Raccogli i log degli avvisi di Trellix (precedentemente FireEye)

Versione parser: 10.0

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log degli avvisi di Trellix (precedentemente noto come FireEye) in Google Security Operations utilizzando l'agente Bindplane.

Trellix è una piattaforma di sicurezza di rete che rileva minacce avanzate, malware ed exploit zero-day. Genera log di avviso per minacce rilevate, attività dannose ed eventi di sicurezza nei formati CEF, JSON e XML.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Windows Server 2016 o versioni successive oppure host Linux con systemd
• Connettività di rete tra l'agente Bindplane e l'appliance Trellix
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso con privilegi all'appliance Trellix con autorizzazioni di amministratore

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.

3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

   Nota: l'ID cliente è obbligatorio per configurare l'esportatore dell'agente Bindplane.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di finestre

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sc query observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come RUNNING.

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Attendi il completamento dell'installazione.

4. Verifica l'installazione eseguendo:

   sudo systemctl status observiq-otel-collector
   

   Il servizio dovrebbe essere visualizzato come attivo (in esecuzione).

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione e risoluzione dei problemi, consulta la guida all'installazione dell'agente Bindplane.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare il syslog e inviarlo a Google SecOps

Individua il file di configurazione

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Modifica il file di configurazione

• Sostituisci l'intero contenuto di config.yaml con la seguente configurazione:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/fireeye_alert:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FIREEYE_ALERT
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/fireeye_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/fireeye_alert
  

Parametri di configurazione

Sostituisci i seguenti segnaposto:

Configurazione del ricevitore:

• tcplog: il tipo di ricevitore in base al protocollo:
  • udplog per syslog UDP
  • tcplog per syslog TCP
• 0.0.0.0: indirizzo IP su cui ascoltare:
  • 0.0.0.0 per ascoltare su tutte le interfacce (consigliato)
  • Indirizzo IP specifico per l'ascolto su un'interfaccia
• 514: il numero di porta su cui ascoltare (ad esempio 514, 1514, 6514)

Configurazione dell'esportatore:

• fireeye_alert: nome descrittivo dell'esportatore
• creds_file_path: percorso completo del file della chiave JSON del account di servizio (opzione 1):
  • Linux: /opt/observiq-otel-collector/ingestion-auth.json
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
• <customer_id>: l'ID cliente del passaggio precedente
• location: sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore aggiunge chronicle.googleapis.com come prefisso a questo valore. Per l'elenco completo, consulta Endpoint regionali.
• project: sostituisci <PROJECT_NUMBER> con il numero di progetto da IAM e amministrazione > Impostazioni.
• endpoint: mantieni l'impostazione chronicle.googleapis.com.
• FIREEYE_ALERT: tipo di log esattamente come appare in Google SecOps
• ingestion_labels: etichette facoltative in formato YAML (ad esempio, env: production)

Configurazione della pipeline:

• fireeye_to_chronicle: nome descrittivo della pipeline

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/fireeye_alert:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FIREEYE_ALERT
      raw_log_field: body
      ingestion_labels:
        env: production
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Salva il file di configurazione

• Dopo la modifica, salva il file:
  • Linux: premi Ctrl+O, poi Enter e infine Ctrl+X
  • Windows: fai clic su File > Salva.

Riavvia l'agente Bindplane per applicare le modifiche

• Per riavviare l'agente Bindplane in Linux, esegui questo comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifica che il servizio sia in esecuzione:

     ```bash
     sudo systemctl status observiq-otel-collector
     ```
     

  2. Controlla i log per verificare la presenza di errori:

     ```bash
     sudo journalctl -u observiq-otel-collector -f
     ```
     

• Per riavviare l'agente Bindplane in Windows, scegli una delle seguenti opzioni:

  • Prompt dei comandi o PowerShell come amministratore:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console Servizi:

    1. Premi Win+R, digita services.msc e premi Invio.
    2. Individua observIQ OpenTelemetry Collector.
    3. Fai clic con il tasto destro del mouse e seleziona Riavvia.

    4. Verifica che il servizio sia in esecuzione:

       ```cmd
       sc query observiq-otel-collector
       ```
       

    5. Controlla i log per verificare la presenza di errori:

       ```cmd
       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       ```
       

Configura l'inoltro del syslog FireEye

Le appliance FireEye (Trellix) inoltrano gli avvisi come notifiche rsyslog. Configurale dalla UI web o dall'interfaccia a riga di comando dell'appliance. Entrambi i metodi producono lo stesso risultato, quindi utilizza quello più adatto al tuo modello operativo.

Nota: il parser Google SecOps per questo tipo di log legge i messaggi syslog CEF, JSON e coppia chiave-valore. Seleziona CEF (consigliato) o JSON come formato di notifica. Il parser non contiene la gestione di LEEF, CSV o XML. Anche Text non è adatto, perché un messaggio che non corrisponde a nessuno dei pattern syslog dell'analizzatore sintattico e non contiene coppie chiave-valore viene ignorato in quanto non supportato.

Metodo 1: configura le notifiche rsyslog utilizzando l'interfaccia utente web

1. Accedi alla UI web dell'appliance FireEye con un account con accesso amministratore o operatore.
2. Vai a Impostazioni > Notifiche.
3. Seleziona la scheda RSYSLOG.
4. (Facoltativo) Nell'area Rsyslog Settings (Impostazioni Rsyslog), imposta i valori che i server configurati come Default (Predefinito) ereditano, quindi fai clic su Apply Settings (Applica impostazioni):
   • Formato predefinito: seleziona CEF.
   • Pubblicazione predefinita: seleziona Per evento.
   • Invia come predefinito: seleziona Avviso.
5. In Visualizza e aggiungi server Rsyslog, fai clic su Aggiungi server Rsyslog.
6. Fornisci i seguenti dettagli di configurazione:
   • Nome server: inserisci un nome descrittivo per la voce (ad esempio secops-bindplane).
   • Indirizzo IP: inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
   • Attivato: seleziona la casella di controllo in modo che l'appliance invii notifiche a questo server.
   • Pubblicazione: seleziona Per evento per inviare una notifica ogni volta che viene generato un avviso.
   • Notifica: seleziona Tutti gli eventi o i tipi di avviso specifici che vuoi inoltrare.
   • Formato: seleziona CEF. Se invece selezioni JSON, seleziona anche un livello di dettaglio tra Normale, Conciso o Esteso.
   • Invia come: seleziona Avviso.
   • Protocollo: seleziona TCP in modo che corrisponda al ricevitore tcplog configurato in precedenza. Seleziona UDP, l'impostazione predefinita dell'appliance, solo se hai modificato il ricevitore in udplog.

7. Fai clic su Add New Rsyslog Server (Aggiungi nuovo server Rsyslog).

   Nota: la UI web non ha un'impostazione della porta. L'appliance invia notifiche alla porta syslog standard (514), quindi configura il ricevitore dell'agente Bindplane in modo che ascolti sulla porta 514. Per utilizzare una porta diversa, impostala dall'interfaccia a riga di comando con fenotify rsyslog trap-sink <sink_name> port <port_number>, come descritto nel Metodo 2.

Metodo 2: configura le notifiche rsyslog utilizzando l'interfaccia a riga di comando

1. Accedi all'interfaccia a riga di comando dell'appliance FireEye con un account che dispone dell'accesso amministrativo o operatore.

2. Attiva la modalità di configurazione:

   hostname > enable
   hostname # configure terminal
   

3. Attiva le notifiche rsyslog:

   hostname (config) # fenotify rsyslog enable
   

4. Crea un sink di trap per l'agente Bindplane e attivalo:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable
   

   Nota: il nome del sink trap è un'etichetta breve senza spazi che identifica la destinazione. Riutilizza lo stesso nome in ogni comando successivo.

5. Imposta l'indirizzo di destinazione, il protocollo di trasporto e la porta:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
   

   • <BINDPLANE_IP>: l'indirizzo IP o il nome di dominio dell'host dell'agente Bindplane.
   Nota: utilizza tcp per trovare il ricevitore tcplog configurato in precedenza o udp se hai modificato il ricevitore in udplog. Imposta port sulla porta su cui il ricevitore rimane in ascolto.

6. Imposta il formato del messaggio, la pianificazione di invio e la gravità:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
   

   • prefer message format: utilizza cef. Per JSON, utilizza json-normal, json-concise o json-extended. Non utilizzare csv, leef o qualsiasi valore text- o xml-.
   • prefer message delivery: utilizza per-event per inviare informazioni su ogni evento quando viene attivato.
   • prefer message send-as: utilizza alert, che corrisponde alla gravità 1.

7. Seleziona gli avvisi che generano una notifica per questo sink trap:

   hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
   

   • all-events: tutti gli eventi ad eccezione dei riskware.
   • all-riskware: gli eventi riskware-object e riskware-callback.
   • Tipi individuali: domain-match, infection-match, malware-callback, malware-object, riskware-callback, riskware-object, web-infection e ips-event su appliance con IPS abilitato.

8. Salva la configurazione:

   hostname (config) # write memory
   

Verificare la configurazione

1. Per esaminare le impostazioni rsyslog attive, esegui questo comando in modalità di abilitazione:

   hostname # show fenotify rsyslog
   

   L'output elenca i valori globali di Configuration, i tipi di Alerts abilitati e i valori di Consumers per server.

2. Per generare un evento di test dalla UI web, vai a Impostazioni > Notifiche, seleziona un tipo di evento nell'elenco a discesa sotto la tabella e poi fai clic su Test-Fire.

3. Per generare un evento di test dall'interfaccia a riga di comando, esegui questo comando in modalità di configurazione:

   hostname (config) # fenotify test-fire <EVENT_TYPE>
   

4. Verifica che l'host dell'agente Bindplane riceva i messaggi, quindi verifica che gli eventi vengano visualizzati in Google SecOps.

   Nota: nei deployment gestiti da un'appliance di gestione centrale (CM), puoi configurare le notifiche rsyslog sull'appliance CM. Per ulteriori informazioni, consulta Configurazione dei server rsyslog utilizzando l'interfaccia utente web.
   Nota: sulle appliance Trellix Endpoint Security (HX), viene utilizzata la stessa pagina Impostazioni > Notifiche > rsyslog, ma il layout è diverso: seleziona la casella di controllo Tipo di evento, digita il nome del server nella colonna Aggiungi server Rsyslog, fai clic su Aggiungi server Rsyslog, inserisci l'indirizzo nella colonna Indirizzo IP e poi fai clic su Aggiorna. Per saperne di più, consulta Configura Trellix Endpoint Security (HX).

Per le procedure del fornitore seguite da questi passaggi, consulta Aggiunta di server di log di sistema utilizzando l'interfaccia utente web, Aggiunta di server di log di sistema utilizzando l'interfaccia a riga di comando, Personalizzazione delle notifiche del server di log di sistema utilizzando l'interfaccia a riga di comando e Test delle notifiche degli eventi IPS. Per la sintassi completa e i valori accettati di ogni comando fenotify rsyslog, consulta il riferimento ai comandi dell'interfaccia a riga di comando.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
additional_source	additional.fields	Unita
appliance_id_label	additional.fields	Unita
appliance_id_label_2nd	additional.fields	Unita
appliance_label	additional.fields	Unita
begin_label	additional.fields	Unita
cache_control_label	additional.fields	Unita
channel_label	additional.fields	Unita
content_length_label	additional.fields	Unita
content_type_label	additional.fields	Unita
cost_label	additional.fields	Unita
end_label	additional.fields	Unita
match_count_label	additional.fields	Unita
msg_label	additional.fields	Unita
success_label	additional.fields	Unita
dvc	intermediary.asset.hostname	Mappatura diretta
dvc	intermediary.asset.ip	Unita
msg	intermediary.email	Mappatura diretta
dvc	intermediary.hostname	Mappatura diretta
sensor	intermediary.hostname	Mappatura diretta
dvc	intermediary.ip	Unita
intermediary_host	intermediary.labels	Unita
dvcmac	intermediary.mac	Unita
desc	metadata.description	Mappatura diretta
description	metadata.description	Mappatura diretta
name	metadata.description	Mappatura diretta
alert.occurred	metadata.event_timestamp	Analizzato come yyyy-MM-dd HH:mm:ss.SSS
end	metadata.event_timestamp	Analizzato come MMM dd yyyy HH:mm:ss ZZZ
rt	metadata.event_timestamp	Analizzato come MMM dd yyyy HH:mm:ss ZZZ
start	metadata.event_timestamp	Analizzato come MMM dd yyyy HH:mm:ss ZZZ
event_type	metadata.event_type	Mapped: filewriteevent → FILE_MODIFICATION, "processevent","urlmonitorevent" → `SCAN_P…
event_type1	metadata.event_type	Mappatura diretta
file_event_subtype	metadata.event_type	Mappatura: FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info	metadata.event_type	Mappatura: true → EMAIL_TRANSACTION
has_principal	metadata.event_type	Mapped: true → NETWORK_CONNECTION, true → EMAIL_TRANSACTION, true → STATUS_UPDATE
type	metadata.event_type	Mappatura: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → STATUS_UPDATE
event_type	metadata.product_event_type	Mappatura diretta
type	metadata.product_event_type	Mappatura diretta
externalId	metadata.product_log_id	Mappatura diretta
product	metadata.product_name	Mappatura diretta
version	metadata.product_version	Mappatura diretta
applicationProtocol	network.application_protocol	Mappatura diretta
ver_proto	network.application_protocol	Mappatura: HTTP/1.1 → HTTP
alert.src.smtp-mail-from	network.email.from	Mappatura diretta
mails	network.email.to	Unita
httpmethod	network.http.method	Mappatura diretta
method	network.http.method	Mappatura diretta
urlMonitorEvent_urlMethod	network.http.method	Mappatura diretta
User-Agent	network.http.parsed_user_agent	Rinominato/mappato
http_user_agent	network.http.parsed_user_agent	Rinominato/mappato
Referer	network.http.referral_url	Mappatura diretta
urlMonitorEvent_requestUrl	network.http.referral_url	Mappatura diretta
User-Agent	network.http.user_agent	Mappatura diretta
http_user_agent	network.http.user_agent	Mappatura diretta
urlMonitorEvent_userAgent	network.http.user_agent	Mappatura diretta
alert.explanation.cnc-services.cnc-service.protocol	network.ip_protocol	Mappatura diretta
alert.explanation.protocol	network.ip_protocol	Mappatura diretta
ver_proto	network.tls.version_protocol	Mappatura diretta
devicePayloadId	principal.application	Mappatura diretta
process	principal.application	Mappatura diretta
principal_hostname	principal.asset.hostname	Mappatura diretta
sourceDnsDomain	principal.asset.hostname	Mappatura diretta
agent_info.primary_ip_address	principal.asset.ip	Unita
alert.src.ip	principal.asset.ip	Unita
host_name	principal.asset.ip	Mappatura diretta
source_info.ip	principal.asset.ip	Unita
src	principal.asset.ip	Unita
src_ip	principal.asset.ip	Unita
type	principal.asset.ip	Mappatura: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability	principal.asset.vulnerabilities	Unita
path	principal.file.full_path	Mappatura diretta
alert.explanation.os-changes.file.processinfo.md5sum	principal.file.md5	Mappatura diretta
alert.explanation.os-changes.file.processinfo.sha1sum	principal.file.sha1	Mappatura diretta
filesize	principal.file.size	Mappatura diretta
Host	principal.hostname	Mappatura diretta
principal_hostname	principal.hostname	Mappatura diretta
sourceDnsDomain	principal.hostname	Mappatura diretta
agent_info.primary_ip_address	principal.ip	Unita
alert.src.ip	principal.ip	Unita
host_name	principal.ip	Mappatura diretta
source_info.ip	principal.ip	Unita
src	principal.ip	Unita
src_ip	principal.ip	Unita
type	principal.ip	Mappatura: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan	principal.labels	Unita
country	principal.location.country_or_region	Mappatura diretta
agent_info.primary_mac	principal.mac	Unita
alert.src.mac	principal.mac	Unita
appliance-id	principal.mac	Unita
smac	principal.mac	Unita
os_platform	principal.platform	Mappatura: "linux","LINUX","lin" → LINUX, "windows","WINDOWS","win" → WINDOWS, `"mac","…
os_kernel_version	principal.platform_patch_level	Mappatura diretta
alert.explanation.os-changes.osinfo	principal.platform_version	Mappatura diretta
alert.src.port	principal.port	Mappatura diretta
src_port	principal.port	Mappatura diretta
alert.explanation.os-changes.file.processinfo.ppid	principal.process.parent_process.pid	Mappatura diretta
alert.explanation.os-changes.file.processinfo.pid	principal.process.pid	Mappatura diretta
process_id	principal.process.pid	Mappatura diretta
id	principal.resource.id	Mappatura diretta
email	principal.user.email_addresses	Mappatura: ^.+@.+$ → email
s_result	security_result	Unita
sec_result	security_result	Unita
alert_smtp_header	security_result.about.labels	Unita
alert_smtp_last_malware	security_result.about.labels	Unita
alert_smtp_queue_id	security_result.about.labels	Unita
alert_smtp_subject	security_result.about.labels	Unita
endpoint_type_label	security_result.about.labels	Unita
type	security_result.about.labels	Mappato: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → `endpoint_type…
proto	security_result.about.network.application_protocol	Mappatura diretta
http_method	security_result.about.network.http.method	Mappatura diretta
alert.smtp-message.id	security_result.about.resource.id	Mappatura diretta
alert.src.url	security_result.about.url	Mappatura diretta
temp_url	security_result.about.url	Mappatura diretta
action	security_result.action	Unita
alert.action	security_result.action_details	Mappatura diretta
threat_attribution	security_result.action_details	Mappatura diretta
category	security_result.category	Unita
category_details	security_result.category_details	Unita
group	security_result.category_details	Unita
indicator.category	security_result.category_details	Unita
type	security_result.category_details	Mappatura: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act	security_result.description	Mappatura diretta
indicator.name	security_result.description	Mappatura diretta
ack_field	security_result.detection_fields	Unita
analysis_field	security_result.detection_fields	Unita
attack_mode_label	security_result.detection_fields	Unita
build_field	security_result.detection_fields	Unita
bytes_available_label	security_result.detection_fields	Unita
chunk_id_label	security_result.detection_fields	Unita
chunk_len_label	security_result.detection_fields	Unita
chunks_label	security_result.detection_fields	Unita
classtype_label	security_result.detection_fields	Unita
cn1_label	security_result.detection_fields	Unita
cnc_service_type	security_result.detection_fields	Unita
cs1_label	security_result.detection_fields	Unita
cs3_label	security_result.detection_fields	Unita
cs4_label	security_result.detection_fields	Unita
data_label	security_result.detection_fields	Unita
detection_infection_type	security_result.detection_fields	Unita
display_msg_label	security_result.detection_fields	Unita
dpt_label	security_result.detection_fields	Unita
flex_string1_Label	security_result.detection_fields	Unita
flex_string1_label	security_result.detection_fields	Unita
flex_string2_Label	security_result.detection_fields	Unita
flex_string2_label	security_result.detection_fields	Unita
header	security_result.detection_fields	Unita
id_field	security_result.detection_fields	Unita
job_id_label	security_result.detection_fields	Unita
mode_field	security_result.detection_fields	Unita
mvx_status_label	security_result.detection_fields	Unita
qid_label	security_result.detection_fields	Unita
request_label	security_result.detection_fields	Unita
retroactive_field	security_result.detection_fields	Unita
sc_version_field	security_result.detection_fields	Unita
sequence_field	security_result.detection_fields	Unita
sig_id_label	security_result.detection_fields	Unita
sig_name_label	security_result.detection_fields	Unita
sig_revision_label	security_result.detection_fields	Unita
spt_label	security_result.detection_fields	Unita
sub_id_label	security_result.detection_fields	Unita
tests_downloaded_at_field	security_result.detection_fields	Unita
tests_executed_at_field	security_result.detection_fields	Unita
tests_name_field	security_result.detection_fields	Unita
tests_original_field	security_result.detection_fields	Unita
tests_sha512_field	security_result.detection_fields	Unita
tests_sid_field	security_result.detection_fields	Unita
tests_stype_field	security_result.detection_fields	Unita
tests_submitted_at_field	security_result.detection_fields	Unita
tests_type_field	security_result.detection_fields	Unita
tid_label	security_result.detection_fields	Unita
timestamp_field	security_result.detection_fields	Unita
url_field	security_result.detection_fields	Unita
value_field	security_result.detection_fields	Unita
written_size_label	security_result.detection_fields	Unita
alert.uuid	security_result.rule_id	Mappatura diretta
alert.version	security_result.rule_version	Mappatura diretta
severity	security_result.severity	Mapped: "low","NOTICE" → LOW, INFO → INFORMATIONAL, medium → MEDIUM, high → `H…
action_taken	security_result.summary	Mappatura diretta
risk_summary	security_result.summary	Mappatura diretta
alert.id	security_result.threat_id	Mappatura diretta
alert.name	security_result.threat_name	Mappatura diretta
ele.infection.infection-name	security_result.threat_name	Mappatura diretta
threat_name	security_result.threat_name	Mappatura diretta
alert.alert-url	security_result.url_back_to_product	Mappatura diretta
url	security_result.url_back_to_product	Mappatura diretta
dst_hostname	target.asset.hostname	Mappatura diretta
dvchost	target.asset.hostname	Mappatura diretta
target_hostname	target.asset.hostname	Mappatura diretta
alert.dst.ip	target.asset.ip	Unita
dst	target.asset.ip	Unita
dst_ip	target.asset.ip	Unita
urlMonitorEvent_remoteIpAddress	target.asset.ip	Unita
alert.explanation.os-changes.file.processinfo.imagepath	target.file.full_path	Mappatura diretta
file_fullpath	target.file.full_path	Mappatura diretta
fname	target.file.full_path	Mappatura diretta
agent_info.md5values	target.file.md5	Mappatura diretta
ele.action.actioned-object.file-object.md5sum	target.file.md5	Mappatura diretta
file_md5	target.file.md5	Mappatura diretta
fileType	target.file.mime_type	Mappatura diretta
ele.action.actioned-object.file-object.sha1sum	target.file.sha1	Mappatura diretta
ele.action.actioned-object.file-object.sha256sum	target.file.sha256	Mappatura diretta
fileHash	target.file.sha256	Mappatura diretta
file_size	target.file.size	Mappatura diretta
fsize	target.file.size	Mappatura diretta
dst_hostname	target.hostname	Mappatura diretta
dvchost	target.hostname	Mappatura diretta
target_hostname	target.hostname	Mappatura diretta
alert.dst.ip	target.ip	Unita
dst	target.ip	Unita
dst_ip	target.ip	Unita
urlMonitorEvent_remoteIpAddress	target.ip	Unita
alert.explanation.cnc-services.cnc-service.location	target.location.country_or_region	Mappatura diretta
alert.dst.mac	target.mac	Unita
dmac	target.mac	Unita
alert.dst.port	target.port	Mappatura diretta
dst_port	target.port	Rinominato/mappato
urlMonitorEvent_remotePort	target.port	Mappatura diretta
cmd	target.process.command_line	Mappatura diretta
ele.action.actioned-object.file-object.file-path	target.process.file.full_path	Mappatura diretta
file_event_filepath	target.process.file.full_path	Mappatura diretta
process_event_process_path	target.process.file.full_path	Mappatura diretta
process_path	target.process.file.full_path	Mappatura diretta
urlMonitorEvent_processPath	target.process.file.full_path	Mappatura diretta
md5sum_data	target.process.file.md5	Mappatura diretta
process_md5	target.process.file.md5	Rinominato/mappato
sha1_data	target.process.file.sha1	Mappatura diretta
sha256_data	target.process.file.sha256	Mappatura diretta
file_event_actor_process_path	target.process.parent_process.file.full_path	Mappatura diretta
parent_process_path	target.process.parent_process.file.full_path	Mappatura diretta
process_event_parent_path	target.process.parent_process.file.full_path	Mappatura diretta
file_event_actor_process_pid	target.process.parent_process.pid	Mappatura diretta
parent_process_pid	target.process.parent_process.pid	Mappatura diretta
process_event_parentPid	target.process.parent_process.pid	Mappatura diretta
alert.explanation.os-changes.file.processinfo.tid	target.process.pid	Mappatura diretta
process_event_pid	target.process.pid	Mappatura diretta
process_pid	target.process.pid	Mappatura diretta
urlMonitorEvent_pid	target.process.pid	Mappatura diretta
scanned_registry_key	target.registry.registry_key	Mappatura diretta
scanned_registry_value	target.registry.registry_value_data	Mappatura diretta
customer_id	target.resource.id	Mappatura diretta
alert.explanation.cnc-services.cnc-service.url	target.url	Mappatura diretta
email	target.user.email_addresses	Mappatura: ^.+@.+$ → email
tar_email	target.user.email_addresses	Unita
file_event_actor_process_username	target.user.user_display_name	Mappatura diretta
process_event_username	target.user.user_display_name	Mappatura diretta
urlMonitorEvent_username	target.user.user_display_name	Mappatura diretta
N/D	metadata.event_type	Costante: GENERIC_EVENT
N/D	metadata.product_name	Costante: FIREEYE_ALERT
N/D	metadata.vendor_name	Costante: FIREEYE_ALERT
N/D	network.application_protocol	Costante: SMTP
N/D	principal.platform	Costante: WINDOWS
N/D	security_result.about.resource.type	Costante: Email
N/D	security_result.confidence	Costante: HIGH_CONFIDENCE
N/D	security_result.severity	Costante: LOW

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.