Mengumpulkan log Trellix Email Security Cloud (sebelumnya FireEye ETP)

Versi Parser: 10.0

Didukung di:

Dokumen ini menjelaskan cara menyerap log Trellix Email Security - Cloud Edition (sebelumnya dikenal sebagai FireEye ETP) ke Google Security Operations menggunakan Google Cloud Storage V2 melalui fungsi Cloud Run.

Trellix Email Security - Cloud Edition, adalah gateway keamanan email berbasis cloud yang melindungi dari ancaman email tingkat lanjut, termasuk phishing, malware, penyusupan email bisnis, dan serangan peniruan identitas. Solusi ini memberikan keamanan email masuk dan keluar yang komprehensif dengan pertahanan URL, sandboxing lampiran, dan kecerdasan ancaman real-time yang didukung oleh Trellix Advanced Research Center.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps.
  • Project Google Cloud dengan API berikut diaktifkan:
    • Cloud Storage
    • Cloud Run Functions
    • Cloud Scheduler
    • Pub/Sub
    • Cloud Build
  • Izin untuk membuat dan mengelola bucket GCS, fungsi Cloud Run, topik Pub/Sub, dan tugas Cloud Scheduler.
  • Akses istimewa ke konsol admin FireEye ETP (Trellix Email Security - Cloud Edition).
  • Izin administrator untuk membuat kunci API di portal Trellix.
  • Kunci API FireEye ETP dengan akses ke endpoint Alerts.

Membuat bucket Google Cloud Storage

  1. Buka Konsol Google Cloud.
  2. Pilih project Anda.
  3. Di menu navigasi, buka Cloud Storage > Buckets.
  4. Klik Create bucket.

  5. Berikan detail konfigurasi berikut:

    Setelan Nilai
    Memberi nama bucket Anda Masukkan nama yang unik secara global (misalnya, fireeye-etp-logs)
    Location type Pilih sesuai kebutuhan Anda (Region, Dual-region, Multi-region)
    Location Pilih lokasi (misalnya, us-central1)
    Storage class Standard (direkomendasikan untuk log yang sering diakses)
    Kontrol akses Seragam (direkomendasikan)
    Alat perlindungan Opsional: Mengaktifkan pembuatan versi objek atau kebijakan retensi

  6. Klik Create.

Mengumpulkan kredensial FireEye ETP API

Agar fungsi Cloud Run dapat mengambil pemberitahuan dari FireEye ETP, Anda harus membuat kunci API dengan izin yang sesuai.

Buat kunci API

  1. Login ke konsol admin FireEye ETP.
  2. Di menu navigasi atas, klik My Settings.
  3. Klik tab Kunci API.
  4. Klik Buat kunci API.
  5. Di bagian Produk, pilih Email Threat Prevention.
  6. Di bagian Entitlements, pilih semua hak yang tersedia.
  7. Klik Buat atau Buat.

Mencatat kredensial API

Catat informasi berikut:

  • Kunci API: Kunci API unik Anda.
  • URL dasar: Nama domain yang sepenuhnya memenuhi syarat untuk wilayah Anda (misalnya, etp.us.fireeye.com).

URL dasar yang umum mencakup:

  • etp.us.fireeye.com (AS)
  • etp.eu.fireeye.com (EU)
  • etp.ap.fireeye.com (APAC)

Memverifikasi izin API

Produk/Hak Tujuan
Email Threat Prevention Akses ke email pemberitahuan, data pelacakan, dan informasi ancaman
Semua Hak Akses penuh ke API pemberitahuan, pelacakan email, dan karantina

Menguji akses API

  • Pastikan kunci API Anda valid:

    curl -s -o /dev/null -w "%{http_code}" \
    -H "x-fireeye-api-key: YOUR_API_KEY" \
    "[https://etp.us.fireeye.com/api/v1/alerts?size=1](https://etp.us.fireeye.com/api/v1/alerts?size=1)"

Kode respons 200 mengonfirmasi bahwa kunci API valid.

Membuat akun layanan untuk fungsi Cloud Run

Fungsi Cloud Run memerlukan akun layanan dengan izin untuk menulis log ke GCS dan menerima pesan Pub/Sub.

  1. Di Konsol Google Cloud, buka IAM & Admin > Service Accounts.
  2. Klik Create Service Account.
  3. Berikan nama (misalnya, fireeye-etp-ingestion) dan deskripsi.
  4. Berikan peran berikut:
    • Storage Object Admin
    • Cloud Run Invoker
  5. Klik Done.

Membuat topik Pub/Sub

  1. Di Konsol Google Cloud, buka Pub/Sub > Topics.
  2. Klik Buat Topik.
  3. ID Topik: fireeye-etp-trigger.
  4. Klik Create.

Membuat fungsi Cloud Run

Membuat fungsi Cloud Run yang mengkueri FireEye ETP Alerts API dan menulis hasilnya sebagai NDJSON ke GCS.

Menyiapkan kode fungsi

  1. Di Konsol Google Cloud, buka Cloud Run Functions.
  2. Klik Create function.
  3. Environment: 2nd gen.
  4. Nama fungsi: fireeye-etp-ingestion.
  5. Region: Pilih region yang sama dengan bucket GCS Anda.
  6. Trigger type: Cloud Pub/Sub.
  7. Cloud Pub/Sub topic: fireeye-etp-trigger.
  8. Service account: Pilih akun layanan yang dibuat sebelumnya.
  9. Klik Berikutnya.
  10. Runtime: Python 3.11 (atau yang lebih baru).
  11. Titik entri: main.

  12. Di main.py, tempelkan kode berikut:

    """Cloud Run function to ingest FireEye ETP alerts into GCS."""

import json
import os
import time
from datetime import datetime, timedelta, timezone

import functions_framework
import urllib3
from google.cloud import storage

GCS_BUCKET = os.environ["GCS_BUCKET"]
GCS_PREFIX = os.environ.get("GCS_PREFIX", "fireeye_etp")
STATE_KEY = os.environ.get("STATE_KEY", "fireeye_etp_state.json")
API_KEY = os.environ["API_KEY"]
API_BASE = os.environ.get("API_BASE", "etp.us.fireeye.com")
MAX_RECORDS = int(os.environ.get("MAX_RECORDS", "10000"))
PAGE_SIZE = int(os.environ.get("PAGE_SIZE", "100"))
LOOKBACK_HOURS = int(os.environ.get("LOOKBACK_HOURS", "1"))

http = urllib3.PoolManager()
gcs = storage.Client()

def _load_state() -> dict:
        """Load the last event time from GCS state file."""
        bucket = gcs.bucket(GCS_BUCKET)
        blob = bucket.blob(f"{GCS_PREFIX}/{STATE_KEY}")
        if blob.exists():
                return json.loads(blob.download_as_text())
        return {}

def _save_state(state: dict) -> None:
        """Persist the state dict back to GCS."""
        bucket = gcs.bucket(GCS_BUCKET)
        blob = bucket.blob(f"{GCS_PREFIX}/{STATE_KEY}")
        blob.upload_from_string(
                json.dumps(state), content_type="application/json"
        )

def _api_get(path: str, params: dict, retries: int = 5) -> dict:
        """Execute a GET request against the FireEye ETP API with retry on 429."""
        url = f"https://{API_BASE}{path}"
        headers = {
                "x-fireeye-api-key": API_KEY,
                "Accept": "application/json",
        }
        backoff = 2
        for attempt in range(retries):
                resp = http.request(
                        "GET", url, headers=headers, fields=params
                )
                if resp.status == 200:
                        return json.loads(resp.data.decode("utf-8"))
                if resp.status == 429:
                        wait = backoff * (2 ** attempt)
                        print(
                                f"Rate limited (429). Retrying in {wait}s "
                                f"(attempt {attempt + 1}/{retries})."
                        )
                        time.sleep(wait)
                        continue
                raise RuntimeError(
                        f"FireEye ETP API error: {resp.status} — {resp.data.decode('utf-8')}"
                )
        raise RuntimeError(
                "FireEye ETP API rate limit exceeded after maximum retries."
        )

def _fetch_alerts(since: str) -> list:
        """Fetch alerts from FireEye ETP with offset-based pagination."""
        all_alerts = []
        offset = 0
        while len(all_alerts) < MAX_RECORDS:
                params = {
                        "from_last_modified_on": since,
                        "size": str(PAGE_SIZE),
                        "offset": str(offset),
                }
                data = _api_get("/api/v1/alerts", params)
                alerts = data.get("data", [])
                if not alerts:
                        break
                all_alerts.extend(alerts)
                offset += len(alerts)
                if len(alerts) < PAGE_SIZE:
                        break
        return all_alerts[:MAX_RECORDS]

def _write_ndjson(alerts: list, run_ts: str) -> str:
        """Write alerts as NDJSON to GCS and return the blob path."""
        bucket = gcgcs.bucketCS_BUCKET)
        blob_path = (
                f"{GCS_PREFIX}/year={run_ts[:4]}/month={run_ts[5:7]}/"
                f"day={run_ts[8:10]}/{run_ts}_alerts.ndjson"
        )
        blob = bucket.blob(blob_path)
        ndjson = "\n".join(json.dumps(a, separators=(",", ":")) for a in alerts)
        blob.upupload_from_stringdjson, content_type="application/x-ndjson")
        return blob_path

@functions_framework.cloud_event
def main(cloud_event):
        """Entry point triggered by Pub/Sub via Cloud Scheduler."""
        state = _load_state()
        now = datetime.now(timezone.utc)
        since = ststateet(
                "last_event_time",
                (now - timedelta(hours=LOOKBACK_HOURS)).strftime(
                        "%Y-%m-%dT%H:%M:%S.000"
                ),
        )
        print(f"Fetching FireEye ETP alerts since {since}.")
        alerts = _fetch_alerts(since)
        if not alerts:
                print("No new alerts found.")
                return "OK"
        run_ts = now.strftime("%Y-%m-%dT%H%M%SZ")
        blob_path = _write_ndjson(alerts, run_ts)
        print(f"Wrote {len(alerts)} alerts to gs://{GCS_BUCKET}/{blob_path}.")
        latest = max(
                a.get("attributes", {})
                .get("meta", {})
                .get("last_modified_on", since)
                for a in alerts
        )
        state["last_event_time"] = latest
        _save_state(state)
        print(f"State updated. last_event_time={latest}.")
        return "OK"

  13. Di requirements.txt, tempel:

    functions-framework==3.*
google-cloud-storage==2.*
urllib3==2.*

Mengonfigurasi variabel lingkungan

Di bagian Variabel lingkungan runtime, tambahkan hal berikut:

Variabel Nilai Contoh
GCS_BUCKET fireeye-etp-logs
GCS_PREFIX fireeye_etp
STATE_KEY fireeye_etp_state.json
API_KEY Kunci API FireEye ETP Anda
API_BASE etp.us.fireeye.com
MAX_RECORDS 10000
PAGE_SIZE 100
LOOKBACK_HOURS 1
  1. Tetapkan Alokasi memori ke 256 MB dan Waktu tunggu ke 540 detik.
  2. Klik Deploy.

Buat tugas Cloud Scheduler

  1. Di Konsol Google Cloud, buka Cloud Scheduler.
  2. Klik Create Job.
  3. Name: fireeye-etp-ingestion-schedule.
  4. Frekuensi: */5 * * * * (setiap 5 menit).
  5. Zona waktu: UTC.
  6. Klik Lanjutkan.
  7. Target type: Pub/Sub.
  8. Cloud Pub/Sub topic: fireeye-etp-trigger.
  9. Isi pesan: {"run": true}.
  10. Klik Create.

Mengambil akun layanan Google SecOps

  1. Buka Setelan > Pengelolaan Data > Feed. Jika Anda menggunakan platform khusus SIEM, buka Settings > Feeds.
  2. Klik Tambahkan Feed Baru, lalu pilih Konfigurasi satu feed.
  3. Nama feed: FireEye ETP Alerts.
  4. Source type: Google Cloud Storage V2.
  5. Log type: FireEye ETP.
  6. Klik Get Service Account dan salin email yang ditampilkan.
  7. Klik Berikutnya.
  8. Storage bucket URL: gs://fireeye-etp-logs/fireeye_etp/ (Sertakan garis miring di akhir).
  9. Opsi penghapusan sumber: Pilih sesuai preferensi Anda.
  10. Klik Berikutnya, tinjau, lalu klik Kirim.

Memberikan izin IAM

Akun layanan memerlukan peran Storage Object Viewer di bucket Anda.

  1. Buka Cloud Storage > Buckets.
  2. Pilih bucket Anda, lalu klik tab Permissions.
  3. Klik Grant access.
  4. Add principals: Tempel email akun layanan Google SecOps.
  5. Assign roles: Pilih Storage Object Viewer.
  6. Klik Simpan.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
tentang Merged from about_field
about.file.full_path Nilai dari entry.attributes.email.attachment jika tidak kosong
about.file.md5 Value from entry.attributes.alert.malware_md5
about.hostname Diekstrak dari entry.attributes.email.attachment
about.url Full_path yang dinormalisasi jika dimulai dengan hxxp
additional.fields Digabungkan dari berbagai label internal dan kolom metadata
perantara Digabungkan dari perantara
intermediary.ip Digabungkan dari alert.smtp-message.ip_address
intermediary.location.country_or_region Setel ke %{alert.smtp-message.country}
intermediary.user.email_addresses Digabungkan dari src_email
metadata.description Setel ke %{alert.name}
metadata.event_timestamp Dicocokkan dari accepted_timestamp, last_modified_on, atau attack-time
metadata.event_type Dikategorikan berdasarkan kondisi jaringan, pengguna, atau update status
metadata.product_log_id Tetapkan ke ID pesan, ID atribut, atau UUID pemberitahuan
metadata.product_version Setel ke %{version}
metadata.url_back_to_product Setel ke %{entry.links.detail}
network.application_protocol Tetapkan ke "SMTP"
network.direction traffic_type dalam huruf besar (INBOUND/OUTBOUND)
network.dns_domain Setel ke %{attributes.domain}
network.email.cc Digabungkan dari kolom cc di header atau array
network.email.from Ditetapkan dari kolom "dari" header atau SMTP
network.email.mail_id Ditetapkan dari ID pesan asli atau downstream
network.email.subject Digabungkan dari kolom subjek header
network.email.to Digabungkan dari penerima SMTP atau kolom "kepada" header
principal.administrative_domain Setel ke ID pesan ETP atau domain sumber
principal.asset.hostname Setel ke host sumber atau nama host downstream
principal.asset.ip Digabungkan dari kolom sender_ip atau source_ip
principal.asset.mac Digabungkan dari MAC sumber jika tidak kosong
principal.hostname Setel ke host sumber atau nama host downstream
principal.ip Digabungkan dari kolom sender_ip atau source_ip
principal.labels Digabungkan dengan label mail_from dan rcpt_to
principal.location.country_or_region Setel ke kode negara sumber
principal.mac Digabungkan dari MAC sumber jika tidak kosong
principal.user.email_addresses Digabungkan dari alert.smtp-message.from
principal.user.user_display_name Menetapkan kolom nama tampilan header "Dari"
principal.user.userid Setel ke ID pesan asli
principal.email Menetapkan kolom email header dari
security_result Digabungkan dari beberapa struktur hasil
security_result.about.resource.attribute.creation_time Dicocokkan dari kolom stempel waktu pemberitahuan
security_result.action "BLOCK" jika statusnya dihapus, dikarantina, atau dihapus
security_result.action_details Setel ke %{alert.action}
security_result.attack_details.tactics Digabungkan berdasarkan ID atau nama MITRE
security_result.attack_details.techniques Digabungkan berdasarkan data teknik MITRE
security_result.category "MAIL_PHISHING" jika threat_type cocok dengan Phishing
security_result.category_details Digabungkan dari threat_type atau verdict
security_result.detection_fields Digabungkan dari berbagai label status dan putusan
security_result.risk_score Tetapkan ke 5,0 atau 10,0 berdasarkan tingkat keparahan
security_result.severity Setel ke tinggi/sedang/rendah berdasarkan tingkat keseriusan pemberitahuan
security_result.severity_details Setel ke %{alert_severity}
security_result.summary Set from last_malware or downstream description
security_result.threat_id Ditetapkan dari ID lama atau ID rekaman aktivitas
security_result.threat_name Setel dari ringkasan atau nama malware
security_result.verdict_info Digabungkan jika verdict adalah RISKWARE
target.asset.hostname Ditetapkan dari nama host pesan pengiriman
target.file.first_seen_time Dicocokkan dari waktu serangan pemberitahuan
target.file.first_submission_time Dicocokkan dari waktu pengiriman malware
target.file.full_path Set from original malware path
target.file.md5 Ditetapkan dari jumlah MD5 malware
target.file.names Digabungkan dari nama malware
target.file.sha256 Set dari SHA256 malware
target.file.size Ditetapkan dari byte pesan pengiriman
target.hostname Ditetapkan dari nama host pesan pengiriman
target.labels Digabungkan dengan label antrean dan protokol
target.url Ditetapkan dari URL malware asli
target.user.email_addresses Digabungkan dari kolom email target dan penerima
metadata.vendor_name Tetapkan ke "FireEye"
metadata.product_name Tetapkan ke "ETP"
smtp-message.threat_type event.idm.read_only_udm.metadata.product_event_type Dipetakan dari log perubahan
smtp-message.protocol event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
entry.attributes.email.smtp.rcpt_to event.idm.read_only_udm.principal.resource.attribute.labels Dipetakan dari log perubahan
entry.attributes.email.smtp.mail_from event.idm.read_only_udm.principal.resource.attribute.labels Dipetakan dari log perubahan
alert.smtp-message.last-malware event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
alert.smtp-message.protocol event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
alert.smtp-message.queue-id event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
alert.ack event.idm.read_only_udm.target.resource.attribute.labels Dipetakan dari log perubahan
mta_msg_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
msg event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
domain event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
original event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
alert_date event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
smtp-message.ip_address event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
smtp-message.threat_type event.idm.read_only_udm.security_result.summary Dipetakan dari log perubahan
smtp-message.threat_type_description event.idm.read_only_udm.security_result.description Dipetakan dari log perubahan
email-header.to event.idm.read_only_udm.network.email.to Dipetakan dari log perubahan
smtp-message.to event.idm.read_only_udm.network.email.to Dipetakan dari log perubahan
email-header.from event.idm.read_only_udm.network.email.from Dipetakan dari log perubahan
email-header.cc event.idm.read_only_udm.network.email.cc Dipetakan dari log perubahan
email-header.subject event.idm.read_only_udm.network.email.subject Dipetakan dari log perubahan
email-header.message-id event.idm.read_only_udm.network.email.mail_id Dipetakan dari log perubahan
malware.name event.idm.read_only_udm.security_result.threat_name Dipetakan dari log perubahan
malware.stype event.idm.read_only_udm.security_result.threat_id Dipetakan dari log perubahan
sha256 event.idm.read_only_udm.security_result.about.file.sha256 Dipetakan dari log perubahan
md5 event.idm.read_only_udm.security_result.about.file.md5 Dipetakan dari log perubahan
email_status event.idm.read_only_udm.security_result.action Dipetakan dari log perubahan
email_status event.idm.read_only_udm.security_result.action_details Dipetakan dari log perubahan
smtp-message.from event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
smtp-message.last-malware event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
smtp-message.country event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
smtp-message.queue-id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
ack event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
is_read event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.smtp-message.threat_type_description event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
custom.riskware_action event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
custom.riskware_result event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert_type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
traffic_type event.idm.read_only_udm.network.direction Dipetakan dari log perubahan
domain_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
, event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
custom event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
alert.smtp-message.threat_type event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
alert.email-header.cc event.idm.read_only_udm.network.email.cc Dipetakan dari log perubahan
action_yara event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
verdict_yara event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
delivery_timestamp event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
syslog_process event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
timestamp event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
usr_display_name event.idm.read_only_udm.principal.user.user_display_name Dipetakan dari log perubahan
is_retro event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.email-header.to event.idm.read_only_udm.target.user.email_addresses Dipetakan dari log perubahan
alert.action event.idm.read_only_udm.security_result.action_details Dipetakan dari log perubahan
alert.attack-time event.idm.read_only_udm.target.file.first_seen_time Dipetakan dari log perubahan
alert.dst.smtp-to event.idm.read_only_udm.target.user.email_addresses Dipetakan dari log perubahan
alert.email-header.from event.idm.read_only_udm.network.email.from Dipetakan dari log perubahan
alert.email-header.message-id event.idm.read_only_udm.network.email.mail_id Dipetakan dari log perubahan
alert.email-header.subject event.idm.read_only_udm.network.email.subject Dipetakan dari log perubahan
alert.ack event.idm.read_only_udm.target.labels Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.application event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.downloaded-at event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.executed-at event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.md5sum event.idm.read_only_udm.target.file.md5 Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.md5sum event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.name event.idm.read_only_udm.target.file.names Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.original event.idm.read_only_udm.target.url Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.original event.idm.read_only_udm.target.file.full_path Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.original event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.profile event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.sha256 event.idm.read_only_udm.target.file.sha256 Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.sha256 event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.stype event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.submitted-at event.idm.read_only_udm.target.file.first_submission_time Dipetakan dari log perubahan
alert.explanation.malware-detected.malware.type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.interface.interface event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.interface.mode event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.name event.idm.read_only_udm.metadata.description Dipetakan dari log perubahan
alert.occurred event.idm.read_only_udm.metadata.event_timestamp Dipetakan dari log perubahan
alert.sc-version event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.severity event.idm.read_only_udm.security_result.severity Dipetakan dari log perubahan
alert.smtp-message.country event.idm.read_only_udm.intermediary.location.country_or_region Dipetakan dari log perubahan
alert.smtp-message.date event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
alert.smtp-message.from event.idm.read_only_udm.principal.user.email_addresses Dipetakan dari log perubahan
alert.smtp-message.ip_address event.idm.read_only_udm.intermediary.ip Dipetakan dari log perubahan
alert.smtp-message.last-malware event.idm.read_only_udm.target.labels Dipetakan dari log perubahan
alert.smtp-message.protocol event.idm.read_only_udm.target.labels Dipetakan dari log perubahan
alert.smtp-message.queue-id event.idm.read_only_udm.target.labels Dipetakan dari log perubahan
alert.smtp-message.to event.idm.read_only_udm.network.email.to Dipetakan dari log perubahan
alert.src.domain event.idm.read_only_udm.principal.administrative_domain Dipetakan dari log perubahan
alert.src.smtp-mail-from event.idm.read_only_udm.principal.user.email_addresses Dipetakan dari log perubahan
alert.uuid event.idm.read_only_udm.metadata.product_log_id Dipetakan dari log perubahan
mitre_mapping.bale.bale_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
mitre_mapping.bale.name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
mitre_mapping.bale.os_change_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
mitre_mapping.bale.severity event.idm.read_only_udm.security_result.detection_fields Dipetakan dari log perubahan
mitre_mapping.bale.description event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
mitre_mapping.bale.id event.idm.read_only_udm.security_result.attack_details.techniques Dipetakan dari log perubahan
tactics_data event.idm.read_only_udm.security_result.attack_details.tactics Dipetakan dari log perubahan
alert.src.url event.idm.read_only_udm.principal.url Dipetakan dari log perubahan
mta_msg_id event.idm.read_only_udm.target.labels Dipetakan dari log perubahan
msg event.idm.read_only_udm.about.labels Dipetakan dari log perubahan
parent_uuid event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
verdict event.idm.read_only_udm.security_result.verdict_info Dipetakan dari log perubahan
version event.idm.read_only_udm.metadata.product_version Dipetakan dari log perubahan
report_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
object_uuid event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
type", "InternalId", "attributes.acceptedDateTime", "attributes.lastModifiedDateTime", "attributes.senderSMTP", "attributes.status", and "attributes.urlDomains additional.fields Dipetakan dari log perubahan
attributes.countryCode principal.location.country_or_region Dipetakan dari log perubahan
attributes.senderIP principal.ip Dipetakan dari log perubahan
attributes.recipientSMTP network.email.to Dipetakan dari log perubahan
attributes.senderHeader network.email.from Dipetakan dari log perubahan
attributes.subject network.email.subject Dipetakan dari log perubahan
alert.attributes.alert.malware_md5 about.file.md5 Dipetakan dari log perubahan
id", "alert.explanation.analysis","alert.explanation.malware_os_analysis","email.dod_report_id" and "email.status security_result.detection_fields Dipetakan dari log perubahan
alert.sha256 about.file.sha256 Dipetakan dari log perubahan
alert.severity security_result.severity Dipetakan dari log perubahan
email.smtp.mail_from network.email.from Dipetakan dari log perubahan
email.smtp.recipients network.email.to Dipetakan dari log perubahan
email.headers.subject network.email.subject Dipetakan dari log perubahan
email.source_ip principal.ip Dipetakan dari log perubahan
alert.explanation.malware_detected.malware.threat_type security_result.category Dipetakan dari log perubahan
alert.explanation.malware_detected.malware.trace_iden security_result.threat_id Dipetakan dari log perubahan
alert.explanation.malware_detected.malware.name security_result.threat_name Dipetakan dari log perubahan
email.source_country principal.location.country_or_region Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.