Fidelis Network ログを収集する

パーサーのバージョン: 8.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Bindplane を使用して Fidelis ネットワーク ログを Google Security Operations に取り込む方法について説明します。

Fidelis Network は、詳細なコンテンツ検査、セッションレベルの分析、自動化された脅威対応を提供するネットワーク検出および対応（NDR）ソリューションです。ネットワーク トラフィックをリアルタイムでモニタリングし、すべてのポートとプロトコルにわたって高度な脅威、データ引き出しの試み、ポリシー違反を検出します。パーサーは、KV パターンと JSON パターンを使用して、Fidelis Network の syslog 形式のログからフィールドを抽出します。次に、これらの値を Unified Data Model（UDM）にマッピングします。また、イベントソースとタイプのデフォルトのメタデータ値も設定します。

始める前に

次の前提条件を満たしていることを確認してください。

• Google SecOps インスタンス
• Windows Server 2016 以降、または systemd を使用する Linux ホスト
• プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
• Fidelis Network CommandPost ウェブ インターフェースへの特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

• 新規デプロイ: Chronicle API を使用します（オプション 1）。
• 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。

オプション 1: Chronicle API のサービス アカウントを作成する（推奨）

1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
2. [IAM と管理> サービス アカウント] に移動します。
3. [サービス アカウントを作成] をクリックします。
4. 次の構成情報を指定します。
   • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
   • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
5. [作成して続行] をクリックします。
6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
7. [続行] をクリックして [完了] をクリックします。
8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
10. [JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。エクスポーターの構成に必要になります。

注: JSON キーは認証情報です。Bindplane ホスト上のファイルへのアクセスを制限し、組織のポリシーに従って鍵をローテーションします。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [収集エージェント] に移動します。
3. 取り込み認証ファイルをダウンロードします。
4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

注: このファイルは、エージェントを以前の Ingestion API（malachiteingestion-pa.googleapis.com）に対して認証します。この API は、2027 年 7 月 20 日にサポート終了が予定されています。その日までにオプション 1 に移行するよう計画してください。

Google SecOps のお客様 ID を取得する

1. Google SecOps コンソールにログインします。
2. [SIEM 設定] > [プロファイル] に移動します。

3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

   注: Bindplane エージェント エクスポータを構成するには、顧客 ID が必要です。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

2. 次のコマンドを実行します。

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. インストールが完了するまで待ちます。

4. 次のコマンドを実行して、インストールの内容を確認します。

   sc query observiq-otel-collector
   

サービスが RUNNING と表示されます。

Linux のインストール

1. root 権限または sudo 権限でターミナルを開きます。

2. 次のコマンドを実行します。

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. インストールが完了するまで待ちます。

4. 次のコマンドを実行して、インストールの内容を確認します。

   sudo systemctl status observiq-otel-collector
   

サービスが active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

注: Chronicle API エクスポータの構成には、Bindplane コレクタ v1.106.0 以降が必要です。上記のコマンドは、最新リリースをインストールします。既存のインストールを更新する場合は、構成を変更する前にコレクタをアップグレードします。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探します。

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

構成ファイルを編集します。

• config.yaml の内容全体を次の構成に置き換えます。

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: 'FIDELIS_NETWORK'
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - tcplog
        exporters:
          - chronicle/chronicle_w_labels
  

構成パラメータ

各プレースホルダを次のように置き換えます。

• レシーバーの構成:

  • tcplog: UDP syslog の場合は udplog、TCP syslog の場合は tcplog を使用します。
  • 0.0.0.0: リッスンする IP アドレス（すべてのインターフェースでリッスンする場合は 0.0.0.0）
  • 514: リッスンするポート番号（標準の syslog ポート）

• エクスポータの構成:

  • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: 「顧客 ID を取得する」セクションの顧客 ID
  • location: <LOCATION> を Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポートでは、この値が chronicle.googleapis.com の前に付加されます。完全なリストについては、リージョン エンドポイントをご覧ください。
  • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
  • endpoint: chronicle.googleapis.com に設定したままにします。
  • log_type: Chronicle に表示されるログタイプ（FIDELIS_NETWORK）

以前の Ingestion API エクスポータ

• オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'FIDELIS_NETWORK'
      raw_log_field: body
      ingestion_labels:
  

注: このエクスポータは、2027 年 7 月 20 日に Ingestion API が廃止されると機能しなくなります。

構成ファイルを保存する

• 編集が完了したら、ファイルを保存します。
  • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
  • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:

1. 次のコマンドを実行します。

   sudo systemctl restart observiq-otel-collector
   

2. サービスが実行されていることを確認します。

   sudo systemctl status observiq-otel-collector
   

3. ログでエラーを確認します。

   sudo journalctl -u observiq-otel-collector -f
   

Windows で Bindplane エージェントを再起動するには:

1. 次のいずれかのオプションを選択します。

   • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • サービス コンソール:
     1. Win+R キーを押し、「services.msc」と入力して Enter キーを押します。
     2. observIQ OpenTelemetry Collector を見つけます。
     3. 右クリックして [再起動] を選択します。

2. サービスが実行されていることを確認します。

   sc query observiq-otel-collector
   

3. ログでエラーを確認します。

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Fidelis Network の syslog 転送を構成する

1. Fidelis Network CommandPost ウェブ インターフェースにログインします。
2. [System] > [Export] > [Syslog] に移動します。
3. [Add Syslog Server] をクリックします。
4. 次の構成情報を指定します。
   • [名前]: わかりやすい名前を入力します（例: Google-SecOps-Bindplane）。
   • IP アドレス/ホスト名: Bindplane エージェント ホストの IP アドレスを入力します。
   • ポート: 「514」と入力します。
   • プロトコル: [TCP] を選択します。
   • 形式: 解析の要件に基づいて、[CEF]（Common Event Format）または [Syslog] を選択します。
   • Facility: LOCAL0（または任意のファシリティ）を選択します。
   • 重大度: [Informational]（または希望する重大度レベル）を選択します。
5. [Alert Types] セクションで、転送するイベントを選択します。
   • アラート イベント
   • マルウェア イベント
   • DLP イベント
   • DNS イベント
   • セッション イベント
6. [保存] をクリックします。
7. Bindplane エージェントのログを確認して、syslog メッセージが送信されていることを確認します。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
aaction	event.idm.read_only_udm.security_result.action_details	「none」または空の文字列でない場合、直接マッピングされます。
alert_threat_score	event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: alert_threat_score の値	検出フィールドとして直接マッピングされます。
alert_type	event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: alert_type の値	検出フィールドとして直接マッピングされます。
回答	event.idm.read_only_udm.network.dns.answers[].data	DNS イベントの場合は直接マッピングされます。
application_user	event.idm.read_only_udm.principal.user.userid	直接マッピングされます。
asset_os	event.idm.read_only_udm.target.platform	WINDOWS、LINUX、MAC、UNKNOWN_PLATFORM に正規化されます。
certificate.end_date	event.idm.read_only_udm.network.tls.client.certificate.not_after	解析され、タイムスタンプに変換されます。
certificate.extended_key_usage	event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.extended_key_usage の値	追加フィールドとしてマッピングされます。
certificate.issuer_name	event.idm.read_only_udm.network.tls.server.certificate.issuer	直接マッピングされます。
certificate.key_length	event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.key_length の値	追加フィールドとしてマッピングされます。
certificate.key_usage	event.idm.read_only_udm.additional.fields[].key: "Key Usage"、event.idm.read_only_udm.additional.fields[].value.string_value: certificate.key_usage の値	追加フィールドとしてマッピングされます。
certificate.start_date	event.idm.read_only_udm.network.tls.client.certificate.not_before	解析され、タイムスタンプに変換されます。
certificate.subject_altname	event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.subject_altname の値	追加フィールドとしてマッピングされます。
certificate.subject_name	event.idm.read_only_udm.network.tls.server.certificate.subject	直接マッピングされます。
certificate.type	event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.type の値	追加フィールドとしてマッピングされます。
暗号	event.idm.read_only_udm.network.tls.cipher	直接マッピングされます。
client_asset_name	event.idm.read_only_udm.principal.application	直接マッピングされます。
client_asset_subnet	event.idm.read_only_udm.additional.fields[].key: 「client_asset_subnet」、event.idm.read_only_udm.additional.fields[].value.string_value: client_asset_subnet の値	追加フィールドとしてマッピングされます。
client_ip	event.idm.read_only_udm.principal.ip	直接マッピングされます。
client_port	event.idm.read_only_udm.principal.port	直接マッピングされ、整数に変換されます。
ClientIP	event.idm.read_only_udm.principal.ip	直接マッピングされます。
ClientPort	event.idm.read_only_udm.principal.port	直接マッピングされ、整数に変換されます。
ClientCountry	event.idm.read_only_udm.principal.location.country_or_region	「UNKNOWN」または空の文字列でない場合、直接マッピングされます。
ClientAssetID	event.idm.read_only_udm.principal.asset_id	「0」または空の文字列でない場合、「Asset:」の接頭辞が付きます。
ClientAssetName	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: ClientAssetName の値	プリンシパル リソースラベルとしてマッピングされます。
ClientAssetRole	event.idm.read_only_udm.principal.asset.attribute.roles[].name	直接マッピングされます。
ClientAssetServices	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetServices"、event.idm.read_only_udm.principal.resource.attribute.labels[].value: ClientAssetServices の値	プリンシパル リソースラベルとしてマッピングされます。
クライアント	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "Client", event.idm.read_only_udm.principal.resource.attribute.labels[].value: Client の値	プリンシパル リソースラベルとしてマッピングされます。
コレクタ	event.idm.read_only_udm.security_result.detection_fields[].key: 「Collector」、event.idm.read_only_udm.security_result.detection_fields[].value: Collector の値	検出フィールドとしてマッピングされます。
コマンド	event.idm.read_only_udm.network.http.method	HTTP イベントに直接マッピングされます。
コマンド	event.idm.read_only_udm.security_result.detection_fields[].key: 「Command」、event.idm.read_only_udm.security_result.detection_fields[].value: Command の値	検出フィールドとしてマッピングされます。
接続	event.idm.read_only_udm.security_result.detection_fields[].key: 「Connection」、event.idm.read_only_udm.security_result.detection_fields[].value: Connection の値	検出フィールドとしてマッピングされます。
DecodingPath	event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: DecodingPath の値	検出フィールドとしてマッピングされます。
dest_country	event.idm.read_only_udm.target.location.country_or_region	直接マッピングされます。
dest_domain	event.idm.read_only_udm.target.hostname	直接マッピングされます。
dest_ip	event.idm.read_only_udm.target.ip	直接マッピングされます。
dest_port	event.idm.read_only_udm.target.port	直接マッピングされ、整数に変換されます。
方向	event.idm.read_only_udm.security_result.detection_fields[].key: "Direction", event.idm.read_only_udm.security_result.detection_fields[].value: Direction の値	検出フィールドとしてマッピングされます。
dns.host	event.idm.read_only_udm.network.dns.questions[].name	DNS イベントに直接マッピングされます。
DomainName	event.idm.read_only_udm.target.administrative_domain	直接マッピングされます。
DomainAlexaRank	event.idm.read_only_udm.security_result.detection_fields[].key: "DomainAlexaRank", event.idm.read_only_udm.security_result.detection_fields[].value: DomainAlexaRank の値	検出フィールドとしてマッピングされます。
dport	event.idm.read_only_udm.target.port	直接マッピングされ、整数に変換されます。
dnsresolution.server_fqdn	event.idm.read_only_udm.target.hostname	直接マッピングされます。
所要時間	event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: Duration の値	検出フィールドとしてマッピングされます。
暗号化あり	event.idm.read_only_udm.security_result.detection_fields[].key: "Encrypted", event.idm.read_only_udm.security_result.detection_fields[].value: Encrypted の値	検出フィールドとしてマッピングされます。
エントロピー	event.idm.read_only_udm.security_result.detection_fields[].key: "Entropy", event.idm.read_only_udm.security_result.detection_fields[].value: Entropy の値	検出フィールドとしてマッピングされます。
event.idm.read_only_udm.additional.fields	event.idm.read_only_udm.additional.fields	パーサー ロジックに基づくさまざまな追加フィールドが含まれます。
event.idm.read_only_udm.metadata.description	event.idm.read_only_udm.metadata.description	概要フィールドから直接マッピングされます。
event.idm.read_only_udm.metadata.event_type	event.idm.read_only_udm.metadata.event_type	さまざまなログフィールドとパーサー ロジックに基づいて決定されます。GENERIC_EVENT、NETWORK_CONNECTION、NETWORK_HTTP、NETWORK_SMTP、NETWORK_DNS、STATUS_UPDATE、NETWORK_FLOW のいずれかです。
event.idm.read_only_udm.metadata.log_type	event.idm.read_only_udm.metadata.log_type	「FIDELIS_NETWORK」に設定します。
event.idm.read_only_udm.metadata.product_name	event.idm.read_only_udm.metadata.product_name	「FIDELIS_NETWORK」に設定します。
event.idm.read_only_udm.metadata.vendor_name	event.idm.read_only_udm.metadata.vendor_name	「FIDELIS_NETWORK」に設定します。
event.idm.read_only_udm.network.application_protocol	event.idm.read_only_udm.network.application_protocol	server_port フィールドまたはプロトコル フィールドに基づいて決定されます。HTTP、HTTPS、SMTP、SSH、RPC、DNS、NFS、AOLMAIL のいずれかです。
event.idm.read_only_udm.network.direction	event.idm.read_only_udm.network.direction	概要の方向フィールドまたはキーワードに基づいて決定されます。INBOUND または OUTBOUND のいずれかです。
event.idm.read_only_udm.network.dns.answers	event.idm.read_only_udm.network.dns.answers	DNS イベントの場合に入力されます。
event.idm.read_only_udm.network.dns.id	event.idm.read_only_udm.network.dns.id	DNS イベントの数値フィールドからマッピングされます。
event.idm.read_only_udm.network.dns.questions	event.idm.read_only_udm.network.dns.questions	DNS イベントの場合に入力されます。
event.idm.read_only_udm.network.email.from	event.idm.read_only_udm.network.email.from	有効なメールアドレスの場合は、From から直接マッピングされます。
event.idm.read_only_udm.network.email.subject	event.idm.read_only_udm.network.email.subject	Subject から直接マッピングされます。
event.idm.read_only_udm.network.email.to	event.idm.read_only_udm.network.email.to	To から直接マッピングされます。
event.idm.read_only_udm.network.ftp.command	event.idm.read_only_udm.network.ftp.command	ftp.command から直接マッピングされます。
event.idm.read_only_udm.network.http.method	event.idm.read_only_udm.network.http.method	http.command または Command から直接マッピングされます。
event.idm.read_only_udm.network.http.referral_url	event.idm.read_only_udm.network.http.referral_url	Referer から直接マッピングされます。
event.idm.read_only_udm.network.http.response_code	event.idm.read_only_udm.network.http.response_code	http.status_code または StatusCode から直接マッピングされ、整数に変換されます。
event.idm.read_only_udm.network.http.user_agent	event.idm.read_only_udm.network.http.user_agent	http.useragent または UserAgent から直接マッピングされます。
event.idm.read_only_udm.network.ip_protocol	event.idm.read_only_udm.network.ip_protocol	TCP または UDP の場合、tproto から直接マッピングされます。
event.idm.read_only_udm.network.received_bytes	event.idm.read_only_udm.network.received_bytes	event1.server_packet_count から名前が変更され、符号なし整数に変換されます。
event.idm.read_only_udm.network.sent_bytes	event.idm.read_only_udm.network.sent_bytes	event1.client_packet_count から名前が変更され、符号なし整数に変換されます。
event.idm.read_only_udm.network.session_duration.seconds	event.idm.read_only_udm.network.session_duration.seconds	event1.session_size から名前が変更され、整数に変換されます。
event.idm.read_only_udm.network.session_id	event.idm.read_only_udm.network.session_id	event1.rel_sesid または UserSessionID から直接マッピングされます。
event.idm.read_only_udm.network.tls.client.certificate.issuer	event.idm.read_only_udm.network.tls.client.certificate.issuer	event1.certificate_issuer_name から直接マッピングされます。
event.idm.read_only_udm.network.tls.client.certificate.not_after	event.idm.read_only_udm.network.tls.client.certificate.not_after	event1.certificate_end_date から解析され、タイムスタンプに変換されます。
event.idm.read_only_udm.network.tls.client.certificate.not_before	event.idm.read_only_udm.network.tls.client.certificate.not_before	event1.certificate_start_date から解析され、タイムスタンプに変換されます。
event.idm.read_only_udm.network.tls.client.certificate.subject	event.idm.read_only_udm.network.tls.client.certificate.subject	event1.certificate_subject_name から直接マッピングされます。
event.idm.read_only_udm.network.tls.client.ja3	event.idm.read_only_udm.network.tls.client.ja3	event1.ja3digest から直接マッピングされ、文字列に変換されます。
event.idm.read_only_udm.network.tls.cipher	event.idm.read_only_udm.network.tls.cipher	event1.cipher、CipherSuite、cipher、event1.tls_ciphersuite から直接マッピングされます。
event.idm.read_only_udm.network.tls.server.certificate.issuer	event.idm.read_only_udm.network.tls.server.certificate.issuer	certificate_issuer_name から直接マッピングされます。
event.idm.read_only_udm.network.tls.server.certificate.subject	event.idm.read_only_udm.network.tls.server.certificate.subject	certificate_subject_name から直接マッピングされます。
event.idm.read_only_udm.network.tls.server.ja3s	event.idm.read_only_udm.network.tls.server.ja3s	event1.ja3sdigest から直接マッピングされ、文字列に変換されます。
event.idm.read_only_udm.network.tls.version	event.idm.read_only_udm.network.tls.version	event1.version から直接マッピングされます。
event.idm.read_only_udm.principal.application	event.idm.read_only_udm.principal.application	event1.client_asset_name から直接マッピングされます。
event.idm.read_only_udm.principal.asset.attribute.roles[].name	event.idm.read_only_udm.principal.asset.attribute.roles[].name	ClientAssetRole から直接マッピングされます。
event.idm.read_only_udm.principal.asset_id	event.idm.read_only_udm.principal.asset_id	ClientAssetID または ServerAssetID から直接マッピングされます（「Asset:」の接頭辞が付きます）。
event.idm.read_only_udm.principal.hostname	event.idm.read_only_udm.principal.hostname	event1.sld または src_domain から直接マッピングされます。
event.idm.read_only_udm.principal.ip	event.idm.read_only_udm.principal.ip	event1.src_ip6、client_ip、または ClientIP から直接マッピングされます。
event.idm.read_only_udm.principal.location.country_or_region	event.idm.read_only_udm.principal.location.country_or_region	「UNKNOWN」または空の文字列でない場合、ClientCountry または src_country から直接マッピングされます。
event.idm.read_only_udm.principal.port	event.idm.read_only_udm.principal.port	event1.sport または client_port から直接マッピングされ、整数に変換されます。
event.idm.read_only_udm.principal.resource.attribute.labels	event.idm.read_only_udm.principal.resource.attribute.labels	パーサー ロジックに基づくさまざまなラベルが含まれます。
event.idm.read_only_udm.principal.user.userid	event.idm.read_only_udm.principal.user.userid	ftp.user または AppUser から直接マッピングされます。
event.idm.read_only_udm.security_result.action	event.idm.read_only_udm.security_result.action	重大度に基づいて決定されます。ALLOW、BLOCK、UNKNOWN_ACTION のいずれか。
event.idm.read_only_udm.security_result.action_details	event.idm.read_only_udm.security_result.action_details	「none」または空の文字列でない場合、Action から直接マッピングされます。
event.idm.read_only_udm.security_result.category	event.idm.read_only_udm.security_result.category	malware_type が存在する場合は、NETWORK_SUSPICIOUS に設定します。
event.idm.read_only_udm.security_result.detection_fields	event.idm.read_only_udm.security_result.detection_fields	パーサー ロジックに基づくさまざまな検出フィールドが含まれます。
event.idm.read_only_udm.security_result.rule_name	event.idm.read_only_udm.security_result.rule_name	rule_name から直接マッピングされます。
event.idm.read_only_udm.security_result.severity	event.idm.read_only_udm.security_result.severity	重大度に基づいて決定されます。INFORMATIONAL、MEDIUM、ERROR、CRITICAL のいずれかになります。
event.idm.read_only_udm.security_result.summary	event.idm.read_only_udm.security_result.summary	ラベルから直接マッピングされます。
event.idm.read_only_udm.security_result.threat_name	event.idm.read_only_udm.security_result.threat_name	malware_type から直接マッピングされるか、概要に「CVE-」が含まれている場合はそれから解析されます。
event.idm.read_only_udm.target.administrative_domain	event.idm.read_only_udm.target.administrative_domain	DomainName から直接マッピングされます。
event.idm.read_only_udm.target.asset.attribute.roles[].name	event.idm.read_only_udm.target.asset.attribute.roles[].name	ServerAssetRole から直接マッピングされます。
event.idm.read_only_udm.target.file.full_path	event.idm.read_only_udm.target.file.full_path	ftp.filename または Filename から直接マッピングされます。
event.idm.read_only_udm.target.file.md5	event.idm.read_only_udm.target.file.md5	event1.md5 または md5 から直接マッピングされます。
event.idm.read_only_udm.target.file.mime_type	event.idm.read_only_udm.target.file.mime_type	event1.filetype から直接マッピングされます。
event.idm.read_only_udm.target.file.sha1	event.idm.read_only_udm.target.file.sha1	event1.srvcerthash から直接マッピングされます。
event.idm.read_only_udm.target.file.sha256	event.idm.read_only_udm.target.file.sha256	event1.sha256 または sha256 から直接マッピングされます。
event.idm.read_only_udm.target.file.size	event.idm.read_only_udm.target.file.size	event1.filesize から名前が変更され、0 でない場合、符号なし整数に変換されます。
event.idm.read_only_udm.target.hostname	event.idm.read_only_udm.target.hostname	event1.sni、dest_domain、または Host から直接マッピングされます。
event.idm.read_only_udm.target.ip	event.idm.read_only_udm.target.ip	event1.dst_ip6、server_ip、ServerIP から直接マッピングされます。
event.idm.read_only_udm.target.location.country_or_region	event.idm.read_only_udm.target.location.country_or_region	dest_country または ServerCountry から直接マッピングされます。
event.idm.read_only_udm.target.platform	event.idm.read_only_udm.target.platform	正規化後に asset_os からマッピングされます。
event.idm.read_only_udm.target.platform_version	event.idm.read_only_udm.target.platform_version	os_version から直接マッピングされます。
event.idm.read_only_udm.target.port	event.idm.read_only_udm.target.port	event1.dport または server_port から直接マッピングされ、整数に変換されます。
event.idm.read_only_udm.target.resource.attribute.labels	event.idm.read_only_udm.target.resource.attribute.labels	パーサー ロジックに基づくさまざまなラベルが含まれます。
event.idm.read_only_udm.target.url	event.idm.read_only_udm.target.url	url または URL から直接マッピングされます。
event.idm.read_only_udm.target.user.product_object_id	event.idm.read_only_udm.target.user.product_object_id	uuid から直接マッピングされます。
event1.certificate_end_date	event.idm.read_only_udm.network.tls.client.certificate.not_after	解析され、タイムスタンプに変換されます。
event1.certificate_extended_key_usage	event.idm.read_only_udm.additional.fields[].key: 「Extended Key Usage」、event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_extended_key_usage の値	追加フィールドとしてマッピングされます。
event1.certificate_issuer_name	event.idm.read_only_udm.network.tls.client.certificate.issuer	直接マッピングされます。
event1.certificate_key_length	event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_key_length の値	追加フィールドとしてマッピングされます。
event1.certificate_key_usage	event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_key_usage の値	追加フィールドとしてマッピングされます。
event1.certificate_start_date	event.idm.read_only_udm.network.tls.client.certificate.not_before	解析され、タイムスタンプに変換されます。
event1.certificate_subject_altname	event.idm.read_only_udm.additional.fields[].key: 「Certificate Alternate Name」、event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_subject_altname の値	追加フィールドとしてマッピングされます。
event1.certificate_subject_name	event.idm.read_only_udm.network.tls.client.certificate.subject	直接マッピングされます。
event1.client_asset_name	event.idm.read_only_udm.principal.application	直接マッピングされます。
event1.client_asset_subnet	event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: value of event1.client_asset_subnet	追加フィールドとしてマッピングされます。
event1.client_packet_count	event.idm.read_only_udm.network.sent_bytes	符号なし整数に変換され、名前が変更されます。
event1.cipher	event.idm.read_only_udm.network.tls.cipher	直接マッピングされます。
event1.direction	event.idm.read_only_udm.network.direction	「s2c」の場合は INBOUND にマッピングされ、「c2s」の場合は OUTBOUND にマッピングされます。
event1.dport	event.idm.read_only_udm.target.port	未加工ログの event1.dport の値は整数に変換され、target.port フィールドにマッピングされます。
event1.dst_ip6	event.idm.read_only_udm.target.ip	未加工ログの event1.dst_ip6 の値が target.ip フィールドにマッピングされます。
event1.filetype	event.idm.read_only_udm.target.file.mime_type	未加工ログの event1.filetype の値は、target.file.mime_type フィールドにマッピングされます。
event1.filesize	event.idm.read_only_udm.target.file.size	未加工ログの event1.filesize の値は符号なし整数に変換され、0 でない場合は target.file.size フィールドにマッピングされます。
event1.ja3digest	event.idm.read_only_udm.network.tls.client.ja3	未加工ログの event1.ja3digest の値は文字列に変換され、network.tls.client.ja3 フィールドにマッピングされます。
event1.ja3sdigest	event.idm.read_only_udm.network.tls.server.ja3s	未加工ログの event1.ja3sdigest の値は文字列に変換され、network.tls.server.ja3s フィールドにマッピングされます。
event1.md5	event.idm.read_only_udm.target.file.md5	未加工ログの event1.md5 の値が target.file.md5 フィールドにマッピングされます。
event1.rel_sesid	event.idm.read_only_udm.network.session_id	未加工ログの event1.rel_sesid の値は、network.session_id フィールドにマッピングされます。
event1.server_packet_count	event.idm.read_only_udm.network.received_bytes	未加工ログの event1.server_packet_count の値は符号なし整数に変換され、network.received_bytes フィールドにマッピングされます。
event1.session_size	event.idm.read_only_udm.network.session_duration.seconds	未加工ログの event1.session_size の値は整数に変換され、network.session_duration.seconds フィールドにマッピングされます。
event1.sha256	event.idm.read_only_udm.target.file.sha256	未加工ログの event1.sha256 の値は、target.file.sha256 フィールドにマッピングされます。
event1.sld	event.idm.read_only_udm.principal.hostname	未加工ログの event1.sld の値は、principal.hostname フィールドにマッピングされます。
event1.sni	event.idm.read_only_udm.target.hostname	未加工ログの event1.sni の値が target.hostname フィールドにマッピングされます。
event1.sport	event.idm.read_only_udm.principal.port	未加工ログの event1.sport の値は整数に変換され、principal.port フィールドにマッピングされます。
event1.src_ip6	event.idm.read_only_udm.principal.ip	未加工ログの event1.src_ip6 の値は、principal.ip フィールドにマッピングされます。
event1.srvcerthash	event.idm.read_only_udm.target.file.sha1	未加工ログの event1.srvcerthash の値が target.file.sha1 フィールドにマッピングされます。
event1.tls_ciphersuite	event.idm.read_only_udm.network.tls.cipher	未加工ログの event1.tls_ciphersuite の値が network.tls.cipher フィールドにマッピングされます。
event1.version	event.idm.read_only_udm.network.tls.version	未加工ログの event1.version の値が network.tls.version フィールドにマッピングされます。
ファイル名	event.idm.read_only_udm.target.file.full_path	未加工ログの Filename の値が target.file.full_path フィールドにマッピングされます。
転送元	event.idm.read_only_udm.network.email.from	未加工ログの From の値は、有効なメールアドレスであれば、network.email.from フィールドにマッピングされます。
ftp.command	event.idm.read_only_udm.network.ftp.command	未加工ログの ftp.command の値が network.ftp.command フィールドにマッピングされます。
ftp.filename	event.idm.read_only_udm.target.file.full_path	未加工ログの ftp.filename の値が target.file.full_path フィールドにマッピングされます。
ftp.user	event.idm.read_only_udm.principal.user.userid	未加工ログの ftp.user の値が principal.user.userid フィールドにマッピングされます。
ホスト	event.idm.read_only_udm.target.hostname	未加工ログの Host の値は、target.hostname フィールドにマッピングされます。
http.command	event.idm.read_only_udm.network.http.method	未加工ログの http.command の値が network.http.method フィールドにマッピングされます。
http.status_code	event.idm.read_only_udm.network.http.response_code	未加工ログの http.status_code の値は整数に変換され、network.http.response_code フィールドにマッピングされます。
http.useragent	event.idm.read_only_udm.network.http.user_agent	未加工ログの http.useragent の値が network.http.user_agent フィールドにマッピングされます。
ラベル	event.idm.read_only_udm.security_result.summary	未加工ログの label の値が security_result.summary フィールドにマッピングされます。
malware_type	event.idm.read_only_udm.security_result.threat_name	未加工ログの malware_type の値が security_result.threat_name フィールドにマッピングされます。
md5	event.idm.read_only_udm.target.file.md5	未加工ログの md5 の値は、target.file.md5 フィールドにマッピングされます。
数値	event.idm.read_only_udm.network.dns.id	未加工ログの number の値は、DNS イベントの network.dns.id フィールドにマッピングされます。
os_version	event.idm.read_only_udm.target.platform_version	未加工ログの os_version の値は、target.platform_version フィールドにマッピングされます。
リファラー	event.idm.read_only_udm.network.http.referral_url	未加工ログの Referer の値は、network.http.referral_url フィールドにマッピングされます。
rule_name	event.idm.read_only_udm.security_result.rule_name	未加工ログの rule_name の値は、security_result.rule_name フィールドにマッピングされます。
server_ip	event.idm.read_only_udm.target.ip	未加工ログの server_ip の値が target.ip フィールドにマッピングされます。
server_port	event.idm.read_only_udm.target.port	未加工ログの server_port の値は整数に変換され、target.port フィールドにマッピングされます。
ServerAssetID	event.idm.read_only_udm.principal.asset_id	未加工ログの ServerAssetID の値が「0」または空でない場合、「Asset:」の接頭辞が付き、principal.asset_id フィールドにマッピングされます。
ServerAssetRole	event.idm.read_only_udm.target.asset.attribute.roles[].name	未加工ログの ServerAssetRole の値が target.asset.attribute.roles[].name フィールドにマッピングされます。
ServerCountry	event.idm.read_only_udm.target.location.country_or_region	未加工ログの ServerCountry の値は、target.location.country_or_region フィールドにマッピングされます。
ServerIP	event.idm.read_only_udm.target.ip	未加工ログの ServerIP の値が target.ip フィールドにマッピングされます。
sha256	event.idm.read_only_udm.target.file.sha256	未加工ログの sha256 の値が target.file.sha256 フィールドにマッピングされます。
src_country	event.idm.read_only_udm.principal.location.country_or_region	未加工ログの src_country の値は、「UNKNOWN」または空でない場合、principal.location.country_or_region フィールドにマッピングされます。
src_domain	event.idm.read_only_udm.principal.hostname	未加工ログの src_domain の値が principal.hostname フィールドにマッピングされます。
StatusCode	event.idm.read_only_udm.network.http.response_code	未加工ログの StatusCode の値は整数に変換され、network.http.response_code フィールドにマッピングされます。
件名	event.idm.read_only_udm.network.email.subject	未加工ログの Subject の値は、network.email.subject フィールドにマッピングされます。
概要	event.idm.read_only_udm.metadata.description	未加工ログの summary の値が metadata.description フィールドにマッピングされます。
送信先	event.idm.read_only_udm.network.email.to	未加工ログの To の値が network.email.to フィールドにマッピングされます。
tproto	event.idm.read_only_udm.network.ip_protocol	未加工ログの tproto の値は、TCP または UDP の場合、network.ip_protocol フィールドにマッピングされます。
URL	event.idm.read_only_udm.target.url	未加工ログの url の値が target.url フィールドにマッピングされます。
URL	event.idm.read_only_udm.target.url	未加工ログの URL の値は、target.url フィールドにマッピングされます。
UserAgent	event.idm.read_only_udm.network.http.user_agent	未加工ログの UserAgent の値が network.http.user_agent フィールドにマッピングされます。
UserSessionID	event.idm.read_only_udm.network.session_id	未加工ログの UserSessionID の値が network.session_id フィールドにマッピングされます。
uuid	event.idm.read_only_udm.target.user.product_object_id	未加工ログの uuid の値は、target.user.product_object_id フィールドにマッピングされます。
なし	event.idm.read_only_udm.metadata.log_type	「FIDELIS_NETWORK」に設定します。
なし	event.idm.read_only_udm.metadata.product_name	「FIDELIS_NETWORK」に設定します。
なし	event.idm.read_only_udm.metadata.vendor_name	「FIDELIS_NETWORK」に設定します。
msg	event.idm.read_only_udm.metadata.description	変更履歴からマッピング
suser	event.idm.read_only_udm.principal.user.userid	変更履歴からマッピング
event1.tproto	network.ip_protocol	変更履歴からマッピング
event1.server_asset_subnet	read_only_udm.additional.fields	変更履歴からマッピング
event1.sha1hash	read_only_udm.additional.fields	変更履歴からマッピング
event1.type	read_only_udm.additional.fields	変更履歴からマッピング
event1.histbuf	read_only_udm.additional.fields	変更履歴からマッピング
event1.sen_name	read_only_udm.additional.fields	変更履歴からマッピング
exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score	security_result.detection_fields	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。