Infoblox-DNS-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Infoblox-DNS-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Der Parser extrahiert Felder aus Infoblox DNS SYSLOG- und CEF-formatierten Logs. Dabei werden grok und/oder kv verwendet, um den Logeintrag zu parsen. Anschließend werden diese Werte dem Unified Data Model (UDM) zugeordnet. Außerdem werden Standardmetadatenwerte für die Ereignisquelle und den Ereignistyp festgelegt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Windows Server 2016 oder höher oder Linux-Host mit systemd
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Weboberfläche von Infoblox Grid Manager

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Hinweis: Die Kundennummer ist für die Konfiguration des Bindplane-Agent-Exporters erforderlich.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

   Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Warten Sie, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

   Der Dienst sollte als active (running) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie in der Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agenten so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/chronicle_w_labels:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: 'INFOBLOX_DNS'
      raw_log_field: body
      ingestion_labels:
  
  service:
    pipelines:
      logs/source0__chronicle_w_labels-0:
        receivers:
          - udplog
        exporters:
          - chronicle/chronicle_w_labels
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • udplog: Verwenden Sie udplog für UDP-Syslog oder tcplog für TCP-Syslog.
  • 0.0.0.0: IP-Adresse, auf der gelauscht werden soll (0.0.0.0, um auf allen Schnittstellen zu lauschen)
  • 514: Portnummer, auf der gelauscht werden soll (Standard-Syslog-Port)

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • YOUR_CUSTOMER_ID: Kundennummer aus dem Abschnitt „Kundennummer abrufen“
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
  • log_type: Logtyp genau so, wie er in Chronicle angezeigt wird (INFOBLOX_DNS)

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: 'INFOBLOX_DNS'
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

• Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

  sudo systemctl restart observiq-otel-collector
  

  1. Prüfen Sie, ob der Dienst ausgeführt wird:

     sudo systemctl status observiq-otel-collector
     

  2. Prüfen Sie die Logs auf Fehler:

     sudo journalctl -u observiq-otel-collector -f
     

• Wählen Sie eine der folgenden Optionen aus, um den Bindplane-Agenten unter Windows neu zu starten:

  • Eingabeaufforderung oder PowerShell als Administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Dienstkonsole:

    1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
    2. Suchen Sie nach observIQ OpenTelemetry Collector.
    3. Rechtsklicken Sie und wählen Sie Neu starten aus.

    4. Prüfen Sie, ob der Dienst ausgeführt wird:

       sc query observiq-otel-collector
       

    5. Prüfen Sie die Logs auf Fehler:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Syslog-Weiterleitung auf Infoblox DNS konfigurieren

In diesem Abschnitt geht es um die lokale Infoblox NIOS-Lösung. Verwenden Sie für Infoblox BloxOne-Bereitstellungen (Cloud) stattdessen den folgenden Abschnitt Infoblox BloxOne (Data Connector) konfigurieren.

1. Melden Sie sich in der Weboberfläche von Infoblox Grid Manager an.
2. Gehen Sie zu Grid > Grid Manager > Members.
3. Wählen Sie das zu konfigurierende Mitglied aus und klicken Sie auf Bearbeiten.
4. Rufen Sie den Tab Monitoring auf.
5. Klicken Sie unter Syslog auf Hinzufügen, um einen neuen Syslog-Server hinzuzufügen.
6. Geben Sie die folgenden Konfigurationsdetails an:
   • Adresse: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie 514 ein.
   • Transport: Wählen Sie UDP aus.
   • Knoten-ID: Wählen Sie den Infoblox-Knoten aus (für HA-Paare).
   • Schweregrad: Wählen Sie Info (oder den gewünschten Schweregrad) aus.
   • Facility: Wählen Sie local0 (oder Ihre bevorzugte Facility) aus.
7. Aktivieren Sie die folgenden Logkategorien:
   • DNS-Abfragen: Setzen Sie unter Grid DNS Properties (Grid-DNS-Eigenschaften) > Logging ein Häkchen bei Log DNS Queries (DNS-Abfragen protokollieren).
   • DNS-Antworten: Setzen Sie ein Häkchen bei DNS-Antworten protokollieren.
   • DHCP: Aktivieren Sie das DHCP-Logging unter Grid DHCP Properties.
   • Audit: Aktivieren Sie das Audit-Logging unter Grid-Eigenschaften > Monitoring.
8. Klicken Sie auf Speichern & schließen.
9. Starten Sie den DNS-Dienst bei Bedarf neu.
10. Prüfen Sie, ob Syslog-Nachrichten gesendet werden, indem Sie die Bindplane-Agent-Logs prüfen.

Infoblox BloxOne (Data Connector) für die Weiterleitung von DNS-Logs konfigurieren

Verwenden Sie für Infoblox BloxOne-Bereitstellungen (Cloud) den Infoblox Data Connector, um DNS-Abfrage- und Antwortprotokolle als CEF über syslog an den zuvor konfigurierten Bindplane-Agent weiterzuleiten.

Hinweis: Wählen Sie CEF als Syslog-Format aus. Der Google SecOps Infoblox DNS-Parser unterstützt die Formate SYSLOG und CEF. LEEF wird nicht geparst.

1. Stellen Sie den Infoblox Data Connector bereit, falls noch nicht geschehen. Folgen Sie dazu der Anleitung Deploying the Data Connector Solution.
2. Melden Sie sich im Infoblox-Portal an.
3. Gehen Sie zu Integrationen > Daten-Connectors.
4. Wählen Sie auf dem Tab Zielkonfiguration in der Drop-down-Liste Erstellen die Option Syslog aus.
5. Geben Sie im Assistenten Syslog-Zielkonfiguration erstellen die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen Namen ein, der dieses Ziel eindeutig identifiziert (z. B. secops-bindplane).
   • Status: Aktivieren Sie das Ziel mit dem Schieberegler.
   • Format: Wählen Sie CEF aus.
   • FQDN/IP: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein.
   • Port: Geben Sie den Port ein, den Ihr Bindplane-Syslog-Empfänger überwacht (z. B. 514).
   • Protokoll: Wählen Sie das Protokoll aus, das Ihrem Bindplane-Syslog-Empfänger entspricht (UDP oder TCP).
6. Klicken Sie auf Speichern & schließen.
7. Wählen Sie den Tab Quelle aus und prüfen Sie, ob eine DNS-Abfrage und eine Antwortquelle verfügbar sind. Infoblox Threat Defense ist vorkonfiguriert und muss nicht eingerichtet werden. Konfigurieren Sie für Universal DDI- oder lokale NIOS-DNS-Quellen die Quelle zuerst hier. Folgen Sie dazu der Anleitung unter Quellen konfigurieren.
8. Wählen Sie den Tab Konfiguration des Traffic-Flusses aus, klicken Sie auf Erstellen und geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen aussagekräftigen Namen ein (z. B. dns-to-secops).
   • Quelle: Wählen Sie die Quelle für DNS-Abfragen und -Antworten aus (Infoblox Threat Defense-Abfrage-/Antwortprotokoll oder Universal DDI-DNS-Abfrage-/Antwortprotokoll).
   • Ziel: Wählen Sie das von Ihnen erstellte Syslog-Ziel aus.
   • Dienstinstanz: Wählen Sie die Data Connector-Dienstinstanz aus. Optional können Sie eine sekundäre Instanz für das Failover hinzufügen.
   • Status: Aktivieren Sie den Trafficfluss mit dem Schieberegler.
9. Klicken Sie auf Speichern & schließen.

Hinweis: Pro Data Connector wird nur ein Syslog-Traffic-Flow unterstützt. DNS-Abfrage- und Antwortdaten werden im CEF-Format exportiert, das der Google SecOps Infoblox DNS-Parser dem UDM zuordnet. Es kann einige Minuten dauern, bis Logs an den Bindplane-Agent gestreamt werden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
message	about	Zugeordnet: CEF: → about
deviceNtDomain	about.administrative_domain	Umbenannt/zugeordnet
deviceExternalId	about.asset.asset_id	Direkt zugeordnet
device_product	about.asset.asset_id	Direkt zugeordnet
device_vendor	about.asset.asset_id	Direkt zugeordnet
fileHash	about.file.full_path	Direkt zugeordnet
filePath	about.file.full_path	Umbenannt/zugeordnet
_hash	about.file.sha256	Umbenannt/zugeordnet
fileHash	about.file.sha256	Umbenannt/zugeordnet
fsize	about.file.size	Umbenannt/zugeordnet
dvchost	about.hostname	Umbenannt/zugeordnet
ips	about.ip	Zusammengeführt
message	about.ip	Zugeordnet: CEF: → ips
dvc_mac	about.mac	Zugeordnet: slot → mac_address
dvcmac	about.mac	Zusammengeführt
mac_address	about.mac	Zusammengeführt
message	about.mac	Zugeordnet: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress	about.nat_ip	Zusammengeführt
message	about.nat_ip	Zugeordnet: CEF: → deviceTranslatedAddress
Emne	about.process.command_line	Direkt zugeordnet
Path	about.process.command_line	Direkt zugeordnet
Subject	about.process.command_line	Direkt zugeordnet
deviceProcessName	about.process.command_line	Umbenannt/zugeordnet
dvcpid	about.process.pid	Umbenannt/zugeordnet
message	about.resource.attribute.permissions	Zugeordnet: CEF: → permissions
permissions	about.resource.attribute.permissions	Zusammengeführt
_field	additional.fields	Zusammengeführt
additional_cfp1	additional.fields	Zusammengeführt
additional_cfp2	additional.fields	Zusammengeführt
additional_cfp3	additional.fields	Zusammengeführt
additional_cfp4	additional.fields	Zusammengeführt
additional_cn1	additional.fields	Zusammengeführt
additional_cn2	additional.fields	Zusammengeführt
additional_cn3	additional.fields	Zusammengeführt
additional_cs1	additional.fields	Zusammengeführt
additional_cs2	additional.fields	Zusammengeführt
additional_cs3	additional.fields	Zusammengeführt
additional_cs4	additional.fields	Zusammengeführt
additional_cs5	additional.fields	Zusammengeführt
additional_cs6	additional.fields	Zusammengeführt
additional_cs7	additional.fields	Zusammengeführt
additional_devicePayloadId	additional.fields	Zusammengeführt
additional_eventId	additional.fields	Zusammengeführt
additional_flexString1	additional.fields	Zusammengeführt
additional_fname	additional.fields	Zusammengeführt
allow_recursion_label	additional.fields	Zusammengeführt
auth_type_label	additional.fields	Zusammengeführt
create_ptr_for_bulk_hosts_label	additional.fields	Zusammengeführt
create_ptr_for_hosts_label	additional.fields	Zusammengeführt
cs2	additional.fields	Zugeordnet: arc_test → additional_cs2
cs5_label	additional.fields	Zusammengeführt
ddns_principal_group_label	additional.fields	Zusammengeführt
exclude_subobj_label	additional.fields	Zusammengeführt
is_multimaster_label	additional.fields	Zusammengeführt
locked_label	additional.fields	Zusammengeführt
message	additional.fields	Zugeordnete Werte (insgesamt 34, z.B. CEF: → additional_eventId, CEF: → `additional_devicePayl...
mgm_private_label	additional.fields	Zusammengeführt
ms_ad_integrated_label	additional.fields	Zusammengeführt
network_view_label	additional.fields	Zusammengeführt
object_type	additional.fields	Zugeordnete Werte (insgesamt 12, z.B. DnsView → allow_recursion_label, DnsView → `ddns_princip...
use_ssh_keys_label	additional.fields	Zusammengeführt
view_label	additional.fields	Zusammengeführt
zone_format_label	additional.fields	Zusammengeführt
_intermediary	intermediary	Zusammengeführt
message	intermediary	Zugeordnet: CEF: → _intermediary
description	metadata.description	Direkt zugeordnet
msg	metadata.description	Umbenannt/zugeordnet
Generated	metadata.event_timestamp	Geparst als yyyy-MM-ddTHH:mm:ss
Received	metadata.event_timestamp	Geparst als yyyy-MM-ddTHH:mm:ss
datetime	metadata.event_timestamp	Geparst als dd-MMM-yyyy HH:mm:ss.SSS
rt	metadata.event_timestamp	Geparst als yyyy-MM-ddTHH:mm:ssZ
syslog_timestamp	metadata.event_timestamp	Geparst als MMM d HH:mm:ss
event_name	metadata.event_type	Zugeordnet: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
event_type	metadata.event_type	Umbenannt/zugeordnet
has_user	metadata.event_type	Zugeordnet: true → USER_UNCATEGORIZED
message	metadata.event_type	Zugeordnet: CEF: → PROCESS_UNCATEGORIZED, CEF: → SCAN_UNCATEGORIZED, CEF: → `USER_UNCA...
device_event_class_id	metadata.product_event_type	Direkt zugeordnet
event_name	metadata.product_event_type	Direkt zugeordnet
evt_type	metadata.product_event_type	Direkt zugeordnet
object_type	metadata.product_event_type	Direkt zugeordnet
externalId	metadata.product_log_id	Direkt zugeordnet
device_product	metadata.product_name	Direkt zugeordnet
message	metadata.product_name	Zugeordnet: CEF: → Infoblox DNS
device_version	metadata.product_version	Direkt zugeordnet
device_vendor	metadata.vendor_name	Umbenannt/zugeordnet
message	metadata.vendor_name	Zugeordnet: CEF: → INFOBLOX
app_protocol_output	network.application_protocol	Direkt zugeordnet
message	network.application_protocol	Zugeordnet: CEF: → DNS
deviceDirection	network.direction	Zugeordnet: 0 → INBOUND, 1 → OUTBOUND
message	network.direction	Zugeordnet: CEF: → INBOUND, CEF: → OUTBOUND
answers1	network.dns.answers	Zusammengeführt
answers2	network.dns.answers	Zusammengeführt
dns_answer	network.dns.answers	Zusammengeführt
message	network.dns.answers	Zugeordnet: CEF: → dns_answer, CEF: → answers1, CEF: → answers2
msg2	network.dns.answers	Zugeordnet: ; → dns_answer
authority	network.dns.authority	Zusammengeführt
dns_authority	network.dns.authority	Zusammengeführt
message	network.dns.authority	Zugeordnet: CEF: → dns_authority, CEF: → authority
dns_question	network.dns.questions	Zusammengeführt
message	network.dns.questions	Zugeordnet: CEF: → dns_question
dns.response_code	network.dns.response_code	Umbenannt/zugeordnet
requestMethod	network.http.method	Umbenannt/zugeordnet
requestClientApplication	network.http.user_agent	Umbenannt/zugeordnet
ip_protocol_out	network.ip_protocol	Direkt zugeordnet
protocol	network.ip_protocol	Direkt zugeordnet
in	network.received_bytes	Umbenannt/zugeordnet
out	network.sent_bytes	Umbenannt/zugeordnet
sntdom	principal.administrative_domain	Umbenannt/zugeordnet
sourceServiceName	principal.application	Umbenannt/zugeordnet
src_host	principal.asset.hostname	Direkt zugeordnet
src_ip	principal.asset.hostname	Direkt zugeordnet
message	principal.asset.ip	Zugeordnet: CEF: → src_ip
src_ip	principal.asset.ip	Zusammengeführt
Group_name	principal.group.group_display_name	Direkt zugeordnet
Gruppenavn	principal.group.group_display_name	Direkt zugeordnet
Device_name	principal.hostname	Direkt zugeordnet
Enhetsnavn	principal.hostname	Direkt zugeordnet
shost	principal.hostname	Umbenannt/zugeordnet
src_host	principal.hostname	Direkt zugeordnet
src_ip	principal.hostname	Direkt zugeordnet
message	principal.ip	Zugeordnet: CEF: → principal_ip, CEF: → shost, CEF: → src_ip
principal_ip	principal.ip	Zusammengeführt
shost	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
InfobloxB1Region	principal.location.country_or_region	Direkt zugeordnet
mac	principal.mac	Zusammengeführt
message	principal.mac	Zugeordnet: CEF: → mac
message	principal.nat_ip	Zugeordnet: CEF: → sourceTranslatedAddress
sourceTranslatedAddress	principal.nat_ip	Zusammengeführt
sourceTranslatedPort	principal.nat_port	Umbenannt/zugeordnet
spt	principal.port	Umbenannt/zugeordnet
src_port	principal.port	Direkt zugeordnet
sproc	principal.process.command_line	Umbenannt/zugeordnet
spid	principal.process.pid	Umbenannt/zugeordnet
message	principal.user.attribute.roles	Zugeordnet: CEF: → principal_role
principal_role	principal.user.attribute.roles	Zusammengeführt
suser	principal.user.user_display_name	Direkt zugeordnet
actor_details	principal.user.userid	Direkt zugeordnet
suid	principal.user.userid	Umbenannt/zugeordnet
message	security_result	Zugeordnet: CEF: → security_result, CEF: → sec_result
sec_result	security_result	Zusammengeführt
_action	security_result.action	Zusammengeführt
act	security_result.action	Zugeordnet: accept → _action, deny → _action
message	security_result.action	Zugeordnet: CEF: → _action
Action_Taken	security_result.action_details	Direkt zugeordnet
act	security_result.action_details	Direkt zugeordnet
cat	security_result.category_details	Zusammengeführt
message	security_result.category_details	Zugeordnet: CEF: → cat
Scan_Type	security_result.description	Direkt zugeordnet
Type	security_result.description	Direkt zugeordnet
msg_data_2	security_result.description	Direkt zugeordnet
infection_channel_label	security_result.detection_fields	Zusammengeführt
message	security_result.detection_fields	Zugeordnete Werte (insgesamt 7, z.B. CEF: → operation_label, CEF: → operasjon_label, CEF: ...
operasjon_label	security_result.detection_fields	Zusammengeführt
operation_label	security_result.detection_fields	Zusammengeführt
permission_label	security_result.detection_fields	Zusammengeführt
spyware_Grayware_Type_label	security_result.detection_fields	Zusammengeführt
threat_probability_label	security_result.detection_fields	Zusammengeführt
tillatelse_label	security_result.detection_fields	Zusammengeführt
mwProfile	security_result.rule_name	Direkt zugeordnet
message	security_result.severity	Zugeordnet: CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH, CEF: → CRITICAL
severity	security_result.severity	Zugeordnet: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...
Result	security_result.summary	Direkt zugeordnet
appcategory	security_result.summary	Direkt zugeordnet
reason	security_result.summary	Umbenannt/zugeordnet
Spyware	security_result.threat_name	Direkt zugeordnet
Unknown_Threat	security_result.threat_name	Direkt zugeordnet
Virus_Malware_Name	security_result.threat_name	Direkt zugeordnet
oldFilePath	src.file.full_path	Umbenannt/zugeordnet
oldFileSize	src.file.size	Umbenannt/zugeordnet
message	src.resource.attribute.permissions	Zugeordnet: CEF: → old_permissions
old_permissions	src.resource.attribute.permissions	Zusammengeführt
dntdom	target.administrative_domain	Umbenannt/zugeordnet
destinationServiceName	target.application	Umbenannt/zugeordnet
dst_ip	target.asset.hostname	Direkt zugeordnet
dst_ip1	target.asset.hostname	Direkt zugeordnet
dst_ip1	target.asset.ip	Zusammengeführt
message	target.asset.ip	Zugeordnet: CEF: → dst_ip1
message	target.asset.mac	Zugeordnet: CEF: → target_mac
target_mac	target.asset.mac	Zugeordnet: ^([0-9A-Fa-f]{2}[:-]){5}[0-9A-Fa-f]{2}$ → target_mac
dst_ip	target.hostname	Direkt zugeordnet
dst_ip1	target.hostname	Direkt zugeordnet
fqdn	target.hostname	Direkt zugeordnet
temp_dhost	target.hostname	Direkt zugeordnet
IPv6_Address	target.ip	Zusammengeführt
dst_ip	target.ip	Zusammengeführt
dst_ip1	target.ip	Zusammengeführt
ipv6	target.ip	Zugeordnet: - → IPv6_Address
message	target.ip	Zugeordnet: CEF: → dst_ip, CEF: → IPv6_Address, CEF: → dst_ip1
mac_address	target.mac	Zusammengeführt
message	target.mac	Zugeordnet: CEF: → mac_address, CEF: → target_mac
target_mac	target.mac	Zugeordnet: ^([0-9A-Fa-f]{2}[:-]){5}[0-9A-Fa-f]{2}$ → target_mac
destination_translated_address	target.nat_ip	Zusammengeführt
message	target.nat_ip	Zugeordnet: CEF: → destination_translated_address
destinationTranslatedPort	target.nat_port	Umbenannt/zugeordnet
dpt	target.port	Umbenannt/zugeordnet
dst_port	target.port	Direkt zugeordnet
dproc	target.process.command_line	Umbenannt/zugeordnet
File_name	target.process.file.full_path	Direkt zugeordnet
Infected_Resource	target.process.file.full_path	Direkt zugeordnet
Object	target.process.file.full_path	Direkt zugeordnet
Objekt	target.process.file.full_path	Direkt zugeordnet
dpid	target.process.pid	Umbenannt/zugeordnet
message	target.resource.attribute.labels	Zugeordnet: CEF: → resource_Type_label
resource_Type_label	target.resource.attribute.labels	Zusammengeführt
name	target.resource.name	Direkt zugeordnet
object_name	target.resource.name	Direkt zugeordnet
request	target.url	Direkt zugeordnet
message	target.user.attribute.roles	Zugeordnet: CEF: → target_role
target_role	target.user.attribute.roles	Zusammengeführt
group_id	target.user.group_identifiers	Zusammengeführt
message	target.user.group_identifiers	Zugeordnet: CEF: → group_id
object_type	target.user.group_identifiers	Zugeordnet: AdminMember → group_id
CustomerName	target.user.user_display_name	Direkt zugeordnet
name	target.user.user_display_name	Umbenannt/zugeordnet
temp_duser	target.user.user_display_name	Direkt zugeordnet
Bruker	target.user.userid	Direkt zugeordnet
User_value	target.user.userid	Direkt zugeordnet
object_name	target.user.userid	Direkt zugeordnet
temp_duid	target.user.userid	Direkt zugeordnet
–	metadata.event_type	Konstante: PROCESS_UNCATEGORIZED
–	metadata.product_name	Konstante: Infoblox DNS
–	metadata.vendor_name	Konstante: INFOBLOX
–	network.application_protocol	Konstante: DNS
–	network.direction	Konstante: INBOUND
–	security_result.severity	Konstante: LOW
dns_domain	dns.answers.name	Aus Änderungsprotokoll zugeordnet
ttl_data	dns.answers.ttl	Aus Änderungsprotokoll zugeordnet
dns_query_type	dns.answer.type	Aus Änderungsprotokoll zugeordnet
dns_class	dns.answer.class	Aus Änderungsprotokoll zugeordnet
intermediary_ip" or "intermediary_host	dns.answer.data	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten