איסוף יומנים של חומת אש מסוג Juniper SRX Series

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של חומת האש מסדרת Juniper SRX ב-Google Security Operations באמצעות Bindplane.

חומות האש מסדרת Juniper SRX הן מכשירי אבטחת רשת בעלי ביצועים גבוהים, שמספקים יכולות של חומת אש מהדור הבא (NGFW), כולל בדיקה עם שמירת מצב, גילוי חדירות ומניעה של פריצות (IDP), אבטחת אפליקציות ו-VPN. חומות אש מסוג SRX יוצרות הודעות syslog לגבי אירועים שקשורים לתנועה, לאבטחה, למערכת ולסשנים, שאפשר להעביר לפלטפורמות SIEM חיצוניות לצורך ניטור לצורכי אבטחה מרכזי.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps.
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd.
• קישוריות לרשת בין סוכן Bindplane לבין חומת האש Juniper SRX.
• אם מריצים את הסוכן מאחורי שרת proxy, צריך לוודא שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות לחומת האש של Juniper SRX (גישה ברמת הבסיס או משתמש-על דרך J-Web או CLI).

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מספקים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.
3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/juniper_firewall:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'your-customer-id-here'
      endpoint: chronicle.googleapis.com
      log_type: JUNIPER_FIREWALL
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/juniper_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/juniper_firewall
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה. כדי להאזין בכל הממשקים, צריך להשתמש ב-0.0.0.0. יציאה 514 היא היציאה הרגילה של syslog (נדרשות הרשאות בסיס ב-Linux). משתמשים ב-1514 לפריסות שהן לא ברמה הבסיסית (root).

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח ב-Google SecOps.
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. רשימה מלאה של נקודות הקצה האזוריות מופיעה במאמר Regional Endpoints.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: צריך להשאיר את ההגדרה chronicle.googleapis.com.
  • ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (לדוגמה, env: production).

כלי לייצוא נתונים מ-Legacy ingestion API

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/juniper_firewall:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'your-customer-id-here'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: JUNIPER_FIREWALL
      raw_log_field: body
      ingestion_labels:
        env: production
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, ואז על Enter, ואז על Ctrl+X.
  • Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
     2. מחפשים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog של Juniper SRX

מגדירים את חומת האש של Juniper SRX כך שתעביר הודעות syslog לסוכן Bindplane.

שימוש בממשק J-Web

1. נכנסים לממשק J-Web של Juniper SRX.
2. עוברים אל Configure > System Properties > Syslog.
3. לוחצים על Add (הוספה) בקטע Host (מארח) כדי להוסיף שרת syslog חדש.
4. מזינים את פרטי ההגדרה הבאים:
   • שם המארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • יציאה: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane).
   • קידומת ליומן: קידומת אופציונלית להודעות ביומן.
   • Facility: בוחרים את רמות ה-facility והחומרה שרוצים להעביר:
     • כל: בוחרים ברמת החומרה מידע ומעלה.
5. בשדה Source address, מזינים את כתובת ה-IP של ממשק הניהול של SRX (אופציונלי, אבל מומלץ כדי לזהות את המקור באופן עקבי).
6. לוחצים על אישור כדי לשמור.
7. לוחצים על Commit כדי להחיל את ההגדרה.

שימוש ב-Junos CLI

1. מתחברים ל-Juniper SRX באמצעות SSH או מסוף.

2. נכנסים למצב הגדרה:

   configure
   

3. מגדירים את המארח של syslog:

   set system syslog host BINDPLANE_IP any info
   set system syslog host BINDPLANE_IP port 514
   set system syslog host BINDPLANE_IP source-address SRX_MGMT_IP
   set system syslog host BINDPLANE_IP structured-data
   

   מחליפים את:

   • ‫BINDPLANE_IP: כתובת ה-IP של המארח של סוכן Bindplane.
   • ‫SRX_MGMT_IP: כתובת ה-IP לניהול של חומת האש SRX.

4. מגדירים את הסטרימינג של יומני האבטחה (ליומני תנועה וסשנים):

   set security log mode stream
   set security log source-address SRX_MGMT_IP
   set security log stream chronicle-stream host BINDPLANE_IP
   set security log stream chronicle-stream port 514
   set security log stream chronicle-stream transport protocol udp
   set security log stream chronicle-stream format sd-syslog
   set security log stream chronicle-stream severity info
   set security log stream chronicle-stream category all
   

   מחליפים את:

   • ‫BINDPLANE_IP: כתובת ה-IP של המארח של סוכן Bindplane.
   • ‫SRX_MGMT_IP: כתובת ה-IP לניהול של חומת האש של SRX.

5. מאשרים את ההגדרה:

   commit
   

6. מאמתים את ההגדרות של syslog:

   show system syslog
   show security log
   

הגדרת קטגוריות ספציפיות של יומנים

• כדי להעביר סוגים ספציפיים של יומנים, צריך להגדיר מתקנים נפרדים:

  set system syslog host BINDPLANE_IP firewall any
  set system syslog host BINDPLANE_IP authorization info
  set system syslog host BINDPLANE_IP daemon info
  set system syslog host BINDPLANE_IP kernel info
  set system syslog host BINDPLANE_IP interactive-commands info
  

מחליפים את BINDPLANE_IP בכתובת ה-IP של המארח של סוכן Bindplane.

אימות ההעברה של syslog

1. ב-SRX, מריצים את הפקודה הבאה כדי להציג את יעדי ה-syslog הפעילים:

   show system syslog
   

2. יוצרים תנועה לבדיקה דרך חומת האש ומוודאים שהיומנים מופיעים ביומני הסוכן של Bindplane.

מידע נוסף זמין במאמרי העזרה של Juniper SRX Series.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
source-address	event.idm.read_only_udm.principal.ip	הערך נלקח מ-source-address.
source-port	event.idm.read_only_udm.principal.port	הערך נלקח מ-source-port והומר למספר שלם.
destination-address	event.idm.read_only_udm.target.ip	הערך נלקח מ-destination-address.
destination-port	event.idm.read_only_udm.target.port	הערך נלקח מ-destination-port והומר למספר שלם.
protocol-id	event.idm.read_only_udm.network.ip_protocol	ממופה ממספר הפרוטוקול לשם (6=TCP, ‏ 17=UDP, ‏ 1=ICMP).
policy-name	event.idm.read_only_udm.security_result.rule_name	הערך נלקח מ-policy-name.
source-zone-name	event.idm.read_only_udm.additional.fields	הערך נלקח מ-source-zone-name ונוסף עם המפתח source-zone-name.
destination-zone-name	event.idm.read_only_udm.additional.fields	הערך נלקח מ-destination-zone-name ונוסף עם המפתח destination-zone-name.
service-name	event.idm.read_only_udm.target.application	הערך נלקח מ-service-name.
application	event.idm.read_only_udm.target.application	הערך נלקח מהשדה application (אם השדה service-name לא קיים).
nat-source-address	event.idm.read_only_udm.principal.nat_ip	הערך נלקח מ-nat-source-address.
nat-source-port	event.idm.read_only_udm.principal.nat_port	הערך נלקח מ-nat-source-port והומר למספר שלם.
nat-destination-address	event.idm.read_only_udm.target.nat_ip	הערך נלקח מ-nat-destination-address.
nat-destination-port	event.idm.read_only_udm.target.nat_port	הערך נלקח מ-nat-destination-port והומר למספר שלם.
bytes-from-client	event.idm.read_only_udm.network.sent_bytes	הערך נלקח מ-bytes-from-client ומומר למספר שלם ללא סימן.
bytes-from-server	event.idm.read_only_udm.network.received_bytes	הערך נלקח מ-bytes-from-server ומומר למספר שלם ללא סימן.
packets-from-client	event.idm.read_only_udm.additional.fields	הערך נלקח מ-packets-from-client ונוסף עם המפתח packets-from-client.
packets-from-server	event.idm.read_only_udm.additional.fields	הערך נלקח מ-packets-from-server ונוסף עם המפתח packets-from-server.
elapsed-time	event.idm.read_only_udm.additional.fields	הערך נלקח מ-elapsed-time ונוסף עם המפתח elapsed-time.
username	event.idm.read_only_udm.principal.user.userid	הערך נלקח מ-username.
reason	event.idm.read_only_udm.security_result.description	הערך נלקח מ-reason.
action	event.idm.read_only_udm.security_result.action	אם הערך של action הוא accept או permit, מגדירים את הערך ל-ALLOW. אם action הוא deny, ‏drop, ‏reject או close, הערך מוגדר ל-BLOCK.
hostname	event.idm.read_only_udm.principal.hostname	הערך נלקח מהשדה hostname של syslog.
attack-name	event.idm.read_only_udm.security_result.threat_name	הערך נלקח מ-attack-name (אירועי IDP).
severity	event.idm.read_only_udm.security_result.severity	מיפוי ממחרוזת חומרה: info ל-INFORMATIONAL, ‏ warning ל-MEDIUM, ‏ error או major ל-ERROR, ‏ critical ל-CRITICAL.
	event.idm.read_only_udm.metadata.vendor_name	הערך שהוגדר הוא Juniper Networks.
	event.idm.read_only_udm.metadata.product_name	הערך שהוגדר הוא SRX Series Firewall.
source-zone	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
destination-zone	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
REASON	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
PROFILE	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
host	event.idm.read_only_udm.intermediary.hostname וגם event.idm.read_only_udm.intermediary.asset.hostname	מופה מיומן השינויים
pid	event.idm.read_only_udm.intermediary.process.pid	מופה מיומן השינויים
ppid	event.idm.read_only_udm.intermediary.process.product_specific_process_id	מופה מיומן השינויים
CATEGORY	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
type	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
URL	event.idm.read_only_udm.target.url	מופה מיומן השינויים
src_value_zone	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
destinationzone	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
NESTED-APPLICATION	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
protocol_value	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
SESSIONID	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
application_value	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
src_address	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
src_mac	event.idm.read_only_udm.principal.mac וגם event.idm.read_only_udm.principal.asset.mac	מופה מיומן השינויים
nat_src_address	event.idm.read_only_udm.principal.nat_ip וגם event.idm.read_only_udm.principal.asset.nat_ip	מופה מיומן השינויים
nat_src_value_port	event.idm.read_only_udm.principal.nat_port	מופה מיומן השינויים
src_value_port	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
roles_names	event.idm.read_only_udm.principal.user.attribute.roles.name	מופה מיומן השינויים
interface	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
eth_type	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
direction	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
packet_info	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
packets_info	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
src_rule_type	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
src_rule_name	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
srv_name	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
srcpolicyname	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
dest_address	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
dst_mac	event.idm.read_only_udm.target.mac וגם event.idm.read_only_udm.target.asset.mac	מופה מיומן השינויים
nat_dest_address	event.idm.read_only_udm.target.nat_ip וגם event.idm.read_only_udm.target.asset.nat_ip	מופה מיומן השינויים
nat_dest_port	event.idm.read_only_udm.target.nat_port	מופה מיומן השינויים
dest_port	event.idm.read_only_udm.target.port	מופה מיומן השינויים
target_user_name	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
user_value	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
RTLOG	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
RT	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
WEBFILTER	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
SNMPD	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
FLOW	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
DH	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
PKID	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
BGP	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
SNMP	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
RPD	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
JTASK	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
KMD	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
APPIDD	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
IFINFO	event.idm.ready_only_udm.metadata.product_event_type	מופה מיומן השינויים
sec_desc	security_result.description	מופה מיומן השינויים
processid	target.process.id	מופה מיומן השינויים
TSr" and "TSi	additional.fields	מופה מיומן השינויים
fw	intermediary.ip	מופה מיומן השינויים
msg1	security_result.summary	מופה מיומן השינויים
desc	metadata.description	מופה מיומן השינויים
local_ip	principal.ip	מופה מיומן השינויים
remote_ip	target.ip	מופה מיומן השינויים
app	principal.application	מופה מיומן השינויים
pid	principal.process.pid	מופה מיומן השינויים
event_title	metadata.product_event_type	מופה מיומן השינויים
event_message	metadata.description	מופה מיומן השינויים
Local-ip	principal.ip	מופה מיומן השינויים
Gateway_Name", "vpn", "tunnel_id", "tunnel_if", "Local_IKE_ID", "Remote_IKE_ID", "AAA_username", "VR_id", "Traffic_selector", "Traffic_selector_Remote_ID", "Traffic_selector_local_ID", "SA_Type", "Reason", "threshold", "time-period", and "error-message_data	observer.resource.attribute.labels	מופה מיומן השינויים
target_ip	target.ip	מופה מיומן השינויים
principal_host	principal.hostname	מופה מיומן השינויים
user_id	target.user.userid	מופה מיומן השינויים
file_path	target.file.full_path	מופה מיומן השינויים
pid_2	target.process.pid	מופה מיומן השינויים
server_ip	target.ip	מופה מיומן השינויים
event_time	metadata.event_timestamp	מופה מיומן השינויים
ACTION	security_result.action_details	מופה מיומן השינויים
SESSION_ID	network.session_id	מופה מיומן השינויים
APPLICATION	principal.application	מופה מיומן השינויים
pingCtlOwnerIndex", "pingCtlTestName", "usp_lsys_max_num_rpd", "usp_lsys_max_num", "urlcategory_risk", "application_sub_category", "source-zone", "destination-zone", "NESTED-APPLICATION", "CATEGORY", "REASON", "PROFILE", "source_rule", "retrans_timer" and "arp_unicast_mode	additional.fields	מופה מיומן השינויים
time	metadata.event_timestamp	מופה מיומן השינויים
ident	target.application	מופה מיומן השינויים
pid	target.process.pid	מופה מיומן השינויים
internal-protocol	network.ip_protocol	מופה מיומן השינויים
state	security_result.detection_fields	מופה מיומן השינויים
internal-ip	principal.ip	מופה מיומן השינויים
reflexive-ip	target.ip	מופה מיומן השינויים
internal-port	principle.port	מופה מיומן השינויים
reflexive-port	target.port	מופה מיומן השינויים
local-address	principal.ip	מופה מיומן השינויים
remote-address	target.ip	מופה מיומן השינויים
dns-server-address	principal.ip	מופה מיומן השינויים
domain-name	principal.administrative_domain	מופה מיומן השינויים
argument1	network.direction	מופה מיומן השינויים
test-owner	additional.fields	מופה מיומן השינויים
local-initiator	additional.fields	מופה מיומן השינויים
test-name	additional.fields	מופה מיומן השינויים
SPI	additional.fields	מופה מיומן השינויים
AUX-SPI	additional.fields	מופה מיומן השינויים
Type	additional.fields	מופה מיומן השינויים
error-message	security_result.summary	מופה מיומן השינויים
rcvd	network.received_bytes	מופה מיומן השינויים
rule-name	security_result.rule_id	מופה מיומן השינויים
rulebase-name	security_result.detection_fields	מופה מיומן השינויים
export-id	security_result.detection_fields	מופה מיומן השינויים
repeat-count	security_result.detection_fields	מופה מיומן השינויים
packet-log-id	security_result.detection_fields	מופה מיומן השינויים
alert	is_alert	מופה מיומן השינויים
outbound-packets	network.sent_packets	מופה מיומן השינויים
inbound-packets	network.received_packets	מופה מיומן השינויים
outbound-bytes	network.sent_bytes	מופה מיומן השינויים
inbound-bytes	network.received_bytes	מופה מיומן השינויים
application-characteristics	security_result.summary	מופה מיומן השינויים
application-risk	security_result.severity_details	מופה מיומן השינויים
application-category	security_result.detection_fields	מופה מיומן השינויים
application-sub-category	security_result.detection_fields	מופה מיומן השינויים
dst-nat-rule-name	security_result.detection_fields	מופה מיומן השינויים
dst-nat-rule-type	security_result.detection_fields	מופה מיומן השינויים
src-nat-rule-name	security_result.detection_fields	מופה מיומן השינויים
src-nat-rule-type	security_result.detection_fields	מופה מיומן השינויים
encrypted	security_result.detection_fields	מופה מיומן השינויים
nested-application	security_result.detection_fields	מופה מיומן השינויים
packet-incoming-interface	security_result.detection_fields	מופה מיומן השינויים
session-id-32	network.session_id	מופה מיומן השינויים
packets-from-client	network.sent_packets	מופה מיומן השינויים
packets-from-server	network.received_packets	מופה מיומן השינויים
elapsed-time	network.session_duration.seconds	מופה מיומן השינויים
source-destination-address	principal.nat_ip	מופה מיומן השינויים
source-destination-port	principal.nat_port	מופה מיומן השינויים
msg_data	security_result.description	מופה מיומן השינויים
threat-severity	security_result.severity	מופה מיומן השינויים
app_name	target.application	מופה מיומן השינויים
command	target.process.command_line	מופה מיומן השינויים
action	security_result.action_details	מופה מיומן השינויים
sec_description	security_result.description	מופה מיומן השינויים
application-name	network.application_protocol	מופה מיומן השינויים
subtype	metadata.product_event_type	מופה מיומן השינויים
source-interface-name	security_result.detection_fields	מופה מיומן השינויים
destination-interface-name	security_result.detection_fields	מופה מיומן השינויים
source-zone-name	security_result.detection_fields	מופה מיומן השינויים
destination-zone-name	security_result.detection_fields	מופה מיומן השינויים
service-name	security_result.detection_fields	מופה מיומן השינויים
application-name	security_result.detection_fields	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.