Collecter les journaux d'alerte Trellix (anciennement FireEye)

Version de l'analyseur : 10.0

Compatible avec :

Ce document explique comment ingérer des journaux d'alertes Trellix (anciennement FireEye) dans Google Security Operations à l'aide de l'agent Bindplane.

Trellix est une plate-forme de sécurité réseau qui détecte les menaces avancées, les logiciels malveillants et les failles zero-day. Il génère des journaux d'alerte pour les menaces détectées, les activités malveillantes et les événements liés à la sécurité aux formats CEF, JSON et XML.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et l'appliance Trellix
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié à l'appareil Trellix avec des autorisations d'administrateur

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fireeye_alert:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: FIREEYE_ALERT
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/fireeye_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/fireeye_alert

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :

  • tcplog : type de récepteur basé sur le protocole :
    • udplog pour syslog UDP
    • tcplog pour syslog TCP
  • 0.0.0.0 : adresse IP à écouter :
    • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
    • Adresse IP spécifique à écouter sur une interface
  • 514 : numéro de port d'écoute (par exemple, 514, 1514, 6514)

Configuration de l'exportateur :

  • fireeye_alert : nom descriptif de l'exportateur.
  • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
    • Linux : /opt/observiq-otel-collector/ingestion-auth.json
    • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id> : ID client de l'étape précédente
  • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
  • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
  • endpoint : laissez la valeur définie sur chronicle.googleapis.com.
  • FIREEYE_ALERT : type de journal exactement tel qu'il apparaît dans Google SecOps.
  • ingestion_labels : étiquettes facultatives au format YAML (par exemple, env: production)

Configuration du pipeline :

  • fireeye_to_chronicle : nom descriptif du pipeline

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/fireeye_alert:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FIREEYE_ALERT
    raw_log_field: body
    ingestion_labels:
      env: production

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Recherchez les erreurs dans les journaux :

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        ```cmd
sc query observiq-otel-collector
```

      5. Recherchez les erreurs dans les journaux :

        ```cmd
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurer le transfert syslog FireEye

Les appliances FireEye (Trellix) transmettent les alertes en tant que notifications rsyslog. Configurez-les à partir de l'interface utilisateur Web ou de l'interface de ligne de commande de l'appareil. Les deux méthodes produisent le même résultat. Utilisez donc celle qui convient le mieux à votre modèle d'exploitation.

Méthode 1 : Configurer les notifications rsyslog à l'aide de l'interface Web

  1. Connectez-vous à l'interface utilisateur Web de l'appareil FireEye avec un compte disposant d'un accès administrateur ou opérateur.
  2. Accédez à Paramètres> Notifications.
  3. Sélectionnez l'onglet RSYSLOG.
  4. Facultatif : Dans la zone Paramètres Rsyslog, définissez les valeurs dont héritent les serveurs configurés sur Par défaut, puis cliquez sur Appliquer les paramètres :
    • Format par défaut : sélectionnez CEF.
    • Diffusion par défaut : sélectionnez Par événement.
    • Envoi par défaut : sélectionnez Alerte.
  5. Sous Afficher et ajouter des serveurs Rsyslog, cliquez sur Ajouter un serveur Rsyslog.
  6. Fournissez les informations de configuration suivantes :
    • Nom du serveur : saisissez un nom descriptif pour l'entrée (par exemple, secops-bindplane).
    • Adresse IP : saisissez l'adresse IP de l'hôte de l'agent Bindplane (par exemple, 192.168.1.100).
    • Activé : cochez la case pour que l'appliance envoie des notifications à ce serveur.
    • Distribution : sélectionnez Par événement pour envoyer une notification chaque fois qu'une alerte est générée.
    • Notification : sélectionnez Tous les événements ou les types d'alertes spécifiques que vous souhaitez transférer.
    • Format : sélectionnez CEF. Si vous sélectionnez JSON, sélectionnez également un niveau de détail : Normal, Concis ou Étendu.
    • Envoyer en tant que : sélectionnez Alerte.
    • Protocole : sélectionnez TCP pour qu'il corresponde au récepteur tcplog configuré précédemment. Sélectionnez UDP, qui est la valeur par défaut de l'appareil, uniquement si vous avez remplacé le récepteur par udplog.

  7. Cliquez sur Ajouter un serveur Rsyslog.

Méthode 2 : Configurer les notifications rsyslog à l'aide de la CLI

  1. Connectez-vous à l'interface de ligne de commande de l'appareil FireEye avec un compte disposant d'un accès administrateur ou opérateur.

  2. Passez en mode configuration :

    hostname > enable
hostname # configure terminal

  3. Activez les notifications rsyslog :

    hostname (config) # fenotify rsyslog enable

  4. Créez un récepteur d'interruption pour l'agent Bindplane et activez-le :

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane
hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable

  5. Définissez l'adresse de destination, le protocole de transport et le port :

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
    • <BINDPLANE_IP> : adresse IP ou nom de domaine de l'hôte de l'agent Bindplane.

  6. Définissez le format du message, la planification de l'envoi et la gravité :

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
    • prefer message format : utilisez cef. Pour JSON, utilisez json-normal, json-concise ou json-extended. N'utilisez pas csv, leef ni aucune valeur text- ou xml-.
    • prefer message delivery : utilisez per-event pour envoyer des informations sur chaque événement lorsqu'il est déclenché.
    • prefer message send-as : utilisez alert, qui correspond à la gravité 1.

  7. Sélectionnez les alertes qui génèrent une notification pour ce récepteur d'interruption :

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
    • all-events : tous les événements, à l'exception des logiciels à risque.
    • all-riskware : événements riskware-object et riskware-callback.
    • Types individuels : domain-match, infection-match, malware-callback, malware-object, riskware-callback, riskware-object, web-infection et ips-event sur les appliances compatibles avec l'IPS.

  8. Enregistrez la configuration :

    hostname (config) # write memory

Vérifier la configuration

  1. Pour examiner les paramètres rsyslog actifs, exécutez la commande suivante en mode d'activation :

    hostname # show fenotify rsyslog

    La sortie liste les valeurs de Configuration globales, les types d'Alertes activés et les valeurs de Consommateurs par serveur.

  2. Pour générer un événement de test à partir de l'interface utilisateur Web, accédez à Paramètres> Notifications, sélectionnez un type d'événement dans la liste déroulante sous le tableau, puis cliquez sur Test-Fire.

  3. Pour générer un événement de test à partir de la CLI, exécutez la commande suivante en mode de configuration :

    hostname (config) # fenotify test-fire <EVENT_TYPE>

  4. Vérifiez que l'hôte de l'agent Bindplane reçoit les messages, puis que les événements apparaissent dans Google SecOps.

Pour connaître les procédures du fournisseur que ces étapes suivent, consultez Ajouter des serveurs de journaux système à l'aide de l'interface utilisateur Web, Ajouter des serveurs de journaux système à l'aide de la CLI, Personnaliser les notifications du serveur de journaux système à l'aide de la CLI et Tester les notifications d'événements IPS. Pour connaître la syntaxe complète et les valeurs acceptées de chaque commande fenotify rsyslog, consultez la documentation de référence sur les commandes de la CLI.

Table de mappage UDM

Champ de journal Mappage UDM Logique
additional_source additional.fields Fusionné
appliance_id_label additional.fields Fusionné
appliance_id_label_2nd additional.fields Fusionné
appliance_label additional.fields Fusionné
begin_label additional.fields Fusionné
cache_control_label additional.fields Fusionné
channel_label additional.fields Fusionné
content_length_label additional.fields Fusionné
content_type_label additional.fields Fusionné
cost_label additional.fields Fusionné
end_label additional.fields Fusionné
match_count_label additional.fields Fusionné
msg_label additional.fields Fusionné
success_label additional.fields Fusionné
dvc intermediary.asset.hostname Mappé directement
dvc intermediary.asset.ip Fusionné
msg intermediary.email Mappé directement
dvc intermediary.hostname Mappage direct
sensor intermediary.hostname Mappage direct
dvc intermediary.ip Fusionné
intermediary_host intermediary.labels Fusionné
dvcmac intermediary.mac Fusionné
desc metadata.description Mappé directement
description metadata.description Mappage direct
name metadata.description Mappage direct
alert.occurred metadata.event_timestamp Analysé en tant que yyyy-MM-dd HH:mm:ss.SSS
end metadata.event_timestamp Analysé en tant que MMM dd yyyy HH:mm:ss ZZZ
rt metadata.event_timestamp Analysé en tant que MMM dd yyyy HH:mm:ss ZZZ
start metadata.event_timestamp Analysé en tant que MMM dd yyyy HH:mm:ss ZZZ
event_type metadata.event_type Mappé : filewriteevent → FILE_MODIFICATION, "processevent","urlmonitorevent" → `SCAN_P...
event_type1 metadata.event_type Mappage direct
file_event_subtype metadata.event_type Mappé : FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info metadata.event_type Mappé : true → EMAIL_TRANSACTION
has_principal metadata.event_type Mappé : true → NETWORK_CONNECTION, true → EMAIL_TRANSACTION, true → STATUS_UPDATE
type metadata.event_type Mappé : "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → STATUS_UPDATE
event_type metadata.product_event_type Mappage direct
type metadata.product_event_type Mappage direct
externalId metadata.product_log_id Mappage direct
product metadata.product_name Mappage direct
version metadata.product_version Mappage direct
applicationProtocol network.application_protocol Mappage direct
ver_proto network.application_protocol Mappé : HTTP/1.1 → HTTP
alert.src.smtp-mail-from network.email.from Mappage direct
mails network.email.to Fusionné
httpmethod network.http.method Mappé directement
method network.http.method Mappage direct
urlMonitorEvent_urlMethod network.http.method Mappé directement
User-Agent network.http.parsed_user_agent Renommé/Mappé
http_user_agent network.http.parsed_user_agent Renommé/Mappé
Referer network.http.referral_url Mappage direct
urlMonitorEvent_requestUrl network.http.referral_url Mappage direct
User-Agent network.http.user_agent Mappage direct
http_user_agent network.http.user_agent Mappage direct
urlMonitorEvent_userAgent network.http.user_agent Mappage direct
alert.explanation.cnc-services.cnc-service.protocol network.ip_protocol Mappage direct
alert.explanation.protocol network.ip_protocol Mappage direct
ver_proto network.tls.version_protocol Mappage direct
devicePayloadId principal.application Mappage direct
process principal.application Mappage direct
principal_hostname principal.asset.hostname Mappage direct
sourceDnsDomain principal.asset.hostname Mappage direct
agent_info.primary_ip_address principal.asset.ip Fusionné
alert.src.ip principal.asset.ip Fusionné
host_name principal.asset.ip Mappé directement
source_info.ip principal.asset.ip Fusionné
src principal.asset.ip Fusionné
src_ip principal.asset.ip Fusionné
type principal.asset.ip Mappé : "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability principal.asset.vulnerabilities Fusionné
path principal.file.full_path Mappé directement
alert.explanation.os-changes.file.processinfo.md5sum principal.file.md5 Mappage direct
alert.explanation.os-changes.file.processinfo.sha1sum principal.file.sha1 Mappage direct
filesize principal.file.size Mappage direct
Host principal.hostname Mappage direct
principal_hostname principal.hostname Mappage direct
sourceDnsDomain principal.hostname Mappage direct
agent_info.primary_ip_address principal.ip Fusionné
alert.src.ip principal.ip Fusionné
host_name principal.ip Mappé directement
source_info.ip principal.ip Fusionné
src principal.ip Fusionné
src_ip principal.ip Fusionné
type principal.ip Mappé : "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan principal.labels Fusionné
country principal.location.country_or_region Mappé directement
agent_info.primary_mac principal.mac Fusionné
alert.src.mac principal.mac Fusionné
appliance-id principal.mac Fusionné
smac principal.mac Fusionné
os_platform principal.platform Mapped: "linux","LINUX","lin" → LINUX, "windows","WINDOWS","win" → WINDOWS, `"mac","...
os_kernel_version principal.platform_patch_level Mappage direct
alert.explanation.os-changes.osinfo principal.platform_version Mappage direct
alert.src.port principal.port Mappage direct
src_port principal.port Mappage direct
alert.explanation.os-changes.file.processinfo.ppid principal.process.parent_process.pid Mappage direct
alert.explanation.os-changes.file.processinfo.pid principal.process.pid Mappage direct
process_id principal.process.pid Mappage direct
id principal.resource.id Mappé directement
email principal.user.email_addresses Mappé : ^.+@.+$ → email
s_result security_result Fusionné
sec_result security_result Fusionné
alert_smtp_header security_result.about.labels Fusionné
alert_smtp_last_malware security_result.about.labels Fusionné
alert_smtp_queue_id security_result.about.labels Fusionné
alert_smtp_subject security_result.about.labels Fusionné
endpoint_type_label security_result.about.labels Fusionné
type security_result.about.labels Mappé : "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → `endpoint_type...
proto security_result.about.network.application_protocol Mappage direct
http_method security_result.about.network.http.method Mappage direct
alert.smtp-message.id security_result.about.resource.id Mappage direct
alert.src.url security_result.about.url Mappage direct
temp_url security_result.about.url Mappage direct
action security_result.action Fusionné
alert.action security_result.action_details Mappé directement
threat_attribution security_result.action_details Mappage direct
category security_result.category Fusionné
category_details security_result.category_details Fusionné
group security_result.category_details Fusionné
indicator.category security_result.category_details Fusionné
type security_result.category_details Mappé : "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act security_result.description Mappage direct
indicator.name security_result.description Mappage direct
ack_field security_result.detection_fields Fusionné
analysis_field security_result.detection_fields Fusionné
attack_mode_label security_result.detection_fields Fusionné
build_field security_result.detection_fields Fusionné
bytes_available_label security_result.detection_fields Fusionné
chunk_id_label security_result.detection_fields Fusionné
chunk_len_label security_result.detection_fields Fusionné
chunks_label security_result.detection_fields Fusionné
classtype_label security_result.detection_fields Fusionné
cn1_label security_result.detection_fields Fusionné
cnc_service_type security_result.detection_fields Fusionné
cs1_label security_result.detection_fields Fusionné
cs3_label security_result.detection_fields Fusionné
cs4_label security_result.detection_fields Fusionné
data_label security_result.detection_fields Fusionné
detection_infection_type security_result.detection_fields Fusionné
display_msg_label security_result.detection_fields Fusionné
dpt_label security_result.detection_fields Fusionné
flex_string1_Label security_result.detection_fields Fusionné
flex_string1_label security_result.detection_fields Fusionné
flex_string2_Label security_result.detection_fields Fusionné
flex_string2_label security_result.detection_fields Fusionné
header security_result.detection_fields Fusionné
id_field security_result.detection_fields Fusionné
job_id_label security_result.detection_fields Fusionné
mode_field security_result.detection_fields Fusionné
mvx_status_label security_result.detection_fields Fusionné
qid_label security_result.detection_fields Fusionné
request_label security_result.detection_fields Fusionné
retroactive_field security_result.detection_fields Fusionné
sc_version_field security_result.detection_fields Fusionné
sequence_field security_result.detection_fields Fusionné
sig_id_label security_result.detection_fields Fusionné
sig_name_label security_result.detection_fields Fusionné
sig_revision_label security_result.detection_fields Fusionné
spt_label security_result.detection_fields Fusionné
sub_id_label security_result.detection_fields Fusionné
tests_downloaded_at_field security_result.detection_fields Fusionné
tests_executed_at_field security_result.detection_fields Fusionné
tests_name_field security_result.detection_fields Fusionné
tests_original_field security_result.detection_fields Fusionné
tests_sha512_field security_result.detection_fields Fusionné
tests_sid_field security_result.detection_fields Fusionné
tests_stype_field security_result.detection_fields Fusionné
tests_submitted_at_field security_result.detection_fields Fusionné
tests_type_field security_result.detection_fields Fusionné
tid_label security_result.detection_fields Fusionné
timestamp_field security_result.detection_fields Fusionné
url_field security_result.detection_fields Fusionné
value_field security_result.detection_fields Fusionné
written_size_label security_result.detection_fields Fusionné
alert.uuid security_result.rule_id Mappé directement
alert.version security_result.rule_version Mappé directement
severity security_result.severity Mapped: "low","NOTICE" → LOW, INFO → INFORMATIONAL, medium → MEDIUM, high → `H...
action_taken security_result.summary Mappage direct
risk_summary security_result.summary Mappage direct
alert.id security_result.threat_id Mappage direct
alert.name security_result.threat_name Mappage direct
ele.infection.infection-name security_result.threat_name Mappage direct
threat_name security_result.threat_name Mappage direct
alert.alert-url security_result.url_back_to_product Mappage direct
url security_result.url_back_to_product Mappage direct
dst_hostname target.asset.hostname Mappage direct
dvchost target.asset.hostname Mappage direct
target_hostname target.asset.hostname Mappage direct
alert.dst.ip target.asset.ip Fusionné
dst target.asset.ip Fusionné
dst_ip target.asset.ip Fusionné
urlMonitorEvent_remoteIpAddress target.asset.ip Fusionné
alert.explanation.os-changes.file.processinfo.imagepath target.file.full_path Mappé directement
file_fullpath target.file.full_path Mappage direct
fname target.file.full_path Mappage direct
agent_info.md5values target.file.md5 Mappage direct
ele.action.actioned-object.file-object.md5sum target.file.md5 Mappage direct
file_md5 target.file.md5 Mappage direct
fileType target.file.mime_type Mappage direct
ele.action.actioned-object.file-object.sha1sum target.file.sha1 Mappage direct
ele.action.actioned-object.file-object.sha256sum target.file.sha256 Mappage direct
fileHash target.file.sha256 Mappage direct
file_size target.file.size Mappage direct
fsize target.file.size Mappage direct
dst_hostname target.hostname Mappage direct
dvchost target.hostname Mappage direct
target_hostname target.hostname Mappage direct
alert.dst.ip target.ip Fusionné
dst target.ip Fusionné
dst_ip target.ip Fusionné
urlMonitorEvent_remoteIpAddress target.ip Fusionné
alert.explanation.cnc-services.cnc-service.location target.location.country_or_region Mappé directement
alert.dst.mac target.mac Fusionné
dmac target.mac Fusionné
alert.dst.port target.port Mappage direct
dst_port target.port Renommé/Mappé
urlMonitorEvent_remotePort target.port Mappage direct
cmd target.process.command_line Mappage direct
ele.action.actioned-object.file-object.file-path target.process.file.full_path Mappage direct
file_event_filepath target.process.file.full_path Mappage direct
process_event_process_path target.process.file.full_path Mappage direct
process_path target.process.file.full_path Mappage direct
urlMonitorEvent_processPath target.process.file.full_path Mappage direct
md5sum_data target.process.file.md5 Mappé directement
process_md5 target.process.file.md5 Renommé/Mappé
sha1_data target.process.file.sha1 Mappage direct
sha256_data target.process.file.sha256 Mappage direct
file_event_actor_process_path target.process.parent_process.file.full_path Mappage direct
parent_process_path target.process.parent_process.file.full_path Mappage direct
process_event_parent_path target.process.parent_process.file.full_path Mappage direct
file_event_actor_process_pid target.process.parent_process.pid Mappage direct
parent_process_pid target.process.parent_process.pid Mappage direct
process_event_parentPid target.process.parent_process.pid Mappage direct
alert.explanation.os-changes.file.processinfo.tid target.process.pid Mappage direct
process_event_pid target.process.pid Mappage direct
process_pid target.process.pid Mappage direct
urlMonitorEvent_pid target.process.pid Mappage direct
scanned_registry_key target.registry.registry_key Mappage direct
scanned_registry_value target.registry.registry_value_data Mappage direct
customer_id target.resource.id Mappage direct
alert.explanation.cnc-services.cnc-service.url target.url Mappé directement
email target.user.email_addresses Mappé : ^.+@.+$ → email
tar_email target.user.email_addresses Fusionné
file_event_actor_process_username target.user.user_display_name Mappé directement
process_event_username target.user.user_display_name Mappage direct
urlMonitorEvent_username target.user.user_display_name Mappage direct
N/A metadata.event_type Constante : GENERIC_EVENT
N/A metadata.product_name Constante : FIREEYE_ALERT
N/A metadata.vendor_name Constante : FIREEYE_ALERT
N/A network.application_protocol Constante : SMTP
N/A principal.platform Constante : WINDOWS
N/A security_result.about.resource.type Constante : Email
N/A security_result.confidence Constante : HIGH_CONFIDENCE
N/A security_result.severity Constante : LOW

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.