Juniper SRX シリーズ ファイアウォール ログを収集する

以下でサポートされています。

このドキュメントでは、Bindplane を使用して Juniper SRX シリーズ ファイアウォールのログを Google Security Operations に取り込む方法について説明します。

Juniper SRX シリーズ ファイアウォールは、ステートフル インスペクション、侵入検知と防止（IDP）、アプリケーション セキュリティ、VPN などの次世代ファイアウォール（NGFW）機能を提供する高性能ネットワーク セキュリティ デバイスです。SRX ファイアウォールは、トラフィック、セキュリティ、システム、セッション イベントの syslog メッセージを生成します。これらのメッセージは、一元的なセキュリティ モニタリングのために外部の SIEM プラットフォームに転送できます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス。
  • Windows Server 2016 以降、または systemd を使用する Linux ホスト。
  • Bindplane エージェントと Juniper SRX ファイアウォール間のネットワーク接続。
  • プロキシの背後で実行している場合は、Bindplane エージェントの要件に従ってファイアウォール ポートが開いていることを確認します。
  • Juniper SRX ファイアウォールへの特権アクセス（J-Web または CLI 経由の root またはスーパーユーザー レベルのアクセス）。

Bindplane エージェントの Google SecOps 認証情報を取得する

Bindplane エージェントを Google SecOps に対して認証するには、次のいずれかの方法を選択します。

  • 新規デプロイ: Chronicle API を使用します（オプション 1）。
  • 以前のデプロイ: 2027 年 7 月 20 日に Ingestion API が廃止されるまで、取り込み認証ファイル（オプション 2）を引き続き使用します。
  1. Google Cloud コンソールにログインし、Google SecOps インスタンスにリンクされている Google Cloud プロジェクトを選択します。
  2. [IAM と管理] > [サービス アカウント] に移動します。
  3. [サービス アカウントを作成] をクリックします。
  4. 次の構成情報を指定します。
    • サービス アカウント名: アカウントの名前を入力します（例: bindplane-ingest）。
    • サービス アカウントの説明: 説明を入力します（例: Bindplane agent log ingestion）。
  5. [作成して続行] をクリックします。
  6. [このサービス アカウントにプロジェクトへのアクセスを許可する] セクションで、[ロールを選択] をクリックし、[Chronicle 編集者] を選択します。
  7. [続行] をクリックして [完了] をクリックします。
  8. 作成したサービス アカウントをクリックし、[キー] タブに移動します。
  9. [鍵を追加] > [新しい鍵を作成] の順にクリックします。
  10. [JSON] を選択し、[作成] をクリックします。キーファイルがパソコンにダウンロードされます。
  11. 鍵ファイルを ingestion-auth.json として Bindplane コレクタ ディレクトリ（Linux の場合は /opt/observiq-otel-collector/ingestion-auth.json、Windows の場合は C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）に保存するか、config.yaml の creds_file_path を更新して、保存先のパスと一致させます。
  12. [IAM と管理] > [設定] に移動し、[プロジェクト番号] をコピーします。これはエクスポータの構成に必要です。

オプション 2: 取り込み認証ファイルをダウンロードする（以前のバージョン）

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [収集エージェント] に移動します。
  3. 取り込み認証ファイルをダウンロードします。
  4. Bindplane エージェントがインストールされるシステムにファイルを安全に保存します。

Google SecOps のお客様 ID を取得する

  1. Google SecOps コンソールにログインします。
  2. [SIEM 設定] > [プロファイル] に移動します。
  3. [組織の詳細情報] セクションから [お客様 ID] をコピーして保存します。

Bindplane エージェントをインストールする

次の手順に沿って、Windows または Linux オペレーティング システムに Bindplane エージェントをインストールします。

Windows へのインストール

  1. 管理者としてコマンド プロンプトまたは PowerShell を開きます。

  2. 次のコマンドを実行します。

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sc query observiq-otel-collector

サービスは RUNNING と表示されます。

Linux へのインストール

  1. root 権限または sudo 権限でターミナルを開きます。

  2. 次のコマンドを実行します。

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. インストールが完了するまで待ちます。

  4. 次のコマンドを実行して、インストールの内容を確認します。

    sudo systemctl status observiq-otel-collector

サービスは active (running) と表示されます。

その他のインストール リソース

その他のインストール オプションとトラブルシューティングについては、Bindplane エージェントのインストール ガイドをご覧ください。

syslog を取り込んで Google SecOps に送信するように Bindplane エージェントを構成する

構成ファイルを探す

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

構成ファイルを編集します。

  • config.yaml の内容全体を次の構成に置き換えます。

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/juniper_firewall:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: chronicle.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/juniper_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/juniper_firewall

構成パラメータ

各プレースホルダを次のように置き換えます。

  • レシーバーの構成:

    • listen_address: リッスンする IP アドレスとポート。すべてのインターフェースでリッスンするには、0.0.0.0 を使用します。ポート 514 は標準の syslog ポートです（Linux で root 権限が必要です）。root 以外のデプロイには 1514 を使用します。

  • エクスポータの構成:

    • creds_file_path: サービス アカウントの JSON キーファイルのフルパス（オプション 1）:
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Google SecOps のお客様 ID。
    • location: <LOCATION> を Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）に置き換えます。エクスポートでは、この値が chronicle.googleapis.com の前に付加されます。完全なリストについては、リージョン エンドポイントをご覧ください。
    • project: <PROJECT_NUMBER> を [IAM と管理] > [設定] のプロジェクト番号に置き換えます。
    • endpoint: chronicle.googleapis.com に設定したままにします。
    • ingestion_labels: YAML 形式のオプションのラベル（例: env: production）。

以前の取り込み API エクスポータ

  • オプション 2 の取り込み認証ファイルを使用する場合は、exporters ブロックを次のように置き換えます。creds_file_path を取り込み認証ファイルのパスに設定します。インスタンスが米国以外にある場合は、malachiteingestion-pa.googleapis.com をリージョン エンドポイント（例: europe-malachiteingestion-pa.googleapis.com）に置き換えます。

    exporters:
  chronicle/juniper_firewall:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
      env: production

構成ファイルを保存する

  • 編集が完了したら、ファイルを保存します。
    • Linux: Ctrl+O、Enter、Ctrl+X の順にキーを押します。
    • Windows の場合: [ファイル] > [保存] をクリックします。

Bindplane エージェントを再起動して変更を適用する

Linux で Bindplane エージェントを再起動するには:

  1. 次のコマンドを実行します。

    sudo systemctl restart observiq-otel-collector

  2. サービスが実行されていることを確認します。

    sudo systemctl status observiq-otel-collector

  3. ログでエラーを確認します。

    sudo journalctl -u observiq-otel-collector -f

Windows で Bindplane エージェントを再起動するには:

  1. 次のいずれかのオプションを選択します。

    • 管理者としてコマンド プロンプトまたは PowerShell を開きます。
    net stop observiq-otel-collector && net start observiq-otel-collector
    • サービス コンソール:
      1. Win+R を押し、「services.msc」と入力して Enter キーを押します。
      2. observIQ OpenTelemetry Collector を見つけます。
      3. 右クリックして [再起動] を選択します。

  2. サービスが実行されていることを確認します。

    sc query observiq-otel-collector

  3. ログでエラーを確認します。

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Juniper SRX syslog 転送を構成する

syslog メッセージを Bindplane エージェントに転送するように Juniper SRX ファイアウォールを構成します。

J-Web インターフェースの使用

  1. Juniper SRX J-Web インターフェースにログインします。
  2. [Configure] > [System Properties] > [Syslog] に移動します。
  3. [Host] セクションの [Add] をクリックして、新しい syslog サーバーを追加します。
  4. 次の構成情報を指定します。
    • ホスト名: Bindplane エージェント ホストの IP アドレスを入力します（例: 192.168.1.100）。
    • ポート: 514（または Bindplane エージェントで構成されたポート）を入力します。
    • ログ接頭辞: ログメッセージの接頭辞（省略可）。
    • ファシリティ: 転送するファシリティと重大度レベルを選択します。
      • any: 重大度レベル [info] 以上を選択します。
  5. [Source address] フィールドに、SRX 管理インターフェースの IP を入力します（省略可能ですが、一貫した送信元識別のために入力することをおすすめします）。
  6. [OK] をクリックして保存します。
  7. [Commit] をクリックして構成を適用します。

Junos CLI の使用

  1. SSH またはコンソール経由で Juniper SRX に接続します。

  2. 設定モードに移行します。

    configure

  3. syslog ホストを構成します。

    set system syslog host BINDPLANE_IP any info
set system syslog host BINDPLANE_IP port 514
set system syslog host BINDPLANE_IP source-address SRX_MGMT_IP
set system syslog host BINDPLANE_IP structured-data

    次のように置き換えます。

    • BINDPLANE_IP: Bindplane エージェント ホストの IP アドレス。
    • SRX_MGMT_IP: SRX ファイアウォールの管理 IP アドレス。

  4. セキュリティ ログ ストリーミングを構成します（トラフィック ログとセッション ログの場合）。

    set security log mode stream
set security log source-address SRX_MGMT_IP
set security log stream chronicle-stream host BINDPLANE_IP
set security log stream chronicle-stream port 514
set security log stream chronicle-stream transport protocol udp
set security log stream chronicle-stream format sd-syslog
set security log stream chronicle-stream severity info
set security log stream chronicle-stream category all

    次のように置き換えます。

    • BINDPLANE_IP: Bindplane エージェント ホストの IP アドレス。
    • SRX_MGMT_IP: SRX ファイアウォールの管理 IP アドレス。

  5. 構成をコミットします。

    commit

  6. syslog 構成を確認します。

    show system syslog
show security log

特定のログカテゴリを構成する

  • 特定のログタイプを転送するには、個々のファシリティを構成します。

    set system syslog host BINDPLANE_IP firewall any
set system syslog host BINDPLANE_IP authorization info
set system syslog host BINDPLANE_IP daemon info
set system syslog host BINDPLANE_IP kernel info
set system syslog host BINDPLANE_IP interactive-commands info

BINDPLANE_IP は、Bindplane エージェント ホストの IP アドレスに置き換えます。

syslog 転送を確認する

  1. SRX で次のコマンドを実行して、アクティブな syslog 宛先を表示します。

    show system syslog

  2. ファイアウォールを介してテスト トラフィックを生成し、ログが Bindplane エージェント ログに表示されることを確認します。

詳細については、Juniper SRX シリーズのドキュメントをご覧ください。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
source-address event.idm.read_only_udm.principal.ip source-address から取得された値。
source-port event.idm.read_only_udm.principal.port source-port から取得された値。整数に変換されます。
destination-address event.idm.read_only_udm.target.ip destination-address から取得された値。
destination-port event.idm.read_only_udm.target.port destination-port から取得された値。整数に変換されます。
protocol-id event.idm.read_only_udm.network.ip_protocol プロトコル番号から名前にマッピングされます（6=TCP、17=UDP、1=ICMP）。
policy-name event.idm.read_only_udm.security_result.rule_name policy-name から取得された値。
source-zone-name event.idm.read_only_udm.additional.fields source-zone-name から取得した値が、キー source-zone-name で追加されます。
destination-zone-name event.idm.read_only_udm.additional.fields destination-zone-name から取得した値が、キー destination-zone-name で追加されます。
service-name event.idm.read_only_udm.target.application service-name から取得された値。
application event.idm.read_only_udm.target.application application から取得された値（service-name が存在しない場合）。
nat-source-address event.idm.read_only_udm.principal.nat_ip nat-source-address から取得された値。
nat-source-port event.idm.read_only_udm.principal.nat_port nat-source-port から取得された値。整数に変換されます。
nat-destination-address event.idm.read_only_udm.target.nat_ip nat-destination-address から取得された値。
nat-destination-port event.idm.read_only_udm.target.nat_port nat-destination-port から取得された値が整数に変換されます。
bytes-from-client event.idm.read_only_udm.network.sent_bytes bytes-from-client から取得され、符号なし整数に変換された値。
bytes-from-server event.idm.read_only_udm.network.received_bytes bytes-from-server から取得された値が符号なし整数に変換されます。
packets-from-client event.idm.read_only_udm.additional.fields packets-from-client から取得され、キー packets-from-client で追加された値。
packets-from-server event.idm.read_only_udm.additional.fields packets-from-server から取得した値が、キー packets-from-server で追加されます。
elapsed-time event.idm.read_only_udm.additional.fields elapsed-time から取得した値が、キー elapsed-time で追加されます。
username event.idm.read_only_udm.principal.user.userid username から取得された値。
reason event.idm.read_only_udm.security_result.description reason から取得された値。
action event.idm.read_only_udm.security_result.action action が accept または permit の場合は、ALLOW に設定します。action が deny、drop、reject、または close の場合は、BLOCK に設定します。
hostname event.idm.read_only_udm.principal.hostname 値は syslog ホスト名フィールドから取得されます。
attack-name event.idm.read_only_udm.security_result.threat_name attack-name（IDP イベント）から取得された値。
severity event.idm.read_only_udm.security_result.severity 重大度文字列からマッピング: info から INFORMATIONAL、warning から MEDIUM、error または major から ERROR、critical から CRITICAL。
event.idm.read_only_udm.metadata.vendor_name Juniper Networks に設定します。
event.idm.read_only_udm.metadata.product_name SRX Series Firewall に設定します。
source-zone event.idm.read_only_udm.principal.resource.attribute.labels 変更履歴からマッピング
destination-zone event.idm.read_only_udm.target.resource.attribute.labels 変更履歴からマッピング
REASON event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
PROFILE event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
host event.idm.read_only_udm.intermediary.hostname と event.idm.read_only_udm.intermediary.asset.hostname 変更履歴からマッピング
pid event.idm.read_only_udm.intermediary.process.pid 変更履歴からマッピング
ppid event.idm.read_only_udm.intermediary.process.product_specific_process_id 変更履歴からマッピング
CATEGORY event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
type event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
URL event.idm.read_only_udm.target.url 変更履歴からマッピング
src_value_zone event.idm.read_only_udm.additional.fields 変更履歴からマッピング
destinationzone event.idm.read_only_udm.additional.fields 変更履歴からマッピング
NESTED-APPLICATION event.idm.read_only_udm.additional.fields 変更履歴からマッピング
protocol_value event.idm.read_only_udm.network.ip_protocol 変更履歴からマッピング
SESSIONID event.idm.read_only_udm.network.session_id 変更履歴からマッピング
application_value event.idm.read_only_udm.principal.application 変更履歴からマッピング
src_address event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
src_mac event.idm.read_only_udm.principal.mac と event.idm.read_only_udm.principal.asset.mac 変更履歴からマッピング
nat_src_address event.idm.read_only_udm.principal.nat_ip と event.idm.read_only_udm.principal.asset.nat_ip 変更履歴からマッピング
nat_src_value_port event.idm.read_only_udm.principal.nat_port 変更履歴からマッピング
src_value_port event.idm.read_only_udm.principal.port 変更履歴からマッピング
roles_names event.idm.read_only_udm.principal.user.attribute.roles.name 変更履歴からマッピング
interface event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
eth_type event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
direction event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
packet_info event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
packets_info event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
src_rule_type event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
src_rule_name event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
srv_name event.idm.read_only_udm.security_result.detection_fields 変更履歴からマッピング
srcpolicyname event.idm.read_only_udm.security_result.rule_name 変更履歴からマッピング
dest_address event.idm.read_only_udm.target.ip と event.idm.read_only_udm.target.asset.ip 変更履歴からマッピング
dst_mac event.idm.read_only_udm.target.mac と event.idm.read_only_udm.target.asset.mac 変更履歴からマッピング
nat_dest_address event.idm.read_only_udm.target.nat_ip と event.idm.read_only_udm.target.asset.nat_ip 変更履歴からマッピング
nat_dest_port event.idm.read_only_udm.target.nat_port 変更履歴からマッピング
dest_port event.idm.read_only_udm.target.port 変更履歴からマッピング
target_user_name event.idm.read_only_udm.target.user.userid 変更履歴からマッピング
user_value event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
RTLOG event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
RT event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
WEBFILTER event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
SNMPD event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
FLOW event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
DH event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
PKID event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
BGP event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
SNMP event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
RPD event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
JTASK event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
KMD event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
APPIDD event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
IFINFO event.idm.ready_only_udm.metadata.product_event_type 変更履歴からマッピング
sec_desc security_result.description 変更履歴からマッピング
processid target.process.id 変更履歴からマッピング
TSr" and "TSi additional.fields 変更履歴からマッピング
fw intermediary.ip 変更履歴からマッピング
msg1 security_result.summary 変更履歴からマッピング
desc metadata.description 変更履歴からマッピング
local_ip principal.ip 変更履歴からマッピング
remote_ip target.ip 変更履歴からマッピング
app principal.application 変更履歴からマッピング
pid principal.process.pid 変更履歴からマッピング
event_title metadata.product_event_type 変更履歴からマッピング
event_message metadata.description 変更履歴からマッピング
Local-ip principal.ip 変更履歴からマッピング
Gateway_Name", "vpn", "tunnel_id", "tunnel_if", "Local_IKE_ID", "Remote_IKE_ID", "AAA_username", "VR_id", "Traffic_selector", "Traffic_selector_Remote_ID", "Traffic_selector_local_ID", "SA_Type", "Reason", "threshold", "time-period", and "error-message_data observer.resource.attribute.labels 変更履歴からマッピング
target_ip target.ip 変更履歴からマッピング
principal_host principal.hostname 変更履歴からマッピング
user_id target.user.userid 変更履歴からマッピング
file_path target.file.full_path 変更履歴からマッピング
pid_2 target.process.pid 変更履歴からマッピング
server_ip target.ip 変更履歴からマッピング
event_time metadata.event_timestamp 変更履歴からマッピング
ACTION security_result.action_details 変更履歴からマッピング
SESSION_ID network.session_id 変更履歴からマッピング
APPLICATION principal.application 変更履歴からマッピング
pingCtlOwnerIndex", "pingCtlTestName", "usp_lsys_max_num_rpd", "usp_lsys_max_num", "urlcategory_risk", "application_sub_category", "source-zone", "destination-zone", "NESTED-APPLICATION", "CATEGORY", "REASON", "PROFILE", "source_rule", "retrans_timer" and "arp_unicast_mode additional.fields 変更履歴からマッピング
time metadata.event_timestamp 変更履歴からマッピング
ident target.application 変更履歴からマッピング
pid target.process.pid 変更履歴からマッピング
internal-protocol network.ip_protocol 変更履歴からマッピング
state security_result.detection_fields 変更履歴からマッピング
internal-ip principal.ip 変更履歴からマッピング
reflexive-ip target.ip 変更履歴からマッピング
internal-port principle.port 変更履歴からマッピング
reflexive-port target.port 変更履歴からマッピング
local-address principal.ip 変更履歴からマッピング
remote-address target.ip 変更履歴からマッピング
dns-server-address principal.ip 変更履歴からマッピング
domain-name principal.administrative_domain 変更履歴からマッピング
argument1 network.direction 変更履歴からマッピング
test-owner additional.fields 変更履歴からマッピング
local-initiator additional.fields 変更履歴からマッピング
test-name additional.fields 変更履歴からマッピング
SPI additional.fields 変更履歴からマッピング
AUX-SPI additional.fields 変更履歴からマッピング
Type additional.fields 変更履歴からマッピング
error-message security_result.summary 変更履歴からマッピング
rcvd network.received_bytes 変更履歴からマッピング
rule-name security_result.rule_id 変更履歴からマッピング
rulebase-name security_result.detection_fields 変更履歴からマッピング
export-id security_result.detection_fields 変更履歴からマッピング
repeat-count security_result.detection_fields 変更履歴からマッピング
packet-log-id security_result.detection_fields 変更履歴からマッピング
alert is_alert 変更履歴からマッピング
outbound-packets network.sent_packets 変更履歴からマッピング
inbound-packets network.received_packets 変更履歴からマッピング
outbound-bytes network.sent_bytes 変更履歴からマッピング
inbound-bytes network.received_bytes 変更履歴からマッピング
application-characteristics security_result.summary 変更履歴からマッピング
application-risk security_result.severity_details 変更履歴からマッピング
application-category security_result.detection_fields 変更履歴からマッピング
application-sub-category security_result.detection_fields 変更履歴からマッピング
dst-nat-rule-name security_result.detection_fields 変更履歴からマッピング
dst-nat-rule-type security_result.detection_fields 変更履歴からマッピング
src-nat-rule-name security_result.detection_fields 変更履歴からマッピング
src-nat-rule-type security_result.detection_fields 変更履歴からマッピング
encrypted security_result.detection_fields 変更履歴からマッピング
nested-application security_result.detection_fields 変更履歴からマッピング
packet-incoming-interface security_result.detection_fields 変更履歴からマッピング
session-id-32 network.session_id 変更履歴からマッピング
packets-from-client network.sent_packets 変更履歴からマッピング
packets-from-server network.received_packets 変更履歴からマッピング
elapsed-time network.session_duration.seconds 変更履歴からマッピング
source-destination-address principal.nat_ip 変更履歴からマッピング
source-destination-port principal.nat_port 変更履歴からマッピング
msg_data security_result.description 変更履歴からマッピング
threat-severity security_result.severity 変更履歴からマッピング
app_name target.application 変更履歴からマッピング
command target.process.command_line 変更履歴からマッピング
action security_result.action_details 変更履歴からマッピング
sec_description security_result.description 変更履歴からマッピング
application-name network.application_protocol 変更履歴からマッピング
subtype metadata.product_event_type 変更履歴からマッピング
source-interface-name security_result.detection_fields 変更履歴からマッピング
destination-interface-name security_result.detection_fields 変更履歴からマッピング
source-zone-name security_result.detection_fields 変更履歴からマッピング
destination-zone-name security_result.detection_fields 変更履歴からマッピング
service-name security_result.detection_fields 変更履歴からマッピング
application-name security_result.detection_fields 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。