‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Trellix Email Security Cloud (לשעבר FireEye ETP)

גרסת המנתח: 10.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Trellix Email Security – Cloud Edition (לשעבר FireEye ETP) ב-Google Security Operations באמצעות Google Cloud Storage V2 דרך פונקציית Cloud Run.

‫Trellix Email Security - Cloud Edition הוא שער אבטחה מבוסס-ענן לאימייל, שמגן מפני איומים מתקדמים באימייל, כולל פישינג, תוכנות זדוניות, פריצה לאימייל עסקי והתקפות התחזות. הפתרון מספק אבטחה מקיפה לאימיילים נכנסים ויוצאים, עם הגנה על כתובות URL, ארגז חול (sandbox) לקבצים מצורפים ומודיעין איומי סייבר בזמן אמת, שמופעל על ידי Trellix Advanced Research Center.

לפני שמתחילים

ודאו שיש לכם את הדרישות המוקדמות הבאות:

מופע של Google SecOps.
פרויקט ב-Google Cloud שבו מופעלים ממשקי ה-API הבאים:
- Cloud Storage
- פונקציות Cloud Run
- Cloud Scheduler
- Pub/Sub
- Cloud Build
הרשאות ליצור ולנהל קטגוריות של GCS, פונקציות Cloud Run, נושאי Pub/Sub ומשימות של Cloud Scheduler.
גישה עם הרשאות למסוף Admin של FireEye ETP (‏Trellix Email Security – Cloud Edition).
הרשאות אדמין ליצירת מפתחות API בפורטל Trellix.
מפתח API של FireEye ETP עם גישה לנקודת הקצה (endpoint) של ההתראות.

יצירת קטגוריה של Google Cloud Storage

נכנסים למסוף Google Cloud.
בוחרים את הפרויקט הרצוי.
בתפריט הניווט, עוברים אל Cloud Storage > Buckets.
לוחצים על Create bucket.

ממלאים את פרטי ההגדרה הבאים:

הגדרה	ערך
Name your bucket	מזינים שם ייחודי גלובלי (למשל, `fireeye-etp-logs`)
סוג המיקום	בוחרים לפי הצרכים (אזור, שני אזורים, מספר אזורים)
Location	בוחרים את המיקום (למשל, `us-central1`)
סוג אחסון (storage class)	Standard (מומלץ ליומנים שניגשים אליהם לעיתים קרובות)
בקרת גישה	‫Uniform (מומלץ)
כלי הגנה	אופציונלי: הפעלת ניהול גרסאות של אובייקטים או מדיניות שמירת נתונים

לוחצים על יצירה.

איסוף פרטי הכניסה ל-FireEye ETP API

כדי לאפשר לפונקציית Cloud Run לאחזר התראות מ-FireEye ETP, צריך ליצור מפתח API עם ההרשאות המתאימות.

יצירת מפתח API

נכנסים למסוף Admin של FireEye ETP.
בסרגל הניווט העליון, לוחצים על My Settings (ההגדרות שלי).
לוחצים על הכרטיסייה מפתחות API.
לוחצים על Create API Key (יצירת מפתח API).
בקטע מוצרים, בוחרים באפשרות מניעת איומים באימייל.
בקטע הרשאות, בוחרים את כל ההרשאות הזמינות.
לוחצים על יצירה או על יצירת סרטון.

תיעוד פרטי הכניסה של ה-API

מתעדים את הפרטים הבאים:

‫API Key (מפתח API): מפתח ה-API הייחודי שלכם.
כתובת URL בסיסית: שם הדומיין שמוגדר במלואו לאזור שלכם (למשל, etp.us.fireeye.com).

כתובות URL בסיסיות נפוצות כוללות:

etp.us.fireeye.com (ארה"ב)
etp.eu.fireeye.com (האיחוד האירופי)
etp.ap.fireeye.com (אסיה-פסיפיק)

אימות הרשאות ה-API

מוצר או הרשאה	מטרה
מניעת איומים באימייל	גישה להתראות באימייל, לנתוני מעקב ולמידע על איומים
כל ההרשאות	גישה מלאה לממשקי API של התראות, מעקב אחר אימיילים והסגר

בדיקת הגישה ל-API

מוודאים שמפתח ה-API תקין:

curl -s -o /dev/null -w "%{http_code}" \
    -H "x-fireeye-api-key: YOUR_API_KEY" \
    "[https://etp.us.fireeye.com/api/v1/alerts?size=1](https://etp.us.fireeye.com/api/v1/alerts?size=1)"

קוד התגובה 200 מאשר שמפתח ה-API תקין.

יצירת חשבון שירות לפונקציית Cloud Run

כדי להשתמש בפונקציית Cloud Run, צריך חשבון שירות עם הרשאות לכתיבת יומנים ב-GCS ולקבלת הודעות Pub/Sub.

במסוף Google Cloud, נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create Service Account.
מזינים שם (למשל, fireeye-etp-ingestion) ותיאור.
מקצים את התפקידים הבאים:
- אדמין של אובייקט אחסון
- Cloud Run Invoker
לוחצים על סיום.

יצירת נושא Pub/Sub

במסוף Google Cloud, נכנסים לדף Pub/Sub > Topics.
לוחצים על Create Topic.
מזהה הנושא: fireeye-etp-trigger.
לוחצים על יצירה.

יצירה של פונקציית Cloud Run

יוצרים פונקציית Cloud Run ששולחת שאילתות ל-FireEye ETP Alerts API וכותבת את התוצאות כ-NDJSON ב-GCS.

הכנת קוד הפונקציה

במסוף Google Cloud, נכנסים לדף פונקציות Cloud Run.
לוחצים על Create function.
סביבה: דור שני.
שם הפונקציה: fireeye-etp-ingestion.
Region: בוחרים את אותו אזור כמו בקטגוריית GCS.
Trigger type:‏ Cloud Pub/Sub.
נושא ב-Cloud Pub/Sub: fireeye-etp-trigger.
חשבון שירות: בוחרים את חשבון השירות שיצרתם קודם.
לוחצים על הבא.
סביבת זמן ריצה: Python 3.11 (או גרסה עדכנית יותר).
נקודת כניסה: main.

מדביקים את הקוד הבא בקובץ main.py:

"""Cloud Run function to ingest FireEye ETP alerts into GCS."""

import json
import os
import time
from datetime import datetime, timedelta, timezone

import functions_framework
import urllib3
from google.cloud import storage

GCS_BUCKET = os.environ["GCS_BUCKET"]
GCS_PREFIX = os.environ.get("GCS_PREFIX", "fireeye_etp")
STATE_KEY = os.environ.get("STATE_KEY", "fireeye_etp_state.json")
API_KEY = os.environ["API_KEY"]
API_BASE = os.environ.get("API_BASE", "etp.us.fireeye.com")
MAX_RECORDS = int(os.environ.get("MAX_RECORDS", "10000"))
PAGE_SIZE = int(os.environ.get("PAGE_SIZE", "100"))
LOOKBACK_HOURS = int(os.environ.get("LOOKBACK_HOURS", "1"))

http = urllib3.PoolManager()
gcs = storage.Client()

def _load_state() -> dict:
        """Load the last event time from GCS state file."""
        bucket = gcs.bucket(GCS_BUCKET)
        blob = bucket.blob(f"{GCS_PREFIX}/{STATE_KEY}")
        if blob.exists():
                return json.loads(blob.download_as_text())
        return {}

def _save_state(state: dict) -> None:
        """Persist the state dict back to GCS."""
        bucket = gcs.bucket(GCS_BUCKET)
        blob = bucket.blob(f"{GCS_PREFIX}/{STATE_KEY}")
        blob.upload_from_string(
                json.dumps(state), content_type="application/json"
        )

def _api_get(path: str, params: dict, retries: int = 5) -> dict:
        """Execute a GET request against the FireEye ETP API with retry on 429."""
        url = f"https://{API_BASE}{path}"
        headers = {
                "x-fireeye-api-key": API_KEY,
                "Accept": "application/json",
        }
        backoff = 2
        for attempt in range(retries):
                resp = http.request(
                        "GET", url, headers=headers, fields=params
                )
                if resp.status == 200:
                        return json.loads(resp.data.decode("utf-8"))
                if resp.status == 429:
                        wait = backoff * (2 ** attempt)
                        print(
                                f"Rate limited (429). Retrying in {wait}s "
                                f"(attempt {attempt + 1}/{retries})."
                        )
                        time.sleep(wait)
                        continue
                raise RuntimeError(
                        f"FireEye ETP API error: {resp.status} — {resp.data.decode('utf-8')}"
                )
        raise RuntimeError(
                "FireEye ETP API rate limit exceeded after maximum retries."
        )

def _fetch_alerts(since: str) -> list:
        """Fetch alerts from FireEye ETP with offset-based pagination."""
        all_alerts = []
        offset = 0
        while len(all_alerts) < MAX_RECORDS:
                params = {
                        "from_last_modified_on": since,
                        "size": str(PAGE_SIZE),
                        "offset": str(offset),
                }
                data = _api_get("/api/v1/alerts", params)
                alerts = data.get("data", [])
                if not alerts:
                        break
                all_alerts.extend(alerts)
                offset += len(alerts)
                if len(alerts) < PAGE_SIZE:
                        break
        return all_alerts[:MAX_RECORDS]

def _write_ndjson(alerts: list, run_ts: str) -> str:
        """Write alerts as NDJSON to GCS and return the blob path."""
        bucket = gcgcs.bucketCS_BUCKET)
        blob_path = (
                f"{GCS_PREFIX}/year={run_ts[:4]}/month={run_ts[5:7]}/"
                f"day={run_ts[8:10]}/{run_ts}_alerts.ndjson"
        )
        blob = bucket.blob(blob_path)
        ndjson = "\n".join(json.dumps(a, separators=(",", ":")) for a in alerts)
        blob.upupload_from_stringdjson, content_type="application/x-ndjson")
        return blob_path

@functions_framework.cloud_event
def main(cloud_event):
        """Entry point triggered by Pub/Sub via Cloud Scheduler."""
        state = _load_state()
        now = datetime.now(timezone.utc)
        since = ststateet(
                "last_event_time",
                (now - timedelta(hours=LOOKBACK_HOURS)).strftime(
                        "%Y-%m-%dT%H:%M:%S.000"
                ),
        )
        print(f"Fetching FireEye ETP alerts since {since}.")
        alerts = _fetch_alerts(since)
        if not alerts:
                print("No new alerts found.")
                return "OK"
        run_ts = now.strftime("%Y-%m-%dT%H%M%SZ")
        blob_path = _write_ndjson(alerts, run_ts)
        print(f"Wrote {len(alerts)} alerts to gs://{GCS_BUCKET}/{blob_path}.")
        latest = max(
                a.get("attributes", {})
                .get("meta", {})
                .get("last_modified_on", since)
                for a in alerts
        )
        state["last_event_time"] = latest
        _save_state(state)
        print(f"State updated. last_event_time={latest}.")
        return "OK"

מדביקים את הקוד הבא בקובץ requirements.txt:

functions-framework==3.*
google-cloud-storage==2.*
urllib3==2.*

הגדרת משתני סביבה

בקטע משתני סביבת זמן ריצה, מוסיפים את הפרטים הבאים:

משתנה	ערך לדוגמה
`GCS_BUCKET`	`fireeye-etp-logs`
`GCS_PREFIX`	`fireeye_etp`
`STATE_KEY`	`fireeye_etp_state.json`
`API_KEY`	מפתח ה-API של FireEye ETP
`API_BASE`	`etp.us.fireeye.com`
`MAX_RECORDS`	`10000`
`PAGE_SIZE`	`100`
`LOOKBACK_HOURS`	`1`

מגדירים את הקצאת זיכרון ל-‎256MB ואת זמן קצוב לתפוגה ל-540 שניות.
לוחצים על Deploy.

יצירת משימה ב-Cloud Scheduler

במסוף Google Cloud, נכנסים ל-Cloud Scheduler.
לוחצים על Create Job.
שם: fireeye-etp-ingestion-schedule.
תדירות: */5 * * * * (כל 5 דקות).
אזור זמן: UTC.
לוחצים על Continue.
Target type:‏ Pub/Sub.
נושא ב-Cloud Pub/Sub: fireeye-etp-trigger.
גוף ההודעה: {"run": true}.
לוחצים על יצירה.

אחזור של חשבון השירות של Google SecOps

עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
לוחצים על הוספת פיד חדש ובוחרים באפשרות הגדרת פיד יחיד.
שם הפיד: FireEye ETP Alerts.
סוג המקור: Google Cloud Storage V2.
סוג היומן: FireEye ETP.
לוחצים על Get Service Account (קבלת חשבון שירות) ומעתיקים את כתובת האימייל שמוצגת.
לוחצים על הבא.
כתובת ה-URL של קטגוריית האחסון: gs://fireeye-etp-logs/fireeye_etp/ (כולל הקו הנטוי בסוף).
אפשרות למחיקת המקור: בוחרים לפי ההעדפה שלכם.
לוחצים על הבא, בודקים את הפרטים ולוחצים על שליחה.

מתן הרשאות IAM

לחשבון השירות צריך להיות התפקיד צפייה באובייקט אחסון בקטגוריה.

עוברים אל Cloud Storage > Buckets.
בוחרים את הקטגוריה ולוחצים על הכרטיסייה Permissions.
לוחצים על הענקת גישה.
הוספת חשבונות משתמשים: מדביקים את כתובת האימייל של חשבון השירות של Google SecOps.
הקצאת תפקידים: בוחרים באפשרות צפייה באובייקטים באחסון.
לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
	מידע כללי	Merged from about_field
	about.file.full_path	ערך מ-entry.attributes.email.attachment אם הוא לא ריק
	about.file.md5	ערך מ-entry.attributes.alert.malware_md5
	about.hostname	חולץ מ-entry.attributes.email.attachment
	about.url	‫full_path מנורמל אם הוא מתחיל ב-hxxp
	additional.fields	מוזגו ממספר תוויות פנימיות ושדות של מטא-נתונים
	מתווך	מוזג מהמתווך
	intermediary.ip	מוזג מ-alert.smtp-message.ip_address
	intermediary.location.country_or_region	הגדרה ל-%{alert.smtp-message.country}
	intermediary.user.email_addresses	מוזג מ-src_email
	metadata.description	הגדרת %{alert.name}
	metadata.event_timestamp	הותאם מ-accepted_timestamp, מ-last_modified_on או מ-attack-time
	metadata.event_type	מסווגים לפי תנאים של עדכון סטטוס, משתמש או רשת
	metadata.product_log_id	צריך להגדיר את מזהה ההודעה, מזהה המאפיין או ה-UUID של ההתראה
	metadata.product_version	הגדרת גרסה %{version}
	metadata.url_back_to_product	הגדרה כ-%{entry.links.detail}
	network.application_protocol	מגדירים את האפשרות "SMTP"
	network.direction	‫traffic_type באותיות רישיות (INBOUND/OUTBOUND)
	network.dns_domain	הגדרה ל-%{attributes.domain}
	network.email.cc	מוזגו משדות של עותק בכותרות או במערכים
	network.email.from	הגדרה לפי שדות "מאת" בכותרת או ב-SMTP
	network.email.mail_id	מוגדר לפי מזהה ההודעה המקורי או מזהה ההודעה במורד הזרם
	network.email.subject	שדות נושא ממוזגים מהכותרת
	network.email.to	מוזג משדות "אל" בכותרת או בנמעני SMTP
	principal.administrative_domain	צריך להגדיר את מזהה ההודעה או את דומיין המקור של ETP
	principal.asset.hostname	הגדרה למארח המקור או לשם המארח במורד הזרם
	principal.asset.ip	מוזג מהשדות sender_ip או source_ip
	principal.asset.mac	מוזג מכתובת ה-MAC של המקור אם היא לא ריקה
	principal.hostname	הגדרה למארח המקור או לשם המארח במורד הזרם
	principal.ip	מוזג מהשדות sender_ip או source_ip
	principal.labels	מוזג עם התוויות mail_from ו-rcpt_to
	principal.location.country_or_region	הגדרה לפי קוד המדינה של המקור
	principal.mac	מוזג מכתובת ה-MAC של המקור אם היא לא ריקה
	principal.user.email_addresses	מוזג מ-alert.smtp-message.from
	principal.user.user_display_name	הגדרה של שדות השם המוצג של הכותרת "מאת"
	principal.user.userid	הגדרה למזהה ההודעה המקורית
	principal.email	הגדרת שדות אימייל בכותרת "מאת"
	security_result	מוזג מכמה מבני תוצאות
	security_result.about.resource.attribute.creation_time	התאמה לפי שדות של חותמות זמן בהתראות
	security_result.action	"חסימה" אם הסטטוס הוא "הוסר", "הועבר להסגר" או "נמחק"
	security_result.action_details	הגדרת %{alert.action}
	security_result.attack_details.tactics	מוזגו על סמך מזהים או שמות של MITRE
	security_result.attack_details.techniques	מוזגו על סמך נתוני הטכניקה של MITRE
	security_result.category	"MAIL_PHISHING" אם threat_type תואם ל-Phishing
	security_result.category_details	מוזג מ-threat_type או מ-verdict
	security_result.detection_fields	מיזוג של כמה תוויות סטטוס ותוויות פסיקה
	security_result.risk_score	מוגדר ל-5.0 או ל-10.0 בהתאם לחומרה
	security_result.severity	הגדרה לרמה גבוהה/בינונית/נמוכה בהתאם לחומרת ההתראה
	security_result.severity_details	הגדרת חומרת ההתראה ל-%{alert_severity}
	security_result.summary	Set from last_malware or downstream description
	security_result.threat_id	הגדרה ממזהה מדור קודם או ממזהה מעקב
	security_result.threat_name	הגדרה לפי סיכום או שם של תוכנה זדונית
	security_result.verdict_info	מוזג אם הסיווג הוא RISKWARE
	target.asset.hostname	הגדרה לפי שם המארח של הודעת המסירה
	target.file.first_seen_time	הותאם לפי זמן ההתקפה של ההתראה
	target.file.first_submission_time	התאמה לפי זמן השליחה של התוכנה הזדונית
	target.file.full_path	הגדרה מהנתיב המקורי של התוכנה הזדונית
	target.file.md5	הגדרה לפי סכום MD5 של תוכנה זדונית
	target.file.names	מוזג משם התוכנה הזדונית
	target.file.sha256	הגדרה לפי SHA256 של תוכנה זדונית
	target.file.size	הגדרה לפי בייטים של הודעות מסירה
	target.hostname	הגדרה לפי שם המארח של הודעת המסירה
	target.labels	מוזג עם תוויות של תור ופרוטוקול
	target.url	הגדרה מכתובת ה-URL המקורית של התוכנה הזדונית
	target.user.email_addresses	מוזגו משדות האימייל והנמען של היעד
	metadata.vendor_name	צריך להגדיר את הערך FireEye.
	metadata.product_name	הגדרה כ-ETP
`smtp-message.threat_type`	`event.idm.read_only_udm.metadata.product_event_type`	מופה מיומן השינויים
`smtp-message.protocol`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`entry.attributes.email.smtp.rcpt_to`	`event.idm.read_only_udm.principal.resource.attribute.labels`	מופה מיומן השינויים
`entry.attributes.email.smtp.mail_from`	`event.idm.read_only_udm.principal.resource.attribute.labels`	מופה מיומן השינויים
`alert.smtp-message.last-malware`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`alert.smtp-message.protocol`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`alert.smtp-message.queue-id`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`alert.ack`	`event.idm.read_only_udm.target.resource.attribute.labels`	מופה מיומן השינויים
`mta_msg_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`msg`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`domain`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`original`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`alert_date`	`event.idm.read_only_udm.metadata.event_timestamp`	מופה מיומן השינויים
`smtp-message.ip_address`	`event.idm.read_only_udm.principal.ip` וגם `event.idm.read_only_udm.principal.asset.ip`	מופה מיומן השינויים
`smtp-message.threat_type`	`event.idm.read_only_udm.security_result.summary`	מופה מיומן השינויים
`smtp-message.threat_type_description`	`event.idm.read_only_udm.security_result.description`	מופה מיומן השינויים
`email-header.to`	`event.idm.read_only_udm.network.email.to`	מופה מיומן השינויים
`smtp-message.to`	`event.idm.read_only_udm.network.email.to`	מופה מיומן השינויים
`email-header.from`	`event.idm.read_only_udm.network.email.from`	מופה מיומן השינויים
`email-header.cc`	`event.idm.read_only_udm.network.email.cc`	מופה מיומן השינויים
`email-header.subject`	`event.idm.read_only_udm.network.email.subject`	מופה מיומן השינויים
`email-header.message-id`	`event.idm.read_only_udm.network.email.mail_id`	מופה מיומן השינויים
`malware.name`	`event.idm.read_only_udm.security_result.threat_name`	מופה מיומן השינויים
`malware.stype`	`event.idm.read_only_udm.security_result.threat_id`	מופה מיומן השינויים
`sha256`	`event.idm.read_only_udm.security_result.about.file.sha256`	מופה מיומן השינויים
`md5`	`event.idm.read_only_udm.security_result.about.file.md5`	מופה מיומן השינויים
`email_status`	`event.idm.read_only_udm.security_result.action`	מופה מיומן השינויים
`email_status`	`event.idm.read_only_udm.security_result.action_details`	מופה מיומן השינויים
`smtp-message.from`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`smtp-message.last-malware`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`smtp-message.country`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`smtp-message.queue-id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`ack`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`is_read`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.smtp-message.threat_type_description`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`custom.riskware_action`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`custom.riskware_result`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert_type`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`traffic_type`	`event.idm.read_only_udm.network.direction`	מופה מיומן השינויים
`domain_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`,`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`custom`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`alert.smtp-message.threat_type`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`alert.email-header.cc`	`event.idm.read_only_udm.network.email.cc`	מופה מיומן השינויים
`action_yara`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`verdict_yara`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`delivery_timestamp`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`syslog_process`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`timestamp`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`usr_display_name`	`event.idm.read_only_udm.principal.user.user_display_name`	מופה מיומן השינויים
`is_retro`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.email-header.to`	`event.idm.read_only_udm.target.user.email_addresses`	מופה מיומן השינויים
`alert.action`	`event.idm.read_only_udm.security_result.action_details`	מופה מיומן השינויים
`alert.attack-time`	`event.idm.read_only_udm.target.file.first_seen_time`	מופה מיומן השינויים
`alert.dst.smtp-to`	`event.idm.read_only_udm.target.user.email_addresses`	מופה מיומן השינויים
`alert.email-header.from`	`event.idm.read_only_udm.network.email.from`	מופה מיומן השינויים
`alert.email-header.message-id`	`event.idm.read_only_udm.network.email.mail_id`	מופה מיומן השינויים
`alert.email-header.subject`	`event.idm.read_only_udm.network.email.subject`	מופה מיומן השינויים
`alert.ack`	`event.idm.read_only_udm.target.labels`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.application`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.downloaded-at`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.executed-at`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.md5sum`	`event.idm.read_only_udm.target.file.md5`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.md5sum`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.name`	`event.idm.read_only_udm.target.file.names`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.original`	`event.idm.read_only_udm.target.url`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.original`	`event.idm.read_only_udm.target.file.full_path`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.original`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.profile`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.sha256`	`event.idm.read_only_udm.target.file.sha256`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.sha256`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.stype`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.submitted-at`	`event.idm.read_only_udm.target.file.first_submission_time`	מופה מיומן השינויים
`alert.explanation.malware-detected.malware.type`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.interface.interface`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.interface.mode`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.name`	`event.idm.read_only_udm.metadata.description`	מופה מיומן השינויים
`alert.occurred`	`event.idm.read_only_udm.metadata.event_timestamp`	מופה מיומן השינויים
`alert.sc-version`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.severity`	`event.idm.read_only_udm.security_result.severity`	מופה מיומן השינויים
`alert.smtp-message.country`	`event.idm.read_only_udm.intermediary.location.country_or_region`	מופה מיומן השינויים
`alert.smtp-message.date`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`alert.smtp-message.from`	`event.idm.read_only_udm.principal.user.email_addresses`	מופה מיומן השינויים
`alert.smtp-message.ip_address`	`event.idm.read_only_udm.intermediary.ip`	מופה מיומן השינויים
`alert.smtp-message.last-malware`	`event.idm.read_only_udm.target.labels`	מופה מיומן השינויים
`alert.smtp-message.protocol`	`event.idm.read_only_udm.target.labels`	מופה מיומן השינויים
`alert.smtp-message.queue-id`	`event.idm.read_only_udm.target.labels`	מופה מיומן השינויים
`alert.smtp-message.to`	`event.idm.read_only_udm.network.email.to`	מופה מיומן השינויים
`alert.src.domain`	`event.idm.read_only_udm.principal.administrative_domain`	מופה מיומן השינויים
`alert.src.smtp-mail-from`	`event.idm.read_only_udm.principal.user.email_addresses`	מופה מיומן השינויים
`alert.uuid`	`event.idm.read_only_udm.metadata.product_log_id`	מופה מיומן השינויים
`mitre_mapping.bale.bale_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`mitre_mapping.bale.name`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`mitre_mapping.bale.os_change_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`mitre_mapping.bale.severity`	`event.idm.read_only_udm.security_result.detection_fields`	מופה מיומן השינויים
`mitre_mapping.bale.description`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`mitre_mapping.bale.id`	`event.idm.read_only_udm.security_result.attack_details.techniques`	מופה מיומן השינויים
`tactics_data`	`event.idm.read_only_udm.security_result.attack_details.tactics`	מופה מיומן השינויים
`alert.src.url`	`event.idm.read_only_udm.principal.url`	מופה מיומן השינויים
`mta_msg_id`	`event.idm.read_only_udm.target.labels`	מופה מיומן השינויים
`msg`	`event.idm.read_only_udm.about.labels`	מופה מיומן השינויים
`parent_uuid`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`verdict`	`event.idm.read_only_udm.security_result.verdict_info`	מופה מיומן השינויים
`version`	`event.idm.read_only_udm.metadata.product_version`	מופה מיומן השינויים
`report_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`object_uuid`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`type", "InternalId", "attributes.acceptedDateTime", "attributes.lastModifiedDateTime", "attributes.senderSMTP", "attributes.status", and "attributes.urlDomains`	`additional.fields`	מופה מיומן השינויים
`attributes.countryCode`	`principal.location.country_or_region`	מופה מיומן השינויים
`attributes.senderIP`	`principal.ip`	מופה מיומן השינויים
`attributes.recipientSMTP`	`network.email.to`	מופה מיומן השינויים
`attributes.senderHeader`	`network.email.from`	מופה מיומן השינויים
`attributes.subject`	`network.email.subject`	מופה מיומן השינויים
`alert.attributes.alert.malware_md5`	`about.file.md5`	מופה מיומן השינויים
`id", "alert.explanation.analysis","alert.explanation.malware_os_analysis","email.dod_report_id" and "email.status`	`security_result.detection_fields`	מופה מיומן השינויים
`alert.sha256`	`about.file.sha256`	מופה מיומן השינויים
`alert.severity`	`security_result.severity`	מופה מיומן השינויים
`email.smtp.mail_from`	`network.email.from`	מופה מיומן השינויים
`email.smtp.recipients`	`network.email.to`	מופה מיומן השינויים
`email.headers.subject`	`network.email.subject`	מופה מיומן השינויים
`email.source_ip`	`principal.ip`	מופה מיומן השינויים
`alert.explanation.malware_detected.malware.threat_type`	`security_result.category`	מופה מיומן השינויים
`alert.explanation.malware_detected.malware.trace_iden`	`security_result.threat_id`	מופה מיומן השינויים
`alert.explanation.malware_detected.malware.name`	`security_result.threat_name`	מופה מיומן השינויים
`email.source_country`	`principal.location.country_or_region`	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.