Collecter les journaux Trellix Network Security (anciennement FireEye NX)

Version de l'analyseur : 34.0

Compatible avec :

Ce guide explique comment ingérer des journaux Trellix Network Security (anciennement FireEye NX) dans Google Security Operations à l'aide de Bindplane.

Trellix Network Security est une solution de protection contre les menaces réseau qui détecte et bloque les attaques avancées, ciblées et autres attaques furtives dissimulées dans le trafic Web. Il utilise une combinaison de moteurs d'analyse avec et sans signature, y compris l'exécution virtuelle multivectorielle (MVX), pour identifier et arrêter les exploits zero-day, les rappels de logiciels malveillants et d'autres menaces avancées en temps réel.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps.
  • Un hôte exécutant Windows Server 2016 ou une version ultérieure, ou un hôte Linux avec systemd.
  • Connectivité réseau entre l'agent Bindplane et l'appliance Trellix NX.
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié à la console de gestion Trellix Network Security (NX) ou à l'appareil Central Management System (CMS).

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir le numéro client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.
  3. Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux : /opt/observiq-otel-collector/config.yaml
  • Windows : C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/fireeye_nx:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: FIREEYE_NX
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/fireeye_nx_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/fireeye_nx

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :
    • listen_address : adresse IP et port à écouter.
      • 0.0.0.0 pour écouter sur toutes les interfaces.
      • Le port 514 est standard (nécessite un accès racine). Utilisez 1514 ou une version ultérieure pour les utilisateurs non racine.
  • Configuration de l'exportateur :
    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1).
    • <CUSTOMER_ID> : ID client de la console Google SecOps.
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/fireeye_nx:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FIREEYE_NX
    raw_log_field: body
    ingestion_labels:

Enregistrez le fichier de configuration.

Après avoir modifié le fichier, enregistrez-le : * Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X. * Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent BindPlane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Vérifiez les journaux pour détecter d'éventuelles erreurs :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent BindPlane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Vérifiez les journaux pour détecter d'éventuelles erreurs :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog sur Trellix Network Security

  1. Connectez-vous à la console Trellix Network Security avec un compte administrateur.
  2. Accédez à Paramètres > Notifications.
  3. Cliquez sur l'onglet rsyslog.
  4. Cochez la case Type d'événement pour activer les notifications rsyslog.

  5. Dans la zone Paramètres Rsyslog, fournissez les informations de configuration suivantes :

    • Format par défaut : sélectionnez JSON et définissez le niveau de détail sur Étendu. Cette combinaison est communément appelée json-extended. L'option "Étendu" ne s'applique qu'aux formats JSON, XML et texte.

  6. Dans la section Liste des serveurs Rsyslog :

    • Saisissez un nom descriptif pour la nouvelle entrée (par exemple, Google SecOps-Bindplane).
    • Cliquez sur Ajouter un serveur Rsyslog.

  7. Pour le serveur que vous venez d'ajouter, fournissez les informations de configuration suivantes :

    • Activé : cochez la case pour activer le serveur.
    • Adresse IP : saisissez l'adresse IP de l'hôte de l'agent BindPlane.
    • Port : saisissez le numéro de port de l'agent BindPlane (par exemple, 514).

    • Protocole : sélectionnez TCP. Vérifiez que l'agent Bindplane utilise le récepteur tcplog et que le numéro de port correspond.

    • Types d'événements : sélectionnez les types d'événements à transférer ou sélectionnez Tous pour une journalisation complète.

  8. Cliquez sur Mettre à jour pour enregistrer la configuration.

Table de mappage UDM

Champ du journal Mappage UDM Logique
alert.dst.ip target.ip, target.asset.ip Mappage direct.
alert.dst.mac target.mac, target.asset.mac Mappage direct.
alert.dst.port target.port Mappage direct.
alert.name metadata.product_event_type Mappage direct.
alert.occurred metadata.event_timestamp Mappage direct.
alert.src.ip principal.ip, principal.asset.ip Mappage direct.
alert.src.port principal.port Mappage direct.
log_id metadata.product_log_id Mappage direct.
response_code network.http.response_code Mappage direct.
user_id principal.user.userid Mappage direct.
N/A metadata.event_type Définie en fonction de la présence d'une adresse IP, d'un nom d'hôte ou d'un ID utilisateur (par exemple, SCAN_UNCATEGORIZED, STATUS_UPDATE).
N/A metadata.log_type Variable définie sur FIREEYE_NX.
N/A metadata.vendor_name Variable définie sur FireEye.
N/A security_result.action AUTORISER si "notifié", BLOQUER si "bloqué".
N/A is_alert Variable définie sur true.
filePath event.idm.read_only_udm.target.file.full_path Mappé à partir du journal des modifications
fileType event.idm.read_only_udm.target.file.mime_type Mappé à partir du journal des modifications
fsize event.idm.read_only_udm.target.file.size Mappé à partir du journal des modifications
fileHash event.idm.read_only_udm.target.file.md5 Mappé à partir du journal des modifications
fileHash event.idm.read_only_udm.target.file.sha256 Mappé à partir du journal des modifications
fname event.idm.read_only_udm.target.file.names Mappé à partir du journal des modifications
flexString1 event.idm.read_only_udm.target.file.sha256 Mappé à partir du journal des modifications
device_vendor event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
product event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
entry.data.product event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
device_product event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
_source.alert_product event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cs5 event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
cs5 event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
dvchost event.idm.read_only_udm.intermediary.hostname et event.idm.read_only_udm.intermediary.asset.hostname Mappé à partir du journal des modifications
dvc event.idm.read_only_udm.intermediary.ip et event.idm.read_only_udm.intermediary.asset.ip Mappé à partir du journal des modifications
dvcmac event.idm.read_only_udm.intermediary.mac et event.idm.read_only_udm.intermediary.asset.mac Mappé à partir du journal des modifications
rawmsg.dcerpc.response_stub_data_len event.idm.read_only_udm.network.received_bytes Mappé à partir du journal des modifications
rawmsg.dcerpc.request_stub_data_len event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
rawmsg.dcerpc.interface.uuid event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
rawmsg.dcerpc.interface.version event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
rawmsg.dcerpc.interface.minor-version event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
rawmsg.dcerpc.request_stub_data event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dcerpc_request_stub_data event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rawmsg.dcerpc.response_stub_data event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dcerpc_response_stub_data event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rawmsg.dcerpc.opnum event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dcerpc_opnum event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rawmsg.timestamp event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
rawmsg.event_type event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
rawmsg.src_ip event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
rawmsg.src_ip event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
rawmsg.src_port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
rawmsg.dest_ip event.idm.read_only_udm.target.ip Mappé à partir du journal des modifications
rawmsg.dest_ip event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
rawmsg.dest_port event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
rawmsg.proto event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
rawmsg.dns.id event.idm.read_only_udm.network.dns.id Mappé à partir du journal des modifications
rawmsg.dns.rrname event.idm.read_only_udm.network.dns.questions.name Mappé à partir du journal des modifications
rawmsg.dns.rrtype event.idm.read_only_udm.network.dns.questions.type Mappé à partir du journal des modifications
rawmsg.dns.tx_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dns_tx_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rawmsg.dns.type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dns_type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rawmsg.flow_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
flow_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rawmsg.iface event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
iface event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
rawmsg.session_key event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
session_key event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
meta_oml event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cn2Label event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
signature_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cn4Label event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
link event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
meta_sip4 event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
deviceid event.idm.read_only_udm.target.asset_id Mappé à partir du journal des modifications
deviceid event.idm.read_only_udm.target.asset.asset_id Mappé à partir du journal des modifications
meta_cbname event.idm.read_only_udm.intermediary.hostname Mappé à partir du journal des modifications
meta_cbname event.idm.read_only_udm.intermediary.asset.hostname Mappé à partir du journal des modifications
entry.data.alert.explanation.malware-detected.malware.stype event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
malware_stype event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
product event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
alert.action event.idm.read_only_udm.security_result.action_details Mappé à partir du journal des modifications
alert.vlan event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
alert.explanation.ips-detected.action-taken event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.explanation.ips-detected.signature-name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.interface.interface event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.interface.label event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
alert.src.port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
alert.src.ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
alert.src.mac event.idm.read_only_udm.principal.mac et event.idm.read_only_udm.principal.asset.mac Mappé à partir du journal des modifications
alert.dst.ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
event_item.dst_ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
alert.dst.port event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
alert.dst.mac event.idm.read_only_udm.target.mac et event.idm.read_only_udm.target.asset.mac Mappé à partir du journal des modifications
alert.signature_id event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
alert.id event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
alert.name event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
alert.description event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
appliance event.idm.read_only_udm.observer.hostname Mappé à partir du journal des modifications
alert.occurred event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
appliance-id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
alert.class event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
alert.count event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
event_item.id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
event_item.sequence event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
event_item.src_port event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
event_item.dst_port event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
event_item.details.geo_org event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
event_item.details.ratio event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
alert.src.vlan event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
alert.root-infection event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
alert.ack event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
alert.uuid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
alert.protocol event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
alert.severity event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
alert.alert-url event.idm.read_only_udm.security_result.url_back_to_product Mappé à partir du journal des modifications
alert.category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
event_item.src_ip event.idm.read_only_udm.observer.ip Mappé à partir du journal des modifications
event_item.details.dest_ip_resolved event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
event_item.details.duration_seconds event.idm.read_only_udm.network.session_duration.seconds Mappé à partir du journal des modifications
event_item.details.inbound_mb event.idm.read_only_udm.network.received_bytes Mappé à partir du journal des modifications
event_item.details.outbound_mb event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
event_item.name event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
version event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
timestamp event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
event_type event.idm.read_only_udm.metadata.event_type Mappé à partir du journal des modifications
user_name event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
hostname event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
user event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
dstip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
file_hash event.idm.read_only_udm.target.file.sha1 Mappé à partir du journal des modifications
file_sha256 event.idm.read_only_udm.target.file.sha256 Mappé à partir du journal des modifications
file_name event.idm.read_only_udm.target.file.full_path Mappé à partir du journal des modifications
size event.idm.read_only_udm.target.file.size Mappé à partir du journal des modifications
srcports event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
file_type event.idm.read_only_udm.target.file.mime_type Mappé à partir du journal des modifications
file_id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
dstports event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
src_mac event.idm.read_only_udm.principal.mac et event.idm.read_only_udm.principal.asset.mac Mappé à partir du journal des modifications
dst_mac event.idm.read_only_udm.target.mac et event.idm.read_only_udm.target.asset.mac Mappé à partir du journal des modifications
process event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
protocol event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
db_action event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
pid event.idm.read_only_udm.principal.process.pid Mappé à partir du journal des modifications
tid event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
db_pool event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
db_handler event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
db_details event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
log_level event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
log_message event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
command_line event.idm.read_only_udm.target.process.command_line Mappé à partir du journal des modifications
http_method event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
request_uri event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
http_referer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
srcip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
user_agent event.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
http_port event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
http_host' event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
request_length event.idm.read_only_udm.network.received_bytes Mappé à partir du journal des modifications
http_version event.idm.read_only_udm.network.application_protocol_version Mappé à partir du journal des modifications
binary_path event.idm.read_only_udm.target.process.file.full_path Mappé à partir du journal des modifications
resource_path event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
'target_user' event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
'log_message' event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
'incoming_peer_name' event.idm.read_only_udm.intermediary.hostname et event.idm.read_only_udm.intermediary.asset.hostname Mappé à partir du journal des modifications
'incoming_session_id' and 'session_id' event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
'client' event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
'group_id' event.idm.read_only_udm.principal.group_product_object_id Mappé à partir du journal des modifications
'target_pid' event.idm.read_only_udm.target.process.pid Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.