Collecter les journaux d'IOC MISP

Compatible avec :

Ce document explique comment ingérer des journaux d'IOC MISP (Malware Information Sharing Platform) dans Google Security Operations à l'aide de Bindplane. L'analyseur traite les données aux formats CSV et JSON. Il extrait les attributs d'IOC tels que les adresses IP, les domaines, les hachages et les URL, et les mappe à un modèle de données unifié (UDM) avec des détails sur les menaces, comme la gravité, la confiance et les descriptions. L'analyseur gère les entrées d'IOC uniques et multiples dans les données d'entrée, en les normalisant dans une sortie UDM cohérente.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Un hôte Linux avec systemd
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès privilégié à votre serveur MISP

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel l'agent Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.
  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Obtenir les identifiants de l'API MISP

  1. Connectez-vous à l'interface Web de MISP en tant qu'administrateur.
  2. Accédez à Administration > Lister les clés d'authentification.
  3. Cliquez sur Ajouter une clé d'authentification.
  4. Fournissez les informations de configuration suivantes :
    • Utilisateur : sélectionnez le compte utilisateur associé à la clé.
    • Facultatif : Adresses IP autorisées : spécifiez les adresses IP autorisées pour la clé.
    • Expiration : laissez ce champ vide pour ne pas définir de date d'expiration ou définissez-en une si nécessaire.
  5. Cliquez sur Envoyer.
  6. Copiez et enregistrez la clé API dans un emplacement sécurisé.
  7. Cliquez sur J'ai noté ma clé.

Configurer l'exportation de données MISP

  1. Installez PyMISP sur votre serveur MISP :

    pip3 install pymisp

  2. Créez le répertoire d'exportation :

    sudo mkdir -p /opt/misp/scripts
sudo mkdir -p /opt/misp/ioc_export

  3. Créez le fichier d'identifiants /opt/misp/scripts/keys.py :

    misp_url = 'https://<MISP_SERVER_URL>'
misp_key = '<MISP_API_KEY>'
misp_verifycert = True
misp_client_cert = ''
    • Remplacez <MISP_SERVER_URL> par l'URL de votre serveur MISP.
    • Remplacez <MISP_API_KEY> par la clé API des conditions préalables.

  4. Créez le script d'exportation /opt/misp/scripts/misp_export.py :

    #!/usr/bin/env python3
# -*- coding: utf-8 -*-
import argparse
from pymisp import ExpandedPyMISP
from keys import misp_url, misp_key, misp_verifycert

if __name__ == '__main__':
    parser = argparse.ArgumentParser(description='Export MISP IOCs to CSV format.')
    parser.add_argument("--controller", default='attributes',
                        help="Controller to use for search (events, objects, attributes)")
    parser.add_argument("--event_id",
                        help="Event ID to fetch. Without it, fetches recent data.")
    parser.add_argument("--attributes", nargs='*',
                        help="Requested attributes for CSV export")
    parser.add_argument("--misp_types", nargs='+',
                        help="MISP types to fetch (ip-src, hostname, domain, etc.)")
    parser.add_argument("--context", action='store_true',
                        help="Add event level context (tags, metadata)")
    parser.add_argument("--outfile", required=True,
                        help="Output file to write the CSV data")
    parser.add_argument("--last", required=True,
                        help="Time period: days (d), hours (h), minutes (m) - e.g., 1d, 12h, 30m")

    args = parser.parse_args()

    api = ExpandedPyMISP(misp_url, misp_key, misp_verifycert, debug=False)

    response = api.search(
        controller=args.controller,
        return_format='csv',
        type_attribute=args.misp_types,
        publish_timestamp=args.last,
        include_context=args.context,
        requested_attributes=args.attributes or None
    )

    with open(args.outfile, 'w') as response_file:
        response_file.write(response)

  5. Rendez le script exécutable :

    sudo chmod +x /opt/misp/scripts/misp_export.py

Planifier des exportations de données MISP

  1. Créez des exportations planifiées à l'aide de crontab :

    sudo crontab -e

  2. Ajoutez les entrées cron suivantes :

    # Export different IOC types daily with context
0 0 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/domains.csv --misp_types domain --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 1 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-src.csv --misp_types ip-src --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 2 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-dst.csv --misp_types ip-dst --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 3 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/urls.csv --misp_types url --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 4 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/sha256.csv --misp_types sha256 --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 5 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/filenames.csv --misp_types filename --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 6 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/registries.csv --misp_types regkey --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 7 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/mutexes.csv --misp_types mutex --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info

  3. Vous pouvez également planifier l'extraction des flux depuis MISP :

    23 0 * * * curl --insecure --header "Authorization: <MISP_API_KEY>" --header "Accept: application/json" --header "Content-Type: application/json" https://<MISP_SERVER_URL>/feeds/fetchFromAllFeeds

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Linux en suivant les instructions ci-dessous.

Installation sous Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-otel-collector/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Configurer l'agent Bindplane pour ingérer les journaux MISP et les envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    • Trouvez le fichier config.yaml. Il se trouve généralement dans le répertoire /opt/observiq-otel-collector/ sous Linux.
    • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
  filelog:
    include:
      - "/opt/misp/ioc_export/*.csv"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - filelog
      exporters:
        - chronicle/chronicle_w_labels
    • Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com.
    • Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • Remplacez <customer_id> par le numéro client réel.
    • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier de clé du compte de service (option 1).

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

Table de mappage UDM

Champ du journal Mappage UDM Logique
Attribute.category entity.metadata.threat.category_details Mappage direct à partir du champ category de l'objet Attribute.
Attribute.comment entity.metadata.threat.summary Mappage direct à partir du champ comment de l'objet Attribute.
Attribute.deleted entity.metadata.threat.detection_fields.value Mappage direct à partir du champ deleted de l'objet Attribute. La clé est définie sur Attribute deleted.
Attribute.event_id entity.metadata.threat.detection_fields.value Mappage direct à partir du champ event_id de l'objet Attribute. La clé est définie sur Attribute event_id.
Attribute.first_seen entity.metadata.threat.detection_fields.value Mappage direct à partir du champ first_seen dans l'objet Attribute. La clé est définie sur Attribute first_seen.
Attribute.id entity.metadata.threat.detection_fields.value Mappage direct à partir du champ id de l'objet Attribute. La clé est définie sur Attribute id ou Attribute id $$, selon le format du journal brut.
Attribute.timestamp entity.metadata.threat.detection_fields.value Mappage direct à partir du champ timestamp de l'objet Attribute. La clé est définie sur Attribute timestamp.
Attribute.to_ids entity.metadata.threat.detection_fields.value Mappage direct à partir du champ to_ids de l'objet Attribute. La clé est définie sur Attribute to_ids.
Attribute.type entity.metadata.threat.category_details Mappage direct à partir du champ type de l'objet Attribute.
Attribute.type log_type Permet de déterminer le type d'IOC et de le mapper aux champs UDM appropriés.
Attribute.uuid entity.metadata.product_entity_id Mappage direct à partir du champ uuid de l'objet Attribute.
Attribute.value entity.entity.file.full_path Mappé si Attribute.type est filename.
Attribute.value entity.entity.file.md5 Mappé si Attribute.type est md5.
Attribute.value entity.entity.file.sha1 Mappé si Attribute.type est sha1.
Attribute.value entity.entity.file.sha256 Mappé si Attribute.type est sha256.
Attribute.value entity.entity.hostname Mappé si Attribute.type est domain.
Attribute.value entity.entity.ip Mappé si le Attribute.type est ip-dst, ip-dst|port ou ip-src. La valeur est extraite à l'aide d'un modèle grok.
Attribute.value entity.entity.resource.name Mappé si Attribute.type est mutex.
Attribute.value entity.entity.registry.registry_key Mappé si Attribute.type est regkey.
Attribute.value entity.entity.url Mappé si Attribute.type est uri ou URL.
column1 entity.metadata.product_entity_id Mappage direct à partir de la première colonne des données CSV.
column14 event_info Permet d'ajouter des informations au champ threat_sr.description.
column16 event_source_org Mappage direct à partir de la 16e colonne des données CSV.
column18 threat_level Mappage direct à partir de la 18e colonne des données CSV.
column21 description Mappage direct à partir de la 21e colonne des données CSV.
column3 misp_category Mappage direct à partir de la troisième colonne des données CSV.
column4 type Mappage direct à partir de la quatrième colonne des données CSV.
column5 valeur Mappage direct à partir de la cinquième colonne des données CSV.
column6 commentaire Mappage direct à partir de la sixième colonne des données CSV.
column8 ts1 Mappage direct à partir de la huitième colonne des données CSV.
description ioc.description La valeur est générée en combinant le champ description avec le champ event_info, séparés par - additional info:.
description entity.metadata.threat.description Mappage direct à partir du champ description.
event_creator_email entity.entity.labels.value Mappage direct à partir du champ event_creator_email. La clé est définie sur event_creator_email.
event_source_org ioc.feed_name Mappage direct à partir du champ event_source_org.
event_source_org entity.metadata.threat.threat_feed_name Mappage direct à partir du champ event_source_org.
Feed.publish entity.metadata.threat.detection_fields.value Mappage direct à partir du champ publish de l'objet Feed. La clé est définie sur Feed publish.
first_seen ioc.active_timerange.start Mappage direct à partir du champ first_seen. La valeur est analysée en tant que date.
first_seen entity.metadata.interval.start_time Mappage direct à partir du champ first_seen. La valeur est analysée en tant que date.
info entity.metadata.description Mappage direct à partir du champ info.
last_seen ioc.active_timerange.end Mappage direct à partir du champ last_seen. La valeur est analysée en tant que date.
log.category ioc.categorization Mappage direct à partir du champ category dans l'objet log.
log.category entity.metadata.threat.category_details Mappage direct à partir du champ category de l'objet log.
log.comment entity.entity.file.full_path Mappé si log.type est défini sur filename et que le champ comment n'est pas défini sur Artifacts dropped.
log.comment entity.metadata.threat.detection_fields.value Mappage direct à partir du champ comment dans l'objet log. La clé est définie sur Attribute comment.
log.comment entity.metadata.threat.summary Mappage direct à partir du champ comment dans l'objet log.
log.deleted entity.metadata.threat.detection_fields.value Mappage direct à partir du champ deleted de l'objet log. La clé est définie sur Attribute deleted.
log.event_id entity.metadata.threat.detection_fields.value Mappage direct à partir du champ event_id de l'objet log. La clé est définie sur Attribute event_id.
log.first_seen entity.metadata.threat.detection_fields.value Mappage direct à partir du champ first_seen de l'objet log. La clé est définie sur Attribute first_seen.
log.id entity.metadata.threat.detection_fields.value Mappage direct à partir du champ id dans l'objet log. La clé est définie sur Attribute id.
log.timestamp entity.metadata.threat.detection_fields.value Mappage direct à partir du champ timestamp de l'objet log. La clé est définie sur Attribute timestamp.
log.to_ids entity.metadata.threat.detection_fields.value Mappage direct à partir du champ to_ids dans l'objet log. La clé est définie sur Attribute to_ids.
log.type ioc.categorization Mappage direct à partir du champ type de l'objet log.
log.type log_type Permet de déterminer le type d'IOC et de le mapper aux champs UDM appropriés.
log.uuid entity.metadata.product_entity_id Mappage direct à partir du champ uuid dans l'objet log.
log.value entity.entity.file.full_path Mappé si log.type est filename.
log.value entity.entity.file.md5 Mappé si log.type est md5.
log.value entity.entity.file.sha1 Mappé si log.type est sha1.
log.value entity.entity.file.sha256 Mappé si log.type est sha256.
log.value entity.entity.hostname Mappé si log.type est domain.
log.value entity.entity.ip Mappé si le log.type est ip-dst, ip-dst|port ou ip-src. La valeur est extraite à l'aide d'un modèle Grok.
log.value entity.entity.resource.name Mappé si log.type est mutex.
log.value entity.entity.registry.registry_key Mappé si log.type est regkey.
log.value entity.entity.url Mappé si log.type est uri ou url.
log.value ioc.domain_and_ports.domain Mappé si log.type est domain.
log.value entity.entity.user.email_addresses Mappé si log.type est threat-actor.
misp_category entity.metadata.threat.category_details Mappage direct à partir du champ misp_category.
Org.name entity.metadata.threat.detection_fields.value Mappage direct à partir du champ name de l'objet Org. La clé est définie sur Org name.
published entity.metadata.threat.detection_fields.value Mappage direct à partir du champ published. La clé est définie sur published.
Tag.colour entity.metadata.threat.detection_fields.value Mappage direct à partir du champ colour de l'objet Tag. La clé est définie sur tag colour.
Tag.exportable entity.metadata.threat.detection_fields.value Mappage direct à partir du champ exportable dans l'objet Tag. La clé est définie sur tag exportable.
Tag.hide_tag entity.metadata.threat.detection_fields.value Mappage direct à partir du champ hide_tag de l'objet Tag. La clé est définie sur tag hide_tag.
Tag.id entity.metadata.threat.detection_fields.value Mappage direct à partir du champ id de l'objet Tag. La clé est définie sur tag id.
Tag.is_custom_galaxy entity.metadata.threat.detection_fields.value Mappage direct à partir du champ is_custom_galaxy dans l'objet Tag. La clé est définie sur tag is_custom_galaxy.
Tag.is_galaxy entity.metadata.threat.detection_fields.value Mappage direct à partir du champ is_galaxy de l'objet Tag. La clé est définie sur tag is_galaxy.
Tag.isinherited entity.metadata.threat.detection_fields.value Mappage direct à partir du champ isinherited de l'objet Tag. La clé est définie sur tag isinherited.
Tag.name entity.metadata.threat.detection_fields.value Mappage direct à partir du champ name de l'objet Tag. La clé est définie sur tag name.
Tag.numerical_value entity.metadata.threat.detection_fields.value Mappage direct à partir du champ numerical_value de l'objet Tag. La clé est définie sur tag numerical_value.
Tag.user_id entity.metadata.threat.detection_fields.value Mappage direct à partir du champ user_id dans l'objet Tag. La clé est définie sur tag user_id.
threat_level ioc.raw_severity Mappage direct à partir du champ threat_level.
threat_level entity.metadata.threat.severity_details Mappage direct à partir du champ threat_level.
threat_level_id entity.entity.labels.value Mappage direct à partir du champ threat_level_id. La clé est définie sur threat_level_id.
ts1 ioc.active_timerange.start Mappage direct à partir du champ ts1. La valeur est analysée en tant que date.
ts1 entity.metadata.interval.start_time Mappage direct à partir du champ ts1. La valeur est analysée en tant que date.
entity.entity.file.full_path Mappé si type est filename.
entity.entity.file.md5 Mappé si type est md5.
entity.entity.file.sha1 Mappé si type est sha1.
entity.entity.file.sha256 Mappé si type est sha256.
entity.entity.hostname Mappé si type est domain.
entity.entity.ip Mappé si type est ip-dst, ip-dst|port ou ip-src. La valeur est extraite à l'aide d'un modèle grok.
entity.entity.port Mappé si le champ port n'est pas vide. La valeur est convertie en entier.
entity.entity.resource.name Mappé si type est mutex.
entity.entity.resource.resource_subtype Mappé si type est regkey. La valeur est définie sur regkey.
entity.entity.resource.resource_type Mappé si type est mutex ou regkey. La valeur est définie sur MUTEX ou STORAGE_OBJECT, respectivement.
entity.entity.registry.registry_key Mappé si type est regkey.
entity.entity.url Mappé si type est uri ou url.
entity.metadata.collected_timestamp La valeur correspond au code temporel de l'entrée de journal brute.
entity.metadata.description La valeur est définie sur le champ type si le journal brut est au format CSV. Sinon, il est défini sur le champ info.
entity.metadata.entity_type La valeur est déterminée en fonction du champ type ou log_type. Il peut s'agir de DOMAIN_NAME, FILE, IP_ADDRESS, MUTEX, RESOURCE ou URL.
entity.metadata.interval.end_time La valeur par défaut est de 253402300799 secondes.
entity.metadata.interval.start_time La valeur est définie sur le champ first_seen s'il n'est pas vide. Sinon, elle est définie sur une valeur par défaut d'une seconde ou sur le code temporel de l'entrée de journal brute.
entity.metadata.product_name La valeur est définie sur MISP.
entity.metadata.threat.confidence La valeur est définie sur UNKNOWN_CONFIDENCE si le champ confidence est vide ou f. Sinon, elle est définie sur HIGH_CONFIDENCE, MEDIUM_CONFIDENCE ou LOW_CONFIDENCE en fonction de la valeur du champ confidence.
entity.metadata.threat.confidence_details Mappage direct à partir du champ confidence.
entity.metadata.threat.detection_fields La valeur est une liste de paires clé-valeur extraites de différents champs du journal brut.
entity.metadata.vendor_name La valeur est définie sur MISP.
ioc.active_timerange.end La valeur est définie sur le champ last_seen s'il n'est pas vide.
ioc.active_timerange.start La valeur est définie sur le champ ts1 ou first_seen s'ils ne sont pas vides. Sinon, elle est définie sur une valeur par défaut de 1 seconde.
ioc.categorization La valeur est définie sur misp_category IOCs si le journal brut est au format CSV. Sinon, il est défini sur le champ category dans l'objet Attribute ou log.
ioc.confidence_score Mappage direct à partir du champ confidence.
ioc.description La valeur est générée en combinant le champ description et le champ event_info, séparés par - additional info:.
ioc.domain_and_ports.domain Mappé si type ou log_type est domain.
ioc.feed_name La valeur est définie sur MISP si le champ event_source_org est vide. Sinon, elle est définie sur le champ event_source_org.
ioc.ip_and_ports.ip_address Mappé si le champ ip n'est pas vide. La valeur est convertie en adresse IP.
ioc.ip_and_ports.ports Mappé si le champ port n'est pas vide. La valeur est convertie en entier non signé.
ioc.raw_severity Mappage direct à partir du champ threat_level.
code temporel La valeur est définie sur le code temporel de l'entrée de journal brute.
column9 event.idm.read_only_udm.entity.labels Mappé à partir du journal des modifications
column11 event.idm.read_only_udm.entity.labels Mappé à partir du journal des modifications
column12 event.idm.read_only_udm.entity.labels Mappé à partir du journal des modifications
column13 event.idm.read_only_udm.entity.labels Mappé à partir du journal des modifications
"name" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"comment" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.last_seen" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"first_seen" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Org.id" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Org.uuid" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Org.local" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Orgc.id" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Orgc.uuid" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Orgc.local" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.distribution" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.interval_start" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.interval_end" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.sharing_group_id" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.disable_correlation" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.object_id" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.object_relation" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"log.id" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"log.event_id" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"log.distribution" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"interval_start" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"interval_end" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"template_uuid" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"meta-category" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"log.sharing_group_id" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"log.disable_correlation" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"log.object_id" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"log.object_relation" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Tag" event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
"Attribute.value" event.idm.entity.entity.hostname Mappé à partir du journal des modifications
"Orgc.name" event.idm.entity.entity.hostname Mappé à partir du journal des modifications
log.uuid event.idm.entity.metadata.product_entity_id Mappé à partir du journal des modifications
Event.info event.idm.entity.metadata.description Mappé à partir du journal des modifications
entity_first_seen event.idm.entity.metadata.interval.start_time Mappé à partir du journal des modifications
log.category event.idm.entity.metadata.threat.category_details Mappé à partir du journal des modifications
log.comment event.idm.entity.metadata.threat.summary Mappé à partir du journal des modifications
Event.threat_level_id event.idm.entity.entity.labels Mappé à partir du journal des modifications
event_creator_email event.idm.entity.entity.labels Mappé à partir du journal des modifications
log.comment event.idm.entity.entity.file.full_path Mappé à partir du journal des modifications
log.value event.idm.entity.entity.file.full_path Mappé à partir du journal des modifications
file_name event.idm.entity.entity.file.full_path Mappé à partir du journal des modifications
log.value event.idm.entity.entity.file.sha256 Mappé à partir du journal des modifications
file_sha256 event.idm.entity.entity.file.sha256 Mappé à partir du journal des modifications
log.value event.idm.entity.entity.file.sha1 Mappé à partir du journal des modifications
log.value event.idm.entity.entity.file.md5 Mappé à partir du journal des modifications
log.value event.idm.entity.entity.hostname Mappé à partir du journal des modifications
ip event.idm.entity.entity.ip Mappé à partir du journal des modifications
port event.idm.entity.entity.port Mappé à partir du journal des modifications
log.value event.idm.entity.entity.resource.name Mappé à partir du journal des modifications
log.value event.idm.entity.entity.registry.registry_key Mappé à partir du journal des modifications
log.value event.idm.entity.entity.user.email_addresses Mappé à partir du journal des modifications
log.uuid event.idm.entity.entity.user.user_display_name Mappé à partir du journal des modifications
log.value event.idm.entity.entity.url Mappé à partir du journal des modifications
log.id event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
log.event_id event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
log.to_ids event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
log.timestamp event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
log.comment event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
log.deleted event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
log.first_seen event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
Org.name event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
Feed.publish event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
published event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
Event.Tag event.idm.entity.metadata.threat.detection_fields Mappé à partir du journal des modifications
timestamp event.idm.entity.metadata.entity_timestamp Mappé à partir du journal des modifications
indicator event.idm.entity.entity.file.sha1 Mappé à partir du journal des modifications
indicator event.idm.entity.entity.file.md5 Mappé à partir du journal des modifications
indicator event.idm.entity.entity.file.sha256 Mappé à partir du journal des modifications
indicator event.idm.entity.entity.hostname Mappé à partir du journal des modifications
indicator event.idm.entity.entity.ip Mappé à partir du journal des modifications
indicator event.idm.entity.entity.url Mappé à partir du journal des modifications
confidence event.idm.entity.metadata.threat.confidence_score Mappé à partir du journal des modifications
stix_package_title event.idm.entity.metadata.threat.summary Mappé à partir du journal des modifications
type event.idm.entity.metadata.threat.category_details Mappé à partir du journal des modifications
confidence threat_.confidence_details Mappé à partir du journal des modifications
published", "Feed.publish", "Org.name", "Attribute.id", "Attribute.event_id", "Attribute.to_ids", "Attribute.timestamp", "Attribute.comment", "Attribute.deleted", "Attribute.first_seen", all "tag.names threat.detection_fields Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.