Tenable Vulnerability Management-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Tenable Vulnerability Management-Logs (früher Tenable.io) in Google Security Operations aufnehmen. Es werden zwei Erfassungsmethoden beschrieben: eine Cloud Storage-Pipeline, die Daten aus der Tenable-Export-API abruft, und ein Tenable-Datenstream, der Daten in einen Amazon S3-Bucket überträgt. Wählen Sie die Methode aus, die zu Ihrer Umgebung passt.

Tenable Vulnerability Management (früher Tenable.io) ist eine cloudbasierte Plattform für die Verwaltung von Sicherheitslücken, die auf der Nessus-Technologie basiert. Sie bietet eine umfassende Abdeckung von Sicherheitslücken und die Möglichkeit, vorherzusagen, welche Sicherheitsprobleme zuerst behoben werden müssen.

Der Parser extrahiert Ergebnisse zu Sicherheitslücken und Assets aus Tenable-JSON-Logs und ordnet die Felder dem UDM zu. Dabei werden Domain-, IPv4- und IPv6-Indikatoren, Schweregrad und Asset-Attribute verarbeitet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf die Tenable Vulnerability Management-Konsole (die Rolle Administrator)
• Für Methode 1 (Google Cloud Storage): ein Google Cloud -Projekt mit aktivierter Abrechnung und Berechtigungen zum Erstellen von Cloud Storage-Buckets, Dienstkonten, Pub/Sub-Themen, Cloud Run-Funktionen und Cloud Scheduler-Jobs
• Für Methode 2 (Amazon S3): Ein AWS-Konto mit Berechtigungen zum Erstellen von S3-Buckets sowie IAM-Rollen (Identity and Access Management) und ‑Nutzern

Sie haben folgende Möglichkeiten:

• Methode 1: Google Cloud Storage Eine Cloud Run-Funktion ruft Daten zu Sicherheitslücken und Assets aus der Tenable Export API ab und schreibt sie in einen Cloud Storage-Bucket. Mit dieser Methode bleibt die Pipeline vollständig auf Google Cloud.
• Methode 2: Amazon S3 Tenable Data Stream überträgt Ihre Tenable-Daten kontinuierlich an einen Amazon S3-Bucket. Verwenden Sie diese Methode, wenn Sie die integrierte Tenable-Push-Integration bevorzugen. Tenable Data Stream unterstützt nur Amazon S3.

Methode 1: Google Cloud Storage

Bei dieser Methode wird eine Cloud Run-Funktion verwendet, die von Cloud Scheduler über Pub/Sub ausgelöst wird, um Daten zu Sicherheitslücken und Assets aus der Tenable Vulnerability Management Export API abzurufen und in einen Cloud Storage-Bucket zu schreiben. Google SecOps nimmt dann die Daten aus dem Bucket auf.

Tenable Vulnerability Management API-Anmeldedaten erfassen

1. Melden Sie sich unter https://cloud.tenable.com in Tenable Vulnerability Management an.
2. Klicken Sie rechts oben auf Ihr Nutzerprofilsymbol und wählen Sie Mein Konto aus.
3. Klicken Sie auf API-Schlüssel.
4. Klicken Sie auf Generieren.

5. Kopieren und speichern Sie den Zugriffsschlüssel und den geheimen Schlüssel.

   Hinweis :Die Schlüssel werden nur einmal angezeigt. Durch das Generieren neuer Schlüssel werden die vorhandenen Schlüssel ungültig. Verwenden Sie einen dedizierten Integrationsnutzer mit mindestens der Rolle Basic.

Google Cloud Storage-Bucket erstellen

1. Rufen Sie in der Google Cloud Console Cloud Storage > Buckets auf.
2. Klicken Sie auf Erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen global eindeutigen Namen ein, z. B. tenable-vulnerability-logs.
   • Standorttyp: Wählen Sie einen Standort aus.
   • Speicherklasse: Wählen Sie Standard aus.
4. Klicken Sie auf Erstellen.

Dienstkonto für die Cloud Run-Funktion erstellen

1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.
2. Klicken Sie auf Dienstkonto erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie tenable-collector-sa ein.
   • Beschreibung des Dienstkontos: Geben Sie Service account for the Tenable export collector ein.
4. Klicken Sie auf Erstellen und fortfahren.
5. Klicken Sie auf Fertig.

Dienstkonto Zugriff auf den Bucket gewähren

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets (z. B. tenable-vulnerability-logs).
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Geben Sie die E-Mail-Adresse des Dienstkontos ein (z. B. tenable-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
   • Rollen zuweisen: Wählen Sie Storage Object Admin aus.
6. Klicken Sie auf Speichern.

Pub/Sub-Thema erstellen

1. Rufen Sie in der Google Cloud Console Pub/Sub > Themen auf.
2. Klicken Sie auf Thema erstellen.
3. Geben Sie eine Themen-ID ein (z. B. tenable-collector-trigger).
4. Klicken Sie auf Erstellen.

Cloud Run-Funktion zum Erfassen von Logs erstellen

Die Cloud Run-Funktion wird durch Pub/Sub-Nachrichten von Cloud Scheduler ausgelöst. Es authentifiziert sich mit Ihren API-Schlüsseln bei der Tenable Export API, führt die Exportvorgänge für Sicherheitslücken und Assets aus und schreibt jeden Export-Chunk im JSON-Format in den Bucket.

1. Rufen Sie in der Google Cloud Console Cloud Run auf.
2. Klicken Sie auf Dienst erstellen.
3. Wählen Sie Funktion aus, um den Inline-Code-Editor zu verwenden.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Servicename: Geben Sie tenable-collector ein.
   • Region: Wählen Sie die Region aus, die Ihrem Bucket entspricht (z. B. us-central1).
   • Laufzeit: Wählen Sie Python 3.12 oder höher aus.
5. Im Abschnitt Trigger:
   1. Klicken Sie auf Trigger hinzufügen.
   2. Wählen Sie Cloud Pub/Sub aus.
   3. Wählen Sie unter Cloud Pub/Sub-Thema auswählen die Option tenable-collector-trigger aus.
   4. Klicken Sie auf Speichern.
6. Wählen Sie im Bereich Authentifizierung die Option Authentifizierung erforderlich aus.
7. Maximieren Sie Container, Netzwerk, Sicherheit und legen Sie auf dem Tab Sicherheit für Dienstkonto den Wert tenable-collector-sa fest.

8. Fügen Sie auf dem Tab Container > Variablen und Secrets die folgenden Umgebungsvariablen hinzu:

   Variablenname	Beispielwert
   TIO_ACCESS_KEY	your-tenable-access-key
   TIO_SECRET_KEY	your-tenable-secret-key
   GCS_BUCKET	tenable-vulnerability-logs
   GCS_PREFIX	tenable/
   NUM_ASSETS	1000
   ASSET_CHUNK_SIZE	1000
   SEVERITIES	low,medium,high,critical
   HTTP_TIMEOUT	120

   Hinweis :Verwenden Sie den Access Key (Zugriffsschlüssel) und den Secret Key (geheimer Schlüssel) aus dem Abschnitt Tenable Vulnerability Management API-Anmeldedaten erfassen. Für die Produktion sollten Sie die Schlüssel in Secret Manager speichern und als Secrets referenzieren, anstatt als einfache Umgebungsvariablen.

9. Legen Sie Request timeout (Zeitüberschreitung für Anfragen) auf 600 Sekunden und Memory (Arbeitsspeicher) auf 512 MiB oder höher fest.

10. Klicken Sie auf Erstellen. Nachdem der Dienst erstellt wurde, wird der Inline-Code-Editor geöffnet.

Funktionscode hinzufügen

1. Geben Sie im Feld Funktionseinstiegspunkt den Wert main ein.

2. Ersetzen Sie im Inline-Code-Editor den Inhalt von requirements.txt durch Folgendes:

   functions-framework==3.*
   google-cloud-storage==2.*
   requests==2.*
   

3. Ersetzen Sie den Inhalt von main.py durch den folgenden Code:

   import json
   import os
   import time
   
   import functions_framework
   import requests
   from google.cloud import storage
   
   BASE = "https://cloud.tenable.com"
   ACCESS_KEY = os.environ["TIO_ACCESS_KEY"]
   SECRET_KEY = os.environ["TIO_SECRET_KEY"]
   GCS_BUCKET = os.environ["GCS_BUCKET"]
   GCS_PREFIX = os.environ.get("GCS_PREFIX", "tenable/")
   NUM_ASSETS = int(os.environ.get("NUM_ASSETS", "1000"))
   ASSET_CHUNK_SIZE = int(os.environ.get("ASSET_CHUNK_SIZE", "1000"))
   SEVERITIES = [s for s in os.environ.get("SEVERITIES", "low,medium,high,critical").split(",") if s]
   HTTP_TIMEOUT = int(os.environ.get("HTTP_TIMEOUT", "120"))
   
   HEADERS = {
       "X-ApiKeys": f"accessKey={ACCESS_KEY};secretKey={SECRET_KEY}",
       "Content-Type": "application/json",
       "Accept": "application/json",
   }
   
   storage_client = storage.Client()
   
   def _request(method, path, **kwargs):
       """Call the Tenable API, honoring HTTP 429 Retry-After. Do not multi-thread."""
       while True:
           resp = requests.request(method, f"{BASE}{path}", headers=HEADERS, timeout=HTTP_TIMEOUT, **kwargs)
           if resp.status_code == 429:
               time.sleep(int(resp.headers.get("Retry-After", "30")))
               continue
           resp.raise_for_status()
           return resp
   
   def _write_chunk(bucket, name, payload):
       """Write one export chunk (a JSON array) to the bucket."""
       blob = bucket.blob(f"{GCS_PREFIX}{name}")
       blob.upload_from_string(json.dumps(payload), content_type="application/json")
   
   def _run_export(bucket, label, request_path, status_kind, body):
       """Request an export, poll until FINISHED, and write each chunk to the bucket."""
       export_uuid = _request("POST", request_path, json=body).json()["export_uuid"]
       written = set()
       while True:
           status = _request("GET", f"/{status_kind}/export/{export_uuid}/status").json()
           for chunk_id in status.get("chunks_available", []):
               if chunk_id in written:
                   continue
               chunk = _request("GET", f"/{status_kind}/export/{export_uuid}/chunks/{chunk_id}").json()
               _write_chunk(bucket, f"{label}_{export_uuid}_{chunk_id}.json", chunk)
               written.add(chunk_id)
           state = status.get("status")
           if state == "FINISHED":
               break
           if state in ("ERROR", "CANCELLED"):
               raise RuntimeError(f"{label} export {export_uuid} ended as {state}")
           time.sleep(15)
       print(f"{label}: wrote {len(written)} chunk(s) for export {export_uuid}")
   
   @functions_framework.cloud_event
   def main(cloud_event):
       bucket = storage_client.bucket(GCS_BUCKET)
       # Vulnerabilities: request path and status/chunk paths both use /vulns/export; body uses num_assets.
       _run_export(
           bucket, "vulns", "/vulns/export", "vulns",
           {"num_assets": NUM_ASSETS, "include_unlicensed": False, "filters": {"severity": SEVERITIES}},
       )
       # Assets: request path is /assets/v2/export (body uses chunk_size); status/chunk paths drop the v2.
       _run_export(
           bucket, "assets", "/assets/v2/export", "assets",
           {"chunk_size": ASSET_CHUNK_SIZE},
       )
       return "ok"
   

4. Klicken Sie auf Speichern und bereitstellen.

Cloud Scheduler-Job erstellen

1. Rufen Sie in der Google Cloud Console Cloud Scheduler auf.
2. Klicken Sie auf Job erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie tenable-collector-schedule ein.
   • Region: Wählen Sie dieselbe Region wie die Cloud Run-Funktion aus.
   • Häufigkeit: Geben Sie einen Cron-Zeitplan ein, z. B. 0 */6 * * * für eine Ausführung alle sechs Stunden.
   • Zeitzone: Wählen Sie Ihre Zeitzone aus.
4. Wählen Sie für Zieltyp die Option Pub/Sub aus.
5. Wählen Sie das Thema tenable-collector-trigger aus.
6. Geben Sie im Feld Inhalt der Nachricht run ein.
7. Klicken Sie auf Erstellen.

Feed in Google SecOps für die Aufnahme aus Google Cloud Storage konfigurieren

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tenable Vulnerability Management GCS.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie tenable.io als Log type (Protokolltyp) aus.
7. Klicken Sie auf Dienstkonto abrufen. Kopieren Sie die angezeigte E‑Mail-Adresse des Dienstkontos.
8. Klicken Sie auf Weiter.
9. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Storage-Bucket-URI: Geben Sie den Bucket-URI ein, einschließlich des Präfix (z. B. gs://tenable-vulnerability-logs/tenable/).
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
10. Klicken Sie auf Weiter, prüfen Sie die Konfiguration und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto Zugriff auf den Bucket gewähren

1. Rufen Sie Cloud Storage > Buckets auf und klicken Sie auf den Namen Ihres Buckets.
2. Klicken Sie auf den Tab Berechtigungen und dann auf Zugriff erlauben.
3. Geben Sie unter Hauptkonten hinzufügen die E-Mail-Adresse des Dienstkontos ein, die Sie aus dem Feed kopiert haben.
4. Weisen Sie die Rolle Storage Object Viewer (oder Storage Object Admin, wenn Sie eine Option zum Löschen der Quelle ausgewählt haben) zu.
5. Klicken Sie auf Speichern.

Methode 2: Amazon S3

Bei dieser Methode werden Ihre Tenable-Daten mithilfe von Tenable Data Stream kontinuierlich in einem JSON-Format in einen Amazon S3-Bucket übertragen. Google SecOps nimmt dann die Daten aus dem Bucket auf. Tenable Data Stream unterstützt nur Amazon S3 und authentifiziert sich bei Ihrem AWS-Konto über eine IAM-Rolle, die Tenable übernimmt (eine kontoübergreifende Vertrauensbeziehung mit einer externen ID).

Amazon S3-Bucket erstellen

1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der AWS-Anleitung Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets für die spätere Verwendung, z. B. tenable-vm-logs.

IAM-Rolle für Tenable Data Stream erstellen

Tenable übernimmt diese Rolle, um Daten in Ihren Bucket zu schreiben. Tenable stellt die genaue Vertrauensrichtlinie und Bucket-Richtlinie in der Konsole bereit, einschließlich des Tenable-AWS-Kontos und einer generierten externen ID.

1. Gehen Sie in Tenable Vulnerability Management zu Settings > Tenable Data Stream und klicken Sie auf Add an Integration. Lassen Sie dieses Dialogfeld geöffnet, damit Sie die Vertrauensrichtlinie und die externe ID in einem späteren Schritt kopieren können.
2. Rufen Sie in der AWS-Konsole IAM > Rollen > Rolle erstellen auf.

3. Wählen Sie Benutzerdefinierte Vertrauensrichtlinie aus und fügen Sie die Vertrauensrichtlinie aus dem Bereich IAM Role Guidelines (IAM-Rollenrichtlinien) von Tenable ein (klicken Sie auf Copy Trust Policy (Vertrauensrichtlinie kopieren)). Die Vertrauensrichtlinie hat die folgende Form:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": { "AWS": "arn:aws:iam::<TENABLE_AWS_ACCOUNT_ID>:root" },
               "Action": "sts:AssumeRole",
               "Condition": { "StringEquals": { "sts:ExternalId": "<TENABLE_EXTERNAL_ID>" } }
           }
       ]
   }
   

4. Klicken Sie auf Weiter und erstellen und hängen Sie dann eine Richtlinie an, die Tenable Schreibzugriff auf den Bucket gewährt (ersetzen Sie tenable-vm-logs durch Ihren Bucket-Namen):

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": ["s3:PutObject", "s3:GetBucketLocation", "s3:ListBucket"],
               "Resource": [
                   "arn:aws:s3:::tenable-vm-logs",
                   "arn:aws:s3:::tenable-vm-logs/*"
               ]
           }
       ]
   }
   

   Hinweis :Wenn für den Bucket die SSE-KMS-Verschlüsselung verwendet wird, weisen Sie dem KMS-Schlüssel auch die Rolle kms:GenerateDataKey zu.

5. Geben Sie einen Rollennamen ein (z. B. TenableDataStreamRole) und klicken Sie auf Rolle erstellen. Speichern Sie den Rollennamen und Ihre AWS-Konto-ID.

Tenable Data Stream konfigurieren

1. Kehren Sie in Tenable Vulnerability Management (Einstellungen > Tenable-Datenstream) zum Dialogfeld Integration hinzufügen zurück.
2. Geben Sie die folgenden Konfigurationsdetails an:
   • Name der Integration: Geben Sie einen aussagekräftigen Namen ein, z. B. Google SecOps Integration.
   • Integrationstyp: Wählen Sie AWS S3 aus (die einzige verfügbare Option).
   • Integrationsdaten: Wählen Sie die zu streamenden Datentypen aus, z. B. Assets (Assets), Vulnerabilities (Sicherheitslücken) und Host Audit (Host-Audit).
   • E‑Mail-Benachrichtigung (optional): Geben Sie eine E‑Mail-Adresse ein, an die eine Benachrichtigung gesendet werden soll, wenn sich der Streamstatus ändert.
3. Klicken Sie auf Weiter und geben Sie die Details zur IAM-Rolle an:
   • AWS-Konto-ID: Geben Sie Ihre AWS-Konto-ID ein.
   • Name der IAM-Rolle: Geben Sie die von Ihnen erstellte Rolle ein (z. B. TenableDataStreamRole).
   • Externe ID: Verwenden Sie die externe ID, die von Tenable in diesem Dialogfeld angezeigt wird (derselbe Wert, auf den in der Vertrauensrichtlinie verwiesen wird).
4. Klicken Sie auf Weiter und geben Sie die Bucket-Details an:
   • S3-Bucket-Name: Geben Sie den Namen Ihres Buckets ein (z. B. tenable-vm-logs).
   • Pfadpräfix: Geben Sie ein Präfix zum Organisieren von Dateien ein, z. B. tenable/.

5. Klicken Sie auf Speichern. Tenable schreibt kontinuierlich JSON-Daten in Ihren Bucket.

   Hinweis :Löschen Sie die Rolle nicht, ändern Sie die Vertrauensbeziehung nicht und entfernen Sie die Bucket-Berechtigungen nicht nach der Einrichtung, da dies die häufigsten Ursachen für einen fehlgeschlagenen Stream sind.

IAM-Nutzer für Google SecOps erstellen, damit der Bucket gelesen werden kann

Google SecOps liest den Bucket mit einem separaten schreibgeschützten IAM-Nutzer (diese Identität ist unabhängig von der Rolle, die Tenable zum Schreiben verwendet).

1. Rufen Sie in der AWS Console IAM > Nutzer > Nutzer erstellen auf.
2. Geben Sie einen Nutzernamen ein (z. B. secops-tenable-reader) und klicken Sie auf Weiter.
3. Klicken Sie auf Weiter und dann auf Nutzer erstellen.

4. Wählen Sie den Nutzer aus, rufen Sie den Tab Berechtigungen auf und klicken Sie auf Berechtigungen hinzufügen > Inline-Richtlinie erstellen > JSON. Fügen Sie die folgende schreibgeschützte Richtlinie ein und ersetzen Sie tenable-vm-logs durch Ihren Bucket-Namen:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": ["s3:GetObject", "s3:ListBucket", "s3:GetBucketLocation"],
               "Resource": [
                   "arn:aws:s3:::tenable-vm-logs",
                   "arn:aws:s3:::tenable-vm-logs/*"
               ]
           }
       ]
   }
   

   Hinweis :Wenn Sie im Feed eine Option zum Löschen der Quelle auswählen, gewähren Sie auch s3:DeleteObject für arn:aws:s3:::tenable-vm-logs/*.

5. Rufen Sie den Tab Sicherheitsanmeldedaten auf und klicken Sie auf Zugriffsschlüssel erstellen.

6. Wählen Sie als Anwendungsfall Drittanbieterdienst aus, klicken Sie auf Weiter und dann auf Zugriffsschlüssel erstellen.

7. Kopieren und speichern Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel.

Feed in Google SecOps konfigurieren, um Daten aus Amazon S3 aufzunehmen

1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tenable Vulnerability Management S3.
5. Wählen Sie Amazon S3 V2 als Quelltyp aus.
6. Wählen Sie tenable.io als Log type (Protokolltyp) aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • S3-URI: Geben Sie den Bucket-URI einschließlich des Präfixes ein, z. B. s3://tenable-vm-logs/tenable/.
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
   • Zugriffsschlüssel-ID: Geben Sie den schreibgeschützten IAM-Nutzerzugriffsschlüssel ein.
   • Geheimer Zugriffsschlüssel: Geben Sie den geheimen Schlüssel des schreibgeschützten IAM-Nutzers ein.
9. Klicken Sie auf Weiter, prüfen Sie die Konfiguration und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
payload.path	about.file.full_path	Direkt zugeordnet
payload.md5	about.file.md5	Direkt zugeordnet
asset.uuid	entity.asset.asset_id	Direkt zugeordnet
id	entity.asset.asset_id	Direkt zugeordnet
payload_id	entity.asset.asset_id	Direkt zugeordnet
ssh_fingerprints.0	entity.asset.attribute.labels.value	Direkt zugeordnet
system_types.0	entity.asset.attribute.labels.value	Direkt zugeordnet
asset.hostname	entity.asset.hostname	Direkt zugeordnet
asset.last_scan_target	entity.asset.hostname	Direkt zugeordnet
host	entity.asset.hostname	Direkt zugeordnet
scan.target	entity.asset.hostname	Direkt zugeordnet
asset.ipv4	entity.asset.ip	Zusammengeführt
ip	entity.asset.ip	Zusammengeführt
ipaddr	entity.asset.ip	Zusammengeführt
prinIP	entity.asset.ip	Zusammengeführt
scan_ipaddr	entity.asset.ip	Zusammengeführt
updateIndex	entity.asset.ip	Zugeordnet: 0 → update_ipv4_0
update_ipv4_0	entity.asset.ip	Zusammengeführt
asset.mac_address	entity.asset.mac	Zusammengeführt
mac	entity.asset.mac	Zusammengeführt
fqdns.0	entity.asset.network_domain	Direkt zugeordnet
netbios_names.0	entity.asset.network_domain	Direkt zugeordnet
os_family	entity.asset.platform_software.platform	Direkt zugeordnet
asset.operating_system.0	entity.asset.platform_software.platform_version	Direkt zugeordnet
asset.uuid	entity.asset.product_object_id	Direkt zugeordnet
id	entity.asset.product_object_id	Direkt zugeordnet
payload_id	entity.asset.product_object_id	Direkt zugeordnet
vuln.vulnerabilities	entity.asset.vulnerabilities	Zusammengeführt
vuln1.vulnerabilities	entity.asset.vulnerabilities	Zusammengeführt
vuln2.vulnerabilities	entity.asset.vulnerabilities	Zusammengeführt
asset.device_type	metadata.description	Direkt zugeordnet
plugin.description	metadata.description	Direkt zugeordnet
has_entity_asset	metadata.entity_type	Zugeordnet: true → ASSET
first_found	metadata.event_timestamp	Als ISO8601 geparst
last_found	metadata.event_timestamp	Als ISO8601 geparst
scan.completed_at	metadata.event_timestamp	Als ISO8601 geparst
scan.started_at	metadata.event_timestamp	Als ISO8601 geparst
has_entity_asset	metadata.product_name	Zugeordnet: true → Tenable IO
has_entity_asset	metadata.vendor_name	Zugeordnet: true → Tenable IO
port.protocol	network.ip_protocol	Direkt zugeordnet
asset.network_id	network.session_id	Direkt zugeordnet
sec_res.description	security_result.description	Direkt zugeordnet
asset_agent_uuid_label	security_result.detection_fields	Zusammengeführt
asset_bios_uuid_label	security_result.detection_fields	Zusammengeführt
asset_netbios_name_label	security_result.detection_fields	Zusammengeführt
finding_id_label	security_result.detection_fields	Zusammengeführt
plugin_family_id_label	security_result.detection_fields	Zusammengeführt
plugin_family_label	security_result.detection_fields	Zusammengeführt
plugin_risk_factor_label	security_result.detection_fields	Zusammengeführt
plugin_xrefs_label	security_result.detection_fields	Zusammengeführt
risk_factor_label	security_result.detection_fields	Zusammengeführt
scan_label	security_result.detection_fields	Zusammengeführt
scan_schedule_uuid_label	security_result.detection_fields	Zusammengeführt
scan_started_at_label	security_result.detection_fields	Zusammengeführt
scan_uuid_label	security_result.detection_fields	Zusammengeführt
see_also_label	security_result.detection_fields	Zusammengeführt
severity_default_id_label	security_result.detection_fields	Zusammengeführt
severity_id_label	security_result.detection_fields	Zusammengeführt
severity_label	security_result.detection_fields	Zusammengeführt
severity_modification_type_label	security_result.detection_fields	Zusammengeführt
update_finding_id_label	security_result.detection_fields	Zusammengeführt
update_first_scan_time_label	security_result.detection_fields	Zusammengeführt
update_last_licensed_scan_date_label	security_result.detection_fields	Zusammengeführt
update_last_scan_id_label	security_result.detection_fields	Zusammengeführt
update_last_scan_time_label	security_result.detection_fields	Zusammengeführt
update_last_schedule_id_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_access_complexity_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_access_vector_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_authentication_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_availability_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_confidentiality_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_integrity_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_privileges_required_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_raw_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_user_interaction_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_base_score_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_access_complexity_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_access_vector_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_authentication_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_availability_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_confidentiality_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_integrity_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_raw_label	security_result.detection_fields	Zusammengeführt
update_plugin_see_also_label	security_result.detection_fields	Zusammengeführt
update_plugin_stig_severity_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_driver_cvss3_impact_score_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_age_of_vuln_lower_bound_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_age_of_vuln_upper_bound_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_cvss_impact_score_predicted_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_exploit_code_maturity_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_product_coverage_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_threat_intensity_last28_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_threat_recency_lower_bound_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_threat_recency_upper_bound_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_score_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_updated_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_cve_id_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_exploit_code_maturity_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_in_the_news_intensity_last30_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_in_the_news_recency_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_malware_observations_intensity_last30_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_malware_observations_recency_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_on_cisa_kev_label	security_result.detection_fields	Zusammengeführt
update_plugin_vuln_publication_date_label	security_result.detection_fields	Zusammengeführt
update_plugin_xrefs_id_type_label	security_result.detection_fields	Zusammengeführt
update_plugin_xrefs_type_label	security_result.detection_fields	Zusammengeführt
update_scan_started_at_label	security_result.detection_fields	Zusammengeführt
update_severity_default_id_label	security_result.detection_fields	Zusammengeführt
update_severity_id_label	security_result.detection_fields	Zusammengeführt
update_severity_modification_type_label	security_result.detection_fields	Zusammengeführt
updates_asset_netbios_name_label	security_result.detection_fields	Zusammengeführt
updates_plugin_vpr_v2_exploit_probability_label	security_result.detection_fields	Zusammengeführt
updates_plugin_vpr_v2_label	security_result.detection_fields	Zusammengeführt
updates_plugin_vpr_v2_percentile_label	security_result.detection_fields	Zusammengeführt
updates_plugin_vpr_v2_vpr_severity_label	security_result.detection_fields	Zusammengeführt
version_label	security_result.detection_fields	Zusammengeführt
xref_label	security_result.detection_fields	Zusammengeführt
severity	security_result.severity	Direkt zugeordnet
–	entity.asset.attribute.labels.key	Konstante: ssh_fingerprints
–	metadata.entity_type	Konstante: ASSET
–	metadata.product_name	Konstante: Tenable IO
–	metadata.vendor_name	Konstante: Tenable IO
–	security_result.severity	Konstante: CRITICAL

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten