Trellix Email Security-Logs (ehemals FireEye eMPS) erfassen

Parserversion:16.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Trellix Email Security-Logs (früher FireEye eMPS) mit Bindplane in Google Security Operations aufnehmen.

Trellix Email Security ist ein Gerät für E‑Mail-Sicherheit, das Organisationen vor komplexen E‑Mail-Bedrohungen wie Spear-Phishing, Malware und gezielten Angriffen schützt, indem E‑Mail-Inhalte und ‑Anhänge in Echtzeit analysiert werden.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen Bindplane-Agent und FireEye eMPS-Appliance
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die FireEye eMPS-Appliance-Befehlszeile (Administrator- oder Operatorrolle)
  • FireEye eMPS-Appliance mit Syslog-Benachrichtigungsfunktion

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Collection Agent auf.
  3. Klicken Sie auf Herunterladen, um die Authentifizierungsdatei für die Aufnahme herunterzuladen.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Warte, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

  • Linux:/opt/observiq-otel-collector/config.yaml
  • Windows:C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

Konfigurationsdatei bearbeiten

  • Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fireeye_emps:
    compression: gzip
    creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FIREEYE_EMPS
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/fireeye_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/fireeye_emps

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • Der Empfänger ist für UDP-Syslog an Port 514 konfiguriert.
    • Wenn Sie unter Linux einen Port ohne Berechtigungen verwenden möchten, ändern Sie 514 in 1514 oder höher.
    • Wenn Sie TCP anstelle von UDP verwenden möchten, ersetzen Sie udplog durch tcplog.

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme.
    • YOUR_CUSTOMER_ID: Ersetzen Sie diese durch Ihre tatsächliche Kundennummer.
    • endpoint: Regionale Endpunkt-URL (z.B. malachiteingestion-pa.googleapis.com).
    • log_type: Muss genau FIREEYE_EMPS sein.
    • ingestion_labels: Optionale Labels im YAML-Format.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agent unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector

  3. Logs auf Fehler prüfen:

    sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agent unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Services Console:
      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sc query observiq-otel-collector

  3. Logs auf Fehler prüfen:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für FireEye eMPS konfigurieren

Auf die FireEye eMPS CLI zugreifen

  1. Stellen Sie über SSH oder die Konsole eine Verbindung zur FireEye eMPS-Appliance her.
  2. Melden Sie sich an und aktivieren Sie den Aktivierungsmodus: hostname> enable
  3. Konfigurationsmodus aufrufen: hostname# configure terminal

Syslog-Server konfigurieren

  1. Fügen Sie den Bindplane-Agenten als Syslog-Trap-Ziel hinzu: hostname(config)# fenotify rsyslog trap-sink chronicle address <BINDPLANE_IP_ADDRESS>
  2. Legen Sie das Syslog-Format auf CEF fest: hostname(config)# fenotify rsyslog trap-sink chronicle prefer message format cef
  3. Stellen Sie die Syslog-Einrichtung auf „local4“ ein (empfohlen): hostname(config)# fenotify rsyslog default facility local4
  4. Legen Sie den Bereitstellungsmodus fest: hostname(config)# fenotify rsyslog trap-sink chronicle message delivery per-event
  5. Legen Sie den Schweregrad der Benachrichtigung fest: hostname(config)# fenotify rsyslog trap-sink chronicle prefer message send-as alert
  6. Legen Sie das Protokoll fest: hostname(config)# fenotify rsyslog trap-sink chronicle protocol udp
  7. Legen Sie den Port fest: hostname(config)# fenotify rsyslog trap-sink chronicle port 514

Syslog-Benachrichtigungen aktivieren

  1. rsyslog-Benachrichtigungen global aktivieren: hostname(config)# fenotify rsyslog enable
  2. Globale Benachrichtigungen aktivieren: hostname(config)# fenotify enable

  3. Bestimmte Benachrichtigungstypen aktivieren:

    hostname(config)# fenotify rsyslog alert malware-object enable
hostname(config)# fenotify rsyslog alert malware-callback enable
hostname(config)# fenotify rsyslog alert infection-match enable
hostname(config)# fenotify rsyslog alert domain-match enable

  4. Konfiguration prüfen: hostname(config)# show fenotify alerts

  5. Speichern und beenden:

    hostname(config)# write memory
hostname(config)# exit
hostname# exit

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
about.asset.asset_id Zusammengesetzt aus device_vendor, device_product und deviceExternalId
über über Zusammengeführt aus „about_token“
about.file.full_path about.file.full_path Wert direkt kopiert
about.file.sha256 about.file.sha256 Wert direkt kopiert
about.file.size about.file.size Wert direkt kopiert
about.hostname about.hostname Wert direkt kopiert
about.ip about.ip Zusammengeführt aus dem Array „ips“
about.mac about.mac Wert aus dvcmac, falls gültige MAC-Adresse, andernfalls aus mac_address
about.nat_ip about.nat_ip Wert direkt aus „deviceTranslatedAddress“ kopiert
about.process.command_line about.process.command_line Wert aus „Subject“, falls nicht leer, andernfalls „Emne“, andernfalls „Path“
about.process.file.full_path about.process.file.full_path Wert direkt kopiert
about.process.pid about.process.pid Wert direkt kopiert
about.resource.attribute.permissions about.resource.attribute.permissions Wert direkt aus Berechtigungen kopiert
zusätzlich zusätzlich Direkt umbenannt
additional_cfp1 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cfp2 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cfp3 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cfp4 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cn1 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cn2 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cn3 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cs1 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cs2 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cs3 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cs4 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cs5 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cs6 additional.fields In zusätzlichen Feldern zusammengeführt
additional_cs7 additional.fields In zusätzlichen Feldern zusammengeführt
additional_devicePayloadId additional.fields In zusätzlichen Feldern zusammengeführt
additional_eventId additional.fields In zusätzlichen Feldern zusammengeführt
additional_fname additional.fields In zusätzlichen Feldern zusammengeführt
additional_flexString1 additional.fields In zusätzlichen Feldern zusammengeführt
additional_flexString2 additional.fields In zusätzlichen Feldern zusammengeführt
app_protocol_output network.application_protocol Wert direkt kopiert
cs1Label, cs1 additional.fields Schlüssel aus cs1Label, Wert aus cs1
cs2Label, cs2 additional.fields Schlüssel aus cs2Label, Wert aus cs2
cs3Label, cs3 additional.fields Schlüssel aus „cs3Label“, Wert aus „cs3“
cs4Label, cs4 additional.fields Schlüssel aus cs4Label, Wert aus cs4
cs5Label, cs5 additional.fields Schlüssel aus cs5Label, Wert aus cs5
cs6Label, cs6 additional.fields Schlüssel aus cs6Label, Wert aus cs6
cs7Label, cs7 additional.fields Schlüssel aus „cs7Label“, Wert aus „cs7“
cfp1Label, cfp1 additional.fields Schlüssel aus „cfp1Label“, Wert aus „cfp1“
cfp2Label, cfp2 additional.fields Schlüssel aus „cfp2Label“, Wert aus „cfp2“
cfp3Label, cfp3 additional.fields Schlüssel aus „cfp3Label“, Wert aus „cfp3“
cfp4Label, cfp4 additional.fields Schlüssel aus „cfp4Label“, Wert aus „cfp4“
cn1Label, cn1 additional.fields Schlüssel aus cn1Label, Wert aus cn1
cn2Label, cn2 additional.fields Schlüssel aus cn2Label, Wert aus cn2
cn3Label, cn3 additional.fields Schlüssel aus cn3Label, Wert aus cn3
customer_label security_result.detection_fields In Erkennungsfelder zusammengeführt
destination_translated_address target.nat_ip Wert direkt kopiert
device_name_not_present, Enhetsnavn principal.hostname Wert aus „Device_name“, falls nicht leer, andernfalls „Enhetsnavn“
deviceExternalId about.asset.asset_id Teil der Verkettung
devicePayloadId additional.fields Schlüssel als „devicePayloadId“, Wert kopiert
deviceTranslatedAddress about.nat_ip Wert direkt kopiert
device_vendor about.asset.asset_id Teil der Verkettung
device_product about.asset.asset_id Teil der Verkettung
device_version metadata.product_version Wert direkt kopiert
device_event_class_id, event_name metadata.product_event_type Verkettet als [%{device_event_class_id}] – %{event_name}, wenn beide vorhanden sind, andernfalls device_event_class_id oder event_name
device_process_name about.process.command_line Wert direkt kopiert
device_vendor metadata.vendor_name Wert direkt kopiert
device_product metadata.product_name Wert direkt kopiert
dhost target.hostname Wert direkt kopiert
dmac target.mac Wert direkt kopiert
dntdom target.administrative_domain Wert direkt kopiert
dpid target.process.pid Wert direkt kopiert
dproc target.process.command_line Wert direkt kopiert
dst target.asset.ip Wert direkt kopiert
dst_ip target.ip Wert direkt kopiert
duid target.user.userid Wert aus „temp_duid“ nach dem Extrahieren mit „grok“
duser target.user.user_display_name Wert direkt kopiert
dvchost about.hostname Wert direkt kopiert
deviceNtDomain about.administrative_domain Wert direkt kopiert
dvcmac about.mac Wert aus dvcmac, wenn gültige MAC-Adresse
dvc_mac about.mac Wert aus „dvc_mac“, wenn gültige MAC-Adresse
eventId additional.fields Schlüssel als „eventId“, Wert kopiert
eventid additional.fields Schlüssel als eventId, Wert aus eventid
externalId metadata.product_log_id Wert direkt kopiert
externalID_value metadata.product_log_id Wert direkt kopiert
file_full_path metadata.event_type Auf PROCESS_UNCATEGORIZED festlegen, wenn „file_full_path“ nicht leer ist
fileHash about.file.sha256 Der Wert wird direkt kopiert, wenn es sich nicht um einen Hash handelt. Andernfalls wird „about.file.full_path“ kopiert.
filePath about.file.full_path Wert direkt kopiert
fileType about.file.mime_type Wert direkt kopiert
flexString1Label, flexString1 additional.fields Schlüssel aus flexString1Label, Wert aus flexString1
flexString2Label, flexString2 additional.fields Schlüssel aus flexString2Label, Wert aus flexString2
fname additional.fields Schlüssel als fname, Wert kopiert
Generiert metadata.event_timestamp Konvertiert mit dem Datumsabgleich JJJJ-MM-TTTHH:mm:ss
Generert metadata.event_timestamp Konvertiert mit dem Datumsabgleich JJJJ-MM-TTTHH:mm:ss
Group_name principal.group.group_display_name Wert direkt kopiert
Gruppenavn principal.group.group_display_name Wert aus „Gruppenavn“, wenn „Group_name“ leer ist
infection_channel_label security_result.detection_fields In Erkennungsfelder zusammengeführt
in network.received_bytes In „uinteger“ umgewandelt, wenn nicht 0
IPv6_Address target.ip Wird zusammengeführt, wenn nicht „-“
ipv6 target.ip Wird zusammengeführt, wenn nicht „-“
mac principal.mac Wert direkt kopiert
mac_address target.mac Wert direkt kopiert
mac_address about.mac Wert aus „mac_address“
Metadaten Metadaten Direkt umbenannt
msg metadata.description Wert direkt kopiert
msg_data_2 security_result.description Wert direkt kopiert
mottatt_not_present, Mottatt metadata.collected_timestamp Konvertiert mit dem Datumsabgleich JJJJ-MM-TTTHH:mm:ss
Netzwerk Netzwerk Direkt umbenannt
oldFilePath src.file.full_path Wert direkt kopiert
oldFileSize src.file.size In „uinteger“ konvertiert
old_permissions src.resource.attribute.permissions Wert direkt kopiert
operasjon_label security_result.detection_fields In Erkennungsfelder zusammengeführt
operation_label security_result.detection_fields In Erkennungsfelder zusammengeführt
out network.sent_bytes In „uinteger“ umgewandelt, wenn nicht 0
permission_label security_result.detection_fields In Erkennungsfelder zusammengeführt
Berechtigungen about.resource.attribute.permissions Wert direkt kopiert
Prinzipal Prinzipal Direkt umbenannt
principal_ip principal.ip Wert direkt kopiert
principal_role principal.user.attribute.roles Mit Rollen zusammengeführt
protocol_number_src network.ip_protocol Wert direkt kopiert
Erhalten metadata.collected_timestamp Konvertiert mit dem Datumsabgleich JJJJ-MM-TTTHH:mm:ss
reason security_result.summary Wert direkt kopiert
Anfrage target.url Wert direkt kopiert
requestClientApplication network.http.user_agent Wert direkt kopiert
requestMethod network.http.method Wert direkt kopiert
resource_Type_label target.resource.attribute.labels Mit Labels zusammengeführt
rt @timestamp Konvertiert mit verschiedenen Datumsformaten und Zeitzonenanpassungen
security_result security_result Direkt zusammengeführt
security_result_token security_result Direkt zusammengeführt
die Ausprägung security_result.severity Wird auf „LOW“ gesetzt, wenn der Wert in [0,1,2,3,LOW] liegt; auf „MEDIUM“, wenn der Wert in [4,5,6,MEDIUM,SUBSTANTIAL,INFO] liegt; auf „HIGH“, wenn der Wert in [7,8,HIGH,SEVERE] liegt; auf „CRITICAL“, wenn der Wert in [9,10,VERY-HIGH,CRITICAL] liegt.
shost principal.hostname Der Wert wird direkt kopiert, wenn es sich nicht um eine IP-Adresse handelt. Andernfalls wird „principal.ip“ kopiert.
shost principal.ip Wert direkt kopiert, wenn IP
shost_present principal.machine_id_present Auf „true“ festlegen
smac principal.mac Wert direkt nach der Formatierung kopiert
sntdom principal.administrative_domain Wert direkt kopiert
sourceDnsDomain target.asset.hostname, target.hostname Wert von „sourceDnsDomain“ über „grok“ zu „tar_host“
sourceServiceName principal.application Wert direkt kopiert
sourceTranslatedAddress principal.nat_ip Wert direkt kopiert
sourceTranslatedPort principal.nat_port In Ganzzahl konvertiert
spid principal.process.pid Wert direkt kopiert
sproc principal.process.command_line Wert direkt kopiert
spt principal.port Wird in eine Ganzzahl konvertiert, wenn nicht 0 oder {srcPort}
src principal.asset.ip Wert direkt kopiert
src_ip principal.ip Wert direkt kopiert
srcaddr principal.ip Wert direkt kopiert
spyware_Grayware_Type_label security_result.detection_fields In Erkennungsfelder zusammengeführt
suser principal.user.user_display_name Der Wert wird direkt kopiert, wenn er nicht mit „{“ beginnt.
suid principal.user.userid Wert direkt kopiert
Ziel Ziel Direkt umbenannt
target_ip target.ip Wert direkt kopiert
target_role target.user.attribute.roles Mit Rollen zusammengeführt
temp_data In Grok-Mustern verwendet
temp_dhost target.hostname Wert direkt kopiert
temp_duser target.user.user_display_name Wert direkt kopiert
temp_duid target.user.userid Wert aus „temp_duid“ nach dem Parsen
threat_probability_label security_result.detection_fields In Erkennungsfelder zusammengeführt
tillatelse_label security_result.detection_fields In Erkennungsfelder zusammengeführt
type_label security_result.detection_fields In Erkennungsfelder zusammengeführt
Nutzer target.user.userid Wert direkt kopiert
Bruker target.user.userid Wert von Bruker, wenn „User“ leer ist
Nutzername principal.user.userid Wert direkt kopiert
Virus_Malware_Name security_result.threat_name Wert aus Virus_Malware_Name, wenn Spyware leer ist
Spyware security_result.threat_name Wert direkt kopiert
Unknown_Threat security_result.threat_name Wert aus „Unknown_Threat“, wenn „Virus_Malware_Name“ leer ist
_hash about.file.sha256 Wert direkt kopiert
_message security_result.description Wert wird direkt kopiert, sofern er gültig ist
_metadata.customer security_result.detection_fields Schlüssel als Kunde, Wert kopiert
_metadata.proxy.address hauptkonto.hostname, hauptkonto.asset.hostname Wert direkt kopiert
_metadata.source.address hauptkonto.hostname, hauptkonto.asset.hostname Wert direkt kopiert
_metadata.source.port principal.port In Ganzzahl konvertiert
_metadata.source.type security_result.detection_fields Schlüssel als Typ, Wert kopiert
_metadata.timestamp.producer_process metadata.event_timestamp Konvertiert mit dem Datumsabgleich JJJJ-MM-TTTHH:mm:ss.SSSZ
handeln security_result.action_details Wert direkt kopiert
handeln security_result.action Auf ALLOW setzen, wenn „act“ in [accept, notified] oder „outcome“ REDIRECTED_USER_MAY_PROCEED oder „categoryOutcome“ Success oder „cs2“ Allow; auf BLOCK setzen, wenn „act“ deny/blocked oder „outcome“ BLOCKED oder „categoryOutcome“ Failure oder „cs2“ Denied; auf FAIL setzen, wenn „outcome“ Failure
Aktion security_result.action Wert direkt kopiert
App app_protocol_src Wert direkt kopiert
app_protocol_src network.application_protocol Wert aus „app_protocol_src“ nach Großschreibung und Zuordnung
categoryOutcome security_result.action Teil der Bedingung für die Aktion
cs2 security_result.action Teil der Bedingung für die Aktion
cs5 additional.fields Schlüssel aus cs5Label, Wert aus cs5
cs7 additional.fields Schlüssel aus „cs7Label“, Wert aus „cs7“
destinationTranslatedAddress target.nat_ip Wert direkt kopiert
destinationTranslatedPort target.nat_port In Ganzzahl konvertiert
deviceDirection network.direction Auf INBOUND gesetzt, wenn 0, auf OUTBOUND, wenn 1
device_event_class_id metadata.product_event_type Teil der Verkettung
duid target.user.userid Wert aus „temp_duid“ nach dem Parsen
dvcmac about.mac Wert aus dvcmac nach der Formatierung
event_name metadata.product_event_type Teil der Verkettung
event_name metadata.event_type Wird auf SCAN_UNCATEGORIZED gesetzt, wenn in [LogSpyware, LogPredictiveMachineLearning]
fileHash about.file.sha256 Wert direkt kopiert, wenn Hash, andernfalls about.file.full_path
Mottatt metadata.collected_timestamp Konvertiert mit dem Datumsabgleich JJJJ-MM-TTTHH:mm:ss
Ergebnis security_result.action Teil der Bedingung für die Aktion
Port principal.port In Ganzzahl konvertiert
protocol_number_src network.ip_protocol Wert aus „protocol_number_src“ nach der Zuordnung
Proto protocol_number_src Wert direkt kopiert
die Ausprägung security_result.severity Anhand von Wertebereichen zugeordnet
shost principal.hostname Wert direkt kopiert, wenn nicht IP
handeln security_result.action Basierend auf bedingter Logik festgelegt
app_protocol_src network.application_protocol Zugeordnet aus app_protocol_src
protocol_number_src network.ip_protocol Zugeordnet aus protocol_number_src
Virus_Malware_Name security_result.threat_name Wert aus Virus_Malware_Name, wenn
flexString2 event.idm.read_only_udm.network.email.subject Aus dem Änderungsprotokoll zugeordnet
version event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
device_product event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
cs1 event.idm.read_only_udm.security_result.rule_name Aus dem Änderungsprotokoll zugeordnet
cs4 event.idm.read_only_udm.metadata.url_back_to_product Aus dem Änderungsprotokoll zugeordnet
suser event.idm.read_only_udm.network.email.from Aus dem Änderungsprotokoll zugeordnet
duser event.idm.read_only_udm.network.email.to Aus dem Änderungsprotokoll zugeordnet
fname event.idm.read_only_udm.target.file.names Aus dem Änderungsprotokoll zugeordnet
fileHash event.idm.read_only_udm.target.file.md5 Aus dem Änderungsprotokoll zugeordnet
flexString1 event.idm.read_only_udm.about.file.sha256 Aus dem Änderungsprotokoll zugeordnet
observer_application event.idm.read_only_udm.observer.application Aus dem Änderungsprotokoll zugeordnet
syslog_severity_label event.idm.read_only_udm.additional.fields Aus dem Änderungsprotokoll zugeordnet
start event.idm.read_only_udm.security_result.first_discovered_time Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten