Coletar registros do firewall de aplicativos da Web da Radware

Compatível com:

Este documento explica como ingerir registros do firewall de aplicativos da Web da Radware no Google Security Operations usando o agente Bindplane.

O firewall de aplicativos da Web (AppWall) da Radware é uma solução de segurança de aplicativos que gera mensagens de syslog para detecção de ataques na Web, violações de políticas, eventos de mitigação de bots e decisões de controle de acesso. O analisador extrai campos de registros formatados em syslog usando padrões grok e os mapeia para o modelo de dados unificado (UDM).

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

  • Uma instância do Google SecOps
  • Windows Server 2016 ou mais recente ou host Linux com systemd
  • Conectividade de rede entre o agente do Bindplane e o Radware AppWall ou Vision Reporter
  • Se você estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
  • Acesso administrativo ao console de gerenciamento do Radware AppWall ou Vision Reporter

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

  • Novas implantações: use a API Chronicle (opção 1).
  • Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.
  1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
  2. Acesse IAM e administrador > Contas de serviço.
  3. Clique em Criar conta de serviço.
  4. Informe os seguintes detalhes de configuração:
    • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
    • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
  5. Clique em Criar e continuar.
  6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar uma função e escolha Editor do Chronicle.
  7. Clique em Continuar e depois em Concluído.
  8. Clique na conta de serviço que você criou e acesse a guia Chaves.
  9. Clique em Adicionar chave > Criar nova chave.
  10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
  11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
  12. Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para a configuração do exportador.

Opção 2: baixar o arquivo de autenticação de ingestão (legado)

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Agentes de coleta.
  3. Faça o download do arquivo de autenticação de ingestão.
  4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

  1. Faça login no console do Google SecOps.
  2. Acesse Configurações do SIEM > Perfil.

  3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

  1. Abra o Prompt de comando ou o PowerShell como administrador.

  2. Execute este comando:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sc query observiq-otel-collector

    O serviço precisa aparecer como RUNNING.

Instalação do Linux

  1. Abra um terminal com privilégios de raiz ou sudo.

  2. Execute este comando:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. Aguarde a conclusão da instalação.

  4. Execute o seguinte comando para confirmar a instalação:

    sudo systemctl status observiq-otel-collector

    O serviço precisa aparecer como active (running).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

Localize o arquivo de configuração.

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

  • Substitua todo o conteúdo de config.yaml pela seguinte configuração:

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/radware_firewall:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: RADWARE_FIREWALL
    raw_log_field: body

service:
  pipelines:
    logs/radware_firewall_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/radware_firewall

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

  • Configuração do receptor:

    • listen_address: endereço IP e porta a serem detectados:
      • 0.0.0.0 para ouvir em todas as interfaces (recomendado)
      • A porta 514 é a porta syslog padrão (requer raiz no Linux; use 1514 para não raiz)

  • Configuração do exportador:

    • creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
      • Linux: /opt/observiq-otel-collector/ingestion-auth.json
      • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id: ID de cliente copiado do console do Google SecOps
    • location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador adiciona esse valor ao prefixo chronicle.googleapis.com. Consulte Endpoints regionais para ver a lista completa.
    • project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
    • endpoint: mantenha definido como chronicle.googleapis.com.

Exportador da API de ingestão legada

  • Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/radware_firewall:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: RADWARE_FIREWALL
    raw_log_field: body

Salvar o arquivo de configuração

  • Depois de editar, salve o arquivo:
    • Linux: pressione Ctrl+O, Enter e Ctrl+X.
    • Windows: clique em Arquivo > Salvar.

Reinicie o agente do Bindplane para aplicar as mudanças.

  • Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:

    sudo systemctl restart observiq-otel-collector

    1. Verifique se o serviço está em execução:

      sudo systemctl status observiq-otel-collector

    2. Verifique se há erros nos registros:

      sudo journalctl -u observiq-otel-collector -f

  • Para reiniciar o agente do BindPlane no Windows, escolha uma das seguintes opções:

    • Prompt de comando ou PowerShell como administrador:

      net stop observiq-otel-collector && net start observiq-otel-collector

    • Console de serviços:

      1. Pressione Win+R, digite services.msc e pressione Enter.
      2. Localize o coletor do OpenTelemetry da observIQ.
      3. Clique com o botão direito do mouse e selecione Reiniciar.

      4. Verifique se o serviço está em execução:

        sc query observiq-otel-collector

      5. Verifique se há erros nos registros:

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Configurar o Radware AppWall para encaminhar registros ao Bindplane

É possível configurar o encaminhamento de syslog do AppWall independente, do AppWall integrado no Alteon ou do Vision Reporter.

Opção 1: AppWall independente usando o Vision Reporter

  1. Faça login no console de gerenciamento do AppWall.
  2. Acesse Configuração > Serviços > Suporte de visão > Vision Reporter.
  3. Ative a opção Enviar eventos para o Vision Reporter.
  4. Defina o IP do servidor como o endereço IP do Vision Reporter.
  5. Defina a Porta (por exemplo, 514).
  6. Defina o Protocolo como UDP.
  7. Opcional: ative a opção Enviar respostas para encaminhar os dados de resposta.
  8. Clique em Salvar.

Opção 2: AppWall integrado no Alteon

  1. Faça login no console de gerenciamento do Alteon.
  2. Acesse Configuração > Segurança > Segurança da Web > Vision Reporter.
  3. Ative a integração do Vision Reporter.
  4. Defina o IP do servidor como o endereço IP do Vision Reporter.
  5. Defina a Porta (por exemplo, 514).
  6. Defina o Protocolo como UDP.
  7. Clique em Salvar.

Opção 3: encaminhamento do Vision Reporter para o Bindplane

  1. Faça login no console de gerenciamento do Vision Reporter.
  2. Acesse Configuração > SIEM e registro externo.
  3. Clique em + Adicionar novo destino de SIEM.
  4. Informe os seguintes detalhes de configuração:
    • Nome: insira um nome (por exemplo, Google SecOps Forwarder).
    • Tipo de exportação de registros: selecione Syslog RFC 5424.
    • Servidor Syslog remoto: insira o endereço IP do agente do BindPlane.
    • Porta: insira 514.
    • Protocolo: selecione UDP.
  5. Clique em Salvar.

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
action event.idm.read_only_udm.security_result.action Se action for "drop", defina como "BLOCK".
attack_desc event.idm.read_only_udm.security_result.description Mapeado diretamente.
attack_type event.idm.read_only_udm.security_result.threat_name Mapeado diretamente.
command event.idm.read_only_udm.principal.process.command_line Mapeado diretamente.
description event.idm.read_only_udm.security_result.description Mapeado diretamente se attack_desc estiver vazio.
dst_ip event.idm.read_only_udm.target.ip Mapeado diretamente.
dst_port event.idm.read_only_udm.target.port Mapeado diretamente, convertido em número inteiro. Defina como "MACHINE" se username estiver presente e command não estiver. Copiado do campo collection_time do registro bruto. O padrão é "NETWORK_CONNECTION". Definido como "GENERIC_EVENT" se src_ip ou dst_ip estiverem faltando. Definido como "USER_LOGIN" se username estiver presente e command não estiver. Pode ser substituído por uma lógica baseada em attack_id. Defina como "RADWARE_FIREWALL". Mapeado do campo product. Defina como "Radware".
intermediary_ip event.idm.read_only_udm.intermediary.ip Mapeado diretamente.
obv_ip event.idm.read_only_udm.observer.ip Mapeado diretamente.
product event.idm.read_only_udm.metadata.product_name Mapeado diretamente.
protocol_number_src event.idm.read_only_udm.network.ip_protocol Analisado usando a lógica parse_ip_protocol.include.
rule_id event.idm.read_only_udm.security_result.rule_id Mapeado diretamente. Derivado com base no valor de attack_id. Os valores incluem "ACL_VIOLATION", "NETWORK_DENIAL_OF_SERVICE", "NETWORK_SUSPICIOUS", "NETWORK_RECON".
src_ip event.idm.read_only_udm.principal.ip Mapeado diretamente.
src_port event.idm.read_only_udm.principal.port Mapeado diretamente, convertido em número inteiro.
ts event.idm.read_only_udm.metadata.event_timestamp Analisado e convertido em carimbo de data/hora.
username event.idm.read_only_udm.target.user.userid Mapeado diretamente se command não estiver presente.
username event.idm.read_only_udm.principal.user.userid Mapeado diretamente se command estiver presente.
component event.idm.read_only_udm.metadata.product_name Mapeado do registro de mudanças
device_module event.idm.read_only_udm.metadata.product_name Mapeado do registro de mudanças
SVC event.idm.read_only_udm.network.ip_protocol Mapeado do registro de mudanças
webappname event.idm.read_only_udm.target.application Mapeado do registro de mudanças
tunnel event.idm.read_only_udm.target.resource.name Mapeado do registro de mudanças
proto event.idm.read_only_udm.network.application_protocol Mapeado do registro de mudanças
sport event.idm.read_only_udm.principal.port Mapeado do registro de mudanças
threatcategory event.idm.read_only_udm.security_result.category_details Mapeado do registro de mudanças
sev event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
component event.idm.read_only_udm.intermediary.application Mapeado do registro de mudanças
id event.idm.read_only_udm.observer.asset.asset_id Mapeado do registro de mudanças
attackname event.idm.read_only_udm.security_result.summary Mapeado do registro de mudanças
method event.idm.read_only_udm.network.http.method Mapeado do registro de mudanças
protocol event.idm.read_only_udm.network.application_protocol Mapeado do registro de mudanças
dhost event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de mudanças
referer event.idm.read_only_udm.network.http.referral_url Mapeado do registro de mudanças
apath event.idm.read_only_udm.principal.url Mapeado do registro de mudanças
version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
refinecrc_field event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
refine_field event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Hosts event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
connection event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
access event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Origin event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
sec_fetch event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
fetch_site event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
fetch_dest event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Referer event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
accept_encoding event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
req event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
directory event.idm.read_only_udm.target.file.full_path Mapeado do registro de mudanças
request_header event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
record_name event.idm.read_only_udm.security_result.summary Mapeado do registro de mudanças
record_violation_reason event.idm.read_only_udm.security_result.summary Mapeado do registro de mudanças
record_category event.idm.read_only_udm.security_result.category_details Mapeado do registro de mudanças
record_bot_category event.idm.read_only_udm.security_result.category_details Mapeado do registro de mudanças
record_totalVolume event.idm.read_only_udm.network.sent_bytes Mapeado do registro de mudanças
record_totalPackets event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
record_session_cookie event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
record_headers event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
country_Code event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
record_ID event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
record_tid event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
record_status event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
record_signature_pattern event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
record_site event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de mudanças
record_url event.idm.read_only_udm.target.url Mapeado do registro de alterações
record_ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
record_sourceIP event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
record_ua event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
record_policy_id event.idm.read_only_udm.security_result.rule_id Mapeado do registro de mudanças
record_destinationIP event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de alterações
record.time event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de mudanças
app_protocol_output event.idm.read_only_udm.network.application_protocol Mapeado do registro de mudanças
app_protocol_src event.idm.read_only_udm.network.ip_protocol Mapeado do registro de mudanças
community event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
login_result event.idm.read_only_udm.security_result.category_details Mapeado do registro de mudanças
enrichmentContainer_geoLocation_countryCode event.idm.read_only_udm.principal.location.country_or_region Mapeado do registro de mudanças
contractId event.idm.read_only_udm.target.labels Mapeado do registro de mudanças
applicationId event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
record.enrichmentContainer.owaspCategory2021 event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
module event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
refinecrcvalue event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
host event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de alterações
msg_host event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de mudanças
externalIp event.idm.read_only_udm.observer.ip Mapeado do registro de mudanças
http_version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
tenant event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
role event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
targetModule event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
security event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
title event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
violationCategory event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
violationType event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
webApp event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
cookie event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
lport event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
pragma event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
cache_control event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
accept_charset event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
accept_language event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
accept_header event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
milli event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
devtype event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
act event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
dir event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
attackrisk event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
SVC event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
msg_title event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
min event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
policy event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
protection event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
useraction event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
user event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
severity_code event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
tmodule event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
uriii event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vhosts event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
msg_parameter event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
msg_module event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
msg_error_number event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
device_module event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vhost event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vhost_field event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
request_uri event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
authenticated_role_name event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
authenticated_role_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
user_name event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
user_authentication event.idm.read_only_udm.additional.fields Mapeado do registro de alterações
sourceIp event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
lip_IP event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
extip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de alterações
dip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
sourcePort event.idm.read_only_udm.principal.port Mapeado do registro de mudanças
violationDetails event.idm.read_only_udm.metadata.description Mapeado do registro de mudanças
subj event.idm.read_only_udm.metadata.description Mapeado do registro de mudanças
transId event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
evtid event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
applicationName event.idm.read_only_udm.target.application Mapeado do registro de mudanças
receivedTimeStamp event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de mudanças
apath event.idm.read_only_udm.target.url Mapeado do registro de mudanças
req event.idm.read_only_udm.network.http.method Mapeado do registro de mudanças
engineversion event.idm.read_only_udm.metadata.product_version Mapeado do registro de mudanças
user_agent event.idm.read_only_udm.network.http.user_agent Mapeado do registro de mudanças
et event.idm.read_only_udm.metadata.product_event_type Mapeado do registro de mudanças
hostname event.idm.read_only_udm.principal.hostname e event.idm.read_only_udm.principal.asset.hostname Mapeado do registro de alterações
host_ip event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
sip event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
lip event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
dhost event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de alterações
cmip event.idm.read_only_udm.intermediary.ip Mapeado do registro de mudanças
sourceIp event.idm.read_only_udm.intermediary.ip Mapeado do registro de mudanças
lport event.idm.read_only_udm.target.port Mapeado do registro de mudanças
dport event.idm.read_only_udm.target.port Mapeado do registro de mudanças
msg_description event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
msg_referer event.idm.read_only_udm.network.http.referral_url Mapeado do registro de mudanças
msg_suggestion event.idm.read_only_udm.security_result.summary Mapeado do registro de mudanças
msg_authenticated_as event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
severity event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
user_agent_val event.idm.read_only_udm.network.http.user_agent Mapeado do registro de mudanças
log_level event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
radware_field_1 event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
radware_field_2 event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
radware_field_3 event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
radware_field_4 event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
radware_field_5 event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
uuid event.idm.read_only_udm.target.resource.product_object_id Mapeado do registro de mudanças
Type event.idm.read_only_udm.metadata.product_event_type Mapeado do registro de mudanças
SourceIP event.idm.read_only_udm.principal.ip Mapeado do registro de mudanças
SourcePort event.idm.read_only_udm.principal.port Mapeado do registro de mudanças
Host event.idm.read_only_udm.principal.hostname Mapeado do registro de mudanças
WebUser event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
Role event.idm.read_only_udm.principal.user.role_name Mapeado do registro de mudanças
WebApp, event.idm.read_only_udm.target.application Mapeado do registro de mudanças
URI event.idm.read_only_udm.target.file.full_path Mapeado do registro de mudanças
TransID event.idm.read_only_udm.network.session_id Mapeado do registro de mudanças
http_method event.idm.read_only_udm.network.http.method Mapeado do registro de mudanças
ref_url event.idm.read_only_udm.network.http.referral_url Mapeado do registro de mudanças
AppPath, event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Object, event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ParamName, event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ParamType event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
syslog_ip event.idm.read_only_udm.intermediary.ip Mapeado do registro de mudanças
ServerName, event.idm.read_only_udm.intermediary.hostname Mapeado do registro de mudanças
Description event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
Title event.idm.read_only_udm.security_result.summary Mapeado do registro de mudanças
Attackname event.idm.read_only_udm.security_result.rule_name Mapeado do registro de mudanças
RuleID event.idm.read_only_udm.security_result.rule_id Mapeado do registro de mudanças
Threatcategory event.idm.read_only_udm.security_result.category_details Mapeado do registro de mudanças
Priority event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
IsPassive event.idm.read_only_udm.security_result.action Mapeado do registro de alterações
x_forwarded_for_ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
apikey event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
canary event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
client-version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
content-type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
client-request-id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
X-RDWR-APP-ID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
X-RDWR-IP event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
X-RDWR-PORT event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
X-RDWR-PORT-MM event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
X-RDWR-PORT-MM-ORIG-FE-PORT event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
hpgrequestid event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
accept-language event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
purpose event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
upload-time event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
site event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
headers event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
client-request-id event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
client-id event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
category event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
policy_id event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
signature_pattern event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
status event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
violation_reason event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de alterações
user-agent event.idm.read_only_udm.network.http.user_agent e event.idm.read_only_udm.network.http.parsed_user_agent Mapeado do registro de alterações
User-Agent event.idm.read_only_udm.network.http.user_agent e event.idm.read_only_udm.network.http.parsed_user_agent Mapeado do registro de mudanças
ID event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
destinationIP event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de alterações
sourceIP event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
country_code event.idm.read_only_udm.principal.location.country_or_region Mapeado do registro de mudanças
application_name event.idm.read_only_udm.principal.application Mapeado do registro de alterações
ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
session_cookie event.idm.read_only_udm.network.session_id Mapeado do registro de mudanças
tid event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
url event.idm.read_only_udm.network.http.referral_url Mapeado do registro de alterações
ua event.idm.read_only_udm.network.http.user_agent e event.idm.read_only_udm.network.http.parsed_user_agent Mapeado do registro de mudanças
sec_action event.idm.read_only_udm.security_result.action Mapeado do registro de mudanças
bot_category event.idm.read_only_udm.security_result.category_details Mapeado do registro de mudanças
externalIp event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de alterações
Referer event.idm.read_only_udm.network.http.referral_url Mapeado do registro de mudanças
referrer event.idm.read_only_udm.network.http.referral_url Mapeado do registro de mudanças
date event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de mudanças
hostname event.idm.read_only_udm.principal.hostname Mapeado do registro de mudanças
hostname event.idm.read_only_udm.principal.asset.hostname Mapeado do registro de mudanças
hostip event.idm.read_only_udm.principal.ip Mapeado do registro de mudanças
hostip event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
host event.idm.read_only_udm.target.hostname Mapeado do registro de mudanças
host event.idm.read_only_udm.target.asset.hostname Mapeado do registro de mudanças
time event.idm.read_only_udm.network.session_duration.seconds Mapeado do registro de mudanças
et event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
total_bytes event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
blocked_bytes event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
passive_bytes event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
clean_bytes event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
tunnel_name event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
tunnel_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
message_severity event.idm.read_only_udm.security_result.severity_details Mapeado do registro de mudanças
sent_bytes event.idm.read_only_udm.network.sent_bytes Mapeado do registro de mudanças
rule_id event.idm.read_only_udm.metadata.description Mapeado do registro de mudanças
product event.idm.read_only_udm.metadata.product_event_type Mapeado do registro de mudanças
action event.idm.read_only_udm.metadata.action_details Mapeado do registro de mudanças
action subevent.idm.read_only_udm.sec_result.action Mapeado do registro de mudanças
application_id subevent.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
accept_language subevent.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
cookie subevent.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
request subevent.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
received_timestamp subevent.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
tenant_name subevent.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
x-forwarded-for subevent.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
application_name subevent.idm.read_only_udm.principal.application Mapeado do registro de mudanças
country_code subevent.idm.read_only_udm.principal.location.country_or_region Mapeado do registro de mudanças
destination_port subevent.idm.read_only_udm.target.port Mapeado do registro de mudanças
directory subevent.idm.read_only_udm.principal.process.file.full_path Mapeado do registro de mudanças
http_bytes_in subevent.idm.read_only_udm.network.sent_bytes Mapeado do registro de mudanças
http_bytes_out subevent.idm.read_only_udm.network.received_bytes Mapeado do registro de mudanças
http_method subevent.idm.read_only_udm.network.http.method Mapeado do registro de mudanças
protocol subevent.idm.read_only_udm.network.application_protocol Mapeado do registro de mudanças
response_code subevent.idm.read_only_udm.network.http.response_code Mapeado do registro de mudanças
source_port subevent.idm.read_only_udm.principal.port Mapeado do registro de mudanças
user_agent subevent.idm.read_only_udm.network.http.user_agent Mapeado do registro de mudanças
applicationName principal.application Mapeado do registro de mudanças
action security_result.action_details Mapeado do registro de mudanças
appPath principal.file.full_path Mapeado do registro de mudanças
destinationIp target.ip Mapeado do registro de mudanças
destinationPort target.port Mapeado do registro de mudanças
directory principal.process.file.full_path Mapeado do registro de mudanças
enrichmentContainer.geoLocation.countryCode principal.location.country_or_region Mapeado do registro de mudanças
enrichmentContainer.contractId additional.fields Mapeado do registro de mudanças
applicationId additional.fields Mapeado do registro de mudanças
tenant additional.fields Mapeado do registro de mudanças
owaspCategory2021 additional.fields Mapeado do registro de mudanças
externalIp intermediary.ip Mapeado do registro de mudanças
host principal.hostname Mapeado do registro de mudanças
method network.http.method Mapeado do registro de mudanças
passive additional.fields Mapeado do registro de mudanças
protocol network.application_protocol Mapeado do registro de mudanças
request additional.fields Mapeado do registro de mudanças
role principal.user.role_name Mapeado do registro de mudanças
security additional.fields Mapeado do registro de mudanças
sourceIp `` Mapeado do registro de alterações
sourcePort principal.port Mapeado do registro de mudanças
targetModule additional.fields Mapeado do registro de mudanças
title metadata.description Mapeado do registro de mudanças
transId additional.fields Mapeado do registro de mudanças
URI target.file.full_path Mapeado do registro de mudanças
user principal.user.role_description Mapeado do registro de mudanças
vhost security_result.detection_fields Mapeado do registro de mudanças
violationCategory additional.fields Mapeado do registro de mudanças
violationDetails security_result.summary Mapeado do registro de mudanças
violationType security_result.description Mapeado do registro de mudanças
webApp additional.fields Mapeado do registro de mudanças
severity security_result.severity Mapeado do registro de mudanças
paramName additional.fields Mapeado do registro de mudanças
paramValue additional.fields Mapeado do registro de mudanças
paramType additional.fields Mapeado do registro de mudanças
receivedTimeStamp metadata.event_timestamp Mapeado do registro de mudanças

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.