Fidelis Network 로그 수집
파서 버전: 8.0
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 Bindplane을 사용하여 Fidelis Network 로그를 Google Security Operations로 수집하는 방법을 설명합니다.
Fidelis Network는 심층 콘텐츠 검사, 세션 수준 분석, 자동화된 위협 대응을 제공하는 네트워크 감지 및 대응 (NDR) 솔루션입니다. 네트워크 트래픽을 실시간으로 모니터링하여 모든 포트와 프로토콜에서 지능형 위협, 데이터 무단 반출 시도, 정책 위반을 탐지합니다. 파서는 KV 및 JSON 패턴을 사용하여 Fidelis Network syslog 형식 로그에서 필드를 추출합니다. 그런 다음 이러한 값을 통합 데이터 모델 (UDM)에 매핑합니다. 또한 이벤트 소스 및 유형의 기본 메타데이터 값을 설정합니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
- Google SecOps 인스턴스
- Windows Server 2016 이상 또는
systemd가 설치된 Linux 호스트 - 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
- Fidelis Network CommandPost 웹 인터페이스에 대한 권한 있는 액세스
Bindplane 에이전트의 Google SecOps 사용자 인증 정보 가져오기
Google SecOps에 Bindplane 에이전트를 인증하려면 다음 방법 중 하나를 선택합니다.
- 새 배포: Chronicle API를 사용합니다 (옵션 1).
- 기존 배포: 2027년 7월 20일에 Ingestion API가 중단될 때까지 데이터 수집 인증 파일 (옵션 2)을 계속 사용합니다.
옵션 1: Chronicle API의 서비스 계정 만들기 (권장)
- Google Cloud 콘솔에 로그인하고 Google SecOps 인스턴스에 연결된 Google Cloud 프로젝트를 선택합니다.
- IAM 및 관리자 > 서비스 계정으로 이동합니다.
- 서비스 계정 만들기를 클릭합니다.
- 다음 구성 세부정보를 제공합니다.
- 서비스 계정 이름: 계정 이름을 입력합니다 (예:
bindplane-ingest). - 서비스 계정 설명: 설명을 입력합니다 (예:
Bindplane agent log ingestion).
- 서비스 계정 이름: 계정 이름을 입력합니다 (예:
- 만들고 계속하기를 클릭합니다.
- 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 역할 선택을 클릭하고 Chronicle 편집자를 선택합니다.
- 계속을 클릭한 다음 완료를 클릭합니다.
- 생성한 서비스 계정을 클릭한 다음 키 탭으로 이동합니다.
- 키 추가 > 새 키 만들기를 클릭합니다.
- JSON을 선택하고 만들기를 클릭합니다. 키 파일이 컴퓨터에 다운로드됩니다.
- 키 파일을 Bindplane 수집기 디렉터리 (Linux의 경우
/opt/observiq-otel-collector/ingestion-auth.json, Windows의 경우C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)에ingestion-auth.json로 저장하거나config.yaml의creds_file_path를 업데이트하여 저장한 경로와 일치시킵니다. - IAM 및 관리자 > 설정으로 이동하여 프로젝트 번호를 복사합니다. 내보내기 도구 구성에 필요합니다.
옵션 2: 데이터 수집 인증 파일 다운로드 (기존)
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 수집 에이전트로 이동합니다.
- 데이터 수집 인증 파일을 다운로드합니다.
- Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.
Google SecOps 고객 ID 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 프로필로 이동합니다.
조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.
Bindplane 에이전트 설치
다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.
Windows 설치
- 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.
다음 명령어를 실행합니다.
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet설치가 완료될 때까지 기다립니다.
다음을 실행하여 설치를 확인합니다.
sc query observiq-otel-collector
서비스가 RUNNING으로 표시됩니다.
Linux 설치
- 루트 또는 sudo 권한이 있는 터미널을 엽니다.
다음 명령어를 실행합니다.
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh설치가 완료될 때까지 기다립니다.
다음을 실행하여 설치를 확인합니다.
sudo systemctl status observiq-otel-collector
서비스가 active (running)으로 표시됩니다.
추가 설치 리소스
추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참조하세요.
syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성
구성 파일 찾기
Linux:
sudo nano /opt/observiq-otel-collector/config.yamlWindows:
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
구성 파일 설정
config.yaml의 전체 콘텐츠를 다음 구성으로 바꿉니다.receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: chronicle.googleapis.com log_type: 'FIDELIS_NETWORK' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - tcplog exporters: - chronicle/chronicle_w_labels
구성 매개변수
다음 자리표시자를 바꿉니다.
수신기 구성:
tcplog: UDP syslog의 경우udplog, TCP syslog의 경우tcplog를 사용합니다.0.0.0.0: 리슨할 IP 주소 (모든 인터페이스에서 리슨하려면0.0.0.0)514: 리슨할 포트 번호 (표준 syslog 포트)
내보내기 도구 구성:
creds_file_path: 서비스 계정 JSON 키 파일의 전체 경로 (옵션 1):- Linux:
/opt/observiq-otel-collector/ingestion-auth.json - Windows:
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux:
YOUR_CUSTOMER_ID: 고객 ID 가져오기 섹션의 고객 IDlocation:<LOCATION>을 Google SecOps 인스턴스의 리전 (예:us,europe,asia-southeast1)으로 바꿉니다. 내보내기 프로그램은chronicle.googleapis.com에 이 값을 접두사로 추가합니다. 전체 목록은 리전 엔드포인트를 참조하세요.project:<PROJECT_NUMBER>을 IAM 및 관리자 > 설정의 프로젝트 번호로 바꿉니다.endpoint:chronicle.googleapis.com로 설정된 상태로 유지합니다.log_type: Chronicle에 표시되는 로그 유형 (FIDELIS_NETWORK)
기존 수집 API 내보내기 도구
옵션 2의 수집 인증 파일을 사용하는 경우
exporters블록을 다음으로 바꿉니다.creds_file_path을 수집 인증 파일의 경로로 설정하고 인스턴스가 미국 외부에 있는 경우malachiteingestion-pa.googleapis.com을 리전 엔드포인트 (예:europe-malachiteingestion-pa.googleapis.com)로 바꿉니다.exporters: chronicle/chronicle_w_labels: compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: malachiteingestion-pa.googleapis.com log_type: 'FIDELIS_NETWORK' raw_log_field: body ingestion_labels:
구성 파일 저장
- 수정 후 파일을 저장합니다.
- Linux:
Ctrl+O,Enter,Ctrl+X를 차례로 누릅니다. - Windows: 파일 > 저장을 클릭합니다.
- Linux:
변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.
Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 안내를 따르세요.
다음 명령어를 실행합니다.
sudo systemctl restart observiq-otel-collector서비스가 실행 중인지 확인합니다.
sudo systemctl status observiq-otel-collector로그에서 오류를 확인합니다.
sudo journalctl -u observiq-otel-collector -f
Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 안내를 따르세요.
다음 옵션 중 하나를 선택합니다.
- 관리자 권한으로 명령 프롬프트 또는 PowerShell:
net stop observiq-otel-collector && net start observiq-otel-collector- 서비스 콘솔:
Win+R를 누르고services.msc를 입력한 다음 Enter 키를 누릅니다.- observIQ OpenTelemetry Collector를 찾습니다.
- 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.
서비스가 실행 중인지 확인합니다.
sc query observiq-otel-collector로그에서 오류를 확인합니다.
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
Fidelis Network syslog 전달 구성
- Fidelis Network CommandPost 웹 인터페이스에 로그인합니다.
- 시스템 > 내보내기 > Syslog로 이동합니다.
- 시스템로그 서버 추가를 클릭합니다.
- 다음 구성 세부정보를 제공합니다.
- 이름: 설명이 포함된 이름을 입력합니다 (예:
Google-SecOps-Bindplane). - IP 주소/호스트 이름: Bindplane 에이전트 호스트의 IP 주소를 입력합니다.
- 포트:
514를 입력합니다. - 프로토콜: TCP를 선택합니다.
- 형식: 파싱 요구사항에 따라 CEF (Common Event Format) 또는 Syslog를 선택합니다.
- 시설: LOCAL0 (또는 원하는 시설)을 선택합니다.
- 심각도: 정보 (또는 원하는 심각도 수준)를 선택합니다.
- 이름: 설명이 포함된 이름을 입력합니다 (예:
- Alert Types 섹션에서 전달할 이벤트를 선택합니다.
- 알림 이벤트
- 멀웨어 이벤트
- DLP 이벤트
- DNS 이벤트
- 세션 이벤트
- 저장을 클릭합니다.
- Bindplane 에이전트 로그를 확인하여 syslog 메시지가 전송되고 있는지 확인합니다.
UDM 매핑 테이블
| 로그 필드 | UDM 매핑 | 로직 |
|---|---|---|
| aaction | event.idm.read_only_udm.security_result.action_details | '없음' 또는 빈 문자열이 아닌 경우 직접 매핑됩니다. |
| alert_threat_score | event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: alert_threat_score 값 | 감지 필드로 직접 매핑됩니다. |
| alert_type | event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: alert_type 값 | 감지 필드로 직접 매핑됩니다. |
| 답변 | event.idm.read_only_udm.network.dns.answers[].data | DNS 이벤트에 직접 매핑됩니다. |
| application_user | event.idm.read_only_udm.principal.user.userid | 직접 매핑됩니다. |
| asset_os | event.idm.read_only_udm.target.platform | WINDOWS, LINUX, MAC 또는 UNKNOWN_PLATFORM으로 정규화됩니다. |
| certificate.end_date | event.idm.read_only_udm.network.tls.client.certificate.not_after | 파싱되어 타임스탬프로 변환됩니다. |
| certificate.extended_key_usage | event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.extended_key_usage 값 | 추가 필드로 매핑됩니다. |
| certificate.issuer_name | event.idm.read_only_udm.network.tls.server.certificate.issuer | 직접 매핑됩니다. |
| certificate.key_length | event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.key_length 값 | 추가 필드로 매핑됩니다. |
| certificate.key_usage | event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.key_usage 값 | 추가 필드로 매핑됩니다. |
| certificate.start_date | event.idm.read_only_udm.network.tls.client.certificate.not_before | 파싱되어 타임스탬프로 변환됩니다. |
| certificate.subject_altname | event.idm.read_only_udm.additional.fields[].key: 'Certificate Alternate Name', event.idm.read_only_udm.additional.fields[].value.string_value: certificate.subject_altname 값 | 추가 필드로 매핑됩니다. |
| certificate.subject_name | event.idm.read_only_udm.network.tls.server.certificate.subject | 직접 매핑됩니다. |
| certificate.type | event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.type 값 | 추가 필드로 매핑됩니다. |
| 암호 | event.idm.read_only_udm.network.tls.cipher | 직접 매핑됩니다. |
| client_asset_name | event.idm.read_only_udm.principal.application | 직접 매핑됩니다. |
| client_asset_subnet | event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: client_asset_subnet 값 | 추가 필드로 매핑됩니다. |
| client_ip | event.idm.read_only_udm.principal.ip | 직접 매핑됩니다. |
| client_port | event.idm.read_only_udm.principal.port | 정수로 직접 매핑되고 변환됩니다. |
| ClientIP | event.idm.read_only_udm.principal.ip | 직접 매핑됩니다. |
| ClientPort | event.idm.read_only_udm.principal.port | 직접 매핑되고 정수로 변환됩니다. |
| ClientCountry | event.idm.read_only_udm.principal.location.country_or_region | 'UNKNOWN' 또는 빈 문자열이 아닌 경우 직접 매핑됩니다. |
| ClientAssetID | event.idm.read_only_udm.principal.asset_id | '0' 또는 빈 문자열이 아닌 경우 'Asset:'이 앞에 붙습니다. |
| ClientAssetName | event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: ClientAssetName 값 | 주 구성원 리소스 라벨로 매핑됩니다. |
| ClientAssetRole | event.idm.read_only_udm.principal.asset.attribute.roles[].name | 직접 매핑됩니다. |
| ClientAssetServices | event.idm.read_only_udm.principal.resource.attribute.labels[].key: 'ClientAssetServices', event.idm.read_only_udm.principal.resource.attribute.labels[].value: ClientAssetServices 값 | 주 구성원 리소스 라벨로 매핑됩니다. |
| 클라이언트 | event.idm.read_only_udm.principal.resource.attribute.labels[].key: 'Client', event.idm.read_only_udm.principal.resource.attribute.labels[].value: 클라이언트 값 | 주 구성원 리소스 라벨로 매핑됩니다. |
| 수집기 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Collector', event.idm.read_only_udm.security_result.detection_fields[].value: Collector 값 | 감지 필드로 매핑됩니다. |
| 명령어 | event.idm.read_only_udm.network.http.method | HTTP 이벤트에 직접 매핑됩니다. |
| 명령어 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Command', event.idm.read_only_udm.security_result.detection_fields[].value: Command 값 | 감지 필드로 매핑됩니다. |
| 연결 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Connection', event.idm.read_only_udm.security_result.detection_fields[].value: Connection 값 | 감지 필드로 매핑됩니다. |
| DecodingPath | event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: DecodingPath 값 | 감지 필드로 매핑됩니다. |
| dest_country | event.idm.read_only_udm.target.location.country_or_region | 직접 매핑됩니다. |
| dest_domain | event.idm.read_only_udm.target.hostname | 직접 매핑됩니다. |
| dest_ip | event.idm.read_only_udm.target.ip | 직접 매핑됩니다. |
| dest_port | event.idm.read_only_udm.target.port | 직접 매핑되고 정수로 변환됩니다. |
| 방향 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Direction', event.idm.read_only_udm.security_result.detection_fields[].value: value of Direction | 감지 필드로 매핑됩니다. |
| dns.host | event.idm.read_only_udm.network.dns.questions[].name | DNS 이벤트에 직접 매핑됩니다. |
| DomainName | event.idm.read_only_udm.target.administrative_domain | 직접 매핑됩니다. |
| DomainAlexaRank | event.idm.read_only_udm.security_result.detection_fields[].key: 'DomainAlexaRank', event.idm.read_only_udm.security_result.detection_fields[].value: DomainAlexaRank 값 | 감지 필드로 매핑됩니다. |
| dport | event.idm.read_only_udm.target.port | 직접 매핑되고 정수로 변환됩니다. |
| dnsresolution.server_fqdn | event.idm.read_only_udm.target.hostname | 직접 매핑됩니다. |
| 소요 시간 | event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: Duration 값 | 감지 필드로 매핑됩니다. |
| 암호화됨 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Encrypted', event.idm.read_only_udm.security_result.detection_fields[].value: Encrypted 값 | 감지 필드로 매핑됩니다. |
| 엔트로피 | event.idm.read_only_udm.security_result.detection_fields[].key: "Entropy", event.idm.read_only_udm.security_result.detection_fields[].value: Entropy 값 | 감지 필드로 매핑됩니다. |
| event.idm.read_only_udm.additional.fields | event.idm.read_only_udm.additional.fields | 파서 로직을 기반으로 하는 다양한 추가 필드가 포함됩니다. |
| event.idm.read_only_udm.metadata.description | event.idm.read_only_udm.metadata.description | 요약 필드에서 직접 매핑됩니다. |
| event.idm.read_only_udm.metadata.event_type | event.idm.read_only_udm.metadata.event_type | 다양한 로그 필드와 파서 로직을 기반으로 결정됩니다. GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_HTTP, NETWORK_SMTP, NETWORK_DNS, STATUS_UPDATE, NETWORK_FLOW 중 하나일 수 있습니다. |
| event.idm.read_only_udm.metadata.log_type | event.idm.read_only_udm.metadata.log_type | 'FIDELIS_NETWORK'로 설정합니다. |
| event.idm.read_only_udm.metadata.product_name | event.idm.read_only_udm.metadata.product_name | 'FIDELIS_NETWORK'로 설정합니다. |
| event.idm.read_only_udm.metadata.vendor_name | event.idm.read_only_udm.metadata.vendor_name | 'FIDELIS_NETWORK'로 설정합니다. |
| event.idm.read_only_udm.network.application_protocol | event.idm.read_only_udm.network.application_protocol | server_port 또는 프로토콜 필드를 기반으로 결정됩니다. HTTP, HTTPS, SMTP, SSH, RPC, DNS, NFS, AOLMAIL일 수 있습니다. |
| event.idm.read_only_udm.network.direction | event.idm.read_only_udm.network.direction | 요약의 방향 필드 또는 키워드를 기반으로 결정됩니다. INBOUND 또는 OUTBOUND일 수 있습니다. |
| event.idm.read_only_udm.network.dns.answers | event.idm.read_only_udm.network.dns.answers | DNS 이벤트에 대해 채워집니다. |
| event.idm.read_only_udm.network.dns.id | event.idm.read_only_udm.network.dns.id | DNS 이벤트의 숫자 필드에서 매핑됩니다. |
| event.idm.read_only_udm.network.dns.questions | event.idm.read_only_udm.network.dns.questions | DNS 이벤트에 대해 채워집니다. |
| event.idm.read_only_udm.network.email.from | event.idm.read_only_udm.network.email.from | 유효한 이메일 주소인 경우 발신자에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.email.subject | event.idm.read_only_udm.network.email.subject | 제목에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.email.to | event.idm.read_only_udm.network.email.to | '받는 사람'에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.ftp.command | event.idm.read_only_udm.network.ftp.command | ftp.command에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.http.method | event.idm.read_only_udm.network.http.method | http.command 또는 Command에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.http.referral_url | event.idm.read_only_udm.network.http.referral_url | 리퍼러에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.http.response_code | event.idm.read_only_udm.network.http.response_code | http.status_code 또는 StatusCode에서 직접 매핑되고 정수로 변환됩니다. |
| event.idm.read_only_udm.network.http.user_agent | event.idm.read_only_udm.network.http.user_agent | http.useragent 또는 UserAgent에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.ip_protocol | event.idm.read_only_udm.network.ip_protocol | TCP 또는 UDP인 경우 tproto에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.received_bytes | event.idm.read_only_udm.network.received_bytes | event1.server_packet_count에서 이름이 변경되고 부호 없는 정수로 변환되었습니다. |
| event.idm.read_only_udm.network.sent_bytes | event.idm.read_only_udm.network.sent_bytes | event1.client_packet_count에서 이름이 변경되고 부호 없는 정수로 변환되었습니다. |
| event.idm.read_only_udm.network.session_duration.seconds | event.idm.read_only_udm.network.session_duration.seconds | event1.session_size에서 이름이 변경되고 정수로 변환되었습니다. |
| event.idm.read_only_udm.network.session_id | event.idm.read_only_udm.network.session_id | event1.rel_sesid 또는 UserSessionID에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.client.certificate.issuer | event.idm.read_only_udm.network.tls.client.certificate.issuer | event1.certificate_issuer_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.client.certificate.not_after | event.idm.read_only_udm.network.tls.client.certificate.not_after | event1.certificate_end_date에서 파싱되어 타임스탬프로 변환됩니다. |
| event.idm.read_only_udm.network.tls.client.certificate.not_before | event.idm.read_only_udm.network.tls.client.certificate.not_before | event1.certificate_start_date에서 파싱되어 타임스탬프로 변환됩니다. |
| event.idm.read_only_udm.network.tls.client.certificate.subject | event.idm.read_only_udm.network.tls.client.certificate.subject | event1.certificate_subject_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.client.ja3 | event.idm.read_only_udm.network.tls.client.ja3 | event1.ja3digest에서 직접 매핑되고 문자열로 변환됩니다. |
| event.idm.read_only_udm.network.tls.cipher | event.idm.read_only_udm.network.tls.cipher | event1.cipher, CipherSuite, cipher 또는 event1.tls_ciphersuite에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.server.certificate.issuer | event.idm.read_only_udm.network.tls.server.certificate.issuer | certificate_issuer_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.server.certificate.subject | event.idm.read_only_udm.network.tls.server.certificate.subject | certificate_subject_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.server.ja3s | event.idm.read_only_udm.network.tls.server.ja3s | event1.ja3sdigest에서 직접 매핑되고 문자열로 변환됩니다. |
| event.idm.read_only_udm.network.tls.version | event.idm.read_only_udm.network.tls.version | event1.version에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.application | event.idm.read_only_udm.principal.application | event1.client_asset_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.asset.attribute.roles[].name | event.idm.read_only_udm.principal.asset.attribute.roles[].name | ClientAssetRole에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.asset_id | event.idm.read_only_udm.principal.asset_id | ClientAssetID 또는 ServerAssetID에서 직접 매핑됩니다('Asset:' 접두사 사용). |
| event.idm.read_only_udm.principal.hostname | event.idm.read_only_udm.principal.hostname | event1.sld 또는 src_domain에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.ip | event.idm.read_only_udm.principal.ip | event1.src_ip6, client_ip 또는 ClientIP에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.location.country_or_region | event.idm.read_only_udm.principal.location.country_or_region | 'UNKNOWN' 또는 빈 문자열이 아닌 경우 ClientCountry 또는 src_country에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.port | event.idm.read_only_udm.principal.port | event1.sport 또는 client_port에서 직접 매핑되고 정수로 변환됩니다. |
| event.idm.read_only_udm.principal.resource.attribute.labels | event.idm.read_only_udm.principal.resource.attribute.labels | 파서 로직을 기반으로 하는 다양한 라벨이 포함됩니다. |
| event.idm.read_only_udm.principal.user.userid | event.idm.read_only_udm.principal.user.userid | ftp.user 또는 AppUser에서 직접 매핑됩니다. |
| event.idm.read_only_udm.security_result.action | event.idm.read_only_udm.security_result.action | 심각도에 따라 결정됩니다. ALLOW, BLOCK 또는 UNKNOWN_ACTION일 수 있습니다. |
| event.idm.read_only_udm.security_result.action_details | event.idm.read_only_udm.security_result.action_details | '없음' 또는 빈 문자열이 아닌 경우 작업에서 직접 매핑됩니다. |
| event.idm.read_only_udm.security_result.category | event.idm.read_only_udm.security_result.category | malware_type이 있으면 NETWORK_SUSPICIOUS로 설정됩니다. |
| event.idm.read_only_udm.security_result.detection_fields | event.idm.read_only_udm.security_result.detection_fields | 파서 로직을 기반으로 하는 다양한 감지 필드가 포함됩니다. |
| event.idm.read_only_udm.security_result.rule_name | event.idm.read_only_udm.security_result.rule_name | rule_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.security_result.severity | event.idm.read_only_udm.security_result.severity | 심각도에 따라 결정됩니다. INFORMATIONAL, MEDIUM, ERROR 또는 CRITICAL일 수 있습니다. |
| event.idm.read_only_udm.security_result.summary | event.idm.read_only_udm.security_result.summary | 라벨에서 직접 매핑됩니다. |
| event.idm.read_only_udm.security_result.threat_name | event.idm.read_only_udm.security_result.threat_name | malware_type에서 직접 매핑되거나 'CVE-'가 포함된 경우 요약에서 파싱됩니다. |
| event.idm.read_only_udm.target.administrative_domain | event.idm.read_only_udm.target.administrative_domain | DomainName에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.asset.attribute.roles[].name | event.idm.read_only_udm.target.asset.attribute.roles[].name | ServerAssetRole에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.full_path | event.idm.read_only_udm.target.file.full_path | ftp.filename 또는 Filename에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.md5 | event.idm.read_only_udm.target.file.md5 | event1.md5 또는 md5에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.mime_type | event.idm.read_only_udm.target.file.mime_type | event1.filetype에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.sha1 | event.idm.read_only_udm.target.file.sha1 | event1.srvcerthash에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.sha256 | event.idm.read_only_udm.target.file.sha256 | event1.sha256 또는 sha256에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.size | event.idm.read_only_udm.target.file.size | event1.filesize에서 이름이 변경되었으며 0이 아닌 경우 부호 없는 정수로 변환됩니다. |
| event.idm.read_only_udm.target.hostname | event.idm.read_only_udm.target.hostname | event1.sni, dest_domain 또는 호스트에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.ip | event.idm.read_only_udm.target.ip | event1.dst_ip6, server_ip 또는 ServerIP에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.location.country_or_region | event.idm.read_only_udm.target.location.country_or_region | dest_country 또는 ServerCountry에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.platform | event.idm.read_only_udm.target.platform | 정규화 후 asset_os에서 매핑됩니다. |
| event.idm.read_only_udm.target.platform_version | event.idm.read_only_udm.target.platform_version | os_version에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.port | event.idm.read_only_udm.target.port | event1.dport 또는 server_port에서 직접 매핑되고 정수로 변환됩니다. |
| event.idm.read_only_udm.target.resource.attribute.labels | event.idm.read_only_udm.target.resource.attribute.labels | 파서 로직을 기반으로 하는 다양한 라벨이 포함됩니다. |
| event.idm.read_only_udm.target.url | event.idm.read_only_udm.target.url | url 또는 URL에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.user.product_object_id | event.idm.read_only_udm.target.user.product_object_id | uuid에서 직접 매핑됩니다. |
| event1.certificate_end_date | event.idm.read_only_udm.network.tls.client.certificate.not_after | 파싱되어 타임스탬프로 변환됩니다. |
| event1.certificate_extended_key_usage | event.idm.read_only_udm.additional.fields[].key: 'Extended Key Usage', event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_extended_key_usage의 값 | 추가 필드로 매핑됩니다. |
| event1.certificate_issuer_name | event.idm.read_only_udm.network.tls.client.certificate.issuer | 직접 매핑됩니다. |
| event1.certificate_key_length | event.idm.read_only_udm.additional.fields[].key: 'Key Length', event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_key_length 값 | 추가 필드로 매핑됩니다. |
| event1.certificate_key_usage | event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_key_usage 값 | 추가 필드로 매핑됩니다. |
| event1.certificate_start_date | event.idm.read_only_udm.network.tls.client.certificate.not_before | 파싱되어 타임스탬프로 변환됩니다. |
| event1.certificate_subject_altname | event.idm.read_only_udm.additional.fields[].key: 'Certificate Alternate Name', event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_subject_altname 값 | 추가 필드로 매핑됩니다. |
| event1.certificate_subject_name | event.idm.read_only_udm.network.tls.client.certificate.subject | 직접 매핑됩니다. |
| event1.client_asset_name | event.idm.read_only_udm.principal.application | 직접 매핑됩니다. |
| event1.client_asset_subnet | event.idm.read_only_udm.additional.fields[].key: 'client_asset_subnet', event.idm.read_only_udm.additional.fields[].value.string_value: event1.client_asset_subnet의 값 | 추가 필드로 매핑됩니다. |
| event1.client_packet_count | event.idm.read_only_udm.network.sent_bytes | 부호 없는 정수로 변환되고 이름이 변경되었습니다. |
| event1.cipher | event.idm.read_only_udm.network.tls.cipher | 직접 매핑됩니다. |
| event1.direction | event.idm.read_only_udm.network.direction | 's2c'인 경우 INBOUND에 매핑되고 'c2s'인 경우 OUTBOUND에 매핑됩니다. |
| event1.dport | event.idm.read_only_udm.target.port | 원시 로그의 event1.dport 값이 정수로 변환되고 target.port 필드에 매핑됩니다. |
| event1.dst_ip6 | event.idm.read_only_udm.target.ip | 원시 로그의 event1.dst_ip6 값이 target.ip 필드에 매핑됩니다. |
| event1.filetype | event.idm.read_only_udm.target.file.mime_type | 원시 로그의 event1.filetype 값이 target.file.mime_type 필드에 매핑됩니다. |
| event1.filesize | event.idm.read_only_udm.target.file.size | 원시 로그의 event1.filesize 값이 부호 없는 정수로 변환되고 0이 아닌 경우 target.file.size 필드에 매핑됩니다. |
| event1.ja3digest | event.idm.read_only_udm.network.tls.client.ja3 | 원시 로그의 event1.ja3digest 값이 문자열로 변환되고 network.tls.client.ja3 필드에 매핑됩니다. |
| event1.ja3sdigest | event.idm.read_only_udm.network.tls.server.ja3s | 원시 로그의 event1.ja3sdigest 값이 문자열로 변환되고 network.tls.server.ja3s 필드에 매핑됩니다. |
| event1.md5 | event.idm.read_only_udm.target.file.md5 | 원시 로그의 event1.md5 값이 target.file.md5 필드에 매핑됩니다. |
| event1.rel_sesid | event.idm.read_only_udm.network.session_id | 원시 로그의 event1.rel_sesid 값이 network.session_id 필드에 매핑됩니다. |
| event1.server_packet_count | event.idm.read_only_udm.network.received_bytes | 원시 로그의 event1.server_packet_count 값이 부호 없는 정수로 변환되고 network.received_bytes 필드에 매핑됩니다. |
| event1.session_size | event.idm.read_only_udm.network.session_duration.seconds | 원시 로그의 event1.session_size 값이 정수로 변환되고 network.session_duration.seconds 필드에 매핑됩니다. |
| event1.sha256 | event.idm.read_only_udm.target.file.sha256 | 원시 로그의 event1.sha256 값이 target.file.sha256 필드에 매핑됩니다. |
| event1.sld | event.idm.read_only_udm.principal.hostname | 원시 로그의 event1.sld 값이 principal.hostname 필드에 매핑됩니다. |
| event1.sni | event.idm.read_only_udm.target.hostname | 원시 로그의 event1.sni 값이 target.hostname 필드에 매핑됩니다. |
| event1.sport | event.idm.read_only_udm.principal.port | 원시 로그의 event1.sport 값이 정수로 변환되고 principal.port 필드에 매핑됩니다. |
| event1.src_ip6 | event.idm.read_only_udm.principal.ip | 원시 로그의 event1.src_ip6 값이 principal.ip 필드에 매핑됩니다. |
| event1.srvcerthash | event.idm.read_only_udm.target.file.sha1 | 원시 로그의 event1.srvcerthash 값이 target.file.sha1 필드에 매핑됩니다. |
| event1.tls_ciphersuite | event.idm.read_only_udm.network.tls.cipher | 원시 로그의 event1.tls_ciphersuite 값이 network.tls.cipher 필드에 매핑됩니다. |
| event1.version | event.idm.read_only_udm.network.tls.version | 원시 로그의 event1.version 값이 network.tls.version 필드에 매핑됩니다. |
| 파일 이름 | event.idm.read_only_udm.target.file.full_path | 원시 로그의 Filename 값이 target.file.full_path 필드에 매핑됩니다. |
| From | event.idm.read_only_udm.network.email.from | 원시 로그의 From 값이 유효한 이메일 주소인 경우 network.email.from 필드에 매핑됩니다. |
| ftp.command | event.idm.read_only_udm.network.ftp.command | 원시 로그의 ftp.command 값이 network.ftp.command 필드에 매핑됩니다. |
| ftp.filename | event.idm.read_only_udm.target.file.full_path | 원시 로그의 ftp.filename 값이 target.file.full_path 필드에 매핑됩니다. |
| ftp.user | event.idm.read_only_udm.principal.user.userid | 원시 로그의 ftp.user 값이 principal.user.userid 필드에 매핑됩니다. |
| 호스트 | event.idm.read_only_udm.target.hostname | 원시 로그의 Host 값이 target.hostname 필드에 매핑됩니다. |
| http.command | event.idm.read_only_udm.network.http.method | 원시 로그의 http.command 값이 network.http.method 필드에 매핑됩니다. |
| http.status_code | event.idm.read_only_udm.network.http.response_code | 원시 로그의 http.status_code 값이 정수로 변환되고 network.http.response_code 필드에 매핑됩니다. |
| http.useragent | event.idm.read_only_udm.network.http.user_agent | 원시 로그의 http.useragent 값이 network.http.user_agent 필드에 매핑됩니다. |
| 라벨 | event.idm.read_only_udm.security_result.summary | 원시 로그의 label 값이 security_result.summary 필드에 매핑됩니다. |
| malware_type | event.idm.read_only_udm.security_result.threat_name | 원시 로그의 malware_type 값이 security_result.threat_name 필드에 매핑됩니다. |
| md5 | event.idm.read_only_udm.target.file.md5 | 원시 로그의 md5 값이 target.file.md5 필드에 매핑됩니다. |
| 숫자 | event.idm.read_only_udm.network.dns.id | 원시 로그의 number 값이 DNS 이벤트의 network.dns.id 필드에 매핑됩니다. |
| os_version | event.idm.read_only_udm.target.platform_version | 원시 로그의 os_version 값이 target.platform_version 필드에 매핑됩니다. |
| 리퍼러 | event.idm.read_only_udm.network.http.referral_url | 원시 로그의 Referer 값이 network.http.referral_url 필드에 매핑됩니다. |
| rule_name | event.idm.read_only_udm.security_result.rule_name | 원시 로그의 rule_name 값이 security_result.rule_name 필드에 매핑됩니다. |
| server_ip | event.idm.read_only_udm.target.ip | 원시 로그의 server_ip 값이 target.ip 필드에 매핑됩니다. |
| server_port | event.idm.read_only_udm.target.port | 원시 로그의 server_port 값이 정수로 변환되고 target.port 필드에 매핑됩니다. |
| ServerAssetID | event.idm.read_only_udm.principal.asset_id | 원시 로그의 ServerAssetID 값은 'Asset:' 프리픽스가 추가되고 '0' 또는 비어 있지 않은 경우 principal.asset_id 필드에 매핑됩니다. |
| ServerAssetRole | event.idm.read_only_udm.target.asset.attribute.roles[].name | 원시 로그의 ServerAssetRole 값이 target.asset.attribute.roles[].name 필드에 매핑됩니다. |
| ServerCountry | event.idm.read_only_udm.target.location.country_or_region | 원시 로그의 ServerCountry 값이 target.location.country_or_region 필드에 매핑됩니다. |
| ServerIP | event.idm.read_only_udm.target.ip | 원시 로그의 ServerIP 값이 target.ip 필드에 매핑됩니다. |
| sha256 | event.idm.read_only_udm.target.file.sha256 | 원시 로그의 sha256 값이 target.file.sha256 필드에 매핑됩니다. |
| src_country | event.idm.read_only_udm.principal.location.country_or_region | 원시 로그의 src_country 값이 'UNKNOWN'이 아니거나 비어 있지 않으면 principal.location.country_or_region 필드에 매핑됩니다. |
| src_domain | event.idm.read_only_udm.principal.hostname | 원시 로그의 src_domain 값이 principal.hostname 필드에 매핑됩니다. |
| StatusCode | event.idm.read_only_udm.network.http.response_code | 원시 로그의 StatusCode 값이 정수로 변환되고 network.http.response_code 필드에 매핑됩니다. |
| 제목 | event.idm.read_only_udm.network.email.subject | 원시 로그의 Subject 값이 network.email.subject 필드에 매핑됩니다. |
| 요약 | event.idm.read_only_udm.metadata.description | 원시 로그의 summary 값이 metadata.description 필드에 매핑됩니다. |
| 받는사람 | event.idm.read_only_udm.network.email.to | 원시 로그의 To 값이 network.email.to 필드에 매핑됩니다. |
| tproto | event.idm.read_only_udm.network.ip_protocol | 원시 로그의 tproto 값이 TCP 또는 UDP인 경우 network.ip_protocol 필드에 매핑됩니다. |
| url | event.idm.read_only_udm.target.url | 원시 로그의 url 값이 target.url 필드에 매핑됩니다. |
| URL | event.idm.read_only_udm.target.url | 원시 로그의 URL 값이 target.url 필드에 매핑됩니다. |
| UserAgent | event.idm.read_only_udm.network.http.user_agent | 원시 로그의 UserAgent 값이 network.http.user_agent 필드에 매핑됩니다. |
| UserSessionID | event.idm.read_only_udm.network.session_id | 원시 로그의 UserSessionID 값이 network.session_id 필드에 매핑됩니다. |
| uuid | event.idm.read_only_udm.target.user.product_object_id | 원시 로그의 uuid 값이 target.user.product_object_id 필드에 매핑됩니다. |
| 해당 사항 없음 | event.idm.read_only_udm.metadata.log_type | 'FIDELIS_NETWORK'로 설정합니다. |
| 해당 사항 없음 | event.idm.read_only_udm.metadata.product_name | 'FIDELIS_NETWORK'로 설정합니다. |
| 해당 사항 없음 | event.idm.read_only_udm.metadata.vendor_name | 'FIDELIS_NETWORK'로 설정합니다. |
msg |
event.idm.read_only_udm.metadata.description |
변경 로그에서 매핑됨 |
suser |
event.idm.read_only_udm.principal.user.userid |
변경 로그에서 매핑됨 |
event1.tproto |
network.ip_protocol |
변경 로그에서 매핑됨 |
event1.server_asset_subnet |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event1.sha1hash |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event1.type |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event1.histbuf |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event1.sen_name |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score |
security_result.detection_fields |
변경 로그에서 매핑됨 |
변경 로그
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.