‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומני MISP IOC

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני IOC של MISP (פלטפורמה לשיתוף מידע על תוכנות זדוניות) ב-Google Security Operations באמצעות Bindplane. הכלי לניתוח נתונים מעבד את הנתונים בפורמטים CSV ו-JSON. הוא מחלץ מאפייני IOC כמו כתובות IP, דומיינים, גיבובים וכתובות URL, וממפה אותם למודל נתונים מאוחד (UDM) יחד עם פרטי האיום כמו חומרה, רמת סמך ותיאורים. המנתח מטפל גם ברשומות IOC בודדות וגם ברשומות IOC מרובות בנתוני הקלט, ומנרמל אותן לפלט UDM עקבי.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מופע של Google SecOps
מארח Linux עם systemd
אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
גישה עם הרשאות לשרת MISP

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על יצירת חשבון שירות.
מזינים את פרטי ההגדרה הבאים:
- שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings (ניהול הרשאות גישה ואדמין > הגדרות) ומעתיקים את מספר הפרויקט. תצטרכו אותו כדי להגדיר את כלי הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות SIEM > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מוצאים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל SIEM Settings > Profile.
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

קבלת פרטי כניסה ל-MISP API

נכנסים לממשק האינטרנט של MISP כאדמינים.
עוברים אל Administration > List Auth Keys.
לוחצים על הוספת מפתח אימות.
מזינים את פרטי ההגדרה הבאים:
- משתמש: בוחרים את חשבון המשתמש שמשויך למפתח.
- אופציונלי: כתובות IP מותרות: מציינים את כתובות ה-IP שמותרות למפתח.
- תפוגה: משאירים את השדה ריק אם לא רוצים להגדיר תפוגה, או מגדירים לפי הצורך.
לוחצים על שליחה.
מעתיקים ושומרים את מפתח ה-API במקום מאובטח.
לוחצים על רשמתי את המפתח.

הגדרת ייצוא נתונים של MISP

מתקינים את PyMISP בשרת ה-MISP:
```
pip3 install pymisp
```

יוצרים את ספריית הייצוא:

sudo mkdir -p /opt/misp/scripts
sudo mkdir -p /opt/misp/ioc_export

יוצרים את הקובץ של פרטי הכניסה /opt/misp/scripts/keys.py:
```
misp_url = 'https://<MISP_SERVER_URL>'
misp_key = '<MISP_API_KEY>'
misp_verifycert = True
misp_client_cert = ''
```
- מחליפים את <MISP_SERVER_URL> בכתובת ה-URL של שרת ה-MISP.
- מחליפים את <MISP_API_KEY> במפתח ה-API מהדרישות המוקדמות.

יוצרים את סקריפט הייצוא /opt/misp/scripts/misp_export.py:

#!/usr/bin/env python3
# -*- coding: utf-8 -*-
import argparse
from pymisp import ExpandedPyMISP
from keys import misp_url, misp_key, misp_verifycert

if __name__ == '__main__':
    parser = argparse.ArgumentParser(description='Export MISP IOCs to CSV format.')
    parser.add_argument("--controller", default='attributes',
                        help="Controller to use for search (events, objects, attributes)")
    parser.add_argument("--event_id",
                        help="Event ID to fetch. Without it, fetches recent data.")
    parser.add_argument("--attributes", nargs='*',
                        help="Requested attributes for CSV export")
    parser.add_argument("--misp_types", nargs='+',
                        help="MISP types to fetch (ip-src, hostname, domain, etc.)")
    parser.add_argument("--context", action='store_true',
                        help="Add event level context (tags, metadata)")
    parser.add_argument("--outfile", required=True,
                        help="Output file to write the CSV data")
    parser.add_argument("--last", required=True,
                        help="Time period: days (d), hours (h), minutes (m) - e.g., 1d, 12h, 30m")

    args = parser.parse_args()

    api = ExpandedPyMISP(misp_url, misp_key, misp_verifycert, debug=False)

    response = api.search(
        controller=args.controller,
        return_format='csv',
        type_attribute=args.misp_types,
        publish_timestamp=args.last,
        include_context=args.context,
        requested_attributes=args.attributes or None
    )

    with open(args.outfile, 'w') as response_file:
        response_file.write(response)

הופכים את הסקריפט לניתן להפעלה:
```
sudo chmod +x /opt/misp/scripts/misp_export.py
```

תזמון ייצוא של נתוני MISP

יצירת ייצוא מתוזמן באמצעות crontab:
```
sudo crontab -e
```

מוסיפים את רשומות ה-cron הבאות:

# Export different IOC types daily with context
0 0 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/domains.csv --misp_types domain --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 1 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-src.csv --misp_types ip-src --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 2 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/ip-dst.csv --misp_types ip-dst --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 3 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/urls.csv --misp_types url --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 4 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/sha256.csv --misp_types sha256 --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 5 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/filenames.csv --misp_types filename --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 6 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/registries.csv --misp_types regkey --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info
0 7 * * * python3 /opt/misp/scripts/misp_export.py --outfile /opt/misp/ioc_export/mutexes.csv --misp_types mutex --last 1d --context --attributes uuid event_id category type value comment to_ids date attribute_tag event_info

אופציונלי: מתזמנים משיכת פידים מ-MISP:

23 0 * * * curl --insecure --header "Authorization: <MISP_API_KEY>" --header "Accept: application/json" --header "Content-Type: application/json" https://<MISP_SERVER_URL>/feeds/fetchFromAllFeeds

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Linux לפי ההוראות הבאות.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-otel-collector/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים להתקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

מגדירים את סוכן Bindplane כך שיקלוט את יומני MISP וישלח אותם אל Google SecOps.

ניגשים לקובץ התצורה:
- מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/ ב-Linux.
- פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano, vi).

עורכים את הקובץ config.yaml באופן הבא:

receivers:
  filelog:
    include:
      - "/opt/misp/ioc_export/*.csv"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: chronicle.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - filelog
      exporters:
        - chronicle/chronicle_w_labels

מחליפים את <LOCATION> באזור של מכונת Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). הערך הזה יתווסף לתחילת השם של קובץ הייצוא chronicle.googleapis.com.
מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
מחליפים את <customer_id> במזהה הלקוח בפועל.
מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1).

כלי לייצוא נתונים מ-Legacy ingestion API

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: <customer_id>
    endpoint: malachiteingestion-pa.googleapis.com
    # Set the log_type to ensure the correct parser is applied
    log_type: 'MISP_IOC'
    raw_log_field: body
    # You can optionally add other custom ingestion labels here if needed
    ingestion_labels:

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
Attribute.category	entity.metadata.threat.category_details	מיפוי ישיר מהשדה `category` באובייקט `Attribute`.
Attribute.comment	entity.metadata.threat.summary	מיפוי ישיר מהשדה `comment` באובייקט `Attribute`.
Attribute.deleted	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `deleted` באובייקט `Attribute`. המפתח מוגדר בתור `Attribute deleted`.
Attribute.event_id	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `event_id` באובייקט `Attribute`. המפתח מוגדר בתור `Attribute event_id`.
Attribute.first_seen	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `first_seen` באובייקט `Attribute`. המפתח מוגדר בתור `Attribute first_seen`.
Attribute.id	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `id` באובייקט `Attribute`. המפתח מוגדר ל-`Attribute id` או ל-`Attribute id $$` בהתאם לפורמט של יומן הרישום הגולמי.
Attribute.timestamp	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `timestamp` באובייקט `Attribute`. המפתח מוגדר בתור `Attribute timestamp`.
Attribute.to_ids	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `to_ids` באובייקט `Attribute`. המפתח מוגדר בתור `Attribute to_ids`.
Attribute.type	entity.metadata.threat.category_details	מיפוי ישיר מהשדה `type` באובייקט `Attribute`.
Attribute.type	log_type	השדה הזה משמש לקביעת סוג ה-IOC ולמיפוי שלו לשדות המתאימים ב-UDM.
Attribute.uuid	entity.metadata.product_entity_id	מיפוי ישיר מהשדה `uuid` באובייקט `Attribute`.
Attribute.value	entity.entity.file.full_path	ממופה אם `Attribute.type` הוא `filename`.
Attribute.value	entity.entity.file.md5	ממופה אם `Attribute.type` הוא `md5`.
Attribute.value	entity.entity.file.sha1	ממופה אם `Attribute.type` הוא `sha1`.
Attribute.value	entity.entity.file.sha256	ממופה אם `Attribute.type` הוא `sha256`.
Attribute.value	entity.entity.hostname	ממופה אם `Attribute.type` הוא `domain`.
Attribute.value	entity.entity.ip	ממופה אם הערך של `Attribute.type` הוא `ip-dst`, ‏`ip-dst\|port` או `ip-src`. הערך נשלף באמצעות תבנית grok.
Attribute.value	entity.entity.resource.name	ממופה אם `Attribute.type` הוא `mutex`.
Attribute.value	entity.entity.registry.registry_key	ממופה אם `Attribute.type` הוא `regkey`.
Attribute.value	entity.entity.url	המיפוי מתבצע אם הערך של `Attribute.type` הוא `uri` או `URL`.
דףה 1	entity.metadata.product_entity_id	מיפוי ישיר מהעמודה הראשונה בנתוני ה-CSV.
column14	event_info	משמש להוספת מידע לשדה `threat_sr.description`.
column16	event_source_org	מיפוי ישיר מהעמודה ה-16 בנתוני ה-CSV.
column18	threat_level	מיפוי ישיר מהעמודה ה-18 בנתוני ה-CSV.
column21	description	מיפוי ישיר מהעמודה ה-21 בנתוני ה-CSV.
דףה 3	misp_category	מיפוי ישיר מהעמודה השלישית בנתוני ה-CSV.
column4	סוג	מיפוי ישיר מהעמודה הרביעית בנתוני ה-CSV.
column5	value	מיפוי ישיר מהעמודה החמישית בנתוני ה-CSV.
column6	תגובה	מיפוי ישיר מהעמודה השישית בנתוני ה-CSV.
column8	ts1	מיפוי ישיר מהעמודה השמינית בנתוני ה-CSV.
description	ioc.description	הערך נוצר משילוב של השדה `description` עם השדה `event_info`, כשהם מופרדים באמצעות `- additional info:`.
description	entity.metadata.threat.description	מיפוי ישיר מהשדה `description`.
event_creator_email	entity.entity.labels.value	מיפוי ישיר מהשדה `event_creator_email`. המקש מוגדר ל`event_creator_email`.
event_source_org	ioc.feed_name	מיפוי ישיר מהשדה `event_source_org`.
event_source_org	entity.metadata.threat.threat_feed_name	מיפוי ישיר מהשדה `event_source_org`.
Feed.publish	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `publish` באובייקט `Feed`. המפתח מוגדר בתור `Feed publish`.
first_seen	ioc.active_timerange.start	מיפוי ישיר מהשדה `first_seen`. הערך מנותח כתאריך.
first_seen	entity.metadata.interval.start_time	מיפוי ישיר מהשדה `first_seen`. הערך מנותח כתאריך.
מידע	entity.metadata.description	מיפוי ישיר מהשדה `info`.
last_seen	ioc.active_timerange.end	מיפוי ישיר מהשדה `last_seen`. הערך מנותח כתאריך.
log.category	ioc.categorization	מיפוי ישיר מהשדה `category` באובייקט `log`.
log.category	entity.metadata.threat.category_details	מיפוי ישיר מהשדה `category` באובייקט `log`.
log.comment	entity.entity.file.full_path	ממופה אם הערך של `log.type` הוא `filename` והערך בשדה `comment` הוא לא `Artifacts dropped`.
log.comment	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `comment` באובייקט `log`. המפתח מוגדר בתור `Attribute comment`.
log.comment	entity.metadata.threat.summary	מיפוי ישיר מהשדה `comment` באובייקט `log`.
log.deleted	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `deleted` באובייקט `log`. המפתח מוגדר בתור `Attribute deleted`.
log.event_id	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `event_id` באובייקט `log`. המפתח מוגדר בתור `Attribute event_id`.
log.first_seen	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `first_seen` באובייקט `log`. המקש מוגדר ל`Attribute first_seen`.
log.id	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `id` באובייקט `log`. המקש מוגדר ל`Attribute id`.
log.timestamp	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `timestamp` באובייקט `log`. המפתח מוגדר בתור `Attribute timestamp`.
log.to_ids	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `to_ids` באובייקט `log`. המפתח מוגדר בתור `Attribute to_ids`.
log.type	ioc.categorization	מיפוי ישיר מהשדה `type` באובייקט `log`.
log.type	log_type	השדה הזה משמש לקביעת סוג ה-IOC ולמיפוי שלו לשדות המתאימים ב-UDM.
log.uuid	entity.metadata.product_entity_id	מיפוי ישיר מהשדה `uuid` באובייקט `log`.
log.value	entity.entity.file.full_path	ממופה אם `log.type` הוא `filename`.
log.value	entity.entity.file.md5	ממופה אם `log.type` הוא `md5`.
log.value	entity.entity.file.sha1	ממופה אם `log.type` הוא `sha1`.
log.value	entity.entity.file.sha256	ממופה אם `log.type` הוא `sha256`.
log.value	entity.entity.hostname	ממופה אם `log.type` הוא `domain`.
log.value	entity.entity.ip	ממופה אם הערך של `log.type` הוא `ip-dst`, `ip-dst\|port` או `ip-src`. הערך מחולץ באמצעות דפוס grok.
log.value	entity.entity.resource.name	ממופה אם `log.type` הוא `mutex`.
log.value	entity.entity.registry.registry_key	ממופה אם `log.type` הוא `regkey`.
log.value	entity.entity.url	ממופה אם הערך של `log.type` הוא `uri` או `url`.
log.value	ioc.domain_and_ports.domain	ממופה אם `log.type` הוא `domain`.
log.value	entity.entity.user.email_addresses	ממופה אם `log.type` הוא `threat-actor`.
misp_category	entity.metadata.threat.category_details	מיפוי ישיר מהשדה `misp_category`.
Org.name	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `name` באובייקט `Org`. המפתח מוגדר בתור `Org name`.
פורסם	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `published`. המקש מוגדר ל`published`.
Tag.colour	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `colour` באובייקט `Tag`. המפתח מוגדר בתור `tag colour`.
Tag.exportable	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `exportable` באובייקט `Tag`. המקש מוגדר ל`tag exportable`.
Tag.hide_tag	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `hide_tag` באובייקט `Tag`. המפתח מוגדר בתור `tag hide_tag`.
Tag.id	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `id` באובייקט `Tag`. המקש מוגדר ל`tag id`.
Tag.is_custom_galaxy	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `is_custom_galaxy` באובייקט `Tag`. המקש מוגדר ל`tag is_custom_galaxy`.
Tag.is_galaxy	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `is_galaxy` באובייקט `Tag`. המפתח מוגדר בתור `tag is_galaxy`.
Tag.isinherited	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `isinherited` באובייקט `Tag`. המפתח מוגדר בתור `tag isinherited`.
Tag.name	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `name` באובייקט `Tag`. המקש מוגדר ל`tag name`.
Tag.numerical_value	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `numerical_value` באובייקט `Tag`. המפתח מוגדר בתור `tag numerical_value`.
Tag.user_id	entity.metadata.threat.detection_fields.value	מיפוי ישיר מהשדה `user_id` באובייקט `Tag`. המפתח מוגדר בתור `tag user_id`.
threat_level	ioc.raw_severity	מיפוי ישיר מהשדה `threat_level`.
threat_level	entity.metadata.threat.severity_details	מיפוי ישיר מהשדה `threat_level`.
threat_level_id	entity.entity.labels.value	מיפוי ישיר מהשדה `threat_level_id`. המפתח מוגדר בתור `threat_level_id`.
ts1	ioc.active_timerange.start	מיפוי ישיר מהשדה `ts1`. הערך מנותח כתאריך.
ts1	entity.metadata.interval.start_time	מיפוי ישיר מהשדה `ts1`. הערך מנותח כתאריך.
	entity.entity.file.full_path	ממופה אם `type` הוא `filename`.
	entity.entity.file.md5	ממופה אם `type` הוא `md5`.
	entity.entity.file.sha1	ממופה אם `type` הוא `sha1`.
	entity.entity.file.sha256	ממופה אם `type` הוא `sha256`.
	entity.entity.hostname	ממופה אם `type` הוא `domain`.
	entity.entity.ip	ממופה אם הערך של `type` הוא `ip-dst`, `ip-dst\|port` או `ip-src`. הערך מחולץ באמצעות דפוס grok.
	entity.entity.port	ממופה אם השדה `port` לא ריק. הערך מומר למספר שלם.
	entity.entity.resource.name	ממופה אם `type` הוא `mutex`.
	entity.entity.resource.resource_subtype	ממופה אם `type` הוא `regkey`. הערך הוא `regkey`.
	entity.entity.resource.resource_type	ממופה אם הערך של `type` הוא `mutex` או `regkey`. הערך מוגדר ל-`MUTEX` או ל-`STORAGE_OBJECT` בהתאמה.
	entity.entity.registry.registry_key	ממופה אם `type` הוא `regkey`.
	entity.entity.url	ממופה אם הערך של `type` הוא `uri` או `url`.
	entity.metadata.collected_timestamp	הערך הוא חותמת הזמן של רשומת היומן הגולמית.
	entity.metadata.description	הערך מוגדר לשדה `type` אם יומן הגולמי הוא בפורמט CSV. אחרת, הערך מוגדר לשדה `info`.
	entity.metadata.entity_type	הערך נקבע על סמך השדה `type` או `log_type`. הערך יכול להיות `DOMAIN_NAME`,‏ `FILE`,‏ `IP_ADDRESS`,‏ `MUTEX`,‏ `RESOURCE` או `URL`.
	entity.metadata.interval.end_time	הערך מוגדר כברירת מחדל של 253402300799 שניות.
	entity.metadata.interval.start_time	הערך מוגדר לשדה `first_seen` אם הוא לא ריק. אחרת, הערך הוא 1 שנייה או חותמת הזמן של רשומת היומן הגולמית.
	entity.metadata.product_name	הערך הוא `MISP`.
	entity.metadata.threat.confidence	הערך הוא `UNKNOWN_CONFIDENCE` אם השדה `confidence` ריק או `f`. אחרת, הוא מוגדר לערך `HIGH_CONFIDENCE`, `MEDIUM_CONFIDENCE` או `LOW_CONFIDENCE`, בהתאם לערך של השדה `confidence`.
	entity.metadata.threat.confidence_details	מיפוי ישיר מהשדה `confidence`.
	entity.metadata.threat.detection_fields	הערך הוא רשימה של צמדי מפתח/ערך שחולצו משדות שונים ביומן הגולמי.
	entity.metadata.vendor_name	הערך הוא `MISP`.
	ioc.active_timerange.end	הערך מוגדר לשדה `last_seen` אם הוא לא ריק.
	ioc.active_timerange.start	הערך מוגדר לשדה `ts1` או `first_seen` אם הם לא ריקים. אחרת, הוא מוגדר לערך ברירת המחדל של שנייה אחת.
	ioc.categorization	הערך הוא `misp_category IOCs` אם יומן הרישום הגולמי הוא בפורמט CSV. אחרת, הוא מוגדר לשדה `category` באובייקט `Attribute` או `log`.
	ioc.confidence_score	מיפוי ישיר מהשדה `confidence`.
	ioc.description	הערך נוצר משילוב של השדה `description` עם השדה `event_info`, כשהם מופרדים באמצעות `- additional info:`.
	ioc.domain_and_ports.domain	ממופה אם הערך של `type` או `log_type` הוא `domain`.
	ioc.feed_name	הערך הוא `MISP` אם השדה `event_source_org` ריק. אחרת, הוא מוגדר לשדה `event_source_org`.
	ioc.ip_and_ports.ip_address	ממופה אם השדה `ip` לא ריק. הערך מומר לכתובת IP.
	ioc.ip_and_ports.ports	ממופה אם השדה `port` לא ריק. הערך מומר למספר שלם ללא סימן.
	ioc.raw_severity	מיפוי ישיר מהשדה `threat_level`.
	חותמת זמן	הערך הוא חותמת הזמן של רשומת היומן הגולמית.
`column9`	`event.idm.read_only_udm.entity.labels`	מופה מיומן השינויים
`column11`	`event.idm.read_only_udm.entity.labels`	מופה מיומן השינויים
`column12`	`event.idm.read_only_udm.entity.labels`	מופה מיומן השינויים
`column13`	`event.idm.read_only_udm.entity.labels`	מופה מיומן השינויים
`"name"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"comment"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.last_seen"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"first_seen"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Org.id"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Org.uuid"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Org.local"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Orgc.id"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Orgc.uuid"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Orgc.local"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.distribution"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.interval_start"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.interval_end"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.sharing_group_id"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.disable_correlation"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.object_id"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.object_relation"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"log.id"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"log.event_id"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"log.distribution"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"interval_start"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"interval_end"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"template_uuid"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"meta-category"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"log.sharing_group_id"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"log.disable_correlation"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"log.object_id"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"log.object_relation"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Tag"`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`"Attribute.value"`	`event.idm.entity.entity.hostname`	מופה מיומן השינויים
`"Orgc.name"`	`event.idm.entity.entity.hostname`	מופה מיומן השינויים
`log.uuid`	`event.idm.entity.metadata.product_entity_id`	מופה מיומן השינויים
`Event.info`	`event.idm.entity.metadata.description`	מופה מיומן השינויים
`entity_first_seen`	`event.idm.entity.metadata.interval.start_time`	מופה מיומן השינויים
`log.category`	`event.idm.entity.metadata.threat.category_details`	מופה מיומן השינויים
`log.comment`	`event.idm.entity.metadata.threat.summary`	מופה מיומן השינויים
`Event.threat_level_id`	`event.idm.entity.entity.labels`	מופה מיומן השינויים
`event_creator_email`	`event.idm.entity.entity.labels`	מופה מיומן השינויים
`log.comment`	`event.idm.entity.entity.file.full_path`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.file.full_path`	מופה מיומן השינויים
`file_name`	`event.idm.entity.entity.file.full_path`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.file.sha256`	מופה מיומן השינויים
`file_sha256`	`event.idm.entity.entity.file.sha256`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.file.sha1`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.file.md5`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.hostname`	מופה מיומן השינויים
`ip`	`event.idm.entity.entity.ip`	מופה מיומן השינויים
`port`	`event.idm.entity.entity.port`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.resource.name`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.registry.registry_key`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.user.email_addresses`	מופה מיומן השינויים
`log.uuid`	`event.idm.entity.entity.user.user_display_name`	מופה מיומן השינויים
`log.value`	`event.idm.entity.entity.url`	מופה מיומן השינויים
`log.id`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`log.event_id`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`log.to_ids`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`log.timestamp`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`log.comment`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`log.deleted`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`log.first_seen`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`Org.name`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`Feed.publish`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`published`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`Event.Tag`	`event.idm.entity.metadata.threat.detection_fields`	מופה מיומן השינויים
`timestamp`	`event.idm.entity.metadata.entity_timestamp`	מופה מיומן השינויים
`indicator`	`event.idm.entity.entity.file.sha1`	מופה מיומן השינויים
`indicator`	`event.idm.entity.entity.file.md5`	מופה מיומן השינויים
`indicator`	`event.idm.entity.entity.file.sha256`	מופה מיומן השינויים
`indicator`	`event.idm.entity.entity.hostname`	מופה מיומן השינויים
`indicator`	`event.idm.entity.entity.ip`	מופה מיומן השינויים
`indicator`	`event.idm.entity.entity.url`	מופה מיומן השינויים
`confidence`	`event.idm.entity.metadata.threat.confidence_score`	מופה מיומן השינויים
`stix_package_title`	`event.idm.entity.metadata.threat.summary`	מופה מיומן השינויים
`type`	`event.idm.entity.metadata.threat.category_details`	מופה מיומן השינויים
`confidence`	`threat_.confidence_details`	מופה מיומן השינויים
`published", "Feed.publish", "Org.name", "Attribute.id", "Attribute.event_id", "Attribute.to_ids", "Attribute.timestamp", "Attribute.comment", "Attribute.deleted", "Attribute.first_seen", all "tag.names`	`threat.detection_fields`	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.