Recopila registros del firewall de aplicaciones web de Radware

Compatible con:

En este documento, se explica cómo transferir registros del firewall de aplicaciones web de Radware a Google Security Operations con el agente de Bindplane.

El firewall de aplicaciones web de Radware (AppWall) es una solución de seguridad para aplicaciones que genera mensajes de syslog para la detección de ataques web, los incumplimientos de políticas, los eventos de mitigación de bots y las decisiones de control de acceso. El analizador extrae campos de los registros con formato de syslog usando patrones de grok y los asigna al modelo de datos unificado (UDM).

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

  • Una instancia de Google SecOps
  • Windows Server 2016 o versiones posteriores, o host de Linux con systemd
  • Conectividad de red entre el agente de BindPlane y Radware AppWall o Vision Reporter
  • Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane
  • Acceso administrativo a la consola de administración de Radware AppWall o Vision Reporter

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

  • Implementaciones nuevas: Usa la API de Chronicle (opción 1).
  • Implementaciones heredadas: Sigue usando el archivo de autenticación de transferencia (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.
  1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
  2. Ve a IAM y administración > Cuentas de servicio.
  3. Haga clic en Crear cuenta de servicio.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
    • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
  5. Haz clic en Crear y continuar.
  6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
  7. Haz clic en Continuar y, luego, en Listo.
  8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
  9. Haz clic en Agregar clave > Crear clave nueva.
  10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
  11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
  12. Ve a IAM y administración > Configuración y copia el número de proyecto. Lo necesitarás para la configuración del exportador.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Agentes de recopilación.
  3. Descarga el archivo de autenticación de transferencia.
  4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Obtén el ID de cliente de Google SecOps

  1. Accede a la consola de Google SecOps.
  2. Ve a Configuración de SIEM > Perfil.

  3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

  1. Abre el símbolo del sistema o PowerShell como administrador.

  2. Ejecuta el comando siguiente:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sc query observiq-otel-collector

    El servicio debe mostrarse como RUNNING.

Instalación en Linux

  1. Abre una terminal con privilegios de raíz o sudo.

  2. Ejecuta el comando siguiente:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Espera a que se complete la instalación.

  4. Ejecuta el siguiente comando para verificar la instalación:

    sudo systemctl status observiq-otel-collector

    El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solución de problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

  • Reemplaza todo el contenido de config.yaml por la siguiente configuración:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/radware_firewall:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: RADWARE_FIREWALL
    raw_log_field: body

service:
  pipelines:
    logs/radware_firewall_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/radware_firewall

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

  • Configuración del receptor:

    • listen_address: Es la dirección IP y el puerto que se escucharán:
      • 0.0.0.0 para escuchar en todas las interfaces (recomendado)
      • El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz).

  • Configuración del exportador:

    • creds_file_path: Ruta de acceso completa al archivo de clave JSON de la cuenta de servicio (opción 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID de cliente copiado de la consola de Google SecOps
    • location: Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor. Consulta Extremos regionales para obtener la lista completa.
    • project: Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
    • endpoint: Mantén la configuración como chronicle.googleapis.com.

Exportador de la API de transferencia heredada

  • Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por lo siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de la transferencia y, si tu instancia se encuentra fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/radware_firewall:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: RADWARE_FIREWALL
    raw_log_field: body

Guarda el archivo de configuración

  • Después de editarlo, guarda el archivo:
    • Linux: Presiona Ctrl+O, luego Enter y, por último, Ctrl+X
    • Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

  • Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifica que el servicio esté en ejecución:

      sudo systemctl status observiq-otel-collector

    2. Revisa los registros en busca de errores:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:

    • Símbolo del sistema o PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Consola de servicios:

      1. Presiona Win+R, escribe services.msc y presiona Intro.
      2. Busca observIQ OpenTelemetry Collector.
      3. Haz clic con el botón derecho y selecciona Reiniciar.

      4. Verifica que el servicio esté en ejecución:

        sc query observiq-otel-collector

      5. Revisa los registros en busca de errores:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configura Radware AppWall para reenviar registros a BindPlane

Puedes configurar el reenvío de syslog desde AppWall independiente, AppWall integrado en Alteon o Vision Reporter.

Opción 1: AppWall independiente con Vision Reporter

  1. Accede a la consola de administración de AppWall.
  2. Ve a Configuración > Servicios > Vision Support > Vision Reporter.
  3. Habilita Enviar eventos a Vision Reporter.
  4. Establece la IP del servidor en la dirección IP de Vision Reporter.
  5. Configura el Puerto (por ejemplo, 514).
  6. Configura el Protocolo como UDP.
  7. Opcional: Habilita Enviar respuestas para reenviar los datos de las respuestas.
  8. Haz clic en Guardar.

Opción 2: AppWall integrado en Alteon

  1. Accede a la consola de administración de Alteon.
  2. Ve a Configuración > Seguridad > Seguridad web > Vision Reporter.
  3. Habilitar la integración de Vision Reporter
  4. Establece la IP del servidor en la dirección IP de Vision Reporter.
  5. Configura el Puerto (por ejemplo, 514).
  6. Configura el Protocolo en UDP.
  7. Haz clic en Guardar.

Opción 3: Reenvío de Vision Reporter a Bindplane

  1. Accede a la consola de administración de Vision Reporter.
  2. Ve a Configuración > SIEM y registro externo.
  3. Haz clic en + Agregar nuevo destino de SIEM.
  4. Proporciona los siguientes detalles de configuración:
    • Nombre: Ingresa un nombre (por ejemplo, Google SecOps Forwarder).
    • Tipo de exportación de registros: Selecciona Syslog RFC 5424.
    • Servidor de Syslog remoto: Ingresa la dirección IP del agente de Bindplane.
    • Puerto: Ingresa 514.
    • Protocolo: Selecciona UDP.
  5. Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro Asignación de UDM Lógica
action event.idm.read_only_udm.security_result.action Si action es "drop", configúralo como "BLOCK".
attack_desc event.idm.read_only_udm.security_result.description Asignación directa.
attack_type event.idm.read_only_udm.security_result.threat_name Se asigna directamente.
command event.idm.read_only_udm.principal.process.command_line Asignación directa.
description event.idm.read_only_udm.security_result.description Se asigna directamente si attack_desc está vacío.
dst_ip event.idm.read_only_udm.target.ip Se asigna directamente.
dst_port event.idm.read_only_udm.target.port Se asigna directamente y se convierte en un número entero. Se establece en "MACHINE" si username está presente y command no. Se copió del campo collection_time del registro sin procesar. La configuración predeterminada es "NETWORK_CONNECTION". Se establece en "GENERIC_EVENT" si falta src_ip o dst_ip. Se establece en "USER_LOGIN" si username está presente y command no está presente. Se puede anular con la lógica basada en attack_id. Se debe establecer en "RADWARE_FIREWALL". Se asigna desde el campo product. Establécelo en "Radware".
intermediary_ip event.idm.read_only_udm.intermediary.ip Asignación directa.
obv_ip event.idm.read_only_udm.observer.ip Se asigna directamente.
product event.idm.read_only_udm.metadata.product_name Asignación directa.
protocol_number_src event.idm.read_only_udm.network.ip_protocol Se analizó con la lógica parse_ip_protocol.include.
rule_id event.idm.read_only_udm.security_result.rule_id Se asigna directamente. Se deriva según el valor de attack_id. Los valores incluyen "ACL_VIOLATION", "NETWORK_DENIAL_OF_SERVICE", "NETWORK_SUSPICIOUS", "NETWORK_RECON".
src_ip event.idm.read_only_udm.principal.ip Asignación directa.
src_port event.idm.read_only_udm.principal.port Se asigna directamente y se convierte en un número entero.
ts event.idm.read_only_udm.metadata.event_timestamp Se analizó y convirtió en una marca de tiempo.
username event.idm.read_only_udm.target.user.userid Se asigna directamente si command no está presente.
username event.idm.read_only_udm.principal.user.userid Se asigna directamente si command está presente.
component event.idm.read_only_udm.metadata.product_name Asignado desde el registro de cambios
device_module event.idm.read_only_udm.metadata.product_name Asignado desde el registro de cambios
SVC event.idm.read_only_udm.network.ip_protocol Asignado desde el registro de cambios
webappname event.idm.read_only_udm.target.application Asignado desde el registro de cambios
tunnel event.idm.read_only_udm.target.resource.name Asignado desde el registro de cambios
proto event.idm.read_only_udm.network.application_protocol Asignado desde el registro de cambios
sport event.idm.read_only_udm.principal.port Asignado desde el registro de cambios
threatcategory event.idm.read_only_udm.security_result.category_details Asignado desde el registro de cambios
sev event.idm.read_only_udm.security_result.severity Asignado desde el registro de cambios
component event.idm.read_only_udm.intermediary.application Asignado desde el registro de cambios
id event.idm.read_only_udm.observer.asset.asset_id Asignado desde el registro de cambios
attackname event.idm.read_only_udm.security_result.summary Asignado desde el registro de cambios
method event.idm.read_only_udm.network.http.method Asignado desde el registro de cambios
protocol event.idm.read_only_udm.network.application_protocol Se asignó desde el registro de cambios
dhost event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname Asignado desde el registro de cambios
referer event.idm.read_only_udm.network.http.referral_url Asignado desde el registro de cambios
apath event.idm.read_only_udm.principal.url Asignado desde el registro de cambios
version event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
refinecrc_field event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
refine_field event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Hosts event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
connection event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
access event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Origin event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
sec_fetch event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
fetch_site event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
fetch_dest event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Referer event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
accept_encoding event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
req event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
directory event.idm.read_only_udm.target.file.full_path Asignado desde el registro de cambios
request_header event.idm.read_only_udm.principal.resource.attribute.labels Asignado desde el registro de cambios
record_name event.idm.read_only_udm.security_result.summary Asignado desde el registro de cambios
record_violation_reason event.idm.read_only_udm.security_result.summary Asignado desde el registro de cambios
record_category event.idm.read_only_udm.security_result.category_details Asignado desde el registro de cambios
record_bot_category event.idm.read_only_udm.security_result.category_details Asignado desde el registro de cambios
record_totalVolume event.idm.read_only_udm.network.sent_bytes Asignado desde el registro de cambios
record_totalPackets event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
record_session_cookie event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
record_headers event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
country_Code event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
record_ID event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
record_tid event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
record_status event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
record_signature_pattern event.idm.read_only_udm.security_result.detection_fields Se asignó desde el registro de cambios
record_site event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname Asignado desde el registro de cambios
record_url event.idm.read_only_udm.target.url Se asignó desde el registro de cambios
record_ip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
record_sourceIP event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
record_ua event.idm.read_only_udm.principal.resource.attribute.labels Asignado desde el registro de cambios
record_policy_id event.idm.read_only_udm.security_result.rule_id Asignado desde el registro de cambios
record_destinationIP event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Asignado desde el registro de cambios
record.time event.idm.read_only_udm.metadata.event_timestamp Asignado desde el registro de cambios
app_protocol_output event.idm.read_only_udm.network.application_protocol Asignado desde el registro de cambios
app_protocol_src event.idm.read_only_udm.network.ip_protocol Asignado desde el registro de cambios
community event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
login_result event.idm.read_only_udm.security_result.category_details Asignado desde el registro de cambios
enrichmentContainer_geoLocation_countryCode event.idm.read_only_udm.principal.location.country_or_region Asignado desde el registro de cambios
contractId event.idm.read_only_udm.target.labels Asignado desde el registro de cambios
applicationId event.idm.read_only_udm.target.resource.attribute.labels Asignado desde el registro de cambios
record.enrichmentContainer.owaspCategory2021 event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
module event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
refinecrcvalue event.idm.read_only_udm.security_result.detection_fields Se asignó desde el registro de cambios
host event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname Asignado desde el registro de cambios
msg_host event.idm.read_only_udm.target.hostname y event.idm.read_only_udm.target.asset.hostname Asignado desde el registro de cambios
externalIp event.idm.read_only_udm.observer.ip Asignado desde el registro de cambios
http_version event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
tenant event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
role event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
targetModule event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
security event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
title event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
violationCategory event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
violationType event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
webApp event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
cookie event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
lport event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
pragma event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
cache_control event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
accept_charset event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
accept_language event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
accept_header event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
milli event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
devtype event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
act event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
dir event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
attackrisk event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
SVC event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
msg_title event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
min event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
policy event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
protection event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
useraction event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
user event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
severity_code event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
tmodule event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
uriii event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
vhosts event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
msg_parameter event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
msg_module event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
msg_error_number event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
device_module event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
vhost event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
vhost_field event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
request_uri event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
authenticated_role_name event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
authenticated_role_id event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
user_name event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
user_authentication event.idm.read_only_udm.additional.fields Se asignó desde el registro de cambios
sourceIp event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
lip_IP event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
extip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
dip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
sourcePort event.idm.read_only_udm.principal.port Asignado desde el registro de cambios
violationDetails event.idm.read_only_udm.metadata.description Asignado desde el registro de cambios
subj event.idm.read_only_udm.metadata.description Asignado desde el registro de cambios
transId event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
evtid event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
applicationName event.idm.read_only_udm.target.application Asignado desde el registro de cambios
receivedTimeStamp event.idm.read_only_udm.metadata.event_timestamp Asignado desde el registro de cambios
apath event.idm.read_only_udm.target.url Asignado desde el registro de cambios
req event.idm.read_only_udm.network.http.method Asignado desde el registro de cambios
engineversion event.idm.read_only_udm.metadata.product_version Asignado desde el registro de cambios
user_agent event.idm.read_only_udm.network.http.user_agent Asignado desde el registro de cambios
et event.idm.read_only_udm.metadata.product_event_type Se asignó desde el registro de cambios
hostname event.idm.read_only_udm.principal.hostname y event.idm.read_only_udm.principal.asset.hostname Se asignó desde el registro de cambios
host_ip event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Asignado desde el registro de cambios
sip event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Asignado desde el registro de cambios
lip event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Asignado desde el registro de cambios
dhost event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Asignado desde el registro de cambios
cmip event.idm.read_only_udm.intermediary.ip Asignado desde el registro de cambios
sourceIp event.idm.read_only_udm.intermediary.ip Asignado desde el registro de cambios
lport event.idm.read_only_udm.target.port Asignado desde el registro de cambios
dport event.idm.read_only_udm.target.port Asignado desde el registro de cambios
msg_description event.idm.read_only_udm.security_result.description Asignado desde el registro de cambios
msg_referer event.idm.read_only_udm.network.http.referral_url Asignado desde el registro de cambios
msg_suggestion event.idm.read_only_udm.security_result.summary Asignado desde el registro de cambios
msg_authenticated_as event.idm.read_only_udm.principal.user.userid Asignado desde el registro de cambios
severity event.idm.read_only_udm.security_result.severity Asignado desde el registro de cambios
user_agent_val event.idm.read_only_udm.network.http.user_agent Asignado desde el registro de cambios
log_level event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
radware_field_1 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
radware_field_2 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
radware_field_3 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
radware_field_4 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
radware_field_5 event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
type event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
uuid event.idm.read_only_udm.target.resource.product_object_id Asignado desde el registro de cambios
Type event.idm.read_only_udm.metadata.product_event_type Asignado desde el registro de cambios
SourceIP event.idm.read_only_udm.principal.ip Asignado desde el registro de cambios
SourcePort event.idm.read_only_udm.principal.port Asignado desde el registro de cambios
Host event.idm.read_only_udm.principal.hostname Asignado desde el registro de cambios
WebUser event.idm.read_only_udm.principal.user.userid Asignado desde el registro de cambios
Role event.idm.read_only_udm.principal.user.role_name Asignado desde el registro de cambios
WebApp, event.idm.read_only_udm.target.application Asignado desde el registro de cambios
URI event.idm.read_only_udm.target.file.full_path Asignado desde el registro de cambios
TransID event.idm.read_only_udm.network.session_id Asignado desde el registro de cambios
http_method event.idm.read_only_udm.network.http.method Asignado desde el registro de cambios
ref_url event.idm.read_only_udm.network.http.referral_url Asignado desde el registro de cambios
AppPath, event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
Object, event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ParamName, event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
ParamType event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
syslog_ip event.idm.read_only_udm.intermediary.ip Asignado desde el registro de cambios
ServerName, event.idm.read_only_udm.intermediary.hostname Asignado desde el registro de cambios
Description event.idm.read_only_udm.security_result.description Asignado desde el registro de cambios
Title event.idm.read_only_udm.security_result.summary Asignado desde el registro de cambios
Attackname event.idm.read_only_udm.security_result.rule_name Asignado desde el registro de cambios
RuleID event.idm.read_only_udm.security_result.rule_id Asignado desde el registro de cambios
Threatcategory event.idm.read_only_udm.security_result.category_details Asignado desde el registro de cambios
Priority event.idm.read_only_udm.security_result.severity Asignado desde el registro de cambios
IsPassive event.idm.read_only_udm.security_result.action Se asignó desde el registro de cambios
x_forwarded_for_ip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
apikey event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
canary event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
client-version event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
content-type event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
client-request-id event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
X-RDWR-APP-ID event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
X-RDWR-IP event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
X-RDWR-PORT event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
X-RDWR-PORT-MM event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
X-RDWR-PORT-MM-ORIG-FE-PORT event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
hpgrequestid event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
accept-language event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
purpose event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
upload-time event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
site event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
headers event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
client-request-id event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
client-id event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
category event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
policy_id event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
signature_pattern event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
status event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
violation_reason event.idm.read_only_udm.security_result.detection_fields Asignado desde el registro de cambios
user-agent event.idm.read_only_udm.network.http.user_agent y event.idm.read_only_udm.network.http.parsed_user_agent Asignado desde el registro de cambios
User-Agent event.idm.read_only_udm.network.http.user_agent y event.idm.read_only_udm.network.http.parsed_user_agent Asignado desde el registro de cambios
ID event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
destinationIP event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Asignado desde el registro de cambios
sourceIP event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
country_code event.idm.read_only_udm.principal.location.country_or_region Asignado desde el registro de cambios
application_name event.idm.read_only_udm.principal.application Se asignó desde el registro de cambios
ip event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip Se asignó desde el registro de cambios
session_cookie event.idm.read_only_udm.network.session_id Asignado desde el registro de cambios
tid event.idm.read_only_udm.metadata.product_log_id Asignado desde el registro de cambios
url event.idm.read_only_udm.network.http.referral_url Asignado desde el registro de cambios
ua event.idm.read_only_udm.network.http.user_agent y event.idm.read_only_udm.network.http.parsed_user_agent Asignado desde el registro de cambios
sec_action event.idm.read_only_udm.security_result.action Asignado desde el registro de cambios
bot_category event.idm.read_only_udm.security_result.category_details Asignado desde el registro de cambios
externalIp event.idm.read_only_udm.target.ip y event.idm.read_only_udm.target.asset.ip Asignado desde el registro de cambios
Referer event.idm.read_only_udm.network.http.referral_url Asignado desde el registro de cambios
referrer event.idm.read_only_udm.network.http.referral_url Asignado desde el registro de cambios
date event.idm.read_only_udm.metadata.event_timestamp Asignado desde el registro de cambios
hostname event.idm.read_only_udm.principal.hostname Asignado desde el registro de cambios
hostname event.idm.read_only_udm.principal.asset.hostname Asignado desde el registro de cambios
hostip event.idm.read_only_udm.principal.ip Asignado desde el registro de cambios
hostip event.idm.read_only_udm.principal.asset.ip Asignado desde el registro de cambios
host event.idm.read_only_udm.target.hostname Asignado desde el registro de cambios
host event.idm.read_only_udm.target.asset.hostname Asignado desde el registro de cambios
time event.idm.read_only_udm.network.session_duration.seconds Asignado desde el registro de cambios
et event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
total_bytes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
blocked_bytes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
passive_bytes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
clean_bytes event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
tunnel_name event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
tunnel_id event.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
message_severity event.idm.read_only_udm.security_result.severity_details Asignado desde el registro de cambios
sent_bytes event.idm.read_only_udm.network.sent_bytes Asignado desde el registro de cambios
rule_id event.idm.read_only_udm.metadata.description Asignado desde el registro de cambios
product event.idm.read_only_udm.metadata.product_event_type Asignado desde el registro de cambios
action event.idm.read_only_udm.metadata.action_details Asignado desde el registro de cambios
action subevent.idm.read_only_udm.sec_result.action Asignado desde el registro de cambios
application_id subevent.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
accept_language subevent.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
cookie subevent.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
request subevent.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
received_timestamp subevent.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
tenant_name subevent.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
x-forwarded-for subevent.idm.read_only_udm.additional.fields Asignado desde el registro de cambios
application_name subevent.idm.read_only_udm.principal.application Asignado desde el registro de cambios
country_code subevent.idm.read_only_udm.principal.location.country_or_region Asignado desde el registro de cambios
destination_port subevent.idm.read_only_udm.target.port Asignado desde el registro de cambios
directory subevent.idm.read_only_udm.principal.process.file.full_path Asignado desde el registro de cambios
http_bytes_in subevent.idm.read_only_udm.network.sent_bytes Asignado desde el registro de cambios
http_bytes_out subevent.idm.read_only_udm.network.received_bytes Asignado desde el registro de cambios
http_method subevent.idm.read_only_udm.network.http.method Asignado desde el registro de cambios
protocol subevent.idm.read_only_udm.network.application_protocol Asignado desde el registro de cambios
response_code subevent.idm.read_only_udm.network.http.response_code Asignado desde el registro de cambios
source_port subevent.idm.read_only_udm.principal.port Asignado desde el registro de cambios
user_agent subevent.idm.read_only_udm.network.http.user_agent Asignado desde el registro de cambios
applicationName principal.application Asignado desde el registro de cambios
action security_result.action_details Asignado desde el registro de cambios
appPath principal.file.full_path Asignado desde el registro de cambios
destinationIp target.ip Asignado desde el registro de cambios
destinationPort target.port Asignado desde el registro de cambios
directory principal.process.file.full_path Asignado desde el registro de cambios
enrichmentContainer.geoLocation.countryCode principal.location.country_or_region Asignado desde el registro de cambios
enrichmentContainer.contractId additional.fields Asignado desde el registro de cambios
applicationId additional.fields Asignado desde el registro de cambios
tenant additional.fields Asignado desde el registro de cambios
owaspCategory2021 additional.fields Asignado desde el registro de cambios
externalIp intermediary.ip Asignado desde el registro de cambios
host principal.hostname Asignado desde el registro de cambios
method network.http.method Asignado desde el registro de cambios
passive additional.fields Asignado desde el registro de cambios
protocol network.application_protocol Asignado desde el registro de cambios
request additional.fields Asignado desde el registro de cambios
role principal.user.role_name Asignado desde el registro de cambios
security additional.fields Asignado desde el registro de cambios
sourceIp " Asignado desde el registro de cambios
sourcePort principal.port Asignado desde el registro de cambios
targetModule additional.fields Asignado desde el registro de cambios
title metadata.description Asignado desde el registro de cambios
transId additional.fields Asignado desde el registro de cambios
URI target.file.full_path Asignado desde el registro de cambios
user principal.user.role_description Asignado desde el registro de cambios
vhost security_result.detection_fields Asignado desde el registro de cambios
violationCategory additional.fields Asignado desde el registro de cambios
violationDetails security_result.summary Asignado desde el registro de cambios
violationType security_result.description Asignado desde el registro de cambios
webApp additional.fields Asignado desde el registro de cambios
severity security_result.severity Asignado desde el registro de cambios
paramName additional.fields Asignado desde el registro de cambios
paramValue additional.fields Asignado desde el registro de cambios
paramType additional.fields Asignado desde el registro de cambios
receivedTimeStamp metadata.event_timestamp Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.