Google utilise la technologie IA pour traduire le contenu dans votre langue préférée. Les traductions générées par IA peuvent contenir des erreurs.

Collecter les journaux Trellix Email Security (anciennement FireEye eMPS)

Version de l'analyseur : 16.0

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer les journaux Trellix Email Security (anciennement FireEye eMPS) dans Google Security Operations à l'aide de Bindplane.

Trellix Email Security est un dispositif de sécurité des e-mails qui protège les organisations contre les menaces avancées par e-mail, y compris l'hameçonnage ciblé, les logiciels malveillants et les attaques ciblées, en analysant le contenu et les pièces jointes des e-mails en temps réel.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

Instance Google SecOps
Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
Connectivité réseau entre l'agent Bindplane et l'appliance FireEye eMPS
Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
Accès privilégié à la CLI de l'appliance FireEye eMPS (rôle Administrateur ou Opérateur)
Appliance FireEye eMPS avec fonctionnalité de notification syslog

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

Nouveaux déploiements : utilisez l'API Chronicle (option 1).
Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
Accédez à IAM et administration > Comptes de service.
Cliquez sur Créer un compte de service.
Fournissez les informations de configuration suivantes :
- Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
- Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
Cliquez sur Créer et continuer.
Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
Cliquez sur Continue (Continuer), puis sur Done (OK).
Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
Cliquez sur Ajouter une clé > Créer une clé.
Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

Connectez-vous à la console Google SecOps.
Accédez à Paramètres SIEM> Agents de collecte.
Téléchargez le fichier d'authentification d'ingestion.
Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

Connectez-vous à la console Google SecOps.
Accédez à Paramètres du SIEM > Profil.
Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

Exécutez la commande suivante :

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sc query observiq-otel-collector
```

Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation de Linux

Ouvrez un terminal avec des droits d'accès racine ou sudo.

Exécutez la commande suivante :

sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

Attendez que l'installation se termine.
Vérifiez l'installation en exécutant la commande suivante :
```
sudo systemctl status observiq-otel-collector
```

Le service doit s'afficher comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

Linux : /opt/observiq-otel-collector/config.yaml
Windows : C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

Modifiez le fichier de configuration

Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fireeye_emps:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: FIREEYE_EMPS
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/fireeye_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/fireeye_emps

Paramètres de configuration

Remplacez les espaces réservés suivants :

Configuration du récepteur :
- Le récepteur est configuré pour le syslog UDP sur le port 514.
- Pour utiliser un port non privilégié sous Linux, remplacez 514 par 1514 ou une valeur supérieure.
- Pour utiliser TCP au lieu d'UDP, remplacez udplog par tcplog.
Configuration de l'exportateur :
- creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1).
- YOUR_CUSTOMER_ID : remplacez par votre ID client réel.
- location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur préfixe chronicle.googleapis.com avec cette valeur. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
- project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.
- endpoint : laissez la valeur définie sur chronicle.googleapis.com.
- log_type : doit être exactement FIREEYE_EMPS.
- ingestion_labels : libellés facultatifs au format YAML.

Ancien exportateur d'API d'ingestion

Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification de l'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/fireeye_emps:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FIREEYE_EMPS
    raw_log_field: body
    ingestion_labels:
      env: production
```

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

Exécutez la commande suivante :

sudo systemctl restart observiq-otel-collector

Vérifiez que le service est en cours d'exécution :
```
sudo systemctl status observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

Choisissez l'une des options suivantes :
- Invite de commande ou PowerShell en tant qu'administrateur :
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console Services :
  1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
  2. Localisez observIQ OpenTelemetry Collector.
  3. Effectuez un clic droit et sélectionnez Redémarrer.
Vérifiez que le service est en cours d'exécution :
```
sc query observiq-otel-collector
```

Recherchez les erreurs dans les journaux :

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog FireEye eMPS

Accéder à la CLI FireEye eMPS

Connectez-vous à l'appareil FireEye eMPS via SSH ou la console.
Connectez-vous et passez en mode d'activation : hostname> enable
Passez en mode configuration : hostname# configure terminal

Configurer le serveur syslog

Ajoutez l'agent Bindplane en tant que récepteur de traps syslog : hostname(config)# fenotify rsyslog trap-sink chronicle address <BINDPLANE_IP_ADDRESS>
Définissez le format syslog sur CEF : hostname(config)# fenotify rsyslog trap-sink chronicle prefer message format cef
Définissez le niveau syslog sur local4 (recommandé) : hostname(config)# fenotify rsyslog default facility local4
Définissez le mode de diffusion : hostname(config)# fenotify rsyslog trap-sink chronicle message delivery per-event
Définissez la gravité de l'alerte : hostname(config)# fenotify rsyslog trap-sink chronicle prefer message send-as alert.
Définissez le protocole : hostname(config)# fenotify rsyslog trap-sink chronicle protocol udp
Définissez le port : hostname(config)# fenotify rsyslog trap-sink chronicle port 514

Activer les notifications syslog

Activez les notifications rsyslog de manière globale : hostname(config)# fenotify rsyslog enable
Activez les notifications globales : hostname(config)# fenotify enable

Activez des types d'alertes spécifiques :

hostname(config)# fenotify rsyslog alert malware-object enable
hostname(config)# fenotify rsyslog alert malware-callback enable
hostname(config)# fenotify rsyslog alert infection-match enable
hostname(config)# fenotify rsyslog alert domain-match enable

Vérifiez la configuration : hostname(config)# show fenotify alerts

Enregistrer et quitter :

hostname(config)# write memory
hostname(config)# exit
hostname# exit

Table de mappage UDM

Champ de journal	Mappage UDM	Logique
	about.asset.asset_id	Concaténation de device_vendor, device_product et deviceExternalId
à propos de	à propos de	Fusionné à partir de about_token
about.file.full_path	about.file.full_path	Valeur copiée directement
about.file.sha256	about.file.sha256	Valeur copiée directement
about.file.size	about.file.size	Valeur copiée directement
about.hostname	about.hostname	Valeur copiée directement
about.ip	about.ip	Fusionné à partir du tableau "ips"
about.mac	about.mac	Valeur issue de dvcmac si le MAC est valide, sinon issue de mac_address
about.nat_ip	about.nat_ip	Valeur copiée directement depuis deviceTranslatedAddress
about.process.command_line	about.process.command_line	Valeur du sujet si elle n'est pas vide, sinon "Emne", sinon "Path"
about.process.file.full_path	about.process.file.full_path	Valeur copiée directement
about.process.pid	about.process.pid	Valeur copiée directement
about.resource.attribute.permissions	about.resource.attribute.permissions	Valeur copiée directement à partir des autorisations
supplémentaires	supplémentaires	Renommé directement
additional_cfp1	additional.fields	Fusionné dans des champs supplémentaires
additional_cfp2	additional.fields	Fusionné dans des champs supplémentaires
additional_cfp3	additional.fields	Fusionné dans des champs supplémentaires
additional_cfp4	additional.fields	Fusionné dans des champs supplémentaires
additional_cn1	additional.fields	Fusionné dans des champs supplémentaires
additional_cn2	additional.fields	Fusionné dans des champs supplémentaires
additional_cn3	additional.fields	Fusionné dans des champs supplémentaires
additional_cs1	additional.fields	Fusionné dans des champs supplémentaires
additional_cs2	additional.fields	Fusionné dans des champs supplémentaires
additional_cs3	additional.fields	Fusionné dans des champs supplémentaires
additional_cs4	additional.fields	Fusionné dans des champs supplémentaires
additional_cs5	additional.fields	Fusionné dans des champs supplémentaires
additional_cs6	additional.fields	Fusionné dans des champs supplémentaires
additional_cs7	additional.fields	Fusionné dans des champs supplémentaires
additional_devicePayloadId	additional.fields	Fusionné dans des champs supplémentaires
additional_eventId	additional.fields	Fusionné dans des champs supplémentaires
additional_fname	additional.fields	Fusionné dans des champs supplémentaires
additional_flexString1	additional.fields	Fusionné dans des champs supplémentaires
additional_flexString2	additional.fields	Fusionné dans des champs supplémentaires
app_protocol_output	network.application_protocol	Valeur copiée directement
cs1Label, cs1	additional.fields	Clé de cs1Label, valeur de cs1
cs2Label, cs2	additional.fields	Clé de cs2Label, valeur de cs2
cs3Label, cs3	additional.fields	Clé de cs3Label, valeur de cs3
cs4Label, cs4	additional.fields	Clé de cs4Label, valeur de cs4
cs5Label, cs5	additional.fields	Clé issue de cs5Label, valeur issue de cs5
cs6Label, cs6	additional.fields	Clé issue de cs6Label, valeur issue de cs6
cs7Label, cs7	additional.fields	Clé de cs7Label, valeur de cs7
cfp1Label, cfp1	additional.fields	Clé de cfp1Label, valeur de cfp1
cfp2Label, cfp2	additional.fields	Clé de cfp2Label, valeur de cfp2
cfp3Label, cfp3	additional.fields	Clé de cfp3Label, valeur de cfp3
cfp4Label, cfp4	additional.fields	Clé de cfp4Label, valeur de cfp4
cn1Label, cn1	additional.fields	Clé de cn1Label, valeur de cn1
cn2Label, cn2	additional.fields	Clé de cn2Label, valeur de cn2
cn3Label, cn3	additional.fields	Clé de cn3Label, valeur de cn3
customer_label	security_result.detection_fields	Fusionné dans les champs de détection
destination_translated_address	target.nat_ip	Valeur copiée directement
device_name_not_present, Enhetsnavn	principal.hostname	Valeur de Device_name si non vide, sinon Enhetsnavn
deviceExternalId	about.asset.asset_id	Partie de la concaténation
devicePayloadId	additional.fields	Clé "devicePayloadId", valeur copiée
deviceTranslatedAddress	about.nat_ip	Valeur copiée directement
device_vendor	about.asset.asset_id	Partie de la concaténation
device_product	about.asset.asset_id	Partie de la concaténation
device_version	metadata.product_version	Valeur copiée directement
device_event_class_id, event_name	metadata.product_event_type	Concaténé sous la forme [%{device_event_class_id}] - %{event_name} si les deux sont présents, sinon device_event_class_id ou event_name
device_process_name	about.process.command_line	Valeur copiée directement
device_vendor	metadata.vendor_name	Valeur copiée directement
device_product	metadata.product_name	Valeur copiée directement
dhost	target.hostname	Valeur copiée directement
dmac	target.mac	Valeur copiée directement
dntdom	target.administrative_domain	Valeur copiée directement
dpid	target.process.pid	Valeur copiée directement
dproc	target.process.command_line	Valeur copiée directement
dst	target.asset.ip	Valeur copiée directement
dst_ip	target.ip	Valeur copiée directement
duid	target.user.userid	Valeur de temp_duid après l'extraction grok
duser	target.user.user_display_name	Valeur copiée directement
dvchost	about.hostname	Valeur copiée directement
deviceNtDomain	about.administrative_domain	Valeur copiée directement
dvcmac	about.mac	Valeur de dvcmac si l'adresse MAC est valide
dvc_mac	about.mac	Valeur de dvc_mac si l'adresse MAC est valide
eventId	additional.fields	Clé en tant qu'eventId, valeur copiée
eventid	additional.fields	Clé en tant qu'eventId, valeur à partir d'eventId
externalId	metadata.product_log_id	Valeur copiée directement
externalID_value	metadata.product_log_id	Valeur copiée directement
file_full_path	metadata.event_type	Définissez cette option sur PROCESS_UNCATEGORIZED si file_full_path n'est pas vide.
fileHash	about.file.sha256	Valeur copiée directement si elle n'est pas hachée, sinon about.file.full_path
filePath	about.file.full_path	Valeur copiée directement
fileType	about.file.mime_type	Valeur copiée directement
flexString1Label, flexString1	additional.fields	Clé de flexString1Label, valeur de flexString1
flexString2Label, flexString2	additional.fields	Clé de flexString2Label, valeur de flexString2
fname	additional.fields	Clé en tant que fname, valeur copiée
Généré	metadata.event_timestamp	Converti à l'aide de la correspondance de date aaaa-MM-jjTHH:mm:ss
Generert	metadata.event_timestamp	Converti à l'aide de la correspondance de date yyyy-MM-ddTHH:mm:ss
Group_name	principal.group.group_display_name	Valeur copiée directement
Gruppenavn	principal.group.group_display_name	Valeur de Gruppenavn si Group_name est vide
infection_channel_label	security_result.detection_fields	Fusionné dans les champs de détection
dans	network.received_bytes	Converti en uinteger s'il n'est pas égal à 0
IPv6_Address	target.ip	Fusionné si la valeur n'est pas "-"
ipv6	target.ip	Fusionné si différent de "-"
mac	principal.mac	Valeur copiée directement
mac_address	target.mac	Valeur copiée directement
mac_address	about.mac	Valeur issue de mac_address
métadonnées	métadonnées	Renommé directement
Message	metadata.description	Valeur copiée directement
msg_data_2	security_result.description	Valeur copiée directement
mottatt_not_present, Mottatt	metadata.collected_timestamp	Converti à l'aide de la correspondance de date yyyy-MM-ddTHH:mm:ss
réseau	réseau	Renommée directement
oldFilePath	src.file.full_path	Valeur copiée directement
oldFileSize	src.file.size	Converti en uinteger
old_permissions	src.resource.attribute.permissions	Valeur copiée directement
operasjon_label	security_result.detection_fields	Fusionné dans les champs de détection
operation_label	security_result.detection_fields	Fusionné dans les champs de détection
interprétés.	network.sent_bytes	Converti en uinteger s'il n'est pas égal à 0
permission_label	security_result.detection_fields	Fusionné dans les champs de détection
autorisations	about.resource.attribute.permissions	Valeur copiée directement
principal	principal	Renommée directement
principal_ip	principal.ip	Valeur copiée directement
principal_role	principal.user.attribute.roles	Fusionné avec les rôles
protocol_number_src	network.ip_protocol	Valeur copiée directement
Reçu	metadata.collected_timestamp	Converti à l'aide de la correspondance de date yyyy-MM-ddTHH:mm:ss
reason	security_result.summary	Valeur copiée directement
request	target.url	Valeur copiée directement
requestClientApplication	network.http.user_agent	Valeur copiée directement
requestMethod	network.http.method	Valeur copiée directement
resource_Type_label	target.resource.attribute.labels	Fusionné dans les libellés
rt	@timestamp	Converti à l'aide de différents formats de date et ajustements de fuseau horaire
security_result	security_result	Fusionné directement
security_result_token	security_result	Fusionné directement
de gravité,	security_result.severity	Définissez sur LOW si la valeur est [0,1,2,3,LOW], MEDIUM si la valeur est [4,5,6,MEDIUM,SUBSTANTIAL,INFO], HIGH si la valeur est [7,8,HIGH,SEVERE] et CRITICAL si la valeur est [9,10,VERY-HIGH,CRITICAL].
shost	principal.hostname	Valeur copiée directement si ce n'est pas une adresse IP, sinon principal.ip
shost	principal.ip	Valeur copiée directement si l'adresse IP
shost_present	principal.machine_id_present	Définir sur "true"
smac	principal.mac	Valeur copiée directement après la mise en forme
sntdom	principal.administrative_domain	Valeur copiée directement
sourceDnsDomain	target.asset.hostname, target.hostname	Valeur de sourceDnsDomain via grok vers tar_host
sourceServiceName	principal.application	Valeur copiée directement
sourceTranslatedAddress	principal.nat_ip	Valeur copiée directement
sourceTranslatedPort	principal.nat_port	Converti en entier
spid	principal.process.pid	Valeur copiée directement
sproc	principal.process.command_line	Valeur copiée directement
spt	principal.port	Converti en entier s'il ne s'agit pas de 0 ou de {srcPort}
src	principal.asset.ip	Valeur copiée directement
src_ip	principal.ip	Valeur copiée directement
srcaddr	principal.ip	Valeur copiée directement
spyware_Grayware_Type_label	security_result.detection_fields	Fusionné dans les champs de détection
suser	principal.user.user_display_name	Valeur copiée directement si elle ne commence pas par {
suid	principal.user.userid	Valeur copiée directement
cible	cible	Renommé directement
target_ip	target.ip	Valeur copiée directement
target_role	target.user.attribute.roles	Fusionné dans les rôles
temp_data		Utilisé dans les modèles grok
temp_dhost	target.hostname	Valeur copiée directement
temp_duser	target.user.user_display_name	Valeur copiée directement
temp_duid	target.user.userid	Valeur de temp_duid après grok
threat_probability_label	security_result.detection_fields	Fusionné dans les champs de détection
tillatelse_label	security_result.detection_fields	Fusionné dans les champs de détection
type_label	security_result.detection_fields	Fusionné dans les champs de détection
Utilisateur	target.user.userid	Valeur copiée directement
Bruker	target.user.userid	Valeur de Bruker si l'utilisateur est vide
nom d'utilisateur	principal.user.userid	Valeur copiée directement
Virus_Malware_Name	security_result.threat_name	Valeur de Virus_Malware_Name si Spyware est vide
Logiciel espion	security_result.threat_name	Valeur copiée directement
Unknown_Threat	security_result.threat_name	Valeur de Unknown_Threat si Virus_Malware_Name est vide
_hash	about.file.sha256	Valeur copiée directement
_message	security_result.description	Valeur copiée directement si elle n'est pas incorrecte
_metadata.customer	security_result.detection_fields	Clé "Customer", valeur copiée
_metadata.proxy.address	principal.hostname, principal.asset.hostname	Valeur copiée directement
_metadata.source.address	principal.hostname, principal.asset.hostname	Valeur copiée directement
_metadata.source.port	principal.port	Converti en entier
_metadata.source.type	security_result.detection_fields	Clé en tant que type, valeur copiée
_metadata.timestamp.producer_process	metadata.event_timestamp	Converti à l'aide de la correspondance de date aaaa-MM-jjTHH:mm:ss.SSSZ
agir	security_result.action_details	Valeur copiée directement
agir	security_result.action	Définissez sur ALLOW si l'action est [accept, notified], si le résultat est REDIRECTED_USER_MAY_PROCEED, si categoryOutcome est Success ou si cs2 est Allow ; BLOCK si l'action est deny/blocked, si le résultat est BLOCKED, si categoryOutcome est Failure ou si cs2 est Denied ; FAIL si le résultat est Failure
action	security_result.action	Valeur copiée directement
application	app_protocol_src	Valeur copiée directement
app_protocol_src	network.application_protocol	Valeur de app_protocol_src après mise en majuscules et mappage
categoryOutcome	security_result.action	Partie de la condition pour l'action
cs2	security_result.action	Partie de la condition pour l'action
cs5	additional.fields	Clé de cs5Label, valeur de cs5
cs7	additional.fields	Clé de cs7Label, valeur de cs7
destinationTranslatedAddress	target.nat_ip	Valeur copiée directement
destinationTranslatedPort	target.nat_port	Converti en entier
deviceDirection	network.direction	Définissez sur INBOUND si la valeur est 0, OUTBOUND si la valeur est 1.
device_event_class_id	metadata.product_event_type	Partie de la concaténation
duid	target.user.userid	Valeur de temp_duid après grok
dvcmac	about.mac	Valeur de dvcmac après mise en forme
event_name	metadata.product_event_type	Partie de la concaténation
event_name	metadata.event_type	Définissez cette option sur SCAN_UNCATEGORIZED si elle est définie sur [LogSpyware, LogPredictiveMachineLearning]
fileHash	about.file.sha256	Valeur copiée directement s'il s'agit d'un hachage, sinon about.file.full_path
Mottatt	metadata.collected_timestamp	Converti à l'aide de la correspondance de date yyyy-MM-ddTHH:mm:ss
résultat	security_result.action	Partie de la condition pour l'action
port	principal.port	Converti en entier
protocol_number_src	network.ip_protocol	Valeur de protocol_number_src après le mappage
proto	protocol_number_src	Valeur copiée directement
de gravité,	security_result.severity	Mappé en fonction de plages de valeurs
shost	principal.hostname	Valeur copiée directement si elle ne correspond pas à une adresse IP
agir	security_result.action	Définir en fonction de la logique conditionnelle
app_protocol_src	network.application_protocol	Mappé à partir de app_protocol_src
protocol_number_src	network.ip_protocol	Mappé à partir de protocol_number_src
Virus_Malware_Name	security_result.threat_name	Valeur de Virus_Malware_Name si
`flexString2`	`event.idm.read_only_udm.network.email.subject`	Mappé à partir du journal des modifications
`version`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`device_product`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`cs1`	`event.idm.read_only_udm.security_result.rule_name`	Mappé à partir du journal des modifications
`cs4`	`event.idm.read_only_udm.metadata.url_back_to_product`	Mappé à partir du journal des modifications
`suser`	`event.idm.read_only_udm.network.email.from`	Mappé à partir du journal des modifications
`duser`	`event.idm.read_only_udm.network.email.to`	Mappé à partir du journal des modifications
`fname`	`event.idm.read_only_udm.target.file.names`	Mappé à partir du journal des modifications
`fileHash`	`event.idm.read_only_udm.target.file.md5`	Mappé à partir du journal des modifications
`flexString1`	`event.idm.read_only_udm.about.file.sha256`	Mappé à partir du journal des modifications
`observer_application`	`event.idm.read_only_udm.observer.application`	Mappé à partir du journal des modifications
`syslog_severity_label`	`event.idm.read_only_udm.additional.fields`	Mappé à partir du journal des modifications
`start`	`event.idm.read_only_udm.security_result.first_discovered_time`	Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.