Raccogli i log degli avvisi di Trellix (in precedenza FireEye)

Parser Version: 10.0

Supportato in:

Questo documento spiega come importare i log degli avvisi di Trellix (precedentemente noto come FireEye) in Google Security Operations utilizzando l'agente Bindplane.

Trellix è una piattaforma di sicurezza di rete che rileva minacce avanzate, malware ed exploit zero-day. Genera log di avviso per minacce, attività dannose ed eventi di sicurezza rilevati nei formati CEF, JSON e XML.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

  • Un'istanza Google SecOps
  • Windows Server 2016 o versioni successive o host Linux con systemd
  • Connettività di rete tra l'agente Bindplane e l'appliance Trellix
  • Se l'agente viene eseguito dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
  • Accesso privilegiato all'appliance Trellix con autorizzazioni di amministratore

Recuperare il file di autenticazione dell'importazione di Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Agenti di raccolta.

  3. Scarica il file di autenticazione dell'acquisizione. Salva il file in modo sicuro sul sistema in cui verrà installato Bindplane.

Recuperare l'ID cliente Google SecOps

  1. Accedi alla console Google SecOps.
  2. Vai a Impostazioni SIEM > Profilo.

  3. Copia e salva l'ID cliente dalla sezione Dettagli dell'organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

  1. Apri Prompt dei comandi o PowerShell come amministratore.

  2. Esegui questo comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sc query observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come IN ESECUZIONE.

Installazione di Linux

  1. Apri un terminale con privilegi root o sudo.

  2. Esegui questo comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendi il completamento dell'installazione.

  4. Verifica l'installazione eseguendo:

    sudo systemctl status observiq-otel-collector

    Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Configura l'agente Bindplane per importare syslog e inviarli a Google SecOps

Individua il file di configurazione

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifica il file di configurazione

  • Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

    receivers:
    tcplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/fireeye_alert:
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: FIREEYE_ALERT
        raw_log_field: body
        ingestion_labels:
            env: production

service:
    pipelines:
        logs/fireeye_to_chronicle:
            receivers:
                - tcplog
            exporters:
                - chronicle/fireeye_alert

Parametri di configurazione

Sostituisci i seguenti segnaposto:

Configurazione del destinatario:

  • tcplog: Il tipo di ricevitore in base al protocollo:
    • udplog per UDP Syslog
    • tcplog per TCP Syslog
  • 0.0.0.0: Indirizzo IP su cui ascoltare:
    • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
    • Indirizzo IP specifico da ascoltare su un'interfaccia
  • 514: numero di porta su cui ascoltare (ad esempio, 514, 1514, 6514)

Configurazione dell'esportatore:

  • fireeye_alert: Nome descrittivo per l'esportatore
  • creds_file_path: Percorso completo del file di autenticazione dell'acquisizione:
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: l'ID cliente del passaggio precedente
  • endpoint: URL dell'endpoint regionale:
    • Stati Uniti: malachiteingestion-pa.googleapis.com
    • Europa: europe-malachiteingestion-pa.googleapis.com
    • Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
    • Per l'elenco completo, consulta Endpoint regionali.
  • FIREEYE_ALERT: Tipo di log esattamente come appare in Google SecOps
  • ingestion_labels: Etichette facoltative in formato YAML (ad esempio, env: production)

Configurazione della pipeline:

  • fireeye_to_chronicle: Nome descrittivo della pipeline

Salva il file di configurazione

  • Dopo la modifica, salva il file:
    • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X.
    • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

  • Per riavviare l'agente Bindplane in Linux, esegui questo comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica che il servizio sia in esecuzione:

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. Controlla i log per individuare eventuali errori:

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

    • Prompt dei comandi o PowerShell come amministratore:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console dei servizi:

      1. Premi Win+R, digita services.msc e premi Invio.
      2. Individua observIQ OpenTelemetry Collector.
      3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

      4. Verifica che il servizio sia in esecuzione:

        ```cmd
sc query observiq-otel-collector
```

      5. Controlla i log per individuare eventuali errori:

        ```cmd
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configurare l'inoltro di Syslog di FireEye

Le appliance FireEye (Trellix) inoltrano gli avvisi come notifiche rsyslog. Configurali dall'interfaccia utente web dell'appliance o dall'interfaccia a riga di comando dell'appliance. Entrambi i metodi producono lo stesso risultato, quindi scegli quello più adatto al tuo modello operativo.

Metodo 1: configura le notifiche rsyslog utilizzando la UI web

  1. Accedi alla UI web dell'appliance FireEye con un account con accesso Amministratore o Operatore.
  2. Vai a Impostazioni > Notifiche.
  3. Seleziona la scheda RSYSLOG.
  4. (Facoltativo) Nell'area Impostazioni Rsyslog, imposta i valori ereditati dai server configurati come Predefinito, quindi fai clic su Applica impostazioni:
    • Formato predefinito: seleziona CEF.
    • Pubblicazione predefinita: seleziona Per evento.
    • Invia come predefinito: seleziona Avviso.
  5. Nella sezione Visualizza e aggiungi server Rsyslog, fai clic su Aggiungi server Rsyslog.
  6. Fornisci i seguenti dettagli di configurazione:
    • Nome server: inserisci un nome descrittivo per la voce (ad esempio, secops-bindplane).
    • Indirizzo IP: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
    • Attivato: seleziona la casella di controllo in modo che l'appliance invii notifiche a questo server.
    • Invio: seleziona Per evento per inviare una notifica ogni volta che viene generato un avviso.
    • Notifica: seleziona Tutti gli eventi o i tipi di avvisi specifici che vuoi inoltrare.
    • Formato: seleziona CEF. Se invece selezioni JSON, scegli anche un livello di dettaglio Normale, Conciso o Esteso.
    • Invia come: seleziona Avviso.
    • Protocollo: seleziona TCP in modo che corrisponda al ricevitore tcplog configurato in precedenza. Seleziona UDP, che è l'impostazione predefinita dell'appliance, solo se hai modificato il ricevitore in udplog.

  7. Fai clic su Aggiungi nuovo server Rsyslog.

Metodo 2: configura le notifiche rsyslog utilizzando la CLI

  1. Accedi all'interfaccia a riga di comando dell'appliance FireEye con un account con accesso amministrativo o operatore.

  2. Attiva la modalità di configurazione:

    hostname > enable
hostname # configure terminal

  3. Attiva le notifiche rsyslog:

    hostname (config) # fenotify rsyslog enable

  4. Crea un sink trap per l'agente Bindplane e attivalo:

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane
hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable

  5. Imposta l'indirizzo di destinazione, il protocollo di trasporto e la porta:

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
    • <BINDPLANE_IP>: L'indirizzo IP o il nome di dominio dell'host dell'agente Bindplane.

  6. Imposta il formato del messaggio, la pianificazione di invio e la gravità:

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
    • prefer message format: utilizza cef. Per JSON, utilizza json-normal, json-concise o json-extended. Non utilizzare csv, leef o qualsiasi valore text- o xml-.
    • prefer message delivery: utilizza per-event per inviare informazioni su ogni evento quando viene attivato.
    • prefer message send-as: utilizza alert, che ha gravità 1.

  7. Seleziona gli avvisi che generano una notifica per questo sink di intercettazione:

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
    • all-events: Tutti gli eventi tranne i riskware.
    • all-riskware: gli eventi riskware-object e riskware-callback.
    • Tipi individuali: domain-match, infection-match, malware-callback, malware-object, riskware-callback, riskware-object, web-infection e ips-event su apparecchiature abilitate a IPS.

  8. Salva la configurazione:

    hostname (config) # write memory

Verificare la configurazione

  1. Per esaminare le impostazioni rsyslog attive, esegui questo comando in modalità di abilitazione:

    hostname # show fenotify rsyslog

    L'output elenca i valori di Configurazione globali, i tipi di Avvisi attivati e i valori di Consumatori per server.

  2. Per generare un evento di test dall'interfaccia utente web, vai a Impostazioni > Notifiche, seleziona un tipo di evento nell'elenco a discesa sotto la tabella e poi fai clic su Test-Fire.

  3. Per generare un evento di test dalla CLI, esegui questo comando in modalità di configurazione:

    hostname (config) # fenotify test-fire <EVENT_TYPE>

  4. Verifica che l'host dell'agente Bindplane riceva i messaggi, quindi conferma che gli eventi vengono visualizzati in Google SecOps.

Per le procedure del fornitore che seguono questi passaggi, consulta Aggiunta di server di log di sistema utilizzando la UI web, Aggiunta di server di log di sistema utilizzando la CLI, Personalizzazione delle notifiche del server di log di sistema utilizzando la CLI e Test delle notifiche di eventi IPS. Per la sintassi completa e i valori accettati di ogni comando fenotify rsyslog, consulta il riferimento ai comandi della CLI.

Tabella di mappatura UDM

Campo log Mappatura UDM Logica
additional_source additional.fields Unita
appliance_id_label additional.fields Unita
appliance_id_label_2nd additional.fields Unita
appliance_label additional.fields Unita
begin_label additional.fields Unita
cache_control_label additional.fields Unita
channel_label additional.fields Unita
content_length_label additional.fields Unita
content_type_label additional.fields Unita
cost_label additional.fields Unita
end_label additional.fields Unita
match_count_label additional.fields Unita
msg_label additional.fields Unita
success_label additional.fields Unita
dvc intermediary.asset.hostname Mappato direttamente
dvc intermediary.asset.ip Unita
msg intermediary.email Mappato direttamente
dvc intermediary.hostname Mappato direttamente
sensor intermediary.hostname Mappato direttamente
dvc intermediary.ip Unita
intermediary_host intermediary.labels Unita
dvcmac intermediary.mac Unita
desc metadata.description Mappato direttamente
description metadata.description Mappato direttamente
name metadata.description Mappato direttamente
alert.occurred metadata.event_timestamp Analizzato come yyyy-MM-dd HH:mm:ss.SSS
end metadata.event_timestamp Analizzato come MMM dd yyyy HH:mm:ss ZZZ
rt metadata.event_timestamp Analizzato come MMM dd yyyy HH:mm:ss ZZZ
start metadata.event_timestamp Analizzato come MMM dd yyyy HH:mm:ss ZZZ
event_type metadata.event_type Mappato: filewriteevent → FILE_MODIFICATION, "processevent","urlmonitorevent" → `SCAN_P…
event_type1 metadata.event_type Mappato direttamente
file_event_subtype metadata.event_type Mappato: FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info metadata.event_type Mappato: true → EMAIL_TRANSACTION
has_principal metadata.event_type Mappato: true → NETWORK_CONNECTION, true → EMAIL_TRANSACTION, true → STATUS_UPDATE
type metadata.event_type Mappato: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → STATUS_UPDATE
event_type metadata.product_event_type Mappato direttamente
type metadata.product_event_type Mappato direttamente
externalId metadata.product_log_id Mappato direttamente
product metadata.product_name Mappato direttamente
version metadata.product_version Mappato direttamente
applicationProtocol network.application_protocol Mappato direttamente
ver_proto network.application_protocol Mappato: HTTP/1.1 → HTTP
alert.src.smtp-mail-from network.email.from Mappato direttamente
mails network.email.to Unita
httpmethod network.http.method Mappato direttamente
method network.http.method Mappato direttamente
urlMonitorEvent_urlMethod network.http.method Mappato direttamente
User-Agent network.http.parsed_user_agent Rinominate/mappate
http_user_agent network.http.parsed_user_agent Rinominate/mappate
Referer network.http.referral_url Mappato direttamente
urlMonitorEvent_requestUrl network.http.referral_url Mappato direttamente
User-Agent network.http.user_agent Mappato direttamente
http_user_agent network.http.user_agent Mappato direttamente
urlMonitorEvent_userAgent network.http.user_agent Mappato direttamente
alert.explanation.cnc-services.cnc-service.protocol network.ip_protocol Mappato direttamente
alert.explanation.protocol network.ip_protocol Mappato direttamente
ver_proto network.tls.version_protocol Mappato direttamente
devicePayloadId principal.application Mappato direttamente
process principal.application Mappato direttamente
principal_hostname principal.asset.hostname Mappato direttamente
sourceDnsDomain principal.asset.hostname Mappato direttamente
agent_info.primary_ip_address principal.asset.ip Unita
alert.src.ip principal.asset.ip Unita
host_name principal.asset.ip Mappato direttamente
source_info.ip principal.asset.ip Unita
src principal.asset.ip Unita
src_ip principal.asset.ip Unita
type principal.asset.ip Mappato: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability principal.asset.vulnerabilities Unita
path principal.file.full_path Mappato direttamente
alert.explanation.os-changes.file.processinfo.md5sum principal.file.md5 Mappato direttamente
alert.explanation.os-changes.file.processinfo.sha1sum principal.file.sha1 Mappato direttamente
filesize principal.file.size Mappato direttamente
Host principal.hostname Mappato direttamente
principal_hostname principal.hostname Mappato direttamente
sourceDnsDomain principal.hostname Mappato direttamente
agent_info.primary_ip_address principal.ip Unita
alert.src.ip principal.ip Unita
host_name principal.ip Mappato direttamente
source_info.ip principal.ip Unita
src principal.ip Unita
src_ip principal.ip Unita
type principal.ip Mappato: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan principal.labels Unita
country principal.location.country_or_region Mappato direttamente
agent_info.primary_mac principal.mac Unita
alert.src.mac principal.mac Unita
appliance-id principal.mac Unita
smac principal.mac Unita
os_platform principal.platform Mappato: "linux","LINUX","lin" → LINUX, "windows","WINDOWS","win" → WINDOWS, `"mac","…
os_kernel_version principal.platform_patch_level Mappato direttamente
alert.explanation.os-changes.osinfo principal.platform_version Mappato direttamente
alert.src.port principal.port Mappato direttamente
src_port principal.port Mappato direttamente
alert.explanation.os-changes.file.processinfo.ppid principal.process.parent_process.pid Mappato direttamente
alert.explanation.os-changes.file.processinfo.pid principal.process.pid Mappato direttamente
process_id principal.process.pid Mappato direttamente
id principal.resource.id Mappato direttamente
email principal.user.email_addresses Mappato: ^.+@.+$ → email
s_result security_result Unita
sec_result security_result Unita
alert_smtp_header security_result.about.labels Unita
alert_smtp_last_malware security_result.about.labels Unita
alert_smtp_queue_id security_result.about.labels Unita
alert_smtp_subject security_result.about.labels Unita
endpoint_type_label security_result.about.labels Unita
type security_result.about.labels Mappato: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → `endpoint_type…
proto security_result.about.network.application_protocol Mappato direttamente
http_method security_result.about.network.http.method Mappato direttamente
alert.smtp-message.id security_result.about.resource.id Mappato direttamente
alert.src.url security_result.about.url Mappato direttamente
temp_url security_result.about.url Mappato direttamente
action security_result.action Unita
alert.action security_result.action_details Mappato direttamente
threat_attribution security_result.action_details Mappato direttamente
category security_result.category Unita
category_details security_result.category_details Unita
group security_result.category_details Unita
indicator.category security_result.category_details Unita
type security_result.category_details Mappato: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act security_result.description Mappato direttamente
indicator.name security_result.description Mappato direttamente
ack_field security_result.detection_fields Unita
analysis_field security_result.detection_fields Unita
attack_mode_label security_result.detection_fields Unita
build_field security_result.detection_fields Unita
bytes_available_label security_result.detection_fields Unita
chunk_id_label security_result.detection_fields Unita
chunk_len_label security_result.detection_fields Unita
chunks_label security_result.detection_fields Unita
classtype_label security_result.detection_fields Unita
cn1_label security_result.detection_fields Unita
cnc_service_type security_result.detection_fields Unita
cs1_label security_result.detection_fields Unita
cs3_label security_result.detection_fields Unita
cs4_label security_result.detection_fields Unita
data_label security_result.detection_fields Unita
detection_infection_type security_result.detection_fields Unita
display_msg_label security_result.detection_fields Unita
dpt_label security_result.detection_fields Unita
flex_string1_Label security_result.detection_fields Unita
flex_string1_label security_result.detection_fields Unita
flex_string2_Label security_result.detection_fields Unita
flex_string2_label security_result.detection_fields Unita
header security_result.detection_fields Unita
id_field security_result.detection_fields Unita
job_id_label security_result.detection_fields Unita
mode_field security_result.detection_fields Unita
mvx_status_label security_result.detection_fields Unita
qid_label security_result.detection_fields Unita
request_label security_result.detection_fields Unita
retroactive_field security_result.detection_fields Unita
sc_version_field security_result.detection_fields Unita
sequence_field security_result.detection_fields Unita
sig_id_label security_result.detection_fields Unita
sig_name_label security_result.detection_fields Unita
sig_revision_label security_result.detection_fields Unita
spt_label security_result.detection_fields Unita
sub_id_label security_result.detection_fields Unita
tests_downloaded_at_field security_result.detection_fields Unita
tests_executed_at_field security_result.detection_fields Unita
tests_name_field security_result.detection_fields Unita
tests_original_field security_result.detection_fields Unita
tests_sha512_field security_result.detection_fields Unita
tests_sid_field security_result.detection_fields Unita
tests_stype_field security_result.detection_fields Unita
tests_submitted_at_field security_result.detection_fields Unita
tests_type_field security_result.detection_fields Unita
tid_label security_result.detection_fields Unita
timestamp_field security_result.detection_fields Unita
url_field security_result.detection_fields Unita
value_field security_result.detection_fields Unita
written_size_label security_result.detection_fields Unita
alert.uuid security_result.rule_id Mappato direttamente
alert.version security_result.rule_version Mappato direttamente
severity security_result.severity Mappato: "low","NOTICE" → LOW, INFO → INFORMATIONAL, medium → MEDIUM, high → `H…
action_taken security_result.summary Mappato direttamente
risk_summary security_result.summary Mappato direttamente
alert.id security_result.threat_id Mappato direttamente
alert.name security_result.threat_name Mappato direttamente
ele.infection.infection-name security_result.threat_name Mappato direttamente
threat_name security_result.threat_name Mappato direttamente
alert.alert-url security_result.url_back_to_product Mappato direttamente
url security_result.url_back_to_product Mappato direttamente
dst_hostname target.asset.hostname Mappato direttamente
dvchost target.asset.hostname Mappato direttamente
target_hostname target.asset.hostname Mappato direttamente
alert.dst.ip target.asset.ip Unita
dst target.asset.ip Unita
dst_ip target.asset.ip Unita
urlMonitorEvent_remoteIpAddress target.asset.ip Unita
alert.explanation.os-changes.file.processinfo.imagepath target.file.full_path Mappato direttamente
file_fullpath target.file.full_path Mappato direttamente
fname target.file.full_path Mappato direttamente
agent_info.md5values target.file.md5 Mappato direttamente
ele.action.actioned-object.file-object.md5sum target.file.md5 Mappato direttamente
file_md5 target.file.md5 Mappato direttamente
fileType target.file.mime_type Mappato direttamente
ele.action.actioned-object.file-object.sha1sum target.file.sha1 Mappato direttamente
ele.action.actioned-object.file-object.sha256sum target.file.sha256 Mappato direttamente
fileHash target.file.sha256 Mappato direttamente
file_size target.file.size Mappato direttamente
fsize target.file.size Mappato direttamente
dst_hostname target.hostname Mappato direttamente
dvchost target.hostname Mappato direttamente
target_hostname target.hostname Mappato direttamente
alert.dst.ip target.ip Unita
dst target.ip Unita
dst_ip target.ip Unita
urlMonitorEvent_remoteIpAddress target.ip Unita
alert.explanation.cnc-services.cnc-service.location target.location.country_or_region Mappato direttamente
alert.dst.mac target.mac Unita
dmac target.mac Unita
alert.dst.port target.port Mappato direttamente
dst_port target.port Rinominate/mappate
urlMonitorEvent_remotePort target.port Mappato direttamente
cmd target.process.command_line Mappato direttamente
ele.action.actioned-object.file-object.file-path target.process.file.full_path Mappato direttamente
file_event_filepath target.process.file.full_path Mappato direttamente
process_event_process_path target.process.file.full_path Mappato direttamente
process_path target.process.file.full_path Mappato direttamente
urlMonitorEvent_processPath target.process.file.full_path Mappato direttamente
md5sum_data target.process.file.md5 Mappato direttamente
process_md5 target.process.file.md5 Rinominate/mappate
sha1_data target.process.file.sha1 Mappato direttamente
sha256_data target.process.file.sha256 Mappato direttamente
file_event_actor_process_path target.process.parent_process.file.full_path Mappato direttamente
parent_process_path target.process.parent_process.file.full_path Mappato direttamente
process_event_parent_path target.process.parent_process.file.full_path Mappato direttamente
file_event_actor_process_pid target.process.parent_process.pid Mappato direttamente
parent_process_pid target.process.parent_process.pid Mappato direttamente
process_event_parentPid target.process.parent_process.pid Mappato direttamente
alert.explanation.os-changes.file.processinfo.tid target.process.pid Mappato direttamente
process_event_pid target.process.pid Mappato direttamente
process_pid target.process.pid Mappato direttamente
urlMonitorEvent_pid target.process.pid Mappato direttamente
scanned_registry_key target.registry.registry_key Mappato direttamente
scanned_registry_value target.registry.registry_value_data Mappato direttamente
customer_id target.resource.id Mappato direttamente
alert.explanation.cnc-services.cnc-service.url target.url Mappato direttamente
email target.user.email_addresses Mappato: ^.+@.+$ → email
tar_email target.user.email_addresses Unita
file_event_actor_process_username target.user.user_display_name Mappato direttamente
process_event_username target.user.user_display_name Mappato direttamente
urlMonitorEvent_username target.user.user_display_name Mappato direttamente
N/D metadata.event_type Costante: GENERIC_EVENT
N/D metadata.product_name Costante: FIREEYE_ALERT
N/D metadata.vendor_name Costante: FIREEYE_ALERT
N/D network.application_protocol Costante: SMTP
N/D principal.platform Costante: WINDOWS
N/D security_result.about.resource.type Costante: Email
N/D security_result.confidence Costante: HIGH_CONFIDENCE
N/D security_result.severity Costante: LOW

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.