Claroty xDome for Healthcare-Logs erfassen
In diesem Dokument wird beschrieben, wie Sie Claroty xDome for Healthcare-Logs mit dem Bindplane-Agent in Google SecOps aufnehmen können.
Claroty xDome for Healthcare (früher Medigate Device Security Platform) ist eine auf das Gesundheitswesen ausgerichtete Cybersicherheitsplattform, die Sichtbarkeit, Bedrohungserkennung und Risikomanagement für medizinische IoT-Geräte (XIoT) bietet. Die Plattform überwacht verbundene medizinische Geräte, identifiziert Sicherheitslücken, erkennt anomales Verhalten und liefert umsetzbare Informationen, um Gesundheitsnetzwerke vor Cyberbedrohungen zu schützen.
Hinweis
Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:
- Eine Google SecOps-Instanz
- Windows Server 2016 oder höher oder Linux-Host mit
systemd - Netzwerkverbindung zwischen dem BindPlane-Agent und Claroty xDome for Healthcare
- Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
- Berechtigter Zugriff auf die Verwaltungskonsole von Claroty xDome for Healthcare
- Administrator- oder Sicherheitsmanagerrolle in Claroty xDome for Healthcare
Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen
- Melden Sie sich in der Google SecOps-Konsole an.
- Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
- Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.
Google SecOps-Kundennummer abrufen
- Melden Sie sich in der Google SecOps-Konsole an.
- Rufen Sie die SIEM-Einstellungen > Profile auf.
- Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.
BindPlane-Agent installieren
Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.
Windows-Installation
- Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.
Führen Sie dazu diesen Befehl aus:
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quietWarte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
sc query observiq-otel-collector
Der Dienst sollte als RUNNING angezeigt werden.
Linux-Installation
- Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.
Führen Sie dazu diesen Befehl aus:
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.shWarte, bis die Installation abgeschlossen ist.
Überprüfen Sie die Installation mit folgendem Befehl:
sudo systemctl status observiq-otel-collector
Der Dienst sollte als aktiv (wird ausgeführt) angezeigt werden.
Zusätzliche Installationsressourcen
Weitere Installationsoptionen und Informationen zur Fehlerbehebung finden Sie im Installationsleitfaden für den Bindplane-Agent.
Bindplane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren
Konfigurationsdatei suchen
Linux:
sudo nano /etc/bindplane-agent/config.yamlWindows:
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
Konfigurationsdatei bearbeiten
Ersetzen Sie den gesamten Inhalt von
config.yamldurch die folgende Konfiguration:receivers: syslog: tcp: listen_address: "0.0.0.0:514" protocol: rfc5424 exporters: chronicle/claroty_xdome: compression: gzip creds_file_path: '/etc/bindplane-agent/ingestion-auth.json' customer_id: 'YOUR_CUSTOMER_ID' endpoint: malachiteingestion-pa.googleapis.com log_type: MEDIGATE_IOT raw_log_field: body service: pipelines: logs/claroty_to_chronicle: receivers: - syslog exporters: - chronicle/claroty_xdome
Konfigurationsparameter
Ersetzen Sie die folgenden Platzhalter:
Empfängerkonfiguration:
- Der Empfänger ist für TCP-Syslog mit dem RFC 5424-Protokoll konfiguriert.
- Die Listen-Adresse
0.0.0.0:514akzeptiert Verbindungen auf allen Schnittstellen an Port 514. - Verwenden Sie für Linux-Installationen ohne Root-Zugriff den Port
1514anstelle von514.
Exporter-Konfiguration:
creds_file_path: Vollständiger Pfad zur Datei für die Authentifizierung bei der Aufnahme:- Linux:
/etc/bindplane-agent/ingestion-auth.json - Windows:
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux:
customer_id: Ersetzen SieYOUR_CUSTOMER_IDdurch die Kunden-ID aus dem vorherigen Schritt.endpoint: Regionale Endpunkt-URL:- USA:
malachiteingestion-pa.googleapis.com - Europa:
europe-malachiteingestion-pa.googleapis.com - Asien:
asia-southeast1-malachiteingestion-pa.googleapis.com - Eine vollständige Liste finden Sie unter Regionale Endpunkte.
- USA:
log_type: AufMEDIGATE_IOTfestgelegt (unterstützt sowohl Claroty- als auch Medigate-Logformate)
Beispielkonfiguration für Linux
receivers: syslog: tcp: listen_address: "0.0.0.0:1514" protocol: rfc5424 exporters: chronicle/claroty_xdome: compression: gzip creds_file_path: '/etc/bindplane-agent/ingestion-auth.json' customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6' endpoint: malachiteingestion-pa.googleapis.com log_type: MEDIGATE_IOT raw_log_field: body ingestion_labels: env: production source: claroty_xdome service: pipelines: logs/claroty_to_chronicle: receivers: - syslog exporters: - chronicle/claroty_xdome
Konfigurationsdatei speichern
Speichern Sie die Datei nach der Bearbeitung:
- Linux: Drücken Sie
Ctrl+O, dannEnterund dannCtrl+X. - Windows: Klicken Sie auf Datei > Speichern.
Bindplane-Agent neu starten, um die Änderungen zu übernehmen
So starten Sie den Bindplane-Agent unter Linux neu:
Führen Sie dazu diesen Befehl aus:
sudo systemctl restart observiq-otel-collectorPrüfen Sie, ob der Dienst ausgeführt wird:
sudo systemctl status observiq-otel-collectorLogs auf Fehler prüfen:
sudo journalctl -u observiq-otel-collector -f
So starten Sie den Bindplane-Agent unter Windows neu:
Wählen Sie eine der folgenden Optionen aus:
- Eingabeaufforderung oder PowerShell als Administrator:
net stop observiq-otel-collector && net start observiq-otel-collector- Services Console:
- Drücken Sie
Win+R, geben Sieservices.mscein und drücken Sie die Eingabetaste. - Suchen Sie nach observIQ OpenTelemetry Collector.
- Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.
- Drücken Sie
Prüfen Sie, ob der Dienst ausgeführt wird:
sc query observiq-otel-collectorLogs auf Fehler prüfen:
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
Syslog-Weiterleitung für Claroty xDome for Healthcare konfigurieren
In Claroty xDome for Healthcare anmelden
- Melden Sie sich in der Webkonsole von Claroty xDome for Healthcare an.
- Gehe zu Einstellungen > Systemeinstellungen > Meine Integrationen.
Neue Syslog-Integration erstellen
- Klicken Sie auf Integration hinzufügen.
- Wählen Sie im Drop-down-Menü Integrationstyp die Option Syslog aus.
- Geben Sie die folgenden Konfigurationsdetails an:
- Name der Integration: Geben Sie einen aussagekräftigen Namen ein, z. B.
Chronicle-SIEM. - Beschreibung (optional): Geben Sie
Integration with Google Chronicle SIEMein.
- Name der Integration: Geben Sie einen aussagekräftigen Namen ein, z. B.
Syslog-Servereinstellungen konfigurieren
Geben Sie im Abschnitt Syslog-Server die folgenden Details an:
- Host: Geben Sie die IP-Adresse des Bindplane-Agent-Hosts ein, z. B.
192.168.1.100. - Port: Geben Sie
514ein (oder1514, wenn Sie eine Nicht-Root-Linux-Installation verwenden). - Protokoll: Wählen Sie TCP aus.
- Nachrichtenformat: Wählen Sie CEF (Common Event Format) aus.
- Syslog Protocol Standard: Wählen Sie RFC 5424 aus.
Zu exportierende Logtypen auswählen
Wählen Sie im Abschnitt Export Types (Exporttypen) die Logtypen aus, die an Google SecOps weitergeleitet werden sollen:
- Benachrichtigungen: Sicherheits- und Risikobenachrichtigungen
- Sicherheitslücken: CVE-Daten und Informationen zu Sicherheitslücken
- Geräteänderungen: Änderungen am Asset-Inventar
- OT Activity Events (OT-Aktivitätsereignisse): Kommunikationsevents für Betriebstechnologie
Zeitzoneneinstellungen konfigurieren
- Wählen Sie im Bereich Zeitzone im Drop-down-Menü die Option UTC aus.
Konfiguration testen und speichern
- Klicken Sie auf Verbindung testen, um die Verbindung zum Bindplane-Agent zu prüfen.
- Prüfen Sie, ob beim Test Connection Successful (Verbindung erfolgreich) angezeigt wird.
- Klicken Sie auf Speichern, um die Syslog-Integration zu aktivieren.
Logweiterleitung überprüfen
- Warten Sie 5 bis 10 Minuten, bis die Logs eingehen.
Prüfen Sie die Bindplane-Agenten-Logs, um zu bestätigen, dass Syslog-Nachrichten empfangen werden:
- Linux:
sudo journalctl -u observiq-otel-collector -f | grep -i claroty- Windows:
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr /i clarotyMelden Sie sich in der Google SecOps-Konsole an und prüfen Sie, ob die Claroty xDome for Healthcare-Logs in den Suchergebnissen angezeigt werden.
UDM-Zuordnungstabelle
| Logfeld | UDM-Zuordnung | Logik |
|---|---|---|
| info_ip_desc | about.labels | Mit dem Ereignis verknüpfte Labels |
| info.as_org | about.labels | |
| info.org | about.labels | |
| info.isp | about.labels | |
| info.country_code | about.labels | |
| info.malicious_anomali_info.itype | about.labels | |
| info.malicious_anomali_info.ip | about.labels | |
| info.malicious_anomali_info.source | about.labels | |
| info.malicious_anomali_info.org | about.labels | |
| info.malicious_anomali_info.country | about.labels | |
| info.malicious_anomali_info.classification | about.labels | |
| info.malicious_anomali_info.maltype | about.labels | |
| info.malicious_anomali_info.stream_id | about.labels | |
| info.malicious_anomali_info.threat_type | about.labels | |
| info.malicious_anomali_info.resource_uri | about.labels | |
| info.malicious_anomali_info.threatscore | about.labels | |
| info.malicious_anomali_info.confidence | about.labels | |
| info.malicious_anomali_info.source_reported_confidence | about.labels | |
| info.protocol | about.labels | |
| info.human_name | about.labels | |
| info.dest.human_name | about.labels | |
| info.network | about.labels | |
| info.parent_human_name | about.labels | |
| info.parent_uid | about.labels | |
| target_ip_desc | about.labels | |
| label_resource_uri | about.labels | |
| label_threatscore | about.labels | |
| label_confidence | about.labels | |
| label_source_reported_confidence | about.labels | |
| alert.mitre_technique_ids | additional.fields | Zusätzliche Metadaten zum Ereignis im Freiformat |
| alert.mitre_technique_names | additional.fields | |
| alert.mitre_technique_enterprise_ids | additional.fields | |
| alert.mitre_technique_enterprise_names | additional.fields | |
| affected_device.device_type_family | additional.fields | |
| affected_device.connection_type_list | additional.fields | |
| affected_device.network_list | additional.fields | |
| msg_category | additional.fields | |
| interface_name | additional.fields | |
| interface_type | additional.fields | |
| Status | additional.fields | |
| alert_info.certificate_thumbprint | additional.fields | |
| alert_info.certificate_expiry_date | additional.fields | |
| alert_info.certificate_start_date | additional.fields | |
| alert_info.certificate_type | additional.fields | |
| affected_device.management_status | additional.fields | |
| affected_device.labels | additional.fields | |
| affected_device.site_name | additional.fields | |
| events_extra_info.client_id | additional.fields | |
| extensions.auth.type | extensions.auth.type | Authentifizierungstyp |
| Hostname | intermediary.hostname | Hostname des Vermittlers |
| events_extra_info.malicious_ip_info.malicious_ip | intermediary.ip | IP-Adresse des Vermittlers |
| incident_type | metadata.description | Eine Beschreibung des Ereignisses |
| Text | metadata.description | |
| events.description | metadata.description | |
| metadata.event_type | metadata.event_type | Ereignistyp |
| event_type | metadata.product_event_type | Produktereignistyp |
| events.type | metadata.product_event_type | |
| incident_id | metadata.product_log_id | Produkt-Log-ID |
| events.id | metadata.product_log_id | |
| network.application_protocol | network.application_protocol | Anwendungsprotokoll |
| network.direction | network.direction | Richtung der Netzwerkverbindung |
| protocol_number_src | network.ip_protocol | IP-Protokoll |
| server_name | network.tls.client.server_name | Vom Client während des TLS-Handshake angegebener Servername |
| alert_info.certificate_thumbprint | network.tls.server.certificate.sha256 | SHA256-Hash des Serverzertifikats |
| Version | network.tls.version | TLS-Version |
| Proto | network.tls.version_protocol | TLS-Versionsprotokoll |
| info.domain | principal.administrative_domain | Verwaltungsbereich des Auftraggebers |
| events_extra_info.domain | principal.administrative_domain | |
| affected_device.asset_id | principal.asset.asset_id | Asset-ID des Assets |
| Hardware | principal.asset.hardware | Hardware des Assets |
| affected_device.device_name | principal.asset.hostname | Hostname des Assets |
| events_extra_info.certificate_info.CN | principal.asset.hostname | |
| management_ip | principal.asset.ip | IP-Adresse des Assets |
| info.ip | principal.asset.ip | |
| comm_tuple.src_ip | principal.asset.ip | |
| info.tuple.2 | principal.asset.ip | |
| info.tuple.3 | principal.asset.ip | |
| affected_device.ip_list | principal.asset.ip | |
| info.subject_components.CN | principal.hostname | Hostname des Prinzipals |
| affected_device.device_name | principal.hostname | |
| events_extra_info.certificate_info.CN | principal.hostname | |
| management_ip | principal.ip | IP-Adresse des Auftraggebers |
| info.ip | principal.ip | |
| comm_tuple.src_ip | principal.ip | |
| info.tuple.2 | principal.ip | |
| info.tuple.3 | principal.ip | |
| affected_device.ip_list | principal.ip | |
| info.subject_components.L | principal.location.city | Stadt des Standorts |
| events_extra_info.certificate_info.L | principal.location.city | |
| Standort | principal.location.country_or_region | Land oder Region des Standorts |
| info.subject_components.C | principal.location.country_or_region | |
| events_extra_info.certificate_info.C | principal.location.country_or_region | |
| info.subject_components.ST | principal.location.state | Bundesland des Standorts |
| events_extra_info.certificate_info.ST | principal.location.state | |
| principal.platform | principal.platform | Plattform des Auftraggebers |
| affected_device.os | principal.platform_version | Plattformversion des Prinzipal |
| device_uid | principal.resource.id | ID der Ressource |
| info.device_type_family | principal.resource.name | Name der Ressource |
| affected_device.device_type | principal.resource.name | |
| affected_device.uid | principal.resource.product_object_id | Produktobjekt-ID der Ressource |
| affected_device.device_category | principal.resource.resource_subtype | Untertyp der Ressource |
| principal.resource.resource_type | principal.resource.resource_type | Typ der Ressource |
| info.device_category | principal.resource.type | Typ der Ressource |
| updated_by | principal.user.userid | Nutzer-ID des Nutzers |
| info.login_username | principal.user.userid | |
| events_extra_info.sender_id | principal.user.userid | |
| events_extra_info.username | principal.user.userid | |
| info.malicious_anomali_info.itype | security_result.about.labels | Mit dem Sicherheitsergebnis verknüpfte Labels |
| info.malicious_anomali_info.ip | security_result.about.labels | |
| info.malicious_anomali_info.source | security_result.about.labels | |
| info.malicious_anomali_info.org | security_result.about.labels | |
| info.malicious_anomali_info.country | security_result.about.labels | |
| info.malicious_anomali_info.classification | security_result.about.labels | |
| info.malicious_anomali_info.maltype | security_result.about.labels | |
| info.malicious_anomali_info.stream_id | security_result.about.labels | |
| info.malicious_anomali_info.threat_type | security_result.about.labels | |
| events_extra_info.malicious_ip_info.source | security_result.about.labels | |
| events_extra_info.malicious_ip_info.threat_type | security_result.about.labels | |
| security_result.category | security_result.category | Kategorie des Sicherheitsergebnisses |
| alert.category | security_result.category_details | Kategoriedetails des Sicherheitsergebnisses |
| events_extra_info.malicious_ip_info.type | security_result.category_details | |
| events_extra_info.malicious_ip_info.confidence | security_result.confidence_details | Details zur Konfidenz des Sicherheitsergebnisses |
| alert.description | security_result.description | Beschreibung des Sicherheitsergebnisses |
| alert.type_name | security_result.detection_fields | Erkennungsfelder, die mit dem Sicherheitsergebnis verknüpft sind |
| alert.device_status | security_result.detection_fields | |
| alert.category | security_result.detection_fields | |
| alert.description | security_result.detection_fields | |
| vulnerability_info.name | security_result.detection_fields | |
| vulnerability_info.type | security_result.detection_fields | |
| vulnerability_info.release_date | security_result.detection_fields | |
| vulnerability_info.cves | security_result.detection_fields | |
| vulnerability_info.cvssv3_base_score | security_result.detection_fields | |
| vulnerability_info.description | security_result.detection_fields | |
| vulnerability_info.affected_products | security_result.detection_fields | |
| vulnerability_info.is_known_exploited | security_result.detection_fields | |
| vulnerability_device_info.relevance_source | security_result.detection_fields | |
| vulnerability_info.cvssv2_base_score | security_result.detection_fields | |
| affected_device.device_subcategory | security_result.detection_fields | |
| affected_device.retired | security_result.detection_fields | |
| affected_device.app_version | security_result.detection_fields | |
| events_extra_info.communication_type | security_result.detection_fields | |
| events_extra_info.malicious_ip_info.tags | security_result.detection_fields | |
| alert_info.certificate_thumbprint | security_result.detection_fields | |
| alert_info.certificate_expiry_date | security_result.detection_fields | |
| alert_info.certificate_start_date | security_result.detection_fields | |
| alert_info.certificate_type | security_result.detection_fields | |
| alert.id | security_result.rule_id | Regel-ID des Sicherheitsergebnisses |
| events.alert_id | security_result.rule_id | |
| alert.name | security_result.rule_name | Regelname des Sicherheitsergebnisses |
| info.malicious_anomali_info.severity | security_result.severity | Schweregrad des Sicherheitsergebnisses |
| affected_device.risk_score | security_result.severity_details | Details zum Schweregrad des Sicherheitsergebnisses |
| info.malicious_anomali_info.threat_type | security_result.threat_name | Name der Bedrohung des Sicherheitsergebnisses |
| events_extra_info.malicious_ip_info.threat_type | security_result.threat_name | |
| target.asset.hostname | target.asset.hostname | Hostname des Ziel-Assets |
| info.tuple.3 | target.asset.ip | IP-Adresse des Ziel-Assets |
| info.tuple.2 | target.asset.ip | |
| comm_tuple.dst_ip | target.asset.ip | |
| info.file_name | target.file.full_path | Vollständiger Pfad der Zieldatei |
| events_extra_info.file_name | target.file.full_path | |
| events_extra_info.file_type | target.file.mime_type | MIME-Typ der Zieldatei |
| info.fqdn | target.hostname | Hostname des Ziels |
| info.tuple.3 | target.ip | IP-Adresse des Ziels |
| info.tuple.2 | target.ip | |
| comm_tuple.dst_ip | target.ip | |
| country | target.location.country_or_region | Land oder Region des Zielorts |
| info.geolocation | target.location.country_or_region | |
| country | target.location.country_or_region | |
| events_extra_info.geo_location | target.location.country_or_region | |
| state | target.location.state | Status des Zielstandorts |
| state | target.location.state | |
| target_mac | target.mac | MAC-Adresse des Ziels |
| comm_tuple.dst_mac | target.mac | |
| comm_tuple.dst_port | target.port | Port des Ziels |
| dest_device_uid | target.resource.id | ID der Zielressource |
| info.login_username | target.user.userid | Nutzer-ID des Zielnutzers |
| events_extra_info.username | target.user.userid | |
| metadata.product_name | metadata.product_name | Produktname |
| metadata.vendor_name | metadata.vendor_name | Anbietername |
events.id |
event.idm.read_only_udm.metadata.product_log_id |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.device_name |
event.idm.read_only_udm.principal.hostname |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.device_name |
event.idm.read_only_udm.principal.asset.hostname |
Aus dem Änderungsprotokoll zugeordnet |
management_ip |
event.idm.read_only_udm.principal.ip |
Aus dem Änderungsprotokoll zugeordnet |
management_ip |
event.idm.read_only_udm.principal.asset.ip |
Aus dem Änderungsprotokoll zugeordnet |
updated_by |
event.idm.read_only_udm.principal.user.userid |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.os |
event.idm.read_only_udm.principal.platform_version |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.management_status |
event.idm.read_only_udm.principal.resource.attribute.labels |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.labels |
event.idm.read_only_udm.principal.resource.attribute.labels |
Aus dem Änderungsprotokoll zugeordnet |
events_extra_info.direction |
event.idm.read_only_udm.network.direction |
Aus dem Änderungsprotokoll zugeordnet |
events_extra_info.ip_protocol |
event.idm.read_only_udm.network.ip_protocol |
Aus dem Änderungsprotokoll zugeordnet |
events.alert_id |
event.idm.read_only_udm.security_result.rule_id |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.risk_score |
event.idm.read_only_udm.security_result.severity_details |
Aus dem Änderungsprotokoll zugeordnet |
events_extra_info.communication_type |
event.idm.read_only_udm.security_result.detection_fields |
Aus dem Änderungsprotokoll zugeordnet |
vulnerability_info.name", "vulnerability_info.type", "vulnerability_info.release_date", "cve", "vulnerability_info.cvssv3_base_score", "vulnerability_info.description", "vulnerability_info.affected_products", "vulnerability_info.is_known_exploited", "vulnerability_device_info.relevance", "vulnerability_device_info.relevance_source", "vulnerability_info.cvssv2_base_score", "affected_device.device_subcategory", "affected_device.retired", and "affected_device.app_version |
security_result.detection_fields |
Aus dem Änderungsprotokoll zugeordnet |
alert.type_name", "alert.device_status", "alert_info.certificate_thumbprint", "alert_info.certificate_expiry_date", "alert_info.certificate_start_date", and "alert_info.certificate_type |
security_result.detection_fields |
Aus dem Änderungsprotokoll zugeordnet |
alert.mitre_technique_ids", "alert.mitre_technique_names", "alert.mitre_technique_enterprise_ids", "alert.mitre_technique_enterprise_names", "affected_device.device_type_family", "affected_device.connection_type_list", and "affected_device.network_list |
additional.fields |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.mac_list |
principal.mac |
Aus dem Änderungsprotokoll zugeordnet |
msg_category", "interface_name", "interface_type", and "status |
additional.fields |
Aus dem Änderungsprotokoll zugeordnet |
event_extra_info.malicious_ip_info.confidence |
security_result.confidence_details |
Aus dem Änderungsprotokoll zugeordnet |
event_extra_info.malicious_ip_info.last_update |
target.file.mime_type |
Aus dem Änderungsprotokoll zugeordnet |
event_extra_info.malicious_ip_info.tags |
security_result.detection_fields |
Aus dem Änderungsprotokoll zugeordnet |
event_extra_info.malicious_ip_info.type |
security_result.category_details |
Aus dem Änderungsprotokoll zugeordnet |
events.timestamp |
metadata.event_timestamp |
Aus dem Änderungsprotokoll zugeordnet |
events_extra_info.malicious_ip_info.severity |
security_result.severity |
Aus dem Änderungsprotokoll zugeordnet |
events_extra_info.client_id" and "affected_device.site_name |
additional_fields |
Aus dem Änderungsprotokoll zugeordnet |
comm_tuple.src_port |
principal.port |
Aus dem Änderungsprotokoll zugeordnet |
comm_tuple.src_mac |
principal.mac |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.manufacturer |
hardware.manufacturer |
Aus dem Änderungsprotokoll zugeordnet |
affected_device.model |
hardware.model |
Aus dem Änderungsprotokoll zugeordnet |
metadata.event_type |
NETWORK_HTTP |
Aus dem Änderungsprotokoll zugeordnet |
metadata.event_type |
NETWORK_FTP |
Aus dem Änderungsprotokoll zugeordnet |
security_category |
NETWORK_MALICIOUS |
Aus dem Änderungsprotokoll zugeordnet |
metadata.event_type |
USER_LOGIN |
Aus dem Änderungsprotokoll zugeordnet |
Änderungsprotokoll
Änderungsprotokoll für diesen Parser ansehen
Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten