Trellix-Benachrichtigungslogs (früher FireEye) erfassen

Parserversion:10.0

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Trellix-Warnungslogs (früher FireEye) mit dem Bindplane-Agent in Google Security Operations aufnehmen.

Trellix ist eine Netzwerksicherheitsplattform, die erweiterte Bedrohungen, Malware und Zero-Day-Exploits erkennt. Es werden Warnungsprotokolle für erkannte Bedrohungen, schädliche Aktivitäten und Sicherheitsereignisse in den Formaten CEF, JSON und XML generiert.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Netzwerkverbindung zwischen dem Bindplane-Agent und der Trellix-Appliance
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Trellix-Appliance mit Administratorberechtigungen

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.

3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

   Hinweis :Diese JSON-Datei enthält Anmeldedaten für die Authentifizierung des Bindplane-Agents bei Google SecOps.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profile auf.

3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

   Hinweis :Die Kunden-ID ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/fireeye_alert:
          compression: gzip
          creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: FIREEYE_ALERT
          raw_log_field: body
          ingestion_labels:
              env: production
  
  service:
      pipelines:
          logs/fireeye_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/fireeye_alert
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Empfängerkonfiguration:

• tcplog: Der Empfängertyp basierend auf dem Protokoll:
  • udplog für UDP-Syslog
  • tcplog für TCP-Syslog
• 0.0.0.0: IP-Adresse, auf der gelauscht werden soll:
  • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
  • Bestimmte IP-Adresse für die Überwachung einer Schnittstelle
• 514: Portnummer, an der gelauscht werden soll (z. B. 514, 1514, 6514)

Exporter-Konfiguration:

• fireeye_alert: Aussagekräftiger Name für den Exportvorgang
• creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:
  • Linux: /opt/observiq-otel-collector/ingestion-auth.json
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• <customer_id>: Kunden-ID aus dem vorherigen Schritt
• endpoint: Regionale Endpunkt-URL:
  • USA: malachiteingestion-pa.googleapis.com
  • Europa: europe-malachiteingestion-pa.googleapis.com
  • Asien: asia-southeast1-malachiteingestion-pa.googleapis.com
  • Eine vollständige Liste finden Sie unter Regionale Endpunkte.
• FIREEYE_ALERT: Logtyp, genau wie er in Google SecOps angezeigt wird
• ingestion_labels: Optionale Labels im YAML-Format (z. B. env: production)

Pipelinekonfiguration:

• fireeye_to_chronicle: Aussagekräftiger Name für die Pipeline

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. Logs auf Fehler prüfen:

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       ```cmd
       sc query observiq-otel-collector
       ```
       

    5. Logs auf Fehler prüfen:

       ```cmd
       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       ```
       

FireEye-Syslog-Weiterleitung konfigurieren

FireEye-Appliances (Trellix) leiten Warnungen als rsyslog-Benachrichtigungen weiter. Sie können sie entweder über die Web-UI der Appliance oder über die Befehlszeilenschnittstelle der Appliance konfigurieren. Beide Methoden führen zum selben Ergebnis. Verwenden Sie also die Methode, die am besten zu Ihrem Betriebsmodell passt.

Hinweis :Der Google SecOps-Parser für diesen Logtyp liest CEF-, JSON- und Schlüssel/Wert-Syslog-Nachrichten. Wählen Sie CEF (empfohlen) oder JSON als Benachrichtigungsformat aus. Der Parser enthält keine Verarbeitung für LEEF, CSV oder XML. „Text“ ist ebenfalls ungeeignet, da eine Nachricht, die keinem der Syslog-Muster des Parsers entspricht und keine Schlüssel/Wert-Paare enthält, als nicht unterstützt verworfen wird.

Methode 1: rsyslog-Benachrichtigungen über die Web-UI konfigurieren

1. Melden Sie sich in der Web-UI der FireEye-Appliance mit einem Konto an, das Administrator- oder Operatorzugriff hat.
2. Rufen Sie die Einstellungen > „Benachrichtigungen“ auf.
3. Wählen Sie den Tab RSYSLOG aus.
4. Optional: Legen Sie im Bereich Rsyslog-Einstellungen die Werte fest, die von als Standard konfigurierten Servern übernommen werden, und klicken Sie dann auf Einstellungen anwenden:
   • Standardformat: Wählen Sie CEF aus.
   • Standardbereitstellung: Wählen Sie Pro Ereignis aus.
   • Standardmäßig senden als: Wählen Sie Benachrichtigung aus.
5. Klicken Sie unter Rsyslog-Server ansehen und hinzufügen auf Rsyslog-Server hinzufügen.
6. Geben Sie die folgenden Konfigurationsdetails an:
   • Servername: Geben Sie einen aussagekräftigen Namen für den Eintrag ein, z. B. secops-bindplane.
   • IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
   • Aktiviert: Markieren Sie das Kästchen, damit die Appliance Benachrichtigungen an diesen Server sendet.
   • Zustellung: Wählen Sie Pro Ereignis aus, um eine Benachrichtigung zu senden, wenn eine Warnung generiert wird.
   • Benachrichtigung: Wählen Sie Alle Ereignisse oder die gewünschten Benachrichtigungstypen aus, die weitergeleitet werden sollen.
   • Format: Wählen Sie CEF aus. Wenn Sie stattdessen JSON auswählen, müssen Sie auch den Detaillierungsgrad Normal, Kurzgefasst oder Erweitert auswählen.
   • Senden als: Wählen Sie Benachrichtigung aus.
   • Protokoll: Wählen Sie TCP aus, damit es mit dem zuvor konfigurierten tcplog-Empfänger übereinstimmt. Wähle UDP aus, die Standardeinstellung für das Gerät, nur wenn du den Empfänger zu udplog geändert hast.

7. Klicken Sie auf Neuen Rsyslog-Server hinzufügen.

   Hinweis :Die Web-UI hat keine Porteinstellung. Die Appliance sendet Benachrichtigungen an den Standard-Syslog-Port (514). Konfigurieren Sie den Bindplane-Agent-Empfänger so, dass er den Port 514 überwacht. Wenn Sie einen anderen Port verwenden möchten, legen Sie ihn über die CLI mit fenotify rsyslog trap-sink <sink_name> port <port_number> fest, wie in Methode 2 beschrieben.

Methode 2: rsyslog-Benachrichtigungen über die Befehlszeile konfigurieren

1. Melden Sie sich mit einem Konto mit Administrator- oder Operatorzugriff in der Befehlszeilenschnittstelle der FireEye-Appliance an.

2. Konfigurationsmodus aufrufen:

   hostname > enable
   hostname # configure terminal
   

3. rsyslog-Benachrichtigungen aktivieren:

   hostname (config) # fenotify rsyslog enable
   

4. Erstellen Sie eine Trap-Senke für den Bindplane-Agenten und aktivieren Sie sie:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable
   

   Hinweis :Der Name des Trap-Senken-Elements ist ein kurzes Label ohne Leerzeichen, das das Ziel identifiziert. Verwenden Sie in jedem der folgenden Befehle denselben Namen.

5. Legen Sie die Zieladresse, das Transportprotokoll und den Port fest:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
   

   • <BINDPLANE_IP>: Die IP-Adresse oder der Domainname des Bindplane-Agent-Hosts.
   Hinweis: Verwenden Sie tcp, um den zuvor konfigurierten tcplog-Empfänger abzugleichen, oder udp, wenn Sie den Empfänger in udplog geändert haben. Lege port auf den Port fest, den der Empfänger überwacht.

6. Legen Sie das Nachrichtenformat, den Zustellungszeitplan und den Schweregrad fest:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
   

   • prefer message format: Verwenden Sie cef. Verwenden Sie für JSON json-normal, json-concise oder json-extended. Verwenden Sie nicht csv, leef oder einen text-- oder xml--Wert.
   • prefer message delivery: Verwenden Sie per-event, um Informationen zu jedem Ereignis zu senden, wenn das Ereignis ausgelöst wird.
   • prefer message send-as: Verwenden Sie alert (Schweregrad 1).

7. Wählen Sie aus, welche Benachrichtigungen für diese Senke generiert werden sollen:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
   

   • all-events: Alle Ereignisse außer Riskware.
   • all-riskware: Die Ereignisse riskware-object und riskware-callback.
   • Einzelne Typen: domain-match, infection-match, malware-callback, malware-object, riskware-callback, riskware-object, web-infection und ips-event auf IPS-fähigen Geräten.

8. Speichern Sie die Konfiguration:

   hostname (config) # write memory
   

Konfiguration prüfen

1. Führen Sie den folgenden Befehl im Enable-Modus aus, um die aktiven rsyslog-Einstellungen zu prüfen:

   hostname # show fenotify rsyslog
   

   In der Ausgabe werden die globalen Configuration-Werte, die aktivierten Alerts-Typen und die Consumers-Werte pro Server aufgeführt.

2. Wenn Sie ein Testereignis über die Weboberfläche generieren möchten, gehen Sie zu Einstellungen> Benachrichtigungen, wählen Sie in der Drop-down-Liste unter der Tabelle einen Ereignistyp aus und klicken Sie dann auf Test-Fire.

3. Wenn Sie stattdessen ein Testereignis über die Befehlszeile generieren möchten, führen Sie den folgenden Befehl im Konfigurationsmodus aus:

   hostname (config) # fenotify test-fire <EVENT_TYPE>
   

4. Prüfen Sie, ob der Bindplane-Agent-Host die Nachrichten empfängt, und prüfen Sie dann, ob die Ereignisse in Google SecOps angezeigt werden.

   Hinweis :In Bereitstellungen, die von einer Central Management-Appliance (CM-Appliance) verwaltet werden, können Sie die rsyslog-Benachrichtigungen auf der CM-Appliance konfigurieren. Weitere Informationen finden Sie unter rsyslog-Server über die Web-UI einrichten.
   Hinweis: Auf Trellix Endpoint Security (HX)-Appliances wird dieselbe Seite Einstellungen > Benachrichtigungen > rsyslog verwendet, aber das Layout ist anders: Wählen Sie das Kästchen Ereignistyp aus, geben Sie den Servernamen in die Spalte Rsyslog-Server hinzufügen ein, klicken Sie auf Rsyslog-Server hinzufügen, geben Sie die Adresse in die Spalte IP-Adresse ein und klicken Sie dann auf Aktualisieren. Weitere Informationen finden Sie unter Trellix Endpoint Security (HX) konfigurieren.

Die Anbieterverfahren, denen diese Schritte folgen, finden Sie unter Systemprotokollserver über die Web-UI hinzufügen, Systemprotokollserver über die CLI hinzufügen, Benachrichtigungen für Systemprotokollserver über die CLI anpassen und IPS-Ereignisbenachrichtigungen testen. Die vollständige Syntax und die zulässigen Werte für jeden fenotify rsyslog-Befehl finden Sie in der CLI-Befehlsreferenz.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
additional_source	additional.fields	Zusammengeführt
appliance_id_label	additional.fields	Zusammengeführt
appliance_id_label_2nd	additional.fields	Zusammengeführt
appliance_label	additional.fields	Zusammengeführt
begin_label	additional.fields	Zusammengeführt
cache_control_label	additional.fields	Zusammengeführt
channel_label	additional.fields	Zusammengeführt
content_length_label	additional.fields	Zusammengeführt
content_type_label	additional.fields	Zusammengeführt
cost_label	additional.fields	Zusammengeführt
end_label	additional.fields	Zusammengeführt
match_count_label	additional.fields	Zusammengeführt
msg_label	additional.fields	Zusammengeführt
success_label	additional.fields	Zusammengeführt
dvc	intermediary.asset.hostname	Direkt zugeordnet
dvc	intermediary.asset.ip	Zusammengeführt
msg	intermediary.email	Direkt zugeordnet
dvc	intermediary.hostname	Direkt zugeordnet
sensor	intermediary.hostname	Direkt zugeordnet
dvc	intermediary.ip	Zusammengeführt
intermediary_host	intermediary.labels	Zusammengeführt
dvcmac	intermediary.mac	Zusammengeführt
desc	metadata.description	Direkt zugeordnet
description	metadata.description	Direkt zugeordnet
name	metadata.description	Direkt zugeordnet
alert.occurred	metadata.event_timestamp	Als yyyy-MM-dd HH:mm:ss.SSS geparst
end	metadata.event_timestamp	Als MMM dd yyyy HH:mm:ss ZZZ geparst
rt	metadata.event_timestamp	Als MMM dd yyyy HH:mm:ss ZZZ geparst
start	metadata.event_timestamp	Als MMM dd yyyy HH:mm:ss ZZZ geparst
event_type	metadata.event_type	Zugeordnet: filewriteevent → FILE_MODIFICATION, "processevent","urlmonitorevent" → `SCAN_P...
event_type1	metadata.event_type	Direkt zugeordnet
file_event_subtype	metadata.event_type	Zugeordnet: FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info	metadata.event_type	Zugeordnet: true → EMAIL_TRANSACTION
has_principal	metadata.event_type	Zugeordnet: true → NETWORK_CONNECTION, true → EMAIL_TRANSACTION, true → STATUS_UPDATE
type	metadata.event_type	Zugeordnet: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → STATUS_UPDATE
event_type	metadata.product_event_type	Direkt zugeordnet
type	metadata.product_event_type	Direkt zugeordnet
externalId	metadata.product_log_id	Direkt zugeordnet
product	metadata.product_name	Direkt zugeordnet
version	metadata.product_version	Direkt zugeordnet
applicationProtocol	network.application_protocol	Direkt zugeordnet
ver_proto	network.application_protocol	Zugeordnet: HTTP/1.1 → HTTP
alert.src.smtp-mail-from	network.email.from	Direkt zugeordnet
mails	network.email.to	Zusammengeführt
httpmethod	network.http.method	Direkt zugeordnet
method	network.http.method	Direkt zugeordnet
urlMonitorEvent_urlMethod	network.http.method	Direkt zugeordnet
User-Agent	network.http.parsed_user_agent	Umbenannt/zugeordnet
http_user_agent	network.http.parsed_user_agent	Umbenannt/zugeordnet
Referer	network.http.referral_url	Direkt zugeordnet
urlMonitorEvent_requestUrl	network.http.referral_url	Direkt zugeordnet
User-Agent	network.http.user_agent	Direkt zugeordnet
http_user_agent	network.http.user_agent	Direkt zugeordnet
urlMonitorEvent_userAgent	network.http.user_agent	Direkt zugeordnet
alert.explanation.cnc-services.cnc-service.protocol	network.ip_protocol	Direkt zugeordnet
alert.explanation.protocol	network.ip_protocol	Direkt zugeordnet
ver_proto	network.tls.version_protocol	Direkt zugeordnet
devicePayloadId	principal.application	Direkt zugeordnet
process	principal.application	Direkt zugeordnet
principal_hostname	principal.asset.hostname	Direkt zugeordnet
sourceDnsDomain	principal.asset.hostname	Direkt zugeordnet
agent_info.primary_ip_address	principal.asset.ip	Zusammengeführt
alert.src.ip	principal.asset.ip	Zusammengeführt
host_name	principal.asset.ip	Direkt zugeordnet
source_info.ip	principal.asset.ip	Zusammengeführt
src	principal.asset.ip	Zusammengeführt
src_ip	principal.asset.ip	Zusammengeführt
type	principal.asset.ip	Zugeordnet: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability	principal.asset.vulnerabilities	Zusammengeführt
path	principal.file.full_path	Direkt zugeordnet
alert.explanation.os-changes.file.processinfo.md5sum	principal.file.md5	Direkt zugeordnet
alert.explanation.os-changes.file.processinfo.sha1sum	principal.file.sha1	Direkt zugeordnet
filesize	principal.file.size	Direkt zugeordnet
Host	principal.hostname	Direkt zugeordnet
principal_hostname	principal.hostname	Direkt zugeordnet
sourceDnsDomain	principal.hostname	Direkt zugeordnet
agent_info.primary_ip_address	principal.ip	Zusammengeführt
alert.src.ip	principal.ip	Zusammengeführt
host_name	principal.ip	Direkt zugeordnet
source_info.ip	principal.ip	Zusammengeführt
src	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
type	principal.ip	Zugeordnet: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan	principal.labels	Zusammengeführt
country	principal.location.country_or_region	Direkt zugeordnet
agent_info.primary_mac	principal.mac	Zusammengeführt
alert.src.mac	principal.mac	Zusammengeführt
appliance-id	principal.mac	Zusammengeführt
smac	principal.mac	Zusammengeführt
os_platform	principal.platform	Zugeordnet: "linux","LINUX","lin" → LINUX, "windows","WINDOWS","win" → WINDOWS, „mac“, „...
os_kernel_version	principal.platform_patch_level	Direkt zugeordnet
alert.explanation.os-changes.osinfo	principal.platform_version	Direkt zugeordnet
alert.src.port	principal.port	Direkt zugeordnet
src_port	principal.port	Direkt zugeordnet
alert.explanation.os-changes.file.processinfo.ppid	principal.process.parent_process.pid	Direkt zugeordnet
alert.explanation.os-changes.file.processinfo.pid	principal.process.pid	Direkt zugeordnet
process_id	principal.process.pid	Direkt zugeordnet
id	principal.resource.id	Direkt zugeordnet
email	principal.user.email_addresses	Zugeordnet: ^.+@.+$ → email
s_result	security_result	Zusammengeführt
sec_result	security_result	Zusammengeführt
alert_smtp_header	security_result.about.labels	Zusammengeführt
alert_smtp_last_malware	security_result.about.labels	Zusammengeführt
alert_smtp_queue_id	security_result.about.labels	Zusammengeführt
alert_smtp_subject	security_result.about.labels	Zusammengeführt
endpoint_type_label	security_result.about.labels	Zusammengeführt
type	security_result.about.labels	Zugeordnet: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → `endpoint_type...
proto	security_result.about.network.application_protocol	Direkt zugeordnet
http_method	security_result.about.network.http.method	Direkt zugeordnet
alert.smtp-message.id	security_result.about.resource.id	Direkt zugeordnet
alert.src.url	security_result.about.url	Direkt zugeordnet
temp_url	security_result.about.url	Direkt zugeordnet
action	security_result.action	Zusammengeführt
alert.action	security_result.action_details	Direkt zugeordnet
threat_attribution	security_result.action_details	Direkt zugeordnet
category	security_result.category	Zusammengeführt
category_details	security_result.category_details	Zusammengeführt
group	security_result.category_details	Zusammengeführt
indicator.category	security_result.category_details	Zusammengeführt
type	security_result.category_details	Zugeordnet: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act	security_result.description	Direkt zugeordnet
indicator.name	security_result.description	Direkt zugeordnet
ack_field	security_result.detection_fields	Zusammengeführt
analysis_field	security_result.detection_fields	Zusammengeführt
attack_mode_label	security_result.detection_fields	Zusammengeführt
build_field	security_result.detection_fields	Zusammengeführt
bytes_available_label	security_result.detection_fields	Zusammengeführt
chunk_id_label	security_result.detection_fields	Zusammengeführt
chunk_len_label	security_result.detection_fields	Zusammengeführt
chunks_label	security_result.detection_fields	Zusammengeführt
classtype_label	security_result.detection_fields	Zusammengeführt
cn1_label	security_result.detection_fields	Zusammengeführt
cnc_service_type	security_result.detection_fields	Zusammengeführt
cs1_label	security_result.detection_fields	Zusammengeführt
cs3_label	security_result.detection_fields	Zusammengeführt
cs4_label	security_result.detection_fields	Zusammengeführt
data_label	security_result.detection_fields	Zusammengeführt
detection_infection_type	security_result.detection_fields	Zusammengeführt
display_msg_label	security_result.detection_fields	Zusammengeführt
dpt_label	security_result.detection_fields	Zusammengeführt
flex_string1_Label	security_result.detection_fields	Zusammengeführt
flex_string1_label	security_result.detection_fields	Zusammengeführt
flex_string2_Label	security_result.detection_fields	Zusammengeführt
flex_string2_label	security_result.detection_fields	Zusammengeführt
header	security_result.detection_fields	Zusammengeführt
id_field	security_result.detection_fields	Zusammengeführt
job_id_label	security_result.detection_fields	Zusammengeführt
mode_field	security_result.detection_fields	Zusammengeführt
mvx_status_label	security_result.detection_fields	Zusammengeführt
qid_label	security_result.detection_fields	Zusammengeführt
request_label	security_result.detection_fields	Zusammengeführt
retroactive_field	security_result.detection_fields	Zusammengeführt
sc_version_field	security_result.detection_fields	Zusammengeführt
sequence_field	security_result.detection_fields	Zusammengeführt
sig_id_label	security_result.detection_fields	Zusammengeführt
sig_name_label	security_result.detection_fields	Zusammengeführt
sig_revision_label	security_result.detection_fields	Zusammengeführt
spt_label	security_result.detection_fields	Zusammengeführt
sub_id_label	security_result.detection_fields	Zusammengeführt
tests_downloaded_at_field	security_result.detection_fields	Zusammengeführt
tests_executed_at_field	security_result.detection_fields	Zusammengeführt
tests_name_field	security_result.detection_fields	Zusammengeführt
tests_original_field	security_result.detection_fields	Zusammengeführt
tests_sha512_field	security_result.detection_fields	Zusammengeführt
tests_sid_field	security_result.detection_fields	Zusammengeführt
tests_stype_field	security_result.detection_fields	Zusammengeführt
tests_submitted_at_field	security_result.detection_fields	Zusammengeführt
tests_type_field	security_result.detection_fields	Zusammengeführt
tid_label	security_result.detection_fields	Zusammengeführt
timestamp_field	security_result.detection_fields	Zusammengeführt
url_field	security_result.detection_fields	Zusammengeführt
value_field	security_result.detection_fields	Zusammengeführt
written_size_label	security_result.detection_fields	Zusammengeführt
alert.uuid	security_result.rule_id	Direkt zugeordnet
alert.version	security_result.rule_version	Direkt zugeordnet
severity	security_result.severity	Zugeordnet: "low","NOTICE" → LOW, INFO → INFORMATIONAL, medium → MEDIUM, high → `H...
action_taken	security_result.summary	Direkt zugeordnet
risk_summary	security_result.summary	Direkt zugeordnet
alert.id	security_result.threat_id	Direkt zugeordnet
alert.name	security_result.threat_name	Direkt zugeordnet
ele.infection.infection-name	security_result.threat_name	Direkt zugeordnet
threat_name	security_result.threat_name	Direkt zugeordnet
alert.alert-url	security_result.url_back_to_product	Direkt zugeordnet
url	security_result.url_back_to_product	Direkt zugeordnet
dst_hostname	target.asset.hostname	Direkt zugeordnet
dvchost	target.asset.hostname	Direkt zugeordnet
target_hostname	target.asset.hostname	Direkt zugeordnet
alert.dst.ip	target.asset.ip	Zusammengeführt
dst	target.asset.ip	Zusammengeführt
dst_ip	target.asset.ip	Zusammengeführt
urlMonitorEvent_remoteIpAddress	target.asset.ip	Zusammengeführt
alert.explanation.os-changes.file.processinfo.imagepath	target.file.full_path	Direkt zugeordnet
file_fullpath	target.file.full_path	Direkt zugeordnet
fname	target.file.full_path	Direkt zugeordnet
agent_info.md5values	target.file.md5	Direkt zugeordnet
ele.action.actioned-object.file-object.md5sum	target.file.md5	Direkt zugeordnet
file_md5	target.file.md5	Direkt zugeordnet
fileType	target.file.mime_type	Direkt zugeordnet
ele.action.actioned-object.file-object.sha1sum	target.file.sha1	Direkt zugeordnet
ele.action.actioned-object.file-object.sha256sum	target.file.sha256	Direkt zugeordnet
fileHash	target.file.sha256	Direkt zugeordnet
file_size	target.file.size	Direkt zugeordnet
fsize	target.file.size	Direkt zugeordnet
dst_hostname	target.hostname	Direkt zugeordnet
dvchost	target.hostname	Direkt zugeordnet
target_hostname	target.hostname	Direkt zugeordnet
alert.dst.ip	target.ip	Zusammengeführt
dst	target.ip	Zusammengeführt
dst_ip	target.ip	Zusammengeführt
urlMonitorEvent_remoteIpAddress	target.ip	Zusammengeführt
alert.explanation.cnc-services.cnc-service.location	target.location.country_or_region	Direkt zugeordnet
alert.dst.mac	target.mac	Zusammengeführt
dmac	target.mac	Zusammengeführt
alert.dst.port	target.port	Direkt zugeordnet
dst_port	target.port	Umbenannt/zugeordnet
urlMonitorEvent_remotePort	target.port	Direkt zugeordnet
cmd	target.process.command_line	Direkt zugeordnet
ele.action.actioned-object.file-object.file-path	target.process.file.full_path	Direkt zugeordnet
file_event_filepath	target.process.file.full_path	Direkt zugeordnet
process_event_process_path	target.process.file.full_path	Direkt zugeordnet
process_path	target.process.file.full_path	Direkt zugeordnet
urlMonitorEvent_processPath	target.process.file.full_path	Direkt zugeordnet
md5sum_data	target.process.file.md5	Direkt zugeordnet
process_md5	target.process.file.md5	Umbenannt/zugeordnet
sha1_data	target.process.file.sha1	Direkt zugeordnet
sha256_data	target.process.file.sha256	Direkt zugeordnet
file_event_actor_process_path	target.process.parent_process.file.full_path	Direkt zugeordnet
parent_process_path	target.process.parent_process.file.full_path	Direkt zugeordnet
process_event_parent_path	target.process.parent_process.file.full_path	Direkt zugeordnet
file_event_actor_process_pid	target.process.parent_process.pid	Direkt zugeordnet
parent_process_pid	target.process.parent_process.pid	Direkt zugeordnet
process_event_parentPid	target.process.parent_process.pid	Direkt zugeordnet
alert.explanation.os-changes.file.processinfo.tid	target.process.pid	Direkt zugeordnet
process_event_pid	target.process.pid	Direkt zugeordnet
process_pid	target.process.pid	Direkt zugeordnet
urlMonitorEvent_pid	target.process.pid	Direkt zugeordnet
scanned_registry_key	target.registry.registry_key	Direkt zugeordnet
scanned_registry_value	target.registry.registry_value_data	Direkt zugeordnet
customer_id	target.resource.id	Direkt zugeordnet
alert.explanation.cnc-services.cnc-service.url	target.url	Direkt zugeordnet
email	target.user.email_addresses	Zugeordnet: ^.+@.+$ → email
tar_email	target.user.email_addresses	Zusammengeführt
file_event_actor_process_username	target.user.user_display_name	Direkt zugeordnet
process_event_username	target.user.user_display_name	Direkt zugeordnet
urlMonitorEvent_username	target.user.user_display_name	Direkt zugeordnet
–	metadata.event_type	Konstante: GENERIC_EVENT
–	metadata.product_name	Konstante: FIREEYE_ALERT
–	metadata.vendor_name	Konstante: FIREEYE_ALERT
–	network.application_protocol	Konstante: SMTP
–	principal.platform	Konstante: WINDOWS
–	security_result.about.resource.type	Konstante: Email
–	security_result.confidence	Konstante: HIGH_CONFIDENCE
–	security_result.severity	Konstante: LOW

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten