איסוף יומני התראות של Trellix (לשעבר FireEye)

גרסת המנתח: 10.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני התראות של Trellix (לשעבר FireEye) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Trellix היא פלטפורמה לאבטחת רשת שמזהה איומים מתקדמים, תוכנות זדוניות וניצול פרצות אבטחה ביום האפס. הוא יוצר יומני התראות על איומים, פעילות זדונית ואירועי אבטחה שזוהו בפורמטים CEF,‏ JSON ו-XML.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין מכשיר Trellix
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישת אדמין למכשיר Trellix

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API מדור קודם (malachiteingestion-pa.googleapis.com), שיוצא משימוש ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/fireeye_alert:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FIREEYE_ALERT
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/fireeye_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/fireeye_alert
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

הגדרת המקלט:

• ‫tcplog: סוג המקלט לפי הפרוטוקול:
  • udplog עבור UDP syslog
  • ‫tcplog for TCP syslog
• ‫0.0.0.0: כתובת ה-IP להאזנה:
  • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
  • כתובת IP ספציפית להאזנה בממשק אחד
• ‫514: מספר היציאה להאזנה (לדוגמה, 514, ‏ 1514, ‏ 6514)

הגדרת הייצוא:

• ‫fireeye_alert: שם תיאורי של הכלי לייצוא
• ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
  • Linux: /opt/observiq-otel-collector/ingestion-auth.json
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• ‫<customer_id>: מספר הלקוח מהשלב הקודם
• ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
• ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
• ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.
• ‫FIREEYE_ALERT: סוג היומן בדיוק כמו שהוא מופיע ב-Google SecOps
• ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production)

הגדרת צינור עיבוד נתונים:

• ‫fireeye_to_chronicle: שם תיאורי לצינור עיבוד הנתונים

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/fireeye_alert:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FIREEYE_ALERT
      raw_log_field: body
      ingestion_labels:
        env: production
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. בודקים אם יש שגיאות ביומנים:

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       ```cmd
       sc query observiq-otel-collector
       ```
       

    5. בודקים אם יש שגיאות ביומנים:

       ```cmd
       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       ```
       

הגדרת העברת syslog של FireEye

מכשירי FireEye (Trellix) מעבירים התראות כהודעות rsyslog. מגדירים אותם דרך ממשק המשתמש באינטרנט של המכשיר או דרך ממשק שורת הפקודה של המכשיר. שתי השיטות מניבות את אותה תוצאה, אז אתם יכולים להשתמש בשיטה שמתאימה למודל התפעולי שלכם.

הערה: מנתח הנתונים של Google SecOps עבור סוג היומן הזה קורא הודעות syslog בפורמט CEF, בפורמט JSON ובפורמט של צמדי מפתח-ערך. בוחרים בפורמט CEF (מומלץ) או JSON להתראות. המנתח לא מכיל טיפול ב-LEEF, ב-CSV או ב-XML. גם טקסט לא מתאים, כי הודעה שלא תואמת לאף אחת מתבניות ה-syslog של המנתח ולא מכילה צמדי מפתח/ערך נמחקת כי היא לא נתמכת.

שיטה 1: הגדרת התראות rsyslog באמצעות ממשק המשתמש באינטרנט

1. נכנסים לממשק המשתמש באינטרנט של מכשיר FireEye באמצעות חשבון עם הרשאת אדמין או מפעיל.
2. עוברים אל הגדרות > התראות.
3. לוחצים על הכרטיסייה RSYSLOG.
4. אופציונלי: באזור Rsyslog Settings (הגדרות Rsyslog), מגדירים את הערכים ששרתים שהוגדרו כDefault (ברירת מחדל) יקבלו בירושה, ואז לוחצים על Apply Settings (החלת ההגדרות):
   • פורמט ברירת מחדל: בוחרים באפשרות CEF.
   • ברירת מחדל של שיטת המסירה: בוחרים באפשרות לכל אירוע.
   • שליחה כברירת מחדל: בוחרים באפשרות התראה.
5. בקטע הצגה והוספה של שרתי Rsyslog, לוחצים על הוספת שרת Rsyslog.
6. מספקים את פרטי ההגדרה הבאים:
   • שם השרת: מזינים שם תיאורי לרשומה (לדוגמה, secops-bindplane).
   • IP Address: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • מופעל: מסמנים את תיבת הסימון כדי שהמכשיר ישלח התראות לשרת הזה.
   • מסירה: בוחרים באפשרות לכל אירוע כדי לשלוח התראה בכל פעם שנוצרת התראה.
   • התראה: בוחרים באפשרות כל האירועים או בסוגי ההתראות הספציפיים שרוצים להעביר.
   • פורמט: בוחרים באפשרות CEF. אם בוחרים באפשרות JSON, צריך לבחור גם את רמת הפירוט: רגילה, תמציתית או מורחבת.
   • שליחה בתור: בוחרים באפשרות התראה.
   • פרוטוקול: בוחרים באפשרות TCP כדי להתאים למקלט tcplog שהוגדר קודם. בוחרים באפשרות UDP, שהיא ברירת המחדל של המכשיר, רק אם שיניתם את המקלט ל-udplog.

7. לוחצים על הוספת שרת Rsyslog חדש.

   הערה: אין הגדרת יציאה בממשק המשתמש האינטרנטי. ההתקן שולח התראות ליציאת syslog הרגילה (514), לכן צריך להגדיר את מקלט הסוכן של Bindplane להאזנה ביציאה 514. כדי להשתמש ביציאה אחרת, צריך להגדיר אותה מ-CLI באמצעות fenotify rsyslog trap-sink <sink_name> port <port_number>, כמו שמתואר בשיטה 2.

שיטה 2: הגדרת התראות rsyslog באמצעות ה-CLI

1. נכנסים לממשק שורת הפקודה של מכשיר FireEye באמצעות חשבון עם הרשאת אדמין או מפעיל.

2. נכנסים למצב הגדרה:

   hostname > enable
   hostname # configure terminal
   

3. מפעילים את ההתראות של rsyslog:

   hostname (config) # fenotify rsyslog enable
   

4. יוצרים יעד מסוג trap לסוכן Bindplane ומפעילים אותו:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable
   

   הערה: השם של כיור ה-trap הוא תווית קצרה ללא רווחים שמזהה את היעד. אפשר להשתמש באותו שם בכל הפקודות הבאות.

5. מגדירים את כתובת היעד, את פרוטוקול התעבורה ואת היציאה:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
   

   • ‫<BINDPLANE_IP>: כתובת ה-IP או שם הדומיין של המארח של סוכן Bindplane.
   הערה: צריך להשתמש ב-tcp כדי להתאים למקלט tcplog שהוגדר קודם, או ב-udp אם שיניתם את המקלט ל-udplog. מגדירים את port ליציאה שהמקלט מקשיב לה.

6. מגדירים את פורמט ההודעה, את לוח הזמנים למשלוח ואת רמת החומרה:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
   

   • ‫prefer message format: שימוש ב-cef. ב-JSON, משתמשים ב-json-normal,‏ json-concise או json-extended. אל תשתמשו בערכים csv, ‏ leef, ‏ text- או xml-.
   • prefer message delivery: משתמשים ב-per-event כדי לשלוח מידע על כל אירוע כשהאירוע מופעל.
   • ‫prefer message send-as: משתמשים ב-alert, שהיא רמת חומרה 1.

7. בוחרים אילו התראות יגרמו לשליחת התראה לכיור המלכודת הזה:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
   

   • ‫all-events: כל האירועים חוץ מתוכנות סיכון.
   • ‫all-riskware: האירועים riskware-object ו-riskware-callback.
   • סוגים פרטניים: domain-match, infection-match, malware-callback, malware-object, riskware-callback, riskware-object, web-infection ו-ips-event במכשירי חשמל עם IPS.

8. שומרים את ההגדרה:

   hostname (config) # write memory
   

אימות ההגדרות האישיות

1. כדי לבדוק את הגדרות ה-rsyslog הפעילות, מריצים את הפקודה הבאה במצב הפעלה:

   hostname # show fenotify rsyslog
   

   הפלט מציג את ערכי Configuration הגלובליים, את סוגי ה-Alerts המופעלים ואת ערכי Consumers לכל שרת.

2. כדי ליצור אירוע בדיקה מממשק המשתמש באינטרנט, עוברים אל הגדרות > התראות, בוחרים סוג אירוע מהרשימה הנפתחת שמתחת לטבלה ולוחצים על Test-Fire.

3. כדי ליצור אירוע בדיקה מ-CLI במקום זאת, מריצים את הפקודה הבאה במצב הגדרה:

   hostname (config) # fenotify test-fire <EVENT_TYPE>
   

4. מוודאים שמארח הסוכן של Bindplane מקבל את ההודעות, ואז מוודאים שהאירועים מופיעים ב-Google SecOps.

   הערה: בפריסות שמנוהלות על ידי מכשיר Central Management ‏ (CM), אפשר להגדיר את ההתראות של rsyslog במכשיר ה-CM. מידע נוסף זמין במאמר הגדרת שרתי rsyslog באמצעות ממשק המשתמש באינטרנט.
   הערה: במכשירי Trellix Endpoint Security (HX), משתמשים באותו דף הגדרות > התראות > rsyslog, אבל הפריסה שונה: מסמנים את התיבה סוג אירוע, מקלידים את שם השרת בעמודה הוספת שרת Rsyslog, לוחצים על הוספת שרת Rsyslog, מזינים את הכתובת בעמודה כתובת IP ואז לוחצים על עדכון. מידע נוסף זמין במאמר הגדרת Trellix Endpoint Security (HX).

כדי לקבל מידע על ההליכים של הספק שהשלבים האלה מבוססים עליהם, אפשר לעיין במאמרים הוספת שרתי יומן מערכת באמצעות ממשק המשתמש באינטרנט, הוספת שרתי יומן מערכת באמצעות ה-CLI, התאמה אישית של התראות משרת יומן המערכת באמצעות ה-CLI ובדיקת התראות לגבי אירועי IPS. במאמרי העזרה בנושא פקודות CLI אפשר למצוא את התחביר המלא ואת הערכים הקבילים של כל פקודה של fenotify rsyslog.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
additional_source	additional.fields	ממוזג
appliance_id_label	additional.fields	ממוזג
appliance_id_label_2nd	additional.fields	ממוזג
appliance_label	additional.fields	ממוזג
begin_label	additional.fields	ממוזג
cache_control_label	additional.fields	ממוזג
channel_label	additional.fields	ממוזג
content_length_label	additional.fields	ממוזג
content_type_label	additional.fields	ממוזג
cost_label	additional.fields	ממוזג
end_label	additional.fields	ממוזג
match_count_label	additional.fields	ממוזג
msg_label	additional.fields	ממוזג
success_label	additional.fields	ממוזג
dvc	intermediary.asset.hostname	מיפוי ישיר
dvc	intermediary.asset.ip	ממוזג
msg	intermediary.email	מיפוי ישיר
dvc	intermediary.hostname	מיפוי ישיר
sensor	intermediary.hostname	מיפוי ישיר
dvc	intermediary.ip	ממוזג
intermediary_host	intermediary.labels	ממוזג
dvcmac	intermediary.mac	ממוזג
desc	metadata.description	מיפוי ישיר
description	metadata.description	מיפוי ישיר
name	metadata.description	מיפוי ישיר
alert.occurred	metadata.event_timestamp	ניתוח הכתובות שברשימה: yyyy-MM-dd HH:mm:ss.SSS
end	metadata.event_timestamp	נותח בתור MMM dd yyyy HH:mm:ss ZZZ
rt	metadata.event_timestamp	ניתוח הכתובות שברשימה: MMM dd yyyy HH:mm:ss ZZZ
start	metadata.event_timestamp	נותח בתור MMM dd yyyy HH:mm:ss ZZZ
event_type	metadata.event_type	מיפוי: filewriteevent ← FILE_MODIFICATION, ‏ "processevent","urlmonitorevent" ← ‎ `SCAN_P...
event_type1	metadata.event_type	מיפוי ישיר
file_event_subtype	metadata.event_type	מיפוי: FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info	metadata.event_type	מופה: true ← EMAIL_TRANSACTION
has_principal	metadata.event_type	מיפוי: true ← NETWORK_CONNECTION, true ← EMAIL_TRANSACTION, true ← STATUS_UPDATE
type	metadata.event_type	מופה: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" ← STATUS_UPDATE
event_type	metadata.product_event_type	מיפוי ישיר
type	metadata.product_event_type	מיפוי ישיר
externalId	metadata.product_log_id	מיפוי ישיר
product	metadata.product_name	מיפוי ישיר
version	metadata.product_version	מיפוי ישיר
applicationProtocol	network.application_protocol	מיפוי ישיר
ver_proto	network.application_protocol	מופה: HTTP/1.1 ← HTTP
alert.src.smtp-mail-from	network.email.from	מיפוי ישיר
mails	network.email.to	ממוזג
httpmethod	network.http.method	מיפוי ישיר
method	network.http.method	מיפוי ישיר
urlMonitorEvent_urlMethod	network.http.method	מיפוי ישיר
User-Agent	network.http.parsed_user_agent	שם שונה/מיפוי
http_user_agent	network.http.parsed_user_agent	שינוי שם/מיפוי
Referer	network.http.referral_url	מיפוי ישיר
urlMonitorEvent_requestUrl	network.http.referral_url	מיפוי ישיר
User-Agent	network.http.user_agent	מיפוי ישיר
http_user_agent	network.http.user_agent	מיפוי ישיר
urlMonitorEvent_userAgent	network.http.user_agent	מיפוי ישיר
alert.explanation.cnc-services.cnc-service.protocol	network.ip_protocol	מיפוי ישיר
alert.explanation.protocol	network.ip_protocol	מיפוי ישיר
ver_proto	network.tls.version_protocol	מיפוי ישיר
devicePayloadId	principal.application	מיפוי ישיר
process	principal.application	מיפוי ישיר
principal_hostname	principal.asset.hostname	מיפוי ישיר
sourceDnsDomain	principal.asset.hostname	מיפוי ישיר
agent_info.primary_ip_address	principal.asset.ip	ממוזג
alert.src.ip	principal.asset.ip	ממוזג
host_name	principal.asset.ip	מיפוי ישיר
source_info.ip	principal.asset.ip	ממוזג
src	principal.asset.ip	ממוזג
src_ip	principal.asset.ip	ממוזג
type	principal.asset.ip	מיפוי: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability	principal.asset.vulnerabilities	ממוזג
path	principal.file.full_path	מיפוי ישיר
alert.explanation.os-changes.file.processinfo.md5sum	principal.file.md5	מיפוי ישיר
alert.explanation.os-changes.file.processinfo.sha1sum	principal.file.sha1	מיפוי ישיר
filesize	principal.file.size	מיפוי ישיר
Host	principal.hostname	מיפוי ישיר
principal_hostname	principal.hostname	מיפוי ישיר
sourceDnsDomain	principal.hostname	מיפוי ישיר
agent_info.primary_ip_address	principal.ip	ממוזג
alert.src.ip	principal.ip	ממוזג
host_name	principal.ip	מיפוי ישיר
source_info.ip	principal.ip	ממוזג
src	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
type	principal.ip	מיפוי: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan	principal.labels	ממוזג
country	principal.location.country_or_region	מיפוי ישיר
agent_info.primary_mac	principal.mac	ממוזג
alert.src.mac	principal.mac	ממוזג
appliance-id	principal.mac	ממוזג
smac	principal.mac	ממוזג
os_platform	principal.platform	מיפוי: "linux","LINUX","lin" ← LINUX, ‏ "windows","WINDOWS","win" ← WINDOWS, ‏ ‎`"mac","...
os_kernel_version	principal.platform_patch_level	מיפוי ישיר
alert.explanation.os-changes.osinfo	principal.platform_version	מיפוי ישיר
alert.src.port	principal.port	מיפוי ישיר
src_port	principal.port	מיפוי ישיר
alert.explanation.os-changes.file.processinfo.ppid	principal.process.parent_process.pid	מיפוי ישיר
alert.explanation.os-changes.file.processinfo.pid	principal.process.pid	מיפוי ישיר
process_id	principal.process.pid	מיפוי ישיר
id	principal.resource.id	מיפוי ישיר
email	principal.user.email_addresses	מיפוי: ^.+@.+$ → email
s_result	security_result	ממוזג
sec_result	security_result	ממוזג
alert_smtp_header	security_result.about.labels	ממוזג
alert_smtp_last_malware	security_result.about.labels	ממוזג
alert_smtp_queue_id	security_result.about.labels	ממוזג
alert_smtp_subject	security_result.about.labels	ממוזג
endpoint_type_label	security_result.about.labels	ממוזג
type	security_result.about.labels	מיפוי: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" ← `endpoint_type...
proto	security_result.about.network.application_protocol	מיפוי ישיר
http_method	security_result.about.network.http.method	מיפוי ישיר
alert.smtp-message.id	security_result.about.resource.id	מיפוי ישיר
alert.src.url	security_result.about.url	מיפוי ישיר
temp_url	security_result.about.url	מיפוי ישיר
action	security_result.action	ממוזג
alert.action	security_result.action_details	מיפוי ישיר
threat_attribution	security_result.action_details	מיפוי ישיר
category	security_result.category	ממוזג
category_details	security_result.category_details	ממוזג
group	security_result.category_details	ממוזג
indicator.category	security_result.category_details	ממוזג
type	security_result.category_details	מיפוי: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act	security_result.description	מיפוי ישיר
indicator.name	security_result.description	מיפוי ישיר
ack_field	security_result.detection_fields	ממוזג
analysis_field	security_result.detection_fields	ממוזג
attack_mode_label	security_result.detection_fields	ממוזג
build_field	security_result.detection_fields	ממוזג
bytes_available_label	security_result.detection_fields	ממוזג
chunk_id_label	security_result.detection_fields	ממוזג
chunk_len_label	security_result.detection_fields	ממוזג
chunks_label	security_result.detection_fields	ממוזג
classtype_label	security_result.detection_fields	ממוזג
cn1_label	security_result.detection_fields	ממוזג
cnc_service_type	security_result.detection_fields	ממוזג
cs1_label	security_result.detection_fields	ממוזג
cs3_label	security_result.detection_fields	ממוזג
cs4_label	security_result.detection_fields	ממוזג
data_label	security_result.detection_fields	ממוזג
detection_infection_type	security_result.detection_fields	ממוזג
display_msg_label	security_result.detection_fields	ממוזג
dpt_label	security_result.detection_fields	ממוזג
flex_string1_Label	security_result.detection_fields	ממוזג
flex_string1_label	security_result.detection_fields	ממוזג
flex_string2_Label	security_result.detection_fields	ממוזג
flex_string2_label	security_result.detection_fields	ממוזג
header	security_result.detection_fields	ממוזג
id_field	security_result.detection_fields	ממוזג
job_id_label	security_result.detection_fields	ממוזג
mode_field	security_result.detection_fields	ממוזג
mvx_status_label	security_result.detection_fields	ממוזג
qid_label	security_result.detection_fields	ממוזג
request_label	security_result.detection_fields	ממוזג
retroactive_field	security_result.detection_fields	ממוזג
sc_version_field	security_result.detection_fields	ממוזג
sequence_field	security_result.detection_fields	ממוזג
sig_id_label	security_result.detection_fields	ממוזג
sig_name_label	security_result.detection_fields	ממוזג
sig_revision_label	security_result.detection_fields	ממוזג
spt_label	security_result.detection_fields	ממוזג
sub_id_label	security_result.detection_fields	ממוזג
tests_downloaded_at_field	security_result.detection_fields	ממוזג
tests_executed_at_field	security_result.detection_fields	ממוזג
tests_name_field	security_result.detection_fields	ממוזג
tests_original_field	security_result.detection_fields	ממוזג
tests_sha512_field	security_result.detection_fields	ממוזג
tests_sid_field	security_result.detection_fields	ממוזג
tests_stype_field	security_result.detection_fields	ממוזג
tests_submitted_at_field	security_result.detection_fields	ממוזג
tests_type_field	security_result.detection_fields	ממוזג
tid_label	security_result.detection_fields	ממוזג
timestamp_field	security_result.detection_fields	ממוזג
url_field	security_result.detection_fields	ממוזג
value_field	security_result.detection_fields	ממוזג
written_size_label	security_result.detection_fields	ממוזג
alert.uuid	security_result.rule_id	מיפוי ישיר
alert.version	security_result.rule_version	מיפוי ישיר
severity	security_result.severity	מיפוי: "low","NOTICE" ← LOW, INFO ← INFORMATIONAL, medium ← MEDIUM, high ← `H...
action_taken	security_result.summary	מיפוי ישיר
risk_summary	security_result.summary	מיפוי ישיר
alert.id	security_result.threat_id	מיפוי ישיר
alert.name	security_result.threat_name	מיפוי ישיר
ele.infection.infection-name	security_result.threat_name	מיפוי ישיר
threat_name	security_result.threat_name	מיפוי ישיר
alert.alert-url	security_result.url_back_to_product	מיפוי ישיר
url	security_result.url_back_to_product	מיפוי ישיר
dst_hostname	target.asset.hostname	מיפוי ישיר
dvchost	target.asset.hostname	מיפוי ישיר
target_hostname	target.asset.hostname	מיפוי ישיר
alert.dst.ip	target.asset.ip	ממוזג
dst	target.asset.ip	ממוזג
dst_ip	target.asset.ip	ממוזג
urlMonitorEvent_remoteIpAddress	target.asset.ip	ממוזג
alert.explanation.os-changes.file.processinfo.imagepath	target.file.full_path	מיפוי ישיר
file_fullpath	target.file.full_path	מיפוי ישיר
fname	target.file.full_path	מיפוי ישיר
agent_info.md5values	target.file.md5	מיפוי ישיר
ele.action.actioned-object.file-object.md5sum	target.file.md5	מיפוי ישיר
file_md5	target.file.md5	מיפוי ישיר
fileType	target.file.mime_type	מיפוי ישיר
ele.action.actioned-object.file-object.sha1sum	target.file.sha1	מיפוי ישיר
ele.action.actioned-object.file-object.sha256sum	target.file.sha256	מיפוי ישיר
fileHash	target.file.sha256	מיפוי ישיר
file_size	target.file.size	מיפוי ישיר
fsize	target.file.size	מיפוי ישיר
dst_hostname	target.hostname	מיפוי ישיר
dvchost	target.hostname	מיפוי ישיר
target_hostname	target.hostname	מיפוי ישיר
alert.dst.ip	target.ip	ממוזג
dst	target.ip	ממוזג
dst_ip	target.ip	ממוזג
urlMonitorEvent_remoteIpAddress	target.ip	ממוזג
alert.explanation.cnc-services.cnc-service.location	target.location.country_or_region	מיפוי ישיר
alert.dst.mac	target.mac	ממוזג
dmac	target.mac	ממוזג
alert.dst.port	target.port	מיפוי ישיר
dst_port	target.port	שינוי שם/מיפוי
urlMonitorEvent_remotePort	target.port	מיפוי ישיר
cmd	target.process.command_line	מיפוי ישיר
ele.action.actioned-object.file-object.file-path	target.process.file.full_path	מיפוי ישיר
file_event_filepath	target.process.file.full_path	מיפוי ישיר
process_event_process_path	target.process.file.full_path	מיפוי ישיר
process_path	target.process.file.full_path	מיפוי ישיר
urlMonitorEvent_processPath	target.process.file.full_path	מיפוי ישיר
md5sum_data	target.process.file.md5	מיפוי ישיר
process_md5	target.process.file.md5	שינוי שם/מיפוי
sha1_data	target.process.file.sha1	מיפוי ישיר
sha256_data	target.process.file.sha256	מיפוי ישיר
file_event_actor_process_path	target.process.parent_process.file.full_path	מיפוי ישיר
parent_process_path	target.process.parent_process.file.full_path	מיפוי ישיר
process_event_parent_path	target.process.parent_process.file.full_path	מיפוי ישיר
file_event_actor_process_pid	target.process.parent_process.pid	מיפוי ישיר
parent_process_pid	target.process.parent_process.pid	מיפוי ישיר
process_event_parentPid	target.process.parent_process.pid	מיפוי ישיר
alert.explanation.os-changes.file.processinfo.tid	target.process.pid	מיפוי ישיר
process_event_pid	target.process.pid	מיפוי ישיר
process_pid	target.process.pid	מיפוי ישיר
urlMonitorEvent_pid	target.process.pid	מיפוי ישיר
scanned_registry_key	target.registry.registry_key	מיפוי ישיר
scanned_registry_value	target.registry.registry_value_data	מיפוי ישיר
customer_id	target.resource.id	מיפוי ישיר
alert.explanation.cnc-services.cnc-service.url	target.url	מיפוי ישיר
email	target.user.email_addresses	מיפוי: ^.+@.+$ → email
tar_email	target.user.email_addresses	ממוזג
file_event_actor_process_username	target.user.user_display_name	מיפוי ישיר
process_event_username	target.user.user_display_name	מיפוי ישיר
urlMonitorEvent_username	target.user.user_display_name	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: GENERIC_EVENT
לא רלוונטי	metadata.product_name	קבוע: FIREEYE_ALERT
לא רלוונטי	metadata.vendor_name	קבוע: FIREEYE_ALERT
לא רלוונטי	network.application_protocol	קבוע: SMTP
לא רלוונטי	principal.platform	קבוע: WINDOWS
לא רלוונטי	security_result.about.resource.type	קבוע: Email
לא רלוונטי	security_result.confidence	קבוע: HIGH_CONFIDENCE
לא רלוונטי	security_result.severity	קבוע: LOW

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.