Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

IBM Mainframe Storage-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie IBM Mainframe Storage-Logs mit Bindplane in Google Security Operations erfassen.

IBM Mainframe Storage umfasst die IBM DS8000-Serie (einschließlich DS8900F und DS8880) und die IBM FlashSystem-Familien (einschließlich FlashSystem 5000, 5200, 5300, 7200, 7300, 9200 und 9500). Diese Enterprise-Speichersysteme bieten leistungsstarken Blockspeicher für Mainframe- und Open-Systems-Umgebungen mit integrierten Syslog-Weiterleitungsfunktionen für Audit-Logs, Systemereignisse, Authentifizierungsereignisse und Betriebsmeldungen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Windows Server 2016 oder höher oder Linux-Host mit systemd
Netzwerkverbindung zwischen dem Bindplane-Agent und der IP-Adresse für die Verwaltung des IBM-Speichersystems
Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Administratorzugriff auf die IBM DS8000 Storage Management GUI oder die IBM FlashSystem Management GUI
Für IBM FlashSystem: SSH-Zugriff auf die Befehlszeile (optional, für die Befehlszeilen-basierte Konfiguration)

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
Rufen Sie IAM und Verwaltung > Dienstkonten auf.
Klicken Sie auf Dienstkonto erstellen.
Geben Sie die folgenden Konfigurationsdetails an:
- Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
- Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
Klicken Sie auf Erstellen und fortfahren.
Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
Klicken Sie auf Weiter und dann auf Fertig.
Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

Führen Sie dazu diesen Befehl aus:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sc query observiq-otel-collector
```

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Warten Sie, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
```
sudo systemctl status observiq-otel-collector
```
Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

Konfigurationsdatei suchen

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Konfigurationsdatei bearbeiten

Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/ibm_storage:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: IBM_MAINFRAME_STORAGE
    raw_log_field: body
    ingestion_labels:
      log_source: ibm_storage

service:
  pipelines:
    logs/ibm_storage_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/ibm_storage

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

Exporter-Konfiguration:

<CREDS_FILE_PATH>: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1): - Linux: /opt/observiq-otel-collector/ingestion-auth.json - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
<CUSTOMER_ID>: Kundennummer, die aus der Google SecOps-Konsole kopiert wurde
location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.

Hinweis: Wenn Ihr IBM-Speichersystem so konfiguriert ist, dass Syslog über TCP gesendet wird (Standardeinstellung für DS8000-Systeme), ändern Sie den Empfänger von udplog in tcplog und aktualisieren Sie den Port entsprechend. Der Standard-Syslog-Port für IBM DS8000 über TCP ist 514 und für IBM FlashSystem über UDP 514 (oder 6514 für TCP).

Beispielkonfiguration (IBM FlashSystem über UDP-Syslog)

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/ibm_storage:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: IBM_MAINFRAME_STORAGE
    raw_log_field: body
    ingestion_labels:
      log_source: ibm_storage

service:
  pipelines:
    logs/ibm_storage_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/ibm_storage

Beispielkonfiguration (IBM DS8000 über TCP-Syslog)

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/ibm_storage:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: IBM_MAINFRAME_STORAGE
    raw_log_field: body
    ingestion_labels:
      log_source: ibm_ds8000

service:
  pipelines:
    logs/ibm_storage_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/ibm_storage

Legacy-Ingestion-API-Exporter

Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/ibm_storage:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: IBM_MAINFRAME_STORAGE
    raw_log_field: body
    ingestion_labels:
      log_source: ibm_storage
```

Konfigurationsdatei speichern

Speichern Sie die Datei nach der Bearbeitung:

Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

Führen Sie dazu diesen Befehl aus:

sudo systemctl restart observiq-otel-collector

Prüfen Sie, ob der Dienst ausgeführt wird:

sudo systemctl status observiq-otel-collector

Prüfen Sie die Logs auf Fehler:

sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agenten unter Windows neu:

Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
  
  net stop observiq-otel-collector && net start observiq-otel-collector
- Dienstkonsole:
  1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
  2. Suchen Sie nach observIQ OpenTelemetry Collector.
  3. Rechtsklicken Sie und wählen Sie Neu starten aus.
Prüfen Sie, ob der Dienst ausgeführt wird:

sc query observiq-otel-collector
Prüfen Sie die Logs auf Fehler:

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für IBM Mainframe Storage konfigurieren

Konfigurieren Sie die Syslog-Weiterleitung auf Ihrem IBM-Speichersystem. Folgen Sie der Anleitung für Ihre Produktfamilie.

Option A: Syslog auf IBM DS8000-Serie (DS8900F, DS8880) konfigurieren

Die IBM DS8000 Storage Management GUI unterstützt die Weiterleitung von Audit-Logs, GUI-Ereignisinformationen, Anmelde-/Abmeldeereignissen und Befehls-Audit-Trails an einen Remote-Syslog-Server. Die DS8000 unterstützt bis zu acht Syslog-Zielserver. Standardmäßig verwendet DS8000-Syslog das TCP-Protokoll auf Port 514.

Melden Sie sich mit einem Konto mit der Rolle Administrator in der DS8000 Storage Management GUI an.
Gehe zu den Einstellungen > Benachrichtigungen.
Klicken Sie auf der Seite Syslog auf Add Syslog Server (Syslog-Server hinzufügen).
Geben Sie im Fenster Syslog-Server hinzufügen die folgenden Konfigurationsdetails an:
- IP-Adresse: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
- Port: Geben Sie 514 ein.
Klicken Sie auf OK.

Hinweis: Die DS8000 verwendet TCP als Standard-Syslog-Protokoll. Achten Sie darauf, dass der Bindplane-Agent mit dem entsprechenden tcplog-Empfänger konfiguriert ist. Wenn Sie eine TLS-Verschlüsselung benötigen, müssen Sie TLS aktivieren, bevor Sie Syslog-Server hinzufügen. Klicken Sie zum Aktivieren von TLS auf der Seite Syslog im Bereich Zertifikat auf TLS aktivieren und geben Sie die Dateien für das CA-Zertifikat, das HMC-Zertifikat und den privaten HMC-Schlüssel an.

Option B: Syslog auf IBM FlashSystem (5000, 5200, 5300, 7200, 7300, 9200, 9500) konfigurieren

IBM FlashSystem-Systeme, die auf IBM Storage Virtualize basieren, unterstützen die Syslog-Weiterleitung sowohl über die Verwaltungs-GUI als auch über die Befehlszeile. Das System unterstützt bis zu sechs Syslog-Server und kann Nachrichten über die Protokolle UDP, TCP oder TLS übertragen.

Verwaltungs-GUI verwenden

Melden Sie sich in der IBM FlashSystem-Verwaltungs-GUI an.
Gehen Sie zu Einstellungen > Benachrichtigungen > Syslog.
Klicken Sie auf Syslog-Server hinzufügen, um das Fenster Syslog-Server hinzufügen zu öffnen.
Wählen Sie das Protokoll aus:
- UDP: Reduziert den System- und Netzwerkaufwand. Der Standardport ist 514.
- TCP: Bietet eine zuverlässige Übermittlung. Der Standardport ist 6514.
- TLS: Verwendet TLS, um verschlüsselte Syslog-Nachrichten zu senden.
Geben Sie die IP-Adresse des Bindplane-Agent-Hosts und die Portnummer ein.
Klicken Sie auf Hinzufügen.

Befehlszeile (SSH) verwenden

Stellen Sie über SSH eine Verbindung zum IBM FlashSystem-System her. Verwenden Sie dazu ein Administratorkonto.
Führen Sie den folgenden Befehl aus, um einen Syslog-Server mit allen aktivierten Logtypen zu erstellen:
```
mksyslogserver -name chronicle -ip <BINDPLANE_IP> -protocol udp -port 514 -facility 4 -error on -warning on -info on -audit on -login on
```
Ersetzen Sie <BINDPLANE_IP> durch die IP-Adresse des Bindplane-Agent-Hosts.

Hinweis: Wenn Sie -facility auf einen Wert zwischen 4 und 7 festlegen, werden Syslog-Nachrichten im vollständig maximierten Format gesendet, was detailliertere Protokolldaten liefert. Wenn Sie -facility auf einen Wert zwischen 0 und 3 festlegen, werden Nachrichten im Kurzformat gesendet.
Prüfen Sie mit dem folgenden Befehl, ob der Syslog-Server erstellt wurde:
```
lssyslogserver
```
In der Ausgabe werden die konfigurierten Syslog-Server mit ID, Name, IP-Adresse, Port, Protokoll und Benachrichtigungseinstellungen angezeigt.

CLI-Beispiele für gängige Konfigurationen

Erstellen Sie einen Syslog-Server mit UDP an Port 514 im erweiterten Format mit Audit- und Authentifizierungs-Logging:

mksyslogserver -name chronicle -ip 192.168.1.100 -facility 4 -protocol udp -port 514 -error on -warning on -info on -audit on -login on

Erstellen Sie einen Syslog-Server mit TCP an Port 6514:

mksyslogserver -name chronicle -ip 192.168.1.100 -facility 4 -protocol tcp -port 6514 -error on -warning on -info on -audit on -login on

Ändern Sie einen vorhandenen Syslog-Server, um das Audit-Logging zu aktivieren:
```
chsyslogserver -audit on <syslog_server_id>
```
So entfernen Sie einen Syslog-Server:
```
rmsyslogserver <syslog_server_id>
```

FlashSystem-Syslog-Benachrichtigungstypen

In der folgenden Tabelle werden die verfügbaren Syslog-Benachrichtigungstypen auf IBM FlashSystem beschrieben:

Benachrichtigungstyp	Befehlszeilenparameter	Standard	Beschreibung
Fehler	`-error on\|off`	am	Ernsthafte Probleme mit dem System
Warnung	`-warning on\|off`	am	Probleme oder unerwartete Bedingungen
Informationen	`-info on\|off`	am	Erwartete Vorgänge abgeschlossen
Audit-Log	`-audit on\|off`	aus	Vorgänge über die Befehlszeile oder die Verwaltungs-GUI
Authentifizierungs-Log	`-login on\|off`	aus	Erfolgreiche und fehlgeschlagene Authentifizierungsversuche

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
device_vendor	about.asset.asset_id	Verkettet aus device_vendor, device_product und deviceExternalId als „%{device_vendor}.%{device_product}:%{deviceExternalId}“
device_product	about.asset.asset_id
deviceExternalId	about.asset.asset_id
IPv6_Address	about.ip	Wert direkt kopiert
dvcmac	about.mac	Wert aus dvcmac, wenn gültige MAC, sonst aus mac_address, falls extrahiert
mac_address	about.mac
fname	about.file.full_path	Wert wird direkt kopiert, wenn nicht „–“
fileHash	about.file.full_path	Wert wird direkt kopiert, wenn es sich nicht um einen Hash handelt
fileHash	about.file.sha256	Wert wird direkt kopiert, wenn er mit dem Hash-Muster übereinstimmt
_hash	about.file.sha256	Wert direkt kopiert
fsize	about.file.size	In uinteger umgewandelt
File_name	about.file.full_path	Wert aus „File_name“, wenn nicht leer, sonst „Object“, sonst „Objekt“, sonst „Infected_Resource“
Objekt	about.file.full_path
Objekt	about.file.full_path
Infected_Resource	about.file.full_path
über	über	Zusammengeführt aus „Über“
additional_cs1	additional.fields	Zusammengeführt aus verschiedenen additional_*-Feldern wie additional_cs1, additional_cs2 usw.
additional_cs2	additional.fields
cs1	additional.fields	Schlüssel aus cs1Label, Wert aus cs1
cs1Label	additional.fields
cs2	additional.fields	Schlüssel aus cs2Label, Wert aus cs2
cs2Label	additional.fields
cs3	additional.fields	Schlüssel aus cs3Label, Wert aus cs3, wenn nicht leer
cs3Label	additional.fields
cs4	additional.fields	Schlüssel aus cs4Label, Wert aus cs4 nach gsub
cs4Label	additional.fields
cs5	additional.fields	Schlüssel aus cs5Label, Wert aus cs5, wenn nicht „NA“
cs5Label	additional.fields
cs6	additional.fields	Schlüssel aus cs6Label, Wert aus cs6, falls nicht leer
cs6Label	additional.fields
cs7	additional.fields	Schlüssel aus cs7Label, Wert aus cs7, wenn nicht leer
cs7Label	additional.fields
flexString1	additional.fields	Schlüssel aus flexString1Label, Wert aus flexString1
flexString1Label	additional.fields
cn1	additional.fields	Schlüssel aus cn1Label, Wert aus cn1
cn1Label	additional.fields
cn2	additional.fields	Schlüssel aus cn2Label, Wert aus cn2
cn2Label	additional.fields
cn3	additional.fields	Schlüssel aus cn3Label, Wert aus cn3, falls nicht leer
cn3Label	additional.fields
cfp1	additional.fields	Schlüssel aus cfp1Label, Wert aus cfp1
cfp1Label	additional.fields
cfp2	additional.fields	Schlüssel aus cfp2Label, Wert aus cfp2
cfp2Label	additional.fields
cfp3	additional.fields	Schlüssel aus cfp3Label, Wert aus cfp3
cfp3Label	additional.fields
cfp4	additional.fields	Schlüssel aus cfp4Label, Wert aus cfp4
cfp4Label	additional.fields
eventId	additional.fields	Schlüssel „eventId“, Wert aus eventId
devicePayloadId	additional.fields	Schlüssel „devicePayloadId“, Wert aus devicePayloadId
fname	additional.fields	Schlüssel „fname“, Wert aus fname, wenn nicht „–“
cs3Label	additional.fields	Schlüssel „cs3Label“, Wert aus cs3Label, wenn cs3 leer ist
cs4Label	additional.fields	Schlüssel „cs4Label“, Wert aus cs4Label, wenn cs4 leer ist
cs5	additional.fields	Schlüssel „cs5 Label“, Wert aus cs5, wenn cs5Label leer ist
principal_asset_hostname	additional.fields	Schlüssel „asset_host_name“, Wert von principal_asset_hostname, falls abweichend
target_asset_hostname	additional.fields	Schlüssel „device_host_name“, Wert aus target_asset_hostname, falls abweichend
ssh_key	additional.fields	Schlüssel „ssh_key“, Wert aus ssh_key, wenn kein Hash
Kommentar	additional.fields	Schlüssel „Comment“, Wert aus try_message
Aktionsname	additional.fields	Schlüssel „Action Name“, Wert aus action_name
Fehlercode	additional.fields	Schlüssel „Fehlercode“, Wert aus error_code
rsyslog-Modul	additional.fields	Schlüssel „rsyslog Module“, Wert aus „module“ oder „module_name“
Weitere Informationen	additional.fields	Schlüssel „Weitere Informationen“, Wert aus try_message
Aktionstyp	additional.fields	Schlüssel „Action Type“, Wert aus action_type
Erhalten	metadata.collected_timestamp	Aus „Received“ oder „Mottatt“ mithilfe des Datumsabgleichs geparst
Mottatt	metadata.collected_timestamp
rt	metadata.event_timestamp	Aus rt geparst, wobei das Datum mit der Zeitzone übereinstimmt
file_full_path	metadata.event_type	Auf „PROCESS_UNCATEGORIZED“ setzen, wenn file_full_path nicht leer ist; „SCAN_UNCATEGORIZED“, wenn event_name in bestimmten Werten enthalten ist; „USER_UNCATEGORIZED“, wenn duser nicht leer ist; „NETWORK_CONNECTION“, wenn principal_hostname_found und target_ip_found; „STATUS_UPDATE“, wenn principal_hostname_found oder src nicht leer ist; andernfalls „GENERIC_EVENT“
event_name	metadata.event_type
duser	metadata.event_type
principal_hostname_found	metadata.event_type
device_product	metadata.product_name	Wert direkt kopiert
device_vendor	metadata.vendor_name	Wert direkt kopiert
device_version	metadata.product_version	Wert direkt kopiert
externalId	metadata.product_log_id	Wert direkt kopiert
event_name	metadata.product_event_type	Verkettet als „[%{device_event_class_id}] - %{event_name}“, wenn beide vorhanden sind, andernfalls „device_event_class_id“ oder „event_name“
device_event_class_id	metadata.product_event_type
app_protocol_src	network.application_protocol	Wird basierend auf „app_protocol_src“ festgelegt, das mit vordefinierten Werten wie „22“ für „SSH“, „25“ für „SMTP“ usw. übereinstimmt.
deviceDirection	network.direction	Wird auf „INBOUND“ gesetzt, wenn deviceDirection == „0“, und auf „OUTBOUND“, wenn deviceDirection == „1“
in	network.received_bytes	In uinteger umgewandelt, wenn > 0
out	network.sent_bytes	In uinteger umgewandelt, wenn > 0
Proto	network.ip_protocol	Wird basierend auf protocol_number_src-Übereinstimmungsnummern wie 1 auf „ICMP“, 6 auf „TCP“ usw. festgelegt.
destinationTranslatedPort	network.target.nat_port	Wird in eine Ganzzahl umgewandelt, wenn der Wert nicht 0 ist
sourceTranslatedPort	network.principal.nat_port	Wird in eine Ganzzahl umgewandelt, wenn der Wert nicht 0 ist
dpt	network.target.port	Wird in eine Ganzzahl umgewandelt, wenn der Wert nicht 0 und gültig ist
spt	network.principal.port	Wird in eine Ganzzahl konvertiert, wenn nicht 0 und nicht „{srcPort}“
Anfrage	network.target.url	Wert direkt kopiert
requestMethod	network.http.method	Großbuchstaben
requestClientApplication	network.http.user_agent	Wert direkt kopiert
principal_hostname	principal.asset.hostname	Wert aus „principal_hostname“, wenn nicht leer und unterscheidet sich von „principal_asset_hostname“, andernfalls auf „principal_hostname“ festgelegt
principal_asset_hostname	principal.asset.hostname
Device_name	principal.hostname	Wert aus Device_name, falls nicht leer, andernfalls Enhetsnavn
Enhetsnavn	principal.hostname
shost	principal.hostname	Wert wird direkt kopiert, wenn es sich nicht um eine IP-Adresse handelt
shost	principal.ip	Wird als IP-Adresse extrahiert, wenn sie dem IP-Muster entspricht
sourceTranslatedAddress	principal.nat_ip	Wert wird direkt kopiert, wenn er mit einer Ziffer beginnt
smac	principal.mac	Nach gsub als MAC extrahiert
spid	principal.process.pid	Wert direkt kopiert
sproc	principal.process.command_line	Wert direkt kopiert
suser	principal.user.user_display_name	Der Wert wird direkt kopiert, wenn er nicht mit „{“ beginnt.
suid	principal.user.userid	Wert direkt kopiert
spriv	principal.user.attribute.roles.name	Wert direkt kopiert
sntdom	principal.administrative_domain	Wert direkt kopiert
sourceServiceName	principal.application	Wert direkt kopiert
Group_name	principal.group.group_display_name	Wert aus Group_name, wenn nicht leer, andernfalls Gruppenavn
Gruppenavn	principal.group.group_display_name
Aktion	principal.user.user_authentication_status	Wird auf „ACTIVE“ gesetzt, wenn die Aktion in den akzeptierten Werten enthalten ist, auf „NO_ACTIVE_CREDENTIALS“, wenn die Verbindung getrennt wird, und auf „SUSPENDED“, wenn die Verbindung getrennt ist
handeln	security_result.action	Legen Sie „ALLOW“ fest, wenn die Aktion in den Zulassungsbedingungen oder im Ergebnis übereinstimmt, „BLOCK“, wenn sie abgelehnt oder blockiert wird, und „FAIL“, wenn das Ergebnis ein Fehler ist.
outcome	security_result.action
handeln	security_result.action_details	Wert direkt kopiert
Action_Taken	security_result.action_details	Wert direkt kopiert
categoryOutcome	security_result.category_details	Wert direkt kopiert
die Ausprägung	security_result.severity	Wird auf „LOW“ gesetzt, wenn der Wert [0,1,2,3,"LOW"] ist, auf „MEDIUM“, wenn der Wert [4,5,6,"MEDIUM","SUBSTANTIAL","INFO"] ist, auf „HIGH“, wenn der Wert [7,8,"HIGH","SEVERE"] ist, und auf „CRITICAL“, wenn der Wert [9,10,"VERY-HIGH","CRITICAL"] ist.
Spyware	security_result.threat_name	Wert aus Spyware, falls nicht leer, sonst Virus_Malware_Name, sonst Unknown_Threat
Virus_Malware_Name	security_result.threat_name
Unknown_Threat	security_result.threat_name
Typ	security_result.description	Wert aus „Type“, wenn nicht leer, andernfalls „Scan_Type“
Scan_Type	security_result.description
msg_data_2	security_result.description	Wert aus msg_data_2, falls nicht leer, andernfalls msg
msg	security_result.description
reason	security_result.summary	Wert wird direkt kopiert, wenn er nicht leer ist oder ein Leerzeichen enthält
appcategory	security_result.summary	Wert direkt kopiert
Ergebnis	security_result.summary	Wert direkt kopiert
mwProfile	security_result.rule_name	Wert direkt kopiert
Vorgang	security_result.detection_fields	Schlüssel „Operation“, Wert aus „Operation“ oder „Operasjon“
Operasjon	security_result.detection_fields
Berechtigung	security_result.detection_fields	Schlüssel „Permission“, Wert aus „Permission“ oder „Tillatelse“
Tillatelse	security_result.detection_fields
Infection_Channel	security_result.detection_fields	Schlüssel „Infection Channel“, Wert aus Infection_Channel
Spyware_Grayware_Type	security_result.detection_fields	Schlüssel „Spyware/Grayware_Type“, Wert aus Spyware_Grayware_Type
Threat_Probability	security_result.detection_fields	Schlüssel „Threat_Probability“, Wert aus Threat_Probability
Resource_Type	security_result.detection_fields	Schlüssel „Resource_Type“, Wert aus Resource_Type
security_result	security_result	Aus security_result zusammengeführt
target_hostname	target.asset.hostname	Wert aus „target_hostname“, wenn nicht leer und unterscheidet sich von „target_asset_hostname“, andernfalls auf „target_hostname“ gesetzt
target_asset_hostname	target.asset.hostname
temp_dhost	target.hostname	Wert wird direkt kopiert, wenn es sich nicht um eine IP-Adresse handelt
temp_dhost_ip	target.hostname	Wird auf „leer“ gesetzt, wenn die IP-Adresse extrahiert wurde
temp_dhost_ip	target.ip	Wert wird direkt kopiert, wenn er extrahiert wird
temp_dhost_ip	target.ip	Wert aus temp_dhost_ip oder IPv6_Address
IPv6_Address	target.ip
temp_dhost_ip	target.asset.ip	Wert wird direkt kopiert, wenn er extrahiert wird
destinationTranslatedAddress	target.nat_ip	Als IP-Adresse extrahiert
dmac	target.mac	Nach gsub als MAC extrahiert
dpid	target.process.pid	Wert direkt kopiert
dproc	target.process.command_line	Wert direkt kopiert
temp_duser	target.user.user_display_name	Wert direkt kopiert
temp_duid	target.user.userid	Mit Grok extrahiert, Wert kopiert
Nutzer	target.user.userid	Wert von „User“, wenn nicht leer, andernfalls „Bruker“
Bruker	target.user.userid
CustomerName	target.user.user_display_name	Wert, der direkt nach „gsub“ kopiert wurde
dpriv	target.user.attribute.roles.name	Wert direkt kopiert
dntdom	target.administrative_domain	Wert direkt kopiert
destinationServiceName	target.application	Wert direkt kopiert
File_name	target.process.file.full_path	Wert aus „File_name“, wenn nicht leer, sonst „Object“, sonst „Objekt“, sonst „Infected_Resource“
Objekt	target.process.file.full_path
Objekt	target.process.file.full_path
Infected_Resource	target.process.file.full_path
oldFileSize	target.src.file.size	Wird in eine Ganzzahl ohne Vorzeichen umgewandelt, wenn der Wert nicht 0 ist
oldFilePath	target.src.file.full_path	Wert direkt kopiert
oldFilePermission	target.src.resource.attribute.permissions.name	Wert direkt kopiert
filePermission	target.resource.attribute.permissions.name	Wert direkt kopiert
resource_Type_label	target.resource.attribute.labels	Zusammengeführt mit dem Schlüssel „Resource_Type“, Wert aus Resource_Type
metadata.vendor_name	metadata.vendor_name	Auf „IBM“ festlegen
metadata.product_name	metadata.product_name	Auf „MAINFRAME STORAGE“ festgelegt
`cs3Label", and "cs4Label`	`additional.fields`	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten