan secara langsung.
event1.client_asset_name event.idm.read_only_udm.principal.application Dipetakan secara langsung.
event1.client_asset_subnet event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.client_asset_subnet Dipetakan sebagai kolom tambahan.
event1.client_packet_count event.idm.read_only_udm.network.sent_bytes Dikonversi menjadi bilangan bulat yang tidak bertanda tangan dan diganti namanya.
event1.cipher event.idm.read_only_udm.network.tls.cipher Dipetakan secara langsung.
event1.direction event.idm.read_only_udm.network.direction Dipetakan ke INBOUND jika "s2c" atau OUTBOUND jika "c2s".
event1.dport event.idm.read_only_udm.target.port Nilai event1.dport dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom target.port.
event1.dst_ip6 event.idm.read_only_udm.target.ip Nilai event1.dst_ip6 dari log mentah dipetakan ke kolom target.ip.
event1.filetype event.idm.read_only_udm.target.file.mime_type Nilai event1.filetype dari log mentah dipetakan ke kolom target.file.mime_type.
event1.filesize event.idm.read_only_udm.target.file.size Nilai event1.filesize dari log mentah dikonversi menjadi bilangan bulat yang tidak bertanda tangan dan dipetakan ke kolom target.file.size jika bukan 0.
event1.ja3digest event.idm.read_only_udm.network.tls.client.ja3 Nilai event1.ja3digest dari log mentah dikonversi menjadi string dan dipetakan ke kolom network.tls.client.ja3.
event1.ja3sdigest event.idm.read_only_udm.network.tls.server.ja3s Nilai event1.ja3sdigest dari log mentah dikonversi menjadi string dan dipetakan ke kolom network.tls.server.ja3s.
event1.md5 event.idm.read_only_udm.target.file.md5 Nilai event1.md5 dari log mentah dipetakan ke kolom target.file.md5.
event1.rel_sesid event.idm.read_only_udm.network.session_id Nilai event1.rel_sesid dari log mentah dipetakan ke kolom network.session_id.
event1.server_packet_count event.idm.read_only_udm.network.received_bytes Nilai event1.server_packet_count dari log mentah dikonversi menjadi bilangan bulat yang tidak bertanda tangan dan dipetakan ke kolom network.received_bytes.
event1.session_size event.idm.read_only_udm.network.session_duration.seconds Nilai event1.session_size dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom network.session_duration.seconds.
event1.sha256 event.idm.read_only_udm.target.file.sha256 Nilai event1.sha256 dari log mentah dipetakan ke kolom target.file.sha256.
event1.sld event.idm.read_only_udm.principal.hostname Nilai event1.sld dari log mentah dipetakan ke kolom principal.hostname.
event1.sni event.idm.read_only_udm.target.hostname Nilai event1.sni dari log mentah dipetakan ke kolom target.hostname.
event1.sport event.idm.read_only_udm.principal.port Nilai event1.sport dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom principal.port.
event1.src_ip6 event.idm.read_only_udm.principal.ip Nilai event1.src_ip6 dari log mentah dipetakan ke kolom principal.ip.
event1.srvcerthash event.idm.read_only_udm.target.file.sha1 Nilai event1.srvcerthash dari log mentah dipetakan ke kolom target.file.sha1.
event1.tls_ciphersuite event.idm.read_only_udm.network.tls.cipher Nilai event1.tls_ciphersuite dari log mentah dipetakan ke kolom network.tls.cipher.
event1.version event.idm.read_only_udm.network.tls.version Nilai event1.version dari log mentah dipetakan ke kolom network.tls.version.
Nama file event.idm.read_only_udm.target.file.full_path Nilai Filename dari log mentah dipetakan ke kolom target.file.full_path.
Dari event.idm.read_only_udm.network.email.from Nilai From dari log mentah dipetakan ke kolom network.email.from jika merupakan alamat email yang valid.
ftp.command event.idm.read_only_udm.network.ftp.command Nilai ftp.command dari log mentah dipetakan ke kolom network.ftp.command.
ftp.filename event.idm.read_only_udm.target.file.full_path Nilai ftp.filename dari log mentah dipetakan ke kolom target.file.full_path.
ftp.user event.idm.read_only_udm.principal.user.userid Nilai ftp.user dari log mentah dipetakan ke kolom principal.user.userid.
Host event.idm.read_only_udm.target.hostname Nilai Host dari log mentah dipetakan ke kolom target.hostname.
http.command event.idm.read_only_udm.network.http.method Nilai http.command dari log mentah dipetakan ke kolom network.http.method.
http.status_code event.idm.read_only_udm.network.http.response_code Nilai http.status_code dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom network.http.response_code.
http.useragent event.idm.read_only_udm.network.http.user_agent Nilai http.useragent dari log mentah dipetakan ke kolom network.http.user_agent.
label event.idm.read_only_udm.security_result.summary Nilai label dari log mentah dipetakan ke kolom security_result.summary.
malware_type event.idm.read_only_udm.security_result.threat_name Nilai malware_type dari log mentah dipetakan ke kolom security_result.threat_name.
md5 event.idm.read_only_udm.target.file.md5 Nilai md5 dari log mentah dipetakan ke kolom target.file.md5.
angka event.idm.read_only_udm.network.dns.id Nilai number dari log mentah dipetakan ke kolom network.dns.id untuk peristiwa DNS.
os_version event.idm.read_only_udm.target.platform_version Nilai os_version dari log mentah dipetakan ke kolom target.platform_version.
Referer event.idm.read_only_udm.network.http.referral_url Nilai Referer dari log mentah dipetakan ke kolom network.http.referral_url.
rule_name event.idm.read_only_udm.security_result.rule_name Nilai rule_name dari log mentah dipetakan ke kolom security_result.rule_name.
server_ip event.idm.read_only_udm.target.ip Nilai server_ip dari log mentah dipetakan ke kolom target.ip.
server_port event.idm.read_only_udm.target.port Nilai server_port dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom target.port.
ServerAssetID event.idm.read_only_udm.principal.asset_id Nilai ServerAssetID dari log mentah diberi awalan "Aset:" dan dipetakan ke kolom principal.asset_id jika bukan "0" atau kosong.
ServerAssetRole event.idm.read_only_udm.target.asset.attribute.roles[].name Nilai ServerAssetRole dari log mentah dipetakan ke kolom target.asset.attribute.roles[].name.
ServerCountry event.idm.read_only_udm.target.location.country_or_region Nilai ServerCountry dari log mentah dipetakan ke kolom target.location.country_or_region.
ServerIP event.idm.read_only_udm.target.ip Nilai ServerIP dari log mentah dipetakan ke kolom target.ip.
sha256 event.idm.read_only_udm.target.file.sha256 Nilai sha256 dari log mentah dipetakan ke kolom target.file.sha256.
src_country event.idm.read_only_udm.principal.location.country_or_region Nilai src_country dari log mentah dipetakan ke kolom principal.location.country_or_region jika bukan "UNKNOWN" atau kosong.
src_domain event.idm.read_only_udm.principal.hostname Nilai src_domain dari log mentah dipetakan ke kolom principal.hostname.
StatusCode event.idm.read_only_udm.network.http.response_code Nilai StatusCode dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom network.http.response_code.
Subjek event.idm.read_only_udm.network.email.subject Nilai Subject dari log mentah dipetakan ke kolom network.email.subject.
ringkasan event.idm.read_only_udm.metadata.description Nilai summary dari log mentah dipetakan ke kolom metadata.description.
Ke event.idm.read_only_udm.network.email.to Nilai To dari log mentah dipetakan ke kolom network.email.to.
tproto event.idm.read_only_udm.network.ip_protocol Nilai tproto dari log mentah dipetakan ke kolom network.ip_protocol jika berupa TCP atau UDP.
url event.idm.read_only_udm.target.url Nilai url dari log mentah dipetakan ke kolom target.url.
URL event.idm.read_only_udm.target.url Nilai URL dari log mentah dipetakan ke kolom target.url.
UserAgent event.idm.read_only_udm.network.http.user_agent Nilai UserAgent dari log mentah dipetakan ke kolom network.http.user_agent.
UserSessionID event.idm.read_only_udm.network.session_id Nilai UserSessionID dari log mentah dipetakan ke kolom network.session_id.
uuid event.idm.read_only_udm.target.user.product_object_id Nilai uuid dari log mentah dipetakan ke kolom target.user.product_object_id.
T/A event.idm.read_only_udm.metadata.log_type Setel ke "FIDELIS_NETWORK".
T/A event.idm.read_only_udm.metadata.product_name Setel ke "FIDELIS_NETWORK".
T/A event.idm.read_only_udm.metadata.vendor_name Setel ke "FIDELIS_NETWORK".
msg event.idm.read_only_udm.metadata.description Dipetakan dari log perubahan
suser event.idm.read_only_udm.principal.user.userid Dipetakan dari log perubahan
event1.tproto network.ip_protocol Dipetakan dari log perubahan
event1.server_asset_subnet read_only_udm.additional.fields Dipetakan dari log perubahan
event1.sha1hash read_only_udm.additional.fields Dipetakan dari log perubahan
event1.type read_only_udm.additional.fields Dipetakan dari log perubahan
event1.histbuf read_only_udm.additional.fields Dipetakan dari log perubahan
event1.sen_name read_only_udm.additional.fields Dipetakan dari log perubahan
exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score security_result.detection_fields Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.