Collecter les journaux du pare-feu d'application Web Radware

Compatible avec :

Ce document explique comment ingérer les journaux Radware pare-feu d'application Web dans Google Security Operations à l'aide de l'agent Bindplane.

Radware Web Application Firewall (AppWall) est une solution de sécurité des applications qui génère des messages syslog pour la détection des attaques Web, les cas de non-respect des règles, les événements d'atténuation des robots et les décisions de contrôle des accès. L'analyseur extrait les champs des journaux au format syslog à l'aide de modèles Grok et les mappe au modèle de données unifié (UDM).

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

  • Une instance Google SecOps
  • Windows Server 2016 ou version ultérieure, ou hôte Linux avec systemd
  • Connectivité réseau entre l'agent Bindplane et Radware AppWall ou Vision Reporter
  • Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
  • Accès administrateur à la console de gestion Radware AppWall ou Vision Reporter

Obtenir les identifiants Google SecOps pour l'agent Bindplane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

  • Nouveaux déploiements : utilisez l'API Chronicle (option 1).
  • Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.
  1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
  2. Accédez à IAM et administration > Comptes de service.
  3. Cliquez sur Créer un compte de service.
  4. Fournissez les informations de configuration suivantes :
    • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
    • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
  5. Cliquez sur Créer et continuer.
  6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
  7. Cliquez sur Continue (Continuer), puis sur Done (OK).
  8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
  9. Cliquez sur Ajouter une clé > Créer une clé.
  10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
  11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur BindPlane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
  12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour la configuration de l'exportateur.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion.
  4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Profil.

  3. Copiez et enregistrez le numéro client dans la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sc query observiq-otel-collector

    Le service doit être indiqué comme RUNNING (EN COURS D'EXÉCUTION).

Installation sous Linux

  1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Attendez que l'installation se termine.

  4. Vérifiez l'installation en exécutant la commande suivante :

    sudo systemctl status observiq-otel-collector

    Le service doit s'afficher comme actif (en cours d'exécution).

Ressources d'installation supplémentaires

Pour en savoir plus sur les options d'installation et le dépannage, consultez le guide d'installation de l'agent Bindplane.

Configurer l'agent Bindplane pour ingérer les journaux Syslog et les envoyer à Google SecOps

Localiser le fichier de configuration

  • Linux :

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows :

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Modifiez le fichier de configuration

  • Remplacez l'intégralité du contenu de config.yaml par la configuration suivante :

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/radware_firewall:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: RADWARE_FIREWALL
    raw_log_field: body

service:
  pipelines:
    logs/radware_firewall_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/radware_firewall

Paramètres de configuration

Remplacez les espaces réservés suivants :

  • Configuration du récepteur :

    • listen_address : adresse IP et port d'écoute :
      • 0.0.0.0 pour écouter sur toutes les interfaces (recommandé)
      • Le port 514 est le port syslog standard (nécessite un accès racine sous Linux ; utilisez 1514 pour un accès non racine).

  • Configuration de l'exportateur :

    • creds_file_path : chemin d'accès complet au fichier de clé JSON du compte de service (option 1) :
      • Linux : /opt/observiq-otel-collector/ingestion-auth.json
      • Windows : C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id : ID client copié depuis la console Google SecOps
    • location : remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
    • project : remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.
    • endpoint : laissez la valeur définie sur chronicle.googleapis.com.

Ancien exportateur d'API d'ingestion

  • Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par ce qui suit. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/radware_firewall:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: RADWARE_FIREWALL
    raw_log_field: body

Enregistrez le fichier de configuration.

  • Après avoir modifié le fichier, enregistrez-le :
    • Linux : appuyez sur Ctrl+O, puis sur Enter, puis sur Ctrl+X.
    • Windows : cliquez sur Fichier > Enregistrer.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart observiq-otel-collector

    1. Vérifiez que le service est en cours d'exécution :

      sudo systemctl status observiq-otel-collector

    2. Recherchez les erreurs dans les journaux :

      sudo journalctl -u observiq-otel-collector -f

  • Pour redémarrer l'agent BindPlane sous Windows, choisissez l'une des options suivantes :

    • Invite de commande ou PowerShell en tant qu'administrateur :

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console Services :

      1. Appuyez sur Win+R, saisissez services.msc, puis appuyez sur Entrée.
      2. Recherchez observIQ OpenTelemetry Collector.
      3. Effectuez un clic droit et sélectionnez Redémarrer.

      4. Vérifiez que le service est en cours d'exécution :

        sc query observiq-otel-collector

      5. Recherchez les erreurs dans les journaux :

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurer Radware AppWall pour transférer les journaux vers BindPlane

Vous pouvez configurer le transfert syslog depuis AppWall autonome, AppWall intégré dans Alteon ou Vision Reporter.

Option 1 : AppWall autonome avec Vision Reporter

  1. Connectez-vous à la console de gestion AppWall.
  2. Accédez à Configuration > Services > Vision Support > Vision Reporter.
  3. Activez Envoyer des événements à Vision Reporter.
  4. Définissez l'adresse IP du serveur sur l'adresse IP de Vision Reporter.
  5. Définissez le port (par exemple, 514).
  6. Définissez le paramètre Protocole sur UDP.
  7. Facultatif : Activez l'option Envoyer les réponses pour transférer les données de réponse.
  8. Cliquez sur Enregistrer.

Option 2 : AppWall intégré à Alteon

  1. Connectez-vous à la console de gestion Alteon.
  2. Accédez à Configuration > Security > Web Security > Vision Reporter.
  3. Activez l'intégration de Vision Reporter.
  4. Définissez l'adresse IP du serveur sur l'adresse IP de Vision Reporter.
  5. Définissez le port (par exemple, 514).
  6. Définissez le paramètre Protocole sur UDP.
  7. Cliquez sur Enregistrer.

Option 3 : Transfert de Vision Reporter vers BindPlane

  1. Connectez-vous à la console de gestion Vision Reporter.
  2. Accédez à Configuration > SIEM et journalisation externe.
  3. Cliquez sur + Ajouter une destination SIEM.
  4. Fournissez les informations de configuration suivantes :
    • Nom : saisissez un nom (par exemple, Google SecOps Forwarder).
    • Type d'exportation des journaux : sélectionnez Syslog RFC 5424.
    • Serveur Syslog distant : saisissez l'adresse IP de l'agent BindPlane.
    • Port : saisissez 514.
    • Protocole : sélectionnez UDP.
  5. Cliquez sur Enregistrer.

Table de mappage UDM

Champ du journal Mappage UDM Logique
action event.idm.read_only_udm.security_result.action Si action est défini sur "drop", définissez-le sur "BLOCK".
attack_desc event.idm.read_only_udm.security_result.description Mappé directement.
attack_type event.idm.read_only_udm.security_result.threat_name Mappé directement.
command event.idm.read_only_udm.principal.process.command_line Mappage direct.
description event.idm.read_only_udm.security_result.description Mappé directement si attack_desc est vide.
dst_ip event.idm.read_only_udm.target.ip Mappé directement.
dst_port event.idm.read_only_udm.target.port Mappé directement, converti en entier. Définissez la valeur sur "MACHINE" si username est présent et command ne l'est pas. Copié à partir du champ collection_time du journal brut. La valeur par défaut est "NETWORK_CONNECTION". Définissez-le sur "GENERIC_EVENT" si src_ip ou dst_ip sont manquants. Définissez sur "USER_LOGIN" si username est présent et command n'est pas présent. Peut être remplacé par une logique basée sur attack_id. Définissez-le sur "RADWARE_FIREWALL". Mappé à partir du champ product. Définissez cette option sur "Radware".
intermediary_ip event.idm.read_only_udm.intermediary.ip Mappé directement.
obv_ip event.idm.read_only_udm.observer.ip Mappé directement.
product event.idm.read_only_udm.metadata.product_name Mappage direct.
protocol_number_src event.idm.read_only_udm.network.ip_protocol Analysé à l'aide de la logique parse_ip_protocol.include.
rule_id event.idm.read_only_udm.security_result.rule_id Mappé directement. Dérivé en fonction de la valeur de attack_id. Les valeurs incluent "ACL_VIOLATION", "NETWORK_DENIAL_OF_SERVICE", "NETWORK_SUSPICIOUS" et "NETWORK_RECON".
src_ip event.idm.read_only_udm.principal.ip Mappé directement.
src_port event.idm.read_only_udm.principal.port Mappé directement, converti en entier.
ts event.idm.read_only_udm.metadata.event_timestamp Analysé et converti en code temporel.
username event.idm.read_only_udm.target.user.userid Mappé directement si command n'est pas présent.
username event.idm.read_only_udm.principal.user.userid Mappé directement si command est présent.
component event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
device_module event.idm.read_only_udm.metadata.product_name Mappé à partir du journal des modifications
SVC event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
webappname event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
tunnel event.idm.read_only_udm.target.resource.name Mappé à partir du journal des modifications
proto event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
sport event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
threatcategory event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
sev event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
component event.idm.read_only_udm.intermediary.application Mappé à partir du journal des modifications
id event.idm.read_only_udm.observer.asset.asset_id Mappé à partir du journal des modifications
attackname event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
method event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
protocol event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
dhost event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
referer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
apath event.idm.read_only_udm.principal.url Mappé à partir du journal des modifications
version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
refinecrc_field event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
refine_field event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Hosts event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
connection event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
access event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Origin event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sec_fetch event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
fetch_site event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
fetch_dest event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Referer event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_encoding event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
req event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
directory event.idm.read_only_udm.target.file.full_path Mappé à partir du journal des modifications
request_header event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record_name event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
record_violation_reason event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
record_category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
record_bot_category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
record_totalVolume event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
record_totalPackets event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record_session_cookie event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record_headers event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
country_Code event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
record_ID event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
record_tid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
record_status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record_signature_pattern event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
record_site event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
record_url event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
record_ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
record_sourceIP event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
record_ua event.idm.read_only_udm.principal.resource.attribute.labels Mappé à partir du journal des modifications
record_policy_id event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
record_destinationIP event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
record.time event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
app_protocol_output event.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
app_protocol_src event.idm.read_only_udm.network.ip_protocol Mappé à partir du journal des modifications
community event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
login_result event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
enrichmentContainer_geoLocation_countryCode event.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
contractId event.idm.read_only_udm.target.labels Mappé à partir du journal des modifications
applicationId event.idm.read_only_udm.target.resource.attribute.labels Mappé à partir du journal des modifications
record.enrichmentContainer.owaspCategory2021 event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
module event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
refinecrcvalue event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
host event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
msg_host event.idm.read_only_udm.target.hostname et event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
externalIp event.idm.read_only_udm.observer.ip Mappé à partir du journal des modifications
http_version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tenant event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
role event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
targetModule event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
security event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
title event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
violationCategory event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
violationType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
webApp event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cookie event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
lport event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
pragma event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cache_control event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_charset event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_language event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_header event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
milli event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
devtype event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
act event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
dir event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
attackrisk event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
SVC event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
msg_title event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
min event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
policy event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
protection event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
useraction event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
user event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
severity_code event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tmodule event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
uriii event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
vhosts event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
msg_parameter event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
msg_module event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
msg_error_number event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
device_module event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
vhost event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
vhost_field event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
request_uri event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
authenticated_role_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
authenticated_role_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
user_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
user_authentication event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
sourceIp event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
lip_IP event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
extip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
dip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
sourcePort event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
violationDetails event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
subj event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
transId event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
evtid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
applicationName event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
receivedTimeStamp event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
apath event.idm.read_only_udm.target.url Mappé à partir du journal des modifications
req event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
engineversion event.idm.read_only_udm.metadata.product_version Mappé à partir du journal des modifications
user_agent event.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
et event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
hostname event.idm.read_only_udm.principal.hostname et event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
host_ip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
sip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
lip event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
dhost event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
cmip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
sourceIp event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
lport event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
dport event.idm.read_only_udm.target.port Mappé à partir du journal des modifications
msg_description event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
msg_referer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
msg_suggestion event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
msg_authenticated_as event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
severity event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
user_agent_val event.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
log_level event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_1 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_2 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_3 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_4 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
radware_field_5 event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
uuid event.idm.read_only_udm.target.resource.product_object_id Mappé à partir du journal des modifications
Type event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
SourceIP event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
SourcePort event.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
Host event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
WebUser event.idm.read_only_udm.principal.user.userid Mappé à partir du journal des modifications
Role event.idm.read_only_udm.principal.user.role_name Mappé à partir du journal des modifications
WebApp, event.idm.read_only_udm.target.application Mappé à partir du journal des modifications
URI event.idm.read_only_udm.target.file.full_path Mappé à partir du journal des modifications
TransID event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
http_method event.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
ref_url event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
AppPath, event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
Object, event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ParamName, event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
ParamType event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
syslog_ip event.idm.read_only_udm.intermediary.ip Mappé à partir du journal des modifications
ServerName, event.idm.read_only_udm.intermediary.hostname Mappé à partir du journal des modifications
Description event.idm.read_only_udm.security_result.description Mappé à partir du journal des modifications
Title event.idm.read_only_udm.security_result.summary Mappé à partir du journal des modifications
Attackname event.idm.read_only_udm.security_result.rule_name Mappé à partir du journal des modifications
RuleID event.idm.read_only_udm.security_result.rule_id Mappé à partir du journal des modifications
Threatcategory event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
Priority event.idm.read_only_udm.security_result.severity Mappé à partir du journal des modifications
IsPassive event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
x_forwarded_for_ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
apikey event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
canary event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
client-version event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
content-type event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
client-request-id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-APP-ID event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-IP event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-PORT event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-PORT-MM event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
X-RDWR-PORT-MM-ORIG-FE-PORT event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
hpgrequestid event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept-language event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
purpose event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
upload-time event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
site event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
headers event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
client-request-id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
client-id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
category event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
policy_id event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
signature_pattern event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
status event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
violation_reason event.idm.read_only_udm.security_result.detection_fields Mappé à partir du journal des modifications
user-agent event.idm.read_only_udm.network.http.user_agent et event.idm.read_only_udm.network.http.parsed_user_agent Mappé à partir du journal des modifications
User-Agent event.idm.read_only_udm.network.http.user_agent et event.idm.read_only_udm.network.http.parsed_user_agent Mappé à partir du journal des modifications
ID event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
destinationIP event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
sourceIP event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
country_code event.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
application_name event.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
ip event.idm.read_only_udm.principal.ip et event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
session_cookie event.idm.read_only_udm.network.session_id Mappé à partir du journal des modifications
tid event.idm.read_only_udm.metadata.product_log_id Mappé à partir du journal des modifications
url event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
ua event.idm.read_only_udm.network.http.user_agent et event.idm.read_only_udm.network.http.parsed_user_agent Mappé à partir du journal des modifications
sec_action event.idm.read_only_udm.security_result.action Mappé à partir du journal des modifications
bot_category event.idm.read_only_udm.security_result.category_details Mappé à partir du journal des modifications
externalIp event.idm.read_only_udm.target.ip et event.idm.read_only_udm.target.asset.ip Mappé à partir du journal des modifications
Referer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
referrer event.idm.read_only_udm.network.http.referral_url Mappé à partir du journal des modifications
date event.idm.read_only_udm.metadata.event_timestamp Mappé à partir du journal des modifications
hostname event.idm.read_only_udm.principal.hostname Mappé à partir du journal des modifications
hostname event.idm.read_only_udm.principal.asset.hostname Mappé à partir du journal des modifications
hostip event.idm.read_only_udm.principal.ip Mappé à partir du journal des modifications
hostip event.idm.read_only_udm.principal.asset.ip Mappé à partir du journal des modifications
host event.idm.read_only_udm.target.hostname Mappé à partir du journal des modifications
host event.idm.read_only_udm.target.asset.hostname Mappé à partir du journal des modifications
time event.idm.read_only_udm.network.session_duration.seconds Mappé à partir du journal des modifications
et event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
total_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
blocked_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
passive_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
clean_bytes event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tunnel_name event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tunnel_id event.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
message_severity event.idm.read_only_udm.security_result.severity_details Mappé à partir du journal des modifications
sent_bytes event.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
rule_id event.idm.read_only_udm.metadata.description Mappé à partir du journal des modifications
product event.idm.read_only_udm.metadata.product_event_type Mappé à partir du journal des modifications
action event.idm.read_only_udm.metadata.action_details Mappé à partir du journal des modifications
action subevent.idm.read_only_udm.sec_result.action Mappé à partir du journal des modifications
application_id subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
accept_language subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
cookie subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
request subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
received_timestamp subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
tenant_name subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
x-forwarded-for subevent.idm.read_only_udm.additional.fields Mappé à partir du journal des modifications
application_name subevent.idm.read_only_udm.principal.application Mappé à partir du journal des modifications
country_code subevent.idm.read_only_udm.principal.location.country_or_region Mappé à partir du journal des modifications
destination_port subevent.idm.read_only_udm.target.port Mappé à partir du journal des modifications
directory subevent.idm.read_only_udm.principal.process.file.full_path Mappé à partir du journal des modifications
http_bytes_in subevent.idm.read_only_udm.network.sent_bytes Mappé à partir du journal des modifications
http_bytes_out subevent.idm.read_only_udm.network.received_bytes Mappé à partir du journal des modifications
http_method subevent.idm.read_only_udm.network.http.method Mappé à partir du journal des modifications
protocol subevent.idm.read_only_udm.network.application_protocol Mappé à partir du journal des modifications
response_code subevent.idm.read_only_udm.network.http.response_code Mappé à partir du journal des modifications
source_port subevent.idm.read_only_udm.principal.port Mappé à partir du journal des modifications
user_agent subevent.idm.read_only_udm.network.http.user_agent Mappé à partir du journal des modifications
applicationName principal.application Mappé à partir du journal des modifications
action security_result.action_details Mappé à partir du journal des modifications
appPath principal.file.full_path Mappé à partir du journal des modifications
destinationIp target.ip Mappé à partir du journal des modifications
destinationPort target.port Mappé à partir du journal des modifications
directory principal.process.file.full_path Mappé à partir du journal des modifications
enrichmentContainer.geoLocation.countryCode principal.location.country_or_region Mappé à partir du journal des modifications
enrichmentContainer.contractId additional.fields Mappé à partir du journal des modifications
applicationId additional.fields Mappé à partir du journal des modifications
tenant additional.fields Mappé à partir du journal des modifications
owaspCategory2021 additional.fields Mappé à partir du journal des modifications
externalIp intermediary.ip Mappé à partir du journal des modifications
host principal.hostname Mappé à partir du journal des modifications
method network.http.method Mappé à partir du journal des modifications
passive additional.fields Mappé à partir du journal des modifications
protocol network.application_protocol Mappé à partir du journal des modifications
request additional.fields Mappé à partir du journal des modifications
role principal.user.role_name Mappé à partir du journal des modifications
security additional.fields Mappé à partir du journal des modifications
sourceIp `` Mappé à partir du journal des modifications
sourcePort principal.port Mappé à partir du journal des modifications
targetModule additional.fields Mappé à partir du journal des modifications
title metadata.description Mappé à partir du journal des modifications
transId additional.fields Mappé à partir du journal des modifications
URI target.file.full_path Mappé à partir du journal des modifications
user principal.user.role_description Mappé à partir du journal des modifications
vhost security_result.detection_fields Mappé à partir du journal des modifications
violationCategory additional.fields Mappé à partir du journal des modifications
violationDetails security_result.summary Mappé à partir du journal des modifications
violationType security_result.description Mappé à partir du journal des modifications
webApp additional.fields Mappé à partir du journal des modifications
severity security_result.severity Mappé à partir du journal des modifications
paramName additional.fields Mappé à partir du journal des modifications
paramValue additional.fields Mappé à partir du journal des modifications
paramType additional.fields Mappé à partir du journal des modifications
receivedTimeStamp metadata.event_timestamp Mappé à partir du journal des modifications

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.