Logs der Juniper SRX-Firewall erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Juniper SRX Series Firewall-Logs mit Bindplane in Google Security Operations aufnehmen.

Firewalls der Juniper SRX-Serie sind leistungsstarke Netzwerksicherheitsgeräte, die Funktionen einer Firewall der nächsten Generation (NGFW) bieten, darunter Stateful Inspection, Einbruchserkennung und -prävention (IDP), Anwendungssicherheit und VPN. SRX-Firewalls generieren Syslog-Meldungen für Traffic-, Sicherheits-, System- und Sitzungsereignisse, die zur zentralen Sicherheitsüberwachung an externe SIEM-Plattformen weitergeleitet werden können.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Windows Server 2016 oder höher oder Linux-Host mit systemd.
• Netzwerkverbindung zwischen dem Bindplane-Agent und der Juniper SRX-Firewall.
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Juniper SRX-Firewall (Zugriff auf Root- oder Superuser-Ebene über J-Web oder CLI).

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, damit der Pfad mit dem Pfad übereinstimmt, in dem Sie die Datei speichern.
12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der Legacy Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sc query observiq-otel-collector
   

Der Dienst sollte als RUNNING angezeigt werden.

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. Warte, bis die Installation abgeschlossen ist.

4. Überprüfen Sie die Installation mit folgendem Befehl:

   sudo systemctl status observiq-otel-collector
   

Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.

Zusätzliche Installationsressourcen

Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsanleitung für den Bindplane-Agenten.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, aktualisieren Sie den Collector, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

Konfigurationsdatei suchen

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Konfigurationsdatei bearbeiten

• Ersetzen Sie den gesamten Inhalt von config.yaml durch die folgende Konfiguration:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/juniper_firewall:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'your-customer-id-here'
      endpoint: chronicle.googleapis.com
      log_type: JUNIPER_FIREWALL
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/juniper_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/juniper_firewall
  

Konfigurationsparameter

Ersetzen Sie die folgenden Platzhalter:

• Empfängerkonfiguration:

  • listen_address: IP-Adresse und Port, auf dem gelauscht werden soll. Verwenden Sie 0.0.0.0, um alle Schnittstellen abzuhören. Port 514 ist der Standard-Syslog-Port (erfordert Root-Berechtigungen unter Linux). Verwenden Sie 1514 für Deployments, die nicht im Stammverzeichnis erfolgen.

• Exporter-Konfiguration:

  • creds_file_path: Vollständiger Pfad zur JSON-Schlüsseldatei des Dienstkontos (Option 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: Ihre Google SecOps-Kundennummer.
  • location: Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporteur stellt diesem Wert das Präfix chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
  • project: Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM & Verwaltung > Einstellungen.
  • endpoint: Behalten Sie die Einstellung chronicle.googleapis.com bei.
  • ingestion_labels: Optionale Labels im YAML-Format (z. B. env: production).

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/juniper_firewall:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'your-customer-id-here'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: JUNIPER_FIREWALL
      raw_log_field: body
      ingestion_labels:
        env: production
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Konfigurationsdatei speichern

• Speichern Sie die Datei nach der Bearbeitung:
  • Linux: Drücken Sie Ctrl+O, dann Enter und dann Ctrl+X.
  • Windows: Klicken Sie auf Datei > Speichern.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

So starten Sie den Bindplane-Agenten unter Linux neu:

1. Führen Sie dazu diesen Befehl aus:

   sudo systemctl restart observiq-otel-collector
   

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sudo systemctl status observiq-otel-collector
   

3. Logs auf Fehler prüfen:

   sudo journalctl -u observiq-otel-collector -f
   

So starten Sie den Bindplane-Agent unter Windows neu:

1. Wählen Sie eine der folgenden Optionen aus:

   • Eingabeaufforderung oder PowerShell als Administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Services Console:
     1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
     2. Suchen Sie nach observIQ OpenTelemetry Collector.
     3. Rechtsklicken Sie und wählen Sie Neu starten aus.

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sc query observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Syslog-Weiterleitung für Juniper SRX konfigurieren

Konfigurieren Sie die Juniper SRX-Firewall so, dass Syslog-Nachrichten an den Bindplane-Agenten weitergeleitet werden.

J-Web-Schnittstelle verwenden

1. Melden Sie sich in der Juniper SRX J-Web-Oberfläche an.
2. Gehen Sie zu Konfigurieren > Systemeigenschaften > Syslog.
3. Klicken Sie im Bereich Host auf Hinzufügen, um einen neuen Syslog-Server hinzuzufügen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Hostname: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein, z. B. 192.168.1.100.
   • Port: Geben Sie 514 ein (oder den im Bindplane-Agenten konfigurierten Port).
   • Logpräfix: Optionales Präfix für Logmeldungen.
   • Facility: Wählen Sie die Facility- und Schweregrade aus, die weitergeleitet werden sollen:
     • Beliebig: Wählen Sie den Schweregrad Info oder höher aus.
5. Geben Sie im Feld Quelladresse die IP-Adresse der SRX-Verwaltungsschnittstelle ein (optional, aber für eine konsistente Quellidentifizierung empfohlen).
6. Klicken Sie zum Speichern auf OK.
7. Klicken Sie auf Commit, um die Konfiguration anzuwenden.

Junos-Befehlszeile verwenden

1. Stellen Sie über SSH oder die Konsole eine Verbindung zum Juniper SRX her.

2. Rufen Sie den Konfigurationsmodus auf:

   configure
   

3. Konfigurieren Sie den Syslog-Host:

   set system syslog host BINDPLANE_IP any info
   set system syslog host BINDPLANE_IP port 514
   set system syslog host BINDPLANE_IP source-address SRX_MGMT_IP
   set system syslog host BINDPLANE_IP structured-data
   

   Ersetzen Sie:

   • BINDPLANE_IP: IP-Adresse des Bindplane-Agent-Hosts.
   • SRX_MGMT_IP: Verwaltungs-IP-Adresse der SRX-Firewall.

4. Konfigurieren Sie das Streaming von Sicherheitslogs (für Traffic- und Sitzungslogs):

   set security log mode stream
   set security log source-address SRX_MGMT_IP
   set security log stream chronicle-stream host BINDPLANE_IP
   set security log stream chronicle-stream port 514
   set security log stream chronicle-stream transport protocol udp
   set security log stream chronicle-stream format sd-syslog
   set security log stream chronicle-stream severity info
   set security log stream chronicle-stream category all
   

   Ersetzen Sie:

   • BINDPLANE_IP: IP-Adresse des Bindplane-Agent-Hosts.
   • SRX_MGMT_IP: Verwaltungs-IP-Adresse der SRX-Firewall.

5. Übernehmen Sie die Konfiguration:

   commit
   

6. Syslog-Konfiguration prüfen:

   show system syslog
   show security log
   

Bestimmte Logkategorien konfigurieren

• Wenn Sie bestimmte Logtypen weiterleiten möchten, konfigurieren Sie einzelne Einrichtungen:

  set system syslog host BINDPLANE_IP firewall any
  set system syslog host BINDPLANE_IP authorization info
  set system syslog host BINDPLANE_IP daemon info
  set system syslog host BINDPLANE_IP kernel info
  set system syslog host BINDPLANE_IP interactive-commands info
  

Ersetzen Sie BINDPLANE_IP durch die IP-Adresse des Bindplane-Agent-Hosts.

Syslog-Weiterleitung prüfen

1. Führen Sie auf der SRX den folgenden Befehl aus, um aktive Syslog-Ziele aufzurufen:

   show system syslog
   

2. Generieren Sie Test-Traffic über die Firewall und prüfen Sie, ob Logs in den Bindplane-Agent-Logs angezeigt werden.

Weitere Informationen finden Sie in der Dokumentation zur Juniper SRX-Serie.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
source-address	event.idm.read_only_udm.principal.ip	Wert aus source-address.
source-port	event.idm.read_only_udm.principal.port	Wert aus source-port, der in eine Ganzzahl konvertiert wurde.
destination-address	event.idm.read_only_udm.target.ip	Wert aus destination-address.
destination-port	event.idm.read_only_udm.target.port	Wert aus destination-port, der in eine Ganzzahl konvertiert wurde.
protocol-id	event.idm.read_only_udm.network.ip_protocol	Wird von der Protokollnummer zum Namen zugeordnet (6=TCP, 17=UDP, 1=ICMP).
policy-name	event.idm.read_only_udm.security_result.rule_name	Wert aus policy-name.
source-zone-name	event.idm.read_only_udm.additional.fields	Wert aus source-zone-name entnommen und mit dem Schlüssel source-zone-name hinzugefügt.
destination-zone-name	event.idm.read_only_udm.additional.fields	Wert aus destination-zone-name entnommen und mit dem Schlüssel destination-zone-name hinzugefügt.
service-name	event.idm.read_only_udm.target.application	Wert aus service-name.
application	event.idm.read_only_udm.target.application	Wert aus application (wenn service-name nicht vorhanden ist).
nat-source-address	event.idm.read_only_udm.principal.nat_ip	Wert aus nat-source-address.
nat-source-port	event.idm.read_only_udm.principal.nat_port	Wert aus nat-source-port, der in eine Ganzzahl konvertiert wurde.
nat-destination-address	event.idm.read_only_udm.target.nat_ip	Wert aus nat-destination-address.
nat-destination-port	event.idm.read_only_udm.target.nat_port	Wert aus nat-destination-port übernommen und in Ganzzahl konvertiert.
bytes-from-client	event.idm.read_only_udm.network.sent_bytes	Wert aus bytes-from-client übernommen und in eine vorzeichenlose Ganzzahl konvertiert.
bytes-from-server	event.idm.read_only_udm.network.received_bytes	Wert aus bytes-from-server, der in eine vorzeichenlose Ganzzahl konvertiert wurde.
packets-from-client	event.idm.read_only_udm.additional.fields	Wert aus packets-from-client übernommen und mit dem Schlüssel packets-from-client hinzugefügt.
packets-from-server	event.idm.read_only_udm.additional.fields	Wert aus packets-from-server entnommen und mit dem Schlüssel packets-from-server hinzugefügt.
elapsed-time	event.idm.read_only_udm.additional.fields	Wert aus elapsed-time entnommen und mit dem Schlüssel elapsed-time hinzugefügt.
username	event.idm.read_only_udm.principal.user.userid	Wert aus username.
reason	event.idm.read_only_udm.security_result.description	Wert aus reason.
action	event.idm.read_only_udm.security_result.action	Wenn action gleich accept oder permit ist, wird ALLOW festgelegt. Wenn action deny, drop, reject oder close ist, legen Sie BLOCK fest.
hostname	event.idm.read_only_udm.principal.hostname	Wert aus dem Syslog-Feld „hostname“.
attack-name	event.idm.read_only_udm.security_result.threat_name	Wert aus attack-name (IDP-Ereignisse).
severity	event.idm.read_only_udm.security_result.severity	Zugeordnet vom Schweregrad-String: info zu INFORMATIONAL, warning zu MEDIUM, error oder major zu ERROR, critical zu CRITICAL.
	event.idm.read_only_udm.metadata.vendor_name	Legen Sie Juniper Networks fest.
	event.idm.read_only_udm.metadata.product_name	Legen Sie SRX Series Firewall fest.
source-zone	event.idm.read_only_udm.principal.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
destination-zone	event.idm.read_only_udm.target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
REASON	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
PROFILE	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
host	event.idm.read_only_udm.intermediary.hostname und event.idm.read_only_udm.intermediary.asset.hostname	Aus Änderungsprotokoll zugeordnet
pid	event.idm.read_only_udm.intermediary.process.pid	Aus Änderungsprotokoll zugeordnet
ppid	event.idm.read_only_udm.intermediary.process.product_specific_process_id	Aus Änderungsprotokoll zugeordnet
CATEGORY	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
type	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
URL	event.idm.read_only_udm.target.url	Aus Änderungsprotokoll zugeordnet
src_value_zone	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
destinationzone	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
NESTED-APPLICATION	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
protocol_value	event.idm.read_only_udm.network.ip_protocol	Aus Änderungsprotokoll zugeordnet
SESSIONID	event.idm.read_only_udm.network.session_id	Aus Änderungsprotokoll zugeordnet
application_value	event.idm.read_only_udm.principal.application	Aus Änderungsprotokoll zugeordnet
src_address	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
src_mac	event.idm.read_only_udm.principal.mac und event.idm.read_only_udm.principal.asset.mac	Aus Änderungsprotokoll zugeordnet
nat_src_address	event.idm.read_only_udm.principal.nat_ip und event.idm.read_only_udm.principal.asset.nat_ip	Aus Änderungsprotokoll zugeordnet
nat_src_value_port	event.idm.read_only_udm.principal.nat_port	Aus Änderungsprotokoll zugeordnet
src_value_port	event.idm.read_only_udm.principal.port	Aus Änderungsprotokoll zugeordnet
roles_names	event.idm.read_only_udm.principal.user.attribute.roles.name	Aus Änderungsprotokoll zugeordnet
interface	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
eth_type	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
direction	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
packet_info	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
packets_info	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
src_rule_type	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
src_rule_name	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
srv_name	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
srcpolicyname	event.idm.read_only_udm.security_result.rule_name	Aus Änderungsprotokoll zugeordnet
dest_address	event.idm.read_only_udm.target.ip und event.idm.read_only_udm.target.asset.ip	Aus Änderungsprotokoll zugeordnet
dst_mac	event.idm.read_only_udm.target.mac und event.idm.read_only_udm.target.asset.mac	Aus Änderungsprotokoll zugeordnet
nat_dest_address	event.idm.read_only_udm.target.nat_ip und event.idm.read_only_udm.target.asset.nat_ip	Aus Änderungsprotokoll zugeordnet
nat_dest_port	event.idm.read_only_udm.target.nat_port	Aus Änderungsprotokoll zugeordnet
dest_port	event.idm.read_only_udm.target.port	Aus Änderungsprotokoll zugeordnet
target_user_name	event.idm.read_only_udm.target.user.userid	Aus Änderungsprotokoll zugeordnet
user_value	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
RTLOG	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
RT	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
WEBFILTER	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
SNMPD	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
FLOW	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
DH	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
PKID	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
BGP	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
SNMP	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
RPD	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
JTASK	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
KMD	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
APPIDD	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
IFINFO	event.idm.ready_only_udm.metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
sec_desc	security_result.description	Aus Änderungsprotokoll zugeordnet
processid	target.process.id	Aus Änderungsprotokoll zugeordnet
TSr" and "TSi	additional.fields	Aus Änderungsprotokoll zugeordnet
fw	intermediary.ip	Aus Änderungsprotokoll zugeordnet
msg1	security_result.summary	Aus Änderungsprotokoll zugeordnet
desc	metadata.description	Aus Änderungsprotokoll zugeordnet
local_ip	principal.ip	Aus Änderungsprotokoll zugeordnet
remote_ip	target.ip	Aus Änderungsprotokoll zugeordnet
app	principal.application	Aus Änderungsprotokoll zugeordnet
pid	principal.process.pid	Aus Änderungsprotokoll zugeordnet
event_title	metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
event_message	metadata.description	Aus Änderungsprotokoll zugeordnet
Local-ip	principal.ip	Aus Änderungsprotokoll zugeordnet
Gateway_Name", "vpn", "tunnel_id", "tunnel_if", "Local_IKE_ID", "Remote_IKE_ID", "AAA_username", "VR_id", "Traffic_selector", "Traffic_selector_Remote_ID", "Traffic_selector_local_ID", "SA_Type", "Reason", "threshold", "time-period", and "error-message_data	observer.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
target_ip	target.ip	Aus Änderungsprotokoll zugeordnet
principal_host	principal.hostname	Aus Änderungsprotokoll zugeordnet
user_id	target.user.userid	Aus Änderungsprotokoll zugeordnet
file_path	target.file.full_path	Aus Änderungsprotokoll zugeordnet
pid_2	target.process.pid	Aus Änderungsprotokoll zugeordnet
server_ip	target.ip	Aus Änderungsprotokoll zugeordnet
event_time	metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
ACTION	security_result.action_details	Aus Änderungsprotokoll zugeordnet
SESSION_ID	network.session_id	Aus Änderungsprotokoll zugeordnet
APPLICATION	principal.application	Aus Änderungsprotokoll zugeordnet
pingCtlOwnerIndex", "pingCtlTestName", "usp_lsys_max_num_rpd", "usp_lsys_max_num", "urlcategory_risk", "application_sub_category", "source-zone", "destination-zone", "NESTED-APPLICATION", "CATEGORY", "REASON", "PROFILE", "source_rule", "retrans_timer" and "arp_unicast_mode	additional.fields	Aus Änderungsprotokoll zugeordnet
time	metadata.event_timestamp	Aus Änderungsprotokoll zugeordnet
ident	target.application	Aus Änderungsprotokoll zugeordnet
pid	target.process.pid	Aus Änderungsprotokoll zugeordnet
internal-protocol	network.ip_protocol	Aus Änderungsprotokoll zugeordnet
state	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
internal-ip	principal.ip	Aus Änderungsprotokoll zugeordnet
reflexive-ip	target.ip	Aus Änderungsprotokoll zugeordnet
internal-port	principle.port	Aus Änderungsprotokoll zugeordnet
reflexive-port	target.port	Aus Änderungsprotokoll zugeordnet
local-address	principal.ip	Aus Änderungsprotokoll zugeordnet
remote-address	target.ip	Aus Änderungsprotokoll zugeordnet
dns-server-address	principal.ip	Aus Änderungsprotokoll zugeordnet
domain-name	principal.administrative_domain	Aus Änderungsprotokoll zugeordnet
argument1	network.direction	Aus Änderungsprotokoll zugeordnet
test-owner	additional.fields	Aus Änderungsprotokoll zugeordnet
local-initiator	additional.fields	Aus Änderungsprotokoll zugeordnet
test-name	additional.fields	Aus Änderungsprotokoll zugeordnet
SPI	additional.fields	Aus Änderungsprotokoll zugeordnet
AUX-SPI	additional.fields	Aus Änderungsprotokoll zugeordnet
Type	additional.fields	Aus Änderungsprotokoll zugeordnet
error-message	security_result.summary	Aus Änderungsprotokoll zugeordnet
rcvd	network.received_bytes	Aus Änderungsprotokoll zugeordnet
rule-name	security_result.rule_id	Aus Änderungsprotokoll zugeordnet
rulebase-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
export-id	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
repeat-count	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
packet-log-id	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
alert	is_alert	Aus Änderungsprotokoll zugeordnet
outbound-packets	network.sent_packets	Aus Änderungsprotokoll zugeordnet
inbound-packets	network.received_packets	Aus Änderungsprotokoll zugeordnet
outbound-bytes	network.sent_bytes	Aus Änderungsprotokoll zugeordnet
inbound-bytes	network.received_bytes	Aus Änderungsprotokoll zugeordnet
application-characteristics	security_result.summary	Aus Änderungsprotokoll zugeordnet
application-risk	security_result.severity_details	Aus Änderungsprotokoll zugeordnet
application-category	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
application-sub-category	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
dst-nat-rule-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
dst-nat-rule-type	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
src-nat-rule-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
src-nat-rule-type	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
encrypted	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
nested-application	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
packet-incoming-interface	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
session-id-32	network.session_id	Aus Änderungsprotokoll zugeordnet
packets-from-client	network.sent_packets	Aus Änderungsprotokoll zugeordnet
packets-from-server	network.received_packets	Aus Änderungsprotokoll zugeordnet
elapsed-time	network.session_duration.seconds	Aus Änderungsprotokoll zugeordnet
source-destination-address	principal.nat_ip	Aus Änderungsprotokoll zugeordnet
source-destination-port	principal.nat_port	Aus Änderungsprotokoll zugeordnet
msg_data	security_result.description	Aus Änderungsprotokoll zugeordnet
threat-severity	security_result.severity	Aus Änderungsprotokoll zugeordnet
app_name	target.application	Aus Änderungsprotokoll zugeordnet
command	target.process.command_line	Aus Änderungsprotokoll zugeordnet
action	security_result.action_details	Aus Änderungsprotokoll zugeordnet
sec_description	security_result.description	Aus Änderungsprotokoll zugeordnet
application-name	network.application_protocol	Aus Änderungsprotokoll zugeordnet
subtype	metadata.product_event_type	Aus Änderungsprotokoll zugeordnet
source-interface-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
destination-interface-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
source-zone-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
destination-zone-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
service-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
application-name	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten