Mengumpulkan log Symantec Endpoint Protection

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Symantec Endpoint Protection (SEP) ke Google Security Operations menggunakan agen Bindplane.

Symantec Endpoint Protection adalah solusi keamanan endpoint yang menghasilkan pesan syslog untuk deteksi malware, peristiwa pencegahan intrusi, aktivitas firewall, peristiwa kontrol aplikasi dan perangkat, serta log audit. Parser mengekstrak kolom dari beberapa format log (syslog, CEF, Log Peristiwa Windows) menggunakan pola grok dan memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Symantec Endpoint Protection Manager (SEPM)
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses administratif ke UI web Symantec Endpoint Protection Manager

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Buat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Nama akun layanan: Masukkan nama untuk akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk mengetahui opsi penginstalan dan pemecahan masalah tambahan, lihat Panduan penginstalan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Cari file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/sep:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: SEP
      raw_log_field: body
  
  service:
    pipelines:
      logs/sep_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/sep
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port untuk diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/sep:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: SEP
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi syslog di Symantec Endpoint Protection

1. Login ke UI web Symantec Endpoint Protection Manager.
2. Klik ikon Admin.
3. Temukan bagian View Servers, lalu klik Servers.
4. Klik Local Site > Configure External Logging.
5. Centang kotak Aktifkan Transmisi Log ke Server Syslog.
6. Berikan detail konfigurasi berikut:
   • Server Syslog: Masukkan alamat IP Bindplane.
   • UDP Destination Port: Masukkan nomor port Bindplane (misalnya, 514 untuk UDP).
   • Log Facility: Masukkan Local6.
   • Centang kotak Log Audit.
   • Centang kotak Log Keamanan.
   • Centang kotak Risks.
7. Klik Oke.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Keterangan
_DB_HOST	target.hostname
a_record	network.dns.questions.type
AccessCheckResults	security_result.detection_fields
Accesses	security_result.detection_fields
AccessList	security_result.detection_fields
AccessMask	security_result.detection_fields
AccessReason	security_result.description
AccountName	target.user.user_display_name
AccountType	principal.user.attribute.roles
ACTION	security_result.detection_fields
ACTION_TYPE	security_result.action_details
ActiveProfile	target.resource.name
ActivityID	additional.fields
AdditionalInfo2	security_result.detection_fields
ADMIN_NAME	principal.user.userid
AGENT_SECURITY_LOG_IDX	metadata.product_log_id
AgentVer	additional.fields
Alert	security_result.detection_fields
ALERT_IDX	security_result.rule_id
ALERTDATETIME	security_result.first_discovered_time
ALERTENDDATETIME	security_result.last_discovered_time
ALERTINSERTTIME	security_result.detection_fields
AlgorithmName	security_result.detection_fields
Allowedapplicationreason	security_result.detection_fields
APP_NAME	target.application
app_name	principal.application
AppPoolID	target.application
AuthenticationPackageName	additional.fields
AuthenticationSetId	security_result.detection_fields
AuthenticationSetName	target.resource.name
BitlockerUserInputTime	additional.fields
BootMenuPolicy	additional.fields
BootType	additional.fields
BU	additional.fields
BugcheckString	additional.fields
CALLER_PROCESS_ID	principal.process.pid
CALLER_PROCESS_NAME	principal.process.file.full_path
callerReturnAddress	additional.fields
callerReturnModuleName	additional.fields
Caption	target.application
Category	security_result.category_details
Channel	security_result.about.resource.attribute.labels
CIDS_SIGN_SUB_ID	additional.fields
CLIENT_USER2	principal.user.userid
Comment	metadata.description
Component	security_result.detection_fields
connection.ether_type	security_result.about.labels
ConnectionSecurityRuleName	target.resource.name
ConnectionSecurityRuleId	security_result.detection_fields
CryptographicSetId	security_result.detection_fields
CryptographicSetName	target.resource.name
CSPEID	additional.fields
DCName	intermediary.hostname
Desc	metadata.description
DesiredAccess	security_result.detection_fields
device.last_app_connection	target.asset.last_discover_time
device.wss_feature	target.asset.attribute.labels
DeviceName	target.resource.name
DeviceNameLength	additional.fields
DeviceTime	additional.fields
DeviceVersionMajor	additional.fields
DeviceVersionMinor	additional.fields
disposition	security_result.detection_fields
dns_direction	security_result.detection_fields
domain	target.administrative_domain
Domain	principal.administrative_domain
DOMAIN_ID	target.resource.product_object_id
EDate	additional.fields
EDateUTC	metadata.event_timestamp
elevated_token	additional.fields
EntryCount	additional.fields
Error	security_result.description
error	security_result.detection_fields
ErrorCode	security_result.description
ErrorDescription	security_result.description
Event	metadata.description
EVENT_DATA	additional.fields
event_type	metadata.product_event_type
EventData.Binary	additional.fields
eventDesc	metadata.description
eventInsertTime	metadata.collected_timestamp
EventReceivedTime	metadata.collected_timestamp
EventTime	metadata.event_timestamp
EventType	metadata.product_event_type
ExceptionCode	security_result.detection_fields
executionPolicy	security_result.rule_name
ExecutionProcessID	principal.process.pid
ExecutionThreadID	principal.process.product_specific_process_id
ExtensionId	security_result.detection_fields
ExtensionName	target.resource.name
ExtraInfoLength	additional.fields
ExtraInfoString	additional.fields
FailureId	security_result.detection_fields
faulting_application_name	principal.process.file.names
faulting_application_path	principal.process.file.full_path
FaultingModuleName	additional.fields
FaultingModulePath	additional.fields
FaultOffset	additional.fields
FILE_SIZE	about.file.size
FilterID	security_result.detection_fields
FinalStatus	security_result.description
GPODisplayName	target.resource.name
GPOFileSystemPath	target.file.full_path
Group	principal.resource.attribute.labels
HACK_TYPE	security_result.category_details
HandleId	target.resource.attribute.labels
HID_LEVEL	additional.fields
HN	additional.fields
host	principal.hostname
Hostname	principal.hostname
id	metadata.product_log_id
IdleImplementation	additional.fields
IdleStateCount	additional.fields
ImpersonationLevel	additional.fields
IntensiveProtectionLevel	security_result.detection_fields
Interface	security_result.detection_fields
intermediary_host	intermediary.ipintermediary.hostname	Dipetakan ke intermediary.ip jika nilainya adalah alamat IP. Dipetakan ke intermediary.hostname jika nilainya adalah nama host.
INTRUSION_PAYLOAD_URL	target.url
INTRUSION_URL	target.url
IP	principal.ip
IP_ADDR	src.ip
IpAddress	principal.ip
IpPort	principal.port
KERNEL	principal.platform_patch_level
KeyFilePath	target.file.full_path
KeyLength	additional.fields
KeyName	security_result.detection_fields
KeyType	security_result.detection_fields
lastUpdateTime	target.resource.attribute.last_update_time
LmPackageName	security_result.detection_fields
LoadOptions	additional.fields
LogonGuid	network.session_id
LogonProcessName	target.application
LogonType	extensions.auth.auth_details
MandatoryLabel	target.resource.attribute.labels
MasterKeyId	security_result.detection_fields
MaximumPerformancePercent	additional.fields
Message	metadata.description
MinimumPerformancePercent	additional.fields
MinimumThrottlePercent	additional.fields
Minutes	target.resource.attribute.labels
NewFile	target.file.full_path
NewGrp	target.group.group_display_name
NewModDt	target.file.last_modification_time
NewOwn	additional.fields
NewPerms	additional.fields
NewProcessId	target.process.pid
NewProcessName	target.process.file.full_path
NewSecurityDescriptor	security_result.description
NewSize	additional.fields
NominalFrequency	principal.resource.attribute.labels
Number	principal.resource.attribute.labels
NumberOfGroupPolicyObjects	additional.fields
ObjectName	target.resource.name
ObjectServer	target.resource.attribute.labels
ObjectType	target.resource.resource_type
ObjId	target.resource.attribute.labels
OldFile	src.file.full_path
OldGrp	src.group.group_display_name
OldModDt	src.file.last_modification_time
OldOwn	additional.fields
OldPerms	additional.fields
OldSize	additional.fields
omittedFiles	security_result.detection_fields
Opcode	additional.fields
OpcodeValue	metadata.product_event_type
Operation	security_result.description
Operation	additional.fields
OperationType	security_result.category_details
OriginalSecurityDescriptor	additional.fields
OS	principal.platform
OSVER	principal.platform_version
param2	security_result.detection_fields
param3	security_result.detection_fields
param4	security_result.detection_fields
PARAM_DEVICE_ID	principal.hostname
PARAMETER	target.file.full_path
parameters	additional.fields
PARENT_SERVER_TYPE	additional.fields
PerformanceImplementation	additional.fields
POLNm	additional.fields
prevalence	security_result.detection_fields
Priority	security_result.detection_fields
PrivilegeList	target.resource.attribute.permissions.name
PrivilegesUsedForAccessCheck	security_result.detection_fields
ProblemID	additional.fields
ProcessId	principal.process.pid
ProcessID	target.process.pid
ProcessingMode	additional.fields
ProcessingTimeInMilliseconds	additional.fields
ProcessName	principal.process.file.full_path
ProcName	principal.process.file.names
ProcPath	principal.process.file.full_path
product_event_type	metadata.product_event_type
PROFILE_SERIAL_NO	additional.fields
protected	security_result.detection_fields
ProviderGuid	metadata.product_deployment_id
ProviderName	security_result.detection_fields
PuaCount	additional.fields
PuaPolicyId	additional.fields
PUB_KEY	additional.fields
Reason	additional.fields
ReasonCode	additional.fields
RecordNumber	metadata.product_log_id
RecoveryReason	security_result.description
RecType	metadata.product_event_type
RelativeTargetName	target.user.user_display_name
report_id	metadata.product_log_id
request	additional.fields
restricted_admin_mode	additional.fields
restricted_sid_count	additional.fields
risks	security_result.detection_fields
Rule	security_result.rule_name
RuleName	security_result.rule_name
RuleType	additional.fields
scan_duration	security_result.detection_fields
scan_state	security_result.detection_fields
scan_type	security_result.detection_fields
scanned_number	security_result.detection_fields
ScriptType	additional.fields
SecurityPackageName	about.file.full_path
SEQ_ID	additional.fields
Service	target.application
SeverityValue	security_result.severity_details
sha256	principal.process.file.sha256
ShareLocalPath	target.file.full_path
ShareName	target.resource.name
SITE_IDX	additional.fields
skipped_files	security_result.detection_fields
SourceModuleName	additional.fields
SourceModuleType	additional.fields
SourceName	principal.application
spn1	target.resource.attribute.labels
spn2	target.resource.attribute.labels
standard_schemes	security_result.detection_fields
State	additional.fields
Status	target.resource.attribute.labels
StopTime	additional.fields
SubjectDomainName	principal.administrative_domain
SubjectLogonId	principal.user.userid
SubjectUserName	principal.user.userid
SubjectUserSid	principal.user.windows_sid
SupportInfo1	additional.fields
SupportInfo2	additional.fields
syslogServer	intermediary.ipintermediary.hostname	Nilai (alamat IP atau nama host) berasal dari header log, dan dikaitkan dengan perantara.
TargetDomainName	target.administrative_domain
TargetLogonId	target.user.userid
TargetUserName	target.user.userid
TargetUserSid	target.user.windows_sid
TaskContentNew	additional.fields
TaskName	target.resource.name
TaskValue	metadata.description
THREATS	security_result.detection_fields
threats	security_result.detection_fields
TimeDifferenceMilliseconds	additional.fields
TimeSampleSeconds	additional.fields
timestamp	metadata.event_timestamp
TokenElevationType	target.resource.attribute.labels
transaction_id	metadata.product_log_id
TransitedServices	security_result.detection_fields
TSId	network.session_id
type	security_result.threat_name
UMDFDeviceInstallBegin.version	target.resource.attribute.labels
UMDFReflectorDependencyMissing.Dependency	additional.fields
updateGuid	target.process.product_specific_process_id
updateRevisionNumber	target.resource.attribute.labels
updateTitle	target.resource.name
UpdateType	additional.fields
Url	target.url
urlTrackingStatus	security_result.detection_fields
User	principal.user.userid
UserID	target.user.userid
UserSid	target.user.windows_sid
VAPI_NAME	security_result.summary
VAST	additional.fields
Version	metadata.product_version
virtual_account	additional.fields
VSAD	additional.fields
WorkstationName	additional.fields
T/A	metadata.log_type	Jenis log di-hardcode ke SEP.
T/A	metadata.product_name	Nama produk di-hardcode menjadi SEP.
T/A	metadata.vendor_name	Nama vendor di-hardcode ke Symantec.
COMMAND_ID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ATP_DEVICE_ID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
DEVICE_INFO	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
pattern_idx	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
vrType	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
translation	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
locale	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
group_type	event.idm.read_only_udm.target.group.attribute.labels	Dipetakan dari log perubahan
group_name	event.idm.read_only_udm.target.group.group_display_name	Dipetakan dari log perubahan
deleted	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
discovered	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
virusname_idx	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
stealth	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
vID	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
removal	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
performance	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
privacy	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
dependency	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
detection_type	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
dynacat	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
catDes	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
virusname	event.idm.read_only_udm.security_result.threat_name	Dipetakan dari log perubahan
RemotePort	event.idm.read_only_udm.target.port	Dipetakan dari log perubahan
custom_politica_infringida	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
custom_incidente	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
connection.ether_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
feature_name	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
computer	intermediary.hostname	Dipetakan dari log perubahan
anvpap-srv1	intermediary.hostname	Dipetakan dari log perubahan
SymantecServer	principal.hostname	Dipetakan dari log perubahan
Remote Host Name	target.hostname	Dipetakan dari log perubahan
Remote Port	target.port	Dipetakan dari log perubahan
Remote Host IP	target.ip	Dipetakan dari log perubahan
Local Port	principal.port	Dipetakan dari log perubahan
Remote Host MAC	principal.mac	Dipetakan dari log perubahan
ICMP	network.ip_protocol	Dipetakan dari log perubahan
Inbound	network.direction	Dipetakan dari log perubahan
Application	principal.process.file.full_path	Dipetakan dari log perubahan
Action	security_result.action	Dipetakan dari log perubahan
SHA-256	principal.process.file.sha256	Dipetakan dari log perubahan
Size	principal.process.file.size	Dipetakan dari log perubahan
SITE_NAME" and "SOURCE	additional.fields	Dipetakan dari log perubahan
SOURCE	security_result.description	Dipetakan dari log perubahan
SCAN_ID", "CATEGORY_DESC", "CLIENT_TYPE", "DETECTION_TYPE", "HELP_VIRUS_IDX", "HPP_APP_TYPE", "IDX", "LAST_LOG_SESSION_GUID", "SITE_TYPE", "UUID", "VBIN_ID", and "VIRUS_TYPE	additional.fields	Dipetakan dari log perubahan
USER_DOMAIN_NAME	target.administrative_domain	Dipetakan dari log perubahan
COMPUTER_DOMAIN_NAME	principal.administrative_domain	Dipetakan dari log perubahan
IP_ADDR1	src.ip	Dipetakan dari log perubahan
SOURCE_COMPUTER_NAME	src.asset.hostname	Dipetakan dari log perubahan
COMPUTER_NAME	principal.asset.hostname	Dipetakan dari log perubahan
OPERATION_SYSTEM	principal.asset.platform_software.platform	Dipetakan dari log perubahan
SERVICE_PACK	principal.asset.platform_software.platform_version	Dipetakan dari log perubahan
SOURCE_COMPUTER_IP	principal.ip	Dipetakan dari log perubahan
USER_NAME	principal.user.userid	Dipetakan dari log perubahan
BIOS_SERIALNUMBER	principal.asset.hardware.serial_number	Dipetakan dari log perubahan
ACTUALACTION	security_result.action_details	Dipetakan dari log perubahan
VIRUSNAME	security_result.threat_name	Dipetakan dari log perubahan
NOOFVIRUSES	security_result.verdict_info.malicious_count	Dipetakan dari log perubahan
SOURCE", "DESCRIPTION", "REQUESTEDACTION	security_result.detection_fields	Dipetakan dari log perubahan
CLIENT_GROUP	principal.group.group_display_name	Dipetakan dari log perubahan
downloader	principal.process.file.full_path	Dipetakan dari log perubahan
REQUESTEDACTION	security_result.action_details	Dipetakan dari log perubahan
SECONDARYACTION", "ACTUALACTION", "VIRUSNAME", and "NOOFVIRUSES	security_result.detection_fields	Dipetakan dari log perubahan
SOURCE	additional.fields	Dipetakan dari log perubahan
HPP_APP_HASH	target.file.sha256	Dipetakan dari log perubahan
HPP_APP_NAME	target.file.names	Dipetakan dari log perubahan
FILEPATH	target.file.full_path	Dipetakan dari log perubahan
CLIENT_GROUP	target.user.group_identifiers	Dipetakan dari log perubahan
target_file_name" from "target.file.full_path	target.file.names	Dipetakan dari log perubahan
security_result.action	BLOCK	Dipetakan dari log perubahan
type", "utility-sub-type", "lang", "service-sandbox-type", "mojo-platform-channel-handle", "field-trial-handle", "disable-features	security_result.detection_fields	Dipetakan dari log perubahan
target_arguments	read_only_udm.additional.fields	Dipetakan dari log perubahan
user-data-dir	sec_result.about.file.full_path	Dipetakan dari log perubahan
security-realm	security_result.summary	Dipetakan dari log perubahan
startup-url	principal.url	Dipetakan dari log perubahan
source_ip	target.ip	Dipetakan dari log perubahan
action_word	security_result.action_details	Dipetakan dari log perubahan
payload.domain_name	principal.administrative_domain	Dipetakan dari log perubahan
Applicationtype	principal.resource.attribute.labels	Dipetakan dari log perubahan
mail	target.user.email_addresses	Dipetakan dari log perubahan
server_name_1	principal.hostname	Dipetakan dari log perubahan
computer	principal.hostname	Dipetakan dari log perubahan
event_description	metadata.description	Dipetakan dari log perubahan
EventDescription	metadata.description	Dipetakan dari log perubahan
LocalHostIP","IPAddress","source_ip	principal.ip	Dipetakan dari log perubahan
LocalHostMAC	principal.mac	Dipetakan dari log perubahan
guid	principal.asset.asset_id	Dipetakan dari log perubahan
DeviceID	principal.resource.product_object_id	Dipetakan dari log perubahan
Filesize	target.file.size	Dipetakan dari log perubahan
SHA256	target.file.sha256	Dipetakan dari log perubahan
User1	principal.user.userid	Dipetakan dari log perubahan
file_path	target.file.full_path	Dipetakan dari log perubahan
GroupName	principal.group.group_display_name	Dipetakan dari log perubahan
Begin	vulnerabilities.scan_start_time	Dipetakan dari log perubahan
EndTime	vulnerabilities.scan_end_time	Dipetakan dari log perubahan
ScanID	principal.process.product_specific_process_id	Dipetakan dari log perubahan
inter_host	intermediary.hostname	Dipetakan dari log perubahan
inter_ip	intermediary.ip	Dipetakan dari log perubahan
ActionType	additional.fields	Dipetakan dari log perubahan
CIDS Signature ID	target.resource.attribute.labels	Dipetakan dari log perubahan
CIDS Signature SubID	target.resource.attribute.labels	Dipetakan dari log perubahan
CIDS Signature string	target.resource.attribute.labels	Dipetakan dari log perubahan
Intrusion URL	principal.url	Dipetakan dari log perubahan
User Name	principal.user.userid	Dipetakan dari log perubahan
Actual action	security_result.action_details	Dipetakan dari log perubahan
Application hash	target.file.sha256	Dipetakan dari log perubahan
Application name	target.application	Dipetakan dari log perubahan
Application type	target.resource.attribute.labels	Dipetakan dari log perubahan
Certificate issuer	network.tls.server.certificate.issuer	Dipetakan dari log perubahan
Certificate serial number	network.tls.server.certificate.serial	Dipetakan dari log perubahan
Certificate signer	network.tls.server.certificate.subject	Dipetakan dari log perubahan
Certificate thumbprint	network.tls.server.certificate.sha256	Dipetakan dari log perubahan
Secondary action	target.resource.attribute.labels	Dipetakan dari log perubahan
First Seen	security_result.detection_fields	Dipetakan dari log perubahan
Risk Name	security_result.detection_fields	Dipetakan dari log perubahan
Risk Type	security_result.detection_fields	Dipetakan dari log perubahan
Permitted application reason	security_result.detection_fields	Dipetakan dari log perubahan
Company name	target.user.company_name	Dipetakan dari log perubahan
Computer name	principal.hostname	Dipetakan dari log perubahan
Server Name	principal.asset.network_domain	Dipetakan dari log perubahan
Confidence	security_result.description	Dipetakan dari log perubahan
Detection Type	security_result.summary	Dipetakan dari log perubahan
Group Name	principal.group.group_display_name	Dipetakan dari log perubahan
Risk Level	security_result.severity_details	Dipetakan dari log perubahan
File size (bytes)	target.file.size	Dipetakan dari log perubahan
eventDescription	metadata.description	Dipetakan dari log perubahan
hostName	principal.hostname	Dipetakan dari log perubahan
machineDomainName	principal.administrative_domain	Dipetakan dari log perubahan
domainName	target.administrative_domain	Dipetakan dari log perubahan
serverName	intermediary.hostname	Dipetakan dari log perubahan
userName	principal.user.userid	Dipetakan dari log perubahan
siteName	read_only_udm.additional.fields	Dipetakan dari log perubahan
hostName	target.hostname	Dipetakan dari log perubahan
machineDomainName	target.administrative_domain	Dipetakan dari log perubahan
domainName	principal.administrative_domain	Dipetakan dari log perubahan
serverName	principal.hostname	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.