Mengumpulkan log pemberitahuan Trellix (sebelumnya FireEye)

Versi Parser: 10.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log pemberitahuan Trellix (sebelumnya dikenal sebagai FireEye) ke Google Security Operations menggunakan agen Bindplane.

Trellix adalah platform keamanan jaringan yang mendeteksi ancaman tingkat lanjut, malware, dan eksploitasi zero-day. Layanan ini menghasilkan log peringatan untuk ancaman, aktivitas berbahaya, dan peristiwa keamanan yang terdeteksi dalam format CEF, JSON, dan XML.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan perangkat Trellix
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke perangkat Trellix dengan izin administrator

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/fireeye_alert:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FIREEYE_ALERT
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/fireeye_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/fireeye_alert
  

Parameter konfigurasi

Ganti placeholder berikut:

Konfigurasi penerima:

• tcplog: Jenis penerima berdasarkan protokol:
  • udplog untuk syslog UDP
  • tcplog untuk syslog TCP
• 0.0.0.0: IP address to listen on:
  • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
  • Alamat IP tertentu untuk memproses satu antarmuka
• 514: Nomor port yang akan diproses (misalnya, 514, 1514, 6514)

Konfigurasi pengekspor:

• fireeye_alert: Nama deskriptif untuk pengekspor
• creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
  • Linux: /opt/observiq-otel-collector/ingestion-auth.json
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• <customer_id>: ID Pelanggan dari langkah sebelumnya
• location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
• project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
• endpoint: Tetap tetapkan ke chronicle.googleapis.com.
• FIREEYE_ALERT: Jenis log persis seperti yang muncul di Google SecOps
• ingestion_labels: Label opsional dalam format YAML (misalnya, env: production)

Konfigurasi pipeline:

• fireeye_to_chronicle: Nama deskriptif untuk pipeline

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/fireeye_alert:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FIREEYE_ALERT
      raw_log_field: body
      ingestion_labels:
        env: production
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. Periksa log untuk mengetahui error:

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       ```cmd
       sc query observiq-otel-collector
       ```
       

    5. Periksa log untuk mengetahui error:

       ```cmd
       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       ```
       

Mengonfigurasi penerusan syslog FireEye

Perangkat FireEye (Trellix) meneruskan pemberitahuan sebagai notifikasi rsyslog. Konfigurasikan dari UI web peralatan atau dari antarmuka command line peralatan. Kedua metode menghasilkan hasil yang sama, jadi gunakan metode yang sesuai dengan model operasi Anda.

Catatan: Parser Google SecOps untuk jenis log ini membaca pesan syslog CEF, JSON, dan key-value. Pilih CEF (direkomendasikan) atau JSON sebagai format notifikasi. Parser tidak berisi penanganan untuk LEEF, CSV, atau XML. Teks juga tidak cocok, karena pesan yang tidak cocok dengan pola syslog parser dan tidak membawa pasangan nilai kunci akan dibuang karena tidak didukung.

Metode 1: Mengonfigurasi notifikasi rsyslog menggunakan UI web

1. Login ke UI web peralatan FireEye dengan akun yang memiliki akses Admin atau Operator.
2. Buka Setelan > Notifikasi.
3. Pilih tab RSYSLOG.
4. Opsional: Di area Rsyslog Settings, tetapkan nilai yang diwarisi oleh server yang dikonfigurasi sebagai Default, lalu klik Apply Settings:
   • Default format: Pilih CEF.
   • Pengiriman default: Pilih Per Acara.
   • Kirim sebagai default: Pilih Pemberitahuan.
5. Di bagian Lihat dan tambahkan Server Rsyslog, klik Tambahkan Server Rsyslog.
6. Berikan detail konfigurasi berikut:
   • Server Name: Masukkan nama deskriptif untuk entri (misalnya, secops-bindplane).
   • IP Address: Masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
   • Enabled: Centang kotak agar peralatan mengirimkan notifikasi ke server ini.
   • Pengiriman: Pilih Per Peristiwa untuk mengirim notifikasi setiap kali pemberitahuan dibuat.
   • Notifikasi: Pilih Semua Peristiwa, atau pilih jenis notifikasi tertentu yang ingin Anda teruskan.
   • Format: Pilih CEF. Jika Anda memilih JSON, pilih juga tingkat detail Normal, Concise, atau Extended.
   • Kirim sebagai: Pilih Notifikasi.
   • Protocol: Pilih TCP agar sesuai dengan penerima tcplog yang dikonfigurasi sebelumnya. Pilih UDP, yang merupakan default peralatan, hanya jika Anda mengubah penerima ke udplog.

7. Klik Add New Rsyslog Server.

   Catatan: UI web tidak memiliki setelan port. Perangkat mengirimkan notifikasi ke port syslog standar (514), jadi konfigurasi penerima agen BindPlane untuk memproses port 514. Untuk menggunakan port lain, tetapkan dari CLI dengan fenotify rsyslog trap-sink <sink_name> port <port_number>, seperti yang dijelaskan dalam Metode 2.

Metode 2: Mengonfigurasi notifikasi rsyslog menggunakan CLI

1. Login ke antarmuka command line perangkat FireEye dengan akun yang memiliki akses Admin atau Operator.

2. Masuk ke mode konfigurasi:

   hostname > enable
   hostname # configure terminal
   

3. Aktifkan notifikasi rsyslog:

   hostname (config) # fenotify rsyslog enable
   

4. Buat trap sink untuk agen Bindplane dan aktifkan:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable
   

   Catatan: Nama sink perangkap adalah label singkat tanpa spasi yang mengidentifikasi tujuan. Gunakan kembali nama yang sama di setiap perintah berikutnya.

5. Tetapkan alamat tujuan, protokol transpor, dan port:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
   

   • <BINDPLANE_IP>: Alamat IP atau nama domain host agen Bindplane.
   Catatan: Gunakan tcp agar cocok dengan penerima tcplog yang dikonfigurasi sebelumnya, atau udp jika Anda mengubah penerima menjadi udplog. Tetapkan port ke port yang diproses penerima.

6. Tetapkan format pesan, jadwal pengiriman, dan tingkat keparahan:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
   

   • prefer message format: Gunakan cef. Untuk JSON, gunakan json-normal, json-concise, atau json-extended. Jangan gunakan csv, leef, atau nilai text- atau xml-.
   • prefer message delivery: Gunakan per-event untuk mengirim informasi tentang setiap peristiwa saat peristiwa dipicu.
   • prefer message send-as: Gunakan alert, yang merupakan tingkat keparahan 1.

7. Pilih pemberitahuan yang akan menghasilkan notifikasi untuk sink trap ini:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
   

   • all-events: Semua peristiwa kecuali riskware.
   • all-riskware: Peristiwa riskware-object dan riskware-callback.
   • Jenis individual: domain-match, infection-match, malware-callback, malware-object, riskware-callback, riskware-object, web-infection, dan ips-event di peralatan yang mendukung IPS.

8. Simpan konfigurasi:

   hostname (config) # write memory
   

Memverifikasi konfigurasi

1. Untuk meninjau setelan rsyslog yang aktif, jalankan perintah berikut dalam mode enable:

   hostname # show fenotify rsyslog
   

   Output mencantumkan nilai Konfigurasi global, jenis Peringatan yang diaktifkan, dan nilai Konsumen per server.

2. Untuk membuat peristiwa pengujian dari UI web, buka Setelan > Notifikasi, pilih jenis peristiwa dalam daftar drop-down di bawah tabel, lalu klik Uji Aktifkan.

3. Untuk membuat peristiwa pengujian dari CLI, jalankan perintah berikut dalam mode konfigurasi:

   hostname (config) # fenotify test-fire <EVENT_TYPE>
   

4. Pastikan host agen Bindplane menerima pesan, lalu pastikan peristiwa muncul di Google SecOps.

   Catatan: Dalam deployment yang dikelola oleh peralatan Pengelolaan Pusat (CM), Anda dapat mengonfigurasi notifikasi rsyslog pada peralatan CM. Untuk mengetahui informasi selengkapnya, lihat Menyiapkan server rsyslog menggunakan UI Web.
   Catatan: Di appliance Trellix Endpoint Security (HX), halaman Settings > Notifications > rsyslog yang sama digunakan, tetapi tata letaknya berbeda: centang kotak Event type, ketik nama server di kolom Add Rsyslog Server, klik Add Rsyslog Server, masukkan alamat di kolom IP Address, lalu klik Update. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi Trellix Endpoint Security (HX).

Untuk prosedur vendor yang diikuti oleh langkah-langkah ini, lihat Menambahkan server log sistem menggunakan UI Web, Menambahkan server log sistem menggunakan CLI, Menyesuaikan notifikasi server log sistem menggunakan CLI, dan Menguji notifikasi peristiwa IPS. Untuk mengetahui sintaksis lengkap dan nilai yang diterima dari setiap perintah fenotify rsyslog, lihat Referensi Perintah CLI.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
additional_source	additional.fields	Digabung
appliance_id_label	additional.fields	Digabung
appliance_id_label_2nd	additional.fields	Digabung
appliance_label	additional.fields	Digabung
begin_label	additional.fields	Digabung
cache_control_label	additional.fields	Digabung
channel_label	additional.fields	Digabung
content_length_label	additional.fields	Digabung
content_type_label	additional.fields	Digabung
cost_label	additional.fields	Digabung
end_label	additional.fields	Digabung
match_count_label	additional.fields	Digabung
msg_label	additional.fields	Digabung
success_label	additional.fields	Digabung
dvc	intermediary.asset.hostname	Dipetakan secara langsung
dvc	intermediary.asset.ip	Digabung
msg	intermediary.email	Dipetakan secara langsung
dvc	intermediary.hostname	Dipetakan secara langsung
sensor	intermediary.hostname	Dipetakan secara langsung
dvc	intermediary.ip	Digabung
intermediary_host	intermediary.labels	Digabung
dvcmac	intermediary.mac	Digabung
desc	metadata.description	Dipetakan secara langsung
description	metadata.description	Dipetakan secara langsung
name	metadata.description	Dipetakan secara langsung
alert.occurred	metadata.event_timestamp	Diuraikan sebagai yyyy-MM-dd HH:mm:ss.SSS
end	metadata.event_timestamp	Diuraikan sebagai MMM dd yyyy HH:mm:ss ZZZ
rt	metadata.event_timestamp	Diurai sebagai MMM dd yyyy HH:mm:ss ZZZ
start	metadata.event_timestamp	Diurai sebagai MMM dd yyyy HH:mm:ss ZZZ
event_type	metadata.event_type	Dipetakan: filewriteevent → FILE_MODIFICATION, "processevent","urlmonitorevent" → `SCAN_P...
event_type1	metadata.event_type	Dipetakan secara langsung
file_event_subtype	metadata.event_type	Dipetakan: FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info	metadata.event_type	Dipetakan: true → EMAIL_TRANSACTION
has_principal	metadata.event_type	Dipetakan: true → NETWORK_CONNECTION, true → EMAIL_TRANSACTION, true → STATUS_UPDATE
type	metadata.event_type	Dipetakan: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → STATUS_UPDATE
event_type	metadata.product_event_type	Dipetakan secara langsung
type	metadata.product_event_type	Dipetakan secara langsung
externalId	metadata.product_log_id	Dipetakan secara langsung
product	metadata.product_name	Dipetakan secara langsung
version	metadata.product_version	Dipetakan secara langsung
applicationProtocol	network.application_protocol	Dipetakan secara langsung
ver_proto	network.application_protocol	Dipetakan: HTTP/1.1 → HTTP
alert.src.smtp-mail-from	network.email.from	Dipetakan secara langsung
mails	network.email.to	Digabung
httpmethod	network.http.method	Dipetakan secara langsung
method	network.http.method	Dipetakan secara langsung
urlMonitorEvent_urlMethod	network.http.method	Dipetakan secara langsung
User-Agent	network.http.parsed_user_agent	Diganti nama/dipetakan
http_user_agent	network.http.parsed_user_agent	Diganti nama/dipetakan
Referer	network.http.referral_url	Dipetakan secara langsung
urlMonitorEvent_requestUrl	network.http.referral_url	Dipetakan secara langsung
User-Agent	network.http.user_agent	Dipetakan secara langsung
http_user_agent	network.http.user_agent	Dipetakan secara langsung
urlMonitorEvent_userAgent	network.http.user_agent	Dipetakan secara langsung
alert.explanation.cnc-services.cnc-service.protocol	network.ip_protocol	Dipetakan secara langsung
alert.explanation.protocol	network.ip_protocol	Dipetakan secara langsung
ver_proto	network.tls.version_protocol	Dipetakan secara langsung
devicePayloadId	principal.application	Dipetakan secara langsung
process	principal.application	Dipetakan secara langsung
principal_hostname	principal.asset.hostname	Dipetakan secara langsung
sourceDnsDomain	principal.asset.hostname	Dipetakan secara langsung
agent_info.primary_ip_address	principal.asset.ip	Digabung
alert.src.ip	principal.asset.ip	Digabung
host_name	principal.asset.ip	Dipetakan secara langsung
source_info.ip	principal.asset.ip	Digabung
src	principal.asset.ip	Digabung
src_ip	principal.asset.ip	Digabung
type	principal.asset.ip	Dipetakan: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability	principal.asset.vulnerabilities	Digabung
path	principal.file.full_path	Dipetakan secara langsung
alert.explanation.os-changes.file.processinfo.md5sum	principal.file.md5	Dipetakan secara langsung
alert.explanation.os-changes.file.processinfo.sha1sum	principal.file.sha1	Dipetakan secara langsung
filesize	principal.file.size	Dipetakan secara langsung
Host	principal.hostname	Dipetakan secara langsung
principal_hostname	principal.hostname	Dipetakan secara langsung
sourceDnsDomain	principal.hostname	Dipetakan secara langsung
agent_info.primary_ip_address	principal.ip	Digabung
alert.src.ip	principal.ip	Digabung
host_name	principal.ip	Dipetakan secara langsung
source_info.ip	principal.ip	Digabung
src	principal.ip	Digabung
src_ip	principal.ip	Digabung
type	principal.ip	Dipetakan: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan	principal.labels	Digabung
country	principal.location.country_or_region	Dipetakan secara langsung
agent_info.primary_mac	principal.mac	Digabung
alert.src.mac	principal.mac	Digabung
appliance-id	principal.mac	Digabung
smac	principal.mac	Digabung
os_platform	principal.platform	Dipetakan: "linux","LINUX","lin" → LINUX, "windows","WINDOWS","win" → WINDOWS, `"mac","...
os_kernel_version	principal.platform_patch_level	Dipetakan secara langsung
alert.explanation.os-changes.osinfo	principal.platform_version	Dipetakan secara langsung
alert.src.port	principal.port	Dipetakan secara langsung
src_port	principal.port	Dipetakan secara langsung
alert.explanation.os-changes.file.processinfo.ppid	principal.process.parent_process.pid	Dipetakan secara langsung
alert.explanation.os-changes.file.processinfo.pid	principal.process.pid	Dipetakan secara langsung
process_id	principal.process.pid	Dipetakan secara langsung
id	principal.resource.id	Dipetakan secara langsung
email	principal.user.email_addresses	Dipetakan: ^.+@.+$ → email
s_result	security_result	Digabung
sec_result	security_result	Digabung
alert_smtp_header	security_result.about.labels	Digabung
alert_smtp_last_malware	security_result.about.labels	Digabung
alert_smtp_queue_id	security_result.about.labels	Digabung
alert_smtp_subject	security_result.about.labels	Digabung
endpoint_type_label	security_result.about.labels	Digabung
type	security_result.about.labels	Dipetakan: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → `endpoint_type...
proto	security_result.about.network.application_protocol	Dipetakan secara langsung
http_method	security_result.about.network.http.method	Dipetakan secara langsung
alert.smtp-message.id	security_result.about.resource.id	Dipetakan secara langsung
alert.src.url	security_result.about.url	Dipetakan secara langsung
temp_url	security_result.about.url	Dipetakan secara langsung
action	security_result.action	Digabung
alert.action	security_result.action_details	Dipetakan secara langsung
threat_attribution	security_result.action_details	Dipetakan secara langsung
category	security_result.category	Digabung
category_details	security_result.category_details	Digabung
group	security_result.category_details	Digabung
indicator.category	security_result.category_details	Digabung
type	security_result.category_details	Dipetakan: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act	security_result.description	Dipetakan secara langsung
indicator.name	security_result.description	Dipetakan secara langsung
ack_field	security_result.detection_fields	Digabung
analysis_field	security_result.detection_fields	Digabung
attack_mode_label	security_result.detection_fields	Digabung
build_field	security_result.detection_fields	Digabung
bytes_available_label	security_result.detection_fields	Digabung
chunk_id_label	security_result.detection_fields	Digabung
chunk_len_label	security_result.detection_fields	Digabung
chunks_label	security_result.detection_fields	Digabung
classtype_label	security_result.detection_fields	Digabung
cn1_label	security_result.detection_fields	Digabung
cnc_service_type	security_result.detection_fields	Digabung
cs1_label	security_result.detection_fields	Digabung
cs3_label	security_result.detection_fields	Digabung
cs4_label	security_result.detection_fields	Digabung
data_label	security_result.detection_fields	Digabung
detection_infection_type	security_result.detection_fields	Digabung
display_msg_label	security_result.detection_fields	Digabung
dpt_label	security_result.detection_fields	Digabung
flex_string1_Label	security_result.detection_fields	Digabung
flex_string1_label	security_result.detection_fields	Digabung
flex_string2_Label	security_result.detection_fields	Digabung
flex_string2_label	security_result.detection_fields	Digabung
header	security_result.detection_fields	Digabung
id_field	security_result.detection_fields	Digabung
job_id_label	security_result.detection_fields	Digabung
mode_field	security_result.detection_fields	Digabung
mvx_status_label	security_result.detection_fields	Digabung
qid_label	security_result.detection_fields	Digabung
request_label	security_result.detection_fields	Digabung
retroactive_field	security_result.detection_fields	Digabung
sc_version_field	security_result.detection_fields	Digabung
sequence_field	security_result.detection_fields	Digabung
sig_id_label	security_result.detection_fields	Digabung
sig_name_label	security_result.detection_fields	Digabung
sig_revision_label	security_result.detection_fields	Digabung
spt_label	security_result.detection_fields	Digabung
sub_id_label	security_result.detection_fields	Digabung
tests_downloaded_at_field	security_result.detection_fields	Digabung
tests_executed_at_field	security_result.detection_fields	Digabung
tests_name_field	security_result.detection_fields	Digabung
tests_original_field	security_result.detection_fields	Digabung
tests_sha512_field	security_result.detection_fields	Digabung
tests_sid_field	security_result.detection_fields	Digabung
tests_stype_field	security_result.detection_fields	Digabung
tests_submitted_at_field	security_result.detection_fields	Digabung
tests_type_field	security_result.detection_fields	Digabung
tid_label	security_result.detection_fields	Digabung
timestamp_field	security_result.detection_fields	Digabung
url_field	security_result.detection_fields	Digabung
value_field	security_result.detection_fields	Digabung
written_size_label	security_result.detection_fields	Digabung
alert.uuid	security_result.rule_id	Dipetakan secara langsung
alert.version	security_result.rule_version	Dipetakan secara langsung
severity	security_result.severity	Dipetakan: "low","NOTICE" → LOW, INFO → INFORMATIONAL, medium → MEDIUM, high → `H...
action_taken	security_result.summary	Dipetakan secara langsung
risk_summary	security_result.summary	Dipetakan secara langsung
alert.id	security_result.threat_id	Dipetakan secara langsung
alert.name	security_result.threat_name	Dipetakan secara langsung
ele.infection.infection-name	security_result.threat_name	Dipetakan secara langsung
threat_name	security_result.threat_name	Dipetakan secara langsung
alert.alert-url	security_result.url_back_to_product	Dipetakan secara langsung
url	security_result.url_back_to_product	Dipetakan secara langsung
dst_hostname	target.asset.hostname	Dipetakan secara langsung
dvchost	target.asset.hostname	Dipetakan secara langsung
target_hostname	target.asset.hostname	Dipetakan secara langsung
alert.dst.ip	target.asset.ip	Digabung
dst	target.asset.ip	Digabung
dst_ip	target.asset.ip	Digabung
urlMonitorEvent_remoteIpAddress	target.asset.ip	Digabung
alert.explanation.os-changes.file.processinfo.imagepath	target.file.full_path	Dipetakan secara langsung
file_fullpath	target.file.full_path	Dipetakan secara langsung
fname	target.file.full_path	Dipetakan secara langsung
agent_info.md5values	target.file.md5	Dipetakan secara langsung
ele.action.actioned-object.file-object.md5sum	target.file.md5	Dipetakan secara langsung
file_md5	target.file.md5	Dipetakan secara langsung
fileType	target.file.mime_type	Dipetakan secara langsung
ele.action.actioned-object.file-object.sha1sum	target.file.sha1	Dipetakan secara langsung
ele.action.actioned-object.file-object.sha256sum	target.file.sha256	Dipetakan secara langsung
fileHash	target.file.sha256	Dipetakan secara langsung
file_size	target.file.size	Dipetakan secara langsung
fsize	target.file.size	Dipetakan secara langsung
dst_hostname	target.hostname	Dipetakan secara langsung
dvchost	target.hostname	Dipetakan secara langsung
target_hostname	target.hostname	Dipetakan secara langsung
alert.dst.ip	target.ip	Digabung
dst	target.ip	Digabung
dst_ip	target.ip	Digabung
urlMonitorEvent_remoteIpAddress	target.ip	Digabung
alert.explanation.cnc-services.cnc-service.location	target.location.country_or_region	Dipetakan secara langsung
alert.dst.mac	target.mac	Digabung
dmac	target.mac	Digabung
alert.dst.port	target.port	Dipetakan secara langsung
dst_port	target.port	Diganti nama/dipetakan
urlMonitorEvent_remotePort	target.port	Dipetakan secara langsung
cmd	target.process.command_line	Dipetakan secara langsung
ele.action.actioned-object.file-object.file-path	target.process.file.full_path	Dipetakan secara langsung
file_event_filepath	target.process.file.full_path	Dipetakan secara langsung
process_event_process_path	target.process.file.full_path	Dipetakan secara langsung
process_path	target.process.file.full_path	Dipetakan secara langsung
urlMonitorEvent_processPath	target.process.file.full_path	Dipetakan secara langsung
md5sum_data	target.process.file.md5	Dipetakan secara langsung
process_md5	target.process.file.md5	Diganti nama/dipetakan
sha1_data	target.process.file.sha1	Dipetakan secara langsung
sha256_data	target.process.file.sha256	Dipetakan secara langsung
file_event_actor_process_path	target.process.parent_process.file.full_path	Dipetakan secara langsung
parent_process_path	target.process.parent_process.file.full_path	Dipetakan secara langsung
process_event_parent_path	target.process.parent_process.file.full_path	Dipetakan secara langsung
file_event_actor_process_pid	target.process.parent_process.pid	Dipetakan secara langsung
parent_process_pid	target.process.parent_process.pid	Dipetakan secara langsung
process_event_parentPid	target.process.parent_process.pid	Dipetakan secara langsung
alert.explanation.os-changes.file.processinfo.tid	target.process.pid	Dipetakan secara langsung
process_event_pid	target.process.pid	Dipetakan secara langsung
process_pid	target.process.pid	Dipetakan secara langsung
urlMonitorEvent_pid	target.process.pid	Dipetakan secara langsung
scanned_registry_key	target.registry.registry_key	Dipetakan secara langsung
scanned_registry_value	target.registry.registry_value_data	Dipetakan secara langsung
customer_id	target.resource.id	Dipetakan secara langsung
alert.explanation.cnc-services.cnc-service.url	target.url	Dipetakan secara langsung
email	target.user.email_addresses	Dipetakan: ^.+@.+$ → email
tar_email	target.user.email_addresses	Digabung
file_event_actor_process_username	target.user.user_display_name	Dipetakan secara langsung
process_event_username	target.user.user_display_name	Dipetakan secara langsung
urlMonitorEvent_username	target.user.user_display_name	Dipetakan secara langsung
T/A	metadata.event_type	Konstanta: GENERIC_EVENT
T/A	metadata.product_name	Konstanta: FIREEYE_ALERT
T/A	metadata.vendor_name	Konstanta: FIREEYE_ALERT
T/A	network.application_protocol	Konstanta: SMTP
T/A	principal.platform	Konstanta: WINDOWS
T/A	security_result.about.resource.type	Konstanta: Email
T/A	security_result.confidence	Konstanta: HIGH_CONFIDENCE
T/A	security_result.severity	Konstanta: LOW

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.