איסוף יומנים של Proofpoint Threat Response‏ (TRAP)

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Proofpoint Threat Response‏ (TRAP) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Proofpoint Threat Response Auto-Pull‏ (TRAP) היא פלטפורמה לניהול אבטחה, שמאפשרת להגיב לאיומים ולטפל בהם באופן אוטומטי. הוא משתלב עם כלי אבטחה של אימייל, נקודות קצה ואבטחת רשת כדי להאיץ את החקירה וההכלה של אירועים.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות רשת בין סוכן Bindplane לבין שרת Proofpoint TRAP
• אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה עם הרשאות אדמין למסוף הניהול של Proofpoint TRAP

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על Create service account.
4. מזינים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לעבור לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, שדרגו את ה-collector לפני שתשנו את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/proofpoint_trap:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: chronicle.googleapis.com
      log_type: PROOFPOINT_TRAP
      raw_log_field: body
      ingestion_labels:
        env: production
  
  service:
    pipelines:
      logs/trap_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/proofpoint_trap
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫tcplog: קבלת syslog דרך TCP. צריך להשתמש ב-udplog אם מגדירים תעבורת UDP ב-TRAP.
  • ‫0.0.0.0:514: האזנה לכל הממשקים ביציאה 514. אם צריך, משנים את היציאה (לדוגמה, 1514 ל-Linux ללא הרשאות בסיס).

• הגדרת הייצוא:

  • ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫<CUSTOMER_ID>: מספר הלקוח מהשלב קבלת מספר הלקוח ב-Google SecOps.
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/proofpoint_trap:
      compression: gzip
      creds_file_path: '<CREDS_FILE_PATH>'
      customer_id: '<CUSTOMER_ID>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: PROOFPOINT_TRAP
      raw_log_field: body
      ingestion_labels:
        env: production
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת העברת syslog של Proofpoint TRAP

1. נכנסים למסוף הניהול של Proofpoint TRAP (בדרך כלל בכתובת https://trap-server:8080).
2. עוברים אל Monitoring > Logging.
3. מגדירים את היעד של syslog:
   • מארח: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
   • ‫Port: מזינים 514 (חייב להתאים ליציאת המקלט של סוכן Bindplane).
   • חומרה: בוחרים את רמת החומרה המינימלית להעברת יומנים.
4. לוחצים על Save.
5. כדי לוודא שהיומנים נשלחים, בודקים את היומנים של סוכן Bindplane.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
_field	additional.fields	ממוזג
additional_modulesRun	additional.fields	ממוזג
alternateGraphApiEndpoint_additional	additional.fields	ממוזג
azureAdAuthEndpoint_additional	additional.fields	ממוזג
clientId_additional	additional.fields	ממוזג
clientSecret_additional	additional.fields	ממוזג
disposition_additional_data	additional.fields	ממוזג
disposition_data_available	additional.fields	מופה: true ← disposition_additional_data
exchangeAPI_additional	additional.fields	ממוזג
exchangeAuthType_additional	additional.fields	ממוזג
graphApiEndpoint_additional	additional.fields	ממוזג
headers_X-Forefront-Antispam-Report	additional.fields	ממוזג
headers_accept_lang_label	additional.fields	ממוזג
headers_authentication_results_label	additional.fields	ממוזג
headers_content_language_label	additional.fields	ממוזג
headers_content_transfer_encoding_label	additional.fields	ממוזג
headers_content_type_label	additional.fields	ממוזג
headers_date_label	additional.fields	ממוזג
headers_message_id_label	additional.fields	ממוזג
headers_mime_version_label	additional.fields	ממוזג
headers_received_label	additional.fields	ממוזג
headers_return_path_label	additional.fields	ממוזג
headers_thread_index_label	additional.fields	ממוזג
headers_thread_topic_label	additional.fields	ממוזג
headers_x_ms_exchange_antispam_feedbackprocessing_scenario_label	additional.fields	ממוזג
headers_x_ms_exchange_antispam_feedcategory_label	additional.fields	ממוזג
headers_x_ms_exchange_antispam_feedtype_label	additional.fields	ממוזג
headers_x_ms_exchange_organization_antispam_feedcategory_label	additional.fields	ממוזג
incident_display_id_label	additional.fields	ממוזג
incident_id_label	additional.fields	ממוזג
incident_link_attribute_label	additional.fields	ממוזג
incident_title_label	additional.fields	ממוזג
privateKey_additional	additional.fields	ממוזג
source_type_additional_data	additional.fields	ממוזג
source_type_data_available	additional.fields	מופה: true ← source_type_additional_data
sourcesData_name_label	additional.fields	ממוזג
sourcesData_type_label	additional.fields	ממוזג
sources_id_label	additional.fields	ממוזג
sources_type_label	additional.fields	ממוזג
tap_threat_additional_data	additional.fields	ממוזג
tap_threat_data_available	additional.fields	מופה: true ← tap_threat_additional_data
tenantId_additional	additional.fields	ממוזג
url_list	additional.fields	ממוזג
auth_details	extensions.auth.auth_details	מיפוי ישיר
proofpoint_trap_host	intermediary.hostname	מיפוי ישיר
proofpoint_trap_host	intermediary.ip	ממוזג
url_label	intermediary.labels	ממוזג
desc	metadata.description	מיפוי ישיר
createdAt	metadata.event_timestamp	נותח בתור ISO8601
created_at	metadata.event_timestamp	נותח בתור ISO8601
data.received	metadata.event_timestamp	נותח בתור ISO8601
event1.description.created_at	metadata.event_timestamp	נותח בתור ISO8601
event1.description.updated_at	metadata.event_timestamp	נותח בתור ISO8601
eventTime	metadata.event_timestamp	נותח בתור ISO8601
received	metadata.event_timestamp	נותח בתור ISO8601
ts	metadata.event_timestamp	נותח בתור MMM d HH:mm:ss
updatedAt	metadata.event_timestamp	נותח בתור ISO8601
application	metadata.event_type	מופה: CROND ← PROCESS_UNCATEGORIZED, system-modules.authlookup ← USER_LOGIN
has_network_email	metadata.event_type	מופה: true ← EMAIL_TRANSACTION
has_principal	metadata.event_type	מופה: true ← EMAIL_TRANSACTION
event1.description.id	metadata.product_log_id	מיפוי ישיר
event_id	metadata.product_log_id	מיפוי ישיר
id	metadata.product_log_id	מיפוי ישיר
has_principal	metadata.product_name	מופה: true ← PROOFPOINT_TRAP
source	metadata.product_name	מיפוי ישיר
has_principal	metadata.vendor_name	מופה: true ← PROOFPOINT
attackDirection	network.direction	מופה: inbound ← INBOUND, outbound ← OUTBOUND
cc	network.email.cc	מופה: ^.+@.+$ ← cc
emaildata.sender.email	network.email.from	מיפוי ישיר
event1.description.headers.From	network.email.from	מיפוי ישיר
fromadd	network.email.from	מיפוי ישיר
principal_user2	network.email.from	מיפוי ישיר
send_email	network.email.from	מיפוי ישיר
sender_address	network.email.from	מיפוי ישיר
email_id	network.email.mail_id	מיפוי ישיר
event1.description.messageid	network.email.mail_id	מיפוי ישיר
messageID	network.email.mail_id	מיפוי ישיר
event1.description.headers.Reply-To	network.email.reply_to	מיפוי ישיר
reply	network.email.reply_to	מיפוי ישיר
email_subject	network.email.subject	ממוזג
emaildata.subject	network.email.subject	ממוזג
event1.description.subject	network.email.subject	ממוזג
index	network.email.subject	מופה: 0 ← emaildata.subject
subject	network.email.subject	ממוזג
emaildata.recipient.email	network.email.to	ממוזג
event1.description.headers.To	network.email.to	ממוזג
index	network.email.to	מופה: 0 ← emaildata.recipient.email, 0 ← to_email
principal_user1	network.email.to	ממוזג
recipient_address	network.email.to	מופה: ^.+@.+$ ← recipient_address
to	network.email.to	מופה: ^.+@.+$ ← to
to_email	network.email.to	ממוזג
http_method	network.http.method	מיפוי ישיר
http_url	network.http.referral_url	מיפוי ישיר
ses_id	network.session_id	מיפוי ישיר
application	principal.application	מיפוי ישיר
senderIP	principal.asset.ip	ממוזג
sender_IP	principal.asset.ip	ממוזג
msgparts.md5	principal.file.md5	מיפוי ישיר
msgparts.filename	principal.file.names	ממוזג
msgparts.sha256	principal.file.sha1	מיפוי ישיר
hostname	principal.hostname	מיפוי ישיר
senderIP	principal.ip	ממוזג
sender_IP	principal.ip	ממוזג
src_ip	principal.ip	ממוזג
file_name	principal.process.file.full_path	מיפוי ישיר
pid	principal.process.pid	מיפוי ישיר
attachment_label	principal.resource.attribute.labels	ממוזג
title_label	principal.resource.attribute.labels	ממוזג
ewsUrl	principal.url	מיפוי ישיר
principal_link	principal.url	מיפוי ישיר
sender_vap_label	principal.user.attribute.labels	ממוזג
emaildata.sender.email	principal.user.email_addresses	ממוזג
index	principal.user.email_addresses	מופה: 0 ← emaildata.sender.email
principal_user1	principal.user.email_addresses	ממוזג
principal_user2	principal.user.email_addresses	ממוזג
sender	principal.user.email_addresses	ממוזג
assignedUserName	principal.user.user_display_name	מיפוי ישיר
username	principal.user.user_display_name	מיפוי ישיר
assignedUserId	principal.user.userid	מיפוי ישיר
principal_user1	principal.user.userid	מיפוי ישיר
principal_user2	principal.user.userid	מיפוי ישיר
sender_email	principal.user.userid	מיפוי ישיר
src_user	principal.user.userid	מיפוי ישיר
user	principal.user.userid	מיפוי ישיר
index	security_result	מופה: 0 ← sec_res2
sec_res	security_result	ממוזג
sec_res2	security_result	ממוזג
sec_result	security_result	ממוזג
state	security_result.alert_state	מופה: "OPEN", "IN_PROGRESS" ← ALERTING, CLOSED ← NOT_ALERTING
QID_field	security_result.detection_fields	ממוזג
alert_type_label	security_result.detection_fields	ממוזג
body_label	security_result.detection_fields	ממוזג
body_type_label	security_result.detection_fields	ממוזג
cluster_label	security_result.detection_fields	ממוזג
completelyRewritten_field	security_result.detection_fields	ממוזג
disposition_label	security_result.detection_fields	ממוזג
dkim1_label	security_result.detection_fields	ממוזג
dkim2_label	security_result.detection_fields	ממוזג
dkim3_label	security_result.detection_fields	ממוזג
dmarc_label	security_result.detection_fields	ממוזג
event_id_label	security_result.detection_fields	ממוזג
header_d1_label	security_result.detection_fields	ממוזג
header_d2_label	security_result.detection_fields	ממוזג
header_d3_label	security_result.detection_fields	ממוזג
header_from_label	security_result.detection_fields	ממוזג
header_s1_label	security_result.detection_fields	ממוזג
header_s2_label	security_result.detection_fields	ממוזג
header_s3_label	security_result.detection_fields	ממוזג
impostorScore_field	security_result.detection_fields	ממוזג
index	security_result.detection_fields	מופה: 0 ← messageId_label
key_data	security_result.detection_fields	ממוזג
mailfrom_label	security_result.detection_fields	ממוזג
malwareScore_field	security_result.detection_fields	ממוזג
messageId_label	security_result.detection_fields	ממוזג
messageSize_field	security_result.detection_fields	ממוזג
phishScore_field	security_result.detection_fields	ממוזג
quarantineFolder_label	security_result.detection_fields	ממוזג
quarantineRule_label	security_result.detection_fields	ממוזג
spamScore_field	security_result.detection_fields	ממוזג
spf_label	security_result.detection_fields	ממוזג
state_label	security_result.detection_fields	ממוזג
severity	security_result.severity	מופה: Info ← INFORMATIONAL
severity	security_result.severity_details	מיפוי ישיר
state	security_result.summary	מיפוי ישיר
cmd	target.process.command_line	מיפוי ישיר
pwd	target.process.file.full_path	מיפוי ישיר
recipient_vap_label	target.user.attribute.labels	ממוזג
email	target.user.email_addresses	ממוזג
emaildata.abuseReporterAddress	target.user.email_addresses	ממוזג
index	target.user.email_addresses	מופה: 0 ← emaildata.abuseReporterAddress
recipient_email	target.user.email_addresses	ממוזג
dst_user	target.user.userid	מיפוי ישיר
לא רלוונטי	metadata.event_type	קבוע: EMAIL_TRANSACTION
לא רלוונטי	metadata.product_name	קבוע: PROOFPOINT_TRAP
לא רלוונטי	metadata.vendor_name	קבוע: PROOFPOINT
לא רלוונטי	network.application_protocol	קבוע: HTTP
לא רלוונטי	network.direction	קבוע: INBOUND
לא רלוונטי	security_result.alert_state	קבוע: ALERTING
לא רלוונטי	security_result.severity	קבוע: INFORMATIONAL
received_at	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
sources.name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
created_at	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
received_time	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
titlePII	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
pps_guid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
email_recipient_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
email_message_size	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
remediation_status	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tap_false_positive	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
abuse_reporter_rank	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
quarantine_strategy	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
mime_content_expired	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
mime_content_present	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
click_block_exclusive	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
remediation_status_context	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
last_known_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
clear_confidence	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_status.is_read	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_status.permitted_clicks	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_status.message_delivered	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sender_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tenant_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
created_at	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
updated_at	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
disposition	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
received_at	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tap_cleared	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
body_expired	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
body_present	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
clear_verdict	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tap_threat_types	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
source.id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
source.type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
incident.id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
incident.title	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
incident.display_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
incident.link_attribute	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sender_address	event.idm.read_only_udm.network.email.from	מופה מיומן השינויים
email_id	event.idm.read_only_udm.network.email.mail_id	מופה מיומן השינויים
email_subject	event.idm.read_only_udm.network.email.subject	מופה מיומן השינויים
recipient_address	event.idm.read_only_udm.network.email.to	מופה מיומן השינויים
assignedUserName	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
assignedUserId	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
state	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
createdAt	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
updatedAt	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
tenantId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
closedAt	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
displayId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
assignedTeamName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
assignedTeamId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
messageCount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vap	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vip	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
commentCount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
dispositions	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourceTypes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourcesData	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
state	event.idm.read_only_udm.security_result.alert_state	מופה מיומן השינויים
event1.description.messageid	event.idm.read_only_udm.network.email.mail_id	מופה מיומן השינויים
event1.description.sender.email	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
event1.description.recipient.email	event.idm.read_only_udm.target.user.email_addresses	מופה מיומן השינויים
event1.description.subject	event.idm.read_only_udm.network.email.subject	מופה מיומן השינויים
event1.description.created_at	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
event1.description.updated_at	event.idm.read_only_udm.metadata.collected_timestamp	מופה מיומן השינויים
event1.description.id	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
event1.description.headers.From	event.idm.read_only_udm.sec_result.detection_fields	מופה מיומן השינויים
event1.description.headers.To	event.idm.read_only_udm.network.email.to	מופה מיומן השינויים
event1.description.headers.Reply-To	event.idm.read_only_udm.network.email.reply_to	מופה מיומן השינויים
event1.description.headers.Received-SPF	event.idm.read_only_udm.sec_result.description	מופה מיומן השינויים
event1.description.headers.DKIM-Signature	event.idm.read_only_udm.sec_result.detection_fields	מופה מיומן השינויים
event1.description.sender.vap	event.idm.read_only_udm.principal.user.attribute.labels	מופה מיומן השינויים
event1.description.recipient.vap	event.idm.read_only_udm.target.user.attribute.labels	מופה מיומן השינויים
event1.description.hosts.url	event.idm.read_only_udm.intermediary.labels	מופה מיומן השינויים
event1.description.urls	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
event1.description.severity	event.idm.read_only_udm.sec_result.severity	מופה מיומן השינויים
event1.description.state	event.idm.read_only_udm.sec_result.summary	מופה מיומן השינויים
mailfrom", "spf", "dkim1", "header_s1", "header_d1", "dkim2", "header_s2", "header_d2", and "dmarc	security_result.detection_fields	מופה מיומן השינויים
users	principal.user.userid	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.