Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

MISP-IOC-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie MISP-IOC-Logs (Malware Information Sharing Platform) mit Bindplane in Google Security Operations aufnehmen. Der Parser verarbeitet die Daten sowohl im CSV- als auch im JSON-Format. Es werden IOC-Attribute wie IP-Adressen, Domains, Hashes und URLs extrahiert und zusammen mit Bedrohungsdetails wie Schweregrad, Konfidenz und Beschreibungen einem einheitlichen Datenmodell (Unified Data Model, UDM) zugeordnet. Der Parser verarbeitet sowohl einzelne als auch mehrere IOC-Einträge in den Eingabedaten und normalisiert sie in eine konsistente UDM-Ausgabe.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

Eine Google SecOps-Instanz
Ein Linux-Host mit systemd
Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
Privilegierter Zugriff auf Ihren MISP-Server

Authentifizierungsdatei für die Google SecOps-Aufnahme abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem Bindplane installiert wird.

Google SecOps-Kundennummer abrufen

Melden Sie sich in der Google SecOps-Konsole an.
Rufen Sie die SIEM-Einstellungen > Profile auf.
Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

MISP-API-Anmeldedaten abrufen

Melden Sie sich als Administrator in der MISP-Weboberfläche an.
Rufen Sie Verwaltung > Autorisierungsschlüssel auflisten auf.
Klicken Sie auf Authentifizierungsschlüssel hinzufügen.
Geben Sie die folgenden Konfigurationsdetails an:
- Nutzer: Wählen Sie das Nutzerkonto aus, das mit dem Schlüssel verknüpft ist.
- Optional: Zulässige IPs: Geben Sie zulässige IP-Adressen für den Schlüssel an.
- Ablauf: Lassen Sie das Feld leer, wenn kein Ablaufdatum festgelegt werden soll, oder legen Sie ein Ablaufdatum fest.
Klicken Sie auf Senden.
Kopieren Sie den API-Schlüssel und speichern Sie ihn an einem sicheren Ort.
Klicken Sie auf Ich habe meinen Schlüssel notiert.

MISP-Datenexport konfigurieren

Installieren Sie PyMISP auf Ihrem MISP-Server:
```
pip3 install pymisp
```

Erstellen Sie das Exportverzeichnis:

sudo mkdir -p /opt/misp/scripts
sudo mkdir -p /opt/misp/ioc_export

Erstellen Sie die Datei mit den Anmeldedaten /opt/misp/scripts/keys.py:
```
misp_url = 'https://<MISP_SERVER_URL>'
misp_key = '<MISP_API_KEY>'
misp_verifycert = True
misp_client_cert = ''
```
- Ersetzen Sie <MISP_SERVER_URL> durch die URL Ihres MISP-Servers.
- Ersetzen Sie <MISP_API_KEY> durch den API-Schlüssel aus den Voraussetzungen.

Erstellen Sie das Exportskript /opt/misp/scripts/misp_export.py:

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
import argparse
from pymisp import ExpandedPyMISP
from keys import misp_url, misp_key, misp_verifycert

if __name__ == '__main__':
    parser = argparse.ArgumentParser(description='Export MISP IOCs to CSV format.')
    parser.add_argument("--controller", default='attributes',
                        help="Controller to use for search (events, objects, attributes)")
    parser.add_argument("--event_id",
                        help="Event ID to fetch. Without it, fetches recent data.")
    parser.add_argument("--attributes", nargs='*',
                        help="Requested attributes for CSV export")
    parser.add_argument("--misp_types", nargs='+',
                        help="MISP types to fetch (ip-src, hostname, domain, etc.)")
    parser.add_argument("--context", action='store_true',
                        help="Add event level context (tags, metadata)")
    parser.add_argument("--outfile", required=True,
                        help="Output file to write the CSV data")
    parser.add_argument("--last", required=True,
                        help="Time period: days (d), hours (h), minutes (m) - e.g., 1d, 12h, 30m")

    args = parser.parse_args()

    api = ExpandedPyMISP(misp_url, misp_key, misp_verifycert, debug=False)

    response = api.search(
        controller=args.controller,
        return_format='csv',
        type_attribute=args.misp_types,
        publish_timestamp=args.last,
        include_context=args.context,
        requested_attributes=args.attributes or None
    )

    with open(args.outfile, 'w') as response_file:
        response_file.write(response)

Machen Sie das Skript ausführbar:

sudo chmod +x /opt/misp/scripts/misp_export.py

MISP-Datenexporte planen

Geplante Exporte mit Crontab erstellen:
```
sudo crontab -e
```

Fügen Sie die folgenden Cron-Einträge hinzu:

# Export different IOC types daily with context
0 0 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/domains.csv --misp_types domain --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 1 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-src.csv --misp_types ip-src --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 2 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-dst.csv --misp_types ip-dst --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 3 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/urls.csv --misp_types url --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 4 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/sha256.csv --misp_types sha256 --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 5 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/filenames.csv --misp_types filename --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 6 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/registries.csv --misp_types regkey --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 7 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/mutexes.csv --misp_types mutex --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info

Optional: Planen Sie das Abrufen von Feeds aus MISP:

23 0 * * * curl --insecure --header "Authorization: <MISP_API_KEY>" --header "Accept: application/json" --header "Content-Type: application/json" https://<MISP_SERVER_URL>/feeds/fetchFromAllFeeds

BindPlane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Linux-Betriebssystem gemäß der folgenden Anleitung.

Linux-Installation

Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

Führen Sie dazu diesen Befehl aus:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-otel-collector/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden.

BindPlane-Agent zum Erfassen von MISP-Logs und Senden an Google SecOps konfigurieren

Rufen Sie die Konfigurationsdatei auf:
- Suchen Sie die Datei config.yaml. Normalerweise befindet sie sich unter Linux im Verzeichnis /etc/bindplane-agent/.
- Öffnen Sie die Datei in einem Texteditor (z. B. nano, vi).

Bearbeiten Sie die Datei config.yamlso:

receivers:
  filelog:
    include:
      - "/opt/misp/ioc_export/*.csv"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    # Select the appropriate regional endpoint based on where your Google SecOps instance is provisioned
    # For regional endpoints, see: https://docs.cloud.google.com/chronicle/docs/reference/ingestion-api#regional_endpoints
    endpoint: malachiteingestion-pa.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - filelog
      exporters:
        - chronicle/chronicle_w_labels

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:
```
sudo systemctl restart observiq-otel-collector
```

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
Attribute.category	entity.metadata.threat.category_details	Direkte Zuordnung aus dem Feld `category` im Objekt `Attribute`.
Attribute.comment	entity.metadata.threat.summary	Direkte Zuordnung aus dem Feld `comment` im Objekt `Attribute`.
Attribute.deleted	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `deleted` im Objekt `Attribute`. Der Schlüssel ist auf `Attribute deleted` gesetzt.
Attribute.event_id	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `event_id` im Objekt `Attribute`. Der Schlüssel ist auf `Attribute event_id` gesetzt.
Attribute.first_seen	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `first_seen` im Objekt `Attribute`. Der Schlüssel ist auf `Attribute first_seen` gesetzt.
Attribute.id	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `id` im Objekt `Attribute`. Der Schlüssel wird je nach Format des Rohlogs auf `Attribute id` oder `Attribute id $$` festgelegt.
Attribute.timestamp	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `timestamp` im Objekt `Attribute`. Der Schlüssel ist auf `Attribute timestamp` gesetzt.
Attribute.to_ids	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `to_ids` im Objekt `Attribute`. Der Schlüssel ist auf `Attribute to_ids` gesetzt.
Attribute.type	entity.metadata.threat.category_details	Direkte Zuordnung aus dem Feld `type` im Objekt `Attribute`.
Attribute.type	log_type	Wird verwendet, um den Typ des IOC zu bestimmen und ihn den entsprechenden UDM-Feldern zuzuordnen.
Attribute.uuid	entity.metadata.product_entity_id	Direkte Zuordnung aus dem Feld `uuid` im Objekt `Attribute`.
Attribute.value	entity.entity.file.full_path	Wird zugeordnet, wenn `Attribute.type` `filename` ist.
Attribute.value	entity.entity.file.md5	Wird zugeordnet, wenn `Attribute.type` `md5` ist.
Attribute.value	entity.entity.file.sha1	Wird zugeordnet, wenn `Attribute.type` `sha1` ist.
Attribute.value	entity.entity.file.sha256	Wird zugeordnet, wenn `Attribute.type` `sha256` ist.
Attribute.value	entity.entity.hostname	Wird zugeordnet, wenn `Attribute.type` `domain` ist.
Attribute.value	entity.entity.ip	Wird zugeordnet, wenn `Attribute.type` den Wert `ip-dst`, `ip-dst\|port` oder `ip-src` hat. Der Wert wird mit einem Grok-Muster extrahiert.
Attribute.value	entity.entity.resource.name	Wird zugeordnet, wenn `Attribute.type` `mutex` ist.
Attribute.value	entity.entity.registry.registry_key	Wird zugeordnet, wenn `Attribute.type` `regkey` ist.
Attribute.value	entity.entity.url	Wird zugeordnet, wenn `Attribute.type` `uri` oder `URL` ist.
Spalte1	entity.metadata.product_entity_id	Direkte Zuordnung aus der ersten Spalte der CSV-Daten.
column14	event_info	Wird verwendet, um dem Feld `threat_sr.description` zusätzliche Informationen hinzuzufügen.
column16	event_source_org	Direkte Zuordnung aus der 16. Spalte in den CSV-Daten.
column18	threat_level	Direkte Zuordnung aus der 18. Spalte in den CSV-Daten.
column21	Beschreibung	Direkte Zuordnung aus der 21. Spalte in den CSV-Daten.
Spalte3	misp_category	Direkte Zuordnung aus der dritten Spalte der CSV-Daten.
Spalte4	Typ	Direkte Zuordnung aus der vierten Spalte der CSV-Daten.
column5	Wert	Direkte Zuordnung aus der fünften Spalte der CSV-Daten.
column6	Kommentar	Direkte Zuordnung aus der sechsten Spalte der CSV-Daten.
column8	ts1	Direkte Zuordnung aus der achten Spalte der CSV-Daten.
Beschreibung	ioc.description	Der Wert wird durch Kombinieren des Felds `description` mit dem Feld `event_info` generiert, getrennt durch `- additional info:`.
Beschreibung	entity.metadata.threat.description	Direkte Zuordnung aus dem Feld `description`.
event_creator_email	entity.entity.labels.value	Direkte Zuordnung aus dem Feld `event_creator_email`. Der Schlüssel ist auf `event_creator_email` gesetzt.
event_source_org	ioc.feed_name	Direkte Zuordnung aus dem Feld `event_source_org`.
event_source_org	entity.metadata.threat.threat_feed_name	Direkte Zuordnung aus dem Feld `event_source_org`.
Feed.publish	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `publish` im Objekt `Feed`. Der Schlüssel ist auf `Feed publish` gesetzt.
first_seen	ioc.active_timerange.start	Direkte Zuordnung aus dem Feld `first_seen`. Der Wert wird als Datum geparst.
first_seen	entity.metadata.interval.start_time	Direkte Zuordnung aus dem Feld `first_seen`. Der Wert wird als Datum geparst.
Info	entity.metadata.description	Direkte Zuordnung aus dem Feld `info`.
last_seen	ioc.active_timerange.end	Direkte Zuordnung aus dem Feld `last_seen`. Der Wert wird als Datum geparst.
log.category	ioc.categorization	Direkte Zuordnung aus dem Feld `category` im Objekt `log`.
log.category	entity.metadata.threat.category_details	Direkte Zuordnung aus dem Feld `category` im Objekt `log`.
log.comment	entity.entity.file.full_path	Wird zugeordnet, wenn `log.type` `filename` ist und das Feld `comment` nicht `Artifacts dropped` ist.
log.comment	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `comment` im Objekt `log`. Der Schlüssel ist auf `Attribute comment` gesetzt.
log.comment	entity.metadata.threat.summary	Direkte Zuordnung aus dem Feld `comment` im Objekt `log`.
log.deleted	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `deleted` im Objekt `log`. Der Schlüssel ist auf `Attribute deleted` gesetzt.
log.event_id	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `event_id` im Objekt `log`. Der Schlüssel ist auf `Attribute event_id` gesetzt.
log.first_seen	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `first_seen` im Objekt `log`. Der Schlüssel ist auf `Attribute first_seen` gesetzt.
log.id	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `id` im Objekt `log`. Der Schlüssel ist auf `Attribute id` gesetzt.
log.timestamp	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `timestamp` im Objekt `log`. Der Schlüssel ist auf `Attribute timestamp` gesetzt.
log.to_ids	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `to_ids` im Objekt `log`. Der Schlüssel ist auf `Attribute to_ids` gesetzt.
log.type	ioc.categorization	Direkte Zuordnung aus dem Feld `type` im Objekt `log`.
log.type	log_type	Wird verwendet, um den Typ des IOC zu bestimmen und ihn den entsprechenden UDM-Feldern zuzuordnen.
log.uuid	entity.metadata.product_entity_id	Direkte Zuordnung aus dem Feld `uuid` im Objekt `log`.
log.value	entity.entity.file.full_path	Wird zugeordnet, wenn `log.type` `filename` ist.
log.value	entity.entity.file.md5	Wird zugeordnet, wenn `log.type` `md5` ist.
log.value	entity.entity.file.sha1	Wird zugeordnet, wenn `log.type` `sha1` ist.
log.value	entity.entity.file.sha256	Wird zugeordnet, wenn `log.type` `sha256` ist.
log.value	entity.entity.hostname	Wird zugeordnet, wenn `log.type` `domain` ist.
log.value	entity.entity.ip	Wird zugeordnet, wenn `log.type` den Wert `ip-dst`, `ip-dst\|port` oder `ip-src` hat. Der Wert wird mit einem Grok-Muster extrahiert.
log.value	entity.entity.resource.name	Wird zugeordnet, wenn `log.type` `mutex` ist.
log.value	entity.entity.registry.registry_key	Wird zugeordnet, wenn `log.type` `regkey` ist.
log.value	entity.entity.url	Wird zugeordnet, wenn `log.type` `uri` oder `url` ist.
log.value	ioc.domain_and_ports.domain	Wird zugeordnet, wenn `log.type` `domain` ist.
log.value	entity.entity.user.email_addresses	Wird zugeordnet, wenn `log.type` `threat-actor` ist.
misp_category	entity.metadata.threat.category_details	Direkte Zuordnung aus dem Feld `misp_category`.
Org.name	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `name` im Objekt `Org`. Der Schlüssel ist auf `Org name` gesetzt.
veröffentlicht	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `published`. Der Schlüssel ist auf `published` gesetzt.
Tag.colour	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `colour` im Objekt `Tag`. Der Schlüssel ist auf `tag colour` gesetzt.
Tag.exportable	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `exportable` im Objekt `Tag`. Der Schlüssel ist auf `tag exportable` gesetzt.
Tag.hide_tag	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `hide_tag` im Objekt `Tag`. Der Schlüssel ist auf `tag hide_tag` gesetzt.
Tag.id	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `id` im Objekt `Tag`. Der Schlüssel ist auf `tag id` gesetzt.
Tag.is_custom_galaxy	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `is_custom_galaxy` im Objekt `Tag`. Der Schlüssel ist auf `tag is_custom_galaxy` gesetzt.
Tag.is_galaxy	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `is_galaxy` im Objekt `Tag`. Der Schlüssel ist auf `tag is_galaxy` gesetzt.
Tag.isinherited	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `isinherited` im Objekt `Tag`. Der Schlüssel ist auf `tag isinherited` gesetzt.
Tag.name	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `name` im Objekt `Tag`. Der Schlüssel ist auf `tag name` gesetzt.
Tag.numerical_value	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `numerical_value` im Objekt `Tag`. Der Schlüssel ist auf `tag numerical_value` gesetzt.
Tag.user_id	entity.metadata.threat.detection_fields.value	Direkte Zuordnung aus dem Feld `user_id` im Objekt `Tag`. Der Schlüssel ist auf `tag user_id` gesetzt.
threat_level	ioc.raw_severity	Direkte Zuordnung aus dem Feld `threat_level`.
threat_level	entity.metadata.threat.severity_details	Direkte Zuordnung aus dem Feld `threat_level`.
threat_level_id	entity.entity.labels.value	Direkte Zuordnung aus dem Feld `threat_level_id`. Der Schlüssel ist auf `threat_level_id` gesetzt.
ts1	ioc.active_timerange.start	Direkte Zuordnung aus dem Feld `ts1`. Der Wert wird als Datum geparst.
ts1	entity.metadata.interval.start_time	Direkte Zuordnung aus dem Feld `ts1`. Der Wert wird als Datum geparst.
	entity.entity.file.full_path	Wird zugeordnet, wenn `type` `filename` ist.
	entity.entity.file.md5	Wird zugeordnet, wenn `type` `md5` ist.
	entity.entity.file.sha1	Wird zugeordnet, wenn `type` `sha1` ist.
	entity.entity.file.sha256	Wird zugeordnet, wenn `type` `sha256` ist.
	entity.entity.hostname	Wird zugeordnet, wenn `type` `domain` ist.
	entity.entity.ip	Wird zugeordnet, wenn `type` den Wert `ip-dst`, `ip-dst\|port` oder `ip-src` hat. Der Wert wird mit einem Grok-Muster extrahiert.
	entity.entity.port	Wird zugeordnet, wenn das Feld `port` nicht leer ist. Der Wert wird in eine Ganzzahl konvertiert.
	entity.entity.resource.name	Wird zugeordnet, wenn `type` `mutex` ist.
	entity.entity.resource.resource_subtype	Wird zugeordnet, wenn `type` `regkey` ist. Der Wert wird auf `regkey` festgelegt.
	entity.entity.resource.resource_type	Wird zugeordnet, wenn `type` `mutex` oder `regkey` ist. Der Wert wird auf `MUTEX` oder `STORAGE_OBJECT` gesetzt.
	entity.entity.registry.registry_key	Wird zugeordnet, wenn `type` `regkey` ist.
	entity.entity.url	Wird zugeordnet, wenn `type` `uri` oder `url` ist.
	entity.metadata.collected_timestamp	Der Wert wird auf den Zeitstempel des Rohlogbuch-Eintrags festgelegt.
	entity.metadata.description	Der Wert wird auf das Feld `type` festgelegt, wenn das Rohlog im CSV-Format vorliegt. Andernfalls wird es auf das Feld `info` festgelegt.
	entity.metadata.entity_type	Der Wert wird anhand des Felds `type` oder `log_type` bestimmt. Kann `DOMAIN_NAME`, `FILE`, `IP_ADDRESS`, `MUTEX`, `RESOURCE` oder `URL` sein.
	entity.metadata.interval.end_time	Der Wert ist auf den Standardwert von 253402300799 Sekunden festgelegt.
	entity.metadata.interval.start_time	Der Wert wird auf das Feld `first_seen` festgelegt, wenn es nicht leer ist. Andernfalls wird er auf den Standardwert von 1 Sekunde oder den Zeitstempel des Rohlogeintrags festgelegt.
	entity.metadata.product_name	Der Wert wird auf `MISP` festgelegt.
	entity.metadata.threat.confidence	Der Wert wird auf `UNKNOWN_CONFIDENCE` gesetzt, wenn das Feld `confidence` leer oder `f` ist. Andernfalls wird er basierend auf dem Wert des Felds `confidence` auf `HIGH_CONFIDENCE`, `MEDIUM_CONFIDENCE` oder `LOW_CONFIDENCE` festgelegt.
	entity.metadata.threat.confidence_details	Direkte Zuordnung aus dem Feld `confidence`.
	entity.metadata.threat.detection_fields	Der Wert ist eine Liste von Schlüssel/Wert-Paaren, die aus verschiedenen Feldern im Rohlog extrahiert wurden.
	entity.metadata.vendor_name	Der Wert wird auf `MISP` festgelegt.
	ioc.active_timerange.end	Der Wert wird auf das Feld `last_seen` festgelegt, wenn es nicht leer ist.
	ioc.active_timerange.start	Der Wert wird auf das Feld `ts1` oder `first_seen` festgelegt, wenn diese nicht leer sind. Andernfalls wird der Standardwert von 1 Sekunde verwendet.
	ioc.categorization	Der Wert wird auf `misp_category IOCs` festgelegt, wenn das Rohlog im CSV-Format vorliegt. Andernfalls wird es auf das Feld `category` im `Attribute`- oder `log`-Objekt festgelegt.
	ioc.confidence_score	Direkte Zuordnung aus dem Feld `confidence`.
	ioc.description	Der Wert wird durch Kombinieren des Felds `description` mit dem Feld `event_info` generiert, getrennt durch `- additional info:`.
	ioc.domain_and_ports.domain	Wird zugeordnet, wenn `type` oder `log_type` `domain` ist.
	ioc.feed_name	Der Wert wird auf `MISP` gesetzt, wenn das Feld `event_source_org` leer ist. Andernfalls wird es auf das Feld `event_source_org` festgelegt.
	ioc.ip_and_ports.ip_address	Wird zugeordnet, wenn das Feld `ip` nicht leer ist. Der Wert wird in eine IP-Adresse konvertiert.
	ioc.ip_and_ports.ports	Wird zugeordnet, wenn das Feld `port` nicht leer ist. Der Wert wird in eine vorzeichenlose Ganzzahl konvertiert.
	ioc.raw_severity	Direkte Zuordnung aus dem Feld `threat_level`.
	timestamp	Der Wert wird auf den Zeitstempel des Rohlogbuch-Eintrags festgelegt.
`column9`	`event.idm.read_only_udm.entity.labels`	Aus dem Änderungsprotokoll zugeordnet
`column11`	`event.idm.read_only_udm.entity.labels`	Aus dem Änderungsprotokoll zugeordnet
`column12`	`event.idm.read_only_udm.entity.labels`	Aus dem Änderungsprotokoll zugeordnet
`column13`	`event.idm.read_only_udm.entity.labels`	Aus dem Änderungsprotokoll zugeordnet
`"name"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"comment"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.last_seen"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"first_seen"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Org.id"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Org.uuid"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Org.local"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Orgc.id"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Orgc.uuid"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Orgc.local"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.distribution"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.interval_start"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.interval_end"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.sharing_group_id"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.disable_correlation"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.object_id"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.object_relation"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"log.id"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"log.event_id"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"log.distribution"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"interval_start"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"interval_end"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"template_uuid"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"meta-category"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"log.sharing_group_id"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"log.disable_correlation"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"log.object_id"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"log.object_relation"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Tag"`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`"Attribute.value"`	`event.idm.entity.entity.hostname`	Aus dem Änderungsprotokoll zugeordnet
`"Orgc.name"`	`event.idm.entity.entity.hostname`	Aus dem Änderungsprotokoll zugeordnet
`log.uuid`	`event.idm.entity.metadata.product_entity_id`	Aus dem Änderungsprotokoll zugeordnet
`Event.info`	`event.idm.entity.metadata.description`	Aus dem Änderungsprotokoll zugeordnet
`entity_first_seen`	`event.idm.entity.metadata.interval.start_time`	Aus dem Änderungsprotokoll zugeordnet
`log.category`	`event.idm.entity.metadata.threat.category_details`	Aus dem Änderungsprotokoll zugeordnet
`log.comment`	`event.idm.entity.metadata.threat.summary`	Aus dem Änderungsprotokoll zugeordnet
`Event.threat_level_id`	`event.idm.entity.entity.labels`	Aus dem Änderungsprotokoll zugeordnet
`event_creator_email`	`event.idm.entity.entity.labels`	Aus dem Änderungsprotokoll zugeordnet
`log.comment`	`event.idm.entity.entity.file.full_path`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.file.full_path`	Aus dem Änderungsprotokoll zugeordnet
`file_name`	`event.idm.entity.entity.file.full_path`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.file.sha256`	Aus dem Änderungsprotokoll zugeordnet
`file_sha256`	`event.idm.entity.entity.file.sha256`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.file.sha1`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.file.md5`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.hostname`	Aus dem Änderungsprotokoll zugeordnet
`ip`	`event.idm.entity.entity.ip`	Aus dem Änderungsprotokoll zugeordnet
`port`	`event.idm.entity.entity.port`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.resource.name`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.registry.registry_key`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.user.email_addresses`	Aus dem Änderungsprotokoll zugeordnet
`log.uuid`	`event.idm.entity.entity.user.user_display_name`	Aus dem Änderungsprotokoll zugeordnet
`log.value`	`event.idm.entity.entity.url`	Aus dem Änderungsprotokoll zugeordnet
`log.id`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`log.event_id`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`log.to_ids`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`log.timestamp`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`log.comment`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`log.deleted`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`log.first_seen`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`Org.name`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`Feed.publish`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`published`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`Event.Tag`	`event.idm.entity.metadata.threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet
`timestamp`	`event.idm.entity.metadata.entity_timestamp`	Aus dem Änderungsprotokoll zugeordnet
`indicator`	`event.idm.entity.entity.file.sha1`	Aus dem Änderungsprotokoll zugeordnet
`indicator`	`event.idm.entity.entity.file.md5`	Aus dem Änderungsprotokoll zugeordnet
`indicator`	`event.idm.entity.entity.file.sha256`	Aus dem Änderungsprotokoll zugeordnet
`indicator`	`event.idm.entity.entity.hostname`	Aus dem Änderungsprotokoll zugeordnet
`indicator`	`event.idm.entity.entity.ip`	Aus dem Änderungsprotokoll zugeordnet
`indicator`	`event.idm.entity.entity.url`	Aus dem Änderungsprotokoll zugeordnet
`confidence`	`event.idm.entity.metadata.threat.confidence_score`	Aus dem Änderungsprotokoll zugeordnet
`stix_package_title`	`event.idm.entity.metadata.threat.summary`	Aus dem Änderungsprotokoll zugeordnet
`type`	`event.idm.entity.metadata.threat.category_details`	Aus dem Änderungsprotokoll zugeordnet
`confidence`	`threat_.confidence_details`	Aus dem Änderungsprotokoll zugeordnet
`published", "Feed.publish", "Org.name", "Attribute.id", "Attribute.event_id", "Attribute.to_ids", "Attribute.timestamp", "Attribute.comment", "Attribute.deleted", "Attribute.first_seen", all "tag.names`	`threat.detection_fields`	Aus dem Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten