MISP-IOC-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie MISP-IOC-Logs (Malware Information Sharing Platform) mit Bindplane in Google Security Operations aufnehmen. Der Parser verarbeitet die Daten sowohl im CSV- als auch im JSON-Format. Es extrahiert IOC-Attribute wie IP-Adressen, Domains, Hashes und URLs und ordnet sie zusammen mit Bedrohungsdetails wie Schweregrad, Konfidenz und Beschreibungen einem Unified Data Model (UDM) zu. Der Parser verarbeitet sowohl einzelne als auch mehrere IOC-Einträge in den Eingabedaten und normalisiert sie in eine konsistente UDM-Ausgabe.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Ein Linux-Host mit systemd
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf Ihren MISP-Server

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein (z. B. bindplane-ingest).
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle Editor aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie Einstellungen > Datenverwaltung > Erfassungs-Agents auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Gehen Sie zu Einstellungen > Verwaltung > Profil. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Profil auf.
  3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

MISP-API-Anmeldedaten abrufen

  1. Melden Sie sich als Administrator in der MISP-Weboberfläche an.
  2. Gehen Sie zu Verwaltung > Authentifizierungsschlüssel auflisten.
  3. Klicken Sie auf Authentifizierungsschlüssel hinzufügen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Nutzer: Wählen Sie das Nutzerkonto aus, das mit dem Schlüssel verknüpft ist.
    • Optional: Zulässige IP-Adressen: Geben Sie zulässige IP-Adressen für den Schlüssel an.
    • Ablauf: Lassen Sie das Feld leer, wenn kein Ablaufdatum festgelegt werden soll, oder legen Sie ein Datum fest.
  5. Klicken Sie auf Senden.
  6. Kopieren Sie den API-Schlüssel und speichern Sie ihn an einem sicheren Ort.
  7. Klicken Sie auf Ich habe mir meinen Schlüssel notiert.

MISP-Datenexport konfigurieren

  1. Installieren Sie PyMISP auf Ihrem MISP-Server:

    pip3 install pymisp

  2. Erstellen Sie das Exportverzeichnis:

    sudo mkdir -p /opt/misp/scripts
sudo mkdir -p /opt/misp/ioc_export

  3. Erstellen Sie die Datei mit den Anmeldedaten /opt/misp/scripts/keys.py:

    misp_url = 'https://<MISP_SERVER_URL>'
misp_key = '<MISP_API_KEY>'
misp_verifycert = True
misp_client_cert = ''
    • Ersetzen Sie <MISP_SERVER_URL> durch die URL Ihres MISP-Servers.
    • Ersetzen Sie <MISP_API_KEY> durch den API-Schlüssel aus den Voraussetzungen.

  4. Erstellen Sie das Exportskript /opt/misp/scripts/misp_export.py:

    #!/usr/bin/env python3
# -*- coding: utf-8 -*-
import argparse
from pymisp import ExpandedPyMISP
from keys import misp_url, misp_key, misp_verifycert

if __name__ == '__main__':
    parser = argparse.ArgumentParser(description='Export MISP IOCs to CSV format.')
    parser.add_argument("--controller", default='attributes',
                        help="Controller to use for search (events, objects, attributes)")
    parser.add_argument("--event_id",
                        help="Event ID to fetch. Without it, fetches recent data.")
    parser.add_argument("--attributes", nargs='*',
                        help="Requested attributes for CSV export")
    parser.add_argument("--misp_types", nargs='+',
                        help="MISP types to fetch (ip-src, hostname, domain, etc.)")
    parser.add_argument("--context", action='store_true',
                        help="Add event level context (tags, metadata)")
    parser.add_argument("--outfile", required=True,
                        help="Output file to write the CSV data")
    parser.add_argument("--last", required=True,
                        help="Time period: days (d), hours (h), minutes (m) - e.g., 1d, 12h, 30m")

    args = parser.parse_args()

    api = ExpandedPyMISP(misp_url, misp_key, misp_verifycert, debug=False)

    response = api.search(
        controller=args.controller,
        return_format='csv',
        type_attribute=args.misp_types,
        publish_timestamp=args.last,
        include_context=args.context,
        requested_attributes=args.attributes or None
    )

    with open(args.outfile, 'w') as response_file:
        response_file.write(response)

  5. Machen Sie das Skript ausführbar:

    sudo chmod +x /opt/misp/scripts/misp_export.py

MISP-Datenexporte planen

  1. So erstellen Sie geplante Exporte mit crontab:

    sudo crontab -e

  2. Fügen Sie die folgenden Cron-Einträge hinzu:

    # Export different IOC types daily with context
0 0 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/domains.csv --misp_types domain --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 1 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-src.csv --misp_types ip-src --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 2 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-dst.csv --misp_types ip-dst --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 3 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/urls.csv --misp_types url --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 4 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/sha256.csv --misp_types sha256 --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 5 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/filenames.csv --misp_types filename --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 6 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/registries.csv --misp_types regkey --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 7 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/mutexes.csv --misp_types mutex --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info

  3. Optional können Sie einen Abruf von Feeds aus MISP planen:

    23 0 * * * curl --insecure --header "Authorization: <MISP_API_KEY>" --header "Accept: application/json" --header "Content-Type: application/json" https://<MISP_SERVER_URL>/feeds/fetchFromAllFeeds

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten auf Ihrem Linux-Betriebssystem gemäß der folgenden Anleitung.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-otel-collector/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Bindplane-Agenten so konfigurieren, dass er MISP-Logs aufnimmt und an Google SecOps sendet

  1. Greifen Sie auf die Konfigurationsdatei zu:

    • Suchen Sie die Datei config.yaml. Unter Linux befindet sie sich normalerweise im Verzeichnis /opt/observiq-otel-collector/.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
  filelog:
    include:
      - "/opt/misp/ioc_export/*.csv"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - filelog
      exporters:
        - chronicle/chronicle_w_labels
    • Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
    • Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, unter dem die Dienstkontoschlüsseldatei (Option 1) gespeichert wurde.

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Attribute.category entity.metadata.threat.category_details Direkte Zuordnung aus dem Feld category im Objekt Attribute.
Attribute.comment entity.metadata.threat.summary Direkte Zuordnung aus dem Feld comment im Objekt Attribute.
Attribute.deleted entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld deleted im Objekt Attribute. Der Schlüssel ist auf Attribute deleted festgelegt.
Attribute.event_id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld event_id im Objekt Attribute. Der Schlüssel ist auf Attribute event_id festgelegt.
Attribute.first_seen entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld first_seen im Objekt Attribute. Der Schlüssel ist auf Attribute first_seen festgelegt.
Attribute.id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld id im Objekt Attribute. Der Schlüssel wird je nach Format des Rohlogs auf Attribute id oder Attribute id $$ gesetzt.
Attribute.timestamp entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld timestamp im Objekt Attribute. Der Schlüssel ist auf Attribute timestamp festgelegt.
Attribute.to_ids entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld to_ids im Objekt Attribute. Der Schlüssel ist auf Attribute to_ids festgelegt.
Attribute.type entity.metadata.threat.category_details Direkte Zuordnung aus dem Feld type im Objekt Attribute.
Attribute.type log_type Wird verwendet, um den Typ des IOC zu bestimmen und ihn den entsprechenden UDM-Feldern zuzuordnen.
Attribute.uuid entity.metadata.product_entity_id Direkte Zuordnung aus dem Feld uuid im Objekt Attribute.
Attribute.value entity.entity.file.full_path Wird zugeordnet, wenn Attribute.type den Wert filename hat.
Attribute.value entity.entity.file.md5 Wird zugeordnet, wenn Attribute.type den Wert md5 hat.
Attribute.value entity.entity.file.sha1 Wird zugeordnet, wenn Attribute.type den Wert sha1 hat.
Attribute.value entity.entity.file.sha256 Wird zugeordnet, wenn Attribute.type den Wert sha256 hat.
Attribute.value entity.entity.hostname Wird zugeordnet, wenn Attribute.type den Wert domain hat.
Attribute.value entity.entity.ip Wird zugeordnet, wenn Attribute.type den Wert ip-dst, ip-dst|port oder ip-src hat. Der Wert wird mithilfe eines Grok-Musters extrahiert.
Attribute.value entity.entity.resource.name Wird zugeordnet, wenn Attribute.type den Wert mutex hat.
Attribute.value entity.entity.registry.registry_key Wird zugeordnet, wenn Attribute.type den Wert regkey hat.
Attribute.value entity.entity.url Wird zugeordnet, wenn Attribute.type uri oder URL ist.
Spalte1 entity.metadata.product_entity_id Direkte Zuordnung aus der ersten Spalte in den CSV-Daten.
column14 event_info Wird verwendet, um dem Feld threat_sr.description zusätzliche Informationen anzuhängen.
column16 event_source_org Direkte Zuordnung aus der 16. Spalte in den CSV-Daten.
column18 threat_level Direkte Zuordnung aus der 18. Spalte in den CSV-Daten.
column21 Beschreibung Direkte Zuordnung aus der 21. Spalte in den CSV-Daten.
Spalte3 misp_category Direkte Zuordnung aus der dritten Spalte in den CSV-Daten.
Spalte4 Typ Direkte Zuordnung aus der vierten Spalte in den CSV-Daten.
column5 Wert Direkte Zuordnung aus der fünften Spalte in den CSV-Daten.
column6 Kommentar Direkte Zuordnung aus der sechsten Spalte in den CSV-Daten.
column8 ts1 Direkte Zuordnung aus der achten Spalte in den CSV-Daten.
Beschreibung ioc.description Der Wert wird durch Kombinieren des Felds description mit dem Feld event_info generiert, getrennt durch - additional info:.
Beschreibung entity.metadata.threat.description Direkte Zuordnung aus dem Feld description.
event_creator_email entity.entity.labels.value Direkte Zuordnung aus dem Feld event_creator_email. Der Schlüssel ist auf event_creator_email festgelegt.
event_source_org ioc.feed_name Direkte Zuordnung aus dem Feld event_source_org.
event_source_org entity.metadata.threat.threat_feed_name Direkte Zuordnung aus dem Feld event_source_org.
Feed.publish entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld publish im Objekt Feed. Der Schlüssel ist auf Feed publish festgelegt.
first_seen ioc.active_timerange.start Direkte Zuordnung aus dem Feld first_seen. Der Wert wird als Datum geparst.
first_seen entity.metadata.interval.start_time Direkte Zuordnung aus dem Feld first_seen. Der Wert wird als Datum geparst.
Info entity.metadata.description Direkte Zuordnung aus dem Feld info.
last_seen ioc.active_timerange.end Direkte Zuordnung aus dem Feld last_seen. Der Wert wird als Datum geparst.
log.category ioc.categorization Direkte Zuordnung aus dem Feld category im Objekt log.
log.category entity.metadata.threat.category_details Direkte Zuordnung aus dem Feld category im Objekt log.
log.comment entity.entity.file.full_path Wird zugeordnet, wenn log.type den Wert filename hat und das Feld comment nicht Artifacts dropped ist.
log.comment entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld comment im Objekt log. Der Schlüssel ist auf Attribute comment festgelegt.
log.comment entity.metadata.threat.summary Direkte Zuordnung aus dem Feld comment im Objekt log.
log.deleted entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld deleted im Objekt log. Der Schlüssel ist auf Attribute deleted festgelegt.
log.event_id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld event_id im Objekt log. Der Schlüssel ist auf Attribute event_id festgelegt.
log.first_seen entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld first_seen im Objekt log. Der Schlüssel ist auf Attribute first_seen festgelegt.
log.id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld id im Objekt log. Der Schlüssel ist auf Attribute id festgelegt.
log.timestamp entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld timestamp im Objekt log. Der Schlüssel ist auf Attribute timestamp festgelegt.
log.to_ids entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld to_ids im Objekt log. Der Schlüssel ist auf Attribute to_ids festgelegt.
log.type ioc.categorization Direkte Zuordnung aus dem Feld type im Objekt log.
log.type log_type Wird verwendet, um den Typ des IOC zu bestimmen und ihn den entsprechenden UDM-Feldern zuzuordnen.
log.uuid entity.metadata.product_entity_id Direkte Zuordnung aus dem Feld uuid im Objekt log.
log.value entity.entity.file.full_path Wird zugeordnet, wenn log.type den Wert filename hat.
log.value entity.entity.file.md5 Wird zugeordnet, wenn log.type den Wert md5 hat.
log.value entity.entity.file.sha1 Wird zugeordnet, wenn log.type den Wert sha1 hat.
log.value entity.entity.file.sha256 Wird zugeordnet, wenn log.type den Wert sha256 hat.
log.value entity.entity.hostname Wird zugeordnet, wenn log.type den Wert domain hat.
log.value entity.entity.ip Wird zugeordnet, wenn log.type den Wert ip-dst, ip-dst|port oder ip-src hat. Der Wert wird mithilfe eines Grok-Musters extrahiert.
log.value entity.entity.resource.name Wird zugeordnet, wenn log.type den Wert mutex hat.
log.value entity.entity.registry.registry_key Wird zugeordnet, wenn log.type den Wert regkey hat.
log.value entity.entity.url Wird zugeordnet, wenn log.type uri oder url ist.
log.value ioc.domain_and_ports.domain Wird zugeordnet, wenn log.type den Wert domain hat.
log.value entity.entity.user.email_addresses Wird zugeordnet, wenn log.type den Wert threat-actor hat.
misp_category entity.metadata.threat.category_details Direkte Zuordnung aus dem Feld misp_category.
Org.name entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld name im Objekt Org. Der Schlüssel ist auf Org name festgelegt.
published entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld published. Der Schlüssel ist auf published festgelegt.
Tag.colour entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld colour im Objekt Tag. Der Schlüssel ist auf tag colour festgelegt.
Tag.exportable entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld exportable im Objekt Tag. Der Schlüssel ist auf tag exportable festgelegt.
Tag.hide_tag entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld hide_tag im Objekt Tag. Der Schlüssel ist auf tag hide_tag festgelegt.
Tag.id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld id im Objekt Tag. Der Schlüssel ist auf tag id festgelegt.
Tag.is_custom_galaxy entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld is_custom_galaxy im Objekt Tag. Der Schlüssel ist auf tag is_custom_galaxy festgelegt.
Tag.is_galaxy entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld is_galaxy im Objekt Tag. Der Schlüssel ist auf tag is_galaxy festgelegt.
Tag.isinherited entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld isinherited im Objekt Tag. Der Schlüssel ist auf tag isinherited festgelegt.
Tag.name entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld name im Objekt Tag. Der Schlüssel ist auf tag name festgelegt.
Tag.numerical_value entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld numerical_value im Objekt Tag. Der Schlüssel ist auf tag numerical_value festgelegt.
Tag.user_id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld user_id im Objekt Tag. Der Schlüssel ist auf tag user_id festgelegt.
threat_level ioc.raw_severity Direkte Zuordnung aus dem Feld threat_level.
threat_level entity.metadata.threat.severity_details Direkte Zuordnung aus dem Feld threat_level.
threat_level_id entity.entity.labels.value Direkte Zuordnung aus dem Feld threat_level_id. Der Schlüssel ist auf threat_level_id festgelegt.
ts1 ioc.active_timerange.start Direkte Zuordnung aus dem Feld ts1. Der Wert wird als Datum geparst.
ts1 entity.metadata.interval.start_time Direkte Zuordnung aus dem Feld ts1. Der Wert wird als Datum geparst.
entity.entity.file.full_path Wird zugeordnet, wenn type den Wert filename hat.
entity.entity.file.md5 Wird zugeordnet, wenn type den Wert md5 hat.
entity.entity.file.sha1 Wird zugeordnet, wenn type den Wert sha1 hat.
entity.entity.file.sha256 Wird zugeordnet, wenn type den Wert sha256 hat.
entity.entity.hostname Wird zugeordnet, wenn type den Wert domain hat.
entity.entity.ip Wird zugeordnet, wenn type den Wert ip-dst, ip-dst|port oder ip-src hat. Der Wert wird mithilfe eines Grok-Musters extrahiert.
entity.entity.port Wird zugeordnet, wenn das Feld port nicht leer ist. Der Wert wird in eine Ganzzahl umgewandelt.
entity.entity.resource.name Wird zugeordnet, wenn type den Wert mutex hat.
entity.entity.resource.resource_subtype Wird zugeordnet, wenn type den Wert regkey hat. Der Wert ist auf regkey festgelegt.
entity.entity.resource.resource_type Wird zugeordnet, wenn type mutex oder regkey ist. Der Wert wird auf MUTEX bzw. STORAGE_OBJECT gesetzt.
entity.entity.registry.registry_key Wird zugeordnet, wenn type den Wert regkey hat.
entity.entity.url Wird zugeordnet, wenn type uri oder url ist.
entity.metadata.collected_timestamp Der Wert wird auf den Zeitstempel des Rohlogeintrags festgelegt.
entity.metadata.description Der Wert wird auf das Feld type gesetzt, wenn das Rohprotokoll im CSV-Format vorliegt. Andernfalls wird es auf das Feld info gesetzt.
entity.metadata.entity_type Der Wert wird anhand des Felds type oder log_type bestimmt. Kann DOMAIN_NAME, FILE, IP_ADDRESS, MUTEX, RESOURCE oder URL sein.
entity.metadata.interval.end_time Der Wert ist standardmäßig auf 253402300799 Sekunden festgelegt.
entity.metadata.interval.start_time Der Wert wird auf das Feld first_seen festgelegt, wenn es nicht leer ist. Andernfalls wird der Standardwert von 1 Sekunde oder der Zeitstempel des Rohlogeintrags verwendet.
entity.metadata.product_name Der Wert ist auf MISP festgelegt.
entity.metadata.threat.confidence Der Wert wird auf UNKNOWN_CONFIDENCE gesetzt, wenn das Feld confidence leer oder f ist. Andernfalls wird er basierend auf dem Wert des Felds confidence auf HIGH_CONFIDENCE, MEDIUM_CONFIDENCE oder LOW_CONFIDENCE gesetzt.
entity.metadata.threat.confidence_details Direkte Zuordnung aus dem Feld confidence.
entity.metadata.threat.detection_fields Der Wert ist eine Liste von Schlüssel/Wert-Paaren, die aus verschiedenen Feldern im Rohprotokoll extrahiert wurden.
entity.metadata.vendor_name Der Wert ist auf MISP festgelegt.
ioc.active_timerange.end Der Wert wird auf das Feld last_seen festgelegt, wenn es nicht leer ist.
ioc.active_timerange.start Der Wert wird auf das Feld ts1 oder first_seen gesetzt, wenn diese nicht leer sind. Andernfalls wird der Standardwert von 1 Sekunde verwendet.
ioc.categorization Der Wert wird auf misp_category IOCs gesetzt, wenn das Rohprotokoll im CSV-Format vorliegt. Andernfalls wird es auf das Feld category im Objekt Attribute oder log festgelegt.
ioc.confidence_score Direkte Zuordnung aus dem Feld confidence.
ioc.description Der Wert wird durch Kombinieren des Felds description mit dem Feld event_info generiert, getrennt durch - additional info:.
ioc.domain_and_ports.domain Wird zugeordnet, wenn type oder log_type domain ist.
ioc.feed_name Der Wert wird auf MISP gesetzt, wenn das Feld event_source_org leer ist. Andernfalls wird es auf das Feld event_source_org gesetzt.
ioc.ip_and_ports.ip_address Wird zugeordnet, wenn das Feld ip nicht leer ist. Der Wert wird in eine IP-Adresse konvertiert.
ioc.ip_and_ports.ports Wird zugeordnet, wenn das Feld port nicht leer ist. Der Wert wird in eine vorzeichenlose Ganzzahl konvertiert.
ioc.raw_severity Direkte Zuordnung aus dem Feld threat_level.
timestamp Der Wert wird auf den Zeitstempel des Rohlogeintrags festgelegt.
column9 event.idm.read_only_udm.entity.labels Aus Änderungsprotokoll zugeordnet
column11 event.idm.read_only_udm.entity.labels Aus Änderungsprotokoll zugeordnet
column12 event.idm.read_only_udm.entity.labels Aus Änderungsprotokoll zugeordnet
column13 event.idm.read_only_udm.entity.labels Aus Änderungsprotokoll zugeordnet
"name" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"comment" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.last_seen" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"first_seen" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Org.id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Org.uuid" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Org.local" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Orgc.id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Orgc.uuid" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Orgc.local" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.distribution" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.interval_start" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.interval_end" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.sharing_group_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.disable_correlation" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.object_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.object_relation" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.event_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.distribution" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"interval_start" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"interval_end" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"template_uuid" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"meta-category" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.sharing_group_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.disable_correlation" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.object_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.object_relation" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Tag" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.value" event.idm.entity.entity.hostname Aus Änderungsprotokoll zugeordnet
"Orgc.name" event.idm.entity.entity.hostname Aus Änderungsprotokoll zugeordnet
log.uuid event.idm.entity.metadata.product_entity_id Aus Änderungsprotokoll zugeordnet
Event.info event.idm.entity.metadata.description Aus Änderungsprotokoll zugeordnet
entity_first_seen event.idm.entity.metadata.interval.start_time Aus Änderungsprotokoll zugeordnet
log.category event.idm.entity.metadata.threat.category_details Aus Änderungsprotokoll zugeordnet
log.comment event.idm.entity.metadata.threat.summary Aus Änderungsprotokoll zugeordnet
Event.threat_level_id event.idm.entity.entity.labels Aus Änderungsprotokoll zugeordnet
event_creator_email event.idm.entity.entity.labels Aus Änderungsprotokoll zugeordnet
log.comment event.idm.entity.entity.file.full_path Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.file.full_path Aus Änderungsprotokoll zugeordnet
file_name event.idm.entity.entity.file.full_path Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.file.sha256 Aus Änderungsprotokoll zugeordnet
file_sha256 event.idm.entity.entity.file.sha256 Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.file.sha1 Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.file.md5 Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.hostname Aus Änderungsprotokoll zugeordnet
ip event.idm.entity.entity.ip Aus Änderungsprotokoll zugeordnet
port event.idm.entity.entity.port Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.resource.name Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.registry.registry_key Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.user.email_addresses Aus Änderungsprotokoll zugeordnet
log.uuid event.idm.entity.entity.user.user_display_name Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.url Aus Änderungsprotokoll zugeordnet
log.id event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.event_id event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.to_ids event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.timestamp event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.comment event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.deleted event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.first_seen event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
Org.name event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
Feed.publish event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
published event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
Event.Tag event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
timestamp event.idm.entity.metadata.entity_timestamp Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.file.sha1 Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.file.md5 Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.file.sha256 Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.hostname Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.ip Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.url Aus Änderungsprotokoll zugeordnet
confidence event.idm.entity.metadata.threat.confidence_score Aus Änderungsprotokoll zugeordnet
stix_package_title event.idm.entity.metadata.threat.summary Aus Änderungsprotokoll zugeordnet
type event.idm.entity.metadata.threat.category_details Aus Änderungsprotokoll zugeordnet
confidence threat_.confidence_details Aus Änderungsprotokoll zugeordnet
published", "Feed.publish", "Org.name", "Attribute.id", "Attribute.event_id", "Attribute.to_ids", "Attribute.timestamp", "Attribute.comment", "Attribute.deleted", "Attribute.first_seen", all "tag.names threat.detection_fields Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten