איסוף יומנים של Forcepoint Web Security

גרסת המנתח: 12.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Forcepoint Web Security ב-Google Security Operations באמצעות סוכן Bindplane.

‫Forcepoint Web Security הוא שרת proxy לאינטרנט ושער אבטחה שמפיק הודעות syslog בפורמט CEF (Common Event Format) לגישה לאינטרנט, לאירועי אבטחה, לאימות ולאכיפת מדיניות. המנתח מחלץ שדות מיומנים בפורמט CEF ו-syslog וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין Forcepoint Web Security
• אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• הרשאת אדמין ל-Forcepoint Security Manager או לממשק הניהול של המכשיר

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

אפשר להגדיר את הסוכן של Bindplane כך שיקבל הודעות syslog דרך TCP (מומלץ) או UDP.

מאתרים את קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרות של הפרוטוקול שבחרתם:

• אפשרות א': הגדרת TCP (מומלץ)

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/forcepoint_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  
  service:
    pipelines:
      logs/forcepoint_tcp_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/forcepoint_webproxy
  

• אפשרות ב': הגדרת UDP

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/forcepoint_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  
  service:
    pipelines:
      logs/forcepoint_udp_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/forcepoint_webproxy
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב לקובץ האימות של ההעברה, ואם המופע שלכם נמצא מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/forcepoint_webproxy:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מחפשים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog ב-Forcepoint Web Security

מגדירים את Forcepoint Web Security כך שיעביר יומנים לסוכן Bindplane בפורמט CEF (פורמט אירועים נפוץ).

שימוש ב-Forcepoint Security Manager

1. נכנסים אל Forcepoint Security Manager באמצעות פרטי כניסה של אדמין.
2. עוברים אל הגדרות > רישום ביומן.
3. בתפריט הניווט הימני, לוחצים על Log Servers.
4. לוחצים על Add כדי ליצור הגדרה חדשה לשרת היומנים.
5. מזינים את פרטי ההגדרה הבאים:
   • סוג השרת: בוחרים באפשרות שרת Syslog או שרת CEF.
   • שם: מזינים שם תיאורי (לדוגמה, Google Security Operations Bindplane CEF).
   • מארח: מזינים את כתובת ה-IP או את שם המארח של סוכן Bindplane.
   • יציאה: מזינים את מספר היציאה של סוכן Bindplane (לדוגמה, 514).
   • פרוטוקול: בוחרים את הפרוטוקול שמתאים להגדרת Bindplane:
     • בוחרים באפשרות TCP אם הגדרתם מקלט tcplog ב-Bindplane (מומלץ).
     • בוחרים באפשרות UDP אם הגדרתם מקלט udplog ב-Bindplane.
   • פורמט: בוחרים באפשרות CEF (פורמט אירועים נפוץ).
   • מתקן: בוחרים באפשרות Local0 (או מתקן זמין אחר).
   • חומרה: בוחרים באפשרות מידע (כדי לתעד את כל רמות היומן).
6. בקטע קטגוריות של יומנים או סוגי אירועים, בוחרים את האירועים שרוצים להעביר:
   • יומני גישה לאינטרנט (יומני טרנזקציות)
   • אירועי אבטחה (זיהוי איומים)
   • אירועי אימות (התחברות או יציאה של משתמשים)
   • אירועי מערכת (שינויים במערכת ובהגדרות)
   • לחלופין, בוחרים באפשרות כל האירועים כדי להעביר את כל סוגי היומנים הזמינים.
7. אופציונלי: קובעים הגדרות נוספות:
   • גודל האצווה: מגדירים את הערך 1 להעברה בזמן אמת או ערך גבוה יותר לעיבוד באצווה.
   • פורמט ההודעה: מוודאים שהפורמט שנבחר הוא CEF.
   • הכללת פרטי משתמש: מפעילים את האפשרות הזו כדי לכלול את זהות המשתמש ביומנים.
8. לוחצים על בדיקת החיבור כדי לוודא שיש קישוריות לסוכן Bindplane.
9. לוחצים על שמירה כדי להחיל את ההגדרה.
10. לוחצים על Deploy (פריסה) כדי לדחוף את ההגדרה לכל שער Forcepoint Web Security.

שימוש ב-Forcepoint Web Security Appliance (הגדרה ישירה)

אם אתם מבצעים את ההגדרה ישירות במכשיר:

1. נכנסים לממשק הניהול של Forcepoint Web Security Appliance.
2. עוברים אל מערכת > שרת יומנים.
3. לוחצים על הוספה או על עריכה כדי ליצור או לשנות שרת יומנים.
4. מספקים את פרטי ההגדרה הבאים:
   • כתובת השרת: מזינים את כתובת ה-IP של סוכן Bindplane.
   • יציאה: מזינים 514 (או את היציאה בהתאמה אישית).
   • פרוטוקול: בוחרים באפשרות TCP או UDP בהתאם להגדרות של Bindplane.
   • פורמט: בוחרים באפשרות CEF או Common Event Format.
   • מתקן: בוחרים באפשרות Local0.
5. בקטע סוגי יומנים, בוחרים את היומנים שרוצים להעביר:
   • יומני גישה
   • יומני אבטחה
   • יומני אדמין
6. לוחצים על החלה או על שמירה.
7. אם משתמשים בכמה מכשירים, צריך לחזור על ההגדרה הזו בכל מכשיר.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
action	security_result.summary	אם action_msg לא ריק, הוא ממופה אל security_result.summary. אחרת, אם action לא ריק, הוא ממופה ל-security_result.summary. אחרת, אם act לא ריק, הוא ממופה אל security_result.summary.
action_msg	security_result.summary	אם action_msg לא ריק, הוא ממופה ל-security_result.summary. אחרת, אם action לא ריק, הוא ממופה ל-security_result.summary. אחרת, אם act לא ריק, הוא ממופה אל security_result.summary.
app	target.application	אם destinationServiceName לא ריק, הוא ממופה ל-app_name. אחרת, אם app לא ריק ולא מכיל http או HTTP, הוא ממופה ל-app_name. לבסוף, app_name ממופה אל target.application.
bytes_in	network.received_bytes	אם in לא ריק, הוא ממופה אל bytes_in. לבסוף, bytes_in ממופה אל network.received_bytes.
bytes_out	network.sent_bytes	אם out לא ריק, הוא ממופה אל bytes_out. לבסוף, bytes_out ממופה אל network.sent_bytes.
cat	security_result.category_details	אם cat לא ריק, הוא ממופה אל category. לבסוף, category ממופה אל security_result.category_details.
category_no	security_result.detection_fields.value	אם category_no לא ריק, הוא ממופה ל-security_result.detection_fields.value עם המפתח Category Number.
cn1	security_result.detection_fields.value	אם cn1 לא ריק, הוא ממופה ל-security_result.detection_fields.value עם המפתח Disposition Number.
ContentType	target.file.mime_type	אם contentType לא ריק, הוא ממופה אל ContentType. לבסוף, ContentType ממופה ל-target.file.mime_type.
cs1	target_role.description	‫cs1 ממופה אל target_role.description.
cs2	security_result.category_details	אם cs2 לא ריק ולא 0, הוא ממופה ל-security_result.category_details עם הקידומת Dynamic Category:.
cs3	target.file.mime_type	cs3 ממופה ל-target.file.mime_type.
description	metadata.description	אם description לא ריק, הוא ממופה ל-metadata.description.
destinationServiceName	target.application	אם destinationServiceName לא ריק, הוא ממופה אל app_name. לבסוף, app_name ממופה ל-target.application.
deviceFacility	metadata.product_event_type	אם product_event ו-deviceFacility לא ריקים, הם משורשרים עם - וממופים אל metadata.product_event_type. אחרת, product_event ממופה ל-metadata.product_event_type.
disposition	security_result.detection_fields.value	אם השדה disposition לא ריק, הוא ממופה לשדה security_result.detection_fields.value עם המפתח Disposition Number.
dst	target.ip	אם dst לא ריק ו-dvchost ריק, הוא ממופה ל-dst_ip. לבסוף, dst_ip ממופה ל-target.ip.
dst_host	target.hostname	אם dst לא ריק ו-dvchost ריק, הוא ממופה אל dst_host. לבסוף, dst_host ממופה אל target.hostname.
dst_ip	target.ip	אם dst לא ריק ו-dvchost ריק, הוא ממופה אל dst_ip. לבסוף, dst_ip ממופה אל target.ip.
dst_port	target.port	אם dst לא ריק ו-dvchost ריק, הוא ממופה ל-dst_port. לבסוף, dst_port ממופה אל target.port.
duration	network.session_duration.seconds	אם duration לא ריק ולא 0, הוא ממופה ל-network.session_duration.seconds.
dvchost	intermediary.ip	אם dvchost לא ריק, הוא ממופה ל-int_ip. לבסוף, אם int_ip היא כתובת IP תקינה, היא ממופה ל-intermediary.ip, אחרת היא ממופה ל-intermediary.hostname.
file_path	target.file.full_path	אם file_path לא ריק, הוא ממופה אל target.file.full_path.
host	principal.ip	אם host לא ריק, הוא ממופה ל-src. לבסוף, src ממופה ל-principal.ip.
http_method	network.http.method	אם requestMethod לא ריק, הוא ממופה אל http_method. אחרת, אם method לא ריק, הוא ממופה אל http_method. לבסוף, http_method ממופה אל network.http.method.
http_proxy_status_code	network.http.response_code	אם http_response ריק או 0 או -, ו-http_proxy_status_code לא ריק, הוא ממופה ל-network.http.response_code.
http_response	network.http.response_code	אם http_response לא ריק, לא 0 ולא -, הוא ממופה ל-network.http.response_code.
http_user_agent	network.http.user_agent	אם http_user_agent לא ריק ולא -, הוא ממופה ל-network.http.user_agent.
in	network.received_bytes	אם in לא ריק, הוא ממופה ל-bytes_in. לבסוף, bytes_in ממופה אל network.received_bytes.
int_host	intermediary.hostname	אם התא int_ip לא ריק והתא int_host לא ריק ושונה מ-int_ip, הוא ממופה ל-intermediary.hostname.
int_ip	intermediary.ip	אם dvchost לא ריק, הוא ממופה אל int_ip. לסיום, המערכת ממפה את int_ip ל-intermediary.ip אם זו כתובת IP חוקית, אחרת היא ממפה אותו ל-intermediary.hostname.
level	target_role.name	אם level לא ריק ו-role ריק, הוא ממופה ל-role. לבסוף, role ממופה ל-target_role.name.
log_level	security_result.severity	אם severity הוא 1 או log_level מכיל info או message מכיל notice, הערך של security_result.severity מוגדר ל-INFORMATIONAL. אם severity הוא 7, הערך של security_result.severity מוגדר כ-HIGH.
loginID	principal.user.userid	אם loginID לא ריק, הוא ממופה אל user. לבסוף, אם user לא ריק, לא שווה ל-- ולא מכיל את LDAP, הוא ממופה ל-principal.user.userid.
method	network.http.method	אם requestMethod לא ריק, הוא ממופה אל http_method. אחרת, אם method לא ריק, הוא ממופה ל-http_method. לבסוף, http_method ממופה אל network.http.method.
NatRuleId	security_result.detection_fields.value	אם NatRuleId לא ריק, הוא ממופה ל-security_result.detection_fields.value עם המפתח NatRuleId.
out	network.sent_bytes	אם out לא ריק, הוא ממופה ל-bytes_out. לבסוף, bytes_out ממופה ל-network.sent_bytes.
pid	target.process.pid	אם pid לא ריק, הוא ממופה אל target.process.pid.
policy	target_role.description	אם Policy לא ריק, הוא ממופה אל policy. אם policy לא ריק ולא -, הוא ממופה ל-target_role.description.
Policy	target_role.description	אם Policy לא ריק, הוא ממופה אל policy. אם השדה policy לא ריק והערך שלו הוא לא -, הוא ממופה אל target_role.description.
product_event	metadata.product_event_type	אם product לא ריק, הוא ממופה ל-product_event. אם הערכים של product_event ו-deviceFacility לא ריקים, הם משורשרים עם - וממופים ל-metadata.product_event_type. אחרת, product_event ממופה ל-metadata.product_event_type.
proxyStatus-code	network.http.response_code	אם המדיניות http_response ריקה או מוגדרת לערך 0 או -, והמדיניות http_proxy_status_code ריקה והמדיניות proxyStatus-code לא ריקה, היא ממופה ל-network.http.response_code.
refererUrl	network.http.referral_url	אם refererUrl לא ריק ולא -, הוא ממופה ל-network.http.referral_url.
requestClientApplication	network.http.user_agent	אם requestMethod לא ריק, הוא ממופה אל http_user_agent. לבסוף, http_user_agent ממופה ל-network.http.user_agent.
requestMethod	network.http.method	אם requestMethod לא ריק, הוא ממופה אל http_method. לבסוף, http_method ממופה אל network.http.method.
role	target_role.name	אם level לא ריק ו-role ריק, הוא ממופה ל-role. לבסוף, role ממופה ל-target_role.name.
RuleID	security_result.rule_id	אם השדה RuleID לא ריק, הוא ממופה לשדה security_result.rule_id.
serverStatus-code	network.http.response_code	אם המדיניות http_response ריקה או מוגדרת לערך 0 או -, והמדיניות http_proxy_status_code ריקה והמדיניות proxyStatus-code לא ריקה, היא ממופה ל-network.http.response_code.
severity	security_result.severity	אם severity הוא 1 או log_level מכיל info או message מכיל notice, הערך של security_result.severity מוגדר ל-INFORMATIONAL. אם הערך של severity הוא 7, הערך של security_result.severity מוגדר ל-HIGH.
spt	principal.port	אם השדה spt לא ריק, הוא ממופה לשדה src_port. לבסוף, src_port ממופה ל-principal.port.
src	principal.ip	אם src_host לא ריק, הוא ממופה ל-source_ip_temp. אם source_ip_temp היא כתובת IP תקינה ו-src ריקה, היא ממופה ל-src. אם השדה host לא ריק, הוא ממופה לשדה src. לבסוף, src ממופה ל-principal.ip.
src_host	principal.hostname	אם src_host לא ריק, הוא ממופה אל source_ip_temp. אם source_ip_temp היא לא כתובת IP תקינה, היא ממופה ל-principal.hostname. אם source_ip_temp היא כתובת IP חוקית ו-src ריק, היא ממופה ל-src. לבסוף, src ממופה אל principal.ip.
src_port	principal.port	אם src_port לא ריק, הוא ממופה אל principal.port.
suser	principal.user.userid	אם השדה loginID לא ריק, הוא ממופה לשדה user. אם השדה suser לא ריק, הוא ממופה לשדה user. לבסוף, אם הערך של user לא ריק, לא שווה ל-- ולא מכיל את הערך LDAP, הוא ממופה ל-principal.user.userid.
url	target.url	אם השדה url לא ריק, הוא ממופה לשדה target.url.
user	principal.user.userid	אם loginID לא ריק, הוא ממופה אל user. אם suser לא ריק, הוא ממופה אל user. אחרת, אם usrName לא ריק, הוא ממופה ל-user. לבסוף, אם הערך של user לא ריק, לא שווה ל-- ולא מכיל את הערך LDAP, הוא ממופה ל-principal.user.userid.
usrName	principal.user.userid	אם loginID לא ריק, הוא ממופה ל-user. אם suser לא ריק, הוא ממופה ל-user. אחרת, אם usrName לא ריק, הוא ממופה ל-user. לבסוף, אם הערך של user לא ריק, לא שווה ל-- ולא מכיל את הערך LDAP, הוא ממופה ל-principal.user.userid.
when	metadata.event_timestamp	אם השדה when לא ריק, המערכת מנתחת אותו וממפה אותו לשדה metadata.event_timestamp.
לא רלוונטי	metadata.log_type	הערך FORCEPOINT_WEBPROXY מוטמע בקידוד של metadata.log_type.
לא רלוונטי	metadata.product_name	הערך Forcepoint Webproxy מוטמע בקידוד של metadata.product_name.
לא רלוונטי	metadata.vendor_name	הערך Forcepoint מקודד בתוך metadata.vendor_name.
לא רלוונטי	network.application_protocol	אם הערך של dst_port הוא 80, הערך של network.application_protocol מוגדר ל-HTTP. אם dst_port הוא 443, הערך של network.application_protocol מוגדר כ-HTTPS.
לא רלוונטי	principal.user.group_identifiers	אם user לא ריק ולא - ומכיל LDAP, החלק של היחידה הארגונית במחרוזת המשתמש מחולץ וממופה ל-principal.user.group_identifiers.
לא רלוונטי	principal.user.user_display_name	אם המדיניות user לא ריקה, לא מוגדרת כ-- ומכילה את LDAP, החלק של שם המשתמש במחרוזת המשתמש נשלף וממופה אל principal.user.user_display_name.
לא רלוונטי	security_result.action	אם השדות action_msg,‏ action או act לא ריקים, השדה sec_action מוגדר כ-ALLOW או כ-BLOCK על סמך הערכים שלהם. לבסוף, sec_action ממופה אל security_result.action.
לא רלוונטי	security_result.detection_fields.key	הערך Disposition Number מוטמע בקידוד של security_result.detection_fields.key כשממפים את disposition או cn1. הערך NatRuleId מוטמע בקידוד של security_result.detection_fields.key כשממפים את NatRuleId. הערך Category Number מקודד בתוך security_result.detection_fields.key כשממפים את category_no.
reason	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
extension	event.idm.read_only_udm.target.process.file.mime_type	מופה מיומן השינויים
filetype	event.idm.read_only_udm.target.file.mime_type	מופה מיומן השינויים
method	event.idm.read_only_udm.network.http.method	מופה מיומן השינויים
received_bytes	event.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
sent_bytes	event.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
response_code	event.idm.read_only_udm.network.http.response_code	מופה מיומן השינויים
region	event.idm.read_only_udm.principal.location.country_or_region	מופה מיומן השינויים
protocol	event.idm.read_only_udm.network.application_protocol	מופה מיומן השינויים
sec_description	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
version	event.idm.read_only_udm.network.http.user_agent	מופה מיומן השינויים
city	event.idm.read_only_udm.principal.location.city	מופה מיומן השינויים
turl	event.idm.read_only_udm.target.url	מופה מיומן השינויים
userid	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
email	event.idm.read_only_udm.principal.user.email_addresses	מופה מיומן השינויים
_action	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
descrip	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
status	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
appname	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
tip	event.idm.read_only_udm.target.ip	מופה מיומן השינויים
tip	event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
pip	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
pip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
p_ip	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
p_ip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
log_timestamp	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
status	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
dhost	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
rt	event.timestamp	מופה מיומן השינויים
host-url	principal.url	מופה מיומן השינויים
cs-uri	target.url	מופה מיומן השינויים
cs-uri-query" , "time-taken" , "filter-category" , "cs-uri-path" , "cs-uri-extension" and "rs_content_type	additional.fields	מופה מיומן השינויים
cs-auth-group	principal.user_group_identifiers	מופה מיומן השינויים
cs-method	network.http.method	מופה מיומן השינויים
sc-status	response_code	מופה מיומן השינויים
s-action	security_result.detection_fields	מופה מיומן השינויים
srcport	principal.port	מופה מיומן השינויים
dstport	target.port	מופה מיומן השינויים
sc-bytes	network.received_bytes	מופה מיומן השינויים
cs-bytes	network.sent_bytes	מופה מיומן השינויים
cs_referer	network.http.referral_url	מופה מיומן השינויים
cs-host	target.hostname	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.