איסוף יומנים של Trellix Email Security (לשעבר FireEye eMPS)

גרסת כלי הניתוח: 16.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Trellix Email Security (לשעבר FireEye eMPS) ב-Google Security Operations באמצעות Bindplane.

‫Trellix Email Security הוא מכשיר לאבטחת אימיילים שמגן על ארגונים מפני איומים מתקדמים באימייל, כולל פישינג ממוקד, תוכנות זדוניות והתקפות ממוקדות, על ידי ניתוח של תוכן האימיילים והקבצים המצורפים בזמן אמת.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין מכשיר FireEye eMPS
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות ל-CLI של מכשיר FireEye eMPS (תפקיד אדמין או מפעיל)
• ‫FireEye eMPS appliance עם יכולת התראה של syslog

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על Create service account.
4. מספקים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את כלי הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש להגדרת כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, קראו את מדריך ההתקנה של סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux: /opt/observiq-otel-collector/config.yaml
• ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/fireeye_emps:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: FIREEYE_EMPS
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/fireeye_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/fireeye_emps
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • המקלט מוגדר ל-UDP syslog ביציאה 514.
  • כדי להשתמש ביציאה ללא הרשאות ב-Linux, צריך לשנות את 514 ל-1514 או יותר.
  • כדי להשתמש ב-TCP במקום ב-UDP, מחליפים את udplog ב-tcplog.

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח בפורמט JSON של חשבון השירות (אפשרות 1).
  • ‫YOUR_CUSTOMER_ID: מחליפים במזהה הלקוח בפועל.
  • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.
  • log_type: צריך להיות בדיוק FIREEYE_EMPS.
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML.

מייצא API להטמעה מדור קודם

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/fireeye_emps:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FIREEYE_EMPS
      raw_log_field: body
      ingestion_labels:
        env: production
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
     2. מאתרים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog ב-FireEye eMPS

גישה ל-FireEye eMPS CLI

1. מתחברים למכשיר FireEye eMPS באמצעות SSH או מסוף.
2. מתחברים ונכנסים למצב הפעלה: hostname> enable
3. נכנסים למצב הגדרה: hostname# configure terminal

הגדרת שרת syslog

1. מוסיפים את הסוכן של Bindplane כ-syslog trap sink: hostname(config)# fenotify rsyslog trap-sink chronicle address <BINDPLANE_IP_ADDRESS>
2. מגדירים את הפורמט של syslog ל-CEF: hostname(config)# fenotify rsyslog trap-sink chronicle prefer message format cef
3. מגדירים את מתקן syslog ל-local4 (מומלץ): hostname(config)# fenotify rsyslog default facility local4
4. מגדירים את מצב המסירה: hostname(config)# fenotify rsyslog trap-sink chronicle message delivery per-event
5. מגדירים את חומרת ההתראה: hostname(config)# fenotify rsyslog trap-sink chronicle prefer message send-as alert
6. הגדרת הפרוטוקול: hostname(config)# fenotify rsyslog trap-sink chronicle protocol udp
7. מגדירים את היציאה: hostname(config)# fenotify rsyslog trap-sink chronicle port 514

הפעלת התראות syslog

1. הפעלת התראות rsyslog באופן גלובלי: hostname(config)# fenotify rsyslog enable
2. הפעלת התראות גלובליות: hostname(config)# fenotify enable

3. הפעלת סוגים ספציפיים של התראות:

   hostname(config)# fenotify rsyslog alert malware-object enable
   hostname(config)# fenotify rsyslog alert malware-callback enable
   hostname(config)# fenotify rsyslog alert infection-match enable
   hostname(config)# fenotify rsyslog alert domain-match enable
   

4. אימות ההגדרות האישיות: hostname(config)# show fenotify alerts

5. שמירה ויציאה:

   hostname(config)# write memory
   hostname(config)# exit
   hostname# exit
   

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
	about.asset.asset_id	הערך הוא שרשור של device_vendor,‏ device_product ו-deviceExternalId
מידע כללי	מידע כללי	מוזג מ-about_token
about.file.full_path	about.file.full_path	הערך הועתק ישירות
about.file.sha256	about.file.sha256	הערך הועתק ישירות
about.file.size	about.file.size	הערך הועתק ישירות
about.hostname	about.hostname	הערך הועתק ישירות
about.ip	about.ip	מוזג ממערך של כתובות IP
about.mac	about.mac	ערך מ-dvcmac אם כתובת ה-MAC תקינה, אחרת מ-mac_address
about.nat_ip	about.nat_ip	הערך מועתק ישירות מ-deviceTranslatedAddress
about.process.command_line	about.process.command_line	ערך מ-Subject אם הוא לא ריק, אחרת Emne, אחרת Path
about.process.file.full_path	about.process.file.full_path	הערך הועתק ישירות
about.process.pid	about.process.pid	הערך הועתק ישירות
about.resource.attribute.permissions	about.resource.attribute.permissions	הערך מועתק ישירות מההרשאות
נוסף	נוסף	השם שונה ישירות
additional_cfp1	additional.fields	מוזגה לשדות נוספים
additional_cfp2	additional.fields	מוזגו לשדות נוספים
additional_cfp3	additional.fields	מוזגה לשדות נוספים
additional_cfp4	additional.fields	מוזגו לשדות נוספים
additional_cn1	additional.fields	מוזגה לשדות נוספים
additional_cn2	additional.fields	מוזגו לשדות נוספים
additional_cn3	additional.fields	מוזגה לשדות נוספים
additional_cs1	additional.fields	מוזגו לשדות נוספים
additional_cs2	additional.fields	מוזגו לשדות נוספים
additional_cs3	additional.fields	מוזגה לשדות נוספים
additional_cs4	additional.fields	מוזגו לשדות נוספים
additional_cs5	additional.fields	מוזגו לשדות נוספים
additional_cs6	additional.fields	מוזגו לשדות נוספים
additional_cs7	additional.fields	מוזגה לשדות נוספים
additional_devicePayloadId	additional.fields	מוזגו לשדות נוספים
additional_eventId	additional.fields	מוזגה לשדות נוספים
additional_fname	additional.fields	מוזגו לשדות נוספים
additional_flexString1	additional.fields	מוזגו לשדות נוספים
additional_flexString2	additional.fields	מוזגו לשדות נוספים
app_protocol_output	network.application_protocol	הערך הועתק ישירות
cs1Label, cs1	additional.fields	מפתח מ-cs1Label, ערך מ-cs1
cs2Label, cs2	additional.fields	מפתח מ-cs2Label, ערך מ-cs2
cs3Label, cs3	additional.fields	מפתח מ-cs3Label, ערך מ-cs3
cs4Label, cs4	additional.fields	מפתח מ-cs4Label, ערך מ-cs4
cs5Label, cs5	additional.fields	מפתח מ-cs5Label, ערך מ-cs5
cs6Label, cs6	additional.fields	מפתח מ-cs6Label, ערך מ-cs6
cs7Label, cs7	additional.fields	מפתח מ-cs7Label, ערך מ-cs7
cfp1Label, cfp1	additional.fields	מפתח מ-cfp1Label, ערך מ-cfp1
cfp2Label, cfp2	additional.fields	מפתח מ-cfp2Label, ערך מ-cfp2
cfp3Label, cfp3	additional.fields	מפתח מ-cfp3Label, ערך מ-cfp3
cfp4Label, cfp4	additional.fields	מפתח מ-cfp4Label, ערך מ-cfp4
cn1Label, cn1	additional.fields	מפתח מ-cn1Label, ערך מ-cn1
cn2Label, cn2	additional.fields	מפתח מ-cn2Label, ערך מ-cn2
cn3Label, cn3	additional.fields	מפתח מ-cn3Label, ערך מ-cn3
customer_label	security_result.detection_fields	מוזגו לשדות זיהוי
destination_translated_address	target.nat_ip	הערך הועתק ישירות
device_name_not_present, Enhetsnavn	principal.hostname	הערך מ-Device_name אם הוא לא ריק, אחרת Enhetsnavn
deviceExternalId	about.asset.asset_id	חלק משרשור
devicePayloadId	additional.fields	המפתח הוא devicePayloadId, הערך הועתק
deviceTranslatedAddress	about.nat_ip	הערך הועתק ישירות
device_vendor	about.asset.asset_id	חלק משרשור
device_product	about.asset.asset_id	חלק משרשור
device_version	metadata.product_version	הערך הועתק ישירות
device_event_class_id, event_name	metadata.product_event_type	מחובר כמחרוזת כ- [‎%{device_event_class_id}] - %{event_name} אם שניהם קיימים, אחרת device_event_class_id או event_name
device_process_name	about.process.command_line	הערך הועתק ישירות
device_vendor	metadata.vendor_name	הערך הועתק ישירות
device_product	metadata.product_name	הערך הועתק ישירות
dhost	target.hostname	הערך הועתק ישירות
dmac	target.mac	הערך הועתק ישירות
dntdom	target.administrative_domain	הערך הועתק ישירות
dpid	target.process.pid	הערך הועתק ישירות
dproc	target.process.command_line	הערך הועתק ישירות
dst	target.asset.ip	הערך הועתק ישירות
dst_ip	target.ip	הערך הועתק ישירות
duid	target.user.userid	ערך מ-temp_duid אחרי חילוץ באמצעות grok
duser	target.user.user_display_name	הערך הועתק ישירות
dvchost	about.hostname	הערך הועתק ישירות
deviceNtDomain	about.administrative_domain	הערך הועתק ישירות
dvcmac	about.mac	ערך מ-dvcmac אם כתובת ה-MAC תקינה
dvc_mac	about.mac	ערך מ-dvc_mac אם כתובת ה-MAC תקינה
eventId	additional.fields	המפתח הוא eventId, הערך הועתק
eventid	additional.fields	מפתח בתור eventId, ערך מ-eventid
externalId	metadata.product_log_id	הערך הועתק ישירות
externalID_value	metadata.product_log_id	הערך הועתק ישירות
file_full_path	metadata.event_type	צריך להגדיר את הערך PROCESS_UNCATEGORIZED אם file_full_path לא ריק
fileHash	about.file.sha256	הערך מועתק ישירות אם הוא לא hash, אחרת about.file.full_path
filePath	about.file.full_path	הערך הועתק ישירות
fileType	about.file.mime_type	הערך הועתק ישירות
flexString1Label, flexString1	additional.fields	מפתח מ-flexString1Label, ערך מ-flexString1
flexString2Label, flexString2	additional.fields	מפתח מ-flexString2Label, ערך מ-flexString2
fname	additional.fields	המפתח הוא fname, הערך הועתק
נוצר	metadata.event_timestamp	ההמרה בוצעה באמצעות התאמת תאריך yyyy-MM-ddTHH:mm:ss
Generert	metadata.event_timestamp	ההמרה בוצעה באמצעות התאמת תאריך yyyy-MM-ddTHH:mm:ss
Group_name	principal.group.group_display_name	הערך הועתק ישירות
Gruppenavn	principal.group.group_display_name	ערך מ-Gruppenavn אם Group_name ריק
infection_channel_label	security_result.detection_fields	מוזגו לשדות זיהוי
ב-	network.received_bytes	מומר למספר שלם חיובי אם הוא לא 0
IPv6_Address	target.ip	מוזג אם לא "-"
ipv6	target.ip	מוזג אם לא "-"
mac	principal.mac	הערך הועתק ישירות
mac_address	target.mac	הערך הועתק ישירות
mac_address	about.mac	ערך מ-mac_address
מטא-נתונים	מטא-נתונים	השם שונה ישירות
msg	metadata.description	הערך הועתק ישירות
msg_data_2	security_result.description	הערך הועתק ישירות
mottatt_not_present, ‏ Mottatt	metadata.collected_timestamp	ההמרה בוצעה באמצעות התאמת תאריך בפורמט yyyy-MM-ddTHH:mm:ss
network	network	שינוי שם ישיר
oldFilePath	src.file.full_path	הערך הועתק ישירות
oldFileSize	src.file.size	הומר למספר שלם חיובי
old_permissions	src.resource.attribute.permissions	הערך הועתק ישירות
operasjon_label	security_result.detection_fields	מוזגו לשדות זיהוי
operation_label	security_result.detection_fields	מוזגו לשדות זיהוי
יציאה	network.sent_bytes	מומר למספר שלם חיובי אם הוא לא 0
permission_label	security_result.detection_fields	מוזגו לשדות זיהוי
permissions	about.resource.attribute.permissions	הערך הועתק ישירות
משתמש (principal)	משתמש (principal)	השם שונה ישירות
principal_ip	principal.ip	הערך הועתק ישירות
principal_role	principal.user.attribute.roles	מוזגו לתפקידים
protocol_number_src	network.ip_protocol	הערך הועתק ישירות
התקבלה	metadata.collected_timestamp	ההמרה בוצעה באמצעות התאמת תאריך yyyy-MM-ddTHH:mm:ss
reason	security_result.summary	הערך הועתק ישירות
בקשה	target.url	הערך הועתק ישירות
requestClientApplication	network.http.user_agent	הערך הועתק ישירות
requestMethod	network.http.method	הערך הועתק ישירות
resource_Type_label	target.resource.attribute.labels	מוזגו לתוויות
rt	@timestamp	ההמרה מתבצעת באמצעות פורמטים שונים של תאריכים והתאמות של אזורי זמן
security_result	security_result	מוזגו ישירות
security_result_token	security_result	מוזגו ישירות
severity	security_result.severity	הערך LOW אם הוא נמצא בטווח [0,1,2,3,LOW]; הערך MEDIUM אם הוא נמצא בטווח [4,5,6,MEDIUM,SUBSTANTIAL,INFO]; הערך HIGH אם הוא נמצא בטווח [7,8,HIGH,SEVERE]; הערך CRITICAL אם הוא נמצא בטווח [9,10,VERY-HIGH,CRITICAL]
shost	principal.hostname	הערך מועתק ישירות אם הוא לא כתובת IP, אחרת מועתק principal.ip
shost	principal.ip	הערך מועתק ישירות אם מדובר בכתובת IP
shost_present	principal.machine_id_present	הגדרה לערך true
smac	principal.mac	הערך הועתק מיד אחרי העיצוב
sntdom	principal.administrative_domain	הערך הועתק ישירות
sourceDnsDomain	target.asset.hostname, target.hostname	ערך מ-sourceDnsDomain דרך grok אל tar_host
sourceServiceName	principal.application	הערך הועתק ישירות
sourceTranslatedAddress	principal.nat_ip	הערך הועתק ישירות
sourceTranslatedPort	principal.nat_port	ההמרה למספר שלם בוצעה
spid	principal.process.pid	הערך הועתק ישירות
sproc	principal.process.command_line	הערך הועתק ישירות
spt	principal.port	מומר למספר שלם אם הוא לא 0 או {srcPort}
src	principal.asset.ip	הערך הועתק ישירות
src_ip	principal.ip	הערך הועתק ישירות
srcaddr	principal.ip	הערך הועתק ישירות
spyware_Grayware_Type_label	security_result.detection_fields	מוזגו לשדות זיהוי
suser	principal.user.user_display_name	הערך מועתק ישירות אם הוא לא מתחיל ב- {
suid	principal.user.userid	הערך הועתק ישירות
יעד	target	השם שונה ישירות
target_ip	target.ip	הערך הועתק ישירות
target_role	target.user.attribute.roles	מוזגה לתפקידים
temp_data		בשימוש בתבניות Grok
temp_dhost	target.hostname	הערך הועתק ישירות
temp_duser	target.user.user_display_name	הערך הועתק ישירות
temp_duid	target.user.userid	ערך מ-temp_duid אחרי grok
threat_probability_label	security_result.detection_fields	מוזגו לשדות זיהוי
tillatelse_label	security_result.detection_fields	מוזגו לשדות זיהוי
type_label	security_result.detection_fields	מוזגו לשדות זיהוי
משתמש	target.user.userid	הערך הועתק ישירות
Bruker	target.user.userid	ערך מ-Bruker אם השדה "משתמש" ריק
שם משתמש	principal.user.userid	הערך הועתק ישירות
Virus_Malware_Name	security_result.threat_name	ערך מ-Virus_Malware_Name אם Spyware ריק
רוגלה	security_result.threat_name	הערך הועתק ישירות
Unknown_Threat	security_result.threat_name	ערך מ-Unknown_Threat אם Virus_Malware_Name ריק
‎_hash	about.file.sha256	הערך הועתק ישירות
_message	security_result.description	הערך מועתק ישירות אם הוא תקין
_metadata.customer	security_result.detection_fields	המפתח הוא Customer (לקוח), הערך הועתק
_metadata.proxy.address	principal.hostname, principal.asset.hostname	הערך הועתק ישירות
_metadata.source.address	principal.hostname, principal.asset.hostname	הערך הועתק ישירות
_metadata.source.port	principal.port	ההמרה למספר שלם בוצעה
_metadata.source.type	security_result.detection_fields	המפתח כסוג, הערך הועתק
_metadata.timestamp.producer_process	metadata.event_timestamp	הומר באמצעות התאמה לתאריך yyyy-MM-ddTHH:mm:ss.SSSZ
פעולה	security_result.action_details	הערך הועתק ישירות
לפעול	security_result.action	צריך להגדיר ALLOW אם הפעולה היא [accept, notified] או שהתוצאה היא REDIRECTED_USER_MAY_PROCEED או categoryOutcome Success או cs2 Allow; צריך להגדיר BLOCK אם הפעולה היא deny/blocked או שהתוצאה היא BLOCKED או categoryOutcome Failure או cs2 Denied; צריך להגדיר FAIL אם התוצאה היא Failure
פעולה	security_result.action	הערך הועתק ישירות
אפליקציה	app_protocol_src	הערך הועתק ישירות
app_protocol_src	network.application_protocol	ערך מ-app_protocol_src אחרי המרת אותיות רישיות ומיפוי
categoryOutcome	security_result.action	חלק מהתנאי לפעולה
cs2	security_result.action	חלק מהתנאי לפעולה
cs5	additional.fields	מפתח מ-cs5Label, ערך מ-cs5
cs7	additional.fields	מפתח מ-cs7Label, ערך מ-cs7
destinationTranslatedAddress	target.nat_ip	הערך הועתק ישירות
destinationTranslatedPort	target.nat_port	הומר למספר שלם
deviceDirection	network.direction	הערך הוא INBOUND אם 0, ‏ OUTBOUND אם 1
device_event_class_id	metadata.product_event_type	חלק משרשור
duid	target.user.userid	ערך מ-temp_duid אחרי ניתוח
dvcmac	about.mac	ערך מ-dvcmac אחרי עיצוב
event_name	metadata.product_event_type	חלק משרשור
event_name	metadata.event_type	ההגדרה היא SCAN_UNCATEGORIZED אם הערך הוא [LogSpyware, LogPredictiveMachineLearning]
fileHash	about.file.sha256	הערך מועתק ישירות אם הוא גיבוב (hash), אחרת about.file.full_path
Mottatt	metadata.collected_timestamp	ההמרה בוצעה באמצעות התאמת תאריך yyyy-MM-ddTHH:mm:ss
תוצאה	security_result.action	חלק מהתנאי לפעולה
יציאה	principal.port	הומר למספר שלם
protocol_number_src	network.ip_protocol	ערך מ-protocol_number_src אחרי מיפוי
proto	protocol_number_src	הערך הועתק ישירות
severity	security_result.severity	מיפוי על סמך טווחי ערכים
shost	principal.hostname	הערך מועתק ישירות אם הוא לא כתובת IP
פעולה	security_result.action	הגדרה על סמך לוגיקה של משפט תנאי
app_protocol_src	network.application_protocol	מופה מ-app_protocol_src
protocol_number_src	network.ip_protocol	ממופה מ-protocol_number_src
Virus_Malware_Name	security_result.threat_name	ערך מ-Virus_Malware_Name אם
flexString2	event.idm.read_only_udm.network.email.subject	מופה מיומן השינויים
version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
device_product	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cs1	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
cs4	event.idm.read_only_udm.metadata.url_back_to_product	מופה מיומן השינויים
suser	event.idm.read_only_udm.network.email.from	מופה מיומן השינויים
duser	event.idm.read_only_udm.network.email.to	מופה מיומן השינויים
fname	event.idm.read_only_udm.target.file.names	מופה מיומן השינויים
fileHash	event.idm.read_only_udm.target.file.md5	מופה מיומן השינויים
flexString1	event.idm.read_only_udm.about.file.sha256	מופה מיומן השינויים
observer_application	event.idm.read_only_udm.observer.application	מופה מיומן השינויים
syslog_severity_label	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
start	event.idm.read_only_udm.security_result.first_discovered_time	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.