איסוף יומנים של חומת אש לאפליקציות אינטרנט של Radware

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע ב-Google Security Operations יומנים של חומת אש ליישומי אינטרנט (WAF) של Radware באמצעות סוכן Bindplane.

חומת האש של אפליקציות האינטרנט (WAF) של Radware‏ (AppWall) היא פתרון לאבטחת אפליקציות שיוצר הודעות syslog לזיהוי מתקפות באינטרנט, הפרות מדיניות, אירועים של צמצום נזק מבוטים והחלטות לגבי בקרת גישה. המנתח מחלץ שדות מיומנים בפורמט syslog באמצעות תבניות grok וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין Radware AppWall או Vision Reporter
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• הרשאת אדמין למסוף הניהול של Radware AppWall או Vision Reporter

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל הגדרות SIEM > סוכני איסוף.
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מקבלים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם אתם מעדכנים התקנה קיימת, צריך לשדרג את הכלי לאיסוף נתונים לפני שמשנים את ההגדרה.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ התצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/radware_firewall:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: RADWARE_FIREWALL
      raw_log_field: body
  
  service:
    pipelines:
      logs/radware_firewall_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/radware_firewall
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • 0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog הרגילה (נדרש root ב-Linux; צריך להשתמש ב-1514 ללא root)

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ מפתח JSON של חשבון השירות (אפשרות 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

מייצא API להטמעה מדור קודם

• אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/radware_firewall:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: RADWARE_FIREWALL
      raw_log_field: body
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת פקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת Radware AppWall להעברת יומנים אל Bindplane

אפשר להגדיר העברה של syslog מ-AppWall עצמאי, מ-AppWall משולב ב-Alteon או מ-Vision Reporter.

אפשרות 1: AppWall עצמאי באמצעות Vision Reporter

1. נכנסים למסוף הניהול של AppWall.
2. עוברים אל Configuration > Services > Vision Support > Vision Reporter.
3. מפעילים את האפשרות שליחת אירועים אל Vision Reporter.
4. מגדירים את Server IP (כתובת ה-IP של השרת) לכתובת ה-IP של Vision Reporter.
5. מגדירים את היציאה (לדוגמה, 514).
6. מגדירים את הפרוטוקול ל-UDP.
7. אופציונלי: מפעילים את האפשרות שליחת תשובות כדי להעביר את נתוני התשובות.
8. לוחצים על Save.

אפשרות 2: שילוב של AppWall ב-Alteon

1. נכנסים למסוף הניהול של Alteon.
2. עוברים אל Configuration > Security > Web Security > Vision Reporter.
3. מפעילים את השילוב של Vision Reporter.
4. מגדירים את Server IP (כתובת ה-IP של השרת) לכתובת ה-IP של Vision Reporter.
5. מגדירים את היציאה (לדוגמה, 514).
6. מגדירים את הפרוטוקול ל-UDP.
7. לוחצים על Save.

אפשרות 3: העברה של Vision Reporter אל Bindplane

1. נכנסים למסוף הניהול של Vision Reporter.
2. עוברים אל Configuration > SIEM & External Logging.
3. לוחצים על + הוספת יעד SIEM חדש.
4. מזינים את פרטי ההגדרה הבאים:
   • שם: מזינים שם (לדוגמה, Google SecOps Forwarder).
   • סוג הייצוא של היומן: בוחרים באפשרות Syslog RFC 5424.
   • שרת Syslog מרוחק: מזינים את כתובת ה-IP של סוכן Bindplane.
   • יציאה: מזינים 514.
   • פרוטוקול: בוחרים באפשרות UDP.
5. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
action	event.idm.read_only_udm.security_result.action	אם הערך של action הוא drop, צריך להגדיר אותו כ-BLOCK.
attack_desc	event.idm.read_only_udm.security_result.description	מיפוי ישיר.
attack_type	event.idm.read_only_udm.security_result.threat_name	מיפוי ישיר.
command	event.idm.read_only_udm.principal.process.command_line	מיפוי ישיר.
description	event.idm.read_only_udm.security_result.description	ממופה ישירות אם attack_desc ריק.
dst_ip	event.idm.read_only_udm.target.ip	מיפוי ישיר.
dst_port	event.idm.read_only_udm.target.port	מיפוי ישיר, המרה למספר שלם. צריך להגדיר את הערך "MACHINE" אם username קיים ו-command לא קיים. הועתק מהשדה collection_time של היומן הגולמי. ערך ברירת המחדל הוא "NETWORK_CONNECTION". אם חסר אחד מהפרמטרים src_ip או dst_ip, צריך להגדיר את הערך כ-GENERIC_EVENT. הערך שמוגדר הוא USER_LOGIN אם username קיים ו-command לא קיים. אפשר לשנות את הגדרות ברירת המחדל באמצעות לוגיקה שמבוססת על attack_id. מגדירים את הערך RADWARE_FIREWALL. ממופה מהשדה product. מגדירים את האפשרות Radware.
intermediary_ip	event.idm.read_only_udm.intermediary.ip	ממופים ישירות.
obv_ip	event.idm.read_only_udm.observer.ip	מיפוי ישיר.
product	event.idm.read_only_udm.metadata.product_name	מיפוי ישיר.
protocol_number_src	event.idm.read_only_udm.network.ip_protocol	מנותח באמצעות הלוגיקה של parse_ip_protocol.include.
rule_id	event.idm.read_only_udm.security_result.rule_id	מיפוי ישיר. הערך נגזר מהערך של attack_id. הערכים כוללים את "ACL_VIOLATION",‏ "NETWORK_DENIAL_OF_SERVICE",‏ "NETWORK_SUSPICIOUS",‏ "NETWORK_RECON".
src_ip	event.idm.read_only_udm.principal.ip	ממופים ישירות.
src_port	event.idm.read_only_udm.principal.port	מופה ישירות, מומר למספר שלם.
ts	event.idm.read_only_udm.metadata.event_timestamp	הערך מנותח ומומר לחותמת זמן.
username	event.idm.read_only_udm.target.user.userid	ממופה ישירות אם command לא קיים.
username	event.idm.read_only_udm.principal.user.userid	מיפוי ישיר אם command קיים.
component	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
device_module	event.idm.read_only_udm.metadata.product_name	מופה מיומן השינויים
SVC	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
webappname	event.idm.read_only_udm.target.application	מופה מיומן השינויים
tunnel	event.idm.read_only_udm.target.resource.name	מופה מיומן השינויים
proto	event.idm.read_only_udm.network.application_protocol	מופה מיומן השינויים
sport	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
threatcategory	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
sev	event.idm.read_only_udm.security_result.severity	מופה מיומן השינויים
component	event.idm.read_only_udm.intermediary.application	מופה מיומן השינויים
id	event.idm.read_only_udm.observer.asset.asset_id	מופה מיומן השינויים
attackname	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
method	event.idm.read_only_udm.network.http.method	מופה מיומן השינויים
protocol	event.idm.read_only_udm.network.application_protocol	מופה מיומן השינויים
dhost	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
referer	event.idm.read_only_udm.network.http.referral_url	מופה מיומן השינויים
apath	event.idm.read_only_udm.principal.url	מופה מיומן השינויים
version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
refinecrc_field	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
refine_field	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Hosts	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
connection	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
access	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Origin	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sec_fetch	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
fetch_site	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
fetch_dest	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Referer	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
accept_encoding	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
req	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
directory	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
request_header	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record_name	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
record_violation_reason	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
record_category	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
record_bot_category	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
record_totalVolume	event.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
record_totalPackets	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
record_session_cookie	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
record_headers	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
country_Code	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
record_ID	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
record_tid	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
record_status	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
record_signature_pattern	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
record_site	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
record_url	event.idm.read_only_udm.target.url	מופה מיומן השינויים
record_ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
record_sourceIP	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
record_ua	event.idm.read_only_udm.principal.resource.attribute.labels	מופה מיומן השינויים
record_policy_id	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
record_destinationIP	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
record.time	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
app_protocol_output	event.idm.read_only_udm.network.application_protocol	מופה מיומן השינויים
app_protocol_src	event.idm.read_only_udm.network.ip_protocol	מופה מיומן השינויים
community	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
login_result	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
enrichmentContainer_geoLocation_countryCode	event.idm.read_only_udm.principal.location.country_or_region	מופה מיומן השינויים
contractId	event.idm.read_only_udm.target.labels	מופה מיומן השינויים
applicationId	event.idm.read_only_udm.target.resource.attribute.labels	מופה מיומן השינויים
record.enrichmentContainer.owaspCategory2021	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
module	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
refinecrcvalue	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
host	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
msg_host	event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
externalIp	event.idm.read_only_udm.observer.ip	מופה מיומן השינויים
http_version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tenant	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
role	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
targetModule	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
security	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
title	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
violationCategory	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
violationType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
webApp	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cookie	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
lport	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
pragma	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cache_control	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
accept_charset	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
accept_language	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
accept_header	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
milli	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
devtype	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
act	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
dir	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
attackrisk	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
SVC	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
msg_title	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
min	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
policy	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
protection	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
useraction	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
severity_code	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tmodule	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
uriii	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vhosts	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
msg_parameter	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
msg_module	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
msg_error_number	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
device_module	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vhost	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
vhost_field	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request_uri	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
authenticated_role_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
authenticated_role_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
user_authentication	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourceIp	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
lip_IP	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
extip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
dip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
sourcePort	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
violationDetails	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
subj	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
transId	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
evtid	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
applicationName	event.idm.read_only_udm.target.application	מופה מיומן השינויים
receivedTimeStamp	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
apath	event.idm.read_only_udm.target.url	מופה מיומן השינויים
req	event.idm.read_only_udm.network.http.method	מופה מיומן השינויים
engineversion	event.idm.read_only_udm.metadata.product_version	מופה מיומן השינויים
user_agent	event.idm.read_only_udm.network.http.user_agent	מופה מיומן השינויים
et	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
hostname	event.idm.read_only_udm.principal.hostname וגם event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
host_ip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
sip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
lip	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
dhost	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
cmip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
sourceIp	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
lport	event.idm.read_only_udm.target.port	מופה מיומן השינויים
dport	event.idm.read_only_udm.target.port	מופה מיומן השינויים
msg_description	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
msg_referer	event.idm.read_only_udm.network.http.referral_url	מופה מיומן השינויים
msg_suggestion	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
msg_authenticated_as	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
severity	event.idm.read_only_udm.security_result.severity	מופה מיומן השינויים
user_agent_val	event.idm.read_only_udm.network.http.user_agent	מופה מיומן השינויים
log_level	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
radware_field_1	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
radware_field_2	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
radware_field_3	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
radware_field_4	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
radware_field_5	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
uuid	event.idm.read_only_udm.target.resource.product_object_id	מופה מיומן השינויים
Type	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
SourceIP	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
SourcePort	event.idm.read_only_udm.principal.port	מופה מיומן השינויים
Host	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
WebUser	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
Role	event.idm.read_only_udm.principal.user.role_name	מופה מיומן השינויים
WebApp,	event.idm.read_only_udm.target.application	מופה מיומן השינויים
URI	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
TransID	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
http_method	event.idm.read_only_udm.network.http.method	מופה מיומן השינויים
ref_url	event.idm.read_only_udm.network.http.referral_url	מופה מיומן השינויים
AppPath,	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
Object,	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ParamName,	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ParamType	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
syslog_ip	event.idm.read_only_udm.intermediary.ip	מופה מיומן השינויים
ServerName,	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
Description	event.idm.read_only_udm.security_result.description	מופה מיומן השינויים
Title	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
Attackname	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
RuleID	event.idm.read_only_udm.security_result.rule_id	מופה מיומן השינויים
Threatcategory	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
Priority	event.idm.read_only_udm.security_result.severity	מופה מיומן השינויים
IsPassive	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
x_forwarded_for_ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
apikey	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
canary	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
client-version	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
content-type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
client-request-id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
X-RDWR-APP-ID	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
X-RDWR-IP	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
X-RDWR-PORT	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
X-RDWR-PORT-MM	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
X-RDWR-PORT-MM-ORIG-FE-PORT	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
hpgrequestid	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
accept-language	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
purpose	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
upload-time	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
site	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
headers	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
client-request-id	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
client-id	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
category	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
policy_id	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
signature_pattern	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
status	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
violation_reason	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
user-agent	event.idm.read_only_udm.network.http.user_agent וגם event.idm.read_only_udm.network.http.parsed_user_agent	מופה מיומן השינויים
User-Agent	event.idm.read_only_udm.network.http.user_agent וגם event.idm.read_only_udm.network.http.parsed_user_agent	מופה מיומן השינויים
ID	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
destinationIP	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
sourceIP	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
country_code	event.idm.read_only_udm.principal.location.country_or_region	מופה מיומן השינויים
application_name	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
ip	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
session_cookie	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
tid	event.idm.read_only_udm.metadata.product_log_id	מופה מיומן השינויים
url	event.idm.read_only_udm.network.http.referral_url	מופה מיומן השינויים
ua	event.idm.read_only_udm.network.http.user_agent וגם event.idm.read_only_udm.network.http.parsed_user_agent	מופה מיומן השינויים
sec_action	event.idm.read_only_udm.security_result.action	מופה מיומן השינויים
bot_category	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
externalIp	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
Referer	event.idm.read_only_udm.network.http.referral_url	מופה מיומן השינויים
referrer	event.idm.read_only_udm.network.http.referral_url	מופה מיומן השינויים
date	event.idm.read_only_udm.metadata.event_timestamp	מופה מיומן השינויים
hostname	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
hostname	event.idm.read_only_udm.principal.asset.hostname	מופה מיומן השינויים
hostip	event.idm.read_only_udm.principal.ip	מופה מיומן השינויים
hostip	event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
host	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
host	event.idm.read_only_udm.target.asset.hostname	מופה מיומן השינויים
time	event.idm.read_only_udm.network.session_duration.seconds	מופה מיומן השינויים
et	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
total_bytes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
blocked_bytes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
passive_bytes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
clean_bytes	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tunnel_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tunnel_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
message_severity	event.idm.read_only_udm.security_result.severity_details	מופה מיומן השינויים
sent_bytes	event.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
rule_id	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
product	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
action	event.idm.read_only_udm.metadata.action_details	מופה מיומן השינויים
action	subevent.idm.read_only_udm.sec_result.action	מופה מיומן השינויים
application_id	subevent.idm.read_only_udm.additional.fields	מופה מיומן השינויים
accept_language	subevent.idm.read_only_udm.additional.fields	מופה מיומן השינויים
cookie	subevent.idm.read_only_udm.additional.fields	מופה מיומן השינויים
request	subevent.idm.read_only_udm.additional.fields	מופה מיומן השינויים
received_timestamp	subevent.idm.read_only_udm.additional.fields	מופה מיומן השינויים
tenant_name	subevent.idm.read_only_udm.additional.fields	מופה מיומן השינויים
x-forwarded-for	subevent.idm.read_only_udm.additional.fields	מופה מיומן השינויים
application_name	subevent.idm.read_only_udm.principal.application	מופה מיומן השינויים
country_code	subevent.idm.read_only_udm.principal.location.country_or_region	מופה מיומן השינויים
destination_port	subevent.idm.read_only_udm.target.port	מופה מיומן השינויים
directory	subevent.idm.read_only_udm.principal.process.file.full_path	מופה מיומן השינויים
http_bytes_in	subevent.idm.read_only_udm.network.sent_bytes	מופה מיומן השינויים
http_bytes_out	subevent.idm.read_only_udm.network.received_bytes	מופה מיומן השינויים
http_method	subevent.idm.read_only_udm.network.http.method	מופה מיומן השינויים
protocol	subevent.idm.read_only_udm.network.application_protocol	מופה מיומן השינויים
response_code	subevent.idm.read_only_udm.network.http.response_code	מופה מיומן השינויים
source_port	subevent.idm.read_only_udm.principal.port	מופה מיומן השינויים
user_agent	subevent.idm.read_only_udm.network.http.user_agent	מופה מיומן השינויים
applicationName	principal.application	מופה מיומן השינויים
action	security_result.action_details	מופה מיומן השינויים
appPath	principal.file.full_path	מופה מיומן השינויים
destinationIp	target.ip	מופה מיומן השינויים
destinationPort	target.port	מופה מיומן השינויים
directory	principal.process.file.full_path	מופה מיומן השינויים
enrichmentContainer.geoLocation.countryCode	principal.location.country_or_region	מופה מיומן השינויים
enrichmentContainer.contractId	additional.fields	מופה מיומן השינויים
applicationId	additional.fields	מופה מיומן השינויים
tenant	additional.fields	מופה מיומן השינויים
owaspCategory2021	additional.fields	מופה מיומן השינויים
externalIp	intermediary.ip	מופה מיומן השינויים
host	principal.hostname	מופה מיומן השינויים
method	network.http.method	מופה מיומן השינויים
passive	additional.fields	מופה מיומן השינויים
protocol	network.application_protocol	מופה מיומן השינויים
request	additional.fields	מופה מיומן השינויים
role	principal.user.role_name	מופה מיומן השינויים
security	additional.fields	מופה מיומן השינויים
sourceIp	""	מופה מיומן השינויים
sourcePort	principal.port	מופה מיומן השינויים
targetModule	additional.fields	מופה מיומן השינויים
title	metadata.description	מופה מיומן השינויים
transId	additional.fields	מופה מיומן השינויים
URI	target.file.full_path	מופה מיומן השינויים
user	principal.user.role_description	מופה מיומן השינויים
vhost	security_result.detection_fields	מופה מיומן השינויים
violationCategory	additional.fields	מופה מיומן השינויים
violationDetails	security_result.summary	מופה מיומן השינויים
violationType	security_result.description	מופה מיומן השינויים
webApp	additional.fields	מופה מיומן השינויים
severity	security_result.severity	מופה מיומן השינויים
paramName	additional.fields	מופה מיומן השינויים
paramValue	additional.fields	מופה מיומן השינויים
paramType	additional.fields	מופה מיומן השינויים
receivedTimeStamp	metadata.event_timestamp	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.