Mengumpulkan log Forcepoint Web Security

Versi Parser: 12.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Forcepoint Web Security ke Google Security Operations menggunakan agen Bindplane.

Forcepoint Web Security adalah proxy web dan gateway keamanan yang menghasilkan pesan syslog dalam CEF (Common Event Format) untuk akses web, peristiwa keamanan, autentikasi, dan penegakan kebijakan. Parser mengekstrak kolom dari log berformat CEF dan syslog, lalu memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Forcepoint Web Security
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses administratif ke Forcepoint Security Manager atau antarmuka pengelolaan perangkat

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Anda dapat mengonfigurasi agen Bindplane untuk menerima pesan syslog melalui TCP (direkomendasikan) atau UDP.

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

Ganti seluruh konten config.yaml dengan konfigurasi untuk protokol yang Anda pilih:

• Opsi A: Konfigurasi TCP (Direkomendasikan)

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/forcepoint_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  
  service:
    pipelines:
      logs/forcepoint_tcp_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/forcepoint_webproxy
  

• Opsi B: Konfigurasi UDP

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/forcepoint_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  
  service:
    pipelines:
      logs/forcepoint_udp_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/forcepoint_webproxy
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port untuk diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/forcepoint_webproxy:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Mulai ulang.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi penerusan syslog di Forcepoint Web Security

Konfigurasi Forcepoint Web Security untuk meneruskan log ke agen Bindplane dalam format CEF (Common Event Format).

Menggunakan Forcepoint Security Manager

1. Login ke Forcepoint Security Manager dengan kredensial administratif.
2. Buka Settings > Logging.
3. Di navigasi sebelah kiri, pilih Log Servers.
4. Klik Tambahkan untuk membuat konfigurasi server log baru.
5. Berikan detail konfigurasi berikut:
   • Server Type: Pilih Syslog Server atau CEF Server.
   • Name: Masukkan nama deskriptif (misalnya, Google Security Operations Bindplane CEF).
   • Host: Masukkan alamat IP atau nama host agen Bindplane.
   • Port: Masukkan nomor port agen Bindplane (misalnya, 514).
   • Protocol: Pilih protokol yang cocok dengan konfigurasi Bindplane Anda:
     • Pilih TCP jika Anda mengonfigurasi penerima tcplog di Bindplane (direkomendasikan).
     • Pilih UDP jika Anda mengonfigurasi penerima udplog di Bindplane.
   • Format: Pilih CEF (Common Event Format).
   • Fasilitas: Pilih Local0 (atau fasilitas lain yang tersedia).
   • Severity: Pilih Informational (untuk mengambil semua level log).
6. Di bagian Kategori Log atau Jenis Peristiwa, pilih peristiwa yang akan diteruskan:
   • Log Akses Web (log transaksi)
   • Peristiwa Keamanan (deteksi ancaman)
   • Peristiwa Autentikasi (login/logout pengguna)
   • Peristiwa Sistem (perubahan sistem dan konfigurasi)
   • Atau, pilih Semua Peristiwa untuk meneruskan semua jenis log yang tersedia.
7. Opsional: Konfigurasi setelan tambahan:
   • Batch Size: Tetapkan ke 1 untuk penerusan real-time atau lebih tinggi untuk batch processing.
   • Message Format: Pastikan format CEF dipilih.
   • Sertakan Informasi Pengguna: Aktifkan untuk menyertakan identitas pengguna dalam log.
8. Klik Uji Koneksi untuk memverifikasi konektivitas ke agen Bindplane.
9. Klik Save untuk menerapkan konfigurasi.
10. Klik Deploy untuk mengirim konfigurasi ke semua gateway Forcepoint Web Security.

Menggunakan Forcepoint Web Security Appliance (konfigurasi langsung)

Jika Anda mengonfigurasi langsung di perangkat:

1. Login ke antarmuka pengelolaan Forcepoint Web Security Appliance.
2. Buka System > Log Server.
3. Klik Add atau Edit untuk membuat atau mengubah server log.
4. Berikan detail konfigurasi berikut:
   • Alamat Server: Masukkan alamat IP agen Bindplane.
   • Port: Masukkan 514 (atau port kustom Anda).
   • Protocol: Pilih TCP atau UDP agar sesuai dengan konfigurasi Bindplane Anda.
   • Format: Pilih CEF atau Common Event Format.
   • Facility: Pilih Local0.
5. Di bagian Log Types, pilih log yang akan diteruskan:
   • Mengakses Log
   • Log Keamanan
   • Log Admin
6. Klik Terapkan atau Simpan.
7. Jika menggunakan beberapa peralatan, ulangi konfigurasi ini di setiap peralatan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
action	security_result.summary	Jika action_msg tidak kosong, parameter ini akan dipetakan ke security_result.summary. Jika tidak, jika action tidak kosong, nilai ini akan dipetakan ke security_result.summary. Jika tidak, jika act tidak kosong, akan dipetakan ke security_result.summary.
action_msg	security_result.summary	Jika action_msg tidak kosong, parameter ini akan dipetakan ke security_result.summary. Jika tidak, jika action tidak kosong, akan dipetakan ke security_result.summary. Jika tidak, jika act tidak kosong, nilai tersebut akan dipetakan ke security_result.summary.
app	target.application	Jika destinationServiceName tidak kosong, parameter ini akan dipetakan ke app_name. Jika tidak, jika app tidak kosong dan tidak berisi http atau HTTP, nilai tersebut akan dipetakan ke app_name. Terakhir, app_name dipetakan ke target.application.
bytes_in	network.received_bytes	Jika in tidak kosong, parameter ini akan dipetakan ke bytes_in. Terakhir, bytes_in dipetakan ke network.received_bytes.
bytes_out	network.sent_bytes	Jika out tidak kosong, akan dipetakan ke bytes_out. Terakhir, bytes_out dipetakan ke network.sent_bytes.
cat	security_result.category_details	Jika cat tidak kosong, parameter ini akan dipetakan ke category. Terakhir, category dipetakan ke security_result.category_details.
category_no	security_result.detection_fields.value	Jika category_no tidak kosong, akan dipetakan ke security_result.detection_fields.value dengan kunci Category Number.
cn1	security_result.detection_fields.value	Jika cn1 tidak kosong, parameter ini akan dipetakan ke security_result.detection_fields.value dengan kunci Disposition Number.
ContentType	target.file.mime_type	Jika contentType tidak kosong, akan dipetakan ke ContentType. Terakhir, ContentType dipetakan ke target.file.mime_type.
cs1	target_role.description	cs1 dipetakan ke target_role.description.
cs2	security_result.category_details	Jika cs2 tidak kosong dan bukan 0, maka akan dipetakan ke security_result.category_details dengan awalan Dynamic Category:.
cs3	target.file.mime_type	cs3 dipetakan ke target.file.mime_type.
description	metadata.description	Jika description tidak kosong, parameter ini akan dipetakan ke metadata.description.
destinationServiceName	target.application	Jika destinationServiceName tidak kosong, akan dipetakan ke app_name. Terakhir, app_name dipetakan ke target.application.
deviceFacility	metadata.product_event_type	Jika product_event dan deviceFacility tidak kosong, keduanya akan digabungkan dengan - dan dipetakan ke metadata.product_event_type. Jika tidak, product_event dipetakan ke metadata.product_event_type.
disposition	security_result.detection_fields.value	Jika disposition tidak kosong, parameter ini akan dipetakan ke security_result.detection_fields.value dengan kunci Disposition Number.
dst	target.ip	Jika dst tidak kosong dan dvchost kosong, nilai tersebut akan dipetakan ke dst_ip. Terakhir, dst_ip dipetakan ke target.ip.
dst_host	target.hostname	Jika dst tidak kosong dan dvchost kosong, maka akan dipetakan ke dst_host. Terakhir, dst_host dipetakan ke target.hostname.
dst_ip	target.ip	Jika dst tidak kosong dan dvchost kosong, nilai tersebut akan dipetakan ke dst_ip. Terakhir, dst_ip dipetakan ke target.ip.
dst_port	target.port	Jika dst tidak kosong dan dvchost kosong, maka akan dipetakan ke dst_port. Terakhir, dst_port dipetakan ke target.port.
duration	network.session_duration.seconds	Jika duration tidak kosong dan bukan 0, maka akan dipetakan ke network.session_duration.seconds.
dvchost	intermediary.ip	Jika dvchost tidak kosong, akan dipetakan ke int_ip. Terakhir, int_ip dipetakan ke intermediary.ip jika merupakan alamat IP yang valid, atau dipetakan ke intermediary.hostname.
file_path	target.file.full_path	Jika file_path tidak kosong, parameter ini akan dipetakan ke target.file.full_path.
host	principal.ip	Jika host tidak kosong, akan dipetakan ke src. Terakhir, src dipetakan ke principal.ip.
http_method	network.http.method	Jika requestMethod tidak kosong, akan dipetakan ke http_method. Jika tidak, jika method tidak kosong, akan dipetakan ke http_method. Terakhir, http_method dipetakan ke network.http.method.
http_proxy_status_code	network.http.response_code	Jika http_response kosong atau 0 atau -, dan http_proxy_status_code tidak kosong, maka akan dipetakan ke network.http.response_code.
http_response	network.http.response_code	Jika http_response tidak kosong dan bukan 0 serta bukan -, nilai tersebut akan dipetakan ke network.http.response_code.
http_user_agent	network.http.user_agent	Jika http_user_agent tidak kosong dan bukan -, maka akan dipetakan ke network.http.user_agent.
in	network.received_bytes	Jika in tidak kosong, parameter ini akan dipetakan ke bytes_in. Terakhir, bytes_in dipetakan ke network.received_bytes.
int_host	intermediary.hostname	Jika int_ip tidak kosong dan int_host tidak kosong dan berbeda dengan int_ip, nilai tersebut akan dipetakan ke intermediary.hostname.
int_ip	intermediary.ip	Jika dvchost tidak kosong, akan dipetakan ke int_ip. Terakhir, int_ip dipetakan ke intermediary.ip jika merupakan alamat IP yang valid, atau dipetakan ke intermediary.hostname.
level	target_role.name	Jika level tidak kosong dan role kosong, parameter tersebut akan dipetakan ke role. Terakhir, role dipetakan ke target_role.name.
log_level	security_result.severity	Jika severity adalah 1 atau log_level berisi info atau message berisi notice, security_result.severity ditetapkan ke INFORMATIONAL. Jika severity adalah 7, security_result.severity disetel ke HIGH.
loginID	principal.user.userid	Jika loginID tidak kosong, akan dipetakan ke user. Terakhir, jika user tidak kosong dan bukan -, serta tidak berisi LDAP, parameter tersebut akan dipetakan ke principal.user.userid.
method	network.http.method	Jika requestMethod tidak kosong, parameter ini akan dipetakan ke http_method. Jika tidak, jika method tidak kosong, akan dipetakan ke http_method. Terakhir, http_method dipetakan ke network.http.method.
NatRuleId	security_result.detection_fields.value	Jika NatRuleId tidak kosong, parameter ini akan dipetakan ke security_result.detection_fields.value dengan kunci NatRuleId.
out	network.sent_bytes	Jika out tidak kosong, parameter ini akan dipetakan ke bytes_out. Terakhir, bytes_out dipetakan ke network.sent_bytes.
pid	target.process.pid	Jika pid tidak kosong, parameter ini akan dipetakan ke target.process.pid.
policy	target_role.description	Jika Policy tidak kosong, parameter ini akan dipetakan ke policy. Jika policy tidak kosong dan bukan -, nilai tersebut akan dipetakan ke target_role.description.
Policy	target_role.description	Jika Policy tidak kosong, parameter ini akan dipetakan ke policy. Jika policy tidak kosong dan bukan -, maka akan dipetakan ke target_role.description.
product_event	metadata.product_event_type	Jika product tidak kosong, parameter ini akan dipetakan ke product_event. Jika product_event dan deviceFacility tidak kosong, keduanya akan digabungkan dengan - dan dipetakan ke metadata.product_event_type. Jika tidak, product_event dipetakan ke metadata.product_event_type.
proxyStatus-code	network.http.response_code	Jika http_response kosong atau 0 atau -, dan http_proxy_status_code kosong dan proxyStatus-code tidak kosong, nilai tersebut akan dipetakan ke network.http.response_code.
refererUrl	network.http.referral_url	Jika refererUrl tidak kosong dan bukan -, maka akan dipetakan ke network.http.referral_url.
requestClientApplication	network.http.user_agent	Jika requestMethod tidak kosong, parameter ini akan dipetakan ke http_user_agent. Terakhir, http_user_agent dipetakan ke network.http.user_agent.
requestMethod	network.http.method	Jika requestMethod tidak kosong, parameter ini akan dipetakan ke http_method. Terakhir, http_method dipetakan ke network.http.method.
role	target_role.name	Jika level tidak kosong dan role kosong, parameter tersebut akan dipetakan ke role. Terakhir, role dipetakan ke target_role.name.
RuleID	security_result.rule_id	Jika RuleID tidak kosong, parameter ini akan dipetakan ke security_result.rule_id.
serverStatus-code	network.http.response_code	Jika http_response kosong atau 0 atau -, dan http_proxy_status_code kosong serta proxyStatus-code tidak kosong, maka akan dipetakan ke network.http.response_code.
severity	security_result.severity	Jika severity adalah 1 atau log_level berisi info atau message berisi notice, security_result.severity ditetapkan ke INFORMATIONAL. Jika severity adalah 7, security_result.severity ditetapkan ke HIGH.
spt	principal.port	Jika spt tidak kosong, parameter ini akan dipetakan ke src_port. Terakhir, src_port dipetakan ke principal.port.
src	principal.ip	Jika src_host tidak kosong, akan dipetakan ke source_ip_temp. Jika source_ip_temp adalah alamat IP yang valid dan src kosong, alamat IP tersebut akan dipetakan ke src. Jika host tidak kosong, parameter ini akan dipetakan ke src. Terakhir, src dipetakan ke principal.ip.
src_host	principal.hostname	Jika src_host tidak kosong, parameter ini akan dipetakan ke source_ip_temp. Jika source_ip_temp bukan alamat IP yang valid, alamat IP tersebut akan dipetakan ke principal.hostname. Jika source_ip_temp adalah alamat IP yang valid dan src kosong, alamat IP tersebut dipetakan ke src. Terakhir, src dipetakan ke principal.ip.
src_port	principal.port	Jika src_port tidak kosong, akan dipetakan ke principal.port.
suser	principal.user.userid	Jika loginID tidak kosong, parameter ini akan dipetakan ke user. Jika suser tidak kosong, akan dipetakan ke user. Terakhir, jika user tidak kosong dan bukan -, serta tidak berisi LDAP, parameter tersebut akan dipetakan ke principal.user.userid.
url	target.url	Jika url tidak kosong, akan dipetakan ke target.url.
user	principal.user.userid	Jika loginID tidak kosong, parameter ini akan dipetakan ke user. Jika suser tidak kosong, parameter ini akan dipetakan ke user. Jika tidak, jika usrName tidak kosong, nilai tersebut akan dipetakan ke user. Terakhir, jika user tidak kosong dan bukan -, serta tidak berisi LDAP, maka akan dipetakan ke principal.user.userid.
usrName	principal.user.userid	Jika loginID tidak kosong, parameter ini akan dipetakan ke user. Jika suser tidak kosong, parameter ini akan dipetakan ke user. Jika tidak, jika usrName tidak kosong, nilai ini akan dipetakan ke user. Terakhir, jika user tidak kosong dan bukan -, serta tidak berisi LDAP, maka akan dipetakan ke principal.user.userid.
when	metadata.event_timestamp	Jika when tidak kosong, nilai tersebut akan diuraikan dan dipetakan ke metadata.event_timestamp.
T/A	metadata.log_type	Nilai FORCEPOINT_WEBPROXY di-hardcode ke dalam metadata.log_type.
T/A	metadata.product_name	Nilai Forcepoint Webproxy di-hardcode ke dalam metadata.product_name.
T/A	metadata.vendor_name	Nilai Forcepoint di-hardcode ke dalam metadata.vendor_name.
T/A	network.application_protocol	Jika dst_port adalah 80, network.application_protocol ditetapkan ke HTTP. Jika dst_port adalah 443, network.application_protocol disetel ke HTTPS.
T/A	principal.user.group_identifiers	Jika user tidak kosong dan bukan - serta berisi LDAP, bagian OU dari string pengguna akan diekstrak dan dipetakan ke principal.user.group_identifiers.
T/A	principal.user.user_display_name	Jika user tidak kosong dan bukan - serta berisi LDAP, bagian nama pengguna dari string pengguna akan diekstrak dan dipetakan ke principal.user.user_display_name.
T/A	security_result.action	Jika action_msg, action, atau act tidak kosong, sec_action akan ditetapkan ke ALLOW atau BLOCK berdasarkan nilainya. Terakhir, sec_action dipetakan ke security_result.action.
T/A	security_result.detection_fields.key	Nilai Disposition Number di-hardcode ke security_result.detection_fields.key saat memetakan disposition atau cn1. Nilai NatRuleId di-hardcode ke dalam security_result.detection_fields.key saat memetakan NatRuleId. Nilai Category Number di-hardcode ke dalam security_result.detection_fields.key saat memetakan category_no.
reason	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
extension	event.idm.read_only_udm.target.process.file.mime_type	Dipetakan dari log perubahan
filetype	event.idm.read_only_udm.target.file.mime_type	Dipetakan dari log perubahan
method	event.idm.read_only_udm.network.http.method	Dipetakan dari log perubahan
received_bytes	event.idm.read_only_udm.network.received_bytes	Dipetakan dari log perubahan
sent_bytes	event.idm.read_only_udm.network.sent_bytes	Dipetakan dari log perubahan
response_code	event.idm.read_only_udm.network.http.response_code	Dipetakan dari log perubahan
region	event.idm.read_only_udm.principal.location.country_or_region	Dipetakan dari log perubahan
protocol	event.idm.read_only_udm.network.application_protocol	Dipetakan dari log perubahan
sec_description	event.idm.read_only_udm.security_result.description	Dipetakan dari log perubahan
version	event.idm.read_only_udm.network.http.user_agent	Dipetakan dari log perubahan
city	event.idm.read_only_udm.principal.location.city	Dipetakan dari log perubahan
turl	event.idm.read_only_udm.target.url	Dipetakan dari log perubahan
userid	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
email	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan dari log perubahan
_action	event.idm.read_only_udm.security_result.action	Dipetakan dari log perubahan
descrip	event.idm.read_only_udm.metadata.description	Dipetakan dari log perubahan
status	event.idm.read_only_udm.security_result.action_details	Dipetakan dari log perubahan
appname	event.idm.read_only_udm.principal.application	Dipetakan dari log perubahan
tip	event.idm.read_only_udm.target.ip	Dipetakan dari log perubahan
tip	event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
pip	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
pip	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
p_ip	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
p_ip	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
log_timestamp	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
port	event.idm.read_only_udm.target.port	Dipetakan dari log perubahan
status	event.idm.read_only_udm.security_result.action	Dipetakan dari log perubahan
dhost	event.idm.read_only_udm.target.hostname	Dipetakan dari log perubahan
rt	event.timestamp	Dipetakan dari log perubahan
host-url	principal.url	Dipetakan dari log perubahan
cs-uri	target.url	Dipetakan dari log perubahan
cs-uri-query" , "time-taken" , "filter-category" , "cs-uri-path" , "cs-uri-extension" and "rs_content_type	additional.fields	Dipetakan dari log perubahan
cs-auth-group	principal.user_group_identifiers	Dipetakan dari log perubahan
cs-method	network.http.method	Dipetakan dari log perubahan
sc-status	response_code	Dipetakan dari log perubahan
s-action	security_result.detection_fields	Dipetakan dari log perubahan
srcport	principal.port	Dipetakan dari log perubahan
dstport	target.port	Dipetakan dari log perubahan
sc-bytes	network.received_bytes	Dipetakan dari log perubahan
cs-bytes	network.sent_bytes	Dipetakan dari log perubahan
cs_referer	network.http.referral_url	Dipetakan dari log perubahan
cs-host	target.hostname	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.