Collecter les journaux du pare-feu Juniper SRX Series

Compatible avec :

Ce document explique comment ingérer les journaux du pare-feu Juniper SRX Series dans Google Security Operations à l'aide de Bindplane.

Les pare-feu Juniper SRX sont des dispositifs de sécurité réseau hautes performances qui offrent des fonctionnalités de pare-feu nouvelle génération (NGFW), y compris l'inspection avec état, la détection et la prévention des intrusions (IDP), la sécurité des applications et le VPN. Les pare-feu SRX génèrent des messages syslog pour les événements liés au trafic, à la sécurité, au système et aux sessions. Ces messages peuvent être transférés vers des plates-formes SIEM externes pour une surveillance centralisée de la sécurité.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps.
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd.
  • Connectivité réseau entre l'agent BindPlane et le pare-feu Juniper SRX.
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié au pare-feu Juniper SRX (accès de niveau racine ou super-utilisateur via J-Web ou la CLI).

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM > Profil.
  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

Le service doit être indiqué comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour obtenir des options d'installation et de dépannage supplémentaires, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/juniper_firewall:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: chronicle.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/juniper_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/juniper_firewall

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port à écouter. Utilisez 0.0.0.0 pour écouter sur toutes les interfaces. Le port 514 est le port syslog standard (nécessite des droits racine sous Linux). Utilisez 1514 pour les déploiements non racine.

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client Google SecOps.
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.
    • ingestion_labels : libellés facultatifs au format YAML (par exemple, env: production).

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/juniper_firewall:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
      env: production

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog Juniper SRX

Configurez le pare-feu Juniper SRX pour qu'il transfère les messages syslog à l'agent Bindplane.

Utiliser l'interface J-Web

  1. Connectez-vous à l'interface J-Web de Juniper SRX.
  2. Accédez à Configurer> Propriétés du système > Syslog.
  3. Cliquez sur Ajouter sous la section Hôte pour ajouter un serveur syslog.
  4. Fournissez les informations de configuration suivantes :
    • Nom d'hôte : saisissez l'adresse IP de l'hôte de l'agent BindPlane (par exemple, 192.168.1.100).
    • Port : saisissez 514 (ou le port configuré dans l'agent Bindplane).
    • Préfixe du journal : préfixe facultatif pour les messages de journal.
    • Établissement : sélectionnez l'établissement et les niveaux de gravité à transférer :
      • any : sélectionnez le niveau de gravité info ou supérieur.
  5. Dans le champ Source address (Adresse source), saisissez l'adresse IP de l'interface de gestion SRX (facultatif, mais recommandé pour une identification cohérente de la source).
  6. Cliquez sur OK pour enregistrer.
  7. Cliquez sur Commit (Valider) pour appliquer la configuration.

Utiliser la CLI Junos

  1. Connectez-vous au Juniper SRX via SSH ou la console.

  2. Passez en mode configuration :

    configure

  3. Configurez l'hôte syslog :

    set system syslog host BINDPLANE_IP any info
set system syslog host BINDPLANE_IP port 514
set system syslog host BINDPLANE_IP source-address SRX_MGMT_IP
set system syslog host BINDPLANE_IP structured-data

    Remplacez :

    • BINDPLANE_IP : adresse IP de l'hôte de l'agent BindPlane.
    • SRX_MGMT_IP : adresse IP de gestion du pare-feu SRX.

  4. Configurez le streaming des journaux de sécurité (pour les journaux de trafic et de session) :

    set security log mode stream
set security log source-address SRX_MGMT_IP
set security log stream chronicle-stream host BINDPLANE_IP
set security log stream chronicle-stream port 514
set security log stream chronicle-stream transport protocol udp
set security log stream chronicle-stream format sd-syslog
set security log stream chronicle-stream severity info
set security log stream chronicle-stream category all

    Remplacez :

    • BINDPLANE_IP : adresse IP de l'hôte de l'agent BindPlane.
    • SRX_MGMT_IP : adresse IP de gestion du pare-feu SRX.

  5. Validez la configuration :

    commit

  6. Vérifiez la configuration de syslog :

    show system syslog
show security log

Configurer des catégories de journaux spécifiques

  • Pour transférer des types de journaux spécifiques, configurez des installations individuelles :

    set system syslog host BINDPLANE_IP firewall any
set system syslog host BINDPLANE_IP authorization info
set system syslog host BINDPLANE_IP daemon info
set system syslog host BINDPLANE_IP kernel info
set system syslog host BINDPLANE_IP interactive-commands info

Remplacez BINDPLANE_IP par l'adresse IP de l'hôte de l'agent BindPlane.

Vérifier le transfert syslog

  1. Sur le SRX, exécutez la commande suivante pour afficher les destinations syslog actives :

    show system syslog

  2. Générez du trafic de test via le pare-feu et vérifiez que les journaux s'affichent dans les journaux de l'agent Bindplane.

Pour en savoir plus, consultez la documentation sur la série Juniper SRX.

Table de mappage UDM

Champ de journal Mappage UDM Logique
source-address event.idm.read_only_udm.principal.ip Valeur extraite de source-address.
source-port event.idm.read_only_udm.principal.port Valeur extraite de source-port et convertie en entier.
destination-address event.idm.read_only_udm.target.ip Valeur extraite de destination-address.
destination-port event.idm.read_only_udm.target.port Valeur extraite de destination-port et convertie en entier.
protocol-id event.idm.read_only_udm.network.ip_protocol Mappé du numéro de protocole au nom (6=TCP, 17=UDP, 1=ICMP).
policy-name event.idm.read_only_udm.security_result.rule_name Valeur extraite de policy-name.
source-zone-name event.idm.read_only_udm.additional.fields Valeur extraite de source-zone-name et ajoutée avec la clé source-zone-name.
destination-zone-name event.idm.read_only_udm.additional.fields Valeur extraite de destination-zone-name et ajoutée avec la clé destination-zone-name.
service-name event.idm.read_only_udm.target.application Valeur extraite de service-name.
application event.idm.read_only_udm.target.application Valeur extraite de application (si service-name n'est pas présent).
nat-source-address event.idm.read_only_udm.principal.nat_ip Valeur extraite de nat-source-address.
nat-source-port event.idm.read_only_udm.principal.nat_port Valeur extraite de nat-source-port et convertie en entier.
nat-destination-address event.idm.read_only_udm.target.nat_ip Valeur extraite de nat-destination-address.
nat-destination-port event.idm.read_only_udm.target.nat_port Valeur extraite de nat-destination-port et convertie en entier.
bytes-from-client event.idm.read_only_udm.network.sent_bytes Valeur extraite de bytes-from-client et convertie en entier non signé.
bytes-from-server event.idm.read_only_udm.network.received_bytes Valeur extraite de bytes-from-server et convertie en entier non signé.
packets-from-client event.idm.read_only_udm.additional.fields Valeur extraite de packets-from-client et ajoutée avec la clé packets-from-client.
packets-from-server event.idm.read_only_udm.additional.fields Valeur extraite de packets-from-server et ajoutée avec la clé packets-from-server.
elapsed-time event.idm.read_only_udm.additional.fields Valeur extraite de elapsed-time et ajoutée avec la clé elapsed-time.
username event.idm.read_only_udm.principal.user.userid Valeur extraite de username.
reason event.idm.read_only_udm.security_result.description Valeur extraite de reason.
action event.idm.read_only_udm.security_result.action Si action est accept ou permit, définissez la valeur sur ALLOW. Si action est deny, drop, reject ou close, définissez-le sur BLOCK.
hostname event.idm.read_only_udm.principal.hostname Valeur extraite du champ "nom d'hôte syslog".
attack-name event.idm.read_only_udm.security_result.threat_name Valeur extraite de attack-name (événements IDP).
severity event.idm.read_only_udm.security_result.severity Mappé à partir de la chaîne de gravité : info vers INFORMATIONAL, warning vers MEDIUM, error ou major vers ERROR, critical vers CRITICAL.
event.idm.read_only_udm.metadata.vendor_name Variable définie sur Juniper Networks.
event.idm.read_only_udm.metadata.product_name Variable définie sur SRX Series Firewall.
source-zone event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
destination-zone event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
REASON event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
PROFILE event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
host event.idm.read_only_udm.intermediary.hostname et event.idm.read_only_udm.intermediary.asset.hostname Mappé à partir du journal des modifications
pid event.idm.read_only_udm.intermediary.process.pid Mappé à partir du journal des modifications
ppid event.idm.read_only_udm.intermediary.process.product_specific_process_id Mappé à partir du journal des modifications
CATEGORY event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
type event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
URL event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
src_value_zone event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
destinationzone event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
NESTED-APPLICATION event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
protocol_value event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
SESSIONID event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
application_value event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
src_address event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
src_mac event.idm.read_only_udm.principal.mac et event.idm.read_only_udm.principal.asset.mac Mappé à partir du journal des modifications
nat_src_address event.idm.read_only_udm.principal.nat_ip et event.idm.read_only_udm.principal.asset.nat_ip Mappé à partir du journal des modifications
nat_src_value_port event.idm.read_only_udm.principal.nat_port Mappé à partir du journal des modifications
src_value_port event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
roles_names event.idm.read_only_udm.principal.user.attribute.roles.name Mappé à partir du journal des modifications
interface event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
eth_type event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
direction event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
packet_info event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
packets_info event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
src_rule_type event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
src_rule_name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
srv_name event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
srcpolicyname event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
dest_address event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
dst_mac event.idm.read_only_udm.target.mac et event.idm.read_only_udm.target.asset.mac Mappé à partir du journal des modifications
nat_dest_address event.idm.read_only_udm.target.nat_ip et event.idm.read_only_udm.target.asset.nat_ip Mappé à partir du journal des modifications
nat_dest_port event.idm.read_only_udm.target.nat_port Mappé à partir du journal des modifications
dest_port event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
target_user_name event.idm.read_only_udm.target.user.userid Mappé à partir du journal des modifications
user_value event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
RTLOG event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
RT event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
WEBFILTER event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
SNMPD event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
FLOW event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
DH event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
PKID event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
BGP event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
SNMP event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
RPD event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
JTASK event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
KMD event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
APPIDD event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
IFINFO event.idm.ready_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
sec_desc security_result.description Mappé à partir du journal des modifications
processid target.process.id Mappé à partir du journal des modifications
TSr" and "TSi additional.fields Mappé à partir du journal des modifications
fw intermediary.ip Mappé à partir du journal des modifications
msg1 security_result.summary Mappé à partir du journal des modifications
desc metadata.description Mappé à partir du journal des modifications
local_ip principal.ip Mappé à partir du journal des modifications
remote_ip target.ip Mappé à partir du journal des modifications
app principal.application Mappé à partir du journal des modifications
pid principal.process.pid Mappé à partir du journal des modifications
event_title metadata.product_event_type Mappé à partir du journal des modifications
event_message metadata.description Mappé à partir du journal des modifications
Local-ip principal.ip Mappé à partir du journal des modifications
Gateway_Name", "vpn", "tunnel_id", "tunnel_if", "Local_IKE_ID", "Remote_IKE_ID", "AAA_username", "VR_id", "Traffic_selector", "Traffic_selector_Remote_ID", "Traffic_selector_local_ID", "SA_Type", "Reason", "threshold", "time-period", and "error-message_data observer.resource.attribute.labels Mappé à partir du journal des modifications
target_ip target.ip Mappé à partir du journal des modifications
principal_host principal.hostname Mappé à partir du journal des modifications
user_id target.user.userid Mappé à partir du journal des modifications
file_path target.file.full_path Mappé à partir du journal des modifications
pid_2 target.process.pid Mappé à partir du journal des modifications
server_ip target.ip Mappé à partir du journal des modifications
event_time metadata.event_timestamp Mappé à partir du journal des modifications
ACTION security_result.action_details Mappé à partir du journal des modifications
SESSION_ID network.session_id Mappé à partir du journal des modifications
APPLICATION principal.application Mappé à partir du journal des modifications
pingCtlOwnerIndex", "pingCtlTestName", "usp_lsys_max_num_rpd", "usp_lsys_max_num", "urlcategory_risk", "application_sub_category", "source-zone", "destination-zone", "NESTED-APPLICATION", "CATEGORY", "REASON", "PROFILE", "source_rule", "retrans_timer" and "arp_unicast_mode additional.fields Mappé à partir du journal des modifications
time metadata.event_timestamp Mappé à partir du journal des modifications
ident target.application Mappé à partir du journal des modifications
pid target.process.pid Mappé à partir du journal des modifications
internal-protocol network.ip_protocol Mappé à partir du journal des modifications
state security_result.detection_fields Mappé à partir du journal des modifications
internal-ip principal.ip Mappé à partir du journal des modifications
reflexive-ip target.ip Mappé à partir du journal des modifications
internal-port principle.port Mappé à partir du journal des modifications
reflexive-port target.port Mappé à partir du journal des modifications
local-address principal.ip Mappé à partir du journal des modifications
remote-address target.ip Mappé à partir du journal des modifications
dns-server-address principal.ip Mappé à partir du journal des modifications
domain-name principal.administrative_domain Mappé à partir du journal des modifications
argument1 network.direction Mappé à partir du journal des modifications
test-owner additional.fields Mappé à partir du journal des modifications
local-initiator additional.fields Mappé à partir du journal des modifications
test-name additional.fields Mappé à partir du journal des modifications
SPI additional.fields Mappé à partir du journal des modifications
AUX-SPI additional.fields Mappé à partir du journal des modifications
Type additional.fields Mappé à partir du journal des modifications
error-message security_result.summary Mappé à partir du journal des modifications
rcvd network.received_bytes Mappé à partir du journal des modifications
rule-name security_result.rule_id Mappé à partir du journal des modifications
rulebase-name security_result.detection_fields Mappé à partir du journal des modifications
export-id security_result.detection_fields Mappé à partir du journal des modifications
repeat-count security_result.detection_fields Mappé à partir du journal des modifications
packet-log-id security_result.detection_fields Mappé à partir du journal des modifications
alert is_alert Mappé à partir du journal des modifications
outbound-packets network.sent_packets Mappé à partir du journal des modifications
inbound-packets network.received_packets Mappé à partir du journal des modifications
outbound-bytes network.sent_bytes Mappé à partir du journal des modifications
inbound-bytes network.received_bytes Mappé à partir du journal des modifications
application-characteristics security_result.summary Mappé à partir du journal des modifications
application-risk security_result.severity_details Mappé à partir du journal des modifications
application-category security_result.detection_fields Mappé à partir du journal des modifications
application-sub-category security_result.detection_fields Mappé à partir du journal des modifications
dst-nat-rule-name security_result.detection_fields Mappé à partir du journal des modifications
dst-nat-rule-type security_result.detection_fields Mappé à partir du journal des modifications
src-nat-rule-name security_result.detection_fields Mappé à partir du journal des modifications
src-nat-rule-type security_result.detection_fields Mappé à partir du journal des modifications
encrypted security_result.detection_fields Mappé à partir du journal des modifications
nested-application security_result.detection_fields Mappé à partir du journal des modifications
packet-incoming-interface security_result.detection_fields Mappé à partir du journal des modifications
session-id-32 network.session_id Mappé à partir du journal des modifications
packets-from-client network.sent_packets Mappé à partir du journal des modifications
packets-from-server network.received_packets Mappé à partir du journal des modifications
elapsed-time network.session_duration.seconds Mappé à partir du journal des modifications
source-destination-address principal.nat_ip Mappé à partir du journal des modifications
source-destination-port principal.nat_port Mappé à partir du journal des modifications
msg_data security_result.description Mappé à partir du journal des modifications
threat-severity security_result.severity Mappé à partir du journal des modifications
app_name target.application Mappé à partir du journal des modifications
command target.process.command_line Mappé à partir du journal des modifications
action security_result.action_details Mappé à partir du journal des modifications
sec_description security_result.description Mappé à partir du journal des modifications
application-name network.application_protocol Mappé à partir du journal des modifications
subtype metadata.product_event_type Mappé à partir du journal des modifications
source-interface-name security_result.detection_fields Mappé à partir du journal des modifications
destination-interface-name security_result.detection_fields Mappé à partir du journal des modifications
source-zone-name security_result.detection_fields Mappé à partir du journal des modifications
destination-zone-name security_result.detection_fields Mappé à partir du journal des modifications
service-name security_result.detection_fields Mappé à partir du journal des modifications
application-name security_result.detection_fields Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.