איסוף יומנים של Fluentd

גרסת כלי הניתוח: 16.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף יומנים של Fluentd באמצעות הגדרה של Fluentd ושל מעביר נתונים של Google Security Operations. במסמך הזה מפורטים גם סוגי היומנים הנתמכים וגרסת Fluentd הנתמכת.

מידע נוסף זמין במאמר בנושא העברת נתונים אל Google Security Operations.

סקירה כללית

בתרשים דיאגרמת ארכיטקטורת הפריסה הבא מוצג אופן ההתקנה של Fluentd בשרת ה-Forwarder ובשרת ה-Aggregator כדי לשלוח יומנים אל Google Security Operations. הפריסה של כל לקוח עשויה להיות שונה מהייצוג הזה, ואולי מורכבת יותר.

דיאגרמת הארכיטקטורה מציגה את הרכיבים הבאים:

• מערכת Linux. מערכת Linux שרוצים לנטר. מערכת Linux מורכבת מהקבצים למעקב ומשרת ההעברה של Fluentd.

• מערכת Microsoft Windows. מערכת Microsoft Windows שרוצים לעקוב אחריה, שבה מותקן שרת ההפניה של Fluentd.

• Fluentd forwarder. הכלי להעברת נתונים של Fluentd אוסף מידע ממערכת Microsoft Windows או Linux ומעביר את המידע למצבר של Fluentd.

• אגרגטור Fluentd. האגרגטור Fluentd מקבל יומנים מהמעביר Fluentd ומעביר אותם למעביר Google Security Operations.

• סוכן Bindplane. הסוכן של Bindplane מאחזר יומנים מ-Zscaler ZPA ושולח אותם ל-Google SecOps.

• Google Security Operations forwarder. הכלי להעברת נתונים של Google Security Operations הוא רכיב תוכנה קל משקל שמוטמע ברשת של הלקוח ותומך ב-syslog. הכלי להעברת נתונים של Google Security Operations מעביר את היומנים אל Google Security Operations.

• ‫Google Security Operations. ‫Google Security Operations שומרת את היומנים מהאגרגטור Fluentd ומנתחת אותם.

תווית הטמעה מזהה את מנתח התוכן שמנרמל נתוני יומן גולמיים לפורמט UDM מובנה. המידע במסמך הזה רלוונטי למנתח התוכן (parser) עם תווית ההטמעה FLUENTD.

לפני שמתחילים

• מוודאים ש-Fluentd forwarder מותקן במערכות Microsoft Windows או Linux שאתם מתכננים לעקוב אחריהן. מידע נוסף על התקנת Fluentd forwarder

• משתמשים בגרסה של Fluentd שהכלי לניתוח נתונים של Google Security Operations תומך בה. הכלי לניתוח נתונים של Google Security Operations תומך ב-Fluentd בגרסה 1.0.

• מוודאים שהמצבר Fluentd מותקן ומוגדר בשרת Linux המרכזי.

• מוודאים שכל המערכות בארכיטקטורת הפריסה מוגדרות לפי אזור הזמן UTC.

• בודקים את סוגי היומנים שהכלי לניתוח של Google Security Operations תומך בהם. בטבלה הבאה מפורטים המוצרים ונתיבי קובצי היומן שהכלי לניתוח של Google Security Operations תומך בהם:

  מערכת הפעלה	מוצר	נתיב קובץ היומן
  Microsoft Windows	Microsoft Windows	יומני אירועים
  Linux	Linux	/var/log/audit/audit.log
  Linux	Linux	/var/log/syslog
  Linux	apache2	/var/log/apache2/access.log
  Linux	apache2	/var/log/apache2/error.log
  Linux	apache2	/var/log/apache2/other_vhosts_access.log
  Linux	apache2	/var/log/apache2/novnc-server-access.log
  Linux	OpenVpn	/var/log/openvpnas.log
  Linux	Nginx	/var/log/nginx/access.log
  Linux	Nginx	/var/log/nginx/error.log
  Linux	rkhunter	/var/log/rkhunter.log
  Linux	Linux	/var/log/auth.log
  Linux	Linux	/var/log/kern.log
  Linux	rundeck	/var/log/rundeck/service.log
  Linux	Samba	/var/log/samba/log.winbindd
  Linux	Linux	/var/log/mail.log

הגדרת המעביר והמצבר של Fluentd והמעביר של Google Security Operations

1. כדי לעקוב אחרי היומנים שמערכות Linux יוצרות, יוצרים קובץ td-agent.conf כדי לציין את הגדרות המעקב אחרי היומנים עבור Fluentd forwarder. זו דוגמה לקובץ הגדרה של Fluentd forwarder במערכת Linux:

   <source>
   @type tail
   path /var/log/nginx/access.log
   pos_file /var/log/td-agent/nginx-access.log.pos
   tag mytag.nginx.access
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/nginx/error.log
   pos_file /var/log/td-agent/nginx-error.log.pos
   tag mytag.nginx.error
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/apache2/access.log
   pos_file /var/log/td-agent/apache-access.log.pos
   tag mytag.apache.access
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/apache2/error.log
   pos_file /var/log/td-agent/apache-error.log.pos
   tag mytag.apache.error
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/audit/audit.log
   pos_file /var/log/td-agent/audit.log.pos
   tag mytag.audit
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/syslog/syslog.log
   pos_file /var/log/td-agent/syslog.log.pos
   tag mytag.syslog
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path  /var/log/apache2/other_vhosts_access.log
   pos_file /var/log/td-agent/vhost.log.pos
   tag mytag.apache.other_vhosts_access
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path  /var/log/apache2/novnc-server-access.log
   pos_file /var/log/td-agent/novnc.log.pos
   tag mytag.apache.novnc-server-access
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/openvpnas.log
   pos_file /var/log/td-agent/openvpnas.log.pos
   tag mytag.openvpnas
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/auth.log
   pos_file /var/log/td-agent/auth.log.pos
   tag mytag.auth
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/kern.log
   pos_file /var/log/td-agent/kern.log.pos
   tag mytag.kern
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/rundeck/service.log
   pos_file /var/log/td-agent/rundeck.log.pos
   tag mytag.rundeck
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/mail.log
   pos_file /var/log/td-agent/mail.log.pos
   tag mytag.mail
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/rkhunter.log
   pos_file /var/log/td-agent/rkhunter.log.pos
   tag mytag.rkhunter
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   Path /var/log/samba/log.winbindd
   pos_file /var/log/td-agent/winbindd.log.pos
   tag mytag.winbindd
   <parse>
   @type none
   </parse>
   </source>
   
   <filter  mytag.**>
   @type record_transformer
   <record>
   forwarder_hostname "#{Socket.gethostname}"
   </record>
   </filter>
   
   <filter  mytag.nginx.access.**>
   @type record_transformer
   <record>
   path "/var/log/nginx/access.log"
   </record>
   </filter>
   
   <filter  mytag.nginx.error.**>
   @type record_transformer
   <record>
   path "/var/log/nginx/error.log"
   </record>
   </filter>
   
   <filter  mytag.apache.access.**>
   @type record_transformer
   <record>
   path "/var/log/apache2/access.log"
   </record>
   </filter>
   
   <filter  mytag.apache.error.**>
   @type record_transformer
   <record>
   path "/var/log/apache2/error.log"
   </record>
   </filter>
   
   <filter  mytag.audit.**>
   @type record_transformer
   <record>
   path "/var/log/audit/audit.log"
   </record>
   </filter>
   
   <filter  mytag.syslog.**>
   @type record_transformer
   <record>
   path "/var/log/syslog/syslog.log"
   </record>
   </filter>
   
   <filter  mytag.apache.other_vhosts_access.**>
   @type record_transformer
   <record>
   path "/var/log/apache2/other_vhosts_access.log"
   </record>
   </filter>
   
   <filter  mytag.apache.novnc-server-access.**>
   @type record_transformer
   <record>
   path "/var/log/apache2/novnc-server-access.log"
   </record>
   </filter>
   
   <filter mytag.openvpnas.**>
   @type record_transformer
   <record>
   path "/var/log/openvpnas.log"
   </record>
   </filter>
   
   <filter mytag.auth.**>
   @type record_transformer
   <record>
   path "/var/log/auth.log"
   </record>
   </filter>
   
   <filter mytag.kern.**>
   @type record_transformer
   <record>
   path "/var/log/kern.log"
   </record>
   </filter>
   
   <filter mytag.rundeck.**>
   @type record_transformer
   <record>
   path "/var/log/rundeck/service.log"
   </record>
   </filter>
   
   <filter mytag.mail.**>
   @type record_transformer
   <record>
   path "/var/log/mail.log"
   </record>
   </filter>
   
   <filter mytag.rkhunter.**>
   @type record_transformer
   <record>
   path "/var/log/rkhunter.log"
   </record>
   </filter>
   
   <filter mytag.winbindd.**>
   @type record_transformer
   <record>
   path "/var/log/samba/log.winbindd"
   </record>
   </filter>
   
   <match mytag.**>
   @type forward
   # primary host
   <server>
   host <AGGREGATOR_HOSTNAME>
   port <AGGREGATOR_PORT>
   </server>
   </match>
   

2. כדי לעקוב אחרי היומנים שמערכות Microsoft Windows יוצרות, צריך ליצור קובץ td-agent.conf כדי לציין את הגדרות המעקב אחרי היומנים עבור Fluentd forwarder. דוגמה לקובץ הגדרה של Fluentd forwarder במערכת Microsoft Windows:

   <source>
   @type windows_eventlog
   @id windows_eventlog
   channels application,security,system
   read_existing_events true
   read_interval 2
   tag windows.raw
   render_as_xml true
   <storage>
   @type local
   persistent true
   path E:\windows.pos
   </storage>
   </source>
   <match windowslog>
   @type forward
   <server>
   host <AGGREGATOR_HOSTNAME>
   port <AGGREGATOR_PORT>
   username <AGGREGATOR_USERNAME>
   password <AGGREGATOR_PASSWORD>
   </server>
   </match>
   
   

3. כדי להעביר את היומנים מהצובר Fluentd למעביר של Google Security Operations, צריך ליצור קובץ תצורה בפורמט הבא:

   <source>
   @type forward
   port <AGGREGATOR_PORT>
   </source>
   
   ## Forwarding
   <match mytag.**>
   @id output_system_forward
   @type forward
   # IP and port of the forwarder
   <server>
    host <CHRONICLE_FORWARDER_HOSTNAME>
    port <CHRONICLE_FORWARDER_PORT>
   </server>
   </match>
   

4. מגדירים את המעביר של Google Security Operations לשליחת יומנים אל Google Security Operations. מידע נוסף מופיע במאמר בנושא התקנה והגדרה של המעביר ב-Linux. הדוגמה הבאה היא של הגדרת מעביר ב-Google Security Operations:

   common:
     enabled: true
     data_type: FLUENTD
     batch_n_seconds: 10
     batch_n_bytes: 1048576
   tcp_address: 0.0.0.0:10514
   connection_timeout_sec: 60
   

העברת יומנים ל-Google SecOps באמצעות סוכן Bindplane

1. מתקינים ומגדירים מכונה וירטואלית של Linux.
2. איך מתקינים ומגדירים את סוכן Bindplane ב-Linux כדי להעביר יומנים ל-Google SecOps. מידע נוסף על התקנה והגדרה של סוכן Bindplane זמין בהוראות להתקנה ולהגדרה של סוכן Bindplane.

אם נתקלתם בבעיות כשניסיתם ליצור פידים, פנו לתמיכה של Google SecOps.

פורמטים נתמכים של יומנים ב-Fluentd

הכלי Fluentd parser תומך ביומנים בפורמט SYSLOG+JSON.

דוגמאות ליומנים נתמכים של Fluentd

• ‫SYSLOG + JSON

  "2022-06-30T17:10:10+05:30 mytag.apache.error {\"message\":\"[Sat Jun 02 00:30:55 2022] New connection: [connection: gTxkX8Z6tjk] [client 172.17.0.1:50786]\",\"forwarder_hostname\":\"Ubuntu18\",\"path\":\"/var/log/apache2/error.log\"}"
  

הפניה למיפוי שדות

בקטע הזה מוסבר איך מנתח התוכן משתמש בתבניות grok במערכות Linux ו-Microsoft Windows, ואיך הוא ממפה שדות של יומני Fluentd לשדות של מודל הנתונים המאוחד (UDM) של Google Security Operations לכל סוג של יומן.

מידע על מיפוי הפניה של שדות נפוצים זמין במאמר שדות נפוצים

למידע על נתיבי יומנים, דפוסי grok ליומנים לדוגמה, סוגי אירועים ושדות UDM במערכות Linux, אפשר לעיין בקטעים הבאים:

• ‫Linux
• ביקורת
• סוג האירוע ביומן הביקורת
• Mail
• הסוג של אירוע האימייל ביומן

מידע על אירועים נתמכים ב-Microsoft Windows ושדות UDM תואמים זמין במאמר נתונים של אירועים ב-Microsoft Windows

שדות משותפים

בטבלה הבאה מפורטים שדות נפוצים ביומן והשדות התואמים להם ב-UDM.

שדה נפוץ ביומן	שדה UDM
collected_time	metadata.collected_timestamp
inner_message.message	inner_message
inner_message.forwarder_hostname	target.hostname או principal.hostname
inner_message.path	event_source

מערכת Linux

בטבלה הבאה מפורטים נתיבי היומן של מערכת Linux, תבנית grok ליומנים לדוגמה, סוג האירוע ומיפויים של UDM:

נתיב היומן	יומן לדוגמה	תבנית Grok	סוג אירוע	מיפוי UDM
/var/log/apache2/error.log	[Thu Apr 28 16:13:01.283342 2022] [core:notice] [pid 18394:tid 140188660751296] [client 1.200.32.47:59840] failed to make connection	[{timestamp}][{log_module}:{log_level}][pid{pid}(<optional_field>:tid{tid}|)](<optional_field> [client {client_ip}:{client_port}]|) (?<error_message>.*)	NETWORK_UNCATEGORIZED	חותמת הזמן ממופה אל metadata.event_timestamp ‫log_module ממופה אל target.resource.name ‫log_level ממופה ל-security_result.severity ‫pid ממופה אל target.process.parent_process.pid ‫tid ממופה אל target.process.pid ‫client_ip ממופה ל-principal.ip ‫client_port ממופה ל-principal.port error_message ממופה ל-security_result.description הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
/var/log/apache2/error.log	[Thu Apr 28 16:13:01.283342 2022] [core:notice] [pid 18394:tid 140188660751296] failed to make connection	[{timestamp}][{log_module}:{severity}][pid{pid}(<optional_field>:tid{tid}|)]{error_message}	NETWORK_UNCATEGORIZED	חותמת הזמן ממופה אל metadata.event_timestamp ‫log_module ממופה אל target.resource.name ‫log_level ממופה ל-security_result.severity ‫pid ממופה אל target.process.parent_process.pid ‫tid ממופה אל target.process.pid error_message ממופה ל-security_result.description הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
/var/log/apache2/error.log	[Thu Apr 28 16:13:01.283342 2022] [core:notice] [pid 18394:tid 140188660751296] AH00094: שורת פקודה: '/usr/sbin/apache2'	[{timestamp}][{log_module}:{log_level}][pid{pid}(<optional_field>:tid{tid}|)](<optional_field> [client {client_ip}:{client_port}]|) (?<error_message>.*),referer{referer_url}	NETWORK_UNCATEGORIZED	הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server חותמת הזמן ממופה אל metadata.event_timestamp ‫log_module ממופה אל target.resource.name ‫log_level ממופה ל-security_result.severity ‫pid ממופה אל target.process.parent_process.pid ‫tid ממופה אל target.process.pid ‫client_ip ממופה ל-principal.ip ‫client_port ממופה ל-principal.port error_message ממופה ל-security_result.description ההגדרה של target.platform היא LINUX הפרמטר referer_url ממופה לפרמטר network.http.referral_url
/var/log/apache2/error.log	‫[Sun Jan 30 15:14:47.260309 2022] [proxy_http:error] [pid 12515:tid 140035781285632] [client 1.200.32.47:59840] AH01114: HTTP: failed to make connection to backend: 192.0.2.1 , referer http://	[{timestamp}] [{log_module}:{log_level}] [pid {pid}(<optional_field>:tid{tid}|)] [client {client_ip}:{client_port}]( <message_text>HTTP: )?{error_message}:( {target_ip})(<optional_field>,referer{referer_url})?"	NETWORK_HTTP	חותמת הזמן ממופה אל metadata.event_timestamp ‫log_module ממופה אל target.resource.name ‫log_level ממופה ל-security_result.severity ‫pid ממופה אל target.process.parent_process.pid ‫tid ממופה אל target.process.pid ‫client_ip ממופה ל-principal.ip ‫client_port ממופה ל-principal.port error_message ממופה ל-security_result.description ‫target_ip ממופה אל target.ip הפרמטר referer_url ממופה לפרמטר network.http.referral_url הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
/var/log/apache2/error.log	‫[Sat Feb 02 00:30:55 2019] New connection: [connection: gTxkX8Z6tjk] [client 192.0.2.1:50786]	[{timestamp}]<message_text>connection:[connection:{connection_id}][client{client_ip}:{client_port}]	NETWORK_UNCATEGORIZED	חותמת הזמן ממופה אל metadata.event_timestamp ‫client_ip ממופה ל-principal.ip ‫client_port ממופה ל-principal.port ‫connection_id ממופה אל network.session_id הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
/var/log/apache2/error.log	[Sat Feb 02 00:30:55 2019] New request: [connection: j8BjX4Z5tjk] [request: ACtkX1Z5tjk] [pid 8] [client 192.0.2.1:50784]	[{timestamp}]<message_text>request:[connection:{connection_id}][request:{request_id}][pid{pid}][client{client_ip}:{client_port}]	NETWORK_UNCATEGORIZED	חותמת הזמן ממופה אל metadata.event_timestamp ‫request_id ממופה אל security_result.detection_fields.(key/value) ‫client_ip ממופה ל-principal.ip ‫client_port ממופה ל-principal.port ‫pid ממופה אל target.process.parent_process.pid ‫connection_id ממופה אל network.session_id הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
/var/log/apache2/error.log	[Sat Feb 02 00:30:55 2019] [info] [C: j8BjX4Z5tjk] [R: p7pjX4Z5tjk] [pid 8] core.c(4739): [client 192.0.2.1:50784] AH00128: File does not exist: /usr/local/apache2/htdocs/favicon.ico	‫[{timestamp}] [{log_level}][C:{connection_id}][R:{request_id}][pid {pid}(<optional_field>:tid{tid}|)]<message_text>[client {client_ip}:{client_port}]{error_message}:{file_path}	NETWORK_UNCATEGORIZED	חותמת הזמן ממופה אל metadata.event_timestamp ‫log_level ממופה ל-security_result.severity ‫request_id ממופה אל security_result.detection_fields.(key/value) ‫client_ip ממופה ל-principal.ip ‫client_port ממופה ל-principal.port ‫pid ממופה אל target.process.parent_process.pid ‫connection_id ממופה אל network.session_id error_message ממופה ל-security_result.description ‫file_path ממופה אל target.file.full_path הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
/var/log/apache2/access.log	‪192.0.2.1 - - [28/Apr/2022:17:35:52 +0530] "GET / HTTP/1.1" 200 3476 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/192.0.2.1 Safari/537.36"	({client_ip})?<message_text>{userid}[{timestamp}](<optional_field>{method}/(<optional_field>{resource}?) {client_protocol}?){result_status}{object_size}(<optional_field>(<optional_field>{referer_url}?)(<optional_field>{user_agent}?)?	NETWORK_HTTP	‫client_ip ממופה ל-principal.ip ‫userid ממופה אל principal.user.userid המארח ממופה ל-principal.hostname חותמת הזמן ממופה אל metadata.event_timestamp ה-method ממופה ל-network.http.method המשאב ממופה אל principal.resource.name ‫client_protocol ממופה ל-network.application_protocol ‫result_status ממופה ל-network.http.response_code ‫object_size ממופה ל-network.sent_bytes הפרמטר referer_url ממופה לפרמטר network.http.referral_url ‫user_agent ממופה ל-network.http.user_agent הערך של network.ip_protocol הוא TCP הערך של network.direction הוא OUTBOUND הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
var/log/apache2/other_vhosts_access.log	wintest.example.com:80 ::1 - - [14/Jan/2022:14:08:16 -0700] \"GET /server-status?auto HTTP/1.1\" 200 1415 \"-\" \"Python-urllib/2.7\"	‪{target_host}:{NUMBER:target_port} {client_ip} - (<optional_field>{host}?) [{timestamp}](<optional_field>{method}/(<optional_field>{resource}?){client_protocol}?){result_status}{object_size}(<optional_field>{referer_url}?)(<optional_field>{user_agent}?)	NETWORK_HTTP	‫target_host ממופה אל target.hostname ‫target_port ממופה אל target.port ‫client_ip ממופה ל-principal.ip ‫userid ממופה אל principal.user.userid המארח ממופה ל-principal.hostname חותמת הזמן ממופה אל metadata.event_timestamp ה-method ממופה ל-network.http.method המשאב ממופה אל principal.resource.name ‫result_status ממופה ל-network.http.response_code ‫object_size ממופה ל-network.sent_bytes הפרמטר referer_url ממופה לפרמטר network.http.referral_url ‫user_agent ממופה ל-network.http.user_agent הערך של network.ip_protocol הוא TCP הערך של network.direction הוא OUTBOUND ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server הערך של network.application_protocol הוא HTTP
var/log/apache2/novnc-server-access.log	wintest.example.com:80 ::1 - - [14/Jan/2022:14:08:16 -0700] \"GET /server-status?auto HTTP/1.1\" 200 1415 \"-\" \"http://\"	‪{target_host}:{NUMBER:target_port} {client_ip} - (<optional_field>{host}?) [{timestamp}](<optional_field>{method}/(<optional_field>{resource}?){client_protocol}?){result_status}{object_size}(<optional_field>{referer_url}?)(<optional_field>{user_agent}?)	NETWORK_HTTP	‫client_ip ממופה ל-principal.ip ‫userid ממופה אל principal.user.userid ה-method ממופה ל-network.http.method הנתיב ממופה אל target.url ‫result_status ממופה ל-network.http.response_code ‫object_size ממופה ל-network.sent_bytes הפרמטר referer_url ממופה לפרמטר network.http.referral_url ‫user_agent ממופה ל-network.http.user_agent הערך של network.ip_protocol הוא TCP הערך של network.direction הוא OUTBOUND ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server הערך של network.application_protocol הוא HTTP
/var/log/apache2/access.log	‪"http://192.0.2.1/test/first.html" -> /google.com	(<optional_field>{referer_url}?)->(<optional_field>{path}?)	GENERIC_EVENT	הנתיב ממופה אל target.url הפרמטר referer_url ממופה לפרמטר network.http.referral_url הערך של network.direction הוא OUTBOUND ההגדרה של target.platform היא LINUX הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
/var/log/apache2/access.log	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Code/1.67.0 Chrome/98.0.4758.141 Electron/17.4.1 Safari/537.36	(<optional_field>{user_agent})	GENERIC_EVENT	‫user_agent ממופה ל-network.http.user_agent הערך של network.direction הוא OUTBOUND ההגדרה של target.platform היא LINUX הערך של network.application_protocol הוא HTTP ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא Apache הערך של metadata.product_name הוא Apache HTTP Server
var/log/nginx/access.log	‪192.0.2.1 - admin [05/May/2022:11:53:27 +0530] "GET /icons/ubuntu-logo.png HTTP/1.1" 404 209 "http://198.51.100.1/" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/192.0.2.1 Safari/537.36"	‫{principal_ip} - (<optional_field>{principal_user_userid}?) [{timestamp}] {http_method} /(<optional_field>{resource_name}?|) {protocol}(<message_text>){response_code} {received_bytes}(<optional_field>{referer_url}) ({user_agent}|{user_agent})?	NETWORK_HTTP	השדה time ממופה אל metadata.timestamp כתובת ה-IP ממופה ל-target.ip ‫principal_ip ממופה ל-principal.ip ‫principal_user_userid ממופה אל principal.user.userid ‫metadata_timestamp ממופה אל timestamp ‫http_method ממופה ל-network.http.method ‫resource_name ממופה אל principal.resource.name הפרוטוקול ממופה ל-network.application_protocol = (HTTP) ‫response_code ממופה אל network.http.response_code המאפיין received_bytes ממופה למאפיין network.sent_bytes הפרמטר referer_url ממופה לפרמטר network.http.referral_url ‫user_agent ממופה ל-network.http.user_agent ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא NGINX ההגדרה של metadata.product_name היא NGINX הערך של network.ip_protocol הוא TCP הערך של network.direction הוא OUTBOUND
var/log/nginx/error.log	‪2022/01/29 13:51:48 [error] 593#593: *62432 open() \"/usr/share/nginx/html/nginx_status\" failed (2: No such file or directory), client: 192.0.2.1, server: localhost, request: \"GET /nginx_status HTTP/1.1\", host: \"192.0.2.1:8080\"	"{year}\/{month}\/{day}{time}[{severity}]{pid}#{thread_id}:{inner_message2}" ‫inner_message2 ממופה אל '{security_result_description_2},client:{principal_ip},server:(<optional_field>{target_hostname}?),request:"{http_method} /(<optional_field>{resource_name}?) {protocol}/1.1",host:"({target_ip}:{target_port})?" ‪"bind() to ({target_ip}|[{target_ip}]):{target_port} failed ({security_description})", ‪"\*{cid}{security_description}", "{security_description}"	NETWORK_HTTP	‫thread_id ממופה ל-principal.process.pid ‫severity ממופה אל security_result.severity ‫(debug ממופה ל-UNKNOWN_SEVERITY, ‏ info ממופה ל-INFORMATIONAL, ‏ notice ממופה ל-LOW, ‏ warn ממופה ל-MEDIUM, ‏ error ממופה ל-ERROR, ‏ crit ממופה ל-CRITICAL, ‏ alert ממופה ל-HIGH) ‫target_file_full_path ממופה אל target.file.full_path ‫principal_ip ממופה ל-principal.ip ‫target_hostname ממופה אל target.hostname ‫http_method ממופה ל-network.http.method ‫resource_name ממופה אל principal.resource.name הפרוטוקול ממופה ל-TCP ‫target_ip ממופה אל target.ip ‫target_port ממופה אל target.port ‫security_description + security_result_description_2 ממופים אל security_result.description ‫pid ממופה אל principal.process.parent_process.pid הערך של network.application_protocol הוא HTTP חותמת הזמן ממופה ל-‎{year}/{day}/{month} {time} ההגדרה של target.platform היא LINUX הערך של metadata.vendor_name הוא NGINX ההגדרה של metadata.product_name היא NGINX הערך של network.ip_protocol הוא TCP הערך של network.direction הוא OUTBOUND
var/log/rkhunter.log	‫[14:10:40] בדיקת הפקודות הנדרשות נכשלה	[<message_text>]{security_description}	עדכון סטטוס	השדה time ממופה אל metadata.timestamp ‫security_description ממופה אל security_result.description הערך של principal.platform מוגדר כ-'LINUX' הערך של metadata.vendor_name הוא RootKit Hunter ההגדרה של metadata.product_name היא RootKit Hunter
var/log/rkhunter.log	‫[14:09:52] בדיקה אם הקובץ '/dev/.oz/.nap/rkit/terror' קיים [ לא נמצא ]	[<message_text>] {security_description} {file_path}[\{metadata_description}]	FILE_UNCATEGORIZED	המאפיין metadata_description ממופה אל metadata.description ‫file_path ממופה אל target.file.full_path ‫security_description ממופה אל security_result.description הערך של principal.platform מוגדר כ-'LINUX' הערך של metadata.vendor_name הוא RootKit Hunter ההגדרה של metadata.product_name היא RootKit Hunter
var/log/rkhunter.log	fluentd: File size reduced (inode remained): '/var/log/rkhunter.log'.	(<optional_field><message_text>:){metadata_description}:'{file_path}'	FILE_UNCATEGORIZED	השדה time ממופה אל metadata.timestamp המאפיין metadata_description ממופה אל metadata.description ‫file_path ממופה אל target.file.full_path הערך של principal.platform מוגדר כ-'LINUX' הערך של metadata.vendor_name הוא RootKit Hunter ההגדרה של metadata.product_name היא RootKit Hunter
/var/log/kern.log	Apr 28 12:41:35 localhost kernel: [ 5079.912215] ctnetlink v0.93: registering with nfnetlink.	{timestamp}{principal_hostname}{metadata_product_event_type}:[<message_text>]{metadata_description}	עדכון סטטוס	חותמת הזמן ממופה ל-metadata.event_timestamp ‫principal_hostname ממופה ל-principal.hostname ‫metadata_product_event_type ממופה אל metadata.product_event_type ‫metadata_description ממופה אל metadata.description המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD הערך של principal.platform מוגדר כ-'LINUX'
/var/log/kern.log	Jul 6 11:17:01 Ubuntu18 kernel: [ 0.030139] smpboot: CPU0: Intel(R) Xeon(R) Gold 5220R CPU @ 2.20GHz (family: 0x6, model: 0x55, stepping: 0x7)	{timestamp}{principal_hostname}{metadata_product_event_type}:([<message_text>])<message_text>:\CPU0:{principal_asset_hardware_cpu_model}({metadata_description})	STATUS_UPDATE	חותמת הזמן ממופה ל-metadata.event_timestamp ‫principal_hostname ממופה ל-principal.hostname ‫metadata_product_event_type ממופה אל metadata.product_event_type ‫principal_asset_hardware_cpu_model ממופה אל principal.asset.hardware.cpu_model ‫metadata_description ממופה אל metadata.description המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD הערך של principal.platform מוגדר כ-'LINUX' ‫cpu_model ממופה אל principal.asset.hardware.cpu_model
/var/log/syslog.log	‫24 במאי 10:30:42 Ubuntu18 systemd[1]: Started Session 112 of user kajal.	{collected_timestamp}{hostname}{command_line}(<optional_field>[{pid}]):{message}	STATUS_UPDATE	הפרמטר collected_time ממופה לפרמטר metadata.event_timestamp שם המארח ממופה ל-principal.hostname ‫pid ממופה אל principal.process.pid ההודעה ממופה ל-metadata.description המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD הערך של principal.platform מוגדר כ-'LINUX' ‫command_line ממופה אל principal.process.command_line
/var/log/syslog.log	‫Jul 06 10:14:37 Ubuntu18 rsyslogd: rsyslogd's userid changed to 102	{collected_timestamp}{hostname}{command_line}:{message}to{user_id}	STATUS_UPDATE	השדה collected_time ממופה אל metadata.collected_timestamp שם המארח ממופה ל-principal.hostname ההודעה ממופה ל-metadata.description ‫user_id ממופה אל principal.user.userid ‫command_line ממופה אל principal.process.command_line המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD הערך של principal.platform מוגדר כ-'LINUX'
/var/log/syslog.log	Jul 06 10:36:48 Ubuntu18 systemd[1]: Starting System Logging Service...	{collected_timestamp}{hostname}{command_line}(<optional_field>|[{pid}]):{message}	STATUS_UPDATE	הפרמטר collected_time ממופה לפרמטר metadata.event_timestamp שם המארח ממופה ל-principal.hostname ‫pid ממופה אל principal.process.pid ההודעה ממופה ל-metadata.description המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD הערך של principal.platform מוגדר כ-'LINUX' ‫command_line ממופה אל principal.process.command_line
var/log/openvpnas.log	‪2022-04-29T10:51:22+0530 [stdout#info] [OVPN 4] OUT: '2022-04-29 05:21:22 mohit_AUTOLOGIN/198.51.100.1:16245 MULTI: Learn: 198.51.100.1 -> mohit_AUTOLOGIN/203.0.113.1:16245'	‫{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:(<optional_field>'|")<message_text>-<message_text>{user}\/{ip}:{port}MULTI:Learn:{local_ip}->{target_hostname}?{target_ip}:{port}(<optional_field>'|")	NETWORK_HTTP	חותמת הזמן ממופה אל metadata.timestamp ‫log_level ממופה ל-security_result.severity המשתנה local_ip ממופה למשתנה principal.ip ‫target_ip ממופה אל target.ip ‫target_hostname ממופה ל-principal.hostname היציאה ממופה ל-target.port המשתמש ממופה אל principal.user.user_display_name הערך של metadata.vendor_name מוגדר כ-OpenVPN ‫metadata.product_name מוגדר ל-OpenVPN Access Server הערך של principal.platform מוגדר כ-'LINUX'
var/log/openvpnas.log	‪2022-04-28T16:14:13+0530 [stdout#info] [OVPN 6] OUT: '2022-04-28 16:14:13 library versions: OpenSSL 1.1.1 11 Sep 2018, LZO 2.08'	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:(<optional_field>'|")<message_text>{msg}(<optional_field>'|")	עדכון סטטוס	חותמת הזמן ממופה אל metadata.timestamp ‫log_level ממופה ל-security_result.severity ההודעה ממופה ל-security_result.description הערך של metadata.vendor_name מוגדר כ-OpenVPN ‫metadata.product_name מוגדר ל-OpenVPN Access Server הערך של principal.platform מוגדר כ-'LINUX'
var/log/openvpnas.log	‪2022-04-28T16:14:13+0530 [stdout#info] [OVPN 6] OUT: '2022-04-28 16:14:13 net_addr_v4_add: 198.51.100.1/23 dev as0t6'	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:<optional_field>'|"<message_text>-<message_text>-<message_text><message_text>{message}<optional_field>'|" ההודעה ממופה אל (net_addr_v4_add|net_route_v4_best_gw):{target_ip}/{target_port}	עדכון סטטוס	הערך של principal.platform מוגדר כ-'LINUX' ‫target_ip ממופה אל target.ip ‫target_port ממופה אל target.port ‫severity ממופה אל security_result.severity חותמת הזמן ממופה אל metadata.timestamp ‫metadata.vendor_name מוגדר ל-OpenVPN הערך של metadata.product_name מוגדר כ-OpenVPN Access Server
var/log/openvpnas.log	‪2022-04-29T10:51:22+0530 [stdout#info] [OVPN 4] OUT: '2022-04-29 05:21:22 198.51.100.1:16245 [mohit_AUTOLOGIN] Peer Connection Initiated with [AF_INET]192.0.2.1:16245 (via [AF_INET]198.51.100.1%ens160)'	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:(<optional_field>'|")<message_text>{message}(<optional_field>'|") ההודעה ממופה ל-<message_text>with[<message_text>]<message_text>:{port}<message_text>	עדכון סטטוס	חותמת הזמן ממופה אל metadata.timestamp ‫log_level ממופה ל-security_result.severity ‫metadata.vendor_name מוגדר ל-OpenVPN הערך של metadata.product_name מוגדר כ-OpenVPN Access Server המאפיין principal.platform מוגדר ל-Linux ‫target_ip ממופה אל target.ip ‫target_port ממופה אל target.port ‫target_hostname ממופה אל target.hostname ‫intermediary_ip ממופה אל intermediary.ip
var/log/openvpnas.log	‪2022-04-29T10:51:22+0530 [stdout#info] [OVPN 4] OUT: \"2022-04-29 05:21:22 mohit_AUTOLOGIN/198.51.100.1:16245 SENT CONTROL [mohit_AUTOLOGIN]: 'PUSH_REPLY,explicit-exit-notify,topology subnet,route-delay 5 30,dhcp-pre-release,dhcp-renew,dhcp-release,route-metric 101,ping 12,ping-restart 50,redirect-gateway def1,redirect-gateway bypass-dhcp,redirect-gateway autolocal,route-gateway 198.51.100.1,dhcp-option DNS 192.0.2.1,dhcp-option DNS 192.0.2.1,register-dns,block-ipv6,ifconfig 198.51.100.1 203.0.113.1,peer-id 0,auth-tokenSESS_ID,cipher AES-256-GCM,key-derivation tls-ekm' (status=1)\"	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:(<optional_field>'|")<message_text>{user}\/{ip}:{message}(<optional_field>'|")	עדכון סטטוס	חותמת הזמן ממופה אל metadata.timestamp ‫log_level ממופה ל-security_result.severity ההודעה ממופה ל-metadata.description המשתמש ממופה אל target.hostname כתובת ה-IP ממופה ל-target.ip היציאה ממופה אל target.port ‫metadata.vendor_name מוגדר ל-OpenVPN הערך של metadata.product_name מוגדר כ-OpenVPN Access Server המאפיין principal.platform מוגדר ל-Linux
var/log/openvpnas.log	2022-04-29T10:51:22+0530 [stdout#info] AUTH SUCCESS {'status': 0, 'user': 'mohit', 'reason': 'AuthAutoLogin: autologin certificate auth succeeded', 'proplist': {'prop_autogenerate': 'true', 'prop_autologin': 'true', 'pvt_password_digest': '[redacted]', 'type': 'user_connect'}, 'common_name': 'mohit_AUTOLOGIN', 'serial': '3', 'serial_list': []} cli='win'/'3.git::d3f8b18b'/'OCWindows_3.3.6-2752'	{timestamp}[stdout#{log_level}]{summary}{'<message_text>':({status})?'<message_text>':({user})?'<message_text>':({reason})?<message_text>}, 'common_name':'{user_name}'<message_text>}cli='{cli}'	עדכון סטטוס	חותמת הזמן ממופה אל metadata.timestamp ‫log_level ממופה ל-security_result.severity ההודעה ממופה ל-security_result.description הסיכום ממופה ל-security_result.summary המשתנה user_name ממופה אל principal.user.user_display_name ‫cli ממופה אל principal.process.command_line הסטטוס ממופה אל principal.user.user_authentication_status הערך של metadata.vendor_name מוגדר כ-OpenVPN ‫metadata.product_name מוגדר ל-OpenVPN Access Server הערך של principal.platform מוגדר כ-'LINUX'
/var/log/rundeck/service.log	‫[2022-05-04T17:03:11,166] WARN config.NavigableMap - Accessing config key '[filterNames]' through dot notation is deprecated, and it will be removed in a future release. במקום זאת, צריך להשתמש ב-config.getProperty(key, targetClass).	‫[{timestamp}]{severity}{summary}\-{security_description} , בכתובת {command_line}\({file_path}:<message_text>\)	עדכון סטטוס	‫command_line ממופה אל target.process.command_line הנתיב file_path ממופה אל target.process.file.full_path חותמת הזמן ממופה ל-metadata.event_timestamp החומרה ממופה ל-security_result.severity הסיכום ממופה ל-security_result.summary ‫security_description ממופה אל security_result.description הערך של metadata.product_name הוא FLUENTD המאפיין metadata.vendor_name מוגדר כ-FLUENTD
/var/log/auth.log	Jul 4 19:26:19 Ubuntu18 systemd-logind[982]: Removed session 153.	‫{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}]):{security_description}{network_session_id}?(of user{principal_user_userid})?	USER_LOGOUT	חותמת הזמן ממופה אל metadata.timestamp אם הערך הוא USER_LOGOUT,‏ principal_hostname ממופה ל-target.hostname, אחרת הוא ממופה ל-principal.hostname ‫principal_application ממופה אל target.application אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.application הפרמטר pid ממופה אל target.process.pid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.process.pid. ‫security_description ממופה אל security_result.description ‫network_session_id ממופה אל network.session_id המשתנה principal_user_userid ממופה למשתנה principal.user.userid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה למשתנה target.user.userid. הערך של 'principal.platform' מוגדר כ-'LINUX' אם event security_description הוא Removed session, ‏ event_type מוגדר כ-USER_LOGOUT. ההגדרה extensions.auth.type מוגדרת כ-AUTHTYPE_UNSPECIFIED המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/auth.log	‪Jun 27 11:07:17 Ubuntu18 systemd-logind[804]: New session 564 of user root.	‫{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}]):{security_description}{network_session_id}?(of user{principal_user_userid})?	USER_LOGIN	חותמת הזמן ממופה אל metadata.timestamp אם הערך הוא USER_LOGOUT,‏ principal_hostname ממופה ל-target.hostname, אחרת הוא ממופה ל-principal.hostname ‫principal_application ממופה אל target.application אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.application הפרמטר pid ממופה אל target.process.pid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.process.pid. ‫security_description ממופה אל security_result.description ‫network_session_id ממופה אל network.session_id המשתנה principal_user_userid ממופה למשתנה principal.user.userid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה למשתנה target.user.userid. הערך של 'principal.platform' מוגדר כ-'LINUX' ‫network.application_protocol ממופה ל-SSH ‫if(new_session) event_type is set to USER_LOGIN ההגדרה extensions.auth.type מוגדרת כ-AUTHTYPE_UNSPECIFIED המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/auth.log	Jun 27 11:07:17 Ubuntu18 sshd[9349]: Accepted password for root from 198.51.100.1 port 57619 ssh2	‫{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}])<optional_field> {security_description} for (invalid user )?{principal_user_userid} from {principal_ip} port {principal_port} ssh2(:{security_result_detection_fields_ssh_kv}SHA256:{security_result_detection_fields_kv})?	USER_LOGIN	חותמת הזמן ממופה אל metadata.timestamp אם הערך הוא USER_LOGOUT,‏ principal_hostname ממופה ל-target.hostname, אחרת הוא ממופה ל-principal.hostname ‫principal_application ממופה אל target.application אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.application הפרמטר pid ממופה אל target.process.pid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.process.pid. ‫security_description ממופה אל security_result.description המשתנה principal_user_userid ממופה למשתנה principal.user.userid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה למשתנה target.user.userid. ‫principal_ip ממופה ל-principal.ip ‫principal_port ממופה ל-principal.port ‫security_result_detection_fields_ssh_kv ממופה אל security_result.detection_fields.key/value ‫security_result_detection_fields_kv ממופה אל security_result.detection_fields.key/value הערך של 'principal.platform' מוגדר כ-'LINUX' ‫network.application_protocol מוגדר כ-SSH המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/auth.log	Apr 28 11:51:13 Ubuntu18 sudo[24149]: root : TTY=pts/5 ; PWD=/ ; USER=root ; COMMAND=/bin/ls	{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}])<optional_field> {principal_user_userid} :( {security_description} ;)? TTY=<message_text> ; PWD={principal_process_command_line_1} ; USER={principal_user_attribute_labels_uid_kv} ; COMMAND={principal_process_command_line_2}	עדכון סטטוס	חותמת הזמן ממופה אל metadata.timestamp ‫principal_hostname ממופה ל-principal.hostname ‫principal_application ממופה ל-principal.application ‫pid ממופה אל principal.process.pid ‫principal_user_userid ממופה אל target.user.userid ‫security_description ממופה אל security_result.description ‫principal_process_command_line_1 ממופה אל principal.process.command_line ‫principal_process_command_line_2 ממופה אל principal.process.command_line ‫principal_user_attribute_labels_uid_kv ממופה אל principal.user.attribute.labels.key/value הערך של 'principal.platform' מוגדר כ-'LINUX'
/var/log/auth.log	‫Jul 4 19:39:01 Ubuntu18 CRON[17217]: pam_unix(cron:session): session opened for user root by (uid=0)	‫{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}])<optional_field> {security_description} for (invalid user|user)?{principal_user_userid}(by (uid={principal_user_attribute_labels_uid_kv}))?$	USER_LOGIN	חותמת הזמן ממופה אל metadata.timestamp אם הערך הוא USER_LOGOUT,‏ principal_hostname ממופה ל-target.hostname, אחרת הוא ממופה ל-principal.hostname ‫principal_application ממופה אל target.application אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.application הפרמטר pid ממופה אל target.process.pid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.process.pid. ‫security_description ממופה אל security_result.description המשתנה principal_user_userid ממופה למשתנה principal.user.userid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה למשתנה target.user.userid. ‫principal_user_attribute_labels_uid_kv ממופה אל principal.user.attribute.labels.key/value הערך של 'principal.platform' מוגדר כ-'LINUX' ‫network.application_protocol מוגדר כ-SSH המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/auth.log	‫Jul 4 19:24:43 Ubuntu18 sshd[14731]: pam_unix(sshd:session): session closed for user root	‫{timestamp} {principal_hostname}{principal_application}<optional_filed>[{pid}]): {security_description} for (invalid user|user){principal_user_userid}	USER_LOGOUT	חותמת הזמן ממופה אל metadata.timestamp אם הערך הוא USER_LOGOUT,‏ principal_hostname ממופה ל-target.hostname, אחרת הוא ממופה ל-principal.hostname ‫principal_application ממופה אל target.application אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.application הפרמטר pid ממופה אל target.process.pid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.process.pid. ‫security_description ממופה אל security_result.description המשתנה principal_user_userid ממופה למשתנה principal.user.userid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה למשתנה target.user.userid. ‫principal_user_attribute_labels_uid_kv ממופה אל principal.user.attribute.labels.key/value הערך של 'principal.platform' מוגדר כ-'LINUX' המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/auth.log	‫Jun 30 11:32:26 Ubuntu18 sshd[29425]: Connection reset by authenticating user root 198.51.100.1 port 52518 [preauth]	{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}]):{security_description}(from|{principal_user_userid}){target_ip}port{target_port}<optional_field>[preauth]|:<text_message>{security_summary}|)	USER_LOGOUT	חותמת הזמן ממופה אל metadata.timestamp אם הערך הוא USER_LOGOUT,‏ principal_hostname ממופה ל-target.hostname, אחרת הוא ממופה ל-principal.hostname ‫principal_application ממופה אל target.application אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.application הפרמטר pid ממופה אל target.process.pid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה אל principal.process.pid. ‫security_description ממופה אל security_result.description ‫security_summary ממופה אל security_result.summary המשתנה principal_user_userid ממופה למשתנה principal.user.userid אם הערך הוא USER_LOGOUT, אחרת הוא ממופה למשתנה target.user.userid. ‫target_ip ממופה אל target.ip ‫target_port ממופה אל target.port" ‫principal.platform מוגדר כ-LINUX המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
var/log/samba/log.winbindd	‫[2022/05/05 13:51:22.212484, 0] ../source3/winbindd/winbindd_cache.c:3170(initialize_winbindd_cache)initialize_winbindd_cache: clearing cache and re-creating with version number 2	{timestamp},{severity}(<optional_field>,pid={pid},effective({principal_user_attribute_labels_kv},{principal_group_attribute_labels_kv}),real({principal_user_userid},{principal_group_product_object_id}))?]<message_text>:{security_description}	עדכון סטטוס	חותמת הזמן ממופה אל metadata.timestamp ‫pid ממופה אל principal.process.pid ‫principal_user_attribute_labels_kv ממופה אל principal.user.attribute.labels ‫principal_group_attribute_labels_kv ממופה ל-principal.group.attribute.labels ‫principal_user_userid ממופה אל principal.user.userid ‫principal_group_product_object_id ממופה אל principal.group.product_object_id ‫security_description ממופה אל security_result.description ‫metadata_description ממופה אל metadata.description ‫metadata.product_name מוגדר כ-FLUENTD ‫metadata.vendor_name מוגדר כ-FLUENTD
var/log/samba/log.winbindd	messaging_dgm_init: bind failed: No space left on device	{user_id}: {desc}	עדכון סטטוס	‫metadata.product_name מוגדר כ-FLUENTD ‫metadata.vendor_name מוגדר כ-FLUENTD ‫user_id ממופה אל principal.user.userid המאפיין desc ממופה אל metadata.description
/var/log/mail.log	‫July 16 11:40:56 Ubuntu18 sendmail[9341]: 22G6AtwH009341: from=<fluentd@Ubuntu18>, size=377, class=0, nrcpts=1, metadata_descriptionid=<[e-mail]>, proto=SMTP, daemon=MTA-v4, relay=localhost [192.0.2.1]	‫{timestamp} {target_hostname} {application}[{pid}]: <message_text>:{KV}	עדכון סטטוס	‫target_hostname ממופה אל target.hostname האפליקציה ממופה אל target.application ‫pid ממופה אל target.process.pid המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/mail.log	‫July 7 13:44:01 prod postfix/pickup[22580]: AE4271627DB: uid=0 from=<root>	{timestamp} {target_hostname} {application}[{pid}]: <message_text>{KV}	EMAIL_UNCATEGORIZED	‫target_hostname ממופה אל target.hostname האפליקציה ממופה אל target.application ‫pid ממופה אל target.process.pid המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/mail.log	‫July 7 13:44:01 prod postfix/cleanup[23434]: AE4271627DB: message-id=<[e-mail].01>	{timestamp} {target_hostname} {application}[{pid}]: <message_text> message-id=<{resource_name}>	עדכון סטטוס	‫target_hostname ממופה אל target.hostname האפליקציה ממופה אל target.application ‫pid ממופה אל target.process.pid המיפוי של resource_name הוא אל target.resource.name המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/mail.log	‫July 7 13:44:01 prod postfix/qmgr[3539]: AE4271627DB: from=<[e-mail].01>, size=565, nrcpt=1 (queue active)	{timestamp} {target_hostname} {application}[{pid}]: <message_text>{KV}	EMAIL_UNCATEGORIZED	‫target_hostname ממופה אל target.hostname האפליקציה ממופה אל target.application ‫pid ממופה אל target.process.pid המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/mail.log	‫7 ביולי 13:44:01 prod postfix/smtp[23436]: connect to gmail-smtp-in.l.example.com[2607:xxxx:xxxx:xxx::xx]:25: Network is unreachable	{timestamp} {target_hostname} {application}[{pid}]: <message_text>{KV}	עדכון סטטוס	‫target_hostname ממופה אל target.hostname האפליקציה ממופה אל target.application ‫pid ממופה אל target.process.pid המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD
/var/log/mail.log	‫July 7 13:44:02 prod postfix/local[23439]: E62521627DC: to=<[e-mail].01>, relay=local, delay=0.01, delays=0/0.01/0/0, dsn=2.0.0, status=sent (delivered to mailbox)	{timestamp} {target_hostname} {application}[{pid}]: <message_text>{KV}	EMAIL_UNCATEGORIZED	‫target_hostname ממופה אל target.hostname האפליקציה ממופה אל target.application ‫pid ממופה אל target.process.pid המאפיין metadata.vendor_name מוגדר כ-FLUENTD הערך של metadata.product_name הוא FLUENTD

ביקורת

שדות ביומן ביקורת לשדות ב-UDM

בטבלה הבאה מפורטים שדות היומן של סוג יומן הביקורת והשדות התואמים ב-UDM.

שדה ביומן	שדה UDM
acct	target.user.user_display_name
addr	principal.ip
קשת	about.labels.key/value
auid	target.user.userid
cgroup	principal.process.file.full_path
cmd	target.process.command_line
comm	target.application
cwd	target.file.full_path
נתונים	about.labels.key/value
devmajor	about.labels.key/value
devminor	about.labels.key/value
egid	target.group.product_object_id
euid	target.user.userid
exe	target.process.file.full_path
יציאה	target.labels.key/value
משפחה	הערך של network.ip_protocol הוא IP6IN4 אם ip_protocol == 2, אחרת הערך הוא UNKNOWN_IP_PROTOCOL
filetype	target.file.mime_type
fsgid	target.group.product_object_id
fsuid	target.user.userid
gid	target.group.product_object_id
שם המארח	target.hostname
icmptype	הערך של network.ip_protocol הוא ICMP
id	אם [audit_log_type] == "ADD_USER", ‏ target.user.userid מוגדר ל-"%{id}" ‫If [audit_log_type] == "ADD_GROUP", target.group.product_object_id is set to "%{id}" else target.user.attribute.labels.key/value is set to id
inode	target.resource.product_object_id
key	security_result.detection_fields.key/value
list	security_result.about.labels.key/value
מצב	target.resource.attribute.permissions.name target.resource.attribute.permissions.type
name	target.file.full_path
new-disk	target.resource.name
new-mem	target.resource.attribute.labels.key/value
new-vcpu	target.resource.attribute.labels.key/value
new-net	pincipal.mac
new_gid	target.group.product_object_id
oauid	target.user.userid
ocomm	target.process.command_line
opid	target.process.pid
oses	network.session_id
ouid	target.user.userid
obj_gid	target.group.product_object_id
obj_role	target.user.attribute.role.name
obj_uid	target.user.userid
obj_user	target.user.user_display_name
ogid	target.group.product_object_id
ouid	target.user.userid
נתיב	target.file.full_path
פרמננט	target.asset.attribute.permissions.name
pid	target.process.pid
ppid	target.parent_process.pid
proto	‫If [ip_protocol] == 2, network.ip_protocol is set to "IP6IN4" אחרת, הערך של network.ip_protocol מוגדר כ-UNKNOWN_IP_PROTOCOL
res	security_result.summary
result	security_result.summary
saddr	security_result.detection_fields.key/value
סאוריד	target.user.attribute.labels.key/value
ses	network.session_id
sgid	target.group.product_object_id
sig	security_result.detection_fields.key/value
subj_user	target.user.user_display_name
הפעולה בוצעה	אם success=='yes',‏ security_result.summary מוגדר כ-'system call was successful' אחרת, security_result.summary מוגדר כ-'systemcall was failed'
suid	target.user.userid
syscall	about.labels.key/value
טרמינל	target.labels.key/value
TTY	target.labels.key/value
uid	‫If [audit_log_type] in [SYSCALL, SERVICE_START, ADD_GROUP, ADD_USER, MAC_IPSEC_EVENT, MAC_UNLBL_STCADD, OBJ_PID, CONFIG_CHANGE, SECCOMP, USER_CHAUTHTOK, USYS_CONFIG, DEL_GROUP, DEL_USER, USER_CMD, USER_MAC_POLICY_LOAD] uid is set to principal.user.userid else uid is set to target.user.userid
vm	target.resource.name

סוגים של יומני ביקורת לסוג אירוע ב-UDM

בטבלה הבאה מפורטים סוגי יומני הביקורת וסוגי האירועים התואמים ב-UDM.

סוג יומן הביקורת	סוג אירוע UDM	תיאור
ADD_GROUP	GROUP_CREATION	מופעלת כשמוסיפים קבוצה למרחב משתמשים.
ADD_USER	USER_CREATION	מופעל כשמוסיפים חשבון משתמש במרחב המשתמש.
ANOM_ABEND	GENERIC_EVENT / PROCESS_TERMINATION	מופעל כשמסתיים תהליך באופן לא תקין (עם אות שיכול לגרום ליצירת תמונת מצב בזמן שגיאה, אם האפשרות הזו מופעלת).
AVC	GENERIC_EVENT	מופעל כדי להקליט בדיקת הרשאה של SELinux.
CONFIG_CHANGE	USER_RESOURCE_UPDATE_CONTENT	מופעל כשמשנים את ההגדרה של מערכת הביקורת.
CRED_ACQ	USER_LOGIN	מופעל כשמשתמש מקבל פרטי כניסה במרחב המשתמש.
CRED_DISP	USER_LOGOUT	מופעל כשמשתמש משליך פרטי כניסה של מרחב המשתמש.
CRED_REFR	USER_LOGIN	מופעל כשמשתמש מרענן את פרטי הכניסה שלו במרחב המשתמש.
CRYPTO_KEY_USER	USER_RESOURCE_ACCESS	מופעל כדי לתעד את מזהה המפתח הקריפטוגרפי שמשמש למטרות קריפטוגרפיות.
CRYPTO_SESSION	PROCESS_TERMINATION	מופעל כדי להקליט פרמטרים שהוגדרו במהלך יצירת סשן TLS.
CWD	SYSTEM_AUDIT_LOG_UNCATEGORIZED	הופעלה הקלטה של ספריית העבודה הנוכחית.
DAEMON_ABORT	PROCESS_TERMINATION	מופעל כששד מופסק בגלל שגיאה.
DAEMON_END	PROCESS_TERMINATION	מופעל כששד (daemon) מופסק בהצלחה.
DAEMON_RESUME	PROCESS_UNCATEGORIZED	מופעל כששירות ה-daemon של auditd ממשיך את הרישום ביומן.
DAEMON_ROTATE	PROCESS_UNCATEGORIZED	מופעל כשדמון auditd מבצע רוטציה של קובצי יומן הביקורת.
DAEMON_START	PROCESS_LAUNCH	מופעל כששירות ה-daemon של auditd מתחיל לפעול.
DEL_GROUP	GROUP_DELETION	מופעל כשקבוצה במרחב משתמשים נמחקת
בהמתנה	USER_DELETION	מופעל כשמשתמש במרחב המשתמשים נמחק
EXECVE	PROCESS_LAUNCH	מופעל כדי להקליט את הארגומנטים של קריאת המערכת execve(2).
MAC_CONFIG_CHANGE	GENERIC_EVENT	מופעל כשערך בוליאני של SELinux משתנה.
MAC_IPSEC_EVENT	SYSTEM_AUDIT_LOG_UNCATEGORIZED	מופעל כדי לתעד מידע על אירוע IPSec, כשאירוע כזה מזוהה או כשמתבצע שינוי בהגדרת IPSec.
MAC_POLICY_LOAD	GENERIC_EVENT	הטריגר מופעל כשקובץ מדיניות SELinux נטען.
MAC_STATUS	GENERIC_EVENT	מופעל כשמצב SELinux (אכיפה, הרשאה, השבתה) משתנה.
MAC_UNLBL_STCADD	SYSTEM_AUDIT_LOG_UNCATEGORIZED	הטריגר מופעל כשמוסיפים תווית סטטית באמצעות היכולות של תיוג מנות הנתונים בקרנל שסופק על ידי NetLabel.
NETFILTER_CFG	GENERIC_EVENT	מופעל כשמזוהים שינויים בשרשרת Netfilter.
OBJ_PID	SYSTEM_AUDIT_LOG_UNCATEGORIZED	מופעל כדי לתעד מידע על תהליך שאות נשלח אליו.
PATH	FILE_OPEN/GENERIC_EVENT	מופעל כדי לתעד את פרטי הנתיב של שם הקובץ.
SELINUX_ERR	GENERIC_EVENT	מופעל כשמזוהה שגיאת SELinux פנימית.
SERVICE_START	SERVICE_START	מופעל כששירות מתחיל.
SERVICE_STOP	SERVICE_STOP	מופעל כששירות מופסק.
SYSCALL	GENERIC_EVENT	מופעלת הקלטה של קריאה למערכת לליבת המערכת.
SYSTEM_BOOT	STATUS_STARTUP	מופעלת כשהמערכת מופעלת.
SYSTEM_RUNLEVEL	STATUS_UPDATE	מופעל כשמשנים את רמת ההרצה של המערכת.
SYSTEM_SHUTDOWN	STATUS_SHUTDOWN	מופעל כשהמערכת נסגרת.
USER_ACCT	SETTING_MODIFICATION	מופעל כשמשנים חשבון משתמש במרחב המשתמש.
USER_AUTH	USER_LOGIN	מופעל כשמזוהה ניסיון אימות של מרחב משתמש.
USER_AVC	USER_UNCATEGORIZED	מופעל כשנוצרת הודעת AVC במרחב משתמש.
USER_CHAUTHTOK	USER_RESOURCE_UPDATE_CONTENT	מופעל כשמשנים מאפיין של חשבון משתמש.
USER_CMD	USER_COMMUNICATION	מופעל כשפקודת מעטפת של מרחב משתמשים מופעלת.
USER_END	USER_LOGOUT	מופעל כשסשן במרחב המשתמשים מסתיים.
USER_ERR	USER_UNCATEGORIZED	מופעלת כשמזוהה שגיאה בסטטוס של חשבון משתמש.
USER_LOGIN	USER_LOGIN	מופעל כשמשתמש מתחבר לחשבון.
USER_LOGOUT	USER_LOGOUT	מופעל כשמשתמש מתנתק.
USER_MAC_POLICY_LOAD	RESOURCE_READ	מופעל כשדמון במרחב המשתמש טוען מדיניות SELinux.
USER_MGMT	USER_UNCATEGORIZED	מופעל כדי לתעד נתוני ניהול של מרחב המשתמש.
USER_ROLE_CHANGE	USER_CHANGE_PERMISSIONS	מופעל כשמשנים את תפקיד SELinux של משתמש.
USER_START	USER_LOGIN	הטריגר מופעל כשמתחיל סשן במרחב המשתמש.
USYS_CONFIG	USER_RESOURCE_UPDATE_CONTENT	מופעל כשמזוהה שינוי בהגדרת המערכת במרחב המשתמש.
VIRT_CONTROL	STATUS_UPDATE	מופעלת כשמכונה וירטואלית מופעלת, מושהית או מופסקת.
VIRT_MACHINE_ID	USER_RESOURCE_ACCESS	מופעל כדי לתעד את הקישור של תווית למכונה וירטואלית.
VIRT_RESOURCE	USER_RESOURCE_ACCESS	מופעל כדי לתעד הקצאת משאבים של מכונה וירטואלית.

שליחת אימייל

שדות ביומן הדואר לשדות ב-UDM

בטבלה הבאה מפורטים שדות היומן של סוג יומן הדואר והשדות התואמים שלהם ב-UDM.

שדה ביומן	שדה UDM
מחלקה	about.labels.key/value
Ctladdr	principal.user.user_display_name
מאת	network.email.from
Msgid	network.email.mail_id
Proto	network.application_protocol
שרת ממסר	intermediary.hostname intermediary.ip
גודל	network.received_bytes
נתון סטטיסטי	security_result.summary
הם במצב	network.email.to

סוגי יומנים של אימייל שמתאימים לסוג האירוע ב-UDM

בטבלה הבאה מפורטים סוגי יומני הדואר וסוגי האירועים התואמים ב-UDM.

סוג יומן הדואר	סוג אירוע UDM
sendmail	עדכון סטטוס
איסוף	EMAIL_UNCATEGORIZED
ניקוי נתונים	עדכון סטטוס
qmgr	EMAIL_UNCATEGORIZED
smtp	עדכון סטטוס
מקומי	EMAIL_UNCATEGORIZED

המאמרים הבאים

• העברת נתונים אל Google Security Operations

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.