Trellix Email Security Cloud（旧 FireEye ETP）のログを収集する

パーサーのバージョン: 10.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Cloud Run 関数を介して Google Cloud Storage V2 を使用して、Trellix Email Security - Cloud Edition（旧称 FireEye ETP）ログを Google Security Operations に取り込む方法について説明します。

Trellix Email Security - Cloud Edition は、フィッシング、マルウェア、ビジネスメール詐欺、なりすまし攻撃などの高度なメール脅威から保護する、クラウドベースのメール セキュリティ ゲートウェイです。このソリューションは、URL 防御、添付ファイルのサンドボックス化、Trellix Advanced Research Center によるリアルタイムの脅威インテリジェンスにより、包括的なインバウンドおよびアウトバウンドのメール セキュリティを提供します。

始める前に

次の前提条件を満たしていることを確認します。

• Google SecOps インスタンス。
• 次の API が有効になっている Google Cloud プロジェクト。
  • Cloud Storage
  • Cloud Run functions
  • Cloud Scheduler
  • Pub/Sub
  • Cloud Build
• GCS バケット、Cloud Run functions、Pub/Sub トピック、Cloud Scheduler ジョブを作成および管理するための権限。
• FireEye ETP（Trellix Email Security - Cloud Edition）管理コンソールへの特権アクセス権。
• Trellix ポータルで API キーを作成するための管理者権限。
• Alerts エンドポイントにアクセスできる FireEye ETP API キー。

Google Cloud Storage バケットを作成する

1. Google Cloud コンソールに移動します。
2. プロジェクトを選択します。
3. ナビゲーション メニューで、[Cloud Storage] > [バケット] に移動します。
4. [バケットを作成] をクリックします。

5. 次の構成情報を提供してください。

   設定	値
   バケットに名前を付ける	グローバルに一意の名前を入力します（例: fireeye-etp-logs）。
   ロケーション タイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
   ロケーション	ロケーション（us-central1 など）を選択します。
   ストレージ クラス	Standard（頻繁にアクセスされるログに推奨）
   アクセス制御	均一（推奨）
   保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

6. [作成] をクリックします。

FireEye ETP API 認証情報を収集する

Cloud Run functions の関数が FireEye ETP からアラートを取得できるようにするには、適切な権限を持つ API キーを作成する必要があります。

注: FireEye ETP は、x-fireeye-api-key HTTP ヘッダーを介して API キー認証を使用します。API キーは、Email Threat Prevention プロダクトに関連付けられている必要があります。

API キーを作成

1. FireEye ETP 管理コンソールにログインします。
2. 上部のナビゲーション バーで [My Settings] をクリックします。
3. [API キー] タブをクリックします。
4. [API キーを作成] をクリックします。
5. [Products] セクションで、[Email Threat Prevention] を選択します。
6. [利用資格] セクションで、利用可能なすべての利用資格を選択します。
7. [作成] または [生成] をクリックします。

API 認証情報を記録する

次の情報を記録します。

• API キー: 固有の API キー。
• ベース URL: リージョンの完全修飾ドメイン名（例: etp.us.fireeye.com）。

重要: API キーをすぐにコピーして保存してください。インターフェースのバージョンによっては、ダイアログを閉じた後に取得できない場合があります。

一般的なベース URL は次のとおりです。

• etp.us.fireeye.com（米国）
• etp.eu.fireeye.com（EU）
• etp.ap.fireeye.com（APAC）

API 権限を確認する

プロダクト / 利用資格	目的
電子メール脅威対策プラットフォーム	メール通知アラート、トレースデータ、脅威情報へのアクセス
すべての利用資格	アラート、メール トレース、検疫 API への完全アクセス権

テスト API へのアクセス

• API キーが有効であることを確認します。

  curl -s -o /dev/null -w "%{http_code}" \
      -H "x-fireeye-api-key: YOUR_API_KEY" \
      "[https://etp.us.fireeye.com/api/v1/alerts?size=1](https://etp.us.fireeye.com/api/v1/alerts?size=1)"
  

レスポンス コード 200 は、API キーが有効であることを示します。

Cloud Run functions のサービス アカウントを作成する

Cloud Run functions の関数には、GCS にログを書き込み、Pub/Sub メッセージを受信する権限を持つサービス アカウントが必要です。

1. Google Cloud コンソールで、[IAM と管理] > [サービス アカウント] に移動します。
2. [サービス アカウントを作成] をクリックします。
3. 名前（例: fireeye-etp-ingestion）と説明を入力します。
4. 次のロールを付与します。
   • ストレージのオブジェクト管理者
   • Cloud Run 起動元
5. [完了] をクリックします。

Pub/Sub トピックの作成

1. Google Cloud コンソールで、[Pub/Sub] > [トピック] に移動します。
2. [トピックを作成] をクリックします。
3. トピック ID: fireeye-etp-trigger。
4. [作成] をクリックします。

Cloud Run 関数を作成

FireEye ETP Alerts API をクエリし、結果を NDJSON として GCS に書き込む Cloud Run 関数を作成します。

関数のコードを準備する

1. Google Cloud コンソールで、[Cloud Run functions] に移動します。
2. [関数を作成] をクリックします。
3. 環境: 第 2 世代。
4. 関数名: fireeye-etp-ingestion。
5. リージョン: GCS バケットと同じリージョンを選択します。
6. トリガーのタイプ: Cloud Pub/Sub。
7. Cloud Pub/Sub トピック: fireeye-etp-trigger。
8. サービス アカウント: 先ほど作成したサービス アカウントを選択します。
9. [次へ] をクリックします。
10. ランタイム: Python 3.11（以降）。
11. エントリ ポイント: main。

12. main.py に以下を貼り付けます。

    """Cloud Run function to ingest FireEye ETP alerts into GCS."""
    
    import json
    import os
    import time
    from datetime import datetime, timedelta, timezone
    
    import functions_framework
    import urllib3
    from google.cloud import storage
    
    GCS_BUCKET = os.environ["GCS_BUCKET"]
    GCS_PREFIX = os.environ.get("GCS_PREFIX", "fireeye_etp")
    STATE_KEY = os.environ.get("STATE_KEY", "fireeye_etp_state.json")
    API_KEY = os.environ["API_KEY"]
    API_BASE = os.environ.get("API_BASE", "etp.us.fireeye.com")
    MAX_RECORDS = int(os.environ.get("MAX_RECORDS", "10000"))
    PAGE_SIZE = int(os.environ.get("PAGE_SIZE", "100"))
    LOOKBACK_HOURS = int(os.environ.get("LOOKBACK_HOURS", "1"))
    
    http = urllib3.PoolManager()
    gcs = storage.Client()
    
    def _load_state() -> dict:
            """Load the last event time from GCS state file."""
            bucket = gcs.bucket(GCS_BUCKET)
            blob = bucket.blob(f"{GCS_PREFIX}/{STATE_KEY}")
            if blob.exists():
                    return json.loads(blob.download_as_text())
            return {}
    
    def _save_state(state: dict) -> None:
            """Persist the state dict back to GCS."""
            bucket = gcs.bucket(GCS_BUCKET)
            blob = bucket.blob(f"{GCS_PREFIX}/{STATE_KEY}")
            blob.upload_from_string(
                    json.dumps(state), content_type="application/json"
            )
    
    def _api_get(path: str, params: dict, retries: int = 5) -> dict:
            """Execute a GET request against the FireEye ETP API with retry on 429."""
            url = f"https://{API_BASE}{path}"
            headers = {
                    "x-fireeye-api-key": API_KEY,
                    "Accept": "application/json",
            }
            backoff = 2
            for attempt in range(retries):
                    resp = http.request(
                            "GET", url, headers=headers, fields=params
                    )
                    if resp.status == 200:
                            return json.loads(resp.data.decode("utf-8"))
                    if resp.status == 429:
                            wait = backoff * (2 ** attempt)
                            print(
                                    f"Rate limited (429). Retrying in {wait}s "
                                    f"(attempt {attempt + 1}/{retries})."
                            )
                            time.sleep(wait)
                            continue
                    raise RuntimeError(
                            f"FireEye ETP API error: {resp.status} — {resp.data.decode('utf-8')}"
                    )
            raise RuntimeError(
                    "FireEye ETP API rate limit exceeded after maximum retries."
            )
    
    def _fetch_alerts(since: str) -> list:
            """Fetch alerts from FireEye ETP with offset-based pagination."""
            all_alerts = []
            offset = 0
            while len(all_alerts) < MAX_RECORDS:
                    params = {
                            "from_last_modified_on": since,
                            "size": str(PAGE_SIZE),
                            "offset": str(offset),
                    }
                    data = _api_get("/api/v1/alerts", params)
                    alerts = data.get("data", [])
                    if not alerts:
                            break
                    all_alerts.extend(alerts)
                    offset += len(alerts)
                    if len(alerts) < PAGE_SIZE:
                            break
            return all_alerts[:MAX_RECORDS]
    
    def _write_ndjson(alerts: list, run_ts: str) -> str:
            """Write alerts as NDJSON to GCS and return the blob path."""
            bucket = gcgcs.bucketCS_BUCKET)
            blob_path = (
                    f"{GCS_PREFIX}/year={run_ts[:4]}/month={run_ts[5:7]}/"
                    f"day={run_ts[8:10]}/{run_ts}_alerts.ndjson"
            )
            blob = bucket.blob(blob_path)
            ndjson = "\n".join(json.dumps(a, separators=(",", ":")) for a in alerts)
            blob.upupload_from_stringdjson, content_type="application/x-ndjson")
            return blob_path
    
    @functions_framework.cloud_event
    def main(cloud_event):
            """Entry point triggered by Pub/Sub via Cloud Scheduler."""
            state = _load_state()
            now = datetime.now(timezone.utc)
            since = ststateet(
                    "last_event_time",
                    (now - timedelta(hours=LOOKBACK_HOURS)).strftime(
                            "%Y-%m-%dT%H:%M:%S.000"
                    ),
            )
            print(f"Fetching FireEye ETP alerts since {since}.")
            alerts = _fetch_alerts(since)
            if not alerts:
                    print("No new alerts found.")
                    return "OK"
            run_ts = now.strftime("%Y-%m-%dT%H%M%SZ")
            blob_path = _write_ndjson(alerts, run_ts)
            print(f"Wrote {len(alerts)} alerts to gs://{GCS_BUCKET}/{blob_path}.")
            latest = max(
                    a.get("attributes", {})
                    .get("meta", {})
                    .get("last_modified_on", since)
                    for a in alerts
            )
            state["last_event_time"] = latest
            _save_state(state)
            print(f"State updated. last_event_time={latest}.")
            return "OK"
    

13. requirements.txt に、次の内容を貼り付けます。

    functions-framework==3.*
    google-cloud-storage==2.*
    urllib3==2.*
    

環境変数を構成する

[ランタイム環境変数] で、次の変数を追加します。

変数	値の例
GCS_BUCKET	fireeye-etp-logs
GCS_PREFIX	fireeye_etp
STATE_KEY	fireeye_etp_state.json
API_KEY	FireEye ETP API キー
API_BASE	etp.us.fireeye.com
MAX_RECORDS	10000
PAGE_SIZE	100
LOOKBACK_HOURS	1

1. [メモリ割り当て] を 256 MB に、[タイムアウト] を 540 秒に設定します。
2. [デプロイ] をクリックします。

Cloud Scheduler ジョブの作成

1. Google Cloud コンソールで、[Cloud Scheduler] に移動します。
2. [ジョブを作成] をクリックします。
3. 名前: fireeye-etp-ingestion-schedule
4. 頻度: */5 * * * *（5 分ごと）。
5. タイムゾーン: UTC
6. [続行] をクリックします。
7. ターゲット タイプ: Pub/Sub。
8. Cloud Pub/Sub トピック: fireeye-etp-trigger。
9. メッセージ本文: {"run": true}。
10. [作成] をクリックします。

Google SecOps サービス アカウントを取得する

1. [設定] > [データ管理] > [フィード] に移動します。SIEM のみのプラットフォームを使用している場合は、[設定] > [フィード] に移動します。
2. [新しいフィードを追加] をクリックし、[単一のフィードを構成する] を選択します。
3. フィード名: FireEye ETP Alerts。
4. ソースタイプ: Google Cloud Storage V2。
5. ログタイプ: FireEye ETP。
6. [サービス アカウントを取得する] をクリックし、表示されたメールアドレスをコピーします。
7. [次へ] をクリックします。
8. ストレージ バケットの URL: gs://fireeye-etp-logs/fireeye_etp/（末尾のスラッシュを含む）。
9. Source deletion option: 必要に応じて選択します。
10. [次へ] をクリックして確認し、[送信] をクリックします。

IAM 権限を付与

サービス アカウントには、バケットに対する Storage オブジェクト閲覧者ロールが必要です。

1. [Cloud Storage] > [バケット] に移動します。
2. バケットを選択し、[権限] タブをクリックします。
3. [アクセス権を付与] をクリックします。
4. プリンシパルを追加: Google SecOps サービス アカウントのメールアドレスを貼り付けます。
5. ロールを割り当てる: [Storage オブジェクト閲覧者] を選択します。
6. [保存] をクリックします。

UDM マッピング テーブル

ログフィールド	UDM マッピング	ロジック
	about	about_field から統合
	about.file.full_path	entry.attributes.email.attachment の値（空でない場合）
	about.file.md5	entry.attributes.alert.malware_md5 の値
	about.hostname	entry.attributes.email.attachment から抽出
	about.url	hxxp で始まる場合は正規化された full_path
	additional.fields	多数の内部ラベルとメタデータ フィールドから統合
	intermediary	仲介業者から統合
	intermediary.ip	alert.smtp-message.ip_address から統合
	intermediary.location.country_or_region	%{alert.smtp-message.country} に設定
	intermediary.user.email_addresses	src_email から統合
	metadata.description	%{alert.name} に設定
	metadata.event_timestamp	accepted_timestamp、last_modified_on、または attack-time から一致
	metadata.event_type	ネットワーク、ユーザー、ステータスの更新条件に基づいて分類
	metadata.product_log_id	メッセージ ID、属性 ID、またはアラート UUID に設定
	metadata.product_version	%{version} に設定
	metadata.url_back_to_product	%{entry.links.detail} に設定
	network.application_protocol	「SMTP」に設定
	network.direction	大文字の traffic_type（INBOUND / OUTBOUND）
	network.dns_domain	%{attributes.domain} に設定
	network.email.cc	ヘッダーまたは配列の cc フィールドから統合
	network.email.from	SMTP またはヘッダーの「from」フィールドから設定
	network.email.mail_id	ダウンストリームまたは元のメッセージ ID から設定
	network.email.subject	ヘッダーの件名フィールドから統合
	network.email.to	SMTP 受信者またはヘッダーの「to」フィールドから統合
	principal.administrative_domain	ETP メッセージ ID またはソースドメインに設定
	principal.asset.hostname	ソースホストまたはダウンストリーム ホスト名に設定
	principal.asset.ip	sender_ip フィールドまたは source_ip フィールドから統合
	principal.asset.mac	空でない場合は、ソース MAC から統合されます
	principal.hostname	ソースホストまたはダウンストリーム ホスト名に設定
	principal.ip	sender_ip フィールドまたは source_ip フィールドから統合
	principal.labels	mail_from ラベルと rcpt_to ラベルと統合
	principal.location.country_or_region	ソースの国コードに設定
	principal.mac	空でない場合は、ソース MAC から統合されます
	principal.user.email_addresses	alert.smtp-message.from から統合
	principal.user.user_display_name	From ヘッダーの表示名フィールドを設定する
	principal.user.userid	元のメッセージ ID に設定
	principal.email	[From] ヘッダーのメール項目を設定する
	security_result	複数の結果構造から統合
	security_result.about.resource.attribute.creation_time	アラートのタイムスタンプ フィールドから一致
	security_result.action	ステータスが dropped、quarantined、deleted の場合は「BLOCK」
	security_result.action_details	%{alert.action} に設定
	security_result.attack_details.tactics	MITRE ID または名前に基づいて統合
	security_result.attack_details.techniques	MITRE 手法データに基づいて統合
	security_result.category	threat_type が Phishing と一致する場合は「MAIL_PHISHING」
	security_result.category_details	threat_type または verdict から統合
	security_result.detection_fields	多数のステータス ラベルと判定ラベルから統合
	security_result.risk_score	重大度に応じて 5.0 または 10.0 に設定します。
	security_result.severity	アラートの重大度に基づいて高 / 中 / 低に設定
	security_result.severity_details	%{alert_severity} に設定
	security_result.summary	last_malware または下流の説明から設定
	security_result.threat_id	以前の ID またはトレース ID から設定
	security_result.threat_name	概要またはマルウェア名から設定
	security_result.verdict_info	判定が RISKWARE の場合に統合
	target.asset.hostname	配信メッセージのホスト名を設定
	target.file.first_seen_time	アラートの攻撃時間から一致
	target.file.first_submission_time	マルウェアの送信時刻から一致
	target.file.full_path	元のマルウェアパスから設定
	target.file.md5	マルウェアの MD5 チェックサムから設定
	target.file.names	マルウェア名から統合
	target.file.sha256	マルウェアの SHA256 から設定
	target.file.size	配信メッセージのバイト数から設定
	target.hostname	配信メッセージのホスト名を設定
	target.labels	キューラベルとプロトコルラベルと統合
	target.url	元のマルウェア URL から設定
	target.user.email_addresses	ターゲット メールと受信者フィールドから統合
	metadata.vendor_name	「FireEye」に設定します。
	metadata.product_name	「ETP」に設定
smtp-message.threat_type	event.idm.read_only_udm.metadata.product_event_type	変更履歴からマッピング
smtp-message.protocol	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
entry.attributes.email.smtp.rcpt_to	event.idm.read_only_udm.principal.resource.attribute.labels	変更履歴からマッピング
entry.attributes.email.smtp.mail_from	event.idm.read_only_udm.principal.resource.attribute.labels	変更履歴からマッピング
alert.smtp-message.last-malware	event.idm.read_only_udm.target.resource.attribute.labels	変更履歴からマッピング
alert.smtp-message.protocol	event.idm.read_only_udm.target.resource.attribute.labels	変更履歴からマッピング
alert.smtp-message.queue-id	event.idm.read_only_udm.target.resource.attribute.labels	変更履歴からマッピング
alert.ack	event.idm.read_only_udm.target.resource.attribute.labels	変更履歴からマッピング
mta_msg_id	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
msg	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
domain	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
original	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
alert_date	event.idm.read_only_udm.metadata.event_timestamp	変更履歴からマッピング
smtp-message.ip_address	event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip	変更履歴からマッピング
smtp-message.threat_type	event.idm.read_only_udm.security_result.summary	変更履歴からマッピング
smtp-message.threat_type_description	event.idm.read_only_udm.security_result.description	変更履歴からマッピング
email-header.to	event.idm.read_only_udm.network.email.to	変更履歴からマッピング
smtp-message.to	event.idm.read_only_udm.network.email.to	変更履歴からマッピング
email-header.from	event.idm.read_only_udm.network.email.from	変更履歴からマッピング
email-header.cc	event.idm.read_only_udm.network.email.cc	変更履歴からマッピング
email-header.subject	event.idm.read_only_udm.network.email.subject	変更履歴からマッピング
email-header.message-id	event.idm.read_only_udm.network.email.mail_id	変更履歴からマッピング
malware.name	event.idm.read_only_udm.security_result.threat_name	変更履歴からマッピング
malware.stype	event.idm.read_only_udm.security_result.threat_id	変更履歴からマッピング
sha256	event.idm.read_only_udm.security_result.about.file.sha256	変更履歴からマッピング
md5	event.idm.read_only_udm.security_result.about.file.md5	変更履歴からマッピング
email_status	event.idm.read_only_udm.security_result.action	変更履歴からマッピング
email_status	event.idm.read_only_udm.security_result.action_details	変更履歴からマッピング
smtp-message.from	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
smtp-message.last-malware	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
smtp-message.country	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
smtp-message.queue-id	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
ack	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
is_read	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.smtp-message.threat_type_description	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
custom.riskware_action	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
custom.riskware_result	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert_type	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
traffic_type	event.idm.read_only_udm.network.direction	変更履歴からマッピング
domain_id	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
,	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
custom	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
alert.smtp-message.threat_type	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
alert.email-header.cc	event.idm.read_only_udm.network.email.cc	変更履歴からマッピング
action_yara	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
verdict_yara	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
delivery_timestamp	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
syslog_process	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
timestamp	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
usr_display_name	event.idm.read_only_udm.principal.user.user_display_name	変更履歴からマッピング
is_retro	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.email-header.to	event.idm.read_only_udm.target.user.email_addresses	変更履歴からマッピング
alert.action	event.idm.read_only_udm.security_result.action_details	変更履歴からマッピング
alert.attack-time	event.idm.read_only_udm.target.file.first_seen_time	変更履歴からマッピング
alert.dst.smtp-to	event.idm.read_only_udm.target.user.email_addresses	変更履歴からマッピング
alert.email-header.from	event.idm.read_only_udm.network.email.from	変更履歴からマッピング
alert.email-header.message-id	event.idm.read_only_udm.network.email.mail_id	変更履歴からマッピング
alert.email-header.subject	event.idm.read_only_udm.network.email.subject	変更履歴からマッピング
alert.ack	event.idm.read_only_udm.target.labels	変更履歴からマッピング
alert.explanation.malware-detected.malware.application	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.explanation.malware-detected.malware.downloaded-at	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.explanation.malware-detected.malware.executed-at	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.explanation.malware-detected.malware.md5sum	event.idm.read_only_udm.target.file.md5	変更履歴からマッピング
alert.explanation.malware-detected.malware.md5sum	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.explanation.malware-detected.malware.name	event.idm.read_only_udm.target.file.names	変更履歴からマッピング
alert.explanation.malware-detected.malware.original	event.idm.read_only_udm.target.url	変更履歴からマッピング
alert.explanation.malware-detected.malware.original	event.idm.read_only_udm.target.file.full_path	変更履歴からマッピング
alert.explanation.malware-detected.malware.original	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.explanation.malware-detected.malware.profile	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.explanation.malware-detected.malware.sha256	event.idm.read_only_udm.target.file.sha256	変更履歴からマッピング
alert.explanation.malware-detected.malware.sha256	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.explanation.malware-detected.malware.stype	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.explanation.malware-detected.malware.submitted-at	event.idm.read_only_udm.target.file.first_submission_time	変更履歴からマッピング
alert.explanation.malware-detected.malware.type	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.interface.interface	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.interface.mode	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.name	event.idm.read_only_udm.metadata.description	変更履歴からマッピング
alert.occurred	event.idm.read_only_udm.metadata.event_timestamp	変更履歴からマッピング
alert.sc-version	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.severity	event.idm.read_only_udm.security_result.severity	変更履歴からマッピング
alert.smtp-message.country	event.idm.read_only_udm.intermediary.location.country_or_region	変更履歴からマッピング
alert.smtp-message.date	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
alert.smtp-message.from	event.idm.read_only_udm.principal.user.email_addresses	変更履歴からマッピング
alert.smtp-message.ip_address	event.idm.read_only_udm.intermediary.ip	変更履歴からマッピング
alert.smtp-message.last-malware	event.idm.read_only_udm.target.labels	変更履歴からマッピング
alert.smtp-message.protocol	event.idm.read_only_udm.target.labels	変更履歴からマッピング
alert.smtp-message.queue-id	event.idm.read_only_udm.target.labels	変更履歴からマッピング
alert.smtp-message.to	event.idm.read_only_udm.network.email.to	変更履歴からマッピング
alert.src.domain	event.idm.read_only_udm.principal.administrative_domain	変更履歴からマッピング
alert.src.smtp-mail-from	event.idm.read_only_udm.principal.user.email_addresses	変更履歴からマッピング
alert.uuid	event.idm.read_only_udm.metadata.product_log_id	変更履歴からマッピング
mitre_mapping.bale.bale_id	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
mitre_mapping.bale.name	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
mitre_mapping.bale.os_change_id	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
mitre_mapping.bale.severity	event.idm.read_only_udm.security_result.detection_fields	変更履歴からマッピング
mitre_mapping.bale.description	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
mitre_mapping.bale.id	event.idm.read_only_udm.security_result.attack_details.techniques	変更履歴からマッピング
tactics_data	event.idm.read_only_udm.security_result.attack_details.tactics	変更履歴からマッピング
alert.src.url	event.idm.read_only_udm.principal.url	変更履歴からマッピング
mta_msg_id	event.idm.read_only_udm.target.labels	変更履歴からマッピング
msg	event.idm.read_only_udm.about.labels	変更履歴からマッピング
parent_uuid	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
verdict	event.idm.read_only_udm.security_result.verdict_info	変更履歴からマッピング
version	event.idm.read_only_udm.metadata.product_version	変更履歴からマッピング
report_id	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
object_uuid	event.idm.read_only_udm.additional.fields	変更履歴からマッピング
type", "InternalId", "attributes.acceptedDateTime", "attributes.lastModifiedDateTime", "attributes.senderSMTP", "attributes.status", and "attributes.urlDomains	additional.fields	変更履歴からマッピング
attributes.countryCode	principal.location.country_or_region	変更履歴からマッピング
attributes.senderIP	principal.ip	変更履歴からマッピング
attributes.recipientSMTP	network.email.to	変更履歴からマッピング
attributes.senderHeader	network.email.from	変更履歴からマッピング
attributes.subject	network.email.subject	変更履歴からマッピング
alert.attributes.alert.malware_md5	about.file.md5	変更履歴からマッピング
id", "alert.explanation.analysis","alert.explanation.malware_os_analysis","email.dod_report_id" and "email.status	security_result.detection_fields	変更履歴からマッピング
alert.sha256	about.file.sha256	変更履歴からマッピング
alert.severity	security_result.severity	変更履歴からマッピング
email.smtp.mail_from	network.email.from	変更履歴からマッピング
email.smtp.recipients	network.email.to	変更履歴からマッピング
email.headers.subject	network.email.subject	変更履歴からマッピング
email.source_ip	principal.ip	変更履歴からマッピング
alert.explanation.malware_detected.malware.threat_type	security_result.category	変更履歴からマッピング
alert.explanation.malware_detected.malware.trace_iden	security_result.threat_id	変更履歴からマッピング
alert.explanation.malware_detected.malware.name	security_result.threat_name	変更履歴からマッピング
email.source_country	principal.location.country_or_region	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。