Forcepoint Web Security-Logs erfassen

Parserversion: 12.0

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Forcepoint Web Security-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Forcepoint Web Security ist ein Webproxy und ein Sicherheitsgateway, das Syslog-Meldungen im CEF-Format (Common Event Format) für Webzugriff, Sicherheitsereignisse, Authentifizierung und Richtliniendurchsetzung generiert. Der Parser extrahiert Felder aus CEF- und Syslog-formatierten Logs und ordnet sie dem Unified Data Model (UDM) zu.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Windows Server 2016 oder höher oder Linux-Host mit systemd
  • Netzwerkverbindung zwischen dem Bindplane-Agent und Forcepoint Web Security
  • Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Administratorzugriff auf Forcepoint Security Manager oder die Verwaltungsoberfläche der Appliance

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
  • Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profil auf.

  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organization Details (Organisationsdetails).

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sc query observiq-otel-collector

    Der Dienst sollte als RUNNING (WIRD AUSGEFÜHRT) angezeigt werden.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Warten Sie, bis die Installation abgeschlossen ist.

  4. Überprüfen Sie die Installation mit folgendem Befehl:

    sudo systemctl status observiq-otel-collector

    Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

Sie können den Bindplane-Agent so konfigurieren, dass er Syslog-Nachrichten über TCP (empfohlen) oder UDP empfängt.

Konfigurationsdatei suchen

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die Konfiguration für das ausgewählte Protokoll:

  • Option A: TCP-Konfiguration (empfohlen)

    receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/forcepoint_webproxy:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: FORCEPOINT_WEBPROXY
    raw_log_field: body

service:
  pipelines:
    logs/forcepoint_tcp_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/forcepoint_webproxy

  • Option B: UDP-Konfiguration

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/forcepoint_webproxy:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: FORCEPOINT_WEBPROXY
    raw_log_field: body

service:
  pipelines:
    logs/forcepoint_udp_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/forcepoint_webproxy

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

  • Empfängerkonfiguration:

    • listen_address: IP-Adresse und Port, auf die gewartet werden soll:
      • 0.0.0.0, um auf allen Schnittstellen zuzuhören (empfohlen)
      • Port 514 ist der Standard-Syslog-Port (erfordert Root unter Linux; verwenden Sie 1514 für Nicht-Root).

  • Exporter-Konfiguration:

    • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Die Kundennummer, die aus der Google SecOps Console kopiert wurde
    • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
    • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
    • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/forcepoint_webproxy:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: FORCEPOINT_WEBPROXY
    raw_log_field: body

Konfigurationsdatei speichern

  • Speichern Sie die Datei nach der Bearbeitung:
    • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
    • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

    1. Prüfen Sie, ob der Dienst ausgeführt wird:

      sudo systemctl status observiq-otel-collector

    2. Logs auf Fehler prüfen:

      sudo journalctl -u observiq-otel-collector -f

  • Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

    • Eingabeaufforderung oder PowerShell als Administrator:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Dienstkonsole:

      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

      4. Prüfen Sie, ob der Dienst ausgeführt wird:

        sc query observiq-otel-collector

      5. Prüfen Sie die Logs auf Fehler:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung in Forcepoint Web Security konfigurieren

Konfigurieren Sie Forcepoint Web Security so, dass Logs im CEF-Format (Common Event Format) an den Bindplane-Agenten weitergeleitet werden.

Forcepoint Security Manager verwenden

  1. Melden Sie sich mit Administratoranmeldedaten im Forcepoint Security Manager an.
  2. Gehen Sie zu Einstellungen > Logging.
  3. Wählen Sie im linken Navigationsbereich Log-Server aus.
  4. Klicken Sie auf Hinzufügen, um eine neue Logserver-Konfiguration zu erstellen.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • Server Type (Servertyp): Wählen Sie Syslog Server (Syslog-Server) oder CEF Server (CEF-Server) aus.
    • Name: Geben Sie einen aussagekräftigen Namen ein, z. B. Google Security Operations Bindplane CEF.
    • Host: Geben Sie die IP-Adresse oder den Hostnamen des Bindplane-Agents ein.
    • Port: Geben Sie die Portnummer des Bindplane-Agents ein, z. B. 514.
    • Protokoll: Wählen Sie das Protokoll aus, das Ihrer Bindplane-Konfiguration entspricht:
      • Wählen Sie TCP aus, wenn Sie den tcplog-Empfänger in Bindplane konfiguriert haben (empfohlen).
      • Wählen Sie UDP aus, wenn Sie den udplog-Empfänger in Bindplane konfiguriert haben.
    • Format: Wählen Sie CEF (Common Event Format) aus.
    • Facility: Wählen Sie Local0 (oder eine andere verfügbare Facility) aus.
    • Schweregrad: Wählen Sie Informationen aus, um alle Logebenen zu erfassen.
  6. Wählen Sie unter Log-Kategorien oder Ereignistypen die weiterzuleitenden Ereignisse aus:
    • Web Access Logs (Transaktionsprotokolle)
    • Sicherheitsereignisse (Bedrohungserkennungen)
    • Authentifizierungsereignisse (Nutzeranmeldung/-abmeldung)
    • Systemereignisse (System- und Konfigurationsänderungen)
    • Sie können auch Alle Ereignisse auswählen, um alle verfügbaren Protokolltypen weiterzuleiten.
  7. Optional: Konfigurieren Sie zusätzliche Einstellungen:
    • Batchgröße: Legen Sie 1 für die Echtzeitweiterleitung oder einen höheren Wert für die Batchverarbeitung fest.
    • Nachrichtenformat: Achten Sie darauf, dass das CEF-Format ausgewählt ist.
    • Nutzerinformationen einbeziehen: Aktivieren Sie diese Option, um die Nutzeridentität in die Protokolle aufzunehmen.
  8. Klicken Sie auf Verbindung testen, um die Verbindung zum Bindplane-Agent zu prüfen.
  9. Klicken Sie auf Speichern, um die Konfiguration anzuwenden.
  10. Klicken Sie auf Deploy (Bereitstellen), um die Konfiguration auf alle Forcepoint Web Security-Gateways zu übertragen.

Forcepoint Web Security Appliance (direkte Konfiguration) verwenden

Wenn Sie die Konfiguration direkt auf der Appliance vornehmen:

  1. Melden Sie sich in der Verwaltungsoberfläche der Forcepoint Web Security Appliance an.
  2. Gehen Sie zu System > Log Server.
  3. Klicken Sie auf Hinzufügen oder Bearbeiten, um einen Log-Server zu erstellen oder zu ändern.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Serveradresse: Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Port: Geben Sie 514 (oder Ihren benutzerdefinierten Port) ein.
    • Protokoll: Wählen Sie TCP oder UDP entsprechend Ihrer Bindplane-Konfiguration aus.
    • Format: Wählen Sie CEF oder Common Event Format aus.
    • Facility: Wählen Sie Local0 aus.
  5. Wählen Sie unter Logtypen die weiterzuleitenden Logs aus:
    • Zugriffslogs
    • Sicherheitsprotokolle
    • Administratorprotokolle
  6. Klicken Sie auf Anwenden oder Speichern.
  7. Wenn Sie mehrere Appliances verwenden, wiederholen Sie diese Konfiguration auf jeder Appliance.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
action security_result.summary Wenn action_msg nicht leer ist, wird es security_result.summary zugeordnet. Andernfalls wird action, sofern nicht leer, security_result.summary zugeordnet. Andernfalls wird act, wenn es nicht leer ist, security_result.summary zugeordnet.
action_msg security_result.summary Wenn action_msg nicht leer ist, wird es security_result.summary zugeordnet. Andernfalls wird action, sofern nicht leer, security_result.summary zugeordnet. Andernfalls wird act, wenn es nicht leer ist, security_result.summary zugeordnet.
app target.application Wenn destinationServiceName nicht leer ist, wird es app_name zugeordnet. Andernfalls wird app, wenn es nicht leer ist und nicht „http“ oder „HTTP“ enthält, app_name zugeordnet. Schließlich wird app_name target.application zugeordnet.
bytes_in network.received_bytes Wenn in nicht leer ist, wird es bytes_in zugeordnet. Schließlich wird bytes_in network.received_bytes zugeordnet.
bytes_out network.sent_bytes Wenn out nicht leer ist, wird es bytes_out zugeordnet. Schließlich wird bytes_out network.sent_bytes zugeordnet.
cat security_result.category_details Wenn cat nicht leer ist, wird es category zugeordnet. Schließlich wird category security_result.category_details zugeordnet.
category_no security_result.detection_fields.value Wenn category_no nicht leer ist, wird es mit dem Schlüssel Category Number security_result.detection_fields.value zugeordnet.
cn1 security_result.detection_fields.value Wenn cn1 nicht leer ist, wird es mit dem Schlüssel Disposition Number security_result.detection_fields.value zugeordnet.
ContentType target.file.mime_type Wenn contentType nicht leer ist, wird es ContentType zugeordnet. Schließlich wird ContentType target.file.mime_type zugeordnet.
cs1 target_role.description cs1 wird target_role.description zugeordnet.
cs2 security_result.category_details Wenn cs2 nicht leer und nicht 0 ist, wird es mit dem Präfix Dynamic Category: security_result.category_details zugeordnet.
cs3 target.file.mime_type cs3 ist target.file.mime_type zugeordnet.
description metadata.description Wenn description nicht leer ist, wird es metadata.description zugeordnet.
destinationServiceName target.application Wenn destinationServiceName nicht leer ist, wird es app_name zugeordnet. Schließlich wird app_name target.application zugeordnet.
deviceFacility metadata.product_event_type Wenn product_event und deviceFacility nicht leer sind, werden sie mit - verkettet und metadata.product_event_type zugeordnet. Andernfalls wird product_event zu metadata.product_event_type zugeordnet.
disposition security_result.detection_fields.value Wenn disposition nicht leer ist, wird es mit dem Schlüssel Disposition Number security_result.detection_fields.value zugeordnet.
dst target.ip Wenn dst nicht leer und dvchost leer ist, wird dst_ip zugeordnet. Schließlich wird dst_ip zu target.ip zugeordnet.
dst_host target.hostname Wenn dst nicht leer und dvchost leer ist, wird es dst_host zugeordnet. Schließlich wird dst_host target.hostname zugeordnet.
dst_ip target.ip Wenn dst nicht leer und dvchost leer ist, wird dst_ip zugeordnet. Schließlich wird dst_ip target.ip zugeordnet.
dst_port target.port Wenn dst nicht leer und dvchost leer ist, wird es dst_port zugeordnet. Schließlich wird dst_port target.port zugeordnet.
duration network.session_duration.seconds Wenn duration nicht leer und nicht 0 ist, wird es network.session_duration.seconds zugeordnet.
dvchost intermediary.ip Wenn dvchost nicht leer ist, wird es int_ip zugeordnet. Schließlich wird int_ip intermediary.ip zugeordnet, wenn es sich um eine gültige IP-Adresse handelt. Andernfalls wird es intermediary.hostname zugeordnet.
file_path target.file.full_path Wenn file_path nicht leer ist, wird es target.file.full_path zugeordnet.
host principal.ip Wenn host nicht leer ist, wird es src zugeordnet. Schließlich wird src principal.ip zugeordnet.
http_method network.http.method Wenn requestMethod nicht leer ist, wird es http_method zugeordnet. Andernfalls wird method, wenn es nicht leer ist, http_method zugeordnet. Schließlich wird http_method network.http.method zugeordnet.
http_proxy_status_code network.http.response_code Wenn http_response leer oder 0 oder - ist und http_proxy_status_code nicht leer ist, wird es network.http.response_code zugeordnet.
http_response network.http.response_code Wenn http_response nicht leer ist und nicht 0 und nicht -, wird es network.http.response_code zugeordnet.
http_user_agent network.http.user_agent Wenn http_user_agent nicht leer und nicht - ist, wird es network.http.user_agent zugeordnet.
in network.received_bytes Wenn in nicht leer ist, wird es bytes_in zugeordnet. Schließlich wird bytes_in network.received_bytes zugeordnet.
int_host intermediary.hostname Wenn int_ip nicht leer ist und int_host nicht leer ist und sich von int_ip unterscheidet, wird es intermediary.hostname zugeordnet.
int_ip intermediary.ip Wenn dvchost nicht leer ist, wird es int_ip zugeordnet. Schließlich wird int_ip intermediary.ip zugeordnet, wenn es sich um eine gültige IP-Adresse handelt. Andernfalls wird es intermediary.hostname zugeordnet.
level target_role.name Wenn level nicht leer und role leer ist, wird es role zugeordnet. Schließlich wird role target_role.name zugeordnet.
log_level security_result.severity Wenn severity 1 ist oder log_level info enthält oder message notice enthält, wird security_result.severity auf INFORMATIONAL gesetzt. Wenn severity den Wert 7 hat, wird security_result.severity auf HIGH gesetzt.
loginID principal.user.userid Wenn loginID nicht leer ist, wird es user zugeordnet. Wenn user nicht leer und nicht - ist und nicht LDAP enthält, wird es schließlich principal.user.userid zugeordnet.
method network.http.method Wenn requestMethod nicht leer ist, wird es http_method zugeordnet. Andernfalls wird method, sofern nicht leer, http_method zugeordnet. Schließlich wird http_method network.http.method zugeordnet.
NatRuleId security_result.detection_fields.value Wenn NatRuleId nicht leer ist, wird es mit dem Schlüssel NatRuleId security_result.detection_fields.value zugeordnet.
out network.sent_bytes Wenn out nicht leer ist, wird es bytes_out zugeordnet. Schließlich wird bytes_out zu network.sent_bytes zugeordnet.
pid target.process.pid Wenn pid nicht leer ist, wird es target.process.pid zugeordnet.
policy target_role.description Wenn Policy nicht leer ist, wird es policy zugeordnet. Wenn policy nicht leer und nicht - ist, wird es target_role.description zugeordnet.
Policy target_role.description Wenn Policy nicht leer ist, wird es policy zugeordnet. Wenn policy nicht leer und nicht - ist, wird es target_role.description zugeordnet.
product_event metadata.product_event_type Wenn product nicht leer ist, wird es product_event zugeordnet. Wenn product_event und deviceFacility nicht leer sind, werden sie mit - verkettet und metadata.product_event_type zugeordnet. Andernfalls wird product_event auf metadata.product_event_type abgebildet.
proxyStatus-code network.http.response_code Wenn http_response leer oder 0 oder - ist und http_proxy_status_code leer und proxyStatus-code nicht leer ist, wird es network.http.response_code zugeordnet.
refererUrl network.http.referral_url Wenn refererUrl nicht leer und nicht - ist, wird es network.http.referral_url zugeordnet.
requestClientApplication network.http.user_agent Wenn requestMethod nicht leer ist, wird es http_user_agent zugeordnet. Schließlich wird http_user_agent zu network.http.user_agent zugeordnet.
requestMethod network.http.method Wenn requestMethod nicht leer ist, wird es http_method zugeordnet. Schließlich wird http_method network.http.method zugeordnet.
role target_role.name Wenn level nicht leer und role leer ist, wird es role zugeordnet. Schließlich wird role target_role.name zugeordnet.
RuleID security_result.rule_id Wenn RuleID nicht leer ist, wird es security_result.rule_id zugeordnet.
serverStatus-code network.http.response_code Wenn http_response leer oder 0 oder - ist und http_proxy_status_code leer und proxyStatus-code nicht leer ist, wird es network.http.response_code zugeordnet.
severity security_result.severity Wenn severity 1 ist oder log_level info enthält oder message notice enthält, wird security_result.severity auf INFORMATIONAL festgelegt. Wenn severity den Wert 7 hat, wird security_result.severity auf HIGH gesetzt.
spt principal.port Wenn spt nicht leer ist, wird es src_port zugeordnet. Schließlich wird src_port principal.port zugeordnet.
src principal.ip Wenn src_host nicht leer ist, wird es source_ip_temp zugeordnet. Wenn source_ip_temp eine gültige IP-Adresse und src leer ist, wird sie src zugeordnet. Wenn host nicht leer ist, wird es src zugeordnet. Schließlich wird src principal.ip zugeordnet.
src_host principal.hostname Wenn src_host nicht leer ist, wird es source_ip_temp zugeordnet. Wenn source_ip_temp keine gültige IP-Adresse ist, wird sie principal.hostname zugeordnet. Wenn source_ip_temp eine gültige IP-Adresse und src leer ist, wird sie src zugeordnet. Schließlich wird src principal.ip zugeordnet.
src_port principal.port Wenn src_port nicht leer ist, wird es principal.port zugeordnet.
suser principal.user.userid Wenn loginID nicht leer ist, wird es user zugeordnet. Wenn suser nicht leer ist, wird es user zugeordnet. Wenn user nicht leer und nicht - ist und LDAP nicht enthält, wird es principal.user.userid zugeordnet.
url target.url Wenn url nicht leer ist, wird es target.url zugeordnet.
user principal.user.userid Wenn loginID nicht leer ist, wird es user zugeordnet. Wenn suser nicht leer ist, wird es user zugeordnet. Andernfalls wird usrName, sofern nicht leer, user zugeordnet. Wenn user nicht leer und nicht - ist und nicht LDAP enthält, wird es schließlich principal.user.userid zugeordnet.
usrName principal.user.userid Wenn loginID nicht leer ist, wird es user zugeordnet. Wenn suser nicht leer ist, wird es user zugeordnet. Andernfalls wird usrName, wenn es nicht leer ist, user zugeordnet. Wenn user nicht leer und nicht - ist und nicht LDAP enthält, wird es schließlich principal.user.userid zugeordnet.
when metadata.event_timestamp Wenn when nicht leer ist, wird es geparst und metadata.event_timestamp zugeordnet.
– metadata.log_type Der Wert FORCEPOINT_WEBPROXY ist in metadata.log_type hartcodiert.
– metadata.product_name Der Wert Forcepoint Webproxy ist in metadata.product_name hartcodiert.
– metadata.vendor_name Der Wert Forcepoint ist in metadata.vendor_name hartcodiert.
– network.application_protocol Wenn dst_port den Wert 80 hat, wird network.application_protocol auf HTTP gesetzt. Wenn dst_port den Wert 443 hat, wird network.application_protocol auf HTTPS gesetzt.
– principal.user.group_identifiers Wenn user nicht leer und nicht - ist und LDAP enthält, wird der OE-Teil des Nutzerstrings extrahiert und principal.user.group_identifiers zugeordnet.
– principal.user.user_display_name Wenn user nicht leer und nicht - ist und LDAP enthält, wird der Nutzername aus dem Nutzerstring extrahiert und principal.user.user_display_name zugeordnet.
– security_result.action Wenn action_msg, action oder act nicht leer sind, wird sec_action basierend auf ihren Werten auf ALLOW oder BLOCK gesetzt. Schließlich wird sec_action security_result.action zugeordnet.
– security_result.detection_fields.key Der Wert Disposition Number ist in security_result.detection_fields.key hartcodiert, wenn disposition oder cn1 zugeordnet wird. Der Wert NatRuleId ist beim Zuordnen von NatRuleId in security_result.detection_fields.key hartcodiert. Der Wert Category Number ist beim Zuordnen von category_no in security_result.detection_fields.key hartcodiert.
reason event.idm.read_only_udm.security_result.detection_fields Aus Änderungsprotokoll zugeordnet
extension event.idm.read_only_udm.target.process.file.mime_type Aus Änderungsprotokoll zugeordnet
filetype event.idm.read_only_udm.target.file.mime_type Aus Änderungsprotokoll zugeordnet
method event.idm.read_only_udm.network.http.method Aus Änderungsprotokoll zugeordnet
received_bytes event.idm.read_only_udm.network.received_bytes Aus Änderungsprotokoll zugeordnet
sent_bytes event.idm.read_only_udm.network.sent_bytes Aus Änderungsprotokoll zugeordnet
response_code event.idm.read_only_udm.network.http.response_code Aus Änderungsprotokoll zugeordnet
region event.idm.read_only_udm.principal.location.country_or_region Aus Änderungsprotokoll zugeordnet
protocol event.idm.read_only_udm.network.application_protocol Aus Änderungsprotokoll zugeordnet
sec_description event.idm.read_only_udm.security_result.description Aus Änderungsprotokoll zugeordnet
version event.idm.read_only_udm.network.http.user_agent Aus Änderungsprotokoll zugeordnet
city event.idm.read_only_udm.principal.location.city Aus Änderungsprotokoll zugeordnet
turl event.idm.read_only_udm.target.url Aus Änderungsprotokoll zugeordnet
userid event.idm.read_only_udm.principal.user.userid Aus Änderungsprotokoll zugeordnet
email event.idm.read_only_udm.principal.user.email_addresses Aus Änderungsprotokoll zugeordnet
_action event.idm.read_only_udm.security_result.action Aus Änderungsprotokoll zugeordnet
descrip event.idm.read_only_udm.metadata.description Aus Änderungsprotokoll zugeordnet
status event.idm.read_only_udm.security_result.action_details Aus Änderungsprotokoll zugeordnet
appname event.idm.read_only_udm.principal.application Aus Änderungsprotokoll zugeordnet
tip event.idm.read_only_udm.target.ip Aus Änderungsprotokoll zugeordnet
tip event.idm.read_only_udm.target.asset.ip Aus Änderungsprotokoll zugeordnet
pip event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
pip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
p_ip event.idm.read_only_udm.principal.ip Aus Änderungsprotokoll zugeordnet
p_ip event.idm.read_only_udm.principal.asset.ip Aus Änderungsprotokoll zugeordnet
log_timestamp event.idm.read_only_udm.metadata.event_timestamp Aus Änderungsprotokoll zugeordnet
port event.idm.read_only_udm.target.port Aus Änderungsprotokoll zugeordnet
status event.idm.read_only_udm.security_result.action Aus Änderungsprotokoll zugeordnet
dhost event.idm.read_only_udm.target.hostname Aus Änderungsprotokoll zugeordnet
rt event.timestamp Aus Änderungsprotokoll zugeordnet
host-url principal.url Aus Änderungsprotokoll zugeordnet
cs-uri target.url Aus Änderungsprotokoll zugeordnet
cs-uri-query" , "time-taken" , "filter-category" , "cs-uri-path" , "cs-uri-extension" and "rs_content_type additional.fields Aus Änderungsprotokoll zugeordnet
cs-auth-group principal.user_group_identifiers Aus Änderungsprotokoll zugeordnet
cs-method network.http.method Aus Änderungsprotokoll zugeordnet
sc-status response_code Aus Änderungsprotokoll zugeordnet
s-action security_result.detection_fields Aus Änderungsprotokoll zugeordnet
srcport principal.port Aus Änderungsprotokoll zugeordnet
dstport target.port Aus Änderungsprotokoll zugeordnet
sc-bytes network.received_bytes Aus Änderungsprotokoll zugeordnet
cs-bytes network.sent_bytes Aus Änderungsprotokoll zugeordnet
cs_referer network.http.referral_url Aus Änderungsprotokoll zugeordnet
cs-host target.hostname Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten