איסוף יומנים של Claroty xDome for Healthcare

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע ב-Google SecOps יומנים של Claroty xDome for Healthcare באמצעות סוכן Bindplane.

‫Claroty xDome for Healthcare (לשעבר Medigate Device Security Platform) היא פלטפורמת אבטחת סייבר שמתמקדת בתחום הבריאות ומספקת ניראות, זיהוי איומים וניהול סיכונים למכשירי IoT רפואיים (XIoT). הפלטפורמה עוקבת אחרי מכשירים רפואיים מחוברים, מזהה נקודות חולשה, מזהה התנהגות חריגה ומספקת תובנות פרקטיות כדי להגן על רשתות של שירותי בריאות מפני איומי סייבר.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין Claroty xDome for Healthcare
• אם מריצים את הסוכן מאחורי שרת proxy, מוודאים שיציאות חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane
• גישה מיוחדת למסוף הניהול של Claroty xDome for Healthcare
• תפקיד אדמין או מנהל אבטחה ב-Claroty xDome for Healthcare

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים אחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות מדור קודם: אפשר להמשיך להשתמש בקובץ האימות של ה-API להעברת נתונים (אפשרות 2) עד שה-API להעברת נתונים יפסיק לפעול ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים אל Google Cloud המסוף ובוחרים את Google Cloud הפרויקט שמקושר למופע של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.
3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש להגדרת כלי הייצוא של סוכן Bindplane.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות ופתרון בעיות מפורטים במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את Chronicle API exporter, צריך להשתמש ב-Bindplane collector מגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרה של סוכן Bindplane להטמעה של syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    syslog:
      tcp:
        listen_address: "0.0.0.0:514"
      protocol: rfc5424
  
  exporters:
    chronicle/claroty_xdome:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: chronicle.googleapis.com
      log_type: MEDIGATE_IOT
      raw_log_field: body
  
  service:
    pipelines:
      logs/claroty_to_chronicle:
        receivers:
          - syslog
        exporters:
          - chronicle/claroty_xdome
  

פרמטרים להגדרה

• מחליפים את ה-placeholders הבאים:

  • הגדרת מקלט:

    • המקלט מוגדר ל-TCP syslog באמצעות פרוטוקול RFC 5424
    • כתובת ההאזנה 0.0.0.0:514 מקבלת חיבורים בכל הממשקים ביציאה 514
    • בהתקנות של Linux ללא הרשאות בסיס, צריך להשתמש ביציאה 1514 במקום ביציאה 514

  • הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ מפתח ה-JSON של חשבון השירות (אפשרות 1):

    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

  • ‫customer_id: מחליפים את YOUR_CUSTOMER_ID במספר הלקוח מהשלב הקודם

  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.

  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.

  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

  • log_type: צריך להגדיר את הערך MEDIGATE_IOT (תומך בפורמטים של יומנים של Claroty ושל Medigate)

• הגדרה לדוגמה ל-Linux

  receivers:
    syslog:
      tcp:
        listen_address: "0.0.0.0:1514"
      protocol: rfc5424
  
  exporters:
    chronicle/claroty_xdome:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
      endpoint: chronicle.googleapis.com
      log_type: MEDIGATE_IOT
      raw_log_field: body
      ingestion_labels:
        env: production
        source: claroty_xdome
  
  service:
    pipelines:
      logs/claroty_to_chronicle:
        receivers:
          - syslog
        exporters:
          - chronicle/claroty_xdome
  

כלי לייצוא נתונים מ-Legacy ingestion API

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/claroty_xdome:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: 'YOUR_CUSTOMER_ID'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: MEDIGATE_IOT
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

אחרי שמסיימים לערוך, שומרים את הקובץ:

• ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
• Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת הפקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
     2. מחפשים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת העברת syslog ל-Claroty xDome for Healthcare

נכנסים ל-Claroty xDome for Healthcare.

1. נכנסים למסוף האינטרנט של Claroty xDome for Healthcare.
2. עוברים אל הגדרות > הגדרות מערכת > השילובים שלי.

יצירת שילוב חדש של Syslog

1. לוחצים על Add Integration (הוספת שילוב).
2. בתפריט הנפתח Integration Type, בוחרים באפשרות Syslog.
3. מזינים את פרטי ההגדרה הבאים:
   • שם השילוב: מזינים שם תיאורי (לדוגמה, Chronicle-SIEM).
   • תיאור (אופציונלי): מזינים Integration with Google Chronicle SIEM.

קביעת ההגדרות של שרת syslog

בקטע שרת Syslog, מזינים את הפרטים הבאים:

• מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
• יציאה: מזינים 514 (או 1514 אם משתמשים בהתקנת Linux ללא הרשאות בסיס).
• Protocol: בוחרים באפשרות TCP.
• פורמט ההודעה: בוחרים באפשרות CEF (פורמט אירועים נפוץ).
• Syslog Protocol Standard: בוחרים באפשרות RFC 5424.

בחירת סוגי היומנים לייצוא

בקטע Export Types (סוגי ייצוא), בוחרים את סוגי היומנים שרוצים להעביר ל-Google SecOps:

• התראות: התראות אבטחה והתראות על סיכונים
• נקודות חולשה: נתוני CVE ומידע על נקודות חולשה
• שינויים במכשיר: שינויים במלאי שטחי הפרסום של הנכס
• אירועי פעילות של OT: אירועי תקשורת של טכנולוגיה תפעולית

הערה: כדי לבחור סוגי התראות ספציפיים, לוחצים על הגדרת סוגי התראות ובוחרים מבין קטגוריות כמו חריגות ברשת, הפרות מדיניות, זיהוי תוכנות זדוניות וגישה לא מורשית.

קביעת הגדרות של אזור זמן

1. בקטע אזור זמן, בוחרים באפשרות UTC מהתפריט הנפתח.

הערה: שימוש באזור הזמן UTC מבטיח נורמליזציה עקבית של חותמות הזמן ב-Google SecOps.

בדיקה ושמירה של ההגדרות האישיות

1. לוחצים על Test Connection כדי לוודא את הקישוריות לסוכן Bindplane.
2. מוודאים שבבדיקה מוצג החיבור בוצע בהצלחה.
3. לוחצים על שמירה כדי להפעיל את השילוב של syslog.

אימות העברת היומנים

1. ממתינים 5-10 דקות עד שהיומנים יתחילו לזרום.

2. בודקים את יומני הסוכן של Bindplane כדי לוודא שהודעות syslog מתקבלות:

   • Linux:

   sudo journalctl -u observiq-otel-collector -f | grep -i claroty
   

   • ‫Windows:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log" | findstr /i claroty
   

3. נכנסים למסוף Google SecOps ומוודאים שהיומנים של Claroty xDome for Healthcare מופיעים בתוצאות החיפוש.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
info_ip_desc	about.labels	תוויות שמשויכות לאירוע
info.as_org	about.labels
info.org	about.labels
info.isp	about.labels
info.country_code	about.labels
info.malicious_anomali_info.itype	about.labels
info.malicious_anomali_info.ip	about.labels
info.malicious_anomali_info.source	about.labels
info.malicious_anomali_info.org	about.labels
info.malicious_anomali_info.country	about.labels
info.malicious_anomali_info.classification	about.labels
info.malicious_anomali_info.maltype	about.labels
info.malicious_anomali_info.stream_id	about.labels
info.malicious_anomali_info.threat_type	about.labels
info.malicious_anomali_info.resource_uri	about.labels
info.malicious_anomali_info.threatscore	about.labels
info.malicious_anomali_info.confidence	about.labels
info.malicious_anomali_info.source_reported_confidence	about.labels
info.protocol	about.labels
info.human_name	about.labels
info.dest.human_name	about.labels
info.network	about.labels
info.parent_human_name	about.labels
info.parent_uid	about.labels
target_ip_desc	about.labels
label_resource_uri	about.labels
label_threatscore	about.labels
label_confidence	about.labels
label_source_reported_confidence	about.labels
alert.mitre_technique_ids	additional.fields	מטא-נתונים נוספים בפריסה גמישה על האירוע
alert.mitre_technique_names	additional.fields
alert.mitre_technique_enterprise_ids	additional.fields
alert.mitre_technique_enterprise_names	additional.fields
affected_device.device_type_family	additional.fields
affected_device.connection_type_list	additional.fields
affected_device.network_list	additional.fields
msg_category	additional.fields
interface_name	additional.fields
interface_type	additional.fields
סטטוס	additional.fields
alert_info.certificate_thumbprint	additional.fields
alert_info.certificate_expiry_date	additional.fields
alert_info.certificate_start_date	additional.fields
alert_info.certificate_type	additional.fields
affected_device.management_status	additional.fields
affected_device.labels	additional.fields
affected_device.site_name	additional.fields
events_extra_info.client_id	additional.fields
extensions.auth.type	extensions.auth.type	סוג אימות
שם המארח	intermediary.hostname	שם המארח של הגורם המתווך
events_extra_info.malicious_ip_info.malicious_ip	intermediary.ip	כתובת ה-IP של המתווך
incident_type	metadata.description	תיאור האירוע
טקסט	metadata.description
events.description	metadata.description
metadata.event_type	metadata.event_type	סוג האירוע
event_type	metadata.product_event_type	סוג אירוע המוצר
events.type	metadata.product_event_type
incident_id	metadata.product_log_id	מזהה יומן מוצר
events.id	metadata.product_log_id
network.application_protocol	network.application_protocol	פרוטוקול אפליקציה
network.direction	network.direction	כיוון החיבור לרשת
protocol_number_src	network.ip_protocol	פרוטוקול IP
server_name	network.tls.client.server_name	שם השרת שצוין על ידי הלקוח במהלך לחיצת יד בפרוטוקול TLS
alert_info.certificate_thumbprint	network.tls.server.certificate.sha256	גיבוב SHA256 של אישור השרת
גרסה	network.tls.version	גרסת TLS
proto	network.tls.version_protocol	פרוטוקול גרסת TLS
info.domain	principal.administrative_domain	הדומיין האדמיניסטרטיבי של הגורם
events_extra_info.domain	principal.administrative_domain
affected_device.asset_id	principal.asset.asset_id	מזהה הנכס
חומרה	principal.asset.hardware	החומרה של הנכס
affected_device.device_name	principal.asset.hostname	שם המארח של הנכס
events_extra_info.certificate_info.CN	principal.asset.hostname
management_ip	principal.asset.ip	כתובת ה-IP של הנכס
info.ip	principal.asset.ip
comm_tuple.src_ip	principal.asset.ip
info.tuple.2	principal.asset.ip
info.tuple.3	principal.asset.ip
affected_device.ip_list	principal.asset.ip
info.subject_components.CN	principal.hostname	שם המארח של הישות המורשית
affected_device.device_name	principal.hostname
events_extra_info.certificate_info.CN	principal.hostname
management_ip	principal.ip	כתובת ה-IP של החשבון הראשי
info.ip	principal.ip
comm_tuple.src_ip	principal.ip
info.tuple.2	principal.ip
info.tuple.3	principal.ip
affected_device.ip_list	principal.ip
info.subject_components.L	principal.location.city	העיר שבה נמצא המיקום
events_extra_info.certificate_info.L	principal.location.city
location	principal.location.country_or_region	המדינה או האזור של המיקום
info.subject_components.C	principal.location.country_or_region
events_extra_info.certificate_info.C	principal.location.country_or_region
info.subject_components.ST	principal.location.state	המדינה שבה נמצא המיקום
events_extra_info.certificate_info.ST	principal.location.state
principal.platform	principal.platform	הפלטפורמה של חשבון המשתמש
affected_device.os	principal.platform_version	גרסת הפלטפורמה של חשבון המשתמש
device_uid	principal.resource.id	מזהה המשאב
info.device_type_family	principal.resource.name	שם המשאב
affected_device.device_type	principal.resource.name
affected_device.uid	principal.resource.product_object_id	מזהה אובייקט המוצר של המשאב
affected_device.device_category	principal.resource.resource_subtype	סוג המשנה של המשאב
principal.resource.resource_type	principal.resource.resource_type	סוג המשאב
info.device_category	principal.resource.type	סוג המשאב
updated_by	principal.user.userid	מזהה המשתמש של המשתמש
info.login_username	principal.user.userid
events_extra_info.sender_id	principal.user.userid
events_extra_info.username	principal.user.userid
info.malicious_anomali_info.itype	security_result.about.labels	תוויות שמשויכות לתוצאת האבטחה
info.malicious_anomali_info.ip	security_result.about.labels
info.malicious_anomali_info.source	security_result.about.labels
info.malicious_anomali_info.org	security_result.about.labels
info.malicious_anomali_info.country	security_result.about.labels
info.malicious_anomali_info.classification	security_result.about.labels
info.malicious_anomali_info.maltype	security_result.about.labels
info.malicious_anomali_info.stream_id	security_result.about.labels
info.malicious_anomali_info.threat_type	security_result.about.labels
events_extra_info.malicious_ip_info.source	security_result.about.labels
events_extra_info.malicious_ip_info.threat_type	security_result.about.labels
security_result.category	security_result.category	הקטגוריה של תוצאת האבטחה
alert.category	security_result.category_details	פרטי הקטגוריה של תוצאת האבטחה
events_extra_info.malicious_ip_info.type	security_result.category_details
events_extra_info.malicious_ip_info.confidence	security_result.confidence_details	פרטי רמת הסמך של תוצאת האבטחה
alert.description	security_result.description	תיאור של תוצאת האבטחה
alert.type_name	security_result.detection_fields	שדות זיהוי שמשויכים לתוצאת האבטחה
alert.device_status	security_result.detection_fields
alert.category	security_result.detection_fields
alert.description	security_result.detection_fields
vulnerability_info.name	security_result.detection_fields
vulnerability_info.type	security_result.detection_fields
vulnerability_info.release_date	security_result.detection_fields
vulnerability_info.cves	security_result.detection_fields
vulnerability_info.cvssv3_base_score	security_result.detection_fields
vulnerability_info.description	security_result.detection_fields
vulnerability_info.affected_products	security_result.detection_fields
vulnerability_info.is_known_exploited	security_result.detection_fields
vulnerability_device_info.relevance_source	security_result.detection_fields
vulnerability_info.cvssv2_base_score	security_result.detection_fields
affected_device.device_subcategory	security_result.detection_fields
affected_device.retired	security_result.detection_fields
affected_device.app_version	security_result.detection_fields
events_extra_info.communication_type	security_result.detection_fields
events_extra_info.malicious_ip_info.tags	security_result.detection_fields
alert_info.certificate_thumbprint	security_result.detection_fields
alert_info.certificate_expiry_date	security_result.detection_fields
alert_info.certificate_start_date	security_result.detection_fields
alert_info.certificate_type	security_result.detection_fields
alert.id	security_result.rule_id	מזהה הכלל של תוצאת האבטחה
events.alert_id	security_result.rule_id
alert.name	security_result.rule_name	שם הכלל של תוצאת האבטחה
info.malicious_anomali_info.severity	security_result.severity	חומרת תוצאת האבטחה
affected_device.risk_score	security_result.severity_details	פרטי החומרה של תוצאת האבטחה
info.malicious_anomali_info.threat_type	security_result.threat_name	שם האיום בתוצאת האבטחה
events_extra_info.malicious_ip_info.threat_type	security_result.threat_name
target.asset.hostname	target.asset.hostname	שם המארח של נכס היעד
info.tuple.3	target.asset.ip	כתובת ה-IP של נכס היעד
info.tuple.2	target.asset.ip
comm_tuple.dst_ip	target.asset.ip
info.file_name	target.file.full_path	הנתיב המלא של קובץ היעד
events_extra_info.file_name	target.file.full_path
events_extra_info.file_type	target.file.mime_type	סוג ה-MIME של קובץ היעד
info.fqdn	target.hostname	שם המארח של היעד
info.tuple.3	target.ip	כתובת ה-IP של היעד
info.tuple.2	target.ip
comm_tuple.dst_ip	target.ip
מדינה	target.location.country_or_region	המדינה או האזור של מיקום היעד הגיאוגרפי
info.geolocation	target.location.country_or_region
מדינה	target.location.country_or_region
events_extra_info.geo_location	target.location.country_or_region
הסמוי הסופי	target.location.state	הסטטוס של המיקום הגיאוגרפי המטורגט
הסמוי הסופי	target.location.state
target_mac	target.mac	כתובת ה-MAC של היעד
comm_tuple.dst_mac	target.mac
comm_tuple.dst_port	target.port	היציאה של היעד
dest_device_uid	target.resource.id	המזהה של משאב היעד
info.login_username	target.user.userid	מזהה המשתמש של משתמש היעד
events_extra_info.username	target.user.userid
metadata.product_name	metadata.product_name	שם המוצר
metadata.vendor_name	metadata.vendor_name	שם הספק
events.id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
affected_device.device_name	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
affected_device.device_name	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
management_ip	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
management_ip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
updated_by	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
affected_device.os	event.idm.read_only_udm.principal.platform_version	מופה מיומן השינויים
affected_device.management_status	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
affected_device.labels	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
events_extra_info.direction	event.idm.read_only_udm.network.direction	מופה מיומן השינויים
events_extra_info.ip_protocol	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
events.alert_id	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
affected_device.risk_score	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
events_extra_info.communication_type	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
vulnerability_info.name", "vulnerability_info.type", "vulnerability_info.release_date", "cve", "vulnerability_info.cvssv3_base_score", "vulnerability_info.description", "vulnerability_info.affected_products", "vulnerability_info.is_known_exploited", "vulnerability_device_info.relevance", "vulnerability_device_info.relevance_source", "vulnerability_info.cvssv2_base_score", "affected_device.device_subcategory", "affected_device.retired", and "affected_device.app_version	security_result.detection_fields	מופה מיומן השינויים
alert.type_name", "alert.device_status", "alert_info.certificate_thumbprint", "alert_info.certificate_expiry_date", "alert_info.certificate_start_date", and "alert_info.certificate_type	security_result.detection_fields	מופה מיומן השינויים
alert.mitre_technique_ids", "alert.mitre_technique_names", "alert.mitre_technique_enterprise_ids", "alert.mitre_technique_enterprise_names", "affected_device.device_type_family", "affected_device.connection_type_list", and "affected_device.network_list	additional.fields	מופה מיומן השינויים
affected_device.mac_list	principal.mac	מופה מיומן השינויים
msg_category", "interface_name", "interface_type", and "status	additional.fields	מופה מיומן השינויים
event_extra_info.malicious_ip_info.confidence	security_result.confidence_details	מופה מיומן השינויים
event_extra_info.malicious_ip_info.last_update	target.file.mime_type	מופה מיומן השינויים
event_extra_info.malicious_ip_info.tags	security_result.detection_fields	מופה מיומן השינויים
event_extra_info.malicious_ip_info.type	security_result.category_details	מופה מיומן השינויים
events.timestamp	metadata.event_timestamp	מופה מיומן השינויים
events_extra_info.malicious_ip_info.severity	security_result.severity	מופה מיומן השינויים
events_extra_info.client_id" and "affected_device.site_name	additional_fields	מופה מיומן השינויים
comm_tuple.src_port	principal.port	מופה מיומן השינויים
comm_tuple.src_mac	principal.mac	מופה מיומן השינויים
affected_device.manufacturer	hardware.manufacturer	מופה מיומן השינויים
affected_device.model	hardware.model	מופה מיומן השינויים
metadata.event_type	NETWORK_HTTP	מופה מיומן השינויים
metadata.event_type	NETWORK_FTP	מופה מיומן השינויים
security_category	NETWORK_MALICIOUS	מופה מיומן השינויים
metadata.event_type	USER_LOGIN	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.