Mengumpulkan log jaringan Fidelis

Versi Parser: 8.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Fidelis Network ke Google Security Operations menggunakan Bindplane.

Fidelis Network adalah solusi deteksi dan respons jaringan (NDR) yang menyediakan pemeriksaan konten mendalam, analisis tingkat sesi, dan respons ancaman otomatis. Layanan ini memantau traffic jaringan secara real-time untuk mendeteksi ancaman tingkat lanjut, upaya pemindahan data yang tidak sah, dan pelanggaran kebijakan di semua port dan protokol. Parser mengekstrak kolom dari log berformat syslog Fidelis Network menggunakan pola KV dan JSON. Kemudian, parser memetakan nilai ini ke Model Data Terpadu (UDM). Fungsi ini juga menetapkan nilai metadata default untuk sumber dan jenis peristiwa.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke antarmuka web Fidelis Network CommandPost

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade pengumpul sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: 'FIDELIS_NETWORK'
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - tcplog
        exporters:
          - chronicle/chronicle_w_labels
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • tcplog: Gunakan udplog untuk syslog UDP atau tcplog untuk syslog TCP
  • 0.0.0.0: Alamat IP yang akan didengarkan (0.0.0.0 untuk mendengarkan semua antarmuka)
  • 514: Nomor port yang akan diproses (port syslog standar)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: ID Pelanggan dari bagian Dapatkan ID pelanggan
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.
  • log_type: Jenis log persis seperti yang muncul di Chronicle (FIDELIS_NETWORK)

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'FIDELIS_NETWORK'
      raw_log_field: body
      ingestion_labels:
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

1. Jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Pastikan layanan sedang berjalan:

   sudo systemctl status observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   sudo journalctl -u observiq-otel-collector -f
   

Untuk memulai ulang agen Bindplane di Windows:

1. Pilih salah satu opsi berikut:

   • Command Prompt atau PowerShell sebagai administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Konsol layanan:
     1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
     2. Cari observIQ OpenTelemetry Collector.
     3. Klik kanan, lalu pilih Mulai ulang.

2. Pastikan layanan sedang berjalan:

   sc query observiq-otel-collector
   

3. Periksa log untuk mengetahui error:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Mengonfigurasi penerusan syslog Fidelis Network

1. Login ke antarmuka web CommandPost Fidelis Network.
2. Buka Sistem > Ekspor > Syslog.
3. Klik Add Syslog Server.
4. Berikan detail konfigurasi berikut:
   • Name: Masukkan nama deskriptif (misalnya, Google-SecOps-Bindplane).
   • IP Address/Hostname: Masukkan alamat IP host agen Bindplane.
   • Port: Masukkan 514.
   • Protocol: Pilih TCP.
   • Format: Pilih CEF (Common Event Format) atau Syslog berdasarkan persyaratan parsing Anda.
   • Fasilitas: Pilih LOCAL0 (atau fasilitas pilihan Anda).
   • Severity: Pilih Informational (atau tingkat keparahan yang Anda inginkan).
5. Di bagian Jenis Pemberitahuan, pilih peristiwa yang akan diteruskan:
   • Peristiwa pemberitahuan
   • Peristiwa malware
   • Peristiwa DLP
   • Peristiwa DNS
   • Peristiwa sesi
6. Klik Simpan.
7. Pastikan pesan syslog dikirim dengan memeriksa log agen Bindplane.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
aaction	event.idm.read_only_udm.security_result.action_details	Dipetakan secara langsung jika bukan "none" atau string kosong.
alert_threat_score	event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: nilai alert_threat_score	Dipetakan langsung sebagai kolom deteksi.
alert_type	event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_type	Dipetakan langsung sebagai kolom deteksi.
jawaban	event.idm.read_only_udm.network.dns.answers[].data	Dipetakan secara langsung untuk peristiwa DNS.
application_user	event.idm.read_only_udm.principal.user.userid	Dipetakan secara langsung.
asset_os	event.idm.read_only_udm.target.platform	Dinormalisasi ke WINDOWS, LINUX, MAC, atau UNKNOWN_PLATFORM.
certificate.end_date	event.idm.read_only_udm.network.tls.client.certificate.not_after	Diparsing dan dikonversi menjadi stempel waktu.
certificate.extended_key_usage	event.idm.read_only_udm.additional.fields[].key: "Penggunaan Kunci yang Diperluas", event.idm.read_only_udm.additional.fields[].value.string_value: nilai certificate.extended_key_usage	Dipetakan sebagai kolom tambahan.
certificate.issuer_name	event.idm.read_only_udm.network.tls.server.certificate.issuer	Dipetakan secara langsung.
certificate.key_length	event.idm.read_only_udm.additional.fields[].key: "Panjang Kunci", event.idm.read_only_udm.additional.fields[].value.string_value: nilai certificate.key_length	Dipetakan sebagai kolom tambahan.
certificate.key_usage	event.idm.read_only_udm.additional.fields[].key: "Penggunaan Kunci", event.idm.read_only_udm.additional.fields[].value.string_value: nilai certificate.key_usage	Dipetakan sebagai kolom tambahan.
certificate.start_date	event.idm.read_only_udm.network.tls.client.certificate.not_before	Diurai dan dikonversi menjadi stempel waktu.
certificate.subject_altname	event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.subject_altname	Dipetakan sebagai kolom tambahan.
certificate.subject_name	event.idm.read_only_udm.network.tls.server.certificate.subject	Dipetakan secara langsung.
certificate.type	event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.type	Dipetakan sebagai kolom tambahan.
cipher	event.idm.read_only_udm.network.tls.cipher	Dipetakan secara langsung.
client_asset_name	event.idm.read_only_udm.principal.application	Dipetakan secara langsung.
client_asset_subnet	event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of client_asset_subnet	Dipetakan sebagai kolom tambahan.
client_ip	event.idm.read_only_udm.principal.ip	Dipetakan secara langsung.
client_port	event.idm.read_only_udm.principal.port	Dipetakan dan dikonversi langsung ke bilangan bulat.
ClientIP	event.idm.read_only_udm.principal.ip	Dipetakan secara langsung.
ClientPort	event.idm.read_only_udm.principal.port	Dipetakan dan dikonversi langsung ke bilangan bulat.
ClientCountry	event.idm.read_only_udm.principal.location.country_or_region	Dipetakan secara langsung jika bukan "UNKNOWN" atau string kosong.
ClientAssetID	event.idm.read_only_udm.principal.asset_id	Diberi awalan "Aset:" jika bukan "0" atau string kosong.
ClientAssetName	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: nilai ClientAssetName	Dipetakan sebagai label resource utama.
ClientAssetRole	event.idm.read_only_udm.principal.asset.attribute.roles[].name	Dipetakan secara langsung.
ClientAssetServices	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetServices", event.idm.read_only_udm.principal.resource.attribute.labels[].value: nilai ClientAssetServices	Dipetakan sebagai label resource utama.
Klien	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "Client", event.idm.read_only_udm.principal.resource.attribute.labels[].value: nilai Client	Dipetakan sebagai label resource utama.
Kolektor	event.idm.read_only_udm.security_result.detection_fields[].key: "Collector", event.idm.read_only_udm.security_result.detection_fields[].value: value of Collector	Dipetakan sebagai kolom deteksi.
perintah	event.idm.read_only_udm.network.http.method	Dipetakan langsung untuk peristiwa HTTP.
Perintah	event.idm.read_only_udm.security_result.detection_fields[].key: "Command", event.idm.read_only_udm.security_result.detection_fields[].value: nilai Command	Dipetakan sebagai kolom deteksi.
Koneksi	event.idm.read_only_udm.security_result.detection_fields[].key: "Connection", event.idm.read_only_udm.security_result.detection_fields[].value: value of Connection	Dipetakan sebagai kolom deteksi.
DecodingPath	event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: nilai DecodingPath	Dipetakan sebagai kolom deteksi.
dest_country	event.idm.read_only_udm.target.location.country_or_region	Dipetakan secara langsung.
dest_domain	event.idm.read_only_udm.target.hostname	Dipetakan secara langsung.
dest_ip	event.idm.read_only_udm.target.ip	Dipetakan secara langsung.
dest_port	event.idm.read_only_udm.target.port	Dipetakan dan dikonversi langsung ke bilangan bulat.
Arah	event.idm.read_only_udm.security_result.detection_fields[].key: "Direction", event.idm.read_only_udm.security_result.detection_fields[].value: value of Direction	Dipetakan sebagai kolom deteksi.
dns.host	event.idm.read_only_udm.network.dns.questions[].name	Dipetakan langsung untuk peristiwa DNS.
DomainName	event.idm.read_only_udm.target.administrative_domain	Dipetakan secara langsung.
DomainAlexaRank	event.idm.read_only_udm.security_result.detection_fields[].key: "DomainAlexaRank", event.idm.read_only_udm.security_result.detection_fields[].value: nilai DomainAlexaRank	Dipetakan sebagai kolom deteksi.
dport	event.idm.read_only_udm.target.port	Dipetakan dan dikonversi langsung ke bilangan bulat.
dnsresolution.server_fqdn	event.idm.read_only_udm.target.hostname	Dipetakan secara langsung.
Durasi	event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: value of Duration	Dipetakan sebagai kolom deteksi.
Dienkripsi	event.idm.read_only_udm.security_result.detection_fields[].key: "Encrypted", event.idm.read_only_udm.security_result.detection_fields[].value: nilai Encrypted	Dipetakan sebagai kolom deteksi.
Entropi	event.idm.read_only_udm.security_result.detection_fields[].key: "Entropy", event.idm.read_only_udm.security_result.detection_fields[].value: nilai Entropy	Dipetakan sebagai kolom deteksi.
event.idm.read_only_udm.additional.fields	event.idm.read_only_udm.additional.fields	Berisi berbagai kolom tambahan berdasarkan logika parser.
event.idm.read_only_udm.metadata.description	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom ringkasan.
event.idm.read_only_udm.metadata.event_type	event.idm.read_only_udm.metadata.event_type	Ditentukan berdasarkan berbagai kolom log dan logika parser. Dapat berupa GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_HTTP, NETWORK_SMTP, NETWORK_DNS, STATUS_UPDATE, NETWORK_FLOW.
event.idm.read_only_udm.metadata.log_type	event.idm.read_only_udm.metadata.log_type	Tetapkan ke "FIDELIS_NETWORK".
event.idm.read_only_udm.metadata.product_name	event.idm.read_only_udm.metadata.product_name	Setel ke "FIDELIS_NETWORK".
event.idm.read_only_udm.metadata.vendor_name	event.idm.read_only_udm.metadata.vendor_name	Setel ke "FIDELIS_NETWORK".
event.idm.read_only_udm.network.application_protocol	event.idm.read_only_udm.network.application_protocol	Ditentukan berdasarkan kolom server_port atau protokol. Dapat berupa HTTP, HTTPS, SMTP, SSH, RPC, DNS, NFS, AOLMAIL.
event.idm.read_only_udm.network.direction	event.idm.read_only_udm.network.direction	Ditentukan berdasarkan kolom arah atau kata kunci dalam ringkasan. Dapat berupa INBOUND atau OUTBOUND.
event.idm.read_only_udm.network.dns.answers	event.idm.read_only_udm.network.dns.answers	Diisi untuk peristiwa DNS.
event.idm.read_only_udm.network.dns.id	event.idm.read_only_udm.network.dns.id	Dipetakan dari kolom angka untuk peristiwa DNS.
event.idm.read_only_udm.network.dns.questions	event.idm.read_only_udm.network.dns.questions	Diisi untuk peristiwa DNS.
event.idm.read_only_udm.network.email.from	event.idm.read_only_udm.network.email.from	Dipetakan langsung dari Dari jika merupakan alamat email yang valid.
event.idm.read_only_udm.network.email.subject	event.idm.read_only_udm.network.email.subject	Dipetakan langsung dari Subject.
event.idm.read_only_udm.network.email.to	event.idm.read_only_udm.network.email.to	Dipetakan langsung dari Kepada.
event.idm.read_only_udm.network.ftp.command	event.idm.read_only_udm.network.ftp.command	Dipetakan langsung dari ftp.command.
event.idm.read_only_udm.network.http.method	event.idm.read_only_udm.network.http.method	Dipetakan langsung dari http.command atau Command.
event.idm.read_only_udm.network.http.referral_url	event.idm.read_only_udm.network.http.referral_url	Dipetakan langsung dari Perujuk.
event.idm.read_only_udm.network.http.response_code	event.idm.read_only_udm.network.http.response_code	Dipetakan langsung dari http.status_code atau StatusCode dan dikonversi menjadi bilangan bulat.
event.idm.read_only_udm.network.http.user_agent	event.idm.read_only_udm.network.http.user_agent	Dipetakan langsung dari http.useragent atau UserAgent.
event.idm.read_only_udm.network.ip_protocol	event.idm.read_only_udm.network.ip_protocol	Dipetakan langsung dari tproto jika berupa TCP atau UDP.
event.idm.read_only_udm.network.received_bytes	event.idm.read_only_udm.network.received_bytes	Diganti namanya dari event1.server_packet_count dan dikonversi menjadi bilangan bulat tidak bertanda.
event.idm.read_only_udm.network.sent_bytes	event.idm.read_only_udm.network.sent_bytes	Diganti namanya dari event1.client_packet_count dan dikonversi menjadi bilangan bulat tanpa tanda tangan.
event.idm.read_only_udm.network.session_duration.seconds	event.idm.read_only_udm.network.session_duration.seconds	Diganti namanya dari event1.session_size dan dikonversi menjadi bilangan bulat.
event.idm.read_only_udm.network.session_id	event.idm.read_only_udm.network.session_id	Dipetakan langsung dari event1.rel_sesid atau UserSessionID.
event.idm.read_only_udm.network.tls.client.certificate.issuer	event.idm.read_only_udm.network.tls.client.certificate.issuer	Dipetakan langsung dari event1.certificate_issuer_name.
event.idm.read_only_udm.network.tls.client.certificate.not_after	event.idm.read_only_udm.network.tls.client.certificate.not_after	Diurai dari event1.certificate_end_date dan dikonversi menjadi stempel waktu.
event.idm.read_only_udm.network.tls.client.certificate.not_before	event.idm.read_only_udm.network.tls.client.certificate.not_before	Diurai dari event1.certificate_start_date dan dikonversi ke stempel waktu.
event.idm.read_only_udm.network.tls.client.certificate.subject	event.idm.read_only_udm.network.tls.client.certificate.subject	Dipetakan langsung dari event1.certificate_subject_name.
event.idm.read_only_udm.network.tls.client.ja3	event.idm.read_only_udm.network.tls.client.ja3	Dipetakan langsung dari event1.ja3digest dan dikonversi menjadi string.
event.idm.read_only_udm.network.tls.cipher	event.idm.read_only_udm.network.tls.cipher	Dipetakan langsung dari event1.cipher, CipherSuite, cipher, atau event1.tls_ciphersuite.
event.idm.read_only_udm.network.tls.server.certificate.issuer	event.idm.read_only_udm.network.tls.server.certificate.issuer	Dipetakan langsung dari certificate_issuer_name.
event.idm.read_only_udm.network.tls.server.certificate.subject	event.idm.read_only_udm.network.tls.server.certificate.subject	Dipetakan langsung dari certificate_subject_name.
event.idm.read_only_udm.network.tls.server.ja3s	event.idm.read_only_udm.network.tls.server.ja3s	Dipetakan langsung dari event1.ja3sdigest dan dikonversi menjadi string.
event.idm.read_only_udm.network.tls.version	event.idm.read_only_udm.network.tls.version	Dipetakan langsung dari event1.version.
event.idm.read_only_udm.principal.application	event.idm.read_only_udm.principal.application	Dipetakan langsung dari event1.client_asset_name.
event.idm.read_only_udm.principal.asset.attribute.roles[].name	event.idm.read_only_udm.principal.asset.attribute.roles[].name	Dipetakan langsung dari ClientAssetRole.
event.idm.read_only_udm.principal.asset_id	event.idm.read_only_udm.principal.asset_id	Dipetakan langsung dari ClientAssetID atau ServerAssetID (diawali dengan "Asset:").
event.idm.read_only_udm.principal.hostname	event.idm.read_only_udm.principal.hostname	Dipetakan langsung dari event1.sld atau src_domain.
event.idm.read_only_udm.principal.ip	event.idm.read_only_udm.principal.ip	Dipetakan langsung dari event1.src_ip6, client_ip, atau ClientIP.
event.idm.read_only_udm.principal.location.country_or_region	event.idm.read_only_udm.principal.location.country_or_region	Dipetakan langsung dari ClientCountry atau src_country jika bukan "UNKNOWN" atau string kosong.
event.idm.read_only_udm.principal.port	event.idm.read_only_udm.principal.port	Dipetakan langsung dari event1.sport atau client_port dan dikonversi menjadi bilangan bulat.
event.idm.read_only_udm.principal.resource.attribute.labels	event.idm.read_only_udm.principal.resource.attribute.labels	Berisi berbagai label berdasarkan logika parser.
event.idm.read_only_udm.principal.user.userid	event.idm.read_only_udm.principal.user.userid	Dipetakan langsung dari ftp.user atau AppUser.
event.idm.read_only_udm.security_result.action	event.idm.read_only_udm.security_result.action	Ditentukan berdasarkan tingkat keparahan. Dapat berupa ALLOW, BLOCK, atau UNKNOWN_ACTION.
event.idm.read_only_udm.security_result.action_details	event.idm.read_only_udm.security_result.action_details	Dipetakan langsung dari Tindakan jika bukan "tidak ada" atau string kosong.
event.idm.read_only_udm.security_result.category	event.idm.read_only_udm.security_result.category	Disetel ke NETWORK_SUSPICIOUS jika malware_type ada.
event.idm.read_only_udm.security_result.detection_fields	event.idm.read_only_udm.security_result.detection_fields	Berisi berbagai kolom deteksi berdasarkan logika parser.
event.idm.read_only_udm.security_result.rule_name	event.idm.read_only_udm.security_result.rule_name	Dipetakan langsung dari rule_name.
event.idm.read_only_udm.security_result.severity	event.idm.read_only_udm.security_result.severity	Ditentukan berdasarkan tingkat keparahan. Dapat berupa INFORMATIONAL, MEDIUM, ERROR, atau CRITICAL.
event.idm.read_only_udm.security_result.summary	event.idm.read_only_udm.security_result.summary	Dipetakan langsung dari label.
event.idm.read_only_udm.security_result.threat_name	event.idm.read_only_udm.security_result.threat_name	Dipetakan langsung dari malware_type atau diuraikan dari summary jika berisi "CVE-".
event.idm.read_only_udm.target.administrative_domain	event.idm.read_only_udm.target.administrative_domain	Dipetakan langsung dari DomainName.
event.idm.read_only_udm.target.asset.attribute.roles[].name	event.idm.read_only_udm.target.asset.attribute.roles[].name	Dipetakan langsung dari ServerAssetRole.
event.idm.read_only_udm.target.file.full_path	event.idm.read_only_udm.target.file.full_path	Dipetakan langsung dari ftp.filename atau Filename.
event.idm.read_only_udm.target.file.md5	event.idm.read_only_udm.target.file.md5	Dipetakan langsung dari event1.md5 atau md5.
event.idm.read_only_udm.target.file.mime_type	event.idm.read_only_udm.target.file.mime_type	Dipetakan langsung dari event1.filetype.
event.idm.read_only_udm.target.file.sha1	event.idm.read_only_udm.target.file.sha1	Dipetakan langsung dari event1.srvcerthash.
event.idm.read_only_udm.target.file.sha256	event.idm.read_only_udm.target.file.sha256	Dipetakan langsung dari event1.sha256 atau sha256.
event.idm.read_only_udm.target.file.size	event.idm.read_only_udm.target.file.size	Diganti namanya dari event1.filesize dan dikonversi menjadi bilangan bulat yang tidak bertanda tangan jika bukan 0.
event.idm.read_only_udm.target.hostname	event.idm.read_only_udm.target.hostname	Dipetakan langsung dari event1.sni, dest_domain, atau Host.
event.idm.read_only_udm.target.ip	event.idm.read_only_udm.target.ip	Dipetakan langsung dari event1.dst_ip6 atau server_ip atau ServerIP.
event.idm.read_only_udm.target.location.country_or_region	event.idm.read_only_udm.target.location.country_or_region	Dipetakan langsung dari dest_country atau ServerCountry.
event.idm.read_only_udm.target.platform	event.idm.read_only_udm.target.platform	Dipetakan dari asset_os setelah normalisasi.
event.idm.read_only_udm.target.platform_version	event.idm.read_only_udm.target.platform_version	Dipetakan langsung dari os_version.
event.idm.read_only_udm.target.port	event.idm.read_only_udm.target.port	Dipetakan langsung dari event1.dport atau server_port dan dikonversi menjadi bilangan bulat.
event.idm.read_only_udm.target.resource.attribute.labels	event.idm.read_only_udm.target.resource.attribute.labels	Berisi berbagai label berdasarkan logika parser.
event.idm.read_only_udm.target.url	event.idm.read_only_udm.target.url	Dipetakan langsung dari url atau URL.
event.idm.read_only_udm.target.user.product_object_id	event.idm.read_only_udm.target.user.product_object_id	Dipetakan langsung dari UUID.
event1.certificate_end_date	event.idm.read_only_udm.network.tls.client.certificate.not_after	Diurai dan dikonversi menjadi stempel waktu.
event1.certificate_extended_key_usage	event.idm.read_only_udm.additional.fields[].key: "Penggunaan Kunci yang Diperluas", event.idm.read_only_udm.additional.fields[].value.string_value: nilai event1.certificate_extended_key_usage	Dipetakan sebagai kolom tambahan.
event1.certificate_issuer_name	event.idm.read_only_udm.network.tls.client.certificate.issuer	Dipetakan secara langsung.
event1.certificate_key_length	event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_length	Dipetakan sebagai kolom tambahan.
event1.certificate_key_usage	event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_key_usage	Dipetakan sebagai kolom tambahan.
event1.certificate_start_date	event.idm.read_only_udm.network.tls.client.certificate.not_before	Diurai dan dikonversi menjadi stempel waktu.
event1.certificate_subject_altname	event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.certificate_subject_altname	Dipetakan sebagai kolom tambahan.
event1.certificate_subject_name	event.idm.read_only_udm.network.tls.client.certificate.subject	Dipetakan secara langsung.
event1.client_asset_name	event.idm.read_only_udm.principal.application	Dipetakan secara langsung.
event1.client_asset_subnet	event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.client_asset_subnet	Dipetakan sebagai kolom tambahan.
event1.client_packet_count	event.idm.read_only_udm.network.sent_bytes	Dikonversi menjadi bilangan bulat yang tidak bertanda tangan dan diganti namanya.
event1.cipher	event.idm.read_only_udm.network.tls.cipher	Dipetakan secara langsung.
event1.direction	event.idm.read_only_udm.network.direction	Dipetakan ke INBOUND jika "s2c" atau OUTBOUND jika "c2s".
event1.dport	event.idm.read_only_udm.target.port	Nilai event1.dport dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom target.port.
event1.dst_ip6	event.idm.read_only_udm.target.ip	Nilai event1.dst_ip6 dari log mentah dipetakan ke kolom target.ip.
event1.filetype	event.idm.read_only_udm.target.file.mime_type	Nilai event1.filetype dari log mentah dipetakan ke kolom target.file.mime_type.
event1.filesize	event.idm.read_only_udm.target.file.size	Nilai event1.filesize dari log mentah dikonversi menjadi bilangan bulat yang tidak bertanda tangan dan dipetakan ke kolom target.file.size jika bukan 0.
event1.ja3digest	event.idm.read_only_udm.network.tls.client.ja3	Nilai event1.ja3digest dari log mentah dikonversi menjadi string dan dipetakan ke kolom network.tls.client.ja3.
event1.ja3sdigest	event.idm.read_only_udm.network.tls.server.ja3s	Nilai event1.ja3sdigest dari log mentah dikonversi menjadi string dan dipetakan ke kolom network.tls.server.ja3s.
event1.md5	event.idm.read_only_udm.target.file.md5	Nilai event1.md5 dari log mentah dipetakan ke kolom target.file.md5.
event1.rel_sesid	event.idm.read_only_udm.network.session_id	Nilai event1.rel_sesid dari log mentah dipetakan ke kolom network.session_id.
event1.server_packet_count	event.idm.read_only_udm.network.received_bytes	Nilai event1.server_packet_count dari log mentah dikonversi menjadi bilangan bulat yang tidak bertanda tangan dan dipetakan ke kolom network.received_bytes.
event1.session_size	event.idm.read_only_udm.network.session_duration.seconds	Nilai event1.session_size dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom network.session_duration.seconds.
event1.sha256	event.idm.read_only_udm.target.file.sha256	Nilai event1.sha256 dari log mentah dipetakan ke kolom target.file.sha256.
event1.sld	event.idm.read_only_udm.principal.hostname	Nilai event1.sld dari log mentah dipetakan ke kolom principal.hostname.
event1.sni	event.idm.read_only_udm.target.hostname	Nilai event1.sni dari log mentah dipetakan ke kolom target.hostname.
event1.sport	event.idm.read_only_udm.principal.port	Nilai event1.sport dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom principal.port.
event1.src_ip6	event.idm.read_only_udm.principal.ip	Nilai event1.src_ip6 dari log mentah dipetakan ke kolom principal.ip.
event1.srvcerthash	event.idm.read_only_udm.target.file.sha1	Nilai event1.srvcerthash dari log mentah dipetakan ke kolom target.file.sha1.
event1.tls_ciphersuite	event.idm.read_only_udm.network.tls.cipher	Nilai event1.tls_ciphersuite dari log mentah dipetakan ke kolom network.tls.cipher.
event1.version	event.idm.read_only_udm.network.tls.version	Nilai event1.version dari log mentah dipetakan ke kolom network.tls.version.
Nama file	event.idm.read_only_udm.target.file.full_path	Nilai Filename dari log mentah dipetakan ke kolom target.file.full_path.
Dari	event.idm.read_only_udm.network.email.from	Nilai From dari log mentah dipetakan ke kolom network.email.from jika merupakan alamat email yang valid.
ftp.command	event.idm.read_only_udm.network.ftp.command	Nilai ftp.command dari log mentah dipetakan ke kolom network.ftp.command.
ftp.filename	event.idm.read_only_udm.target.file.full_path	Nilai ftp.filename dari log mentah dipetakan ke kolom target.file.full_path.
ftp.user	event.idm.read_only_udm.principal.user.userid	Nilai ftp.user dari log mentah dipetakan ke kolom principal.user.userid.
Host	event.idm.read_only_udm.target.hostname	Nilai Host dari log mentah dipetakan ke kolom target.hostname.
http.command	event.idm.read_only_udm.network.http.method	Nilai http.command dari log mentah dipetakan ke kolom network.http.method.
http.status_code	event.idm.read_only_udm.network.http.response_code	Nilai http.status_code dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom network.http.response_code.
http.useragent	event.idm.read_only_udm.network.http.user_agent	Nilai http.useragent dari log mentah dipetakan ke kolom network.http.user_agent.
label	event.idm.read_only_udm.security_result.summary	Nilai label dari log mentah dipetakan ke kolom security_result.summary.
malware_type	event.idm.read_only_udm.security_result.threat_name	Nilai malware_type dari log mentah dipetakan ke kolom security_result.threat_name.
md5	event.idm.read_only_udm.target.file.md5	Nilai md5 dari log mentah dipetakan ke kolom target.file.md5.
angka	event.idm.read_only_udm.network.dns.id	Nilai number dari log mentah dipetakan ke kolom network.dns.id untuk peristiwa DNS.
os_version	event.idm.read_only_udm.target.platform_version	Nilai os_version dari log mentah dipetakan ke kolom target.platform_version.
Referer	event.idm.read_only_udm.network.http.referral_url	Nilai Referer dari log mentah dipetakan ke kolom network.http.referral_url.
rule_name	event.idm.read_only_udm.security_result.rule_name	Nilai rule_name dari log mentah dipetakan ke kolom security_result.rule_name.
server_ip	event.idm.read_only_udm.target.ip	Nilai server_ip dari log mentah dipetakan ke kolom target.ip.
server_port	event.idm.read_only_udm.target.port	Nilai server_port dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom target.port.
ServerAssetID	event.idm.read_only_udm.principal.asset_id	Nilai ServerAssetID dari log mentah diawali dengan "Asset:" dan dipetakan ke kolom principal.asset_id jika bukan "0" atau kosong.
ServerAssetRole	event.idm.read_only_udm.target.asset.attribute.roles[].name	Nilai ServerAssetRole dari log mentah dipetakan ke kolom target.asset.attribute.roles[].name.
ServerCountry	event.idm.read_only_udm.target.location.country_or_region	Nilai ServerCountry dari log mentah dipetakan ke kolom target.location.country_or_region.
ServerIP	event.idm.read_only_udm.target.ip	Nilai ServerIP dari log mentah dipetakan ke kolom target.ip.
sha256	event.idm.read_only_udm.target.file.sha256	Nilai sha256 dari log mentah dipetakan ke kolom target.file.sha256.
src_country	event.idm.read_only_udm.principal.location.country_or_region	Nilai src_country dari log mentah dipetakan ke kolom principal.location.country_or_region jika bukan "UNKNOWN" atau kosong.
src_domain	event.idm.read_only_udm.principal.hostname	Nilai src_domain dari log mentah dipetakan ke kolom principal.hostname.
StatusCode	event.idm.read_only_udm.network.http.response_code	Nilai StatusCode dari log mentah dikonversi menjadi bilangan bulat dan dipetakan ke kolom network.http.response_code.
Subjek	event.idm.read_only_udm.network.email.subject	Nilai Subject dari log mentah dipetakan ke kolom network.email.subject.
ringkasan	event.idm.read_only_udm.metadata.description	Nilai summary dari log mentah dipetakan ke kolom metadata.description.
Ke	event.idm.read_only_udm.network.email.to	Nilai To dari log mentah dipetakan ke kolom network.email.to.
tproto	event.idm.read_only_udm.network.ip_protocol	Nilai tproto dari log mentah dipetakan ke kolom network.ip_protocol jika berupa TCP atau UDP.
url	event.idm.read_only_udm.target.url	Nilai url dari log mentah dipetakan ke kolom target.url.
URL	event.idm.read_only_udm.target.url	Nilai URL dari log mentah dipetakan ke kolom target.url.
UserAgent	event.idm.read_only_udm.network.http.user_agent	Nilai UserAgent dari log mentah dipetakan ke kolom network.http.user_agent.
UserSessionID	event.idm.read_only_udm.network.session_id	Nilai UserSessionID dari log mentah dipetakan ke kolom network.session_id.
uuid	event.idm.read_only_udm.target.user.product_object_id	Nilai uuid dari log mentah dipetakan ke kolom target.user.product_object_id.
T/A	event.idm.read_only_udm.metadata.log_type	Tetapkan ke "FIDELIS_NETWORK".
T/A	event.idm.read_only_udm.metadata.product_name	Setel ke "FIDELIS_NETWORK".
T/A	event.idm.read_only_udm.metadata.vendor_name	Tetapkan ke "FIDELIS_NETWORK".
msg	event.idm.read_only_udm.metadata.description	Dipetakan dari log perubahan
suser	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
event1.tproto	network.ip_protocol	Dipetakan dari log perubahan
event1.server_asset_subnet	read_only_udm.additional.fields	Dipetakan dari log perubahan
event1.sha1hash	read_only_udm.additional.fields	Dipetakan dari log perubahan
event1.type	read_only_udm.additional.fields	Dipetakan dari log perubahan
event1.histbuf	read_only_udm.additional.fields	Dipetakan dari log perubahan
event1.sen_name	read_only_udm.additional.fields	Dipetakan dari log perubahan
exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score	security_result.detection_fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.