Coletar registros do firewall da série Juniper SRX

Compatível com:

Neste documento, explicamos como ingerir registros do firewall da série Juniper SRX no Google Security Operations usando o Bindplane.

Os firewalls da série Juniper SRX são dispositivos de segurança de rede de alto desempenho que oferecem recursos de firewall de última geração (NGFW), incluindo inspeção com estado, detecção e prevenção de intrusões (IDP), segurança para aplicativos e VPN. Os firewalls SRX geram mensagens de syslog para eventos de tráfego, segurança, sistema e sessão que podem ser encaminhadas para plataformas SIEM externas para monitoramento de segurança centralizado.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps.
  • Windows Server 2016 ou mais recente ou host Linux com systemd.
  • Conectividade de rede entre o agente do Bindplane e o firewall Juniper SRX.
  • Se você estiver executando um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso privilegiado ao firewall Juniper SRX (acesso de nível raiz ou superusuário via J-Web ou CLI).

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

  • Novas implantações: use a API Chronicle (opção 1).
  • Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.
  1. Faça login no consoleGoogle Cloud e selecione o projeto Google Cloud vinculado à sua instância do Google SecOps.
  2. Acesse IAM e administrador > Contas de serviço.
  3. Clique em Criar conta de serviço.
  4. Informe os seguintes detalhes de configuração:
    • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
    • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
  5. Clique em Criar e continuar.
  6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
  7. Clique em Continuar e depois em Concluído.
  8. Clique na conta de serviço que você criou e acesse a guia Chaves.
  9. Clique em Adicionar chave > Criar nova chave.
  10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
  11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do Bindplane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
  12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para a configuração do exportador.

Opção 2: baixar o arquivo de autenticação de ingestão (legado)

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Faça o download do arquivo de autenticação de ingestão.
  4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.
  3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

O serviço precisa aparecer como RUNNING.

Instalação do Linux

  1. Abra um terminal com privilégios de root ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

O serviço precisa aparecer como active (running).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do BindPlane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localizar o arquivo de configuração

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/juniper_firewall:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: chronicle.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/juniper_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/juniper_firewall

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • listen_address: endereço IP e porta a serem detectados. Use 0.0.0.0 para detectar em todas as interfaces. A porta 514 é a porta syslog padrão (requer privilégios de raiz no Linux). Use 1514 para implantações que não sejam raiz.

  • Configuração do exportador:

    • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: seu ID de cliente do Google SecOps.
    • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor. Consulte Endpoints regionais para ver a lista completa.
    • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
    • endpoint: mantenha definido como chronicle.googleapis.com.
    • ingestion_labels: rótulos opcionais no formato YAML (por exemplo, env: production).

Exportador da API de ingestão legada

  • Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/juniper_firewall:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
      env: production

Salve o arquivo de configuração.

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, depois Enter e, em seguida, Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane no Linux:

  1. Execute este comando:

    sudo systemctl restart observiq-otel-collector

  2. Verifique se o serviço está em execução:

    sudo systemctl status observiq-otel-collector

  3. Verifique se há erros nos registros:

    sudo journalctl -u observiq-otel-collector -f

Para reiniciar o agente do Bindplane em Windows:

  1. Escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console de serviços:
      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

  2. Verifique se o serviço está em execução:

    sc query observiq-otel-collector

  3. Verifique se há erros nos registros:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o encaminhamento de syslog do Juniper SRX

Configure o firewall Juniper SRX para encaminhar mensagens syslog ao agente do Bindplane.

Como usar a interface J-Web

  1. Faça login na interface J-Web do Juniper SRX.
  2. Acesse Configure > System Properties > Syslog.
  3. Clique em Adicionar na seção Host para adicionar um novo servidor syslog.
  4. Informe os seguintes detalhes de configuração:
    • Nome do host: insira o endereço IP do host do agente do BindPlane (por exemplo, 192.168.1.100).
    • Porta: digite 514 (ou a porta configurada no agente do Bindplane).
    • Prefixo do registro: prefixo opcional para mensagens de registro.
    • Recurso: selecione os níveis de recurso e gravidade para encaminhar:
      • any: selecione o nível de gravidade info ou superior.
  5. No campo Endereço de origem, insira o IP da interface de gerenciamento do SRX (opcional, mas recomendado para identificação consistente da origem).
  6. Clique em OK para salvar.
  7. Clique em Commit para aplicar a configuração.

Como usar a CLI do Junos

  1. Conecte-se ao Juniper SRX via SSH ou console.

  2. Entre no modo de configuração:

    configure

  3. Configure o host syslog:

    set system syslog host BINDPLANE_IP any info
set system syslog host BINDPLANE_IP port 514
set system syslog host BINDPLANE_IP source-address SRX_MGMT_IP
set system syslog host BINDPLANE_IP structured-data

    Substitua:

    • BINDPLANE_IP: endereço IP do host do agente do Bindplane.
    • SRX_MGMT_IP: endereço IP de gerenciamento do firewall SRX.

  4. Configure o streaming de registros de segurança (para registros de tráfego e sessão):

    set security log mode stream
set security log source-address SRX_MGMT_IP
set security log stream chronicle-stream host BINDPLANE_IP
set security log stream chronicle-stream port 514
set security log stream chronicle-stream transport protocol udp
set security log stream chronicle-stream format sd-syslog
set security log stream chronicle-stream severity info
set security log stream chronicle-stream category all

    Substitua:

    • BINDPLANE_IP: endereço IP do host do agente do Bindplane.
    • SRX_MGMT_IP: endereço IP de gerenciamento do firewall SRX.

  5. Confirme a configuração:

    commit

  6. Verifique a configuração do syslog:

    show system syslog
show security log

Configurar categorias de registro específicas

  • Para encaminhar tipos de registro específicos, configure instalações individuais:

    set system syslog host BINDPLANE_IP firewall any
set system syslog host BINDPLANE_IP authorization info
set system syslog host BINDPLANE_IP daemon info
set system syslog host BINDPLANE_IP kernel info
set system syslog host BINDPLANE_IP interactive-commands info

Substitua BINDPLANE_IP pelo endereço IP do host do agente Bindplane.

Verificar o encaminhamento do syslog

  1. No SRX, execute o seguinte comando para ver os destinos ativos do syslog:

    show system syslog

  2. Gere tráfego de teste pelo firewall e verifique se os registros aparecem nos registros do agente Bindplane.

Para mais informações, consulte a documentação da série SRX da Juniper.

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
source-address event.idm.read_only_udm.principal.ip Valor extraído de source-address.
source-port event.idm.read_only_udm.principal.port Valor extraído de source-port e convertido em número inteiro.
destination-address event.idm.read_only_udm.target.ip Valor extraído de destination-address.
destination-port event.idm.read_only_udm.target.port Valor extraído de destination-port e convertido em número inteiro.
protocol-id event.idm.read_only_udm.network.ip_protocol Mapeado do número do protocolo para o nome (6=TCP, 17=UDP, 1=ICMP).
policy-name event.idm.read_only_udm.security_result.rule_name Valor extraído de policy-name.
source-zone-name event.idm.read_only_udm.additional.fields Valor extraído de source-zone-name e adicionado com a chave source-zone-name.
destination-zone-name event.idm.read_only_udm.additional.fields Valor extraído de destination-zone-name e adicionado com a chave destination-zone-name.
service-name event.idm.read_only_udm.target.application Valor extraído de service-name.
application event.idm.read_only_udm.target.application Valor extraído de application (se service-name não estiver presente).
nat-source-address event.idm.read_only_udm.principal.nat_ip Valor extraído de nat-source-address.
nat-source-port event.idm.read_only_udm.principal.nat_port Valor extraído de nat-source-port e convertido em número inteiro.
nat-destination-address event.idm.read_only_udm.target.nat_ip Valor extraído de nat-destination-address.
nat-destination-port event.idm.read_only_udm.target.nat_port Valor extraído de nat-destination-port e convertido em número inteiro.
bytes-from-client event.idm.read_only_udm.network.sent_bytes Valor extraído de bytes-from-client e convertido em um número inteiro sem sinal.
bytes-from-server event.idm.read_only_udm.network.received_bytes Valor extraído de bytes-from-server e convertido em um número inteiro sem sinal.
packets-from-client event.idm.read_only_udm.additional.fields Valor extraído de packets-from-client e adicionado com a chave packets-from-client.
packets-from-server event.idm.read_only_udm.additional.fields Valor extraído de packets-from-server e adicionado com a chave packets-from-server.
elapsed-time event.idm.read_only_udm.additional.fields Valor retirado de elapsed-time e adicionado com a chave elapsed-time.
username event.idm.read_only_udm.principal.user.userid Valor extraído de username.
reason event.idm.read_only_udm.security_result.description Valor extraído de reason.
action event.idm.read_only_udm.security_result.action Se action for accept ou permit, defina como ALLOW. Se action for deny, drop, reject ou close, defina como BLOCK.
hostname event.idm.read_only_udm.principal.hostname Valor extraído do campo de nome do host do syslog.
attack-name event.idm.read_only_udm.security_result.threat_name Valor extraído de attack-name (eventos do IDP).
severity event.idm.read_only_udm.security_result.severity Mapeado da string de gravidade: info para INFORMATIONAL, warning para MEDIUM, error ou major para ERROR, critical para CRITICAL.
event.idm.read_only_udm.metadata.vendor_name Defina como Juniper Networks.
event.idm.read_only_udm.metadata.product_name Defina como SRX Series Firewall.
source-zone event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de alterações
destination-zone event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de alterações
REASON event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
PROFILE event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
host event.idm.read_only_udm.intermediary.hostname e event.idm.read_only_udm.intermediary.asset.hostname Mapeado do registro de mudanças
pid event.idm.read_only_udm.intermediary.process.pid Mapeado do registro de alterações
ppid event.idm.read_only_udm.intermediary.process.product_specific_process_id Mapeado do registro de alterações
CATEGORY event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
type event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
URL event.idm.read_only_udm.target.url Mapeado do registro de alterações
src_value_zone event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
destinationzone event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
NESTED-APPLICATION event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
protocol_value event.idm.read_only_udm.network.ip_protocol Mapeado do registro de alterações
SESSIONID event.idm.read_only_udm.network.session_id Mapeado do registro de alterações
application_value event.idm.read_only_udm.principal.application Mapeado do registro de mudanças
src_address event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
src_mac event.idm.read_only_udm.principal.mac e event.idm.read_only_udm.principal.asset.mac Mapeado do registro de alterações
nat_src_address event.idm.read_only_udm.principal.nat_ip e event.idm.read_only_udm.principal.asset.nat_ip Mapeado do registro de mudanças
nat_src_value_port event.idm.read_only_udm.principal.nat_port Mapeado do registro de alterações
src_value_port event.idm.read_only_udm.principal.port Mapeado do registro de alterações
roles_names event.idm.read_only_udm.principal.user.attribute.roles.name Mapeado do registro de alterações
interface event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
eth_type event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
direction event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
packet_info event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
packets_info event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
src_rule_type event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
src_rule_name event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
srv_name event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
srcpolicyname event.idm.read_only_udm.security_result.rule_name Mapeado do registro de alterações
dest_address event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
dst_mac event.idm.read_only_udm.target.mac e event.idm.read_only_udm.target.asset.mac Mapeado do registro de alterações
nat_dest_address event.idm.read_only_udm.target.nat_ip e event.idm.read_only_udm.target.asset.nat_ip Mapeado do registro de alterações
nat_dest_port event.idm.read_only_udm.target.nat_port Mapeado do registro de alterações
dest_port event.idm.read_only_udm.target.port Mapeado do registro de alterações
target_user_name event.idm.read_only_udm.target.user.userid Mapeado do registro de alterações
user_value event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
RTLOG event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
RT event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
WEBFILTER event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
SNMPD event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
FLOW event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
DH event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
PKID event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
BGP event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
SNMP event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
RPD event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
JTASK event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
KMD event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
APPIDD event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
IFINFO event.idm.ready_only_udm.metadata.product_event_type Mapeado do registro de alterações
sec_desc security_result.description Mapeado do registro de alterações
processid target.process.id Mapeado do registro de alterações
TSr" and "TSi additional.fields Mapeado do registro de alterações
fw intermediary.ip Mapeado do registro de alterações
msg1 security_result.summary Mapeado do registro de alterações
desc metadata.description Mapeado do registro de alterações
local_ip principal.ip Mapeado do registro de alterações
remote_ip target.ip Mapeado do registro de alterações
app principal.application Mapeado do registro de alterações
pid principal.process.pid Mapeado do registro de alterações
event_title metadata.product_event_type Mapeado do registro de alterações
event_message metadata.description Mapeado do registro de alterações
Local-ip principal.ip Mapeado do registro de alterações
Gateway_Name", "vpn", "tunnel_id", "tunnel_if", "Local_IKE_ID", "Remote_IKE_ID", "AAA_username", "VR_id", "Traffic_selector", "Traffic_selector_Remote_ID", "Traffic_selector_local_ID", "SA_Type", "Reason", "threshold", "time-period", and "error-message_data observer.resource.attribute.labels Mapeado do registro de alterações
target_ip target.ip Mapeado do registro de alterações
principal_host principal.hostname Mapeado do registro de alterações
user_id target.user.userid Mapeado do registro de alterações
file_path target.file.full_path Mapeado do registro de alterações
pid_2 target.process.pid Mapeado do registro de alterações
server_ip target.ip Mapeado do registro de alterações
event_time metadata.event_timestamp Mapeado do registro de alterações
ACTION security_result.action_details Mapeado do registro de alterações
SESSION_ID network.session_id Mapeado do registro de alterações
APPLICATION principal.application Mapeado do registro de alterações
pingCtlOwnerIndex", "pingCtlTestName", "usp_lsys_max_num_rpd", "usp_lsys_max_num", "urlcategory_risk", "application_sub_category", "source-zone", "destination-zone", "NESTED-APPLICATION", "CATEGORY", "REASON", "PROFILE", "source_rule", "retrans_timer" and "arp_unicast_mode additional.fields Mapeado do registro de alterações
time metadata.event_timestamp Mapeado do registro de alterações
ident target.application Mapeado do registro de alterações
pid target.process.pid Mapeado do registro de alterações
internal-protocol network.ip_protocol Mapeado do registro de alterações
state security_result.detection_fields Mapeado do registro de alterações
internal-ip principal.ip Mapeado do registro de alterações
reflexive-ip target.ip Mapeado do registro de alterações
internal-port principle.port Mapeado do registro de alterações
reflexive-port target.port Mapeado do registro de alterações
local-address principal.ip Mapeado do registro de alterações
remote-address target.ip Mapeado do registro de alterações
dns-server-address principal.ip Mapeado do registro de alterações
domain-name principal.administrative_domain Mapeado do registro de alterações
argument1 network.direction Mapeado do registro de alterações
test-owner additional.fields Mapeado do registro de alterações
local-initiator additional.fields Mapeado do registro de alterações
test-name additional.fields Mapeado do registro de alterações
SPI additional.fields Mapeado do registro de alterações
AUX-SPI additional.fields Mapeado do registro de alterações
Type additional.fields Mapeado do registro de alterações
error-message security_result.summary Mapeado do registro de alterações
rcvd network.received_bytes Mapeado do registro de alterações
rule-name security_result.rule_id Mapeado do registro de alterações
rulebase-name security_result.detection_fields Mapeado do registro de alterações
export-id security_result.detection_fields Mapeado do registro de alterações
repeat-count security_result.detection_fields Mapeado do registro de alterações
packet-log-id security_result.detection_fields Mapeado do registro de alterações
alert is_alert Mapeado do registro de alterações
outbound-packets network.sent_packets Mapeado do registro de alterações
inbound-packets network.received_packets Mapeado do registro de alterações
outbound-bytes network.sent_bytes Mapeado do registro de alterações
inbound-bytes network.received_bytes Mapeado do registro de alterações
application-characteristics security_result.summary Mapeado do registro de alterações
application-risk security_result.severity_details Mapeado do registro de alterações
application-category security_result.detection_fields Mapeado do registro de alterações
application-sub-category security_result.detection_fields Mapeado do registro de alterações
dst-nat-rule-name security_result.detection_fields Mapeado do registro de alterações
dst-nat-rule-type security_result.detection_fields Mapeado do registro de alterações
src-nat-rule-name security_result.detection_fields Mapeado do registro de alterações
src-nat-rule-type security_result.detection_fields Mapeado do registro de alterações
encrypted security_result.detection_fields Mapeado do registro de alterações
nested-application security_result.detection_fields Mapeado do registro de alterações
packet-incoming-interface security_result.detection_fields Mapeado do registro de alterações
session-id-32 network.session_id Mapeado do registro de alterações
packets-from-client network.sent_packets Mapeado do registro de alterações
packets-from-server network.received_packets Mapeado do registro de alterações
elapsed-time network.session_duration.seconds Mapeado do registro de alterações
source-destination-address principal.nat_ip Mapeado do registro de alterações
source-destination-port principal.nat_port Mapeado do registro de alterações
msg_data security_result.description Mapeado do registro de alterações
threat-severity security_result.severity Mapeado do registro de alterações
app_name target.application Mapeado do registro de alterações
command target.process.command_line Mapeado do registro de alterações
action security_result.action_details Mapeado do registro de alterações
sec_description security_result.description Mapeado do registro de alterações
application-name network.application_protocol Mapeado do registro de alterações
subtype metadata.product_event_type Mapeado do registro de alterações
source-interface-name security_result.detection_fields Mapeado do registro de alterações
destination-interface-name security_result.detection_fields Mapeado do registro de alterações
source-zone-name security_result.detection_fields Mapeado do registro de alterações
destination-zone-name security_result.detection_fields Mapeado do registro de alterações
service-name security_result.detection_fields Mapeado do registro de alterações
application-name security_result.detection_fields Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.