Recopila registros del firewall de la serie SRX de Juniper

Compatible con:

En este documento, se explica cómo transferir registros de firewall de la serie SRX de Juniper a Google Security Operations con Bindplane.

Los firewalls de la serie SRX de Juniper son dispositivos de seguridad de redes de alto rendimiento que proporcionan funciones de firewall de última generación (NGFW), como inspección con estado, detección y prevención de intrusiones (IDP), seguridad para aplicaciones y VPN. Los firewalls SRX generan mensajes de syslog para eventos de tráfico, seguridad, sistema y sesión que se pueden reenviar a plataformas SIEM externas para la supervisión de seguridad centralizada.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o versiones posteriores, o host de Linux con systemd.
  • Conectividad de red entre el agente de Bindplane y el firewall de Juniper SRX.
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
  • Acceso privilegiado al firewall de Juniper SRX (acceso de nivel raíz o de superusuario a través de J-Web o la CLI)

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

  • Implementaciones nuevas: Usa la API de Chronicle (opción 1).
  • Implementaciones heredadas: Sigue usando el archivo de autenticación de la API de Ingestion (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.
  1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
  2. Ve a IAM y administración > Cuentas de servicio.
  3. Haga clic en Crear cuenta de servicio.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
    • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
  5. Haz clic en Crear y continuar.
  6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
  7. Haz clic en Continuar y, luego, en Listo.
  8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
  9. Haz clic en Agregar clave > Crear clave nueva.
  10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
  11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
  12. Ve a IAM y administración > Configuración y copia el número de proyecto. Lo necesitarás para la configuración del exportador.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.
  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.
  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "[https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi](https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi)" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

El servicio debe mostrarse como RUNNING.

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL [https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh](https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh))" install_unix.sh

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sudo systemctl status observiq-otel-collector

El servicio debería mostrarse como active (running).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solución de problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml por la siguiente configuración:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/juniper_firewall:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: chronicle.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/juniper_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/juniper_firewall

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • listen_address: Es la dirección IP y el puerto que se escucharán. Usa 0.0.0.0 para escuchar en todas las interfaces. El puerto 514 es el puerto estándar de syslog (requiere privilegios de administrador en Linux). Usa 1514 para implementaciones que no sean raíz.

  • Configuración del exportador:

    • creds_file_path: Ruta de acceso completa al archivo de claves JSON de la cuenta de servicio (opción 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: Es el ID de cliente de Google SecOps.
    • location: Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor. Consulta Extremos regionales para obtener la lista completa.
    • project: Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
    • endpoint: Mantén la configuración como chronicle.googleapis.com.
    • ingestion_labels: Son etiquetas opcionales en formato YAML (por ejemplo, env: production).

Exportador de la API de transferencia heredada

  • Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por el siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de la transferencia y, si tu instancia se encuentra fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/juniper_firewall:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'your-customer-id-here'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: JUNIPER_FIREWALL
    raw_log_field: body
    ingestion_labels:
      env: production

Guarda el archivo de configuración

  • Después de editarlo, guarda el archivo:
    • Linux: Presiona Ctrl+O, luego Enter y, por último, Ctrl+X.
    • Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, haz lo siguiente:

  1. Ejecuta el comando siguiente:

    sudo systemctl restart observiq-otel-collector

  2. Verifica que el servicio esté en ejecución:

    sudo systemctl status observiq-otel-collector

  3. Revisa los registros en busca de errores:

    sudo journalctl -u observiq-otel-collector -f

Para reiniciar el agente de Bindplane en Windows, haz lo siguiente:

  1. Elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Consola de servicios:
      1. Presiona Win+R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Reiniciar.

  2. Verifica que el servicio esté en ejecución:

    sc query observiq-otel-collector

  3. Revisa los registros en busca de errores:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura el reenvío de Syslog de Juniper SRX

Configura el firewall de Juniper SRX para que reenvíe mensajes de Syslog al agente de BindPlane.

Uso de la interfaz J-Web

  1. Accede a la interfaz J-Web de Juniper SRX.
  2. Ve a Configurar > Propiedades del sistema > Syslog.
  3. Haz clic en Agregar en la sección Host para agregar un servidor syslog nuevo.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre de host: Ingresa la dirección IP del host del agente de Bindplane (por ejemplo, 192.168.1.100).
    • Puerto: Ingresa 514 (o el puerto configurado en el agente de Bindplane).
    • Prefijo del registro: Es el prefijo opcional para los mensajes de registro.
    • Instalación: Selecciona la instalación y los niveles de gravedad que deseas reenviar:
      • any: Selecciona el nivel de gravedad info o uno superior.
  5. En el campo Dirección de origen, ingresa la IP de la interfaz de administración del SRX (opcional, pero recomendado para una identificación de origen coherente).
  6. Haz clic en Aceptar para guardar los cambios.
  7. Haz clic en Commit para aplicar la configuración.

Usa la CLI de Junos

  1. Conéctate al Juniper SRX a través de SSH o la consola.

  2. Ingresa al modo de configuración:

    configure

  3. Configura el host de Syslog:

    set system syslog host BINDPLANE_IP any info
set system syslog host BINDPLANE_IP port 514
set system syslog host BINDPLANE_IP source-address SRX_MGMT_IP
set system syslog host BINDPLANE_IP structured-data

    Reemplaza lo siguiente:

    • BINDPLANE_IP: Es la dirección IP del host del agente de Bindplane.
    • SRX_MGMT_IP: Es la dirección IP de administración del firewall SRX.

  4. Configura la transmisión de registros de seguridad (para registros de tráfico y de sesión):

    set security log mode stream
set security log source-address SRX_MGMT_IP
set security log stream chronicle-stream host BINDPLANE_IP
set security log stream chronicle-stream port 514
set security log stream chronicle-stream transport protocol udp
set security log stream chronicle-stream format sd-syslog
set security log stream chronicle-stream severity info
set security log stream chronicle-stream category all

    Reemplaza lo siguiente:

    • BINDPLANE_IP: Es la dirección IP del host del agente de Bindplane.
    • SRX_MGMT_IP: Es la dirección IP de administración del firewall SRX.

  5. Confirma la configuración:

    commit

  6. Verifica la configuración de syslog:

    show system syslog
show security log

Configura categorías de registros específicas

  • Para reenviar tipos de registros específicos, configura instalaciones individuales:

    set system syslog host BINDPLANE_IP firewall any
set system syslog host BINDPLANE_IP authorization info
set system syslog host BINDPLANE_IP daemon info
set system syslog host BINDPLANE_IP kernel info
set system syslog host BINDPLANE_IP interactive-commands info

Reemplaza BINDPLANE_IP por la dirección IP del host del agente de Bindplane.

Verifica el reenvío de syslog

  1. En el SRX, ejecuta el siguiente comando para ver los destinos de syslog activos:

    show system syslog

  2. Generar tráfico de prueba a través del firewall y verificar que los registros aparezcan en los registros del agente de Bindplane

Para obtener más información, consulta la documentación de la serie SRX de Juniper.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
source-address event.idm.read_only_udm.principal.ip El valor se toma de source-address.
source-port event.idm.read_only_udm.principal.port Es el valor tomado de source-port y convertido en un número entero.
destination-address event.idm.read_only_udm.target.ip El valor se toma de destination-address.
destination-port event.idm.read_only_udm.target.port Es el valor tomado de destination-port y convertido en un número entero.
protocol-id event.idm.read_only_udm.network.ip_protocol Se asigna del número de protocolo al nombre (6=TCP, 17=UDP, 1=ICMP).
policy-name event.idm.read_only_udm.security_result.rule_name El valor se toma de policy-name.
source-zone-name event.idm.read_only_udm.additional.fields Se toma el valor de source-zone-name y se agrega con la clave source-zone-name.
destination-zone-name event.idm.read_only_udm.additional.fields Valor tomado de destination-zone-name y agregado con la clave destination-zone-name.
service-name event.idm.read_only_udm.target.application El valor se toma de service-name.
application event.idm.read_only_udm.target.application El valor se toma de application (si service-name no está presente).
nat-source-address event.idm.read_only_udm.principal.nat_ip El valor se toma de nat-source-address.
nat-source-port event.idm.read_only_udm.principal.nat_port Es el valor tomado de nat-source-port y convertido en un número entero.
nat-destination-address event.idm.read_only_udm.target.nat_ip Valor tomado de nat-destination-address.
nat-destination-port event.idm.read_only_udm.target.nat_port Es el valor tomado de nat-destination-port y convertido en un número entero.
bytes-from-client event.idm.read_only_udm.network.sent_bytes Valor tomado de bytes-from-client y convertido en un número entero sin signo.
bytes-from-server event.idm.read_only_udm.network.received_bytes Valor tomado de bytes-from-server y convertido en un número entero sin signo.
packets-from-client event.idm.read_only_udm.additional.fields Valor tomado de packets-from-client y agregado con la clave packets-from-client.
packets-from-server event.idm.read_only_udm.additional.fields Valor tomado de packets-from-server y agregado con la clave packets-from-server.
elapsed-time event.idm.read_only_udm.additional.fields Se toma el valor de elapsed-time y se agrega con la clave elapsed-time.
username event.idm.read_only_udm.principal.user.userid Valor tomado de username.
reason event.idm.read_only_udm.security_result.description Valor tomado de reason.
action event.idm.read_only_udm.security_result.action Si action es accept o permit, se establece en ALLOW. Si action es deny, drop, reject o close, configúralo como BLOCK.
hostname event.idm.read_only_udm.principal.hostname Valor tomado del campo de nombre de host de syslog.
attack-name event.idm.read_only_udm.security_result.threat_name Valor tomado de attack-name (eventos de IDP).
severity event.idm.read_only_udm.security_result.severity Se asignó de la cadena de gravedad: info a INFORMATIONAL, warning a MEDIUM, error o major a ERROR, critical a CRITICAL.
event.idm.read_only_udm.metadata.vendor_name Se define en Juniper Networks.
event.idm.read_only_udm.metadata.product_name Se define en SRX Series Firewall.
source-zone event.idm.read_only_udm.principal.resource.attribute.labels Asignado desde el registro de cambios
destination-zone event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
REASON event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
PROFILE event.idm.read_only_udm.security_result.detection_fields Se asignó desde el registro de cambios
host event.idm.read_only_udm.intermediary.hostname y event.idm.read_only_udm.intermediary.asset.hostname Se asignó desde el registro de cambios
pid event.idm.read_only_udm.intermediary.process.pid Asignado desde el registro de cambios
ppid event.idm.read_only_udm.intermediary.process.product_specific_process_id Asignado desde el registro de cambios
CATEGORY event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
type event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
URL event.idm.read_only_udm.target.url Asignado desde el registro de cambios
src_value_zone event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
destinationzone event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
NESTED-APPLICATION event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
protocol_value event.idm.read_only_udm.network.ip_protocol Asignado desde el registro de cambios
SESSIONID event.idm.read_only_udm.network.session_id Asignado desde el registro de cambios
application_value event.idm.read_only_udm.principal.application Asignado desde el registro de cambios
src_address event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Asignado desde el registro de cambios
src_mac event.idm.read_only_udm.principal.mac y event.idm.read_only_udm.principal.asset.mac Se asignó desde el registro de cambios
nat_src_address event.idm.read_only_udm.principal.nat_ip y event.idm.read_only_udm.principal.asset.nat_ip Asignado desde el registro de cambios
nat_src_value_port event.idm.read_only_udm.principal.nat_port Asignado desde el registro de cambios
src_value_port event.idm.read_only_udm.principal.port Asignado desde el registro de cambios
roles_names event.idm.read_only_udm.principal.user.attribute.roles.name Asignado desde el registro de cambios
interface event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
eth_type event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
direction event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
packet_info event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
packets_info event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
src_rule_type event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
src_rule_name event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
srv_name event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
srcpolicyname event.idm.read_only_udm.security_result.rule_name Asignado desde el registro de cambios
dest_address event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Se asignó desde el registro de cambios
dst_mac event.idm.read_only_udm.target.mac y event.idm.read_only_udm.target.asset.mac Asignado desde el registro de cambios
nat_dest_address event.idm.read_only_udm.target.nat_ip y event.idm.read_only_udm.target.asset.nat_ip Asignado desde el registro de cambios
nat_dest_port event.idm.read_only_udm.target.nat_port Asignado desde el registro de cambios
dest_port event.idm.read_only_udm.target.port Asignado desde el registro de cambios
target_user_name event.idm.read_only_udm.target.user.userid Asignado desde el registro de cambios
user_value event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
RTLOG event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
RT event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
WEBFILTER event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
SNMPD event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
FLOW event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
DH event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
PKID event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
BGP event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
SNMP event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
RPD event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
JTASK event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
KMD event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
APPIDD event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
IFINFO event.idm.ready_only_udm.metadata.product_event_type Asignado desde el registro de cambios
sec_desc security_result.description Asignado desde el registro de cambios
processid target.process.id Asignado desde el registro de cambios
TSr" and "TSi additional.fields Asignado desde el registro de cambios
fw intermediary.ip Asignado desde el registro de cambios
msg1 security_result.summary Asignado desde el registro de cambios
desc metadata.description Asignado desde el registro de cambios
local_ip principal.ip Asignado desde el registro de cambios
remote_ip target.ip Asignado desde el registro de cambios
app principal.application Asignado desde el registro de cambios
pid principal.process.pid Asignado desde el registro de cambios
event_title metadata.product_event_type Asignado desde el registro de cambios
event_message metadata.description Asignado desde el registro de cambios
Local-ip principal.ip Asignado desde el registro de cambios
Gateway_Name", "vpn", "tunnel_id", "tunnel_if", "Local_IKE_ID", "Remote_IKE_ID", "AAA_username", "VR_id", "Traffic_selector", "Traffic_selector_Remote_ID", "Traffic_selector_local_ID", "SA_Type", "Reason", "threshold", "time-period", and "error-message_data observer.resource.attribute.labels Asignado desde el registro de cambios
target_ip target.ip Asignado desde el registro de cambios
principal_host principal.hostname Asignado desde el registro de cambios
user_id target.user.userid Asignado desde el registro de cambios
file_path target.file.full_path Asignado desde el registro de cambios
pid_2 target.process.pid Asignado desde el registro de cambios
server_ip target.ip Asignado desde el registro de cambios
event_time metadata.event_timestamp Asignado desde el registro de cambios
ACTION security_result.action_details Asignado desde el registro de cambios
SESSION_ID network.session_id Asignado desde el registro de cambios
APPLICATION principal.application Asignado desde el registro de cambios
pingCtlOwnerIndex", "pingCtlTestName", "usp_lsys_max_num_rpd", "usp_lsys_max_num", "urlcategory_risk", "application_sub_category", "source-zone", "destination-zone", "NESTED-APPLICATION", "CATEGORY", "REASON", "PROFILE", "source_rule", "retrans_timer" and "arp_unicast_mode additional.fields Asignado desde el registro de cambios
time metadata.event_timestamp Asignado desde el registro de cambios
ident target.application Asignado desde el registro de cambios
pid target.process.pid Asignado desde el registro de cambios
internal-protocol network.ip_protocol Asignado desde el registro de cambios
state security_result.detection_fields Asignado desde el registro de cambios
internal-ip principal.ip Asignado desde el registro de cambios
reflexive-ip target.ip Asignado desde el registro de cambios
internal-port principle.port Asignado desde el registro de cambios
reflexive-port target.port Asignado desde el registro de cambios
local-address principal.ip Asignado desde el registro de cambios
remote-address target.ip Asignado desde el registro de cambios
dns-server-address principal.ip Asignado desde el registro de cambios
domain-name principal.administrative_domain Asignado desde el registro de cambios
argument1 network.direction Asignado desde el registro de cambios
test-owner additional.fields Asignado desde el registro de cambios
local-initiator additional.fields Asignado desde el registro de cambios
test-name additional.fields Asignado desde el registro de cambios
SPI additional.fields Asignado desde el registro de cambios
AUX-SPI additional.fields Asignado desde el registro de cambios
Type additional.fields Asignado desde el registro de cambios
error-message security_result.summary Asignado desde el registro de cambios
rcvd network.received_bytes Asignado desde el registro de cambios
rule-name security_result.rule_id Asignado desde el registro de cambios
rulebase-name security_result.detection_fields Asignado desde el registro de cambios
export-id security_result.detection_fields Asignado desde el registro de cambios
repeat-count security_result.detection_fields Asignado desde el registro de cambios
packet-log-id security_result.detection_fields Asignado desde el registro de cambios
alert is_alert Asignado desde el registro de cambios
outbound-packets network.sent_packets Asignado desde el registro de cambios
inbound-packets network.received_packets Asignado desde el registro de cambios
outbound-bytes network.sent_bytes Asignado desde el registro de cambios
inbound-bytes network.received_bytes Asignado desde el registro de cambios
application-characteristics security_result.summary Asignado desde el registro de cambios
application-risk security_result.severity_details Asignado desde el registro de cambios
application-category security_result.detection_fields Asignado desde el registro de cambios
application-sub-category security_result.detection_fields Asignado desde el registro de cambios
dst-nat-rule-name security_result.detection_fields Asignado desde el registro de cambios
dst-nat-rule-type security_result.detection_fields Asignado desde el registro de cambios
src-nat-rule-name security_result.detection_fields Asignado desde el registro de cambios
src-nat-rule-type security_result.detection_fields Asignado desde el registro de cambios
encrypted security_result.detection_fields Asignado desde el registro de cambios
nested-application security_result.detection_fields Asignado desde el registro de cambios
packet-incoming-interface security_result.detection_fields Asignado desde el registro de cambios
session-id-32 network.session_id Asignado desde el registro de cambios
packets-from-client network.sent_packets Asignado desde el registro de cambios
packets-from-server network.received_packets Asignado desde el registro de cambios
elapsed-time network.session_duration.seconds Asignado desde el registro de cambios
source-destination-address principal.nat_ip Asignado desde el registro de cambios
source-destination-port principal.nat_port Asignado desde el registro de cambios
msg_data security_result.description Asignado desde el registro de cambios
threat-severity security_result.severity Asignado desde el registro de cambios
app_name target.application Asignado desde el registro de cambios
command target.process.command_line Asignado desde el registro de cambios
action security_result.action_details Asignado desde el registro de cambios
sec_description security_result.description Asignado desde el registro de cambios
application-name network.application_protocol Asignado desde el registro de cambios
subtype metadata.product_event_type Asignado desde el registro de cambios
source-interface-name security_result.detection_fields Asignado desde el registro de cambios
destination-interface-name security_result.detection_fields Asignado desde el registro de cambios
source-zone-name security_result.detection_fields Asignado desde el registro de cambios
destination-zone-name security_result.detection_fields Asignado desde el registro de cambios
service-name security_result.detection_fields Asignado desde el registro de cambios
application-name security_result.detection_fields Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.