Coletar registros do Forcepoint Web Security

Versão do analisador:12.0

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do Forcepoint Web Security no Google Security Operations usando o agente do Bindplane.

O Forcepoint Web Security é um proxy da Web e gateway seguro que gera mensagens de syslog em CEF (Common Event Format) para acesso à Web, ocorrências de segurança, autenticação e aplicação de políticas. O analisador extrai campos de registros formatados em CEF e syslog e os mapeia para o modelo de dados unificado (UDM).

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Windows Server 2016 ou mais recente ou host do Linux com systemd
• Conectividade de rede entre o agente do Bindplane e o Forcepoint Web Security
• Se estiver em execução atrás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso administrativo ao Forcepoint Security Manager ou à interface de gerenciamento de dispositivos

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja descontinuada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar uma função e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o número do projeto. Você vai precisar dele para a configuração do exportador.

Observação :a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do Bindplane e gire a chave de acordo com a política da sua organização.

Opção 2: baixar o arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Baixe o arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para o fim da vida útil em 20 de julho de 2027. Planeje a mudança para a Opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.

3. Copie e salve o ID de cliente na seção Detalhes da organização.

   Observação: o ID do cliente é necessário para configurar o exportador do agente Bindplane.

Instalar o agente do Bindplane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sc query observiq-otel-collector
   

   O serviço precisa aparecer como RUNNING.

Instalação do Linux

1. Abra um terminal com privilégios de root ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sudo systemctl status observiq-otel-collector
   

   O serviço vai aparecer como ativo (em execução).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Observação: a configuração do exportador da API Chronicle requer o coletor do Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir o syslog e enviar ao Google SecOps

É possível configurar o agente do BindPlane para receber mensagens de syslog por TCP (recomendado) ou UDP.

Localizar o arquivo de configuração

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Editar o arquivo de configuração

Substitua todo o conteúdo de config.yaml pela configuração do protocolo escolhido:

• Opção A: configuração de TCP (recomendada)

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/forcepoint_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  
  service:
    pipelines:
      logs/forcepoint_tcp_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/forcepoint_webproxy
  

• Opção B: configuração do UDP

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/forcepoint_webproxy:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  
  service:
    pipelines:
      logs/forcepoint_udp_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/forcepoint_webproxy
  

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

• Configuração do receptor:

  • listen_address: endereço IP e porta a serem detectados:
    • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
    • A porta 514 é a porta syslog padrão (requer raiz no Linux; use 1514 para não raiz)

• Configuração do exportador:

  • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID do cliente copiado do console do Google SecOps
  • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador adiciona esse valor ao prefixo chronicle.googleapis.com. Consulte Endpoints regionais para ver a lista completa.
  • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
  • endpoint: mantenha definido como chronicle.googleapis.com.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/forcepoint_webproxy:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: FORCEPOINT_WEBPROXY
      raw_log_field: body
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for descontinuada em 20 de julho de 2027.

Salve o arquivo de configuração.

• Depois de editar, salve o arquivo:
  • Linux: pressione Ctrl+O, Enter e Ctrl+X.
  • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifique se o serviço está em execução:

     sudo systemctl status observiq-otel-collector
     

  2. Verifique se há erros nos registros:

     sudo journalctl -u observiq-otel-collector -f
     

• Para reiniciar o agente do BindPlane no Windows, escolha uma das seguintes opções:

  • Prompt de comando ou PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console de serviços:

    1. Pressione Win+R, digite services.msc e pressione Enter.
    2. Localize o coletor do OpenTelemetry da observIQ.
    3. Clique com o botão direito do mouse e selecione Reiniciar.

    4. Verifique se o serviço está em execução:

       sc query observiq-otel-collector
       

    5. Verifique se há erros nos registros:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurar o encaminhamento de syslog no Forcepoint Web Security

Configure o Forcepoint Web Security para encaminhar registros ao agente do Bindplane no formato CEF (Common Event Format).

Como usar o Forcepoint Security Manager

1. Faça login no Forcepoint Security Manager com credenciais de administrador.
2. Acesse Configurações > Geração de registros.
3. Na navegação à esquerda, selecione Servidores de registros.
4. Clique em Adicionar para criar uma configuração de servidor de registros.
5. Informe os seguintes detalhes de configuração:
   • Tipo de servidor: selecione Servidor Syslog ou Servidor CEF.
   • Nome: insira um nome descritivo (por exemplo, Google Security Operations Bindplane CEF).
   • Host: insira o endereço IP ou o nome do host do agente do BindPlane.
   • Porta: insira o número da porta do agente do Bindplane (por exemplo, 514).
   • Protocolo: selecione o protocolo que corresponde à sua configuração do BindPlane:
     • Selecione TCP se você configurou o receptor tcplog no Bindplane (recomendado).
     • Selecione UDP se você tiver configurado o receptor udplog no Bindplane.
   • Formato: selecione CEF (formato de evento comum).
   • Recurso: selecione Local0 (ou outro recurso disponível).
   • Gravidade: selecione Informativo (para capturar todos os níveis de registro).
6. Em Categorias de registro ou Tipos de evento, selecione os eventos que serão encaminhados:
   • Registros de acesso à Web (registros de transações)
   • Ocorrências de segurança (detecções de ameaças)
   • Eventos de autenticação (login/logout do usuário)
   • Eventos do sistema (mudanças no sistema e na configuração)
   • Ou selecione Todos os eventos para encaminhar todos os tipos de registro disponíveis.
7. Opcional: defina outras configurações:
   • Tamanho do lote: defina como 1 para encaminhamento em tempo real ou um valor maior para processamento em lote.
   • Formato da mensagem: verifique se o formato CEF está selecionado.
   • Incluir informações do usuário: ative para incluir a identidade do usuário nos registros.
8. Clique em Testar conexão para verificar a conectividade com o agente do Bindplane.
9. Clique em Salvar para aplicar a configuração.
10. Clique em Deploy para enviar a configuração a todos os gateways do Forcepoint Web Security.

Como usar o Forcepoint Web Security Appliance (configuração direta)

Se você estiver configurando diretamente no dispositivo:

1. Faça login na interface de gerenciamento do Forcepoint Web Security Appliance.
2. Acesse Sistema > Servidor de registros.
3. Clique em Adicionar ou Editar para criar ou modificar um servidor de registros.
4. Informe os seguintes detalhes de configuração:
   • Endereço do servidor: insira o endereço IP do agente do BindPlane.
   • Porta: insira 514 (ou sua porta personalizada).
   • Protocolo: selecione TCP ou UDP para corresponder à configuração do Bindplane.
   • Formato: selecione CEF ou Formato de evento comum.
   • Unidade: selecione Local0.
5. Em Tipos de registro, selecione os registros que serão encaminhados:
   • Registros de acesso (em inglês)
   • Registros de segurança
   • Registros do administrador
6. Clique em Aplicar ou Salvar.
7. Se você estiver usando vários aparelhos, repita essa configuração em cada um deles.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
action	security_result.summary	Se action_msg não estiver vazio, ele será mapeado para security_result.summary. Caso contrário, se action não estiver vazio, ele será mapeado para security_result.summary. Caso contrário, se act não estiver vazio, ele será mapeado para security_result.summary.
action_msg	security_result.summary	Se action_msg não estiver vazio, ele será mapeado para security_result.summary. Caso contrário, se action não estiver vazio, ele será mapeado para security_result.summary. Caso contrário, se act não estiver vazio, ele será mapeado para security_result.summary.
app	target.application	Se destinationServiceName não estiver vazio, ele será mapeado para app_name. Caso contrário, se app não estiver vazio e não contiver http ou HTTP, ele será mapeado para app_name. Por fim, app_name é mapeado para target.application.
bytes_in	network.received_bytes	Se in não estiver vazio, ele será mapeado para bytes_in. Por fim, bytes_in é mapeado para network.received_bytes.
bytes_out	network.sent_bytes	Se out não estiver vazio, ele será mapeado para bytes_out. Por fim, bytes_out é mapeado para network.sent_bytes.
cat	security_result.category_details	Se cat não estiver vazio, ele será mapeado para category. Por fim, category é mapeado para security_result.category_details.
category_no	security_result.detection_fields.value	Se category_no não estiver vazio, ele será mapeado para security_result.detection_fields.value com a chave Category Number.
cn1	security_result.detection_fields.value	Se cn1 não estiver vazio, ele será mapeado para security_result.detection_fields.value com a chave Disposition Number.
ContentType	target.file.mime_type	Se contentType não estiver vazio, ele será mapeado para ContentType. Por fim, ContentType é mapeado para target.file.mime_type.
cs1	target_role.description	cs1 é mapeado para target_role.description.
cs2	security_result.category_details	Se cs2 não estiver vazio e não for 0, ele será mapeado para security_result.category_details com o prefixo Dynamic Category:.
cs3	target.file.mime_type	cs3 é mapeado para target.file.mime_type.
description	metadata.description	Se description não estiver vazio, ele será mapeado para metadata.description.
destinationServiceName	target.application	Se destinationServiceName não estiver vazio, ele será mapeado para app_name. Por fim, app_name é mapeado para target.application.
deviceFacility	metadata.product_event_type	Se product_event e deviceFacility não estiverem vazios, eles serão concatenados com - e mapeados para metadata.product_event_type. Caso contrário, product_event será mapeado para metadata.product_event_type.
disposition	security_result.detection_fields.value	Se disposition não estiver vazio, ele será mapeado para security_result.detection_fields.value com a chave Disposition Number.
dst	target.ip	Se dst não estiver vazio e dvchost estiver, ele será mapeado para dst_ip. Por fim, dst_ip é mapeado para target.ip.
dst_host	target.hostname	Se dst não estiver vazio e dvchost estiver vazio, ele será mapeado para dst_host. Por fim, dst_host é mapeado para target.hostname.
dst_ip	target.ip	Se dst não estiver vazio e dvchost estiver, ele será mapeado para dst_ip. Por fim, dst_ip é mapeado para target.ip.
dst_port	target.port	Se dst não estiver vazio e dvchost estiver vazio, ele será mapeado para dst_port. Por fim, dst_port é mapeado para target.port.
duration	network.session_duration.seconds	Se duration não estiver vazio e não for 0, ele será mapeado para network.session_duration.seconds.
dvchost	intermediary.ip	Se dvchost não estiver vazio, ele será mapeado para int_ip. Por fim, int_ip é mapeado para intermediary.ip se for um endereço IP válido. Caso contrário, é mapeado para intermediary.hostname.
file_path	target.file.full_path	Se file_path não estiver vazio, ele será mapeado para target.file.full_path.
host	principal.ip	Se host não estiver vazio, ele será mapeado para src. Por fim, src é mapeado para principal.ip.
http_method	network.http.method	Se requestMethod não estiver vazio, ele será mapeado para http_method. Caso contrário, se method não estiver vazio, ele será mapeado para http_method. Por fim, http_method é mapeado para network.http.method.
http_proxy_status_code	network.http.response_code	Se http_response estiver vazio ou for 0 ou -, e http_proxy_status_code não estiver vazio, ele será mapeado para network.http.response_code.
http_response	network.http.response_code	Se http_response não estiver vazio, não for 0 nem -, ele será mapeado para network.http.response_code.
http_user_agent	network.http.user_agent	Se http_user_agent não estiver vazio e não for -, ele será mapeado para network.http.user_agent.
in	network.received_bytes	Se in não estiver vazio, ele será mapeado para bytes_in. Por fim, bytes_in é mapeado para network.received_bytes.
int_host	intermediary.hostname	Se int_ip não estiver vazio e int_host não estiver vazio e for diferente de int_ip, ele será mapeado para intermediary.hostname.
int_ip	intermediary.ip	Se dvchost não estiver vazio, ele será mapeado para int_ip. Por fim, int_ip será mapeado para intermediary.ip se for um endereço IP válido. Caso contrário, será mapeado para intermediary.hostname.
level	target_role.name	Se level não estiver vazio e role estiver vazio, ele será mapeado para role. Por fim, role é mapeado para target_role.name.
log_level	security_result.severity	Se severity for 1 ou log_level contiver info ou message contiver notice, security_result.severity será definido como INFORMATIONAL. Se severity for 7, security_result.severity será definido como HIGH.
loginID	principal.user.userid	Se loginID não estiver vazio, ele será mapeado para user. Por fim, se user não estiver vazio, não for - e não contiver LDAP, ele será mapeado para principal.user.userid.
method	network.http.method	Se requestMethod não estiver vazio, ele será mapeado para http_method. Caso contrário, se method não estiver vazio, ele será mapeado para http_method. Por fim, http_method é mapeado para network.http.method.
NatRuleId	security_result.detection_fields.value	Se NatRuleId não estiver vazio, ele será mapeado para security_result.detection_fields.value com a chave NatRuleId.
out	network.sent_bytes	Se out não estiver vazio, ele será mapeado para bytes_out. Por fim, bytes_out é mapeado para network.sent_bytes.
pid	target.process.pid	Se pid não estiver vazio, ele será mapeado para target.process.pid.
policy	target_role.description	Se Policy não estiver vazio, ele será mapeado para policy. Se policy não estiver vazio e não for -, ele será mapeado para target_role.description.
Policy	target_role.description	Se Policy não estiver vazio, ele será mapeado para policy. Se policy não estiver vazio e não for -, ele será mapeado para target_role.description.
product_event	metadata.product_event_type	Se product não estiver vazio, ele será mapeado para product_event. Se product_event e deviceFacility não estiverem vazios, eles serão concatenados com - e mapeados para metadata.product_event_type. Caso contrário, product_event será mapeado para metadata.product_event_type.
proxyStatus-code	network.http.response_code	Se http_response estiver vazio ou for 0 ou -, http_proxy_status_code estiver vazio e proxyStatus-code não estiver vazio, ele será mapeado para network.http.response_code.
refererUrl	network.http.referral_url	Se refererUrl não estiver vazio e não for -, ele será mapeado para network.http.referral_url.
requestClientApplication	network.http.user_agent	Se requestMethod não estiver vazio, ele será mapeado para http_user_agent. Por fim, http_user_agent é mapeado para network.http.user_agent.
requestMethod	network.http.method	Se requestMethod não estiver vazio, ele será mapeado para http_method. Por fim, http_method é mapeado para network.http.method.
role	target_role.name	Se level não estiver vazio e role estiver vazio, ele será mapeado para role. Por fim, role é mapeado para target_role.name.
RuleID	security_result.rule_id	Se RuleID não estiver vazio, ele será mapeado para security_result.rule_id.
serverStatus-code	network.http.response_code	Se http_response estiver vazio ou for 0 ou -, http_proxy_status_code estiver vazio e proxyStatus-code não estiver vazio, ele será mapeado para network.http.response_code.
severity	security_result.severity	Se severity for 1 ou log_level contiver info ou message contiver notice, security_result.severity será definido como INFORMATIONAL. Se severity for 7, security_result.severity será definido como HIGH.
spt	principal.port	Se spt não estiver vazio, ele será mapeado para src_port. Por fim, src_port é mapeado para principal.port.
src	principal.ip	Se src_host não estiver vazio, ele será mapeado para source_ip_temp. Se source_ip_temp for um endereço IP válido e src estiver vazio, ele será mapeado para src. Se host não estiver vazio, ele será mapeado para src. Por fim, src é mapeado para principal.ip.
src_host	principal.hostname	Se src_host não estiver vazio, ele será mapeado para source_ip_temp. Se source_ip_temp não for um endereço IP válido, ele será mapeado para principal.hostname. Se source_ip_temp for um endereço IP válido e src estiver vazio, ele será mapeado para src. Por fim, src é mapeado para principal.ip.
src_port	principal.port	Se src_port não estiver vazio, ele será mapeado para principal.port.
suser	principal.user.userid	Se loginID não estiver vazio, ele será mapeado para user. Se suser não estiver vazio, ele será mapeado para user. Por fim, se user não estiver vazio, não for - e não contiver LDAP, ele será mapeado para principal.user.userid.
url	target.url	Se url não estiver vazio, ele será mapeado para target.url.
user	principal.user.userid	Se loginID não estiver vazio, ele será mapeado para user. Se suser não estiver vazio, ele será mapeado para user. Caso contrário, se usrName não estiver vazio, ele será mapeado para user. Por fim, se user não estiver vazio, não for - e não contiver LDAP, ele será mapeado para principal.user.userid.
usrName	principal.user.userid	Se loginID não estiver vazio, ele será mapeado para user. Se suser não estiver vazio, ele será mapeado para user. Caso contrário, se usrName não estiver vazio, ele será mapeado para user. Por fim, se user não estiver vazio, não for - e não contiver LDAP, ele será mapeado para principal.user.userid.
when	metadata.event_timestamp	Se when não estiver vazio, ele será analisado e mapeado para metadata.event_timestamp.
N/A	metadata.log_type	O valor FORCEPOINT_WEBPROXY é fixado em metadata.log_type.
N/A	metadata.product_name	O valor Forcepoint Webproxy é fixado no código em metadata.product_name.
N/A	metadata.vendor_name	O valor Forcepoint é codificado em metadata.vendor_name.
N/A	network.application_protocol	Se dst_port for 80, network.application_protocol será definido como HTTP. Se dst_port for 443, network.application_protocol será definido como HTTPS.
N/A	principal.user.group_identifiers	Se user não estiver vazio, não for - e tiver LDAP, a parte da UO da string do usuário será extraída e mapeada para principal.user.group_identifiers.
N/A	principal.user.user_display_name	Se user não estiver vazio, não for - e contiver LDAP, a parte do nome de usuário da string do usuário será extraída e mapeada para principal.user.user_display_name.
N/A	security_result.action	Se action_msg, action ou act não estiverem vazios, sec_action será definido como ALLOW ou BLOCK com base nos valores deles. Por fim, sec_action é mapeado para security_result.action.
N/A	security_result.detection_fields.key	O valor Disposition Number é codificado em security_result.detection_fields.key ao mapear disposition ou cn1. O valor NatRuleId é codificado em security_result.detection_fields.key ao mapear NatRuleId. O valor Category Number é codificado em security_result.detection_fields.key ao mapear category_no.
reason	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
extension	event.idm.read_only_udm.target.process.file.mime_type	Mapeado do registro de alterações
filetype	event.idm.read_only_udm.target.file.mime_type	Mapeado do registro de alterações
method	event.idm.read_only_udm.network.http.method	Mapeado do registro de alterações
received_bytes	event.idm.read_only_udm.network.received_bytes	Mapeado do registro de alterações
sent_bytes	event.idm.read_only_udm.network.sent_bytes	Mapeado do registro de alterações
response_code	event.idm.read_only_udm.network.http.response_code	Mapeado do registro de alterações
region	event.idm.read_only_udm.principal.location.country_or_region	Mapeado do registro de alterações
protocol	event.idm.read_only_udm.network.application_protocol	Mapeado do registro de alterações
sec_description	event.idm.read_only_udm.security_result.description	Mapeado do registro de alterações
version	event.idm.read_only_udm.network.http.user_agent	Mapeado do registro de alterações
city	event.idm.read_only_udm.principal.location.city	Mapeado do registro de alterações
turl	event.idm.read_only_udm.target.url	Mapeado do registro de alterações
userid	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
email	event.idm.read_only_udm.principal.user.email_addresses	Mapeado do registro de alterações
_action	event.idm.read_only_udm.security_result.action	Mapeado do registro de alterações
descrip	event.idm.read_only_udm.metadata.description	Mapeado do registro de alterações
status	event.idm.read_only_udm.security_result.action_details	Mapeado do registro de alterações
appname	event.idm.read_only_udm.principal.application	Mapeado do registro de alterações
tip	event.idm.read_only_udm.target.ip	Mapeado do registro de alterações
tip	event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
pip	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
pip	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
p_ip	event.idm.read_only_udm.principal.ip	Mapeado do registro de alterações
p_ip	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
log_timestamp	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de alterações
port	event.idm.read_only_udm.target.port	Mapeado do registro de alterações
status	event.idm.read_only_udm.security_result.action	Mapeado do registro de alterações
dhost	event.idm.read_only_udm.target.hostname	Mapeado do registro de alterações
rt	event.timestamp	Mapeado do registro de alterações
host-url	principal.url	Mapeado do registro de alterações
cs-uri	target.url	Mapeado do registro de alterações
cs-uri-query" , "time-taken" , "filter-category" , "cs-uri-path" , "cs-uri-extension" and "rs_content_type	additional.fields	Mapeado do registro de alterações
cs-auth-group	principal.user_group_identifiers	Mapeado do registro de alterações
cs-method	network.http.method	Mapeado do registro de alterações
sc-status	response_code	Mapeado do registro de alterações
s-action	security_result.detection_fields	Mapeado do registro de alterações
srcport	principal.port	Mapeado do registro de alterações
dstport	target.port	Mapeado do registro de alterações
sc-bytes	network.received_bytes	Mapeado do registro de alterações
cs-bytes	network.sent_bytes	Mapeado do registro de alterações
cs_referer	network.http.referral_url	Mapeado do registro de alterações
cs-host	target.hostname	Mapeado do registro de mudanças

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.