איסוף יומנים של Tanium Stream

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של Tanium Stream ב-Google Security Operations באמצעות פונקציית הייצוא המקורית של Tanium Connect ל-AWS S3. ‫Tanium Stream מספק טלמטריה של נקודות קצה בזמן אמת, נתונים של איתור איומים וניתוח התנהגותי בפורמט JSON, שאפשר לייצא ישירות ל-S3 באמצעות Tanium Connect בלי שיהיה צורך בפונקציות Lambda בהתאמה אישית. הכלי לניתוח נתונים משנה יומני JSON גולמיים מ-Tanium Stream למודל נתונים מאוחד (UDM). הכלי מבצע קודם נרמול של שדות נפוצים, ואז מחיל לוגיקה ספציפית על סמך logType או eventType כדי למפות מידע רלוונטי לשדות המתאימים ב-UDM. הכלי מטפל בסוגים שונים של אירועים, כמו חיבורים לרשת, התחברויות של משתמשים, הפעלות של תהליכים ושינויים בקבצים.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

  • מופע של Google SecOps
  • ‫Tanium Core Platform גרסה 7.0 ואילך
  • מודול Tanium Stream מותקן ומוגדר
  • מודול Tanium Connect מותקן עם רישיון תקף
  • ‫Tanium Threat Response 3.4.346 ואילך (אם משתמשים בשילוב TR)
  • גישה עם הרשאות אדמין ל-Tanium Console
  • גישת אדמין ל-AWS‏ (S3, ‏ IAM)

הגדרת חשבון השירות של Tanium Stream

  1. נכנסים ל-Tanium Console.
  2. עוברים אל Modules > Stream.
  3. לוחצים על הגדרות בפינה השמאלית העליונה.
  4. בקטע Service Account (חשבון שירות), מגדירים את האפשרויות הבאות:
    • משתמש בחשבון שירות: בוחרים משתמש עם הרשאות מתאימות ל-Stream.
    • מוודאים שלחשבון יש הרשאה לתפקיד Connect User.
    • מאשרים את הגישה למקורות נתונים ולנקודות קצה של Stream.
  5. לוחצים על Save כדי להחיל את ההגדרה של חשבון השירות.

איסוף הדרישות המוקדמות של Tanium Stream

  1. נכנסים לTanium Console כאדמינים.
  2. עוברים אל Administration > Permissions > Users.
  3. יוצרים או מאתרים משתמש בחשבון שירות עם התפקידים הבאים:
    • תפקיד אדמין של השידור או משתמש עם הרשאת קריאה בלבד בשידור.
    • הרשאת התפקיד Connect User.
    • גישה לקבוצות מחשבים שנמצאות במעקב (מומלץ: הקבוצה All Computers).
    • הרשאה לקרוא שאלות שמורות עבור ערכות תוכן של Stream.

הגדרה של קטגוריית AWS S3 ו-IAM ל-Google SecOps

  1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש: יצירת קטגוריה
  2. שומרים את השם והאזור של הקטגוריה לעיון בהמשך (לדוגמה, tanium-stream-logs).
  3. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.
  4. בוחרים את המשתמש שנוצר.
  5. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
  6. בקטע Access Keys, לוחצים על Create Access Key.
  7. בוחרים באפשרות שירות של צד שלישי בתור תרחיש השימוש.
  8. לוחצים על הבא.
  9. אופציונלי: מוסיפים תג תיאור.
  10. לוחצים על Create access key (יצירת מפתח גישה).
  11. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לשימוש מאוחר יותר.
  12. לוחצים על סיום.
  13. לוחצים על הכרטיסייה הרשאות.
  14. בקטע Permissions policies, לוחצים על Add permissions.
  15. לוחצים על הוספת הרשאות.
  16. בוחרים באפשרות צירוף מדיניות ישירות.
  17. מחפשים את המדיניות AmazonS3FullAccess ובוחרים בה.
  18. לוחצים על הבא.
  19. לוחצים על הוספת הרשאות.

הגדרת יעד Tanium Connect AWS S3

  1. נכנסים ל-Tanium Console.
  2. עוברים אל Modules > Connect (מודולים > חיבור).
  3. לוחצים על יצירת חיבור.
  4. מספקים את פרטי ההגדרה הבאים:
    • שם: מזינים שם תיאורי (לדוגמה, Stream Telemetry to S3 for SecOps).
    • תיאור: תיאור אופציונלי (לדוגמה, Export endpoint telemetry and threat hunting data to AWS S3 for Google SecOps ingestion).
    • הפעלה: בוחרים באפשרות הזו כדי להפעיל את החיבור כך שיפעל לפי לוח הזמנים.
  5. לוחצים על הבא.

הגדרת מקור החיבור

  1. בקטע מקור, מציינים את פרטי ההגדרה הבאים:
    • סוג המקור: בוחרים באפשרות שאלה שמורה.
    • שאלה שמורה: בוחרים אחת מהשאלות השמורות הבאות שקשורות לשידור:
      • Stream - Endpoint Events לטלמטריה של נקודות קצה בזמן אמת.
      • Stream - Network Events לניטור פעילות ברשת.
      • ‫Stream - Process Events למעקב אחר ביצוע תהליכים.
      • Stream - File Events (סטרימינג – אירועים של קבצים) לפעילות במערכת הקבצים.
      • ‫Stream - Threat Hunting Data לניתוח התנהגותי.
    • קבוצת מחשבים: בוחרים באפשרות כל המחשבים או בקבוצות מחשבים ספציפיות למעקב.
    • מרווח רענון: מגדירים מרווח מתאים לאיסוף הנתונים (לדוגמה, 5 דקות לטלמטריה בזמן אמת).
  2. לוחצים על הבא.

הגדרת יעד ב-AWS S3

  1. בקטע יעד, מספקים את פרטי ההגדרה הבאים:
    • Destination Type: בוחרים באפשרות AWS S3.
    • שם היעד: מזינים שם ייחודי (לדוגמה, Google SecOps Stream S3 Destination).
    • מפתח גישה ל-AWS: מזינים את מפתח הגישה ל-AWS מקובץ ה-CSV שהורדתם בשלב ההגדרה של AWS S3.
    • מפתח גישה סודי של AWS: מזינים את מפתח הגישה הסודי של AWS מקובץ ה-CSV שהורדתם בשלב ההגדרה של AWS S3.
    • שם הקטגוריה: מזינים את שם הקטגוריה ב-S3 (לדוגמה, tanium-stream-logs).
    • ‫Region (אזור): בוחרים את אזור AWS שבו נמצאת קטגוריית ה-S3.
    • Key Prefix (קידומת מפתח): מזינים קידומת לאובייקטים ב-S3 (לדוגמה, tanium/stream/).
  2. לוחצים על הבא.

הגדרת מסננים

  1. בקטע Filters, מגדירים את האפשרויות לסינון נתונים:
    • שליחת פריטים חדשים בלבד: בוחרים באפשרות הזו כדי לשלוח רק נתוני טלמטריה חדשים מאז הייצוא האחרון.
    • מסנני עמודות: אם צריך, מוסיפים מסננים על סמך מאפייני אירוע ספציפיים (לדוגמה, סינון לפי סוג אירוע, שם תהליך או אינדיקטורים של איומים).
  2. לוחצים על הבא.

פורמט נתונים ל-AWS S3

  1. בקטע Format (פורמט), מגדירים את פורמט הנתונים:
    • פורמט: בוחרים באפשרות JSON.
    • אפשרויות:
      • כולל כותרות: מבטלים את הסימון כדי שהכותרות לא ייכללו בפלט JSON.
      • כולל תאים ריקים: בוחרים לפי ההעדפה.
    • אפשרויות מתקדמות:
      • שמות קבצים: שימוש בשמות שמוגדרים כברירת מחדל על סמך חותמת זמן.
      • דחיסה: בוחרים באפשרות Gzip כדי לצמצם את עלויות האחסון ואת זמן ההעברה.
  2. לוחצים על הבא.

תזמון החיבור

  1. בקטע Schedule (לוח זמנים), מגדירים את לוח הזמנים לייצוא:
    • הפעלת תזמון: בוחרים באפשרות הזו כדי להפעיל ייצוא אוטומטי מתוזמן.
    • סוג התזמון: בוחרים באפשרות חוזר.
    • תדירות: בוחרים באפשרות כל 5 דקות כדי לקבל נתוני טלמטריה כמעט בזמן אמת.
    • שעת התחלה: מגדירים שעת התחלה מתאימה לייצוא הראשון.
  2. לוחצים על הבא.

שמירה ואימות של החיבור

  1. בודקים את הגדרות הקישור במסך הסיכום.
  2. לוחצים על שמירה כדי ליצור את הקישור.
  3. לוחצים על בדיקת החיבור כדי לוודא שההגדרה תקינה.
  4. אם הבדיקה הצליחה, לוחצים על הפעלה מיידית כדי לבצע ייצוא ראשוני.
  5. עוקבים אחרי סטטוס החיבור בדף Connect Overview.

הגדרה של פיד ב-Google SecOps להטמעה של יומני Tanium Stream

  1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
  2. לוחצים על + הוספת פיד חדש.
  3. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Tanium Stream logs).
  4. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
  5. בוחרים באפשרות Tanium Stream בתור סוג היומן.
  6. לוחצים על הבא.
  7. מציינים ערכים לפרמטרים הבאים של הקלט:
    • S3 URI: s3://tanium-stream-logs/tanium/stream/
    • אפשרויות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
    • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.
    • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
    • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
    • מרחב השמות של הנכס: מרחב השמות של הנכס.
    • תוויות להוספה: התווית שמוחלת על האירועים מהפיד הזה.
  8. לוחצים על הבא.
  9. בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
additional.event__AlgorithmName additional.fields.key: eventAlgorithmName
additional.fields.value.string_value: %{additional.eventAlgorithmName}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__AlgorithmName.
additional.event__AuthenticationPackageName target.resource.name: %{additional.event__AuthenticationPackageName} הערך נלקח ישירות משדה היומן הגולמי additional.event__AuthenticationPackageName.
additional.event__CallerProcessId principal.process.pid: %{additional.event__CallerProcessId} הערך נלקח ישירות משדה היומן הגולמי additional.event__CallerProcessId.
additional.event__CallerProcessName principal.process.file.fullpath: %{additional.event_CallerProcessName} הערך נלקח ישירות משדה היומן הגולמי additional.event__CallerProcessName.
additional.event__ClientProcessId principal.process.pid: %{additional.event__ClientProcessId} הערך נלקח ישירות משדה היומן הגולמי additional.event__ClientProcessId.
additional.event__ClientProcessStartKey additional.fields.key: eventClientProcessStartKey
additional.fields.value.string_value: %{additional.eventClientProcessStartKey}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__ClientProcessStartKey.
additional.event__CommandLine target.process.commandline: %{additional.event_CommandLine} הערך נלקח ישירות משדה היומן הגולמי additional.event__CommandLine.
additional.event__ElevatedToken additional.fields.key: event__ElevatedToken
additional.fields.value.string_value: Yes/No		 הערך נלקח ישירות מהשדה additional.event__ElevatedToken ביומן הגולמי.
אם הערך הוא ‎%%1842, הוא מוחלף ב-Yes.
אם הערך הוא ‎%%1843, הוא מוחלף ב-No.
additional.event__FQDN principal.hostname: %{additional.event__FQDN} הערך נלקח ישירות משדה היומן הגולמי additional.event__FQDN.
additional.event__FailureReason additional.fields.key: eventFailureReason
additional.fields.value.string_value: %{additional.eventFailureReason}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__FailureReason.
additional.event__ImpersonationLevel additional.fields.key: eventImpersonationLevel
additional.fields.value.string_value: %{additional.eventImpersonationLevel}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__ImpersonationLevel.
additional.event__IpAddress target.ip: %{additional.event__IpAddress} הערך נלקח ישירות משדה היומן הגולמי additional.event__IpAddress.
additional.event__IpPort target.port: %{additional.event__IpPort} הערך נלקח ישירות משדה היומן הגולמי additional.event__IpPort והומר למספר שלם.
additional.event__KeyLength additional.fields.key: eventKeyLength
additional.fields.value.string_value: %{additional.eventKeyLength}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__KeyLength.
additional.event__KeyName additional.fields.key: eventKeyName
additional.fields.value.string_value: %{additional.eventKeyName}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__KeyName.
additional.event__KeyType additional.fields.key: eventKeyType
additional.fields.value.string_value: %{additional.eventKeyType}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__KeyType.
additional.event__LmPackageName additional.fields.key: eventLmPackageName
additional.fields.value.string_value: %{additional.eventLmPackageName}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__LmPackageName.
additional.event__LogonGuid target.resource.product_objectid: %{additional.event_LogonGuid} הערך נלקח ישירות משדה היומן הגולמי additional.event__LogonGuid אחרי שהוסרו הסוגריים המסולסלים.
additional.event__LogonProcessName target.process.file.fullpath: %{additional.event_LogonProcessName} הערך נלקח ישירות משדה היומן הגולמי additional.event__LogonProcessName.
additional.event__LogonType extensions.auth.authdetails: Logon Type: %{additional.event_LogonType} הערך נלקח ישירות משדה היומן הגולמי additional.event__LogonType.
additional.event__MandatoryLabel additional.fields.key: eventMandatoryLabel
additional.fields.value.string_value: %{additional.eventMandatoryLabel}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__MandatoryLabel.
additional.event__NewProcessId target.process.pid: %{additional.event__NewProcessId} הערך נלקח ישירות משדה היומן הגולמי additional.event__NewProcessId.
additional.event__NewProcessName target.process.file.fullpath: %{additional.event_NewProcessName} הערך נלקח ישירות משדה היומן הגולמי additional.event__NewProcessName.
additional.event__ObjectServer security_result.categorydetails: %{additional.event_ObjectServer} הערך נלקח ישירות משדה היומן הגולמי additional.event__ObjectServer.
additional.event__Operation additional.fields.key: eventOperation
additional.fields.value.string_value: %{additional.eventOperation}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__Operation.
additional.event__ParentProcessId principal.process.parentprocess.pid: %{additional.event_ParentProcessId} הערך נלקח ישירות משדה היומן הגולמי additional.event__ParentProcessId.
additional.event__ParentProcessName principal.process.parent_process.file.fullpath: %{additional.event_ParentProcessName} הערך נלקח ישירות משדה היומן הגולמי additional.event__ParentProcessName.
additional.event__ProcessId principal.process.pid: %{additional.event__ProcessId} הערך נלקח ישירות משדה היומן הגולמי additional.event__ProcessId.
additional.event__ProcessName principal.process.file.fullpath: %{additional.event_ProcessName} הערך נלקח ישירות משדה היומן הגולמי additional.event__ProcessName.
additional.event__PrivilegeList principal.user.attribute.permissions.name: %{additional.event__PrivilegeList} הערך נלקח ישירות משדה היומן הגולמי additional.event__PrivilegeList.
additional.event__ProviderName additional.fields.key: eventProviderName
additional.fields.value.string_value: %{additional.eventProviderName}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__ProviderName.
additional.event__RestrictedAdminMode additional.fields.key: eventRestrictedAdminMode
additional.fields.value.string_value: %{additional.eventRestrictedAdminMode}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__RestrictedAdminMode.
additional.event__ReturnCode additional.fields.key: eventReturnCode
additional.fields.value.string_value: %{additional.eventReturnCode}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__ReturnCode.
additional.event__RpcCallClientLocality additional.fields.key: eventRpcCallClientLocality
additional.fields.value.string_value: %{additional.eventRpcCallClientLocality}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__RpcCallClientLocality.
additional.event__Service securityresult.description: %{additional.event_Service} הערך נלקח ישירות משדה היומן הגולמי additional.event__Service.
additional.event__Status additional.fields.key: eventStatus
additional.fields.value.string_value: %{additional.eventStatus}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__Status.
additional.event__SubStatus additional.fields.key: eventSubStatus
additional.fields.value.string_value: %{additional.eventSubStatus}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__SubStatus.
additional.event__SubjectDomainName principal.administrativedomain: %{additional.event_SubjectDomainName} הערך נלקח ישירות משדה היומן הגולמי additional.event__SubjectDomainName.
additional.event__SubjectLogonId additional.fields.key: eventSubjectLogonId
additional.fields.value.string_value: %{additional.eventSubjectLogonId}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__SubjectLogonId.
additional.event__SubjectUserName principal.user.user_displayname: %{additional.event_SubjectUserName} הערך נלקח ישירות משדה היומן הגולמי additional.event__SubjectUserName.
additional.event__SubjectUserSid principal.user.windowssid: %{additional.event_SubjectUserSid} הערך נלקח ישירות משדה היומן הגולמי additional.event__SubjectUserSid.
additional.event__TaskContentNew additional.fields.key: eventTaskContentNew
additional.fields.value.string_value: %{additional.eventTaskContentNew}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__TaskContentNew.
additional.event__TaskName additional.fields.key: eventTaskName
additional.fields.value.string_value: %{additional.eventTaskName}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__TaskName.
additional.event__TargetDomainName target.administrativedomain: %{additional.event_TargetDomainName} הערך נלקח ישירות משדה היומן הגולמי additional.event__TargetDomainName.
additional.event__TargetLinkedLogonId additional.fields.key: eventTargetLinkedLogonId
additional.fields.value.string_value: %{additional.eventTargetLinkedLogonId}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__TargetLinkedLogonId.
additional.event__TargetLogonId additional.fields.key: eventTargetLogonId
additional.fields.value.string_value: %{additional.eventTargetLogonId}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__TargetLogonId.
additional.event__TargetOutboundDomainName additional.fields.key: eventTargetOutboundDomainName
additional.fields.value.string_value: %{additional.eventTargetOutboundDomainName}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__TargetOutboundDomainName.
additional.event__TargetOutboundUserName additional.fields.key: eventTargetOutboundUserName
additional.fields.value.string_value: %{additional.eventTargetOutboundUserName}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__TargetOutboundUserName.
additional.event__TargetSid target.user.windowssid: %{additional.event_TargetSid} הערך נלקח ישירות משדה היומן הגולמי additional.event__TargetSid.
additional.event__TargetUserName target.user.userid: %{additional.event__TargetUserName} הערך נלקח ישירות משדה היומן הגולמי additional.event__TargetUserName.
additional.event__TargetUserSid target.user.windowssid: %{additional.event_TargetUserSid} הערך נלקח ישירות משדה היומן הגולמי additional.event__TargetUserSid.
additional.event__TokenElevationType additional.fields.key: eventTokenElevationType
additional.fields.value.string_value: %{additional.eventTokenElevationType}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__TokenElevationType.
additional.event__TransmittedServices additional.fields.key: eventTransmittedServices
additional.fields.value.string_value: %{additional.eventTransmittedServices}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__TransmittedServices.
additional.event__VirtualAccount additional.fields.key: eventVirtualAccount
additional.fields.value.string_value: %{additional.eventVirtualAccount}		 הערך נלקח ישירות משדה היומן הגולמי additional.event__VirtualAccount.
additional.event__WorkstationName target.hostname: %{additional.event__WorkstationName} הערך נלקח ישירות משדה היומן הגולמי additional.event__WorkstationName.
additional.event_id security_result.rule_name: EventID: %{additional.event_id} הערך נלקח ישירות מהשדה additional.event_id ביומן הגולמי והומר למחרוזת.
additional.query network.dns.questions.name: %{additional.query} הערך נלקח ישירות משדה היומן הגולמי additional.query.
additional.response network.dns.answers.name: %{additional.response} הערך נלקח ישירות משדה היומן הגולמי additional.response.
metadata.description metadata.description: %{metadata.description} הערך נלקח ישירות משדה היומן הגולמי metadata.description.
metadata.eventTimestamp metadata.event_timestamp.seconds: Extracted from %{metadata.eventTimestamp}
metadata.event_timestamp.nanos: Extracted from %{metadata.eventTimestamp}		 השניות והננו-שניות מחולצות משדה היומן הגולמי metadata.eventTimestamp באמצעות ניתוח תאריכים.
metadata.eventType metadata.product_event_type: %{metadata.eventType}
metadata.event_type: %{metadata.eventType}		 הערך נלקח ישירות משדה היומן הגולמי metadata.eventType.
metadata.logType metadata.product_event_type: %{metadata.logType}
metadata.event_type: %{metadata.logType}		 הערך נלקח ישירות משדה היומן הגולמי metadata.logType.
network.applicationProtocol network.application_protocol: %{network.applicationProtocol} הערך נלקח ישירות משדה היומן הגולמי network.applicationProtocol.
network.direction network.direction: %{network.direction} הערך נלקח ישירות משדה היומן הגולמי network.direction.
network.ipProtocol network.ip_protocol: %{network.ipProtocol} הערך נלקח ישירות משדה היומן הגולמי network.ipProtocol.
principal.assetId principal.asset_id: TANIUM:%{principal.assetId} הערך נלקח ישירות משדה היומן הגולמי principal.assetId ומופיע עם הקידומת TANIUM:.
principal.hostname principal.hostname: %{principal.hostname} הערך נלקח ישירות משדה היומן הגולמי principal.hostname.
principal.process.companySpecificParentProcessId principal.process.product_specific_process_id: TANIUM:%{principal.assetId}:%{principal.process.companySpecificParentProcessId} הערך נלקח ישירות משדה היומן הגולמי principal.process.companySpecificParentProcessId והפורמט שלו הוא 'TANIUM:%{principal.assetId}:%{principal.process.companySpecificParentProcessId}'.
principal.process.companySpecificProcessId principal.process.product_specific_process_id: TANIUM:%{principal.assetId}:%{principal.process.companySpecificProcessId} הערך נלקח ישירות משדה היומן הגולמי principal.process.companySpecificProcessId והפורמט שלו הוא 'TANIUM:%{principal.assetId}:%{principal.process.companySpecificProcessId}'.
principal.process.commandLine target.process.command_line: %{principal.process.commandLine} הערך נלקח ישירות משדה היומן הגולמי principal.process.commandLine אחרי שהגרשיים הכפולים הוסרו והמקפים הוחלפו בסימני אמפרסנד.
principal.process.file.fullPath target.process.file.full_path: %{principal.process.file.fullPath} הערך נלקח ישירות משדה היומן הגולמי principal.process.file.fullPath.
principal.process.file.md5 target.process.file.md5: %{principal.process.file.md5} הערך נלקח ישירות משדה היומן הגולמי principal.process.file.md5 והומר לאותיות קטנות.
principal.process.parentPid principal.process.pid: %{principal.process.parentPid} הערך נלקח ישירות מהשדה principal.process.parentPid ביומן הגולמי רק עבור אירועי PROCESS_LAUNCH.
principal.process.pid target.process.pid: %{principal.process.pid} הערך נלקח ישירות מהשדה principal.process.pid ביומן הגולמי רק עבור אירועי PROCESS_LAUNCH.
principal.process.productSpecificProcessId principal.process.product_specific_process_id: TANIUM:%{principal.assetId}:%{principal.process.productSpecificProcessId} הערך נלקח ישירות משדה היומן הגולמי principal.process.productSpecificProcessId והפורמט שלו הוא 'TANIUM:%{principal.assetId}:%{principal.process.productSpecificProcessId}‎'.
principal.user.groupid principal.user.group_identifiers: %{principal.user.groupid} הערך נלקח ישירות משדה היומן הגולמי principal.user.groupid.
principal.user.userid principal.user.userid: %{principal.user.userid} הערך נלקח ישירות משדה היומן הגולמי principal.user.userid.
src.ip principal.ip: %{src.ip} הערך נלקח ישירות משדה היומן הגולמי src.ip.
src.port principal.port: %{src.port} הערך נלקח ישירות משדה היומן הגולמי src.port והומר למספר שלם.
target.file.fullPath target.file.full_path: %{target.file.fullPath} הערך נלקח ישירות משדה היומן הגולמי target.file.fullPath.
target.file.md5 target.file.md5: %{target.file.md5} הערך נלקח ישירות משדה היומן הגולמי target.file.md5.
target.port target.port: %{target.port} הערך נלקח ישירות משדה היומן הגולמי target.port והומר למספר שלם.
target.registry.registryKey target.registry.registry_key: %{target.registry.registryKey} הערך נלקח ישירות משדה היומן הגולמי target.registry.registryKey.
target.registry.registryValue target.registry.registry_value_data: %{target.registry.registryValue} הערך נלקח ישירות משדה היומן הגולמי target.registry.registryValue.
target.user.userDisplayName target.user.user_display_name: %{target.user.userDisplayName} הערך נלקח ישירות משדה היומן הגולמי target.user.userDisplayName.
target.user.windowsSid target.user.windows_sid: %{target.user.windowsSid} הערך נלקח ישירות משדה היומן הגולמי target.user.windowsSid.
סוכן משתמש network.http.user_agent: %{user-agent} הערך נלקח ישירות משדה היומן הגולמי user-agent אחרי שהוסרו ממנו המירכאות הכפולות.
לא רלוונטי extensions.auth.auth_mechanism: LOCAL/NETWORK/BATCH/SERVICE/UNLOCK/NETWORK_CLEAR_TEXT/NEW_CREDENTIALS/REMOTE_INTERACTIVE/CACHED_INTERACTIVE/MECHANISM_UNSPECIFIED הערך נקבע על ידי קוד הניתוח על סמך הערך של additional.event__LogonType.
לא רלוונטי extensions.auth.type: MACHINE נוסף על ידי קוד הניתוח לאירועים USER_LOGIN ו-USER_LOGOUT.
לא רלוונטי metadata.event_type: PROCESS_LAUNCH/NETWORK_CONNECTION/FILE_OPEN/FILE_DELETION/REGISTRY_MODIFICATION/USER_LOGIN/STATUS_UPDATE/USER_LOGOUT/PROCESS_MODULE_LOAD/PROCESS_TERMINATION/USER_CHANGE_PERMISSIONS/SCHEDULED_TASK_MODIFICATION/SCHEDULED_TASK_DISABLE/SCHEDULED_TASK_ENABLE/SCHEDULED_TASK_DELETION/SCHEDULED_TASK_CREATION/PROCESS_UNCATEGORIZED הערך נקבע על ידי קוד הניתוח על סמך הערך של metadata.logType ושל additional.event_id.
לא רלוונטי metadata.log_type: TANIUM_TH ערך שמוגדר בהארדקוד ונוסף על ידי קוד הניתוח.
לא רלוונטי metadata.product_name: Stream ערך שמוגדר בהארדקוד ונוסף על ידי קוד הניתוח.
לא רלוונטי metadata.vendor_name: Tanium ערך שמוגדר בהארדקוד ונוסף על ידי קוד הניתוח.
לא רלוונטי principal.hostname: %{principal_hostname} הערך נלקח מ-principal.hostname או מ-additional.event__FQDN.
לא רלוונטי principal.ip: %{srcIp} הערך מחולץ מהודעת היומן הגולמי באמצעות grok אם src.ip קיים.
לא רלוונטי securityresult.about.resource.name: %{additional.event_AuthenticationPackageName} הערך נלקח ישירות משדה היומן הגולמי additional.event__AuthenticationPackageName עבור ערכים ספציפיים של additional.event_id.
לא רלוונטי security_result.category: AUTH_VIOLATION הערך הזה מתווסף על ידי קוד הניתוח עבור ערכים ספציפיים של additional.event_id.
לא רלוונטי security_result.rule_name: EventID: %{additional.event_id} הערך נלקח ישירות משדה היומן הגולמי additional.event_id והומר למחרוזת.
לא רלוונטי target.hostname: %{query_host} הערך מחולץ משדה היומן הגולמי additional.query אם הוא מכיל שם מארח.
לא רלוונטי target.ip: %{dstIp} הערך מחולץ מהודעת היומן הגולמי באמצעות grok אם src.ip קיים.
לא רלוונטי target.ip: %{query_ip} הערך מחולץ משדה היומן הגולמי additional.query אם הוא מכיל כתובת IP.
לא רלוונטי target.process.command_line: %{principal_process_commandLine} הערך נלקח מ-principal.process.commandLine אם הוא לא ריק.
לא רלוונטי target.process.file.full_path: %{principal_process_file_fullPath} הערך נלקח מ-principal.process.file.fullPath אם הוא לא ריק.
לא רלוונטי target.process.file.md5: %{principal_process_file_md5} הערך נלקח מ-principal.process.file.md5 אם הוא לא ריק.
לא רלוונטי target.process.product_specific_process_id: TANIUM:%{principal.assetId}:%{principal.process.productSpecificProcessId} הערך נלקח מ-principal.process.productSpecificProcessId והפורמט שלו הוא ‎ "TANIUM:%{principal.assetId}:%{principal.process.productSpecificProcessId}"‎.
לא רלוונטי target.resource.resource_type: TASK הערך הזה מתווסף על ידי קוד הניתוח עבור ערכים ספציפיים של additional.event_id.
לא רלוונטי timestamp.seconds: Extracted from %{metadata.eventTimestamp}
timestamp.nanos: Extracted from %{metadata.eventTimestamp}		 השניות והננו-שניות מחולצות משדה היומן הגולמי metadata.eventTimestamp באמצעות ניתוח תאריכים.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.