Trellix（旧 FireEye）のアラートログを収集する

パーサーのバージョン: 10.0

以下でサポートされています。

このドキュメントでは、Bindplane エージェントを使用して Trellix（旧称 FireEye）のアラートログを Google Security Operations に取り込む方法について説明します。

Trellix は、高度な脅威、マルウェア、ゼロデイ エクスプロイトを検出するネットワーク セキュリティ プラットフォームです。検出された脅威、悪意のあるアクティビティ、セキュリティ イベントのアラートログを CEF、JSON、XML 形式で生成します。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト
  • Bindplane エージェントと Trellix アプライアンス間のネットワーク接続
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します
  • 管理者権限を持つ Trellix アプライアンスへの特権アクセス

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新しいデプロイ: Chronicle API（オプション 1）を使用します。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。鍵ファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（レガシー）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。

  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者として コマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

    サービスが RUNNING と表示されます。

Linux のインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

    サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

Syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fireeye_alert:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: FIREEYE_ALERT
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/fireeye_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/fireeye_alert

構成パラメータ

各プレースホルダを次のように置き換えます。

レシーバーの構成:

  • tcplog: プロトコルに基づくレシーバー タイプ。
    • UDP Syslog の udplog
    • tcplog（TCP syslog の場合）
  • 0.0.0.0: リッスンする IP アドレス。
    • 0.0.0.0: すべてのインターフェースでリッスンします（推奨）。
    • 1 つのインターフェースでリッスンする特定の IP アドレス
  • 514: リッスンするポート番号（514、1514、6514 など）

エクスポータの構成:

  • fireeye_alert: エクスポータのわかりやすい名前
  • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • <customer_id>: 前のステップの顧客 ID
  • location: <LOCATION> は、Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポーターは、chronicle.googleapis.com の先頭にこの値を付加します。完全なリストについては、リージョン エンドポイントをご覧ください。
  • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
  • endpoint: chronicle.googleapis.com に設定したままにします。
  • FIREEYE_ALERT: Google SecOps に表示されるログタイプ
  • ingestion_labels: YAML 形式の省略可能なラベル（例: env: production）

パイプライン構成:

  • fireeye_to_chronicle: パイプラインのわかりやすい名前

以前の Ingestion API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/fireeye_alert:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FIREEYE_ALERT
    raw_log_field: body
    ingestion_labels:
      env: production

構成ファイルを保存する

  • 編集後、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順に押します。
    • Windows: [ファイル> 保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

  • Linux で Bindplane エージェントを再起動するには、次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

    1. サービスが実行されていることを確認します。

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. ログでエラーを確認します。

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • Windows で Bindplane エージェントを再起動するには、次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。

      net stop observiq-otel-collector && net start observiq-otel-collector

    • サービス コンソール:

      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

      4. サービスが実行されていることを確認します。

        ```cmd
sc query observiq-otel-collector
```

      5. ログでエラーを確認します。

        ```cmd
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

FireEye syslog 転送を構成する

FireEye（Trellix）アプライアンスは、アラートを rsyslog 通知として転送します。アプライアンスのウェブ UI またはアプライアンスのコマンドライン インターフェースから構成します。どちらの方法でも同じ結果が得られるため、運用モデルに適した方法を使用してください。

方法 1: ウェブ UI を使用して rsyslog 通知を構成する

  1. 管理者またはオペレーターのアクセス権を持つアカウントで FireEye アプライアンスのウェブ UI にログインします。
  2. [Settings] > [Notifications] に移動します。
  3. [RSYSLOG] タブを選択します。
  4. 省略可: [Rsyslog Settings] 領域で、[Default] として構成されたサーバーが継承する値を設定し、[Apply Settings] をクリックします。
    • デフォルトの形式: [CEF] を選択します。
    • デフォルトの配信: [イベントごと] を選択します。
    • デフォルトの送信方法: [アラート] を選択します。
  5. [View and add Rsyslog Servers] で、[Add Rsyslog Server] をクリックします。
  6. 次の構成情報を指定します。
    • サーバー名: エントリのわかりやすい名前を入力します（例: secops-bindplane）。
    • IP アドレス: Bindplane エージェント ホストの IP アドレスを入力します（例: 192.168.1.100）。
    • Enabled: アプライアンスがこのサーバーに通知を送信するように、チェックボックスをオンにします。
    • 配信: アラートが生成されるたびに通知を送信するには、[イベントごと] を選択します。
    • 通知: [すべてのイベント] を選択するか、転送する特定のアラートタイプを選択します。
    • 形式: [CEF] を選択します。[JSON] を選択した場合は、詳細レベルとして [標準]、[簡潔]、[拡張] のいずれかを選択します。
    • Send as: [Alert] を選択します。
    • プロトコル: [TCP] を選択して、前に構成した tcplog レシーバーと一致させます。アプライアンスのデフォルトである UDP を選択するのは、受信機を udplog に変更した場合のみです。

  7. [Add New Rsyslog Server] をクリックします。

方法 2: CLI を使用して rsyslog 通知を構成する

  1. 管理者権限またはオペレーター権限を持つアカウントで、FireEye アプライアンスのコマンドライン インターフェースにログインします。

  2. 設定モードに移行します。

    hostname > enable
hostname # configure terminal

  3. rsyslog 通知を有効にします。

    hostname (config) # fenotify rsyslog enable

  4. Bindplane エージェントのトラップ シンクを作成して有効にします。

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane
hostname (config) # fenotify rsyslog trap-sink secops-bindplane enable

  5. 宛先アドレス、トランスポート プロトコル、ポートを設定します。

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane address <BINDPLANE_IP>
hostname (config) # fenotify rsyslog trap-sink secops-bindplane protocol tcp
hostname (config) # fenotify rsyslog trap-sink secops-bindplane port 514
    • <BINDPLANE_IP>: Bindplane エージェント ホストの IP アドレスまたはドメイン名。

  6. メッセージの形式、配信スケジュール、重大度を設定します。

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message format cef
hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message delivery per-event
hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer message send-as alert
    • prefer message format: cef を使用します。JSON の場合は、json-normal、json-concise、json-extended を使用します。csv、leef、text-、xml- の値は使用しないでください。
    • prefer message delivery: イベントがトリガーされたときに、per-event を使用して各イベントに関する情報を送信します。
    • prefer message send-as: alert（重大度 1）を使用します。

  7. このトラップ シンクの通知を生成するアラートを選択します。

    hostname (config) # fenotify rsyslog trap-sink secops-bindplane prefer notification all-events
    • all-events: リスクウェアを除くすべてのイベント。
    • all-riskware: riskware-object イベントと riskware-callback イベント。
    • 個別のタイプ: domain-match、infection-match、malware-callback、malware-object、riskware-callback、riskware-object、web-infection、ips-event（IPS 対応アプライアンス）。

  8. 構成を保存します。

    hostname (config) # write memory

構成を確認する

  1. アクティブな rsyslog 設定を確認するには、有効モードで次のコマンドを実行します。

    hostname # show fenotify rsyslog

    出力には、グローバルな [Configuration] 値、有効な [Alerts] タイプ、サーバーごとの [Consumers] 値が一覧表示されます。

  2. ウェブ UI からテストイベントを生成するには、[設定] > [通知] に移動し、表の下のプルダウン リストでイベントタイプを選択して、[Test-Fire] をクリックします。

  3. 代わりに CLI からテストイベントを生成するには、構成モードで次のコマンドを実行します。

    hostname (config) # fenotify test-fire <EVENT_TYPE>

  4. Bindplane エージェント ホストがメッセージを受信したことを確認し、イベントが Google SecOps に表示されることを確認します。

これらの手順に続くベンダーの手順については、ウェブ UI を使用してシステムログ サーバーを追加する、CLI を使用してシステムログ サーバーを追加する、CLI を使用してシステムログ サーバーの通知をカスタマイズする、IPS イベント通知をテストするをご覧ください。完全な構文と、すべての fenotify rsyslog コマンドで指定できる値については、CLI コマンド リファレンスをご覧ください。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
additional_source additional.fields 統合済み
appliance_id_label additional.fields 統合済み
appliance_id_label_2nd additional.fields 統合済み
appliance_label additional.fields 統合済み
begin_label additional.fields 統合済み
cache_control_label additional.fields 統合済み
channel_label additional.fields 統合済み
content_length_label additional.fields 統合済み
content_type_label additional.fields 統合済み
cost_label additional.fields 統合済み
end_label additional.fields 統合済み
match_count_label additional.fields 統合済み
msg_label additional.fields 統合済み
success_label additional.fields 統合済み
dvc intermediary.asset.hostname 直接マッピングされます。
dvc intermediary.asset.ip 統合済み
msg intermediary.email 直接マッピングされます。
dvc intermediary.hostname 直接マッピングされます。
sensor intermediary.hostname 直接マッピングされます。
dvc intermediary.ip 統合済み
intermediary_host intermediary.labels 統合済み
dvcmac intermediary.mac 統合済み
desc metadata.description 直接マッピングされます。
description metadata.description 直接マッピングされます。
name metadata.description 直接マッピングされます。
alert.occurred metadata.event_timestamp yyyy-MM-dd HH:mm:ss.SSS として解析
end metadata.event_timestamp MMM dd yyyy HH:mm:ss ZZZ として解析済み
rt metadata.event_timestamp MMM dd yyyy HH:mm:ss ZZZ として解析済み
start metadata.event_timestamp MMM dd yyyy HH:mm:ss ZZZ として解析
event_type metadata.event_type マッピング: filewriteevent → FILE_MODIFICATION、"processevent","urlmonitorevent" → `SCAN_P...
event_type1 metadata.event_type 直接マッピングされます。
file_event_subtype metadata.event_type マッピング: FILE_OPERATION_CLOSED → SCAN_PROCESS
has_email_info metadata.event_type マッピング済み: true → EMAIL_TRANSACTION
has_principal metadata.event_type マッピング: true → NETWORK_CONNECTION、true → EMAIL_TRANSACTION、true → STATUS_UPDATE
type metadata.event_type マッピング済み: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → STATUS_UPDATE
event_type metadata.product_event_type 直接マッピングされます。
type metadata.product_event_type 直接マッピングされます。
externalId metadata.product_log_id 直接マッピングされます。
product metadata.product_name 直接マッピングされます。
version metadata.product_version 直接マッピングされます。
applicationProtocol network.application_protocol 直接マッピングされます。
ver_proto network.application_protocol マッピング: HTTP/1.1 → HTTP
alert.src.smtp-mail-from network.email.from 直接マッピングされます。
mails network.email.to 統合済み
httpmethod network.http.method 直接マッピングされます。
method network.http.method 直接マッピングされます。
urlMonitorEvent_urlMethod network.http.method 直接マッピングされます。
User-Agent network.http.parsed_user_agent 名前変更/マッピング
http_user_agent network.http.parsed_user_agent 名前変更/マッピング
Referer network.http.referral_url 直接マッピングされます。
urlMonitorEvent_requestUrl network.http.referral_url 直接マッピングされます。
User-Agent network.http.user_agent 直接マッピングされます。
http_user_agent network.http.user_agent 直接マッピングされます。
urlMonitorEvent_userAgent network.http.user_agent 直接マッピングされます。
alert.explanation.cnc-services.cnc-service.protocol network.ip_protocol 直接マッピングされます。
alert.explanation.protocol network.ip_protocol 直接マッピングされます。
ver_proto network.tls.version_protocol 直接マッピングされます。
devicePayloadId principal.application 直接マッピングされます。
process principal.application 直接マッピングされます。
principal_hostname principal.asset.hostname 直接マッピングされます。
sourceDnsDomain principal.asset.hostname 直接マッピングされます。
agent_info.primary_ip_address principal.asset.ip 統合済み
alert.src.ip principal.asset.ip 統合済み
host_name principal.asset.ip 直接マッピングされます。
source_info.ip principal.asset.ip 統合済み
src principal.asset.ip 統合済み
src_ip principal.asset.ip 統合済み
type principal.asset.ip マッピング: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
vulnerability principal.asset.vulnerabilities 統合済み
path principal.file.full_path 直接マッピングされます。
alert.explanation.os-changes.file.processinfo.md5sum principal.file.md5 直接マッピングされます。
alert.explanation.os-changes.file.processinfo.sha1sum principal.file.sha1 直接マッピングされます。
filesize principal.file.size 直接マッピングされます。
Host principal.hostname 直接マッピングされます。
principal_hostname principal.hostname 直接マッピングされます。
sourceDnsDomain principal.hostname 直接マッピングされます。
agent_info.primary_ip_address principal.ip 統合済み
alert.src.ip principal.ip 統合済み
host_name principal.ip 直接マッピングされます。
source_info.ip principal.ip 統合済み
src principal.ip 統合済み
src_ip principal.ip 統合済み
type principal.ip マッピング: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → source_info.ip
prinicipal_vlan principal.labels 統合済み
country principal.location.country_or_region 直接マッピングされます。
agent_info.primary_mac principal.mac 統合済み
alert.src.mac principal.mac 統合済み
appliance-id principal.mac 統合済み
smac principal.mac 統合済み
os_platform principal.platform マッピング済み: "linux","LINUX","lin" → LINUX、"windows","WINDOWS","win" → WINDOWS、`"mac","...
os_kernel_version principal.platform_patch_level 直接マッピングされます。
alert.explanation.os-changes.osinfo principal.platform_version 直接マッピングされます。
alert.src.port principal.port 直接マッピングされます。
src_port principal.port 直接マッピングされます。
alert.explanation.os-changes.file.processinfo.ppid principal.process.parent_process.pid 直接マッピングされます。
alert.explanation.os-changes.file.processinfo.pid principal.process.pid 直接マッピングされます。
process_id principal.process.pid 直接マッピングされます。
id principal.resource.id 直接マッピングされます。
email principal.user.email_addresses マッピング済み: ^.+@.+$ → email
s_result security_result 統合済み
sec_result security_result 統合済み
alert_smtp_header security_result.about.labels 統合済み
alert_smtp_last_malware security_result.about.labels 統合済み
alert_smtp_queue_id security_result.about.labels 統合済み
alert_smtp_subject security_result.about.labels 統合済み
endpoint_type_label security_result.about.labels 統合済み
type security_result.about.labels マッピング: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → `endpoint_type...
proto security_result.about.network.application_protocol 直接マッピングされます。
http_method security_result.about.network.http.method 直接マッピングされます。
alert.smtp-message.id security_result.about.resource.id 直接マッピングされます。
alert.src.url security_result.about.url 直接マッピングされます。
temp_url security_result.about.url 直接マッピングされます。
action security_result.action 統合済み
alert.action security_result.action_details 直接マッピングされます。
threat_attribution security_result.action_details 直接マッピングされます。
category security_result.category 統合済み
category_details security_result.category_details 統合済み
group security_result.category_details 統合済み
indicator.category security_result.category_details 統合済み
type security_result.category_details マッピング: "Event::Endpoint::UpdateSuccess","Event::Endpoint::UpdateFailure" → group
act security_result.description 直接マッピングされます。
indicator.name security_result.description 直接マッピングされます。
ack_field security_result.detection_fields 統合済み
analysis_field security_result.detection_fields 統合済み
attack_mode_label security_result.detection_fields 統合済み
build_field security_result.detection_fields 統合済み
bytes_available_label security_result.detection_fields 統合済み
chunk_id_label security_result.detection_fields 統合済み
chunk_len_label security_result.detection_fields 統合済み
chunks_label security_result.detection_fields 統合済み
classtype_label security_result.detection_fields 統合済み
cn1_label security_result.detection_fields 統合済み
cnc_service_type security_result.detection_fields 統合済み
cs1_label security_result.detection_fields 統合済み
cs3_label security_result.detection_fields 統合済み
cs4_label security_result.detection_fields 統合済み
data_label security_result.detection_fields 統合済み
detection_infection_type security_result.detection_fields 統合済み
display_msg_label security_result.detection_fields 統合済み
dpt_label security_result.detection_fields 統合済み
flex_string1_Label security_result.detection_fields 統合済み
flex_string1_label security_result.detection_fields 統合済み
flex_string2_Label security_result.detection_fields 統合済み
flex_string2_label security_result.detection_fields 統合済み
header security_result.detection_fields 統合済み
id_field security_result.detection_fields 統合済み
job_id_label security_result.detection_fields 統合済み
mode_field security_result.detection_fields 統合済み
mvx_status_label security_result.detection_fields 統合済み
qid_label security_result.detection_fields 統合済み
request_label security_result.detection_fields 統合済み
retroactive_field security_result.detection_fields 統合済み
sc_version_field security_result.detection_fields 統合済み
sequence_field security_result.detection_fields 統合済み
sig_id_label security_result.detection_fields 統合済み
sig_name_label security_result.detection_fields 統合済み
sig_revision_label security_result.detection_fields 統合済み
spt_label security_result.detection_fields 統合済み
sub_id_label security_result.detection_fields 統合済み
tests_downloaded_at_field security_result.detection_fields 統合済み
tests_executed_at_field security_result.detection_fields 統合済み
tests_name_field security_result.detection_fields 統合済み
tests_original_field security_result.detection_fields 統合済み
tests_sha512_field security_result.detection_fields 統合済み
tests_sid_field security_result.detection_fields 統合済み
tests_stype_field security_result.detection_fields 統合済み
tests_submitted_at_field security_result.detection_fields 統合済み
tests_type_field security_result.detection_fields 統合済み
tid_label security_result.detection_fields 統合済み
timestamp_field security_result.detection_fields 統合済み
url_field security_result.detection_fields 統合済み
value_field security_result.detection_fields 統合済み
written_size_label security_result.detection_fields 統合済み
alert.uuid security_result.rule_id 直接マッピングされます。
alert.version security_result.rule_version 直接マッピングされます。
severity security_result.severity マッピング済み: "low","NOTICE" → LOW、INFO → INFORMATIONAL、medium → MEDIUM、high → `H...
action_taken security_result.summary 直接マッピングされます。
risk_summary security_result.summary 直接マッピングされます。
alert.id security_result.threat_id 直接マッピングされます。
alert.name security_result.threat_name 直接マッピングされます。
ele.infection.infection-name security_result.threat_name 直接マッピングされます。
threat_name security_result.threat_name 直接マッピングされます。
alert.alert-url security_result.url_back_to_product 直接マッピングされます。
url security_result.url_back_to_product 直接マッピングされます。
dst_hostname target.asset.hostname 直接マッピングされます。
dvchost target.asset.hostname 直接マッピングされます。
target_hostname target.asset.hostname 直接マッピングされます。
alert.dst.ip target.asset.ip 統合済み
dst target.asset.ip 統合済み
dst_ip target.asset.ip 統合済み
urlMonitorEvent_remoteIpAddress target.asset.ip 統合済み
alert.explanation.os-changes.file.processinfo.imagepath target.file.full_path 直接マッピングされます。
file_fullpath target.file.full_path 直接マッピングされます。
fname target.file.full_path 直接マッピングされます。
agent_info.md5values target.file.md5 直接マッピングされます。
ele.action.actioned-object.file-object.md5sum target.file.md5 直接マッピングされます。
file_md5 target.file.md5 直接マッピングされます。
fileType target.file.mime_type 直接マッピングされます。
ele.action.actioned-object.file-object.sha1sum target.file.sha1 直接マッピングされます。
ele.action.actioned-object.file-object.sha256sum target.file.sha256 直接マッピングされます。
fileHash target.file.sha256 直接マッピングされます。
file_size target.file.size 直接マッピングされます。
fsize target.file.size 直接マッピングされます。
dst_hostname target.hostname 直接マッピングされます。
dvchost target.hostname 直接マッピングされます。
target_hostname target.hostname 直接マッピングされます。
alert.dst.ip target.ip 統合済み
dst target.ip 統合済み
dst_ip target.ip 統合済み
urlMonitorEvent_remoteIpAddress target.ip 統合済み
alert.explanation.cnc-services.cnc-service.location target.location.country_or_region 直接マッピングされます。
alert.dst.mac target.mac 統合済み
dmac target.mac 統合済み
alert.dst.port target.port 直接マッピングされます。
dst_port target.port 名前変更/マッピング
urlMonitorEvent_remotePort target.port 直接マッピングされます。
cmd target.process.command_line 直接マッピングされます。
ele.action.actioned-object.file-object.file-path target.process.file.full_path 直接マッピングされます。
file_event_filepath target.process.file.full_path 直接マッピングされます。
process_event_process_path target.process.file.full_path 直接マッピングされます。
process_path target.process.file.full_path 直接マッピングされます。
urlMonitorEvent_processPath target.process.file.full_path 直接マッピングされます。
md5sum_data target.process.file.md5 直接マッピングされます。
process_md5 target.process.file.md5 名前変更/マッピング
sha1_data target.process.file.sha1 直接マッピングされます。
sha256_data target.process.file.sha256 直接マッピングされます。
file_event_actor_process_path target.process.parent_process.file.full_path 直接マッピングされます。
parent_process_path target.process.parent_process.file.full_path 直接マッピングされます。
process_event_parent_path target.process.parent_process.file.full_path 直接マッピングされます。
file_event_actor_process_pid target.process.parent_process.pid 直接マッピングされます。
parent_process_pid target.process.parent_process.pid 直接マッピングされます。
process_event_parentPid target.process.parent_process.pid 直接マッピングされます。
alert.explanation.os-changes.file.processinfo.tid target.process.pid 直接マッピングされます。
process_event_pid target.process.pid 直接マッピングされます。
process_pid target.process.pid 直接マッピングされます。
urlMonitorEvent_pid target.process.pid 直接マッピングされます。
scanned_registry_key target.registry.registry_key 直接マッピングされます。
scanned_registry_value target.registry.registry_value_data 直接マッピングされます。
customer_id target.resource.id 直接マッピングされます。
alert.explanation.cnc-services.cnc-service.url target.url 直接マッピングされます。
email target.user.email_addresses マッピング済み: ^.+@.+$ → email
tar_email target.user.email_addresses 統合済み
file_event_actor_process_username target.user.user_display_name 直接マッピングされます。
process_event_username target.user.user_display_name 直接マッピングされます。
urlMonitorEvent_username target.user.user_display_name 直接マッピングされます。
なし metadata.event_type 定数: GENERIC_EVENT
なし metadata.product_name 定数: FIREEYE_ALERT
なし metadata.vendor_name 定数: FIREEYE_ALERT
なし network.application_protocol 定数: SMTP
なし principal.platform 定数: WINDOWS
なし security_result.about.resource.type 定数: Email
なし security_result.confidence 定数: HIGH_CONFIDENCE
なし security_result.severity 定数: LOW

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。