Coletar registros do firewall de aplicativos da Web da Radware

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do firewall de aplicativos da Web da Radware no Google Security Operations usando o agente Bindplane.

O firewall de aplicativos da Web (AppWall) da Radware é uma solução de segurança de aplicativos que gera mensagens de syslog para detecção de ataques na Web, violações de políticas, eventos de mitigação de bots e decisões de controle de acesso. O analisador extrai campos de registros formatados em syslog usando padrões grok e os mapeia para o modelo de dados unificado (UDM).

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps
• Windows Server 2016 ou mais recente ou host Linux com systemd
• Conectividade de rede entre o agente do Bindplane e o Radware AppWall ou Vision Reporter
• Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso administrativo ao console de gerenciamento do Radware AppWall ou Vision Reporter

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar uma função e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para a configuração do exportador.

Observação :a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do Bindplane e gire a chave de acordo com a política da sua organização.

Opção 2: baixar o arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje a mudança para a Opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.

3. Copie e salve o ID de cliente na seção Detalhes da organização.

   Observação: o ID do cliente é necessário para configurar o exportador do agente Bindplane.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sc query observiq-otel-collector
   

   O serviço precisa aparecer como RUNNING.

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Aguarde a conclusão da instalação.

4. Execute o seguinte comando para confirmar a instalação:

   sudo systemctl status observiq-otel-collector
   

   O serviço precisa aparecer como active (running).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Observação: a configuração do exportador da API Chronicle requer o coletor Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localize o arquivo de configuração.

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Editar o arquivo de configuração

• Substitua todo o conteúdo de config.yaml pela seguinte configuração:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/radware_firewall:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: RADWARE_FIREWALL
      raw_log_field: body
  
  service:
    pipelines:
      logs/radware_firewall_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/radware_firewall
  

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

• Configuração do receptor:

  • listen_address: endereço IP e porta a serem detectados:
    • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
    • A porta 514 é a porta syslog padrão (requer raiz no Linux; use 1514 para não raiz)

• Configuração do exportador:

  • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID de cliente copiado do console do Google SecOps
  • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador adiciona esse valor ao prefixo chronicle.googleapis.com. Consulte Endpoints regionais para ver a lista completa.
  • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
  • endpoint: mantenha definido como chronicle.googleapis.com.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/radware_firewall:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: RADWARE_FIREWALL
      raw_log_field: body
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for desativada em 20 de julho de 2027.

Salvar o arquivo de configuração

• Depois de editar, salve o arquivo:
  • Linux: pressione Ctrl+O, Enter e Ctrl+X.
  • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

• Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

  sudo systemctl restart observiq-otel-collector
  

  1. Verifique se o serviço está em execução:

     sudo systemctl status observiq-otel-collector
     

  2. Verifique se há erros nos registros:

     sudo journalctl -u observiq-otel-collector -f
     

• Para reiniciar o agente do BindPlane no Windows, escolha uma das seguintes opções:

  • Prompt de comando ou PowerShell como administrador:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Console de serviços:

    1. Pressione Win+R, digite services.msc e pressione Enter.
    2. Localize o coletor do OpenTelemetry da observIQ.
    3. Clique com o botão direito do mouse e selecione Reiniciar.

    4. Verifique se o serviço está em execução:

       sc query observiq-otel-collector
       

    5. Verifique se há erros nos registros:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Configurar o Radware AppWall para encaminhar registros ao Bindplane

É possível configurar o encaminhamento de syslog do AppWall independente, do AppWall integrado no Alteon ou do Vision Reporter.

Opção 1: AppWall independente usando o Vision Reporter

1. Faça login no console de gerenciamento do AppWall.
2. Acesse Configuração > Serviços > Suporte de visão > Vision Reporter.
3. Ative a opção Enviar eventos para o Vision Reporter.
4. Defina o IP do servidor como o endereço IP do Vision Reporter.
5. Defina a Porta (por exemplo, 514).
6. Defina o Protocolo como UDP.
7. Opcional: ative a opção Enviar respostas para encaminhar os dados de resposta.
8. Clique em Salvar.

Opção 2: AppWall integrado no Alteon

1. Faça login no console de gerenciamento do Alteon.
2. Acesse Configuração > Segurança > Segurança da Web > Vision Reporter.
3. Ative a integração do Vision Reporter.
4. Defina o IP do servidor como o endereço IP do Vision Reporter.
5. Defina a Porta (por exemplo, 514).
6. Defina o Protocolo como UDP.
7. Clique em Salvar.

Opção 3: encaminhamento do Vision Reporter para o Bindplane

1. Faça login no console de gerenciamento do Vision Reporter.
2. Acesse Configuração > SIEM e registro externo.
3. Clique em + Adicionar novo destino de SIEM.
4. Informe os seguintes detalhes de configuração:
   • Nome: insira um nome (por exemplo, Google SecOps Forwarder).
   • Tipo de exportação de registros: selecione Syslog RFC 5424.
   • Servidor Syslog remoto: insira o endereço IP do agente do BindPlane.
   • Porta: insira 514.
   • Protocolo: selecione UDP.
5. Clique em Salvar.

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
action	event.idm.read_only_udm.security_result.action	Se action for "drop", defina como "BLOCK".
attack_desc	event.idm.read_only_udm.security_result.description	Mapeado diretamente.
attack_type	event.idm.read_only_udm.security_result.threat_name	Mapeado diretamente.
command	event.idm.read_only_udm.principal.process.command_line	Mapeado diretamente.
description	event.idm.read_only_udm.security_result.description	Mapeado diretamente se attack_desc estiver vazio.
dst_ip	event.idm.read_only_udm.target.ip	Mapeado diretamente.
dst_port	event.idm.read_only_udm.target.port	Mapeado diretamente, convertido em número inteiro. Defina como "MACHINE" se username estiver presente e command não estiver. Copiado do campo collection_time do registro bruto. O padrão é "NETWORK_CONNECTION". Definido como "GENERIC_EVENT" se src_ip ou dst_ip estiverem faltando. Definido como "USER_LOGIN" se username estiver presente e command não estiver. Pode ser substituído por uma lógica baseada em attack_id. Defina como "RADWARE_FIREWALL". Mapeado do campo product. Defina como "Radware".
intermediary_ip	event.idm.read_only_udm.intermediary.ip	Mapeado diretamente.
obv_ip	event.idm.read_only_udm.observer.ip	Mapeado diretamente.
product	event.idm.read_only_udm.metadata.product_name	Mapeado diretamente.
protocol_number_src	event.idm.read_only_udm.network.ip_protocol	Analisado usando a lógica parse_ip_protocol.include.
rule_id	event.idm.read_only_udm.security_result.rule_id	Mapeado diretamente. Derivado com base no valor de attack_id. Os valores incluem "ACL_VIOLATION", "NETWORK_DENIAL_OF_SERVICE", "NETWORK_SUSPICIOUS", "NETWORK_RECON".
src_ip	event.idm.read_only_udm.principal.ip	Mapeado diretamente.
src_port	event.idm.read_only_udm.principal.port	Mapeado diretamente, convertido em número inteiro.
ts	event.idm.read_only_udm.metadata.event_timestamp	Analisado e convertido em carimbo de data/hora.
username	event.idm.read_only_udm.target.user.userid	Mapeado diretamente se command não estiver presente.
username	event.idm.read_only_udm.principal.user.userid	Mapeado diretamente se command estiver presente.
component	event.idm.read_only_udm.metadata.product_name	Mapeado do registro de mudanças
device_module	event.idm.read_only_udm.metadata.product_name	Mapeado do registro de mudanças
SVC	event.idm.read_only_udm.network.ip_protocol	Mapeado do registro de mudanças
webappname	event.idm.read_only_udm.target.application	Mapeado do registro de mudanças
tunnel	event.idm.read_only_udm.target.resource.name	Mapeado do registro de mudanças
proto	event.idm.read_only_udm.network.application_protocol	Mapeado do registro de mudanças
sport	event.idm.read_only_udm.principal.port	Mapeado do registro de mudanças
threatcategory	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de mudanças
sev	event.idm.read_only_udm.security_result.severity	Mapeado do registro de mudanças
component	event.idm.read_only_udm.intermediary.application	Mapeado do registro de mudanças
id	event.idm.read_only_udm.observer.asset.asset_id	Mapeado do registro de mudanças
attackname	event.idm.read_only_udm.security_result.summary	Mapeado do registro de mudanças
method	event.idm.read_only_udm.network.http.method	Mapeado do registro de mudanças
protocol	event.idm.read_only_udm.network.application_protocol	Mapeado do registro de mudanças
dhost	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de mudanças
referer	event.idm.read_only_udm.network.http.referral_url	Mapeado do registro de mudanças
apath	event.idm.read_only_udm.principal.url	Mapeado do registro de mudanças
version	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
refinecrc_field	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
refine_field	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
Hosts	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
connection	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
access	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
Origin	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
sec_fetch	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
fetch_site	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
fetch_dest	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
Referer	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
accept_encoding	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
req	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
directory	event.idm.read_only_udm.target.file.full_path	Mapeado do registro de mudanças
request_header	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de mudanças
record_name	event.idm.read_only_udm.security_result.summary	Mapeado do registro de mudanças
record_violation_reason	event.idm.read_only_udm.security_result.summary	Mapeado do registro de mudanças
record_category	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de mudanças
record_bot_category	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de mudanças
record_totalVolume	event.idm.read_only_udm.network.sent_bytes	Mapeado do registro de mudanças
record_totalPackets	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
record_session_cookie	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
record_headers	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
country_Code	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
record_ID	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de mudanças
record_tid	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de mudanças
record_status	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
record_signature_pattern	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
record_site	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de mudanças
record_url	event.idm.read_only_udm.target.url	Mapeado do registro de alterações
record_ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
record_sourceIP	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
record_ua	event.idm.read_only_udm.principal.resource.attribute.labels	Mapeado do registro de mudanças
record_policy_id	event.idm.read_only_udm.security_result.rule_id	Mapeado do registro de mudanças
record_destinationIP	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
record.time	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de mudanças
app_protocol_output	event.idm.read_only_udm.network.application_protocol	Mapeado do registro de mudanças
app_protocol_src	event.idm.read_only_udm.network.ip_protocol	Mapeado do registro de mudanças
community	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
login_result	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de mudanças
enrichmentContainer_geoLocation_countryCode	event.idm.read_only_udm.principal.location.country_or_region	Mapeado do registro de mudanças
contractId	event.idm.read_only_udm.target.labels	Mapeado do registro de mudanças
applicationId	event.idm.read_only_udm.target.resource.attribute.labels	Mapeado do registro de mudanças
record.enrichmentContainer.owaspCategory2021	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
module	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
refinecrcvalue	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
host	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de alterações
msg_host	event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de mudanças
externalIp	event.idm.read_only_udm.observer.ip	Mapeado do registro de mudanças
http_version	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
tenant	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
role	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
targetModule	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
security	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
title	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
violationCategory	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
violationType	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
webApp	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
cookie	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
lport	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
pragma	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
cache_control	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
accept_charset	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
accept_language	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
accept_header	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
milli	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
devtype	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
act	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
dir	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
attackrisk	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
SVC	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
msg_title	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
min	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
policy	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
protection	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
useraction	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
user	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
severity_code	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
tmodule	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
uriii	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
vhosts	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
msg_parameter	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
msg_module	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
msg_error_number	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
device_module	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
vhost	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
vhost_field	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
request_uri	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
authenticated_role_name	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
authenticated_role_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
user_name	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
user_authentication	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
sourceIp	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
lip_IP	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
extip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de alterações
dip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
sourcePort	event.idm.read_only_udm.principal.port	Mapeado do registro de mudanças
violationDetails	event.idm.read_only_udm.metadata.description	Mapeado do registro de mudanças
subj	event.idm.read_only_udm.metadata.description	Mapeado do registro de mudanças
transId	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de mudanças
evtid	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de mudanças
applicationName	event.idm.read_only_udm.target.application	Mapeado do registro de mudanças
receivedTimeStamp	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de mudanças
apath	event.idm.read_only_udm.target.url	Mapeado do registro de mudanças
req	event.idm.read_only_udm.network.http.method	Mapeado do registro de mudanças
engineversion	event.idm.read_only_udm.metadata.product_version	Mapeado do registro de mudanças
user_agent	event.idm.read_only_udm.network.http.user_agent	Mapeado do registro de mudanças
et	event.idm.read_only_udm.metadata.product_event_type	Mapeado do registro de mudanças
hostname	event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname	Mapeado do registro de alterações
host_ip	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de mudanças
sip	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de mudanças
lip	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de mudanças
dhost	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
cmip	event.idm.read_only_udm.intermediary.ip	Mapeado do registro de mudanças
sourceIp	event.idm.read_only_udm.intermediary.ip	Mapeado do registro de mudanças
lport	event.idm.read_only_udm.target.port	Mapeado do registro de mudanças
dport	event.idm.read_only_udm.target.port	Mapeado do registro de mudanças
msg_description	event.idm.read_only_udm.security_result.description	Mapeado do registro de mudanças
msg_referer	event.idm.read_only_udm.network.http.referral_url	Mapeado do registro de mudanças
msg_suggestion	event.idm.read_only_udm.security_result.summary	Mapeado do registro de mudanças
msg_authenticated_as	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de mudanças
severity	event.idm.read_only_udm.security_result.severity	Mapeado do registro de mudanças
user_agent_val	event.idm.read_only_udm.network.http.user_agent	Mapeado do registro de mudanças
log_level	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
radware_field_1	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
radware_field_2	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
radware_field_3	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
radware_field_4	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
radware_field_5	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
type	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
uuid	event.idm.read_only_udm.target.resource.product_object_id	Mapeado do registro de mudanças
Type	event.idm.read_only_udm.metadata.product_event_type	Mapeado do registro de mudanças
SourceIP	event.idm.read_only_udm.principal.ip	Mapeado do registro de mudanças
SourcePort	event.idm.read_only_udm.principal.port	Mapeado do registro de mudanças
Host	event.idm.read_only_udm.principal.hostname	Mapeado do registro de mudanças
WebUser	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de mudanças
Role	event.idm.read_only_udm.principal.user.role_name	Mapeado do registro de mudanças
WebApp,	event.idm.read_only_udm.target.application	Mapeado do registro de mudanças
URI	event.idm.read_only_udm.target.file.full_path	Mapeado do registro de mudanças
TransID	event.idm.read_only_udm.network.session_id	Mapeado do registro de mudanças
http_method	event.idm.read_only_udm.network.http.method	Mapeado do registro de mudanças
ref_url	event.idm.read_only_udm.network.http.referral_url	Mapeado do registro de mudanças
AppPath,	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
Object,	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
ParamName,	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
ParamType	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
syslog_ip	event.idm.read_only_udm.intermediary.ip	Mapeado do registro de mudanças
ServerName,	event.idm.read_only_udm.intermediary.hostname	Mapeado do registro de mudanças
Description	event.idm.read_only_udm.security_result.description	Mapeado do registro de mudanças
Title	event.idm.read_only_udm.security_result.summary	Mapeado do registro de mudanças
Attackname	event.idm.read_only_udm.security_result.rule_name	Mapeado do registro de mudanças
RuleID	event.idm.read_only_udm.security_result.rule_id	Mapeado do registro de mudanças
Threatcategory	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de mudanças
Priority	event.idm.read_only_udm.security_result.severity	Mapeado do registro de mudanças
IsPassive	event.idm.read_only_udm.security_result.action	Mapeado do registro de alterações
x_forwarded_for_ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
apikey	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
canary	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
client-version	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
content-type	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
client-request-id	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
X-RDWR-APP-ID	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
X-RDWR-IP	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
X-RDWR-PORT	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
X-RDWR-PORT-MM	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
X-RDWR-PORT-MM-ORIG-FE-PORT	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
hpgrequestid	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
accept-language	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
purpose	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
upload-time	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
site	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
headers	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
client-request-id	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
client-id	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
category	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
policy_id	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
signature_pattern	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
status	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de mudanças
violation_reason	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
user-agent	event.idm.read_only_udm.network.http.user_agent e event.idm.read_only_udm.network.http.parsed_user_agent	Mapeado do registro de alterações
User-Agent	event.idm.read_only_udm.network.http.user_agent e event.idm.read_only_udm.network.http.parsed_user_agent	Mapeado do registro de mudanças
ID	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de mudanças
destinationIP	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
sourceIP	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
country_code	event.idm.read_only_udm.principal.location.country_or_region	Mapeado do registro de mudanças
application_name	event.idm.read_only_udm.principal.application	Mapeado do registro de alterações
ip	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
session_cookie	event.idm.read_only_udm.network.session_id	Mapeado do registro de mudanças
tid	event.idm.read_only_udm.metadata.product_log_id	Mapeado do registro de mudanças
url	event.idm.read_only_udm.network.http.referral_url	Mapeado do registro de alterações
ua	event.idm.read_only_udm.network.http.user_agent e event.idm.read_only_udm.network.http.parsed_user_agent	Mapeado do registro de mudanças
sec_action	event.idm.read_only_udm.security_result.action	Mapeado do registro de mudanças
bot_category	event.idm.read_only_udm.security_result.category_details	Mapeado do registro de mudanças
externalIp	event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip	Mapeado do registro de alterações
Referer	event.idm.read_only_udm.network.http.referral_url	Mapeado do registro de mudanças
referrer	event.idm.read_only_udm.network.http.referral_url	Mapeado do registro de mudanças
date	event.idm.read_only_udm.metadata.event_timestamp	Mapeado do registro de mudanças
hostname	event.idm.read_only_udm.principal.hostname	Mapeado do registro de mudanças
hostname	event.idm.read_only_udm.principal.asset.hostname	Mapeado do registro de mudanças
hostip	event.idm.read_only_udm.principal.ip	Mapeado do registro de mudanças
hostip	event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
host	event.idm.read_only_udm.target.hostname	Mapeado do registro de mudanças
host	event.idm.read_only_udm.target.asset.hostname	Mapeado do registro de mudanças
time	event.idm.read_only_udm.network.session_duration.seconds	Mapeado do registro de mudanças
et	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
total_bytes	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
blocked_bytes	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
passive_bytes	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
clean_bytes	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
tunnel_name	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
tunnel_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
message_severity	event.idm.read_only_udm.security_result.severity_details	Mapeado do registro de mudanças
sent_bytes	event.idm.read_only_udm.network.sent_bytes	Mapeado do registro de mudanças
rule_id	event.idm.read_only_udm.metadata.description	Mapeado do registro de mudanças
product	event.idm.read_only_udm.metadata.product_event_type	Mapeado do registro de mudanças
action	event.idm.read_only_udm.metadata.action_details	Mapeado do registro de mudanças
action	subevent.idm.read_only_udm.sec_result.action	Mapeado do registro de mudanças
application_id	subevent.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
accept_language	subevent.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
cookie	subevent.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
request	subevent.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
received_timestamp	subevent.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
tenant_name	subevent.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
x-forwarded-for	subevent.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
application_name	subevent.idm.read_only_udm.principal.application	Mapeado do registro de mudanças
country_code	subevent.idm.read_only_udm.principal.location.country_or_region	Mapeado do registro de mudanças
destination_port	subevent.idm.read_only_udm.target.port	Mapeado do registro de mudanças
directory	subevent.idm.read_only_udm.principal.process.file.full_path	Mapeado do registro de mudanças
http_bytes_in	subevent.idm.read_only_udm.network.sent_bytes	Mapeado do registro de mudanças
http_bytes_out	subevent.idm.read_only_udm.network.received_bytes	Mapeado do registro de mudanças
http_method	subevent.idm.read_only_udm.network.http.method	Mapeado do registro de mudanças
protocol	subevent.idm.read_only_udm.network.application_protocol	Mapeado do registro de mudanças
response_code	subevent.idm.read_only_udm.network.http.response_code	Mapeado do registro de mudanças
source_port	subevent.idm.read_only_udm.principal.port	Mapeado do registro de mudanças
user_agent	subevent.idm.read_only_udm.network.http.user_agent	Mapeado do registro de mudanças
applicationName	principal.application	Mapeado do registro de mudanças
action	security_result.action_details	Mapeado do registro de mudanças
appPath	principal.file.full_path	Mapeado do registro de mudanças
destinationIp	target.ip	Mapeado do registro de mudanças
destinationPort	target.port	Mapeado do registro de mudanças
directory	principal.process.file.full_path	Mapeado do registro de mudanças
enrichmentContainer.geoLocation.countryCode	principal.location.country_or_region	Mapeado do registro de mudanças
enrichmentContainer.contractId	additional.fields	Mapeado do registro de mudanças
applicationId	additional.fields	Mapeado do registro de mudanças
tenant	additional.fields	Mapeado do registro de mudanças
owaspCategory2021	additional.fields	Mapeado do registro de mudanças
externalIp	intermediary.ip	Mapeado do registro de mudanças
host	principal.hostname	Mapeado do registro de mudanças
method	network.http.method	Mapeado do registro de mudanças
passive	additional.fields	Mapeado do registro de mudanças
protocol	network.application_protocol	Mapeado do registro de mudanças
request	additional.fields	Mapeado do registro de mudanças
role	principal.user.role_name	Mapeado do registro de mudanças
security	additional.fields	Mapeado do registro de mudanças
sourceIp	``	Mapeado do registro de alterações
sourcePort	principal.port	Mapeado do registro de mudanças
targetModule	additional.fields	Mapeado do registro de mudanças
title	metadata.description	Mapeado do registro de mudanças
transId	additional.fields	Mapeado do registro de mudanças
URI	target.file.full_path	Mapeado do registro de mudanças
user	principal.user.role_description	Mapeado do registro de mudanças
vhost	security_result.detection_fields	Mapeado do registro de mudanças
violationCategory	additional.fields	Mapeado do registro de mudanças
violationDetails	security_result.summary	Mapeado do registro de mudanças
violationType	security_result.description	Mapeado do registro de mudanças
webApp	additional.fields	Mapeado do registro de mudanças
severity	security_result.severity	Mapeado do registro de mudanças
paramName	additional.fields	Mapeado do registro de mudanças
paramValue	additional.fields	Mapeado do registro de mudanças
paramType	additional.fields	Mapeado do registro de mudanças
receivedTimeStamp	metadata.event_timestamp	Mapeado do registro de mudanças

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.