Kaspersky Endpoint Security-Protokolle erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Kaspersky Endpoint Security-Logs mit Bindplane in Google Security Operations aufnehmen können. Kaspersky Endpoint Security bietet mehrstufigen Schutz vor Malware, Ransomware, Exploits und erweiterten Bedrohungen auf Endpunkten mit Windows, macOS und Linux. Kaspersky Security Center (KSC) ist die zentrale Verwaltungskonsole, die Ereignisse von allen verwalteten Endpunkten zusammenfasst und die Syslog-Weiterleitung für die SIEM-Integration unterstützt.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz.
  • Ein Windows 2016- oder höherer oder Linux-Host mit systemd.
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf die Kaspersky Security Center (KSC) Verwaltungskonsole oder Web Console.
  • Kaspersky Security Center 14 oder höher mit installierter SIEM-Integrationskomponente.

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten gemäß der folgenden Anleitung auf Ihrem Windows- oder Linux-Betriebssystem.

Windows-Installation

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in dieser Installationsanleitung.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

  1. Konfigurationsdatei aufrufen:

    • Suchen Sie die Datei config.yaml. In der Regel befindet sie sich unter Linux im Verzeichnis /observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'KASPERSKY_AV'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
  • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
  • Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
  • Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.
  • Ersetzen Sie <PLACEHOLDER_CUSTOMER_ID> durch die tatsächliche Kundennummer.
  • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, unter dem die Schlüsseldatei des Dienstkontos (Option 1) im Abschnitt Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen gespeichert wurde.

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <PLACEHOLDER_CUSTOMER_ID>
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'KASPERSKY_AV'
    raw_log_field: body
    ingestion_labels:

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

  1. Führen Sie dazu diesen Befehl aus:

    sudo systemctl restart observiq-otel-collector

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sudo systemctl status observiq-otel-collector

  3. Prüfen Sie die Logs auf Fehler:

    sudo journalctl -u observiq-otel-collector -f

So starten Sie den Bindplane-Agenten unter Windows neu:

  1. Wählen Sie eine der folgenden Optionen aus:

    • Eingabeaufforderung oder PowerShell als Administrator:
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Dienstkonsole:
      1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
      2. Suchen Sie nach observIQ OpenTelemetry Collector.
      3. Rechtsklicken Sie und wählen Sie Neu starten aus.

  2. Prüfen Sie, ob der Dienst ausgeführt wird:

    sc query observiq-otel-collector

  3. Prüfen Sie die Logs auf Fehler:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Syslog-Weiterleitung für Kaspersky Security Center konfigurieren

  1. Melden Sie sich in der Kaspersky Security Center-Webkonsole an oder öffnen Sie die Verwaltungskonsole (MMC).
  2. Gehen Sie zu Administration Server > Properties (oder klicken Sie mit der rechten Maustaste auf den Knoten „Administration Server“ und wählen Sie Properties aus).
  3. Rufen Sie im Eigenschaftenfenster Ereignisexport > SIEM auf.
  4. Klicken Sie das Kästchen Ereignisse automatisch in die Datenbank des SIEM-Systems exportieren an.
  5. Geben Sie die folgenden Konfigurationsdetails an:
    • SIEM-System: Wählen Sie Sonstiges aus.
    • SIEM-Systemserveradresse: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
    • SIEM-Systemserverport: Geben Sie 514 ein (oder den in Bindplane konfigurierten Port).
    • Protokoll: Wählen Sie TCP aus.
    • Format: Wählen Sie Syslog (CEF-Format) aus.

  6. Klicken Sie auf Zu exportierende Ereignisse, um die Ereigniskategorien auszuwählen, die weitergeleitet werden sollen:

    1. Klicken Sie das Kästchen Kritische Ereignisse an.
    2. Klicken Sie das Kästchen Funktionsfehler an.
    3. Klicken Sie das Kästchen Warnung an.
    4. Wählen Sie das Kästchen Info aus.

  7. Klicken Sie auf OK, um die SIEM-Exportkonfiguration zu speichern.

  8. Gehen Sie zu Administrationsserver > Ereignisse.

  9. Prüfen Sie in den Bindplane-Agent-Logs, ob Ereignisse angezeigt werden und die Syslog-Zustellung aktiv ist.

Weitere Informationen finden Sie in der Dokumentation zum Kaspersky Security Center zur SIEM-Integration.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
message about Zugeordnet: CEF:0 → about
deviceNtDomain about.administrative_domain Umbenannt/zugeordnet
deviceExternalId about.asset.asset_id Direkt zugeordnet
device_product about.asset.asset_id Direkt zugeordnet
device_vendor about.asset.asset_id Direkt zugeordnet
fileHash about.file.full_path Direkt zugeordnet
filePath about.file.full_path Umbenannt/zugeordnet
_hash about.file.sha256 Umbenannt/zugeordnet
fileHash about.file.sha256 Umbenannt/zugeordnet
fsize about.file.size Umbenannt/zugeordnet
dvchost about.hostname Umbenannt/zugeordnet
ips about.ip Zusammengeführt
message about.ip Zugeordnet: CEF:0 → ips
dvc_mac about.mac Zugeordnet: slot → mac_address
dvcmac about.mac Zusammengeführt
mac_address about.mac Zusammengeführt
message about.mac Zugeordnet: CEF:0 → mac_address, CEF:0 → dvcmac
deviceTranslatedAddress about.nat_ip Zusammengeführt
message about.nat_ip Zugeordnet: CEF:0 → deviceTranslatedAddress
Emne about.process.command_line Direkt zugeordnet
Path about.process.command_line Direkt zugeordnet
Subject about.process.command_line Direkt zugeordnet
deviceProcessName about.process.command_line Umbenannt/zugeordnet
dvcpid about.process.pid Umbenannt/zugeordnet
message about.resource.attribute.permissions Zugeordnet: CEF:0 → permissions
permissions about.resource.attribute.permissions Zusammengeführt
additional_cfp1 additional.fields Zusammengeführt
additional_cfp2 additional.fields Zusammengeführt
additional_cfp3 additional.fields Zusammengeführt
additional_cfp4 additional.fields Zusammengeführt
additional_cn1 additional.fields Zusammengeführt
additional_cn2 additional.fields Zusammengeführt
additional_cn3 additional.fields Zusammengeführt
additional_cs1 additional.fields Zusammengeführt
additional_cs2 additional.fields Zusammengeführt
additional_cs3 additional.fields Zusammengeführt
additional_cs4 additional.fields Zusammengeführt
additional_cs5 additional.fields Zusammengeführt
additional_cs6 additional.fields Zusammengeführt
additional_cs7 additional.fields Zusammengeführt
additional_devicePayloadId additional.fields Zusammengeführt
additional_eventId additional.fields Zusammengeführt
additional_flexString1 additional.fields Zusammengeführt
additional_fname additional.fields Zusammengeführt
cn1_label additional.fields Zusammengeführt
cs2 additional.fields Zugeordnet: arc_test → additional_cs2
cs5_label additional.fields Zusammengeführt
cs9_label additional.fields Zusammengeführt
event_component_label additional.fields Zusammengeführt
event_type_label additional.fields Zusammengeführt
kl_event_status_label additional.fields Zusammengeführt
message additional.fields Zugeordnete Werte (insgesamt 25, z.B. CEF:0 → additional_eventId, CEF:0 → `additional_devicePa...
tdn_label additional.fields Zusammengeführt
message extensions.vulns.vulnerabilities Zugeordnet: CEF:0 → vulnerabilities
vulnerabilities extensions.vulns.vulnerabilities Zusammengeführt
message intermediary Zugeordnet: CEF:0 → intermediary
intermediary_host intermediary.hostname Direkt zugeordnet
intermediary_hostname intermediary.hostname Direkt zugeordnet
meta_description metadata.description Direkt zugeordnet
msg metadata.description Umbenannt/zugeordnet
Generated metadata.event_timestamp Geparst als yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Geparst als yyyy-MM-ddTHH:mm:ss
formatted_timestamp metadata.event_timestamp Geparst als yyyy-MM-ddTHH:mm:ss Z
rt metadata.event_timestamp Geparst als yyyy-MM-ddTHH:mm:ssZ
time metadata.event_timestamp Geparst als ISO8601
ts metadata.event_timestamp Geparst als ISO8601
event_name metadata.event_type Zugeordnet: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
event_type metadata.event_type Direkt zugeordnet
event_type_set metadata.event_type Zugeordnet: false → NETWORK_CONNECTION, false → STATUS_UPDATE
message metadata.event_type Zugeordnete Werte (insgesamt 7, z.B. CEF:0 → PROCESS_UNCATEGORIZED, CEF:0 → `SCAN_UNCATEGORIZE...
target_hostname_present metadata.event_type Zugeordnet: true → USER_UNCATEGORIZED
device_event_class_id metadata.product_event_type Direkt zugeordnet
et metadata.product_event_type Direkt zugeordnet
event_name metadata.product_event_type Direkt zugeordnet
product_event_type metadata.product_event_type Direkt zugeordnet
externalId metadata.product_log_id Direkt zugeordnet
device_product metadata.product_name Direkt zugeordnet
message metadata.product_name Zugeordnet: CEF:0 → SecurityCenter, CEF:0 → KASPERSKY_AV
device_version metadata.product_version Direkt zugeordnet
device_vendor metadata.vendor_name Umbenannt/zugeordnet
message metadata.vendor_name Zugeordnet: CEF:0 → KasperskyLab, CEF:0 → KASPERSKY
app_protocol_output network.application_protocol Direkt zugeordnet
message network.application_protocol Zugeordnet: CEF:0 → HTTP
protocol network.application_protocol Zugeordnet: (?i)http → HTTP
deviceDirection network.direction Zugeordnet: 0 → INBOUND, 1 → OUTBOUND
message network.direction Zugeordnet: CEF:0 → INBOUND, CEF:0 → OUTBOUND
method network.http.method Direkt zugeordnet
requestMethod network.http.method Umbenannt/zugeordnet
url network.http.referral_url Direkt zugeordnet
Application network.http.user_agent Direkt zugeordnet
description network.http.user_agent Direkt zugeordnet
requestClientApplication network.http.user_agent Umbenannt/zugeordnet
ip_protocol_out network.ip_protocol Direkt zugeordnet
in network.received_bytes Umbenannt/zugeordnet
out network.sent_bytes Umbenannt/zugeordnet
domain principal.administrative_domain Direkt zugeordnet
sntdom principal.administrative_domain Umbenannt/zugeordnet
sourceServiceName principal.application Umbenannt/zugeordnet
ip principal.asset.ip Zusammengeführt
message principal.asset.ip Zugeordnet: CEF:0 → ip
Group_name principal.group.group_display_name Direkt zugeordnet
Gruppenavn principal.group.group_display_name Direkt zugeordnet
Device_name principal.hostname Direkt zugeordnet
Enhetsnavn principal.hostname Direkt zugeordnet
description principal.hostname Direkt zugeordnet
hdn principal.hostname Direkt zugeordnet
host_name principal.hostname Direkt zugeordnet
shost principal.hostname Umbenannt/zugeordnet
hip principal.ip Zusammengeführt
ip principal.ip Zusammengeführt
message principal.ip Zugeordnet: CEF:0 → principal_ip, CEF:0 → shost, CEF:0 → ip, CEF:0 → hip
principal_ip principal.ip Zusammengeführt
shost principal.ip Zusammengeführt
mac principal.mac Zusammengeführt
message principal.mac Zugeordnet: CEF:0 → mac
message principal.nat_ip Zugeordnet: CEF:0 → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Zusammengeführt
sourceTranslatedPort principal.nat_port Umbenannt/zugeordnet
spt principal.port Umbenannt/zugeordnet
sproc principal.process.command_line Umbenannt/zugeordnet
Process ID principal.process.pid Direkt zugeordnet
spid principal.process.pid Umbenannt/zugeordnet
message principal.user.attribute.roles Zugeordnet: CEF:0 → principal_role
principal_role principal.user.attribute.roles Zusammengeführt
p7 principal.user.user_display_name Direkt zugeordnet
suser principal.user.user_display_name Direkt zugeordnet
user_name principal.user.user_display_name Direkt zugeordnet
username principal.user.user_display_name Direkt zugeordnet
suid principal.user.userid Umbenannt/zugeordnet
message security_result Zugeordnet: CEF:0 → security_result
gn_label security_result.about.labels Zusammengeführt
label_task_name security_result.about.labels Zusammengeführt
message security_result.about.labels Zugeordnet: CEF:0 → gn_label, CEF:0 → rtid_labels, CEF:0 → label_task_name
rtid_labels security_result.about.labels Zusammengeführt
_action security_result.action Zusammengeführt
act security_result.action Zugeordnet: accept → _action, deny → _action
message security_result.action Zugeordnet: CEF:0 → _action, CEF:0 → sr_action
sr_action security_result.action Zusammengeführt
Action_Taken security_result.action_details Direkt zugeordnet
act security_result.action_details Direkt zugeordnet
Content category security_result.category_details Zusammengeführt
cat security_result.category_details Zusammengeführt
et security_result.category_details Zusammengeführt
message security_result.category_details Zugeordnet: CEF:0 → cat, CEF:0 → Content category, CEF:0 → et
Result description security_result.description Umbenannt/zugeordnet
Rule security_result.description Direkt zugeordnet
Scan_Type security_result.description Direkt zugeordnet
Type security_result.description Direkt zugeordnet
description security_result.description Direkt zugeordnet
label security_result.description Direkt zugeordnet
msg_data_2 security_result.description Direkt zugeordnet
bid_id_label security_result.detection_fields Zusammengeführt
certificate_verification_status_label security_result.detection_fields Zusammengeführt
et2_label security_result.detection_fields Zusammengeführt
exchange_label security_result.detection_fields Zusammengeführt
ifm_ori_label security_result.detection_fields Zusammengeführt
infection_channel_label security_result.detection_fields Zusammengeführt
message security_result.detection_fields Zugeordnete Werte (insgesamt 20, z.B. CEF:0 → operation_label, CEF:0 → operasjon_label, `CEF...
object_name_label security_result.detection_fields Zusammengeführt
object_path_label security_result.detection_fields Zusammengeführt
object_type_label security_result.detection_fields Zusammengeführt
operasjon_label security_result.detection_fields Zusammengeführt
operation_label security_result.detection_fields Zusammengeführt
permission_label security_result.detection_fields Zusammengeführt
pub_label security_result.detection_fields Zusammengeführt
publisher_id_label security_result.detection_fields Zusammengeführt
sec_id_label security_result.detection_fields Zusammengeführt
site_id_label security_result.detection_fields Zusammengeführt
spyware_Grayware_Type_label security_result.detection_fields Zusammengeführt
threat_probability_label security_result.detection_fields Zusammengeführt
tillatelse_label security_result.detection_fields Zusammengeführt
xrtb_id_label security_result.detection_fields Zusammengeführt
mwProfile security_result.rule_name Direkt zugeordnet
p5 security_result.rule_name Direkt zugeordnet
message security_result.severity Zugeordnet: CEF:0 → LOW, CEF:0 → MEDIUM, CEF:0 → HIGH, CEF:0 → CRITICAL
severity security_result.severity Zugeordnet: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"...
Erreur security_result.summary Direkt zugeordnet
Reason security_result.summary Direkt zugeordnet
Result security_result.summary Direkt zugeordnet
appcategory security_result.summary Direkt zugeordnet
cs10 security_result.summary Direkt zugeordnet
reason security_result.summary Umbenannt/zugeordnet
summary security_result.summary Direkt zugeordnet
Spyware security_result.threat_name Direkt zugeordnet
Type security_result.threat_name Direkt zugeordnet
Unknown_Threat security_result.threat_name Direkt zugeordnet
Virus_Malware_Name security_result.threat_name Direkt zugeordnet
oldFilePath src.file.full_path Umbenannt/zugeordnet
oldFileSize src.file.size Umbenannt/zugeordnet
message src.resource.attribute.permissions Zugeordnet: CEF:0 → old_permissions
old_permissions src.resource.attribute.permissions Zusammengeführt
dntdom target.administrative_domain Umbenannt/zugeordnet
destinationServiceName target.application Umbenannt/zugeordnet
name target.file.full_path Direkt zugeordnet
file_name target.file.names Zusammengeführt
message target.file.names Zugeordnet: CEF:0 → file_name
temp_dhost target.hostname Direkt zugeordnet
IPv6_Address target.ip Zusammengeführt
dst_ip target.ip Zusammengeführt
ipv6 target.ip Zugeordnet: - → IPv6_Address
message target.ip Zugeordnet: CEF:0 → dst_ip, CEF:0 → IPv6_Address
mac_address target.mac Zusammengeführt
message target.mac Zugeordnet: CEF:0 → mac_address
destination_translated_address target.nat_ip Zusammengeführt
message target.nat_ip Zugeordnet: CEF:0 → destination_translated_address
destinationTranslatedPort target.nat_port Umbenannt/zugeordnet
dpt target.port Umbenannt/zugeordnet
dproc target.process.command_line Umbenannt/zugeordnet
Application path target.process.file.full_path Direkt zugeordnet
File_name target.process.file.full_path Direkt zugeordnet
Infected_Resource target.process.file.full_path Direkt zugeordnet
Name target.process.file.full_path Direkt zugeordnet
Nom target.process.file.full_path Direkt zugeordnet
Object target.process.file.full_path Direkt zugeordnet
Objekt target.process.file.full_path Direkt zugeordnet
application_path target.process.file.full_path Direkt zugeordnet
p2 target.process.file.full_path Direkt zugeordnet
MD5 target.process.file.md5 Direkt zugeordnet
MD5 file hash target.process.file.md5 Direkt zugeordnet
md5 target.process.file.md5 Direkt zugeordnet
File SHA256 hash target.process.file.sha256 Direkt zugeordnet
SHA256 target.process.file.sha256 Direkt zugeordnet
p1 target.process.file.sha256 Direkt zugeordnet
dpid target.process.pid Umbenannt/zugeordnet
process_id target.process.pid Direkt zugeordnet
cs4_label target.resource.attribute.labels Zusammengeführt
message target.resource.attribute.labels Zugeordnet: CEF:0 → resource_Type_label, CEF:0 → cs4_label
resource_Type_label target.resource.attribute.labels Zusammengeführt
Component target.resource.name Direkt zugeordnet
message target.resource.type Zugeordnet: CEF:0 → DATABASE, Content category source → DATABASE
source target.resource.type Zugeordnet: databases → DATABASE
Requested web page target.url Direkt zugeordnet
request target.url Direkt zugeordnet
message target.user.attribute.roles Zugeordnet: CEF:0 → target_role
target_role target.user.attribute.roles Zusammengeführt
CustomerName target.user.user_display_name Direkt zugeordnet
temp_duser target.user.user_display_name Direkt zugeordnet
Bruker target.user.userid Direkt zugeordnet
User_value target.user.userid Direkt zugeordnet
temp_duid target.user.userid Direkt zugeordnet
– metadata.event_type Konstante: PROCESS_UNCATEGORIZED
– metadata.product_name Konstante: SecurityCenter
– metadata.vendor_name Konstante: KasperskyLab
– network.application_protocol Konstante: HTTP
– network.direction Konstante: INBOUND
– security_result.severity Konstante: LOW
– target.resource.type Konstante: DATABASE
cs9 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cn1 event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
kl_event_status event.idm.read_only_udm.additional.fields Aus Änderungsprotokoll zugeordnet
cs10 event.idm.read_only_udm.security_result.summary Aus Änderungsprotokoll zugeordnet
cs4 event.idm.read_only_udm.target.resource.attribute.labels Aus Änderungsprotokoll zugeordnet
vendor_name event.idm.read_only_udm.metadata.vendor_name Aus Änderungsprotokoll zugeordnet
product_name event.idm.read_only_udm.metadata.product_name Aus Änderungsprotokoll zugeordnet
Event_Component additional.fields Aus Änderungsprotokoll zugeordnet
EventType additional.fields Aus Änderungsprotokoll zugeordnet
threat_level vulnerabilities.severity_details Aus Änderungsprotokoll zugeordnet
Hachage SHA256", "p1 target.process.file.sha256 Aus Änderungsprotokoll zugeordnet
Hachage MD5", "md5 target.process.file.md5 Aus Änderungsprotokoll zugeordnet
intermediary event.idm.read_only_udm.intermediary Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten