Collecter les journaux Claroty xDome for Healthcare

Compatible avec :

Ce document explique comment ingérer les journaux Claroty xDome for Healthcare dans Google SecOps à l'aide de l'agent Bindplane.

Claroty xDome for Healthcare (anciennement Medigate Device Security Platform) est une plate-forme de cybersécurité axée sur la santé qui offre visibilité, détection des menaces et gestion des risques pour les appareils IoT médicaux (XIoT). La plate-forme surveille les dispositifs médicaux connectés, identifie les failles, détecte les comportements anormaux et fournit des insights exploitables pour protéger les réseaux de santé contre les cybermenaces.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent BindPlane et Claroty xDome for Healthcare
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès privilégié à la console de gestion Claroty xDome for Healthcare
  • Rôle d'administrateur ou de responsable de la sécurité dans Claroty xDome for Healthcare

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Déploiements existants : continuez à utiliser le fichier d'authentification pour l'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancienne méthode)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.
  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent Bindplane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

Le service doit s'afficher comme étant EN COURS D'EXÉCUTION.

Installation de Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

Le service doit être indiqué comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  syslog:
    tcp:
      listen_address: "0.0.0.0:514"
    protocol: rfc5424

exporters:
  chronicle/claroty_xdome:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: MEDIGATE_IOT
    raw_log_field: body

service:
  pipelines:
    logs/claroty_to_chronicle:
      receivers:
        - syslog
      exporters:
        - chronicle/claroty_xdome

Paramètres de configuration

  • Remplacez les espaces réservés suivants :

    • Configuration du récepteur :

      • Le récepteur est configuré pour le syslog TCP à l'aide du protocole RFC 5424.
      • L'adresse d'écoute 0.0.0.0:514 accepte les connexions sur toutes les interfaces du port 514.
      • Pour les installations Linux non racine, utilisez le port 1514 au lieu de 514.

    • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :

      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

    • customer_id : remplacez YOUR_CUSTOMER_ID par le numéro client de l'étape précédente.

    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.

    • project : remplacez <PROJECT_NUMBER> par le numéro de projet dans IAM et administration > Paramètres.

    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

    • log_type : défini sur MEDIGATE_IOT (compatible avec les formats de journaux Claroty et Medigate)

  • Exemple de configuration pour Linux

    receivers:
  syslog:
    tcp:
      listen_address: "0.0.0.0:1514"
    protocol: rfc5424

exporters:
  chronicle/claroty_xdome:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: MEDIGATE_IOT
    raw_log_field: body
    ingestion_labels:
      env: production
      source: claroty_xdome

service:
  pipelines:
    logs/claroty_to_chronicle:
      receivers:
        - syslog
      exporters:
        - chronicle/claroty_xdome

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/claroty_xdome:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: MEDIGATE_IOT
    raw_log_field: body

Enregistrez le fichier de configuration.

Une fois les modifications effectuées, enregistrez le fichier :

  • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
  • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

Pour redémarrer l'agent BindPlane sous Linux :

  1. Exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

  2. Vérifiez que le service est en cours d'exécution :

    sudo systemctl status observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    sudo journalctl -u observiq-otel-collector -f

Pour redémarrer l'agent Bindplane sous Windows :

  1. Choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :
    net stop observiq-otel-collector && net start observiq-otel-collector
    • Console Services :
      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

  2. Vérifiez que le service est en cours d'exécution :

    sc query observiq-otel-collector

  3. Recherchez les erreurs dans les journaux :

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer le transfert syslog de Claroty xDome for Healthcare

Se connecter à Claroty xDome for Healthcare

  1. Connectez-vous à la console Web Claroty xDome for Healthcare.
  2. Accédez à Paramètres> Paramètres système> Mes intégrations.

Créer une intégration syslog

  1. Cliquez sur Add Integration (Ajouter une intégration).
  2. Dans le menu déroulant Type d'intégration, sélectionnez Syslog.
  3. Fournissez les informations de configuration suivantes :
    • Nom de l'intégration : saisissez un nom descriptif (par exemple, Chronicle-SIEM).
    • Description (facultatif) : saisissez Integration with Google Chronicle SIEM.

Configurer les paramètres du serveur syslog

Dans la section Serveur Syslog, fournissez les informations suivantes :

  • Hôte : saisissez l'adresse IP de l'hôte de l'agent BindPlane (par exemple, 192.168.1.100).
  • Port : saisissez 514 (ou 1514 si vous utilisez une installation Linux non racine).
  • Protocole : sélectionnez TCP.
  • Format du message : sélectionnez CEF (Common Event Format).
  • Norme du protocole Syslog : sélectionnez RFC 5424.

Sélectionner les types de journaux à exporter

Dans la section Types d'exportation, sélectionnez les types de journaux à transférer vers Google SecOps :

  • Alertes : alertes de sécurité et alertes de risque
  • Failles : données CVE et informations sur les failles
  • Modifications apportées aux appareils : modifications de l'inventaire des composants
  • Événements d'activité OT : événements de communication de technologie opérationnelle

Configurer les paramètres de fuseau horaire

  1. Dans la section Fuseau horaire, sélectionnez UTC dans le menu déroulant.

Tester et enregistrer la configuration

  1. Cliquez sur Tester la connexion pour vérifier la connectivité à l'agent Bindplane.
  2. Vérifiez que le test affiche Connexion réussie.
  3. Cliquez sur Enregistrer pour activer l'intégration de syslog.

Vérifier le transfert des journaux

  1. Attendez 5 à 10 minutes que les journaux commencent à s'afficher.

  2. Vérifiez les journaux de l'agent Bindplane pour vous assurer que les messages syslog sont bien reçus :

    • Linux :
    sudo journalctl -u observiq-otel-collector -f | grep -i claroty
    • Windows :
    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr /i claroty

  3. Connectez-vous à la console Google SecOps et vérifiez que les journaux Claroty xDome for Healthcare apparaissent dans les résultats de recherche.

Table de mappage UDM

Champ du journal Mappage UDM Logique
info_ip_desc about.labels Libellés associés à l'événement
info.as_org about.labels
info.org about.labels
info.isp about.labels
info.country_code about.labels
info.malicious_anomali_info.itype about.labels
info.malicious_anomali_info.ip about.labels
info.malicious_anomali_info.source about.labels
info.malicious_anomali_info.org about.labels
info.malicious_anomali_info.country about.labels
info.malicious_anomali_info.classification about.labels
info.malicious_anomali_info.maltype about.labels
info.malicious_anomali_info.stream_id about.labels
info.malicious_anomali_info.threat_type about.labels
info.malicious_anomali_info.resource_uri about.labels
info.malicious_anomali_info.threatscore about.labels
info.malicious_anomali_info.confidence about.labels
info.malicious_anomali_info.source_reported_confidence about.labels
info.protocol about.labels
info.human_name about.labels
info.dest.human_name about.labels
info.network about.labels
info.parent_human_name about.labels
info.parent_uid about.labels
target_ip_desc about.labels
label_resource_uri about.labels
label_threatscore about.labels
label_confidence about.labels
label_source_reported_confidence about.labels
alert.mitre_technique_ids additional.fields Métadonnées supplémentaires au format libre concernant l'événement
alert.mitre_technique_names additional.fields
alert.mitre_technique_enterprise_ids additional.fields
alert.mitre_technique_enterprise_names additional.fields
affected_device.device_type_family additional.fields
affected_device.connection_type_list additional.fields
affected_device.network_list additional.fields
msg_category additional.fields
interface_name additional.fields
interface_type additional.fields
état additional.fields
alert_info.certificate_thumbprint additional.fields
alert_info.certificate_expiry_date additional.fields
alert_info.certificate_start_date additional.fields
alert_info.certificate_type additional.fields
affected_device.management_status additional.fields
affected_device.labels additional.fields
affected_device.site_name additional.fields
events_extra_info.client_id additional.fields
extensions.auth.type extensions.auth.type Type d'authentification
nom d'hôte intermediary.hostname Nom d'hôte de l'intermédiaire
events_extra_info.malicious_ip_info.malicious_ip intermediary.ip Adresse IP de l'intermédiaire
incident_type metadata.description Description de l'événement
texte metadata.description
events.description metadata.description
metadata.event_type metadata.event_type Type d'événement
event_type metadata.product_event_type Type d'événement de produit
events.type metadata.product_event_type
incident_id metadata.product_log_id ID du journal du produit
events.id metadata.product_log_id
network.application_protocol network.application_protocol Protocole d'application
network.direction network.direction Direction de la connexion réseau
protocol_number_src network.ip_protocol Protocole IP
server_name network.tls.client.server_name Nom du serveur indiqué par le client lors du handshake TLS
alert_info.certificate_thumbprint network.tls.server.certificate.sha256 Hachage SHA256 du certificat du serveur
version network.tls.version Version TLS
proto network.tls.version_protocol Protocole de version TLS
info.domain principal.administrative_domain Domaine administratif du compte principal
events_extra_info.domain principal.administrative_domain
affected_device.asset_id principal.asset.asset_id ID de l'élément
matériel principal.asset.hardware Matériel de l'élément
affected_device.device_name principal.asset.hostname Nom d'hôte de l'élément
events_extra_info.certificate_info.CN principal.asset.hostname
management_ip principal.asset.ip Adresse IP de l'élément
info.ip principal.asset.ip
comm_tuple.src_ip principal.asset.ip
info.tuple.2 principal.asset.ip
info.tuple.3 principal.asset.ip
affected_device.ip_list principal.asset.ip
info.subject_components.CN principal.hostname Nom d'hôte du principal
affected_device.device_name principal.hostname
events_extra_info.certificate_info.CN principal.hostname
management_ip principal.ip Adresse IP du principal
info.ip principal.ip
comm_tuple.src_ip principal.ip
info.tuple.2 principal.ip
info.tuple.3 principal.ip
affected_device.ip_list principal.ip
info.subject_components.L principal.location.city Ville de l'établissement
events_extra_info.certificate_info.L principal.location.city
emplacement principal.location.country_or_region Pays ou région de l'emplacement
info.subject_components.C principal.location.country_or_region
events_extra_info.certificate_info.C principal.location.country_or_region
info.subject_components.ST principal.location.state État de l'emplacement
events_extra_info.certificate_info.ST principal.location.state
principal.platform principal.platform Plate-forme du principal
affected_device.os principal.platform_version Version de la plate-forme du compte principal
device_uid principal.resource.id ID de la ressource
info.device_type_family principal.resource.name Nom de la ressource
affected_device.device_type principal.resource.name
affected_device.uid principal.resource.product_object_id ID d'objet produit de la ressource
affected_device.device_category principal.resource.resource_subtype Sous-type de la ressource
principal.resource.resource_type principal.resource.resource_type Type de la ressource
info.device_category principal.resource.type Type de la ressource
updated_by principal.user.userid ID de l'utilisateur
info.login_username principal.user.userid
events_extra_info.sender_id principal.user.userid
events_extra_info.username principal.user.userid
info.malicious_anomali_info.itype security_result.about.labels Libellés associés au résultat de sécurité
info.malicious_anomali_info.ip security_result.about.labels
info.malicious_anomali_info.source security_result.about.labels
info.malicious_anomali_info.org security_result.about.labels
info.malicious_anomali_info.country security_result.about.labels
info.malicious_anomali_info.classification security_result.about.labels
info.malicious_anomali_info.maltype security_result.about.labels
info.malicious_anomali_info.stream_id security_result.about.labels
info.malicious_anomali_info.threat_type security_result.about.labels
events_extra_info.malicious_ip_info.source security_result.about.labels
events_extra_info.malicious_ip_info.threat_type security_result.about.labels
security_result.category security_result.category Catégorie du résultat de sécurité
alert.category security_result.category_details Détails de la catégorie du résultat de sécurité
events_extra_info.malicious_ip_info.type security_result.category_details
events_extra_info.malicious_ip_info.confidence security_result.confidence_details Détails de la confiance du résultat de sécurité
alert.description security_result.description Description du résultat de sécurité
alert.type_name security_result.detection_fields Champs de détection associés au résultat de sécurité
alert.device_status security_result.detection_fields
alert.category security_result.detection_fields
alert.description security_result.detection_fields
vulnerability_info.name security_result.detection_fields
vulnerability_info.type security_result.detection_fields
vulnerability_info.release_date security_result.detection_fields
vulnerability_info.cves security_result.detection_fields
vulnerability_info.cvssv3_base_score security_result.detection_fields
vulnerability_info.description security_result.detection_fields
vulnerability_info.affected_products security_result.detection_fields
vulnerability_info.is_known_exploited security_result.detection_fields
vulnerability_device_info.relevance_source security_result.detection_fields
vulnerability_info.cvssv2_base_score security_result.detection_fields
affected_device.device_subcategory security_result.detection_fields
affected_device.retired security_result.detection_fields
affected_device.app_version security_result.detection_fields
events_extra_info.communication_type security_result.detection_fields
events_extra_info.malicious_ip_info.tags security_result.detection_fields
alert_info.certificate_thumbprint security_result.detection_fields
alert_info.certificate_expiry_date security_result.detection_fields
alert_info.certificate_start_date security_result.detection_fields
alert_info.certificate_type security_result.detection_fields
alert.id security_result.rule_id ID de la règle du résultat de sécurité
events.alert_id security_result.rule_id
alert.name security_result.rule_name Nom de la règle du résultat de sécurité
info.malicious_anomali_info.severity security_result.severity Gravité du résultat de sécurité
affected_device.risk_score security_result.severity_details Détails de la gravité du résultat de sécurité
info.malicious_anomali_info.threat_type security_result.threat_name Nom de la menace du résultat de sécurité
events_extra_info.malicious_ip_info.threat_type security_result.threat_name
target.asset.hostname target.asset.hostname Nom d'hôte de l'élément cible
info.tuple.3 target.asset.ip Adresse IP de l'élément cible
info.tuple.2 target.asset.ip
comm_tuple.dst_ip target.asset.ip
info.file_name target.file.full_path Chemin d'accès complet au fichier cible
events_extra_info.file_name target.file.full_path
events_extra_info.file_type target.file.mime_type Type MIME du fichier cible
info.fqdn target.hostname Nom d'hôte de la cible
info.tuple.3 target.ip Adresse IP de la cible
info.tuple.2 target.ip
comm_tuple.dst_ip target.ip
pays target.location.country_or_region Pays ou région de la zone cible
info.geolocation target.location.country_or_region
pays target.location.country_or_region
events_extra_info.geo_location target.location.country_or_region
state target.location.state État de la zone cible
state target.location.state
target_mac target.mac Adresse MAC de la cible
comm_tuple.dst_mac target.mac
comm_tuple.dst_port target.port Port de la cible
dest_device_uid target.resource.id ID de la ressource cible
info.login_username target.user.userid ID utilisateur de l'utilisateur cible
events_extra_info.username target.user.userid
metadata.product_name metadata.product_name Nom du produit
metadata.vendor_name metadata.vendor_name Nom du fournisseur
events.id event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
affected_device.device_name event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
affected_device.device_name event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
management_ip event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
management_ip event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
updated_by event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
affected_device.os event.idm.read_only_udm.principal.platform_version Mappé à partir du journal des modifications
affected_device.management_status event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
affected_device.labels event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
events_extra_info.direction event.idm.read_only_udm.network.direction Mappé à partir du journal des modifications
events_extra_info.ip_protocol event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
events.alert_id event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
affected_device.risk_score event.idm.read_only_udm.security_result.severity_details Mappé à partir du journal des modifications
events_extra_info.communication_type event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
vulnerability_info.name", "vulnerability_info.type", "vulnerability_info.release_date", "cve", "vulnerability_info.cvssv3_base_score", "vulnerability_info.description", "vulnerability_info.affected_products", "vulnerability_info.is_known_exploited", "vulnerability_device_info.relevance", "vulnerability_device_info.relevance_source", "vulnerability_info.cvssv2_base_score", "affected_device.device_subcategory", "affected_device.retired", and "affected_device.app_version security_result.detection_fields Mappé à partir du journal des modifications
alert.type_name", "alert.device_status", "alert_info.certificate_thumbprint", "alert_info.certificate_expiry_date", "alert_info.certificate_start_date", and "alert_info.certificate_type security_result.detection_fields Mappé à partir du journal des modifications
alert.mitre_technique_ids", "alert.mitre_technique_names", "alert.mitre_technique_enterprise_ids", "alert.mitre_technique_enterprise_names", "affected_device.device_type_family", "affected_device.connection_type_list", and "affected_device.network_list additional.fields Mappé à partir du journal des modifications
affected_device.mac_list principal.mac Mappé à partir du journal des modifications
msg_category", "interface_name", "interface_type", and "status additional.fields Mappé à partir du journal des modifications
event_extra_info.malicious_ip_info.confidence security_result.confidence_details Mappé à partir du journal des modifications
event_extra_info.malicious_ip_info.last_update target.file.mime_type Mappé à partir du journal des modifications
event_extra_info.malicious_ip_info.tags security_result.detection_fields Mappé à partir du journal des modifications
event_extra_info.malicious_ip_info.type security_result.category_details Mappé à partir du journal des modifications
events.timestamp metadata.event_timestamp Mappé à partir du journal des modifications
events_extra_info.malicious_ip_info.severity security_result.severity Mappé à partir du journal des modifications
events_extra_info.client_id" and "affected_device.site_name additional_fields Mappé à partir du journal des modifications
comm_tuple.src_port principal.port Mappé à partir du journal des modifications
comm_tuple.src_mac principal.mac Mappé à partir du journal des modifications
affected_device.manufacturer hardware.manufacturer Mappé à partir du journal des modifications
affected_device.model hardware.model Mappé à partir du journal des modifications
metadata.event_type NETWORK_HTTP Mappé à partir du journal des modifications
metadata.event_type NETWORK_FTP Mappé à partir du journal des modifications
security_category NETWORK_MALICIOUS Mappé à partir du journal des modifications
metadata.event_type USER_LOGIN Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.