MISP-IOC-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie MISP-IOC-Logs (Malware Information Sharing Platform) mit Bindplane in Google Security Operations aufnehmen. Der Parser verarbeitet die Daten sowohl im CSV- als auch im JSON-Format. Es extrahiert IOC-Attribute wie IP-Adressen, Domains, Hashes und URLs und ordnet sie zusammen mit Bedrohungsdetails wie Schweregrad, Konfidenz und Beschreibungen einem einheitlichen Datenmodell (UDM) zu. Der Parser verarbeitet sowohl einzelne als auch mehrere IOC-Einträge in den Eingabedaten und normalisiert sie in eine konsistente UDM-Ausgabe.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

  • Eine Google SecOps-Instanz
  • Ein Linux-Host mit systemd
  • Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
  • Privilegierter Zugriff auf Ihren MISP-Server

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

  • Neue Bereitstellungen: Verwenden Sie die Chronicle API (Option 1).
  • Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.
  1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
  2. Rufen Sie IAM und Verwaltung > Dienstkonten auf.
  3. Klicken Sie auf Dienstkonto erstellen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
    • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
  5. Klicken Sie auf Erstellen und fortfahren.
  6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
  7. Klicken Sie auf Weiter und dann auf Fertig.
  8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
  9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
  10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
  11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
  12. Rufen Sie IAM & Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Option 2: Authentifizierungsdatei für die Datenaufnahme herunterladen (Legacy)

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter.
  4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > Profile auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

MISP-API-Anmeldedaten abrufen

  1. Melden Sie sich als Administrator in der MISP-Weboberfläche an.
  2. Gehen Sie zu Verwaltung > Authentifizierungsschlüssel auflisten.
  3. Klicken Sie auf Authentifizierungsschlüssel hinzufügen.
  4. Geben Sie die folgenden Konfigurationsdetails an:
    • Nutzer: Wählen Sie das Nutzerkonto aus, das mit dem Schlüssel verknüpft ist.
    • Optional: Zulässige IP-Adressen: Geben Sie zulässige IP-Adressen für den Schlüssel an.
    • Ablauf: Lassen Sie das Feld leer, wenn kein Ablaufdatum festgelegt werden soll, oder legen Sie ein Datum fest.
  5. Klicken Sie auf Senden.
  6. Kopieren Sie den API-Schlüssel und speichern Sie ihn an einem sicheren Ort.
  7. Klicken Sie auf Ich habe mir meinen Schlüssel notiert.

MISP-Datenexport konfigurieren

  1. Installieren Sie PyMISP auf Ihrem MISP-Server:

    pip3 install pymisp

  2. Erstellen Sie das Exportverzeichnis:

    sudo mkdir -p /opt/misp/scripts
sudo mkdir -p /opt/misp/ioc_export

  3. Erstellen Sie die Datei mit den Anmeldedaten /opt/misp/scripts/keys.py:

    misp_url = 'https://<MISP_SERVER_URL>'
misp_key = '<MISP_API_KEY>'
misp_verifycert = True
misp_client_cert = ''
    • Ersetzen Sie <MISP_SERVER_URL> durch die URL Ihres MISP-Servers.
    • Ersetzen Sie <MISP_API_KEY> durch den API-Schlüssel aus den Voraussetzungen.

  4. Erstellen Sie das Exportskript /opt/misp/scripts/misp_export.py:

    #!/usr/bin/env python3
# -*- coding: utf-8 -*-
import argparse
from pymisp import ExpandedPyMISP
from keys import misp_url, misp_key, misp_verifycert

if __name__ == '__main__':
    parser = argparse.ArgumentParser(description='Export MISP IOCs to CSV format.')
    parser.add_argument("--controller", default='attributes',
                        help="Controller to use for search (events, objects, attributes)")
    parser.add_argument("--event_id",
                        help="Event ID to fetch. Without it, fetches recent data.")
    parser.add_argument("--attributes", nargs='*',
                        help="Requested attributes for CSV export")
    parser.add_argument("--misp_types", nargs='+',
                        help="MISP types to fetch (ip-src, hostname, domain, etc.)")
    parser.add_argument("--context", action='store_true',
                        help="Add event level context (tags, metadata)")
    parser.add_argument("--outfile", required=True,
                        help="Output file to write the CSV data")
    parser.add_argument("--last", required=True,
                        help="Time period: days (d), hours (h), minutes (m) - e.g., 1d, 12h, 30m")

    args = parser.parse_args()

    api = ExpandedPyMISP(misp_url, misp_key, misp_verifycert, debug=False)

    response = api.search(
        controller=args.controller,
        return_format='csv',
        type_attribute=args.misp_types,
        publish_timestamp=args.last,
        include_context=args.context,
        requested_attributes=args.attributes or None
    )

    with open(args.outfile, 'w') as response_file:
        response_file.write(response)

  5. Machen Sie das Skript ausführbar:

    sudo chmod +x /opt/misp/scripts/misp_export.py

MISP-Datenexporte planen

  1. Geplante Exporte mit Crontab erstellen:

    sudo crontab -e

  2. Fügen Sie die folgenden Cron-Einträge hinzu:

    # Export different IOC types daily with context
0 0 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/domains.csv --misp_types domain --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 1 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-src.csv --misp_types ip-src --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 2 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-dst.csv --misp_types ip-dst --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 3 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/urls.csv --misp_types url --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 4 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/sha256.csv --misp_types sha256 --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 5 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/filenames.csv --misp_types filename --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 6 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/registries.csv --misp_types regkey --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 7 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/mutexes.csv --misp_types mutex --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info

  3. Optional können Sie einen Abruf von Feeds aus MISP planen:

    23 0 * * * curl --insecure --header "Authorization: <MISP_API_KEY>" --header "Accept: application/json" --header "Content-Type: application/json" https://<MISP_SERVER_URL>/feeds/fetchFromAllFeeds

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agenten auf Ihrem Linux-Betriebssystem gemäß der folgenden Anleitung.

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-otel-collector/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Bindplane-Agent so konfigurieren, dass MISP-Logs aufgenommen und an Google SecOps gesendet werden

  1. Rufen Sie die Konfigurationsdatei auf:

    • Suchen Sie die Datei config.yaml. Unter Linux befindet sie sich normalerweise im Verzeichnis /opt/observiq-otel-collector/.
    • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
  filelog:
    include:
      - "/opt/misp/ioc_export/*.csv"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - filelog
      exporters:
        - chronicle/chronicle_w_labels
    • Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
    • Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer unter IAM & Verwaltung > Einstellungen.
    • Ersetzen Sie <customer_id> durch die tatsächliche Kundennummer.
    • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, unter dem die Dienstkontoschlüsseldatei (Option 1) gespeichert wurde.

Legacy-Ingestion-API-Exporter

  • Wenn Sie die Datei zur Authentifizierung bei der Aufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

    sudo systemctl restart observiq-otel-collector

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
Attribute.category entity.metadata.threat.category_details Direkte Zuordnung aus dem Feld category im Objekt Attribute.
Attribute.comment entity.metadata.threat.summary Direkte Zuordnung aus dem Feld comment im Objekt Attribute.
Attribute.deleted entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld deleted im Objekt Attribute. Der Schlüssel ist auf Attribute deleted gesetzt.
Attribute.event_id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld event_id im Objekt Attribute. Der Schlüssel ist auf Attribute event_id festgelegt.
Attribute.first_seen entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld first_seen im Objekt Attribute. Der Schlüssel ist auf Attribute first_seen gesetzt.
Attribute.id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld id im Objekt Attribute. Der Schlüssel ist je nach Format des Rohlogs auf Attribute id oder Attribute id $$ festgelegt.
Attribute.timestamp entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld timestamp im Objekt Attribute. Der Schlüssel ist auf Attribute timestamp gesetzt.
Attribute.to_ids entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld to_ids im Objekt Attribute. Der Schlüssel ist auf Attribute to_ids festgelegt.
Attribute.type entity.metadata.threat.category_details Direkte Zuordnung aus dem Feld type im Objekt Attribute.
Attribute.type log_type Wird verwendet, um den Typ des IOC zu bestimmen und ihn den entsprechenden UDM-Feldern zuzuordnen.
Attribute.uuid entity.metadata.product_entity_id Direkte Zuordnung aus dem Feld uuid im Objekt Attribute.
Attribute.value entity.entity.file.full_path Wird zugeordnet, wenn Attribute.type den Wert filename hat.
Attribute.value entity.entity.file.md5 Wird zugeordnet, wenn Attribute.type den Wert md5 hat.
Attribute.value entity.entity.file.sha1 Wird zugeordnet, wenn Attribute.type den Wert sha1 hat.
Attribute.value entity.entity.file.sha256 Wird zugeordnet, wenn Attribute.type den Wert sha256 hat.
Attribute.value entity.entity.hostname Wird zugeordnet, wenn Attribute.type den Wert domain hat.
Attribute.value entity.entity.ip Wird zugeordnet, wenn Attribute.type den Wert ip-dst, ip-dst|port oder ip-src hat. Der Wert wird mit einem Grok-Muster extrahiert.
Attribute.value entity.entity.resource.name Wird zugeordnet, wenn Attribute.type mutex ist.
Attribute.value entity.entity.registry.registry_key Wird zugeordnet, wenn Attribute.type regkey ist.
Attribute.value entity.entity.url Wird zugeordnet, wenn Attribute.type uri oder URL ist.
Spalte1 entity.metadata.product_entity_id Direkte Zuordnung aus der ersten Spalte der CSV-Daten.
column14 event_info Wird verwendet, um dem Feld threat_sr.description zusätzliche Informationen anzuhängen.
column16 event_source_org Direkte Zuordnung aus der 16. Spalte in den CSV-Daten.
column18 threat_level Direkte Zuordnung aus der 18. Spalte in den CSV-Daten.
column21 Beschreibung Direkte Zuordnung aus der 21. Spalte in den CSV-Daten.
Spalte3 misp_category Direkte Zuordnung aus der dritten Spalte in den CSV-Daten.
Spalte4 Typ Direkte Zuordnung aus der vierten Spalte der CSV-Daten.
column5 Wert Direkte Zuordnung aus der fünften Spalte der CSV-Daten.
column6 Kommentar Direkte Zuordnung aus der sechsten Spalte der CSV-Daten.
column8 ts1 Direkte Zuordnung aus der achten Spalte der CSV-Daten.
Beschreibung ioc.description Der Wert wird durch Kombinieren des Felds description mit dem Feld event_info generiert, getrennt durch - additional info:.
Beschreibung entity.metadata.threat.description Direkte Zuordnung aus dem Feld description.
event_creator_email entity.entity.labels.value Direkte Zuordnung aus dem Feld event_creator_email. Der Schlüssel ist auf event_creator_email festgelegt.
event_source_org ioc.feed_name Direkte Zuordnung aus dem Feld event_source_org.
event_source_org entity.metadata.threat.threat_feed_name Direkte Zuordnung aus dem Feld event_source_org.
Feed.publish entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld publish im Objekt Feed. Der Schlüssel ist auf Feed publish gesetzt.
first_seen ioc.active_timerange.start Direkte Zuordnung aus dem Feld first_seen. Der Wert wird als Datum geparst.
first_seen entity.metadata.interval.start_time Direkte Zuordnung aus dem Feld first_seen. Der Wert wird als Datum geparst.
Info entity.metadata.description Direkte Zuordnung aus dem Feld info.
last_seen ioc.active_timerange.end Direkte Zuordnung aus dem Feld last_seen. Der Wert wird als Datum geparst.
log.category ioc.categorization Direkte Zuordnung aus dem Feld category im Objekt log.
log.category entity.metadata.threat.category_details Direkte Zuordnung aus dem Feld category im Objekt log.
log.comment entity.entity.file.full_path Wird zugeordnet, wenn log.type den Wert filename hat und das Feld comment nicht Artifacts dropped ist.
log.comment entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld comment im Objekt log. Der Schlüssel ist auf Attribute comment festgelegt.
log.comment entity.metadata.threat.summary Direkte Zuordnung aus dem Feld comment im Objekt log.
log.deleted entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld deleted im Objekt log. Der Schlüssel ist auf Attribute deleted festgelegt.
log.event_id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld event_id im Objekt log. Der Schlüssel ist auf Attribute event_id festgelegt.
log.first_seen entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld first_seen im Objekt log. Der Schlüssel ist auf Attribute first_seen gesetzt.
log.id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld id im Objekt log. Der Schlüssel ist auf Attribute id festgelegt.
log.timestamp entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld timestamp im Objekt log. Der Schlüssel ist auf Attribute timestamp festgelegt.
log.to_ids entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld to_ids im Objekt log. Der Schlüssel ist auf Attribute to_ids gesetzt.
log.type ioc.categorization Direkte Zuordnung aus dem Feld type im Objekt log.
log.type log_type Wird verwendet, um den Typ des IOC zu bestimmen und ihn den entsprechenden UDM-Feldern zuzuordnen.
log.uuid entity.metadata.product_entity_id Direkte Zuordnung aus dem Feld uuid im Objekt log.
log.value entity.entity.file.full_path Wird zugeordnet, wenn log.type filename ist.
log.value entity.entity.file.md5 Wird zugeordnet, wenn log.type md5 ist.
log.value entity.entity.file.sha1 Wird zugeordnet, wenn log.type den Wert sha1 hat.
log.value entity.entity.file.sha256 Wird zugeordnet, wenn log.type sha256 ist.
log.value entity.entity.hostname Wird zugeordnet, wenn log.type den Wert domain hat.
log.value entity.entity.ip Wird zugeordnet, wenn log.type den Wert ip-dst, ip-dst|port oder ip-src hat. Der Wert wird mithilfe eines Grok-Musters extrahiert.
log.value entity.entity.resource.name Wird zugeordnet, wenn log.type den Wert mutex hat.
log.value entity.entity.registry.registry_key Wird zugeordnet, wenn log.type den Wert regkey hat.
log.value entity.entity.url Wird zugeordnet, wenn log.type uri oder url ist.
log.value ioc.domain_and_ports.domain Wird zugeordnet, wenn log.type den Wert domain hat.
log.value entity.entity.user.email_addresses Wird zugeordnet, wenn log.type den Wert threat-actor hat.
misp_category entity.metadata.threat.category_details Direkte Zuordnung aus dem Feld misp_category.
Org.name entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld name im Objekt Org. Der Schlüssel ist auf Org name gesetzt.
veröffentlicht entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld published. Der Schlüssel ist auf published festgelegt.
Tag.colour entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld colour im Objekt Tag. Der Schlüssel ist auf tag colour gesetzt.
Tag.exportable entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld exportable im Objekt Tag. Der Schlüssel ist auf tag exportable festgelegt.
Tag.hide_tag entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld hide_tag im Objekt Tag. Der Schlüssel ist auf tag hide_tag gesetzt.
Tag.id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld id im Objekt Tag. Der Schlüssel ist auf tag id festgelegt.
Tag.is_custom_galaxy entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld is_custom_galaxy im Objekt Tag. Der Schlüssel ist auf tag is_custom_galaxy festgelegt.
Tag.is_galaxy entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld is_galaxy im Objekt Tag. Der Schlüssel ist auf tag is_galaxy gesetzt.
Tag.isinherited entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld isinherited im Objekt Tag. Der Schlüssel ist auf tag isinherited gesetzt.
Tag.name entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld name im Objekt Tag. Der Schlüssel ist auf tag name festgelegt.
Tag.numerical_value entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld numerical_value im Objekt Tag. Der Schlüssel ist auf tag numerical_value gesetzt.
Tag.user_id entity.metadata.threat.detection_fields.value Direkte Zuordnung aus dem Feld user_id im Objekt Tag. Der Schlüssel ist auf tag user_id gesetzt.
threat_level ioc.raw_severity Direkte Zuordnung aus dem Feld threat_level.
threat_level entity.metadata.threat.severity_details Direkte Zuordnung aus dem Feld threat_level.
threat_level_id entity.entity.labels.value Direkte Zuordnung aus dem Feld threat_level_id. Der Schlüssel ist auf threat_level_id gesetzt.
ts1 ioc.active_timerange.start Direkte Zuordnung aus dem Feld ts1. Der Wert wird als Datum geparst.
ts1 entity.metadata.interval.start_time Direkte Zuordnung aus dem Feld ts1. Der Wert wird als Datum geparst.
entity.entity.file.full_path Wird zugeordnet, wenn type den Wert filename hat.
entity.entity.file.md5 Wird zugeordnet, wenn type den Wert md5 hat.
entity.entity.file.sha1 Wird zugeordnet, wenn type den Wert sha1 hat.
entity.entity.file.sha256 Wird zugeordnet, wenn type den Wert sha256 hat.
entity.entity.hostname Wird zugeordnet, wenn type den Wert domain hat.
entity.entity.ip Wird zugeordnet, wenn type den Wert ip-dst, ip-dst|port oder ip-src hat. Der Wert wird mithilfe eines Grok-Musters extrahiert.
entity.entity.port Wird zugeordnet, wenn das Feld port nicht leer ist. Der Wert wird in eine Ganzzahl umgewandelt.
entity.entity.resource.name Wird zugeordnet, wenn type den Wert mutex hat.
entity.entity.resource.resource_subtype Wird zugeordnet, wenn type regkey ist. Der Wert wird auf regkey festgelegt.
entity.entity.resource.resource_type Wird zugeordnet, wenn type mutex oder regkey ist. Der Wert wird auf MUTEX oder STORAGE_OBJECT gesetzt.
entity.entity.registry.registry_key Wird zugeordnet, wenn type den Wert regkey hat.
entity.entity.url Wird zugeordnet, wenn type uri oder url ist.
entity.metadata.collected_timestamp Der Wert wird auf den Zeitstempel des Rohlogeintrags festgelegt.
entity.metadata.description Der Wert wird auf das Feld type festgelegt, wenn das Rohlog im CSV-Format vorliegt. Andernfalls wird es auf das Feld info festgelegt.
entity.metadata.entity_type Der Wert wird anhand des Felds type oder log_type bestimmt. Kann DOMAIN_NAME, FILE, IP_ADDRESS, MUTEX, RESOURCE oder URL sein.
entity.metadata.interval.end_time Der Wert ist auf den Standardwert von 253402300799 Sekunden festgelegt.
entity.metadata.interval.start_time Der Wert wird auf das Feld first_seen festgelegt, wenn es nicht leer ist. Andernfalls wird er auf den Standardwert von 1 Sekunde oder den Zeitstempel des Rohlogeintrags festgelegt.
entity.metadata.product_name Der Wert wird auf MISP festgelegt.
entity.metadata.threat.confidence Der Wert wird auf UNKNOWN_CONFIDENCE gesetzt, wenn das Feld confidence leer oder f ist. Andernfalls wird er basierend auf dem Wert des Felds confidence auf HIGH_CONFIDENCE, MEDIUM_CONFIDENCE oder LOW_CONFIDENCE festgelegt.
entity.metadata.threat.confidence_details Direkte Zuordnung aus dem Feld confidence.
entity.metadata.threat.detection_fields Der Wert ist eine Liste von Schlüssel/Wert-Paaren, die aus verschiedenen Feldern im Rohlog extrahiert wurden.
entity.metadata.vendor_name Der Wert wird auf MISP festgelegt.
ioc.active_timerange.end Der Wert wird auf das Feld last_seen festgelegt, wenn es nicht leer ist.
ioc.active_timerange.start Der Wert wird auf das Feld ts1 oder first_seen gesetzt, wenn diese nicht leer sind. Andernfalls wird der Standardwert von 1 Sekunde verwendet.
ioc.categorization Der Wert wird auf misp_category IOCs festgelegt, wenn das Rohlog im CSV-Format vorliegt. Andernfalls wird es auf das Feld category im Attribute- oder log-Objekt festgelegt.
ioc.confidence_score Direkte Zuordnung aus dem Feld confidence.
ioc.description Der Wert wird durch Kombinieren des Felds description mit dem Feld event_info generiert, getrennt durch - additional info:.
ioc.domain_and_ports.domain Wird zugeordnet, wenn type oder log_type domain ist.
ioc.feed_name Der Wert wird auf MISP gesetzt, wenn das Feld event_source_org leer ist. Andernfalls wird es auf das Feld event_source_org festgelegt.
ioc.ip_and_ports.ip_address Wird zugeordnet, wenn das Feld ip nicht leer ist. Der Wert wird in eine IP-Adresse konvertiert.
ioc.ip_and_ports.ports Wird zugeordnet, wenn das Feld port nicht leer ist. Der Wert wird in eine vorzeichenlose Ganzzahl konvertiert.
ioc.raw_severity Direkte Zuordnung aus dem Feld threat_level.
timestamp Der Wert wird auf den Zeitstempel des Rohlogeintrags festgelegt.
column9 event.idm.read_only_udm.entity.labels Aus Änderungsprotokoll zugeordnet
column11 event.idm.read_only_udm.entity.labels Aus Änderungsprotokoll zugeordnet
column12 event.idm.read_only_udm.entity.labels Aus Änderungsprotokoll zugeordnet
column13 event.idm.read_only_udm.entity.labels Aus Änderungsprotokoll zugeordnet
"name" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"comment" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.last_seen" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"first_seen" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Org.id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Org.uuid" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Org.local" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Orgc.id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Orgc.uuid" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Orgc.local" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.distribution" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.interval_start" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.interval_end" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.sharing_group_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.disable_correlation" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.object_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.object_relation" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.event_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.distribution" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"interval_start" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"interval_end" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"template_uuid" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"meta-category" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.sharing_group_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.disable_correlation" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.object_id" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"log.object_relation" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Tag" event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
"Attribute.value" event.idm.entity.entity.hostname Aus Änderungsprotokoll zugeordnet
"Orgc.name" event.idm.entity.entity.hostname Aus Änderungsprotokoll zugeordnet
log.uuid event.idm.entity.metadata.product_entity_id Aus Änderungsprotokoll zugeordnet
Event.info event.idm.entity.metadata.description Aus Änderungsprotokoll zugeordnet
entity_first_seen event.idm.entity.metadata.interval.start_time Aus Änderungsprotokoll zugeordnet
log.category event.idm.entity.metadata.threat.category_details Aus Änderungsprotokoll zugeordnet
log.comment event.idm.entity.metadata.threat.summary Aus Änderungsprotokoll zugeordnet
Event.threat_level_id event.idm.entity.entity.labels Aus Änderungsprotokoll zugeordnet
event_creator_email event.idm.entity.entity.labels Aus Änderungsprotokoll zugeordnet
log.comment event.idm.entity.entity.file.full_path Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.file.full_path Aus Änderungsprotokoll zugeordnet
file_name event.idm.entity.entity.file.full_path Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.file.sha256 Aus Änderungsprotokoll zugeordnet
file_sha256 event.idm.entity.entity.file.sha256 Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.file.sha1 Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.file.md5 Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.hostname Aus Änderungsprotokoll zugeordnet
ip event.idm.entity.entity.ip Aus Änderungsprotokoll zugeordnet
port event.idm.entity.entity.port Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.resource.name Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.registry.registry_key Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.user.email_addresses Aus Änderungsprotokoll zugeordnet
log.uuid event.idm.entity.entity.user.user_display_name Aus Änderungsprotokoll zugeordnet
log.value event.idm.entity.entity.url Aus Änderungsprotokoll zugeordnet
log.id event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.event_id event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.to_ids event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.timestamp event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.comment event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.deleted event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
log.first_seen event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
Org.name event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
Feed.publish event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
published event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
Event.Tag event.idm.entity.metadata.threat.detection_fields Aus Änderungsprotokoll zugeordnet
timestamp event.idm.entity.metadata.entity_timestamp Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.file.sha1 Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.file.md5 Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.file.sha256 Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.hostname Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.ip Aus Änderungsprotokoll zugeordnet
indicator event.idm.entity.entity.url Aus Änderungsprotokoll zugeordnet
confidence event.idm.entity.metadata.threat.confidence_score Aus Änderungsprotokoll zugeordnet
stix_package_title event.idm.entity.metadata.threat.summary Aus Änderungsprotokoll zugeordnet
type event.idm.entity.metadata.threat.category_details Aus Änderungsprotokoll zugeordnet
confidence threat_.confidence_details Aus Änderungsprotokoll zugeordnet
published", "Feed.publish", "Org.name", "Attribute.id", "Attribute.event_id", "Attribute.to_ids", "Attribute.timestamp", "Attribute.comment", "Attribute.deleted", "Attribute.first_seen", all "tag.names threat.detection_fields Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten