Mengumpulkan log Trellix Email Security (sebelumnya FireEye eMPS)

Versi Parser: 16.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log Trellix Email Security (sebelumnya dikenal sebagai FireEye eMPS) ke Google Security Operations menggunakan Bindplane.

Trellix Email Security adalah perangkat keamanan email yang melindungi organisasi dari ancaman email tingkat lanjut, termasuk spear phishing, malware, dan serangan yang ditargetkan dengan menganalisis konten dan lampiran email secara real time.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
  • Konektivitas jaringan antara agen Bindplane dan perangkat FireEye eMPS
  • Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
  • Akses istimewa ke CLI appliance eMPS FireEye (peran Admin atau Operator)
  • Perangkat FireEye eMPS dengan kemampuan notifikasi syslog

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

  • Deployment baru: Gunakan Chronicle API (Opsi 1).
  • Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.
  1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
  2. Buka IAM & Admin > Service Accounts.
  3. Klik Create service account.
  4. Berikan detail konfigurasi berikut:
    • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
    • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
  5. Klik Create and continue.
  6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
  7. Klik Continue lalu klik Done.
  8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
  9. Klik Add key > Create new key.
  10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
  11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
  12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

  1. Login ke konsol Google SecOps.
  2. Buka Setelan SIEM > Agen Pengumpulan.
  3. Download file autentikasi penyerapan.
  4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Mendapatkan ID pelanggan Google SecOps

  1. Login ke konsol Google SecOps.
  2. Buka SIEM Settings > Profile.
  3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

  1. Buka Command Prompt atau PowerShell sebagai administrator.

  2. Jalankan perintah berikut:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sc query observiq-otel-collector

Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

  1. Buka terminal dengan hak istimewa root atau sudo.

  2. Jalankan perintah berikut:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Tunggu hingga penginstalan selesai.

  4. Verifikasi penginstalan dengan menjalankan:

    sudo systemctl status observiq-otel-collector

Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

  • Linux: /opt/observiq-otel-collector/config.yaml
  • Windows: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

Mengedit file konfigurasi

  • Ganti seluruh konten config.yaml dengan konfigurasi berikut:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fireeye_emps:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: FIREEYE_EMPS
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/fireeye_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/fireeye_emps

Parameter konfigurasi

Ganti placeholder berikut:

  • Konfigurasi penerima:

    • Penerima dikonfigurasi untuk syslog UDP di port 514.
    • Untuk menggunakan port non-hak istimewa di Linux, ubah 514 menjadi 1514 atau yang lebih tinggi.
    • Untuk menggunakan TCP, bukan UDP, ganti udplog dengan tcplog.

  • Konfigurasi pengekspor:

    • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1).
    • YOUR_CUSTOMER_ID: Ganti dengan ID pelanggan Anda yang sebenarnya.
    • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
    • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
    • endpoint: Tetap tetapkan ke chronicle.googleapis.com.
    • log_type: Harus persis FIREEYE_EMPS.
    • ingestion_labels: Label opsional dalam format YAML.

Pengekspor API penyerapan lama

  • Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/fireeye_emps:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FIREEYE_EMPS
    raw_log_field: body
    ingestion_labels:
      env: production

Mulai ulang agen Bindplane untuk menerapkan perubahan

Untuk memulai ulang agen Bindplane di Linux:

  1. Jalankan perintah berikut:

    sudo systemctl restart observiq-otel-collector

  2. Pastikan layanan sedang berjalan:

    sudo systemctl status observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    sudo journalctl -u observiq-otel-collector -f

Untuk memulai ulang agen Bindplane di Windows:

  1. Pilih salah satu opsi berikut:

    • Command Prompt atau PowerShell sebagai administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Konsol layanan:
      1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
      2. Cari observIQ OpenTelemetry Collector.
      3. Klik kanan, lalu pilih Restart.

  2. Pastikan layanan sedang berjalan:

    sc query observiq-otel-collector

  3. Periksa log untuk mengetahui error:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Mengonfigurasi penerusan syslog FireEye eMPS

Mengakses FireEye eMPS CLI

  1. Hubungkan ke appliance FireEye eMPS melalui SSH atau konsol.
  2. Login dan masuk ke mode aktifkan: hostname> enable
  3. Masuk ke mode konfigurasi: hostname# configure terminal

Mengonfigurasi server syslog

  1. Tambahkan agen Bindplane sebagai tujuan perangkap syslog: hostname(config)# fenotify rsyslog trap-sink chronicle address <BINDPLANE_IP_ADDRESS>
  2. Setel format syslog ke CEF: hostname(config)# fenotify rsyslog trap-sink chronicle prefer message format cef
  3. Setel fasilitas syslog ke local4 (direkomendasikan): hostname(config)# fenotify rsyslog default facility local4
  4. Tetapkan mode pengiriman: hostname(config)# fenotify rsyslog trap-sink chronicle message delivery per-event
  5. Tetapkan tingkat keparahan pemberitahuan: hostname(config)# fenotify rsyslog trap-sink chronicle prefer message send-as alert
  6. Tetapkan protokol: hostname(config)# fenotify rsyslog trap-sink chronicle protocol udp
  7. Tetapkan port: hostname(config)# fenotify rsyslog trap-sink chronicle port 514

Mengaktifkan notifikasi syslog

  1. Aktifkan notifikasi rsyslog secara global: hostname(config)# fenotify rsyslog enable
  2. Aktifkan notifikasi global: hostname(config)# fenotify enable

  3. Mengaktifkan jenis notifikasi tertentu:

    hostname(config)# fenotify rsyslog alert malware-object enable
hostname(config)# fenotify rsyslog alert malware-callback enable
hostname(config)# fenotify rsyslog alert infection-match enable
hostname(config)# fenotify rsyslog alert domain-match enable

  4. Verifikasi konfigurasi: hostname(config)# show fenotify alerts

  5. Simpan dan keluar:

    hostname(config)# write memory
hostname(config)# exit
hostname# exit

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
about.asset.asset_id Digabungkan dari device_vendor, device_product, dan deviceExternalId
tentang tentang Digabungkan dari about_token
about.file.full_path about.file.full_path Nilai disalin secara langsung
about.file.sha256 about.file.sha256 Nilai disalin secara langsung
about.file.size about.file.size Nilai disalin secara langsung
about.hostname about.hostname Nilai disalin langsung
about.ip about.ip Merged from ips array
about.mac about.mac Nilai dari dvcmac jika MAC valid, jika tidak, dari mac_address
about.nat_ip about.nat_ip Nilai disalin langsung dari deviceTranslatedAddress
about.process.command_line about.process.command_line Nilai dari Subject jika tidak kosong, jika tidak, Emne, jika tidak, Path
about.process.file.full_path about.process.file.full_path Nilai disalin secara langsung
about.process.pid about.process.pid Nilai disalin secara langsung
about.resource.attribute.permissions about.resource.attribute.permissions Nilai disalin langsung dari izin
tambahan tambahan Diganti namanya secara langsung
additional_cfp1 additional.fields Digabungkan ke dalam kolom tambahan
additional_cfp2 additional.fields Digabungkan ke dalam kolom tambahan
additional_cfp3 additional.fields Digabungkan ke dalam kolom tambahan
additional_cfp4 additional.fields Digabungkan ke kolom tambahan
additional_cn1 additional.fields Digabungkan ke dalam kolom tambahan
additional_cn2 additional.fields Digabungkan ke kolom tambahan
additional_cn3 additional.fields Digabungkan ke kolom tambahan
additional_cs1 additional.fields Digabungkan ke dalam kolom tambahan
additional_cs2 additional.fields Digabungkan ke dalam kolom tambahan
additional_cs3 additional.fields Digabungkan ke kolom tambahan
additional_cs4 additional.fields Digabungkan ke kolom tambahan
additional_cs5 additional.fields Digabungkan ke kolom tambahan
additional_cs6 additional.fields Digabungkan ke dalam kolom tambahan
additional_cs7 additional.fields Digabungkan ke dalam kolom tambahan
additional_devicePayloadId additional.fields Digabungkan ke kolom tambahan
additional_eventId additional.fields Digabungkan ke kolom tambahan
additional_fname additional.fields Digabungkan ke kolom tambahan
additional_flexString1 additional.fields Digabungkan ke dalam kolom tambahan
additional_flexString2 additional.fields Digabungkan ke kolom tambahan
app_protocol_output network.application_protocol Nilai disalin secara langsung
cs1Label, cs1 additional.fields Kunci dari cs1Label, nilai dari cs1
cs2Label, cs2 additional.fields Kunci dari cs2Label, nilai dari cs2
cs3Label, cs3 additional.fields Kunci dari cs3Label, nilai dari cs3
cs4Label, cs4 additional.fields Kunci dari cs4Label, nilai dari cs4
cs5Label, cs5 additional.fields Kunci dari cs5Label, nilai dari cs5
cs6Label, cs6 additional.fields Kunci dari cs6Label, nilai dari cs6
cs7Label, cs7 additional.fields Kunci dari cs7Label, nilai dari cs7
cfp1Label, cfp1 additional.fields Kunci dari cfp1Label, nilai dari cfp1
cfp2Label, cfp2 additional.fields Kunci dari cfp2Label, nilai dari cfp2
cfp3Label, cfp3 additional.fields Kunci dari cfp3Label, nilai dari cfp3
cfp4Label, cfp4 additional.fields Kunci dari cfp4Label, nilai dari cfp4
cn1Label, cn1 additional.fields Kunci dari cn1Label, nilai dari cn1
cn2Label, cn2 additional.fields Kunci dari cn2Label, nilai dari cn2
cn3Label, cn3 additional.fields Kunci dari cn3Label, nilai dari cn3
customer_label security_result.detection_fields Digabungkan ke kolom deteksi
destination_translated_address target.nat_ip Nilai disalin langsung
device_name_not_present, Enhetsnavn principal.hostname Nilai dari Device_name jika tidak kosong, atau Enhetsnavn
deviceExternalId about.asset.asset_id Bagian dari penyambungan
devicePayloadId additional.fields Kunci sebagai devicePayloadId, nilai disalin
deviceTranslatedAddress about.nat_ip Nilai disalin langsung
device_vendor about.asset.asset_id Bagian dari penyambungan
device_product about.asset.asset_id Bagian dari penyambungan
device_version metadata.product_version Nilai disalin secara langsung
device_event_class_id, event_name metadata.product_event_type Digabungkan sebagai [%{device_event_class_id}] - %{event_name} jika keduanya ada, atau device_event_class_id atau event_name
device_process_name about.process.command_line Nilai disalin secara langsung
device_vendor metadata.vendor_name Nilai disalin langsung
device_product metadata.product_name Nilai disalin langsung
dhost target.hostname Nilai disalin secara langsung
dmac target.mac Nilai disalin secara langsung
dntdom target.administrative_domain Nilai disalin secara langsung
dpid target.process.pid Nilai disalin secara langsung
dproc target.process.command_line Nilai disalin secara langsung
dst target.asset.ip Nilai disalin langsung
dst_ip target.ip Nilai disalin langsung
duid target.user.userid Nilai dari temp_duid setelah ekstraksi grok
duser target.user.user_display_name Nilai disalin langsung
dvchost about.hostname Nilai disalin langsung
deviceNtDomain about.administrative_domain Nilai disalin langsung
dvcmac about.mac Nilai dari dvcmac jika MAC valid
dvc_mac about.mac Nilai dari dvc_mac jika MAC valid
eventId additional.fields Kunci sebagai eventId, nilai disalin
eventid additional.fields Kunci sebagai eventId, nilai dari eventid
externalId metadata.product_log_id Nilai disalin secara langsung
externalID_value metadata.product_log_id Nilai disalin langsung
file_full_path metadata.event_type Set to PROCESS_UNCATEGORIZED if file_full_path not empty
fileHash about.file.sha256 Nilai disalin langsung jika bukan hash, atau about.file.full_path
filePath about.file.full_path Nilai disalin langsung
fileType about.file.mime_type Nilai disalin langsung
flexString1Label, flexString1 additional.fields Kunci dari flexString1Label, nilai dari flexString1
flexString2Label, flexString2 additional.fields Kunci dari flexString2Label, nilai dari flexString2
fname additional.fields Kunci sebagai fname, nilai disalin
Dibuat metadata.event_timestamp Dikonversi menggunakan pencocokan tanggal yyyy-MM-ddTHH:mm:ss
Generert metadata.event_timestamp Dikonversi menggunakan pencocokan tanggal yyyy-MM-ddTHH:mm:ss
Group_name principal.group.group_display_name Nilai disalin langsung
Gruppenavn principal.group.group_display_name Value from Gruppenavn if Group_name empty
infection_channel_label security_result.detection_fields Digabungkan ke kolom deteksi
di network.received_bytes Dikonversi menjadi uinteger jika bukan 0
IPv6_Address target.ip Digabungkan jika bukan "-"
ipv6 target.ip Digabungkan jika bukan "-"
mac principal.mac Nilai disalin secara langsung
mac_address target.mac Nilai disalin secara langsung
mac_address about.mac Nilai dari mac_address
metadata metadata Diganti namanya secara langsung
msg metadata.description Nilai disalin secara langsung
msg_data_2 security_result.description Nilai disalin langsung
mottatt_not_present, Mottatt metadata.collected_timestamp Dikonversi menggunakan pencocokan tanggal yyyy-MM-ddTHH:mm:ss
jaringan jaringan Diganti namanya secara langsung
oldFilePath src.file.full_path Nilai disalin langsung
oldFileSize src.file.size Dikonversi ke uinteger
old_permissions src.resource.attribute.permissions Nilai disalin langsung
operasjon_label security_result.detection_fields Digabungkan ke kolom deteksi
operation_label security_result.detection_fields Digabungkan ke kolom deteksi
keluar network.sent_bytes Dikonversi ke uinteger jika bukan 0
permission_label security_result.detection_fields Digabungkan ke kolom deteksi
izin about.resource.attribute.permissions Nilai disalin langsung
utama utama Diganti namanya secara langsung
principal_ip principal.ip Nilai disalin langsung
principal_role principal.user.attribute.roles Digabungkan ke dalam peran
protocol_number_src network.ip_protocol Nilai disalin secara langsung
Diterima metadata.collected_timestamp Dikonversi menggunakan pencocokan tanggal yyyy-MM-ddTHH:mm:ss
bernalar security_result.summary Nilai disalin secara langsung
permintaan target.url Nilai disalin langsung
requestClientApplication network.http.user_agent Nilai disalin secara langsung
requestMethod network.http.method Nilai disalin langsung
resource_Type_label target.resource.attribute.labels Digabungkan ke label
rt @timestamp Dikonversi menggunakan berbagai format tanggal dan penyesuaian zona waktu
security_result security_result Digabungkan secara langsung
security_result_token security_result Digabungkan secara langsung
tingkat keseriusan, security_result.severity Tetapkan ke LOW jika dalam [0,1,2,3,LOW]; MEDIUM jika dalam [4,5,6,MEDIUM,SUBSTANTIAL,INFO]; HIGH jika dalam [7,8,HIGH,SEVERE]; CRITICAL jika dalam [9,10,VERY-HIGH,CRITICAL]
shost principal.hostname Nilai disalin langsung jika bukan IP, jika tidak, principal.ip
shost principal.ip Nilai disalin langsung jika IP
shost_present principal.machine_id_present Setel ke benar (true)
smac principal.mac Nilai disalin langsung setelah pemformatan
sntdom principal.administrative_domain Nilai disalin langsung
sourceDnsDomain target.asset.hostname, target.hostname Nilai dari sourceDnsDomain melalui grok ke tar_host
sourceServiceName principal.application Nilai disalin secara langsung
sourceTranslatedAddress principal.nat_ip Nilai disalin secara langsung
sourceTranslatedPort principal.nat_port Dikonversi ke bilangan bulat
spid principal.process.pid Nilai disalin secara langsung
sproc principal.process.command_line Nilai disalin langsung
spt principal.port Dikonversi ke bilangan bulat jika bukan 0 atau {srcPort}
src principal.asset.ip Nilai disalin secara langsung
src_ip principal.ip Nilai disalin secara langsung
srcaddr principal.ip Nilai disalin langsung
spyware_Grayware_Type_label security_result.detection_fields Digabungkan ke kolom deteksi
suser principal.user.user_display_name Nilai disalin langsung jika tidak diawali dengan {
suid principal.user.userid Nilai disalin secara langsung
target target Diganti namanya secara langsung
target_ip target.ip Nilai disalin langsung
target_role target.user.attribute.roles Digabungkan ke dalam peran
temp_data Digunakan dalam pola grok
temp_dhost target.hostname Nilai disalin secara langsung
temp_duser target.user.user_display_name Nilai disalin langsung
temp_duid target.user.userid Nilai dari temp_duid setelah grok
threat_probability_label security_result.detection_fields Digabungkan ke kolom deteksi
tillatelse_label security_result.detection_fields Digabungkan ke kolom deteksi
type_label security_result.detection_fields Digabungkan ke kolom deteksi
Pengguna target.user.userid Nilai disalin langsung
Pengguna target.user.userid Nilai dari Bruker jika Pengguna kosong
nama pengguna principal.user.userid Nilai disalin secara langsung
Virus_Malware_Name security_result.threat_name Value from Virus_Malware_Name if Spyware empty
Spyware security_result.threat_name Nilai disalin secara langsung
Unknown_Threat security_result.threat_name Nilai dari Unknown_Threat jika Virus_Malware_Name kosong
_hash about.file.sha256 Nilai disalin langsung
_message security_result.description Nilai disalin langsung jika tidak valid
_metadata.customer security_result.detection_fields Kunci sebagai Pelanggan, nilai disalin
_metadata.proxy.address principal.hostname, principal.asset.hostname Nilai disalin secara langsung
_metadata.source.address principal.hostname, principal.asset.hostname Nilai disalin secara langsung
_metadata.source.port principal.port Dikonversi ke bilangan bulat
_metadata.source.type security_result.detection_fields Key sebagai Type, nilai disalin
_metadata.timestamp.producer_process metadata.event_timestamp Dikonversi menggunakan kecocokan tanggal yyyy-MM-ddTHH:mm:ss.SSSZ
act security_result.action_details Nilai disalin secara langsung
act security_result.action Setel ke ALLOW jika act dalam [accept, notified] atau outcome REDIRECTED_USER_MAY_PROCEED atau categoryOutcome Success atau cs2 Allow; BLOCK jika act deny/blocked atau outcome BLOCKED atau categoryOutcome Failure atau cs2 Denied; FAIL jika outcome Failure
tindakan security_result.action Nilai disalin secara langsung
aplikasi app_protocol_src Nilai disalin secara langsung
app_protocol_src network.application_protocol Nilai dari app_protocol_src setelah huruf besar dan pemetaan
categoryOutcome security_result.action Bagian dari kondisional untuk tindakan
cs2 security_result.action Bagian dari kondisional untuk tindakan
cs5 additional.fields Kunci dari cs5Label, nilai dari cs5
cs7 additional.fields Kunci dari cs7Label, nilai dari cs7
destinationTranslatedAddress target.nat_ip Nilai disalin secara langsung
destinationTranslatedPort target.nat_port Dikonversi ke bilangan bulat
deviceDirection network.direction Tetapkan ke INBOUND jika 0, OUTBOUND jika 1
device_event_class_id metadata.product_event_type Bagian dari penyambungan
duid target.user.userid Nilai dari temp_duid setelah grok
dvcmac about.mac Nilai dari dvcmac setelah pemformatan
event_name metadata.product_event_type Bagian dari penyambungan
event_name metadata.event_type Setel ke SCAN_UNCATEGORIZED jika dalam [LogSpyware, LogPredictiveMachineLearning]
fileHash about.file.sha256 Nilai disalin langsung jika hash, jika tidak, about.file.full_path
Mottatt metadata.collected_timestamp Dikonversi menggunakan kecocokan tanggal yyyy-MM-ddTHH:mm:ss
hasil security_result.action Bagian dari kondisional untuk tindakan
port principal.port Dikonversi ke bilangan bulat
protocol_number_src network.ip_protocol Nilai dari protocol_number_src setelah pemetaan
proto protocol_number_src Nilai disalin langsung
tingkat keseriusan, security_result.severity Dipetakan berdasarkan rentang nilai
shost principal.hostname Nilai disalin langsung jika bukan IP
act security_result.action Ditetapkan berdasarkan logika kondisional
app_protocol_src network.application_protocol Dipetakan dari app_protocol_src
protocol_number_src network.ip_protocol Dipetakan dari protocol_number_src
Virus_Malware_Name security_result.threat_name Nilai dari Virus_Malware_Name jika
flexString2 event.idm.read_only_udm.network.email.subject Dipetakan dari log perubahan
version event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
device_product event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
cs1 event.idm.read_only_udm.security_result.rule_name Dipetakan dari log perubahan
cs4 event.idm.read_only_udm.metadata.url_back_to_product Dipetakan dari log perubahan
suser event.idm.read_only_udm.network.email.from Dipetakan dari log perubahan
duser event.idm.read_only_udm.network.email.to Dipetakan dari log perubahan
fname event.idm.read_only_udm.target.file.names Dipetakan dari log perubahan
fileHash event.idm.read_only_udm.target.file.md5 Dipetakan dari log perubahan
flexString1 event.idm.read_only_udm.about.file.sha256 Dipetakan dari log perubahan
observer_application event.idm.read_only_udm.observer.application Dipetakan dari log perubahan
syslog_severity_label event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
start event.idm.read_only_udm.security_result.first_discovered_time Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.