Raccogli i log di Trellix Email Security Cloud (in precedenza FireEye ETP)

Parser Version: 10.0

Supportato in:

Google SecOps SIEM

Questo documento spiega come importare i log di Trellix Email Security - Cloud Edition (precedentemente noto come FireEye ETP) in Google Security Operations utilizzando Google Cloud Storage V2 tramite una funzione Cloud Run.

Trellix Email Security - Cloud Edition è un gateway di sicurezza email basato sul cloud che protegge dalle minacce email avanzate, tra cui phishing, malware, compromissione della posta aziendale e attacchi di impersonificazione. La soluzione offre una sicurezza completa per le email in entrata e in uscita con protezione degli URL, sandboxing degli allegati e threat intelligence in tempo reale basata sul Trellix Advanced Research Center.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps.
• Un progetto Google Cloud con le seguenti API abilitate:
  • Cloud Storage
  • Cloud Run Functions
  • Cloud Scheduler
  • Pub/Sub
  • Cloud Build
• Autorizzazioni per creare e gestire bucket GCS, funzioni Cloud Run, argomenti Pub/Sub e job Cloud Scheduler.
• Accesso privilegiato alla console di amministrazione FireEye ETP (Trellix Email Security - Cloud Edition).
• Autorizzazioni di amministratore per creare chiavi API nel portale Trellix.
• Una chiave API FireEye ETP con accesso all'endpoint Alerts.

Crea un bucket Google Cloud Storage

1. Vai alla console Google Cloud.
2. Seleziona il progetto.
3. Nel menu di navigazione, vai a Cloud Storage > Bucket.
4. Fai clic su Crea bucket.

5. Fornisci i seguenti dettagli di configurazione:

   Impostazione	Valore
   Assegna un nome al bucket	Inserisci un nome univoco globale (ad es.fireeye-etp-logs).
   Tipo di località	Scegli in base alle tue esigenze (regione singola, a due regioni, multiregionale)
   Località	Seleziona la posizione (ad es.us-central1).
   Classe di archiviazione	Standard (consigliato per i log ad accesso frequente)
   Controllo degli accessi	Uniforme (opzione consigliata)
   Strumenti di protezione	(Facoltativo) Abilita il controllo delle versioni degli oggetti o la policy di conservazione

6. Fai clic su Crea.

Raccogliere le credenziali API FireEye ETP

Per consentire alla funzione Cloud Run di recuperare gli avvisi da FireEye ETP, devi creare una chiave API con le autorizzazioni appropriate.

Nota: FireEye ETP utilizza l'autenticazione con chiave API tramite l'intestazione HTTP x-fireeye-api-key. La chiave API deve essere associata al prodotto Email Threat Prevention.

Crea chiave API

1. Accedi alla Console di amministrazione FireEye ETP.
2. Nella barra di navigazione in alto, fai clic su Le mie impostazioni.
3. Fai clic sulla scheda Chiavi API.
4. Fai clic su Crea chiave API.
5. Nella sezione Prodotti, seleziona Email Threat Prevention.
6. Nella sezione Diritti, seleziona tutti i diritti disponibili.
7. Fai clic su Crea o Genera.

Registra le credenziali API

Registra le seguenti informazioni:

• Chiave API: la tua chiave API univoca.
• URL di base: il nome di dominio completo per la tua regione (ad es. etp.us.fireeye.com).

Importante :copia e salva immediatamente la chiave API. Alcune versioni dell'interfaccia potrebbero non consentirti di recuperarla dopo la chiusura della finestra di dialogo.

Gli URL di base comuni includono:

• etp.us.fireeye.com (US)
• etp.eu.fireeye.com (UE)
• etp.ap.fireeye.com (APAC)

Verificare le autorizzazioni API

Prodotto/Diritto	Finalità
Email Threat Prevention	Accesso ad avvisi via email, dati di tracciamento e informazioni sulle minacce
Tutti i diritti	Accesso completo alle API di avvisi, tracciamento email e quarantena

Testare l'accesso API

• Verifica che la chiave API sia valida:

  curl -s -o /dev/null -w "%{http_code}" \
      -H "x-fireeye-api-key: YOUR_API_KEY" \
      "[https://etp.us.fireeye.com/api/v1/alerts?size=1](https://etp.us.fireeye.com/api/v1/alerts?size=1)"
  

Un codice di risposta 200 conferma che la chiave API è valida.

Crea un account di servizio per la funzione Cloud Run

La funzione Cloud Run richiede un account di servizio con autorizzazioni per scrivere log in GCS e ricevere messaggi Pub/Sub.

1. Nella console Google Cloud, vai a IAM e amministrazione > Service account.
2. Fai clic su Crea account di servizio.
3. Fornisci un nome (ad es. fireeye-etp-ingestion) e una descrizione.
4. Concedi i seguenti ruoli:
   • Storage Object Admin
   • Cloud Run Invoker
5. Fai clic su Fine.

Crea argomento Pub/Sub

1. Nella console Google Cloud, vai a Pub/Sub > Argomenti.
2. Fai clic su Crea argomento.
3. ID argomento: fireeye-etp-trigger.
4. Fai clic su Crea.

Crea funzione Cloud Run

Crea una funzione Cloud Run che esegue query sull'API FireEye ETP Alerts e scrive i risultati come NDJSON in GCS.

Prepara il codice della funzione

1. Nella console Google Cloud, vai a Cloud Run Functions.
2. Fai clic su Crea funzione.
3. Ambiente: 2ª gen.
4. Nome della funzione: fireeye-etp-ingestion.
5. Regione: seleziona la stessa regione del bucket GCS.
6. Tipo di trigger: Cloud Pub/Sub.
7. Argomento Cloud Pub/Sub: fireeye-etp-trigger.
8. Service account: seleziona il account di servizio creato in precedenza.
9. Fai clic su Avanti.
10. Runtime: Python 3.11 o versioni successive.
11. Entry point: main.

12. In main.py, incolla quanto segue:

    """Cloud Run function to ingest FireEye ETP alerts into GCS."""
    
    import json
    import os
    import time
    from datetime import datetime, timedelta, timezone
    
    import functions_framework
    import urllib3
    from google.cloud import storage
    
    GCS_BUCKET = os.environ["GCS_BUCKET"]
    GCS_PREFIX = os.environ.get("GCS_PREFIX", "fireeye_etp")
    STATE_KEY = os.environ.get("STATE_KEY", "fireeye_etp_state.json")
    API_KEY = os.environ["API_KEY"]
    API_BASE = os.environ.get("API_BASE", "etp.us.fireeye.com")
    MAX_RECORDS = int(os.environ.get("MAX_RECORDS", "10000"))
    PAGE_SIZE = int(os.environ.get("PAGE_SIZE", "100"))
    LOOKBACK_HOURS = int(os.environ.get("LOOKBACK_HOURS", "1"))
    
    http = urllib3.PoolManager()
    gcs = storage.Client()
    
    def _load_state() -> dict:
            """Load the last event time from GCS state file."""
            bucket = gcs.bucket(GCS_BUCKET)
            blob = bucket.blob(f"{GCS_PREFIX}/{STATE_KEY}")
            if blob.exists():
                    return json.loads(blob.download_as_text())
            return {}
    
    def _save_state(state: dict) -> None:
            """Persist the state dict back to GCS."""
            bucket = gcs.bucket(GCS_BUCKET)
            blob = bucket.blob(f"{GCS_PREFIX}/{STATE_KEY}")
            blob.upload_from_string(
                    json.dumps(state), content_type="application/json"
            )
    
    def _api_get(path: str, params: dict, retries: int = 5) -> dict:
            """Execute a GET request against the FireEye ETP API with retry on 429."""
            url = f"https://{API_BASE}{path}"
            headers = {
                    "x-fireeye-api-key": API_KEY,
                    "Accept": "application/json",
            }
            backoff = 2
            for attempt in range(retries):
                    resp = http.request(
                            "GET", url, headers=headers, fields=params
                    )
                    if resp.status == 200:
                            return json.loads(resp.data.decode("utf-8"))
                    if resp.status == 429:
                            wait = backoff * (2 ** attempt)
                            print(
                                    f"Rate limited (429). Retrying in {wait}s "
                                    f"(attempt {attempt + 1}/{retries})."
                            )
                            time.sleep(wait)
                            continue
                    raise RuntimeError(
                            f"FireEye ETP API error: {resp.status} — {resp.data.decode('utf-8')}"
                    )
            raise RuntimeError(
                    "FireEye ETP API rate limit exceeded after maximum retries."
            )
    
    def _fetch_alerts(since: str) -> list:
            """Fetch alerts from FireEye ETP with offset-based pagination."""
            all_alerts = []
            offset = 0
            while len(all_alerts) < MAX_RECORDS:
                    params = {
                            "from_last_modified_on": since,
                            "size": str(PAGE_SIZE),
                            "offset": str(offset),
                    }
                    data = _api_get("/api/v1/alerts", params)
                    alerts = data.get("data", [])
                    if not alerts:
                            break
                    all_alerts.extend(alerts)
                    offset += len(alerts)
                    if len(alerts) < PAGE_SIZE:
                            break
            return all_alerts[:MAX_RECORDS]
    
    def _write_ndjson(alerts: list, run_ts: str) -> str:
            """Write alerts as NDJSON to GCS and return the blob path."""
            bucket = gcgcs.bucketCS_BUCKET)
            blob_path = (
                    f"{GCS_PREFIX}/year={run_ts[:4]}/month={run_ts[5:7]}/"
                    f"day={run_ts[8:10]}/{run_ts}_alerts.ndjson"
            )
            blob = bucket.blob(blob_path)
            ndjson = "\n".join(json.dumps(a, separators=(",", ":")) for a in alerts)
            blob.upupload_from_stringdjson, content_type="application/x-ndjson")
            return blob_path
    
    @functions_framework.cloud_event
    def main(cloud_event):
            """Entry point triggered by Pub/Sub via Cloud Scheduler."""
            state = _load_state()
            now = datetime.now(timezone.utc)
            since = ststateet(
                    "last_event_time",
                    (now - timedelta(hours=LOOKBACK_HOURS)).strftime(
                            "%Y-%m-%dT%H:%M:%S.000"
                    ),
            )
            print(f"Fetching FireEye ETP alerts since {since}.")
            alerts = _fetch_alerts(since)
            if not alerts:
                    print("No new alerts found.")
                    return "OK"
            run_ts = now.strftime("%Y-%m-%dT%H%M%SZ")
            blob_path = _write_ndjson(alerts, run_ts)
            print(f"Wrote {len(alerts)} alerts to gs://{GCS_BUCKET}/{blob_path}.")
            latest = max(
                    a.get("attributes", {})
                    .get("meta", {})
                    .get("last_modified_on", since)
                    for a in alerts
            )
            state["last_event_time"] = latest
            _save_state(state)
            print(f"State updated. last_event_time={latest}.")
            return "OK"
    

13. In requirements.txt, incolla:

    functions-framework==3.*
    google-cloud-storage==2.*
    urllib3==2.*
    

Configura le variabili di ambiente

In Variabili di ambiente runtime, aggiungi quanto segue:

Variabile	Valore di esempio
GCS_BUCKET	fireeye-etp-logs
GCS_PREFIX	fireeye_etp
STATE_KEY	fireeye_etp_state.json
API_KEY	La tua chiave API FireEye ETP
API_BASE	etp.us.fireeye.com
MAX_RECORDS	10000
PAGE_SIZE	100
LOOKBACK_HOURS	1

1. Imposta Memoria allocata su 256 MB e Timeout su 540 secondi.
2. Fai clic su Esegui il deployment.

Crea job Cloud Scheduler

1. Nella console Google Cloud, vai a Cloud Scheduler.
2. Fai clic su Crea job.
3. Nome: fireeye-etp-ingestion-schedule
4. Frequenza: */5 * * * * (ogni 5 minuti).
5. Fuso orario: UTC.
6. Fai clic su Continua.
7. Tipo di destinazione: Pub/Sub.
8. Argomento Cloud Pub/Sub: fireeye-etp-trigger.
9. Corpo del messaggio: {"run": true}.
10. Fai clic su Crea.

Recuperare il account di servizio Google SecOps

1. Vai a Impostazioni SIEM > Feed.
2. Fai clic su Aggiungi nuovo feed e seleziona Configura un singolo feed.
3. Nome feed: FireEye ETP Alerts.
4. Tipo di origine: Google Cloud Storage V2.
5. Tipo di log: FireEye ETP.
6. Fai clic su Ottieni service account e copia l'email visualizzata.
7. Fai clic su Avanti.
8. URL del bucket di archiviazione: gs://fireeye-etp-logs/fireeye_etp/ (includi la barra finale).
9. Opzione di eliminazione della fonte: seleziona l'opzione che preferisci.
10. Fai clic su Avanti, rivedi e fai clic su Invia.

Concedi autorizzazioni IAM

Il account di servizio deve avere il ruolo Visualizzatore oggetti Storage sul bucket.

1. Vai a Cloud Storage > Bucket.
2. Seleziona il bucket e fai clic sulla scheda Autorizzazioni.
3. Fai clic su Concedi l'accesso.
4. Aggiungi entità: incolla l'email del account di servizio Google SecOps.
5. Assegna ruoli: seleziona Visualizzatore oggetti Storage.
6. Fai clic su Salva.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
	about	Unito da about_field
	about.file.full_path	Valore ottenuto da entry.attributes.email.attachment se non è vuoto
	about.file.md5	Valore ottenuto da entry.attributes.alert.malware_md5
	about.hostname	Estratto da entry.attributes.email.attachment
	about.url	Normalized full_path if starts with hxxp
	additional.fields	Unione di numerosi campi di etichette e metadati interni
	intermediario	Unito dall'intermediario
	intermediary.ip	Unito da alert.smtp-message.ip_address
	intermediary.location.country_or_region	Imposta su %{alert.smtp-message.country}
	intermediary.user.email_addresses	Unito da src_email
	metadata.description	Imposta su %{alert.name}
	metadata.event_timestamp	Corrispondenza trovata da accepted_timestamp, last_modified_on o attack-time
	metadata.event_type	Classificati in base alle condizioni di rete, utente o aggiornamento dello stato
	metadata.product_log_id	Imposta su ID messaggio, ID attributo o UUID avviso
	metadata.product_version	Imposta su %{version}
	metadata.url_back_to_product	Impostato su %{entry.links.detail}
	network.application_protocol	Imposta su "SMTP".
	network.direction	traffic_type in maiuscolo (INBOUND/OUTBOUND)
	network.dns_domain	Imposta su %{attributes.domain}
	network.email.cc	Uniti dai campi Cc nelle intestazioni o negli array
	network.email.from	Impostare i campi Da SMTP o Da intestazione
	network.email.mail_id	Imposta dall'ID messaggio downstream o originale
	network.email.subject	Unito dai campi dell'oggetto dell'intestazione
	network.email.to	Uniti dai destinatari SMTP o dai campi "A" dell'intestazione
	principal.administrative_domain	Impostato su ID messaggio ETP o dominio di origine
	principal.asset.hostname	Imposta il nome host di origine o downstream
	principal.asset.ip	Unito dai campi sender_ip o source_ip
	principal.asset.mac	Unito dall'indirizzo MAC di origine se non è vuoto
	principal.hostname	Imposta il nome host di origine o downstream
	principal.ip	Unito dai campi sender_ip o source_ip
	principal.labels	Unito alle etichette mail_from e rcpt_to
	principal.location.country_or_region	Imposta il codice paese di origine
	principal.mac	Unito dall'indirizzo MAC di origine se non è vuoto
	principal.user.email_addresses	Unito da alert.smtp-message.from
	principal.user.user_display_name	Imposta i campi del nome visualizzato dell'intestazione Da
	principal.user.userid	Imposta l'ID messaggio originale
	principal.email	Impostare i campi email dell'intestazione Da
	security_result	Uniti da più strutture di risultati
	security_result.about.resource.attribute.creation_time	Corrispondenza dai campi timestamp avviso
	security_result.action	"BLOCK" se lo stato è eliminato, messo in quarantena o eliminato
	security_result.action_details	Imposta su %{alert.action}
	security_result.attack_details.tactics	Unite in base a ID o nomi MITRE
	security_result.attack_details.techniques	Uniti in base ai dati delle tecniche MITRE
	security_result.category	"MAIL_PHISHING" se threat_type corrisponde a Phishing
	security_result.category_details	Unito da threat_type o verdict
	security_result.detection_fields	Unione di numerose etichette di stato e verdetto
	security_result.risk_score	Imposta su 5.0 o 10.0 in base alla gravità
	security_result.severity	Impostato su Alto/Medio/Basso in base alla gravità dell'avviso
	security_result.severity_details	Impostato su %{alert_severity}
	security_result.summary	Impostato da last_malware o dalla descrizione a valle
	security_result.threat_id	Imposta dall'ID precedente o dall'ID traccia
	security_result.threat_name	Impostare dal riepilogo o dal nome del malware
	security_result.verdict_info	Unito se l'esito è RISKWARE
	target.asset.hostname	Imposta il nome host del messaggio di consegna
	target.file.first_seen_time	Corrispondenza dall'ora dell'attacco dell'avviso
	target.file.first_submission_time	Corrispondenza dall'ora di invio del malware
	target.file.full_path	Imposta dal percorso originale del malware
	target.file.md5	Set from malware MD5 sum
	target.file.names	Unito dal nome del malware
	target.file.sha256	Set da SHA256 malware
	target.file.size	Imposta da byte messaggio di consegna
	target.hostname	Imposta il nome host del messaggio di consegna
	target.labels	Unito alle etichette di coda e protocollo
	target.url	Imposta dall'URL del malware originale
	target.user.email_addresses	Uniti dai campi email di destinazione e destinatario
	metadata.vendor_name	Impostato su "FireEye"
	metadata.product_name	Impostato su "ETP"
smtp-message.threat_type	event.idm.read_only_udm.metadata.product_event_type	Mappato dal log delle modifiche
smtp-message.protocol	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
entry.attributes.email.smtp.rcpt_to	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
entry.attributes.email.smtp.mail_from	event.idm.read_only_udm.principal.resource.attribute.labels	Mappato dal log delle modifiche
alert.smtp-message.last-malware	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
alert.smtp-message.protocol	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
alert.smtp-message.queue-id	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
alert.ack	event.idm.read_only_udm.target.resource.attribute.labels	Mappato dal log delle modifiche
mta_msg_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
msg	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
domain	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
original	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
alert_date	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
smtp-message.ip_address	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mappato dal log delle modifiche
smtp-message.threat_type	event.idm.read_only_udm.security_result.summary	Mappato dal log delle modifiche
smtp-message.threat_type_description	event.idm.read_only_udm.security_result.description	Mappato dal log delle modifiche
email-header.to	event.idm.read_only_udm.network.email.to	Mappato dal log delle modifiche
smtp-message.to	event.idm.read_only_udm.network.email.to	Mappato dal log delle modifiche
email-header.from	event.idm.read_only_udm.network.email.from	Mappato dal log delle modifiche
email-header.cc	event.idm.read_only_udm.network.email.cc	Mappato dal log delle modifiche
email-header.subject	event.idm.read_only_udm.network.email.subject	Mappato dal log delle modifiche
email-header.message-id	event.idm.read_only_udm.network.email.mail_id	Mappato dal log delle modifiche
malware.name	event.idm.read_only_udm.security_result.threat_name	Mappato dal log delle modifiche
malware.stype	event.idm.read_only_udm.security_result.threat_id	Mappato dal log delle modifiche
sha256	event.idm.read_only_udm.security_result.about.file.sha256	Mappato dal log delle modifiche
md5	event.idm.read_only_udm.security_result.about.file.md5	Mappato dal log delle modifiche
email_status	event.idm.read_only_udm.security_result.action	Mappato dal log delle modifiche
email_status	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
smtp-message.from	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
smtp-message.last-malware	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
smtp-message.country	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
smtp-message.queue-id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
ack	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
is_read	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.smtp-message.threat_type_description	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
custom.riskware_action	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
custom.riskware_result	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert_type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
traffic_type	event.idm.read_only_udm.network.direction	Mappato dal log delle modifiche
domain_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
,	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
custom	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
alert.smtp-message.threat_type	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
alert.email-header.cc	event.idm.read_only_udm.network.email.cc	Mappato dal log delle modifiche
action_yara	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
verdict_yara	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
delivery_timestamp	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
syslog_process	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
timestamp	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
usr_display_name	event.idm.read_only_udm.principal.user.user_display_name	Mappato dal log delle modifiche
is_retro	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.email-header.to	event.idm.read_only_udm.target.user.email_addresses	Mappato dal log delle modifiche
alert.action	event.idm.read_only_udm.security_result.action_details	Mappato dal log delle modifiche
alert.attack-time	event.idm.read_only_udm.target.file.first_seen_time	Mappato dal log delle modifiche
alert.dst.smtp-to	event.idm.read_only_udm.target.user.email_addresses	Mappato dal log delle modifiche
alert.email-header.from	event.idm.read_only_udm.network.email.from	Mappato dal log delle modifiche
alert.email-header.message-id	event.idm.read_only_udm.network.email.mail_id	Mappato dal log delle modifiche
alert.email-header.subject	event.idm.read_only_udm.network.email.subject	Mappato dal log delle modifiche
alert.ack	event.idm.read_only_udm.target.labels	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.application	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.downloaded-at	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.executed-at	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.md5sum	event.idm.read_only_udm.target.file.md5	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.md5sum	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.name	event.idm.read_only_udm.target.file.names	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.original	event.idm.read_only_udm.target.url	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.original	event.idm.read_only_udm.target.file.full_path	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.original	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.profile	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.sha256	event.idm.read_only_udm.target.file.sha256	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.sha256	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.stype	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.submitted-at	event.idm.read_only_udm.target.file.first_submission_time	Mappato dal log delle modifiche
alert.explanation.malware-detected.malware.type	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.interface.interface	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.interface.mode	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.name	event.idm.read_only_udm.metadata.description	Mappato dal log delle modifiche
alert.occurred	event.idm.read_only_udm.metadata.event_timestamp	Mappato dal log delle modifiche
alert.sc-version	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.severity	event.idm.read_only_udm.security_result.severity	Mappato dal log delle modifiche
alert.smtp-message.country	event.idm.read_only_udm.intermediary.location.country_or_region	Mappato dal log delle modifiche
alert.smtp-message.date	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
alert.smtp-message.from	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
alert.smtp-message.ip_address	event.idm.read_only_udm.intermediary.ip	Mappato dal log delle modifiche
alert.smtp-message.last-malware	event.idm.read_only_udm.target.labels	Mappato dal log delle modifiche
alert.smtp-message.protocol	event.idm.read_only_udm.target.labels	Mappato dal log delle modifiche
alert.smtp-message.queue-id	event.idm.read_only_udm.target.labels	Mappato dal log delle modifiche
alert.smtp-message.to	event.idm.read_only_udm.network.email.to	Mappato dal log delle modifiche
alert.src.domain	event.idm.read_only_udm.principal.administrative_domain	Mappato dal log delle modifiche
alert.src.smtp-mail-from	event.idm.read_only_udm.principal.user.email_addresses	Mappato dal log delle modifiche
alert.uuid	event.idm.read_only_udm.metadata.product_log_id	Mappato dal log delle modifiche
mitre_mapping.bale.bale_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mitre_mapping.bale.name	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mitre_mapping.bale.os_change_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mitre_mapping.bale.severity	event.idm.read_only_udm.security_result.detection_fields	Mappato dal log delle modifiche
mitre_mapping.bale.description	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
mitre_mapping.bale.id	event.idm.read_only_udm.security_result.attack_details.techniques	Mappato dal log delle modifiche
tactics_data	event.idm.read_only_udm.security_result.attack_details.tactics	Mappato dal log delle modifiche
alert.src.url	event.idm.read_only_udm.principal.url	Mappato dal log delle modifiche
mta_msg_id	event.idm.read_only_udm.target.labels	Mappato dal log delle modifiche
msg	event.idm.read_only_udm.about.labels	Mappato dal log delle modifiche
parent_uuid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
verdict	event.idm.read_only_udm.security_result.verdict_info	Mappato dal log delle modifiche
version	event.idm.read_only_udm.metadata.product_version	Mappato dal log delle modifiche
report_id	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
object_uuid	event.idm.read_only_udm.additional.fields	Mappato dal log delle modifiche
type", "InternalId", "attributes.acceptedDateTime", "attributes.lastModifiedDateTime", "attributes.senderSMTP", "attributes.status", and "attributes.urlDomains	additional.fields	Mappato dal log delle modifiche
attributes.countryCode	principal.location.country_or_region	Mappato dal log delle modifiche
attributes.senderIP	principal.ip	Mappato dal log delle modifiche
attributes.recipientSMTP	network.email.to	Mappato dal log delle modifiche
attributes.senderHeader	network.email.from	Mappato dal log delle modifiche
attributes.subject	network.email.subject	Mappato dal log delle modifiche
alert.attributes.alert.malware_md5	about.file.md5	Mappato dal log delle modifiche
id", "alert.explanation.analysis","alert.explanation.malware_os_analysis","email.dod_report_id" and "email.status	security_result.detection_fields	Mappato dal log delle modifiche
alert.sha256	about.file.sha256	Mappato dal log delle modifiche
alert.severity	security_result.severity	Mappato dal log delle modifiche
email.smtp.mail_from	network.email.from	Mappato dal log delle modifiche
email.smtp.recipients	network.email.to	Mappato dal log delle modifiche
email.headers.subject	network.email.subject	Mappato dal log delle modifiche
email.source_ip	principal.ip	Mappato dal log delle modifiche
alert.explanation.malware_detected.malware.threat_type	security_result.category	Mappato dal log delle modifiche
alert.explanation.malware_detected.malware.trace_iden	security_result.threat_id	Mappato dal log delle modifiche
alert.explanation.malware_detected.malware.name	security_result.threat_name	Mappato dal log delle modifiche
email.source_country	principal.location.country_or_region	Mappato dal log delle modifiche

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.