Fidelis Network 로그 수집
파서 버전: 8.0
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 Bindplane을 사용하여 Fidelis Network 로그를 Google Security Operations로 수집하는 방법을 설명합니다.
Fidelis Network는 심층 콘텐츠 검사, 세션 수준 분석, 자동화된 위협 대응을 제공하는 네트워크 감지 및 대응 (NDR) 솔루션입니다. 모든 포트와 프로토콜에서 네트워크 트래픽을 실시간으로 모니터링하여 고급 위협, 데이터 유출 시도, 정책 위반을 탐지합니다. 파서는 KV 및 JSON 패턴을 사용하여 Fidelis Network syslog 형식 로그에서 필드를 추출합니다. 그런 다음 이러한 값을 통합 데이터 모델 (UDM)에 매핑합니다. 또한 이벤트 소스 및 유형의 기본 메타데이터 값을 설정합니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
- Google SecOps 인스턴스
- Windows Server 2016 이상 또는
systemd가 설치된 Linux 호스트 - 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
- Fidelis Network CommandPost 웹 인터페이스에 대한 권한 있는 액세스
Google SecOps 수집 인증 파일 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 수집 에이전트로 이동합니다.
데이터 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.
Google SecOps 고객 ID 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 프로필로 이동합니다.
조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.
Bindplane 에이전트 설치
다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.
Windows 설치
- 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.
다음 명령어를 실행합니다.
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet설치가 완료될 때까지 기다립니다.
다음을 실행하여 설치를 확인합니다.
sc query observiq-otel-collector
서비스가 실행 중으로 표시되어야 합니다.
Linux 설치
- 루트 또는 sudo 권한으로 터미널을 엽니다.
다음 명령어를 실행합니다.
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh설치가 완료될 때까지 기다립니다.
다음을 실행하여 설치를 확인합니다.
sudo systemctl status observiq-otel-collector
서비스가 활성 (실행 중)으로 표시되어야 합니다.
추가 설치 리소스
추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.
syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성
구성 파일 찾기
Linux:
sudo systemctl status observiq-otel-collectorWindows:
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
구성 파일 설정
config.yaml의 전체 콘텐츠를 다음 구성으로 바꿉니다.receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: malachiteingestion-pa.googleapis.com log_type: 'FIDELIS_NETWORK' raw_log_field: body ingestion_labels: service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - tcplog exporters: - chronicle/chronicle_w_labels
구성 매개변수
다음 자리표시자를 바꿉니다.
수신기 구성:
tcplog: UDP syslog의 경우udplog, TCP syslog의 경우tcplog사용0.0.0.0: 리슨할 IP 주소 (모든 인터페이스에서 리슨하려면0.0.0.0)514: 리슨할 포트 번호 (표준 syslog 포트)
내보내기 도구 구성:
creds_file_path: 수집 인증 파일의 전체 경로입니다.- Linux:
/etc/bindplane-agent/ingestion-auth.json - Windows:
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux:
YOUR_CUSTOMER_ID: 고객 ID 가져오기 섹션의 고객 IDendpoint: 지역 엔드포인트 URL:- 미국:
malachiteingestion-pa.googleapis.com - 유럽:
europe-malachiteingestion-pa.googleapis.com - 아시아:
asia-southeast1-malachiteingestion-pa.googleapis.com - 전체 목록은 리전 엔드포인트를 참고하세요.
- 미국:
log_type: Chronicle에 표시되는 로그 유형 (FIDELIS_NETWORK)
구성 파일 저장
- 수정 후 파일을 저장합니다.
- Linux:
Ctrl+O,Enter,Ctrl+X순으로 누릅니다. - Windows: 파일 > 저장을 클릭합니다.
- Linux:
변경사항을 적용하려면 Bindplane 에이전트를 다시 시작하세요.
Linux에서 Bindplane 에이전트를 다시 시작하려면 다음을 실행하세요.
다음 명령어를 실행합니다.
sudo systemctl restart observiq-otel-collector서비스가 실행 중인지 확인합니다.
sudo systemctl status observiq-otel-collector로그에서 오류를 확인합니다.
sudo journalctl -u observiq-otel-collector -f
Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 단계를 따르세요.
다음 옵션 중 하나를 선택합니다.
- 관리자 권한으로 명령 프롬프트 또는 PowerShell:
net stop observiq-otel-collector && net start observiq-otel-collector- 서비스 콘솔:
Win+R키를 누르고services.msc를 입력한 다음 Enter 키를 누릅니다.- observIQ OpenTelemetry Collector를 찾습니다.
- 마우스 오른쪽 버튼을 클릭하고 다시 시작을 선택합니다.
서비스가 실행 중인지 확인합니다.
sc query observiq-otel-collector로그에서 오류를 확인합니다.
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
Fidelis Network syslog 전달 구성
- Fidelis Network CommandPost 웹 인터페이스에 로그인합니다.
- 시스템 > 내보내기 > Syslog로 이동합니다.
- Syslog 서버 추가를 클릭합니다.
- 다음 구성 세부정보를 제공합니다.
- 이름: 설명이 포함된 이름을 입력합니다 (예:
Google-SecOps-Bindplane). - IP 주소/호스트 이름: Bindplane 에이전트 호스트의 IP 주소를 입력합니다.
- 포트:
514를 입력합니다. - 프로토콜: TCP를 선택합니다.
- 형식: 파싱 요구사항에 따라 CEF (Common Event Format) 또는 Syslog를 선택합니다.
- Facility: LOCAL0 (또는 원하는 시설)을 선택합니다.
- 심각도: 정보 (또는 원하는 심각도 수준)를 선택합니다.
- 이름: 설명이 포함된 이름을 입력합니다 (예:
- Alert Types 섹션에서 전달할 이벤트를 선택합니다.
- 알림 이벤트
- 멀웨어 이벤트
- DLP 이벤트
- DNS 이벤트
- 세션 이벤트
- 저장을 클릭합니다.
- Bindplane 에이전트 로그를 확인하여 syslog 메시지가 전송되는지 확인합니다.
UDM 매핑 테이블
| 로그 필드 | UDM 매핑 | 로직 |
|---|---|---|
| aaction | event.idm.read_only_udm.security_result.action_details | '없음' 또는 빈 문자열이 아닌 경우 직접 매핑됩니다. |
| alert_threat_score | event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_threat_score | 감지 필드로 직접 매핑됩니다. |
| alert_type | event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_type | 감지 필드로 직접 매핑됩니다. |
| 답변 | event.idm.read_only_udm.network.dns.answers[].data | DNS 이벤트에 직접 매핑됩니다. |
| application_user | event.idm.read_only_udm.principal.user.userid | 직접 매핑됩니다. |
| asset_os | event.idm.read_only_udm.target.platform | WINDOWS, LINUX, MAC 또는 UNKNOWN_PLATFORM으로 정규화됩니다. |
| certificate.end_date | event.idm.read_only_udm.network.tls.client.certificate.not_after | 파싱되어 타임스탬프로 변환됩니다. |
| certificate.extended_key_usage | event.idm.read_only_udm.additional.fields[].key: 'Extended Key Usage', event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.extended_key_usage | 추가 필드로 매핑됩니다. |
| certificate.issuer_name | event.idm.read_only_udm.network.tls.server.certificate.issuer | 직접 매핑됩니다. |
| certificate.key_length | event.idm.read_only_udm.additional.fields[].key: 'Key Length', event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_length | 추가 필드로 매핑됩니다. |
| certificate.key_usage | event.idm.read_only_udm.additional.fields[].key: 'Key Usage', event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_usage | 추가 필드로 매핑됩니다. |
| certificate.start_date | event.idm.read_only_udm.network.tls.client.certificate.not_before | 파싱되어 타임스탬프로 변환됩니다. |
| certificate.subject_altname | event.idm.read_only_udm.additional.fields[].key: 'Certificate Alternate Name', event.idm.read_only_udm.additional.fields[].value.string_value: certificate.subject_altname 값 | 추가 필드로 매핑됩니다. |
| certificate.subject_name | event.idm.read_only_udm.network.tls.server.certificate.subject | 직접 매핑됩니다. |
| certificate.type | event.idm.read_only_udm.additional.fields[].key: 'Certificate_Type', event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.type | 추가 필드로 매핑됩니다. |
| 암호 | event.idm.read_only_udm.network.tls.cipher | 직접 매핑됩니다. |
| client_asset_name | event.idm.read_only_udm.principal.application | 직접 매핑됩니다. |
| client_asset_subnet | event.idm.read_only_udm.additional.fields[].key: 'client_asset_subnet', event.idm.read_only_udm.additional.fields[].value.string_value: client_asset_subnet 값 | 추가 필드로 매핑됩니다. |
| client_ip | event.idm.read_only_udm.principal.ip | 직접 매핑됩니다. |
| client_port | event.idm.read_only_udm.principal.port | 정수로 직접 매핑되고 변환됩니다. |
| ClientIP | event.idm.read_only_udm.principal.ip | 직접 매핑됩니다. |
| ClientPort | event.idm.read_only_udm.principal.port | 정수로 직접 매핑되고 변환됩니다. |
| ClientCountry | event.idm.read_only_udm.principal.location.country_or_region | 'UNKNOWN' 또는 빈 문자열이 아닌 경우 직접 매핑됩니다. |
| ClientAssetID | event.idm.read_only_udm.principal.asset_id | '0' 또는 빈 문자열이 아닌 경우 'Asset:'이 앞에 붙습니다. |
| ClientAssetName | event.idm.read_only_udm.principal.resource.attribute.labels[].key: 'ClientAssetName', event.idm.read_only_udm.principal.resource.attribute.labels[].value: ClientAssetName의 값 | 기본 리소스 라벨로 매핑됩니다. |
| ClientAssetRole | event.idm.read_only_udm.principal.asset.attribute.roles[].name | 직접 매핑됩니다. |
| ClientAssetServices | event.idm.read_only_udm.principal.resource.attribute.labels[].key: 'ClientAssetServices', event.idm.read_only_udm.principal.resource.attribute.labels[].value: ClientAssetServices 값 | 기본 리소스 라벨로 매핑됩니다. |
| 클라이언트 | event.idm.read_only_udm.principal.resource.attribute.labels[].key: 'Client', event.idm.read_only_udm.principal.resource.attribute.labels[].value: 클라이언트 값 | 기본 리소스 라벨로 매핑됩니다. |
| 수집기 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Collector', event.idm.read_only_udm.security_result.detection_fields[].value: Collector 값 | 감지 필드로 매핑됩니다. |
| 명령어 | event.idm.read_only_udm.network.http.method | HTTP 이벤트에 직접 매핑됩니다. |
| 명령어 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Command', event.idm.read_only_udm.security_result.detection_fields[].value: Command 값 | 감지 필드로 매핑됩니다. |
| 연결 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Connection', event.idm.read_only_udm.security_result.detection_fields[].value: Connection 값 | 감지 필드로 매핑됩니다. |
| DecodingPath | event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: value of DecodingPath | 감지 필드로 매핑됩니다. |
| dest_country | event.idm.read_only_udm.target.location.country_or_region | 직접 매핑됩니다. |
| dest_domain | event.idm.read_only_udm.target.hostname | 직접 매핑됩니다. |
| dest_ip | event.idm.read_only_udm.target.ip | 직접 매핑됩니다. |
| dest_port | event.idm.read_only_udm.target.port | 정수로 직접 매핑되고 변환됩니다. |
| 방향 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Direction', event.idm.read_only_udm.security_result.detection_fields[].value: value of Direction | 감지 필드로 매핑됩니다. |
| dns.host | event.idm.read_only_udm.network.dns.questions[].name | DNS 이벤트에 직접 매핑됩니다. |
| DomainName | event.idm.read_only_udm.target.administrative_domain | 직접 매핑됩니다. |
| DomainAlexaRank | event.idm.read_only_udm.security_result.detection_fields[].key: 'DomainAlexaRank', event.idm.read_only_udm.security_result.detection_fields[].value: DomainAlexaRank 값 | 감지 필드로 매핑됩니다. |
| dport | event.idm.read_only_udm.target.port | 정수로 직접 매핑되고 변환됩니다. |
| dnsresolution.server_fqdn | event.idm.read_only_udm.target.hostname | 직접 매핑됩니다. |
| 소요 시간 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Duration', event.idm.read_only_udm.security_result.detection_fields[].value: Duration 값 | 감지 필드로 매핑됩니다. |
| 암호화됨 | event.idm.read_only_udm.security_result.detection_fields[].key: 'Encrypted', event.idm.read_only_udm.security_result.detection_fields[].value: value of Encrypted | 감지 필드로 매핑됩니다. |
| 엔트로피 | event.idm.read_only_udm.security_result.detection_fields[].key: '엔트로피', event.idm.read_only_udm.security_result.detection_fields[].value: 엔트로피 값 | 감지 필드로 매핑됩니다. |
| event.idm.read_only_udm.additional.fields | event.idm.read_only_udm.additional.fields | 파서 로직을 기반으로 하는 다양한 추가 필드가 포함됩니다. |
| event.idm.read_only_udm.metadata.description | event.idm.read_only_udm.metadata.description | 요약 필드에서 직접 매핑됩니다. |
| event.idm.read_only_udm.metadata.event_type | event.idm.read_only_udm.metadata.event_type | 다양한 로그 필드와 파서 로직을 기반으로 결정됩니다. GENERIC_EVENT, NETWORK_CONNECTION, NETWORK_HTTP, NETWORK_SMTP, NETWORK_DNS, STATUS_UPDATE, NETWORK_FLOW 중 하나일 수 있습니다. |
| event.idm.read_only_udm.metadata.log_type | event.idm.read_only_udm.metadata.log_type | 'FIDELIS_NETWORK'로 설정합니다. |
| event.idm.read_only_udm.metadata.product_name | event.idm.read_only_udm.metadata.product_name | 'FIDELIS_NETWORK'로 설정합니다. |
| event.idm.read_only_udm.metadata.vendor_name | event.idm.read_only_udm.metadata.vendor_name | 'FIDELIS_NETWORK'로 설정합니다. |
| event.idm.read_only_udm.network.application_protocol | event.idm.read_only_udm.network.application_protocol | server_port 또는 protocol 필드를 기반으로 결정됩니다. HTTP, HTTPS, SMTP, SSH, RPC, DNS, NFS, AOLMAIL일 수 있습니다. |
| event.idm.read_only_udm.network.direction | event.idm.read_only_udm.network.direction | 방향 필드 또는 요약의 키워드를 기반으로 결정됩니다. INBOUND 또는 OUTBOUND일 수 있습니다. |
| event.idm.read_only_udm.network.dns.answers | event.idm.read_only_udm.network.dns.answers | DNS 이벤트에 대해 채워집니다. |
| event.idm.read_only_udm.network.dns.id | event.idm.read_only_udm.network.dns.id | DNS 이벤트의 숫자 필드에서 매핑됩니다. |
| event.idm.read_only_udm.network.dns.questions | event.idm.read_only_udm.network.dns.questions | DNS 이벤트에 대해 채워집니다. |
| event.idm.read_only_udm.network.email.from | event.idm.read_only_udm.network.email.from | 유효한 이메일 주소인 경우 '보낸 사람'에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.email.subject | event.idm.read_only_udm.network.email.subject | Subject에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.email.to | event.idm.read_only_udm.network.email.to | '받는 사람'에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.ftp.command | event.idm.read_only_udm.network.ftp.command | ftp.command에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.http.method | event.idm.read_only_udm.network.http.method | http.command 또는 Command에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.http.referral_url | event.idm.read_only_udm.network.http.referral_url | Referer에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.http.response_code | event.idm.read_only_udm.network.http.response_code | http.status_code 또는 StatusCode에서 직접 매핑되고 정수로 변환됩니다. |
| event.idm.read_only_udm.network.http.user_agent | event.idm.read_only_udm.network.http.user_agent | http.useragent 또는 UserAgent에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.ip_protocol | event.idm.read_only_udm.network.ip_protocol | TCP 또는 UDP인 경우 tproto에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.received_bytes | event.idm.read_only_udm.network.received_bytes | event1.server_packet_count에서 이름이 변경되었으며 부호 없는 정수로 변환되었습니다. |
| event.idm.read_only_udm.network.sent_bytes | event.idm.read_only_udm.network.sent_bytes | event1.client_packet_count에서 이름이 변경되었으며 부호 없는 정수로 변환되었습니다. |
| event.idm.read_only_udm.network.session_duration.seconds | event.idm.read_only_udm.network.session_duration.seconds | event1.session_size에서 이름이 변경되었으며 정수로 변환되었습니다. |
| event.idm.read_only_udm.network.session_id | event.idm.read_only_udm.network.session_id | event1.rel_sesid 또는 UserSessionID에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.client.certificate.issuer | event.idm.read_only_udm.network.tls.client.certificate.issuer | event1.certificate_issuer_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.client.certificate.not_after | event.idm.read_only_udm.network.tls.client.certificate.not_after | event1.certificate_end_date에서 파싱되어 타임스탬프로 변환됩니다. |
| event.idm.read_only_udm.network.tls.client.certificate.not_before | event.idm.read_only_udm.network.tls.client.certificate.not_before | event1.certificate_start_date에서 파싱되어 타임스탬프로 변환됩니다. |
| event.idm.read_only_udm.network.tls.client.certificate.subject | event.idm.read_only_udm.network.tls.client.certificate.subject | event1.certificate_subject_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.client.ja3 | event.idm.read_only_udm.network.tls.client.ja3 | event1.ja3digest에서 직접 매핑되고 문자열로 변환됩니다. |
| event.idm.read_only_udm.network.tls.cipher | event.idm.read_only_udm.network.tls.cipher | event1.cipher, CipherSuite, cipher 또는 event1.tls_ciphersuite에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.server.certificate.issuer | event.idm.read_only_udm.network.tls.server.certificate.issuer | certificate_issuer_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.server.certificate.subject | event.idm.read_only_udm.network.tls.server.certificate.subject | certificate_subject_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.network.tls.server.ja3s | event.idm.read_only_udm.network.tls.server.ja3s | event1.ja3sdigest에서 직접 매핑되고 문자열로 변환됩니다. |
| event.idm.read_only_udm.network.tls.version | event.idm.read_only_udm.network.tls.version | event1.version에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.application | event.idm.read_only_udm.principal.application | event1.client_asset_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.asset.attribute.roles[].name | event.idm.read_only_udm.principal.asset.attribute.roles[].name | ClientAssetRole에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.asset_id | event.idm.read_only_udm.principal.asset_id | ClientAssetID 또는 ServerAssetID에서 직접 매핑됩니다('Asset:' 접두사 사용). |
| event.idm.read_only_udm.principal.hostname | event.idm.read_only_udm.principal.hostname | event1.sld 또는 src_domain에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.ip | event.idm.read_only_udm.principal.ip | event1.src_ip6, client_ip 또는 ClientIP에서 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.location.country_or_region | event.idm.read_only_udm.principal.location.country_or_region | ClientCountry 또는 src_country가 'UNKNOWN'이 아니거나 빈 문자열이 아닌 경우 직접 매핑됩니다. |
| event.idm.read_only_udm.principal.port | event.idm.read_only_udm.principal.port | event1.sport 또는 client_port에서 직접 매핑되고 정수로 변환됩니다. |
| event.idm.read_only_udm.principal.resource.attribute.labels | event.idm.read_only_udm.principal.resource.attribute.labels | 파서 로직에 기반한 다양한 라벨을 포함합니다. |
| event.idm.read_only_udm.principal.user.userid | event.idm.read_only_udm.principal.user.userid | ftp.user 또는 AppUser에서 직접 매핑됩니다. |
| event.idm.read_only_udm.security_result.action | event.idm.read_only_udm.security_result.action | 심각도에 따라 결정됩니다. ALLOW, BLOCK 또는 UNKNOWN_ACTION일 수 있습니다. |
| event.idm.read_only_udm.security_result.action_details | event.idm.read_only_udm.security_result.action_details | 'none' 또는 빈 문자열이 아닌 경우 작업에서 직접 매핑됩니다. |
| event.idm.read_only_udm.security_result.category | event.idm.read_only_udm.security_result.category | malware_type이 있으면 NETWORK_SUSPICIOUS로 설정됩니다. |
| event.idm.read_only_udm.security_result.detection_fields | event.idm.read_only_udm.security_result.detection_fields | 파서 로직에 기반한 다양한 감지 필드가 포함됩니다. |
| event.idm.read_only_udm.security_result.rule_name | event.idm.read_only_udm.security_result.rule_name | rule_name에서 직접 매핑됩니다. |
| event.idm.read_only_udm.security_result.severity | event.idm.read_only_udm.security_result.severity | 심각도에 따라 결정됩니다. INFORMATIONAL, MEDIUM, ERROR 또는 CRITICAL일 수 있습니다. |
| event.idm.read_only_udm.security_result.summary | event.idm.read_only_udm.security_result.summary | 라벨에서 직접 매핑됩니다. |
| event.idm.read_only_udm.security_result.threat_name | event.idm.read_only_udm.security_result.threat_name | malware_type에서 직접 매핑되거나 'CVE-'가 포함된 경우 요약에서 파싱됩니다. |
| event.idm.read_only_udm.target.administrative_domain | event.idm.read_only_udm.target.administrative_domain | DomainName에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.asset.attribute.roles[].name | event.idm.read_only_udm.target.asset.attribute.roles[].name | ServerAssetRole에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.full_path | event.idm.read_only_udm.target.file.full_path | ftp.filename 또는 Filename에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.md5 | event.idm.read_only_udm.target.file.md5 | event1.md5 또는 md5에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.mime_type | event.idm.read_only_udm.target.file.mime_type | event1.filetype에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.sha1 | event.idm.read_only_udm.target.file.sha1 | event1.srvcerthash에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.sha256 | event.idm.read_only_udm.target.file.sha256 | event1.sha256 또는 sha256에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.file.size | event.idm.read_only_udm.target.file.size | event1.filesize에서 이름이 변경되었으며 0이 아닌 경우 부호 없는 정수로 변환됩니다. |
| event.idm.read_only_udm.target.hostname | event.idm.read_only_udm.target.hostname | event1.sni, dest_domain 또는 호스트에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.ip | event.idm.read_only_udm.target.ip | event1.dst_ip6, server_ip 또는 ServerIP에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.location.country_or_region | event.idm.read_only_udm.target.location.country_or_region | dest_country 또는 ServerCountry에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.platform | event.idm.read_only_udm.target.platform | 정규화 후 asset_os에서 매핑됩니다. |
| event.idm.read_only_udm.target.platform_version | event.idm.read_only_udm.target.platform_version | os_version에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.port | event.idm.read_only_udm.target.port | event1.dport 또는 server_port에서 직접 매핑되고 정수로 변환됩니다. |
| event.idm.read_only_udm.target.resource.attribute.labels | event.idm.read_only_udm.target.resource.attribute.labels | 파서 로직에 기반한 다양한 라벨을 포함합니다. |
| event.idm.read_only_udm.target.url | event.idm.read_only_udm.target.url | url 또는 URL에서 직접 매핑됩니다. |
| event.idm.read_only_udm.target.user.product_object_id | event.idm.read_only_udm.target.user.product_object_id | uuid에서 직접 매핑됩니다. |
| event1.certificate_end_date | event.idm.read_only_udm.network.tls.client.certificate.not_after | 파싱되어 타임스탬프로 변환됩니다. |
| event1.certificate_extended_key_usage | event.idm.read_only_udm.additional.fields[].key: 'Extended Key Usage', event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_extended_key_usage의 값 | 추가 필드로 매핑됩니다. |
| event1.certificate_issuer_name | event.idm.read_only_udm.network.tls.client.certificate.issuer | 직접 매핑됩니다. |
| event1.certificate_key_length | event.idm.read_only_udm.additional.fields[].key: 'Key Length', event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_key_length의 값 | 추가 필드로 매핑됩니다. |
| event1.certificate_key_usage | event.idm.read_only_udm.additional.fields[].key: 'Key Usage', event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_key_usage의 값 | 추가 필드로 매핑됩니다. |
| event1.certificate_start_date | event.idm.read_only_udm.network.tls.client.certificate.not_before | 파싱되어 타임스탬프로 변환됩니다. |
| event1.certificate_subject_altname | event.idm.read_only_udm.additional.fields[].key: 'Certificate Alternate Name', event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_subject_altname 값 | 추가 필드로 매핑됩니다. |
| event1.certificate_subject_name | event.idm.read_only_udm.network.tls.client.certificate.subject | 직접 매핑됩니다. |
| event1.client_asset_name | event.idm.read_only_udm.principal.application | 직접 매핑됩니다. |
| event1.client_asset_subnet | event.idm.read_only_udm.additional.fields[].key: 'client_asset_subnet', event.idm.read_only_udm.additional.fields[].value.string_value: event1.client_asset_subnet의 값 | 추가 필드로 매핑됩니다. |
| event1.client_packet_count | event.idm.read_only_udm.network.sent_bytes | 부호 없는 정수로 변환되고 이름이 변경되었습니다. |
| event1.cipher | event.idm.read_only_udm.network.tls.cipher | 직접 매핑됩니다. |
| event1.direction | event.idm.read_only_udm.network.direction | 's2c'인 경우 INBOUND에 매핑되고 'c2s'인 경우 OUTBOUND에 매핑됩니다. |
| event1.dport | event.idm.read_only_udm.target.port | 원시 로그의 event1.dport 값이 정수로 변환되고 target.port 필드에 매핑됩니다. |
| event1.dst_ip6 | event.idm.read_only_udm.target.ip | 원시 로그의 event1.dst_ip6 값이 target.ip 필드에 매핑됩니다. |
| event1.filetype | event.idm.read_only_udm.target.file.mime_type | 원시 로그의 event1.filetype 값이 target.file.mime_type 필드에 매핑됩니다. |
| event1.filesize | event.idm.read_only_udm.target.file.size | 원시 로그의 event1.filesize 값이 부호 없는 정수로 변환되고 0이 아닌 경우 target.file.size 필드에 매핑됩니다. |
| event1.ja3digest | event.idm.read_only_udm.network.tls.client.ja3 | 원시 로그의 event1.ja3digest 값이 문자열로 변환되고 network.tls.client.ja3 필드에 매핑됩니다. |
| event1.ja3sdigest | event.idm.read_only_udm.network.tls.server.ja3s | 원시 로그의 event1.ja3sdigest 값이 문자열로 변환되고 network.tls.server.ja3s 필드에 매핑됩니다. |
| event1.md5 | event.idm.read_only_udm.target.file.md5 | 원시 로그의 event1.md5 값이 target.file.md5 필드에 매핑됩니다. |
| event1.rel_sesid | event.idm.read_only_udm.network.session_id | 원시 로그의 event1.rel_sesid 값이 network.session_id 필드에 매핑됩니다. |
| event1.server_packet_count | event.idm.read_only_udm.network.received_bytes | 원시 로그의 event1.server_packet_count 값이 부호 없는 정수로 변환되고 network.received_bytes 필드에 매핑됩니다. |
| event1.session_size | event.idm.read_only_udm.network.session_duration.seconds | 원시 로그의 event1.session_size 값이 정수로 변환되고 network.session_duration.seconds 필드에 매핑됩니다. |
| event1.sha256 | event.idm.read_only_udm.target.file.sha256 | 원시 로그의 event1.sha256 값이 target.file.sha256 필드에 매핑됩니다. |
| event1.sld | event.idm.read_only_udm.principal.hostname | 원시 로그의 event1.sld 값이 principal.hostname 필드에 매핑됩니다. |
| event1.sni | event.idm.read_only_udm.target.hostname | 원시 로그의 event1.sni 값이 target.hostname 필드에 매핑됩니다. |
| event1.sport | event.idm.read_only_udm.principal.port | 원시 로그의 event1.sport 값이 정수로 변환되고 principal.port 필드에 매핑됩니다. |
| event1.src_ip6 | event.idm.read_only_udm.principal.ip | 원시 로그의 event1.src_ip6 값이 principal.ip 필드에 매핑됩니다. |
| event1.srvcerthash | event.idm.read_only_udm.target.file.sha1 | 원시 로그의 event1.srvcerthash 값이 target.file.sha1 필드에 매핑됩니다. |
| event1.tls_ciphersuite | event.idm.read_only_udm.network.tls.cipher | 원시 로그의 event1.tls_ciphersuite 값이 network.tls.cipher 필드에 매핑됩니다. |
| event1.version | event.idm.read_only_udm.network.tls.version | 원시 로그의 event1.version 값이 network.tls.version 필드에 매핑됩니다. |
| 파일 이름 | event.idm.read_only_udm.target.file.full_path | 원시 로그의 Filename 값이 target.file.full_path 필드에 매핑됩니다. |
| From | event.idm.read_only_udm.network.email.from | 원시 로그의 From 값이 유효한 이메일 주소인 경우 network.email.from 필드에 매핑됩니다. |
| ftp.command | event.idm.read_only_udm.network.ftp.command | 원시 로그의 ftp.command 값이 network.ftp.command 필드에 매핑됩니다. |
| ftp.filename | event.idm.read_only_udm.target.file.full_path | 원시 로그의 ftp.filename 값이 target.file.full_path 필드에 매핑됩니다. |
| ftp.user | event.idm.read_only_udm.principal.user.userid | 원시 로그의 ftp.user 값이 principal.user.userid 필드에 매핑됩니다. |
| 호스트 | event.idm.read_only_udm.target.hostname | 원시 로그의 Host 값이 target.hostname 필드에 매핑됩니다. |
| http.command | event.idm.read_only_udm.network.http.method | 원시 로그의 http.command 값이 network.http.method 필드에 매핑됩니다. |
| http.status_code | event.idm.read_only_udm.network.http.response_code | 원시 로그의 http.status_code 값이 정수로 변환되고 network.http.response_code 필드에 매핑됩니다. |
| http.useragent | event.idm.read_only_udm.network.http.user_agent | 원시 로그의 http.useragent 값이 network.http.user_agent 필드에 매핑됩니다. |
| 라벨 | event.idm.read_only_udm.security_result.summary | 원시 로그의 label 값이 security_result.summary 필드에 매핑됩니다. |
| malware_type | event.idm.read_only_udm.security_result.threat_name | 원시 로그의 malware_type 값이 security_result.threat_name 필드에 매핑됩니다. |
| md5 | event.idm.read_only_udm.target.file.md5 | 원시 로그의 md5 값이 target.file.md5 필드에 매핑됩니다. |
| 숫자 | event.idm.read_only_udm.network.dns.id | 원시 로그의 number 값이 DNS 이벤트의 network.dns.id 필드에 매핑됩니다. |
| os_version | event.idm.read_only_udm.target.platform_version | 원시 로그의 os_version 값이 target.platform_version 필드에 매핑됩니다. |
| 리퍼러 | event.idm.read_only_udm.network.http.referral_url | 원시 로그의 Referer 값이 network.http.referral_url 필드에 매핑됩니다. |
| rule_name | event.idm.read_only_udm.security_result.rule_name | 원시 로그의 rule_name 값이 security_result.rule_name 필드에 매핑됩니다. |
| server_ip | event.idm.read_only_udm.target.ip | 원시 로그의 server_ip 값이 target.ip 필드에 매핑됩니다. |
| server_port | event.idm.read_only_udm.target.port | 원시 로그의 server_port 값이 정수로 변환되고 target.port 필드에 매핑됩니다. |
| ServerAssetID | event.idm.read_only_udm.principal.asset_id | 원시 로그의 ServerAssetID 값이 '0'이 아니거나 비어 있지 않으면 'Asset:'이 앞에 붙고 principal.asset_id 필드에 매핑됩니다. |
| ServerAssetRole | event.idm.read_only_udm.target.asset.attribute.roles[].name | 원시 로그의 ServerAssetRole 값이 target.asset.attribute.roles[].name 필드에 매핑됩니다. |
| ServerCountry | event.idm.read_only_udm.target.location.country_or_region | 원시 로그의 ServerCountry 값이 target.location.country_or_region 필드에 매핑됩니다. |
| ServerIP | event.idm.read_only_udm.target.ip | 원시 로그의 ServerIP 값이 target.ip 필드에 매핑됩니다. |
| sha256 | event.idm.read_only_udm.target.file.sha256 | 원시 로그의 sha256 값이 target.file.sha256 필드에 매핑됩니다. |
| src_country | event.idm.read_only_udm.principal.location.country_or_region | 원시 로그의 src_country 값이 'UNKNOWN'이 아니거나 비어 있지 않으면 principal.location.country_or_region 필드에 매핑됩니다. |
| src_domain | event.idm.read_only_udm.principal.hostname | 원시 로그의 src_domain 값이 principal.hostname 필드에 매핑됩니다. |
| StatusCode | event.idm.read_only_udm.network.http.response_code | 원시 로그의 StatusCode 값이 정수로 변환되고 network.http.response_code 필드에 매핑됩니다. |
| 제목 | event.idm.read_only_udm.network.email.subject | 원시 로그의 Subject 값이 network.email.subject 필드에 매핑됩니다. |
| 요약 | event.idm.read_only_udm.metadata.description | 원시 로그의 summary 값이 metadata.description 필드에 매핑됩니다. |
| 받는사람 | event.idm.read_only_udm.network.email.to | 원시 로그의 To 값이 network.email.to 필드에 매핑됩니다. |
| tproto | event.idm.read_only_udm.network.ip_protocol | 원시 로그의 tproto 값이 TCP 또는 UDP인 경우 network.ip_protocol 필드에 매핑됩니다. |
| url | event.idm.read_only_udm.target.url | 원시 로그의 url 값이 target.url 필드에 매핑됩니다. |
| URL | event.idm.read_only_udm.target.url | 원시 로그의 URL 값이 target.url 필드에 매핑됩니다. |
| UserAgent | event.idm.read_only_udm.network.http.user_agent | 원시 로그의 UserAgent 값이 network.http.user_agent 필드에 매핑됩니다. |
| UserSessionID | event.idm.read_only_udm.network.session_id | 원시 로그의 UserSessionID 값이 network.session_id 필드에 매핑됩니다. |
| uuid | event.idm.read_only_udm.target.user.product_object_id | 원시 로그의 uuid 값이 target.user.product_object_id 필드에 매핑됩니다. |
| 해당 사항 없음 | event.idm.read_only_udm.metadata.log_type | 'FIDELIS_NETWORK'로 설정합니다. |
| 해당 사항 없음 | event.idm.read_only_udm.metadata.product_name | 'FIDELIS_NETWORK'로 설정합니다. |
| 해당 사항 없음 | event.idm.read_only_udm.metadata.vendor_name | 'FIDELIS_NETWORK'로 설정합니다. |
msg |
event.idm.read_only_udm.metadata.description |
변경 로그에서 매핑됨 |
suser |
event.idm.read_only_udm.principal.user.userid |
변경 로그에서 매핑됨 |
event1.tproto |
network.ip_protocol |
변경 로그에서 매핑됨 |
event1.server_asset_subnet |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event1.sha1hash |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event1.type |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event1.histbuf |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
event1.sen_name |
read_only_udm.additional.fields |
변경 로그에서 매핑됨 |
exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score |
security_result.detection_fields |
변경 로그에서 매핑됨 |
변경 로그
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.