Collecter les journaux de pare-feu d'application Web Radware

Compatible avec :

Ce document explique comment ingérer les journaux Radware pare-feu d'application Web dans Google Security Operations à l'aide de l'agent Bindplane.

Radware Web Application Firewall (AppWall) est une solution de sécurité des applications qui génère des messages syslog pour la détection des attaques Web, les cas de non-respect des règles, les événements d'atténuation des robots et les décisions de contrôle des accès. L'analyseur extrait les champs des journaux au format syslog à l'aide de modèles Grok et les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et Radware AppWall ou Vision Reporter
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent Bindplane.
  • Accès administrateur à la console de gestion Radware AppWall ou Vision Reporter

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.

  4. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Informations sur l'organisation.

Installer l'agent Bindplane

Installez l'agent Bindplane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation de Linux

  1. Ouvrez un terminal avec des privilèges root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez la fin de l'installation.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit être indiqué comme actif (en cours d'exécution).

Autres ressources d'installation

Pour obtenir d'autres options d'installation et de dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/radware_firewall:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: RADWARE_FIREWALL
        raw_log_field: body

service:
    pipelines:
        logs/radware_firewall_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/radware_firewall

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port à écouter :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite la racine sur Linux ; utilisez 1514 pour les utilisateurs non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier d'authentification de l'ingestion :
      • Linux : /etc/bindplane-agent/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • endpoint : URL du point de terminaison régional :
      • États-Unis : malachiteingestion-pa.googleapis.com
      • Europe : europe-malachiteingestion-pa.googleapis.com
      • Asie : asia-southeast1-malachiteingestion-pa.googleapis.com
      • Pour obtenir la liste complète, consultez Points de terminaison régionaux.

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent Bindplane dans Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Localisez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit, puis sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer Radware AppWall pour transférer les journaux vers Bindplane

Vous pouvez configurer le transfert syslog à partir d'AppWall autonome, d'AppWall intégré à Alteon ou de Vision Reporter.

Option 1 : AppWall autonome utilisant Vision Reporter

  1. Connectez-vous à la console de gestion AppWall.
  2. Accédez à Configuration > Services > Vision Support > Vision Reporter.
  3. Activez Envoyer les événements à Vision Reporter.
  4. Définissez l'adresse IP du serveur sur l'adresse IP de Vision Reporter.
  5. Définissez le port (par exemple, 514).
  6. Définissez le paramètre Protocole sur UDP.
  7. Facultatif : Activez l'option Envoyer les réponses pour transférer les données de réponse.
  8. Cliquez sur Enregistrer.

Option 2 : AppWall intégré à Alteon

  1. Connectez-vous à la console de gestion Alteon.
  2. Accédez à Configuration > Sécurité > Sécurité Web > Vision Reporter.
  3. Activez l'intégration de Vision Reporter.
  4. Définissez l'adresse IP du serveur sur l'adresse IP de Vision Reporter.
  5. Définissez le port (par exemple, 514).
  6. Définissez le paramètre Protocole sur UDP.
  7. Cliquez sur Enregistrer.

Option 3 : Transfert de Vision Reporter vers Bindplane

  1. Connectez-vous à la console de gestion Vision Reporter.
  2. Accédez à Configuration > SIEM et journalisation externe.
  3. Cliquez sur + Ajouter une destination SIEM.
  4. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom (par exemple, Google SecOps Forwarder).
    • Type d'exportation des journaux : sélectionnez Syslog RFC 5424.
    • Serveur Syslog distant : saisissez l'adresse IP de l'agent Bindplane.
    • Port : saisissez 514.
    • Protocole : sélectionnez UDP.
  5. Cliquez sur Enregistrer.

Table de mappage UDM

Champ de journal Mappage UDM Logique
action event.idm.read_only_udm.security_result.action Si action est défini sur "drop", définissez-le sur "BLOCK".
attack_desc event.idm.read_only_udm.security_result.description Mappé directement.
attack_type event.idm.read_only_udm.security_result.threat_name Mappé directement.
command event.idm.read_only_udm.principal.process.command_line Mappé directement.
description event.idm.read_only_udm.security_result.description Mappé directement si attack_desc est vide.
dst_ip event.idm.read_only_udm.target.ip Mappé directement.
dst_port event.idm.read_only_udm.target.port Mappé directement, converti en entier. Définissez la valeur sur "MACHINE" si username est présent et command ne l'est pas. Copié à partir du champ collection_time du journal brut. La valeur par défaut est "NETWORK_CONNECTION". Définissez-le sur "GENERIC_EVENT" si src_ip ou dst_ip sont manquants. Définissez sur "USER_LOGIN" si username est présent et command n'est pas présent. Peut être remplacé par une logique basée sur attack_id. Définissez-le sur "RADWARE_FIREWALL". Mappé à partir du champ product. Définissez-le sur "Radware".
intermediary_ip event.idm.read_only_udm.intermediary.ip Mappé directement.
obv_ip event.idm.read_only_udm.observer.ip Mappé directement.
product event.idm.read_only_udm.metadata.product_name Mappé directement.
protocol_number_src event.idm.read_only_udm.network.ip_protocol Analysé à l'aide de la logique parse_ip_protocol.include.
rule_id event.idm.read_only_udm.security_result.rule_id Mappé directement. Dérivé de la valeur de attack_id. Les valeurs incluent "ACL_VIOLATION", "NETWORK_DENIAL_OF_SERVICE", "NETWORK_SUSPICIOUS" et "NETWORK_RECON".
src_ip event.idm.read_only_udm.principal.ip Mappé directement.
src_port event.idm.read_only_udm.principal.port Mappé directement, converti en entier.
ts event.idm.read_only_udm.metadata.event_timestamp Analysé et converti en code temporel.
username event.idm.read_only_udm.target.user.userid Mappé directement si command n'est pas présent.
username event.idm.read_only_udm.principal.user.userid Mappé directement si command est présent.
component event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
device_module event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
SVC event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
webappname event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
tunnel event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
proto event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
sport event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
threatcategory event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
sev event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
component event.idm.read_only_udm.intermediary.application Mappé à partir du journal des modifications
id event.idm.read_only_udm.observer.asset.asset_id Mappé à partir du journal des modifications
attackname event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
method event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
protocol event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
dhost event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
referer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
apath event.idm.read_only_udm.principal.url Mappé à partir du journal des modifications
version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
refinecrc_field event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
refine_field event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Hosts event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
connection event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
access event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Origin event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sec_fetch event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
fetch_site event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
fetch_dest event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Referer event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_encoding event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
req event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
directory event.idm.read_only_udm.target.file.full_path Mappé à partir du journal des modifications
request_header event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record_name event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
record_violation_reason event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
record_category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
record_bot_category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
record_totalVolume event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
record_totalPackets event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record_session_cookie event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record_headers event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
country_Code event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record_ID event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
record_tid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
record_status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record_signature_pattern event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record_site event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
record_url event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
record_ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
record_sourceIP event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
record_ua event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record_policy_id event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
record_destinationIP event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
record.time event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
app_protocol_output event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
app_protocol_src event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
community event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
login_result event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
enrichmentContainer_geoLocation_countryCode event.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
contractId event.idm.read_only_udm.target.labels Mappé à partir du journal des modifications
applicationId event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
record.enrichmentContainer.owaspCategory2021 event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
module event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
refinecrcvalue event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
host event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
msg_host event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
externalIp event.idm.read_only_udm.observer.ip Mappé à partir du journal des modifications
http_version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tenant event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
role event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
targetModule event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
security event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
title event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
violationCategory event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
violationType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
webApp event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cookie event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
lport event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
pragma event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cache_control event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_charset event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_language event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_header event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
milli event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
devtype event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
act event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dir event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
attackrisk event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SVC event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
msg_title event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
min event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
policy event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
protection event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
useraction event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
user event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
severity_code event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tmodule event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
uriii event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
vhosts event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
msg_parameter event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
msg_module event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
msg_error_number event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
device_module event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
vhost event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
vhost_field event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
request_uri event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
authenticated_role_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
authenticated_role_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
user_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
user_authentication event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sourceIp event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
lip_IP event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
extip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
dip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
sourcePort event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
violationDetails event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
subj event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
transId event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
evtid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
applicationName event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
receivedTimeStamp event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
apath event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
req event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
engineversion event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
user_agent event.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
et event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
hostname event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
host_ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
sip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
lip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
dhost event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
cmip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
sourceIp event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
lport event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
dport event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
msg_description event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
msg_referer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
msg_suggestion event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
msg_authenticated_as event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
severity event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
user_agent_val event.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
log_level event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_1 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_3 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_4 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_5 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
uuid event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
Type event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
SourceIP event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
SourcePort event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
Host event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
WebUser event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
Role event.idm.read_only_udm.principal.user.role_name Mappé à partir du journal des modifications
WebApp, event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
URI event.idm.read_only_udm.target.file.full_path Mappé à partir du journal des modifications
TransID event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
http_method event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
ref_url event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
AppPath, event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Object, event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ParamName, event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ParamType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
syslog_ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
ServerName, event.idm.read_only_udm.intermediary.hostname Mappé à partir du journal des modifications
Description event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
Title event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
Attackname event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
RuleID event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
Threatcategory event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
Priority event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
IsPassive event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
x_forwarded_for_ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
apikey event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
canary event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
client-version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
content-type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
client-request-id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-APP-ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-IP event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-PORT event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-PORT-MM event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-PORT-MM-ORIG-FE-PORT event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
hpgrequestid event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept-language event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
purpose event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
upload-time event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
site event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
headers event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
client-request-id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
client-id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
category event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
policy_id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
signature_pattern event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
violation_reason event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
user-agent event.idm.read_only_udm.network.http.user_agent et event.idm.read_only_udm.network.http.parsed_user_agent Mappé à partir du journal des modifications
User-Agent event.idm.read_only_udm.network.http.user_agent et event.idm.read_only_udm.network.http.parsed_user_agent Mappé à partir du journal des modifications
ID event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
destinationIP event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
sourceIP event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
country_code event.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
application_name event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
session_cookie event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
tid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
url event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
ua event.idm.read_only_udm.network.http.user_agent et event.idm.read_only_udm.network.http.parsed_user_agent Mappé à partir du journal des modifications
sec_action event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
bot_category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
externalIp event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
Referer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
referrer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
date event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
hostname event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
hostname event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
hostip event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
hostip event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
host event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
host event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
time event.idm.read_only_udm.network.session_duration.seconds Mappé à partir du journal des modifications
et event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
total_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
blocked_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
passive_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
clean_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tunnel_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tunnel_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
message_severity event.idm.read_only_udm.security_result.severity_details Mappé à partir du journal des modifications
sent_bytes event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
rule_id event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
product event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
action event.idm.read_only_udm.metadata.action_details Mappé à partir du journal des modifications
action subevent.idm.read_only_udm.sec_result.action Mappé à partir du journal des modifications
application_id subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_language subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cookie subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
request subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
received_timestamp subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tenant_name subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
x-forwarded-for subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
application_name subevent.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
country_code subevent.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
destination_port subevent.idm.read_only_udm.target.port Mappé à partir du journal des modifications
directory subevent.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
http_bytes_in subevent.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
http_bytes_out subevent.idm.read_only_udm.network.received_bytes Mappé à partir du journal des modifications
http_method subevent.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
protocol subevent.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
response_code subevent.idm.read_only_udm.network.http.response_code Mappé à partir du journal des modifications
source_port subevent.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
user_agent subevent.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
applicationName principal.application Mappé à partir du journal des modifications
action security_result.action_details Mappé à partir du journal des modifications
appPath principal.file.full_path Mappé à partir du journal des modifications
destinationIp target.ip Mappé à partir du journal des modifications
destinationPort target.port Mappé à partir du journal des modifications
directory principal.process.file.full_path Mappé à partir du journal des modifications
enrichmentContainer.geoLocation.countryCode principal.location.country_or_region Mappé à partir du journal des modifications
enrichmentContainer.contractId additional.fields Mappé à partir du journal des modifications
applicationId additional.fields Mappé à partir du journal des modifications
tenant additional.fields Mappé à partir du journal des modifications
owaspCategory2021 additional.fields Mappé à partir du journal des modifications
externalIp intermediary.ip Mappé à partir du journal des modifications
host principal.hostname Mappé à partir du journal des modifications
method network.http.method Mappé à partir du journal des modifications
passive additional.fields Mappé à partir du journal des modifications
protocol network.application_protocol Mappé à partir du journal des modifications
request additional.fields Mappé à partir du journal des modifications
role principal.user.role_name Mappé à partir du journal des modifications
security additional.fields Mappé à partir du journal des modifications
sourceIp `` Mappé à partir du journal des modifications
sourcePort principal.port Mappé à partir du journal des modifications
targetModule additional.fields Mappé à partir du journal des modifications
title metadata.description Mappé à partir du journal des modifications
transId additional.fields Mappé à partir du journal des modifications
URI target.file.full_path Mappé à partir du journal des modifications
user principal.user.role_description Mappé à partir du journal des modifications
vhost security_result.detection_fields Mappé à partir du journal des modifications
violationCategory additional.fields Mappé à partir du journal des modifications
violationDetails security_result.summary Mappé à partir du journal des modifications
violationType security_result.description Mappé à partir du journal des modifications
webApp additional.fields Mappé à partir du journal des modifications
severity security_result.severity Mappé à partir du journal des modifications
paramName additional.fields Mappé à partir du journal des modifications
paramValue additional.fields Mappé à partir du journal des modifications
paramType additional.fields Mappé à partir du journal des modifications
receivedTimeStamp metadata.event_timestamp Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications pour ce parseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.