Tenable Vulnerability Management-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Tenable Vulnerability Management-Logs (früher Tenable.io) in Google Security Operations aufnehmen. Es werden zwei Aufnahmemethoden beschrieben: eine Cloud Storage-Pipeline, die Daten aus der Tenable-Export-API abruft, und ein Tenable-Datenstream, der Daten in einen Amazon S3-Bucket überträgt. Wählen Sie die Methode aus, die zu Ihrer Umgebung passt.

Tenable Vulnerability Management (ehemals Tenable.io) ist eine cloudbasierte Plattform für die Verwaltung von Sicherheitslücken, die auf der Nessus-Technologie basiert. Sie bietet eine umfassende Abdeckung von Sicherheitslücken und kann vorhersagen, welche Sicherheitsprobleme zuerst behoben werden sollten.

Der Parser extrahiert Ergebnisse zu Sicherheitslücken und Assets aus Tenable-JSON-Logs und ordnet die Felder dem UDM zu. Dabei werden Domain-, IPv4- und IPv6-Indikatoren, Schweregrad und Asset-Attribute verarbeitet.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Privilegierter Zugriff auf die Tenable Vulnerability Management-Konsole (Rolle Administrator)
• Für Methode 1 (Google Cloud Storage): ein Google Cloud -Projekt mit aktivierter Abrechnung und Berechtigungen zum Erstellen von Cloud Storage-Buckets, Dienstkonten, Pub/Sub-Themen, Cloud Run-Funktionen und Cloud Scheduler-Jobs
• Für Methode 2 (Amazon S3): ein AWS-Konto mit Berechtigungen zum Erstellen von S3-Buckets und IAM-Rollen (Identity and Access Management) und ‑Nutzern

Sie haben folgende Möglichkeiten:

• Methode 1: Google Cloud Storage Eine Cloud Run-Funktion ruft Daten zu Sicherheitslücken und Assets aus der Tenable Export API ab und schreibt sie in einen Cloud Storage-Bucket. Verwenden Sie diese Methode, um die Pipeline vollständig in Google Cloudzu belassen.
• Methode 2: Amazon S3 Tenable Data Stream überträgt Ihre Tenable-Daten kontinuierlich in einen Amazon S3-Bucket. Verwenden Sie diese Methode, wenn Sie die integrierte Tenable-Push-Integration bevorzugen. Tenable Data Stream unterstützt nur Amazon S3.

Methode 1: Google Cloud Storage

Bei dieser Methode wird eine Cloud Run-Funktion verwendet, die von Cloud Scheduler über Pub/Sub ausgelöst wird, um Daten zu Sicherheitslücken und Assets aus der Tenable Vulnerability Management Export API abzurufen und in einen Cloud Storage-Bucket zu schreiben. Google SecOps nimmt die Daten dann aus dem Bucket auf.

API-Anmeldedaten für Tenable Vulnerability Management erfassen

1. Melden Sie sich unter https://cloud.tenable.com in Tenable Vulnerability Management an.
2. Klicken Sie rechts oben auf Ihr Profilsymbol und wählen Sie Mein Konto aus.
3. Klicken Sie auf API-Schlüssel.
4. Klicken Sie auf Generieren.

5. Kopieren und speichern Sie den Zugriffsschlüssel und den geheimen Schlüssel.

   Hinweis: Die Schlüssel werden nur einmal angezeigt. Durch das Generieren neuer Schlüssel werden die vorhandenen Schlüssel ungültig. Verwenden Sie einen dedizierten Integrationsnutzer mit mindestens der Rolle Basic.

Google Cloud Storage-Bucket erstellen

1. Rufen Sie in der Google Cloud Console Cloud Storage > Buckets auf.
2. Klicken Sie auf Erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie einen global eindeutigen Namen ein, z. B. tenable-vulnerability-logs.
   • Standorttyp: Wählen Sie einen Standort aus.
   • Speicherklasse: Wählen Sie Standard aus.
4. Klicken Sie auf Erstellen.

Dienstkonto für die Cloud Run-Funktion erstellen

1. Rufen Sie in der Google Cloud Console die Seite IAM und Verwaltung > Dienstkonten auf.
2. Klicken Sie auf Dienstkonto erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Dienstkontoname: Geben Sie tenable-collector-sa ein.
   • Beschreibung des Dienstkontos: Geben Sie Service account for the Tenable export collector ein.
4. Klicken Sie auf Erstellen und fortfahren.
5. Klicken Sie auf Fertig.

Dienstkonto Zugriff auf den Bucket gewähren

1. Rufen Sie Cloud Storage > Buckets auf.
2. Klicken Sie auf den Namen Ihres Buckets (z. B. tenable-vulnerability-logs).
3. Wechseln Sie zum Tab Berechtigungen.
4. Klicken Sie auf Zugriff erlauben.
5. Geben Sie die folgenden Konfigurationsdetails an:
   • Hauptkonten hinzufügen: Geben Sie die E-Mail-Adresse des Dienstkontos ein (z. B. tenable-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
   • Rollen zuweisen: Wählen Sie Storage Object Admin aus.
6. Klicken Sie auf Speichern.

Pub/Sub-Thema erstellen

1. Rufen Sie in der Google Cloud Console Pub/Sub > Themen auf.
2. Klicken Sie auf Thema erstellen.
3. Geben Sie eine Themen-ID ein (z. B. tenable-collector-trigger).
4. Klicken Sie auf Erstellen.

Cloud Run-Funktion zum Erfassen von Logs erstellen

Die Cloud Run-Funktion wird durch Pub/Sub-Nachrichten von Cloud Scheduler ausgelöst. Es authentifiziert sich mit Ihren API-Schlüsseln bei der Tenable-Export-API, führt die Schwachstellen- und Asset-Exporte aus und schreibt jeden Exportblock im JSON-Format in den Bucket.

1. Rufen Sie in der Google Cloud Console Cloud Run auf.
2. Klicken Sie auf Dienst erstellen.
3. Wählen Sie Funktion aus, um den Inline-Code-Editor zu verwenden.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Dienstname: Geben Sie tenable-collector ein.
   • Region: Wählen Sie die Region aus, die Ihrem Bucket entspricht (z. B. us-central1).
   • Laufzeit: Wählen Sie Python 3.12 oder höher aus.
5. Im Abschnitt Trigger:
   1. Klicken Sie auf Trigger hinzufügen.
   2. Wählen Sie Cloud Pub/Sub aus.
   3. Wählen Sie unter Cloud Pub/Sub-Thema auswählen die Option tenable-collector-trigger aus.
   4. Klicken Sie auf Speichern.
6. Wählen Sie im Bereich Authentifizierung die Option Authentifizierung erforderlich aus.
7. Maximieren Sie Container, Netzwerk, Sicherheit und legen Sie auf dem Tab Sicherheit für Dienstkonto den Wert tenable-collector-sa fest.

8. Fügen Sie auf dem Tab Container > Variablen und Secrets die folgenden Umgebungsvariablen hinzu:

   Variablenname	Beispielwert
   TIO_ACCESS_KEY	your-tenable-access-key
   TIO_SECRET_KEY	your-tenable-secret-key
   GCS_BUCKET	tenable-vulnerability-logs
   GCS_PREFIX	tenable/
   NUM_ASSETS	1000
   ASSET_CHUNK_SIZE	1000
   SEVERITIES	low,medium,high,critical
   HTTP_TIMEOUT	120

   Hinweis: Verwenden Sie den Zugriffsschlüssel und den geheimen Schlüssel aus dem Abschnitt Tenable Vulnerability Management-API-Anmeldedaten erfassen. In der Produktion sollten Sie die Schlüssel in Secret Manager speichern und als Secrets statt als einfache Umgebungsvariablen referenzieren.

9. Legen Sie das Zeitlimit für Anfragen auf 600 Sekunden und den Arbeitsspeicher auf 512 MiB oder höher fest.

10. Klicken Sie auf Erstellen. Nachdem der Dienst erstellt wurde, wird der Inline-Code-Editor geöffnet.

Funktionscode hinzufügen

1. Geben Sie im Feld Funktionseinstiegspunkt den Wert main ein.

2. Ersetzen Sie im Inline-Code-Editor den Inhalt von requirements.txt durch Folgendes:

   functions-framework==3.*
   google-cloud-storage==2.*
   requests==2.*
   

3. Ersetzen Sie den Inhalt von main.py durch den folgenden Code:

   import json
   import os
   import time
   
   import functions_framework
   import requests
   from google.cloud import storage
   
   BASE = "https://cloud.tenable.com"
   ACCESS_KEY = os.environ["TIO_ACCESS_KEY"]
   SECRET_KEY = os.environ["TIO_SECRET_KEY"]
   GCS_BUCKET = os.environ["GCS_BUCKET"]
   GCS_PREFIX = os.environ.get("GCS_PREFIX", "tenable/")
   NUM_ASSETS = int(os.environ.get("NUM_ASSETS", "1000"))
   ASSET_CHUNK_SIZE = int(os.environ.get("ASSET_CHUNK_SIZE", "1000"))
   SEVERITIES = [s for s in os.environ.get("SEVERITIES", "low,medium,high,critical").split(",") if s]
   HTTP_TIMEOUT = int(os.environ.get("HTTP_TIMEOUT", "120"))
   
   HEADERS = {
       "X-ApiKeys": f"accessKey={ACCESS_KEY};secretKey={SECRET_KEY}",
       "Content-Type": "application/json",
       "Accept": "application/json",
   }
   
   storage_client = storage.Client()
   
   def _request(method, path, **kwargs):
       """Call the Tenable API, honoring HTTP 429 Retry-After. Do not multi-thread."""
       while True:
           resp = requests.request(method, f"{BASE}{path}", headers=HEADERS, timeout=HTTP_TIMEOUT, **kwargs)
           if resp.status_code == 429:
               time.sleep(int(resp.headers.get("Retry-After", "30")))
               continue
           resp.raise_for_status()
           return resp
   
   def _write_chunk(bucket, name, payload):
       """Write one export chunk (a JSON array) to the bucket."""
       blob = bucket.blob(f"{GCS_PREFIX}{name}")
       blob.upload_from_string(json.dumps(payload), content_type="application/json")
   
   def _run_export(bucket, label, request_path, status_kind, body):
       """Request an export, poll until FINISHED, and write each chunk to the bucket."""
       export_uuid = _request("POST", request_path, json=body).json()["export_uuid"]
       written = set()
       while True:
           status = _request("GET", f"/{status_kind}/export/{export_uuid}/status").json()
           for chunk_id in status.get("chunks_available", []):
               if chunk_id in written:
                   continue
               chunk = _request("GET", f"/{status_kind}/export/{export_uuid}/chunks/{chunk_id}").json()
               _write_chunk(bucket, f"{label}_{export_uuid}_{chunk_id}.json", chunk)
               written.add(chunk_id)
           state = status.get("status")
           if state == "FINISHED":
               break
           if state in ("ERROR", "CANCELLED"):
               raise RuntimeError(f"{label} export {export_uuid} ended as {state}")
           time.sleep(15)
       print(f"{label}: wrote {len(written)} chunk(s) for export {export_uuid}")
   
   @functions_framework.cloud_event
   def main(cloud_event):
       bucket = storage_client.bucket(GCS_BUCKET)
       # Vulnerabilities: request path and status/chunk paths both use /vulns/export; body uses num_assets.
       _run_export(
           bucket, "vulns", "/vulns/export", "vulns",
           {"num_assets": NUM_ASSETS, "include_unlicensed": False, "filters": {"severity": SEVERITIES}},
       )
       # Assets: request path is /assets/v2/export (body uses chunk_size); status/chunk paths drop the v2.
       _run_export(
           bucket, "assets", "/assets/v2/export", "assets",
           {"chunk_size": ASSET_CHUNK_SIZE},
       )
       return "ok"
   

4. Klicken Sie auf Speichern und bereitstellen.

Cloud Scheduler-Job erstellen

1. Rufen Sie in der Google Cloud Console Cloud Scheduler auf.
2. Klicken Sie auf Job erstellen.
3. Geben Sie die folgenden Konfigurationsdetails an:
   • Name: Geben Sie tenable-collector-schedule ein.
   • Region: Wählen Sie dieselbe Region wie für die Cloud Run-Funktion aus.
   • Häufigkeit: Geben Sie einen Cron-Zeitplan ein (z. B. 0 */6 * * *, um die Ausführung alle sechs Stunden zu planen).
   • Zeitzone: Wählen Sie Ihre Zeitzone aus.
4. Wählen Sie für Zieltyp die Option Pub/Sub aus.
5. Wählen Sie das Thema tenable-collector-trigger aus.
6. Geben Sie im Feld Inhalt der Nachricht run ein.
7. Klicken Sie auf Erstellen.

Feed in Google SecOps für die Aufnahme aus Google Cloud Storage konfigurieren

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tenable Vulnerability Management GCS.
5. Wählen Sie Google Cloud Storage V2 als Quelltyp aus.
6. Wählen Sie tenable.io als Logtyp aus.
7. Klicken Sie auf Dienstkonto abrufen. Kopieren Sie die angezeigte E‑Mail-Adresse des Dienstkontos.
8. Klicken Sie auf Weiter.
9. Geben Sie Werte für die folgenden Eingabeparameter an:
   • Storage-Bucket-URI: Geben Sie den Bucket-URI einschließlich des Präfixes ein (z. B. gs://tenable-vulnerability-logs/tenable/).
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
10. Klicken Sie auf Weiter, prüfen Sie die Konfiguration und klicken Sie dann auf Senden.

Dem Google SecOps-Dienstkonto Zugriff auf den Bucket gewähren

1. Rufen Sie Cloud Storage > Buckets auf und klicken Sie auf den Namen Ihres Buckets.
2. Wechseln Sie zum Tab Berechtigungen und klicken Sie auf Zugriff gewähren.
3. Geben Sie unter Hauptkonten hinzufügen die E-Mail-Adresse des Dienstkontos ein, die Sie aus dem Feed kopiert haben.
4. Weisen Sie die Rolle Storage Object Viewer zu (oder Storage Object Admin, wenn Sie eine Option zum Löschen der Quelle ausgewählt haben).
5. Klicken Sie auf Speichern.

Methode 2: Amazon S3

Bei dieser Methode wird Tenable Data Stream verwendet, um Ihre Tenable-Daten kontinuierlich im JSON-Format in einen Amazon S3-Bucket zu übertragen. Google SecOps nimmt die Daten dann aus dem Bucket auf. Tenable Data Stream unterstützt nur Amazon S3 und authentifiziert sich bei Ihrem AWS-Konto über eine IAM-Rolle, die Tenable annimmt (eine kontoübergreifende Vertrauensbeziehung mit einer externen ID).

Amazon S3-Bucket erstellen

1. Erstellen Sie einen Amazon S3-Bucket. Folgen Sie dazu der AWS-Anleitung Bucket erstellen.
2. Speichern Sie den Namen und die Region des Buckets für später (z. B. tenable-vm-logs).

IAM-Rolle für Tenable Data Stream erstellen

Tenable übernimmt diese Rolle, um Daten in Ihren Bucket zu schreiben. Tenable stellt die genaue Vertrauensrichtlinie und Bucket-Richtlinie in der Konsole bereit, einschließlich des Tenable-AWS-Kontos und einer generierten externen ID.

1. Gehen Sie in Tenable Vulnerability Management zu Einstellungen > Tenable Data Stream und klicken Sie auf Integration hinzufügen. Lassen Sie dieses Dialogfeld geöffnet, um die Vertrauensrichtlinie und die externe ID in einem späteren Schritt zu kopieren.
2. Rufen Sie in der AWS-Konsole IAM > Roles > Create role auf.

3. Wählen Sie Benutzerdefinierte Vertrauensrichtlinie aus und fügen Sie die Vertrauensrichtlinie aus dem Bereich IAM-Rollenrichtlinien von Tenable ein. Klicken Sie dazu auf Vertrauensrichtlinie kopieren. Die Vertrauensrichtlinie hat die folgende Form:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": { "AWS": "arn:aws:iam::<TENABLE_AWS_ACCOUNT_ID>:root" },
               "Action": "sts:AssumeRole",
               "Condition": { "StringEquals": { "sts:ExternalId": "<TENABLE_EXTERNAL_ID>" } }
           }
       ]
   }
   

4. Klicken Sie auf Weiter und erstellen Sie eine Richtlinie, die Tenable Schreibzugriff auf den Bucket gewährt. Ersetzen Sie dabei tenable-vm-logs durch den Namen Ihres Buckets:

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": ["s3:PutObject", "s3:GetBucketLocation", "s3:ListBucket"],
               "Resource": [
                   "arn:aws:s3:::tenable-vm-logs",
                   "arn:aws:s3:::tenable-vm-logs/*"
               ]
           }
       ]
   }
   

   Hinweis: Wenn der Bucket die SSE-KMS-Verschlüsselung verwendet, weisen Sie dem KMS-Schlüssel auch die Rolle kms:GenerateDataKey zu.

5. Geben Sie einen Rollennamen ein (z. B. TenableDataStreamRole) und klicken Sie auf Rolle erstellen. Speichern Sie den Rollennamen und Ihre AWS-Konto-ID.

Tenable-Datenstream konfigurieren

1. Kehren Sie in Tenable Verwaltung von Sicherheitslücken (Einstellungen > Tenable Data Stream) zum Dialogfeld Integration hinzufügen zurück.
2. Geben Sie die folgenden Konfigurationsdetails an:
   • Integrationsname: Geben Sie einen aussagekräftigen Namen ein (z. B. Google SecOps Integration).
   • Integrationstyp: Wählen Sie AWS S3 aus (die einzige verfügbare Option).
   • Integrationsdaten: Wählen Sie die Datentypen aus, die gestreamt werden sollen (z. B. Assets, Sicherheitslücken und Hostprüfung).
   • E-Mail-Benachrichtigung (optional): Geben Sie eine E-Mail-Adresse ein, um benachrichtigt zu werden, wenn sich der Streamstatus ändert.
3. Klicken Sie auf Weiter und geben Sie die Details der IAM-Rolle an:
   • AWS-Konto-ID: Geben Sie Ihre AWS-Konto-ID ein.
   • IAM-Rollenname: Geben Sie die von Ihnen erstellte Rolle ein (z. B. TenableDataStreamRole).
   • Externe ID: Verwenden Sie die externe ID, die von Tenable in diesem Dialogfeld angezeigt wird (derselbe Wert, auf den in der Vertrauensrichtlinie verwiesen wird).
4. Klicken Sie auf Weiter und geben Sie die Bucket-Details an:
   • S3-Bucket-Name: Geben Sie den Bucket-Namen ein (z. B. tenable-vm-logs).
   • Pfadpräfix: Geben Sie ein Präfix zum Organisieren von Dateien ein (z. B. tenable/).

5. Klicken Sie auf Speichern. Tenable schreibt kontinuierlich JSON-Daten in Ihren Bucket.

   Hinweis: Löschen Sie die Rolle nicht, ändern Sie nicht ihre Vertrauensbeziehung und entfernen Sie nach der Einrichtung nicht die Bucket-Berechtigungen, da dies die häufigsten Ursachen für einen fehlgeschlagenen Stream sind.

IAM-Nutzer für Google SecOps erstellen, um den Bucket zu lesen

Google SecOps liest den Bucket mit einem separaten IAM-Nutzer mit Lesezugriff. Diese Identität ist unabhängig von der Rolle, die Tenable zum Schreiben verwendet.

1. Rufen Sie in der AWS-Konsole IAM > Nutzer > Nutzer erstellen auf.
2. Geben Sie einen Nutzernamen ein (z. B. secops-tenable-reader) und klicken Sie auf Weiter.
3. Klicken Sie auf Weiter und dann auf Nutzer erstellen.

4. Wählen Sie den Nutzer aus, rufen Sie den Tab Berechtigungen auf und klicken Sie auf Berechtigungen hinzufügen > Inline-Richtlinie erstellen > JSON. Fügen Sie die folgende Richtlinie mit Lesezugriff ein (ersetzen Sie tenable-vm-logs durch Ihren Bucket-Namen):

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": ["s3:GetObject", "s3:ListBucket", "s3:GetBucketLocation"],
               "Resource": [
                   "arn:aws:s3:::tenable-vm-logs",
                   "arn:aws:s3:::tenable-vm-logs/*"
               ]
           }
       ]
   }
   

   Hinweis: Wenn Sie im Feed eine Option zum Löschen der Quelle auswählen, müssen Sie auch s3:DeleteObject für arn:aws:s3:::tenable-vm-logs/* gewähren.

5. Wechseln Sie zum Tab Sicherheitsanmeldedaten und klicken Sie auf Zugriffsschlüssel erstellen.

6. Wählen Sie als Anwendungsfall Drittanbieterdienst aus, klicken Sie auf Weiter und dann auf Zugriffsschlüssel erstellen.

7. Kopieren und speichern Sie den Zugriffsschlüssel und den geheimen Zugriffsschlüssel.

Feed in Google SecOps für die Aufnahme aus Amazon S3 konfigurieren

1. Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
2. Klicken Sie auf Neuen Feed hinzufügen.
3. Klicken Sie auf Einzelnen Feed konfigurieren.
4. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Tenable Vulnerability Management S3.
5. Wählen Sie als Quelltyp Amazon S3 V2 aus.
6. Wählen Sie tenable.io als Logtyp aus.
7. Klicken Sie auf Weiter.
8. Geben Sie Werte für die folgenden Eingabeparameter an:
   • S3-URI: Geben Sie den Bucket-URI einschließlich des Präfixes ein (z. B. s3://tenable-vm-logs/tenable/).
   • Option zum Löschen der Quelle: Wählen Sie die gewünschte Option zum Löschen aus.
   • Maximales Dateialter: Dateien einschließen, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
   • Zugriffsschlüssel-ID: Geben Sie den IAM-Nutzerzugriffsschlüssel mit Lesezugriff ein.
   • Geheimer Zugriffsschlüssel: Geben Sie den geheimen Schlüssel des IAM-Nutzers mit Lesezugriff ein.
9. Klicken Sie auf Weiter, prüfen Sie die Konfiguration und klicken Sie dann auf Senden.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
payload.path	about.file.full_path	Direkt zugeordnet
payload.md5	about.file.md5	Direkt zugeordnet
asset.uuid	entity.asset.asset_id	Direkt zugeordnet
id	entity.asset.asset_id	Direkt zugeordnet
payload_id	entity.asset.asset_id	Direkt zugeordnet
ssh_fingerprints.0	entity.asset.attribute.labels.value	Direkt zugeordnet
system_types.0	entity.asset.attribute.labels.value	Direkt zugeordnet
asset.hostname	entity.asset.hostname	Direkt zugeordnet
asset.last_scan_target	entity.asset.hostname	Direkt zugeordnet
host	entity.asset.hostname	Direkt zugeordnet
scan.target	entity.asset.hostname	Direkt zugeordnet
asset.ipv4	entity.asset.ip	Zusammengeführt
ip	entity.asset.ip	Zusammengeführt
ipaddr	entity.asset.ip	Zusammengeführt
prinIP	entity.asset.ip	Zusammengeführt
scan_ipaddr	entity.asset.ip	Zusammengeführt
updateIndex	entity.asset.ip	Zugeordnet: 0 → update_ipv4_0
update_ipv4_0	entity.asset.ip	Zusammengeführt
asset.mac_address	entity.asset.mac	Zusammengeführt
mac	entity.asset.mac	Zusammengeführt
fqdns.0	entity.asset.network_domain	Direkt zugeordnet
netbios_names.0	entity.asset.network_domain	Direkt zugeordnet
os_family	entity.asset.platform_software.platform	Direkt zugeordnet
asset.operating_system.0	entity.asset.platform_software.platform_version	Direkt zugeordnet
asset.uuid	entity.asset.product_object_id	Direkt zugeordnet
id	entity.asset.product_object_id	Direkt zugeordnet
payload_id	entity.asset.product_object_id	Direkt zugeordnet
vuln.vulnerabilities	entity.asset.vulnerabilities	Zusammengeführt
vuln1.vulnerabilities	entity.asset.vulnerabilities	Zusammengeführt
vuln2.vulnerabilities	entity.asset.vulnerabilities	Zusammengeführt
asset.device_type	metadata.description	Direkt zugeordnet
plugin.description	metadata.description	Direkt zugeordnet
has_entity_asset	metadata.entity_type	Zugeordnet: true → ASSET
first_found	metadata.event_timestamp	Geparst als ISO8601
last_found	metadata.event_timestamp	Geparst als ISO8601
scan.completed_at	metadata.event_timestamp	Geparst als ISO8601
scan.started_at	metadata.event_timestamp	Geparst als ISO8601
has_entity_asset	metadata.product_name	Zugeordnet: true → Tenable IO
has_entity_asset	metadata.vendor_name	Zugeordnet: true → Tenable IO
port.protocol	network.ip_protocol	Direkt zugeordnet
asset.network_id	network.session_id	Direkt zugeordnet
sec_res.description	security_result.description	Direkt zugeordnet
asset_agent_uuid_label	security_result.detection_fields	Zusammengeführt
asset_bios_uuid_label	security_result.detection_fields	Zusammengeführt
asset_netbios_name_label	security_result.detection_fields	Zusammengeführt
finding_id_label	security_result.detection_fields	Zusammengeführt
plugin_family_id_label	security_result.detection_fields	Zusammengeführt
plugin_family_label	security_result.detection_fields	Zusammengeführt
plugin_risk_factor_label	security_result.detection_fields	Zusammengeführt
plugin_xrefs_label	security_result.detection_fields	Zusammengeführt
risk_factor_label	security_result.detection_fields	Zusammengeführt
scan_label	security_result.detection_fields	Zusammengeführt
scan_schedule_uuid_label	security_result.detection_fields	Zusammengeführt
scan_started_at_label	security_result.detection_fields	Zusammengeführt
scan_uuid_label	security_result.detection_fields	Zusammengeführt
see_also_label	security_result.detection_fields	Zusammengeführt
severity_default_id_label	security_result.detection_fields	Zusammengeführt
severity_id_label	security_result.detection_fields	Zusammengeführt
severity_label	security_result.detection_fields	Zusammengeführt
severity_modification_type_label	security_result.detection_fields	Zusammengeführt
update_finding_id_label	security_result.detection_fields	Zusammengeführt
update_first_scan_time_label	security_result.detection_fields	Zusammengeführt
update_last_licensed_scan_date_label	security_result.detection_fields	Zusammengeführt
update_last_scan_id_label	security_result.detection_fields	Zusammengeführt
update_last_scan_time_label	security_result.detection_fields	Zusammengeführt
update_last_schedule_id_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_access_complexity_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_access_vector_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_authentication_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_availability_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_confidentiality_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_integrity_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_privileges_required_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_raw_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss3_vector_user_interaction_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_base_score_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_access_complexity_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_access_vector_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_authentication_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_availability_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_confidentiality_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_integrity_impact_label	security_result.detection_fields	Zusammengeführt
update_plugin_cvss_vector_raw_label	security_result.detection_fields	Zusammengeführt
update_plugin_see_also_label	security_result.detection_fields	Zusammengeführt
update_plugin_stig_severity_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_driver_cvss3_impact_score_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_age_of_vuln_lower_bound_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_age_of_vuln_upper_bound_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_cvss_impact_score_predicted_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_exploit_code_maturity_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_product_coverage_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_threat_intensity_last28_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_threat_recency_lower_bound_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_drivers_threat_recency_upper_bound_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_score_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_updated_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_cve_id_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_exploit_code_maturity_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_in_the_news_intensity_last30_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_in_the_news_recency_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_malware_observations_intensity_last30_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_malware_observations_recency_label	security_result.detection_fields	Zusammengeführt
update_plugin_vpr_v2_on_cisa_kev_label	security_result.detection_fields	Zusammengeführt
update_plugin_vuln_publication_date_label	security_result.detection_fields	Zusammengeführt
update_plugin_xrefs_id_type_label	security_result.detection_fields	Zusammengeführt
update_plugin_xrefs_type_label	security_result.detection_fields	Zusammengeführt
update_scan_started_at_label	security_result.detection_fields	Zusammengeführt
update_severity_default_id_label	security_result.detection_fields	Zusammengeführt
update_severity_id_label	security_result.detection_fields	Zusammengeführt
update_severity_modification_type_label	security_result.detection_fields	Zusammengeführt
updates_asset_netbios_name_label	security_result.detection_fields	Zusammengeführt
updates_plugin_vpr_v2_exploit_probability_label	security_result.detection_fields	Zusammengeführt
updates_plugin_vpr_v2_label	security_result.detection_fields	Zusammengeführt
updates_plugin_vpr_v2_percentile_label	security_result.detection_fields	Zusammengeführt
updates_plugin_vpr_v2_vpr_severity_label	security_result.detection_fields	Zusammengeführt
version_label	security_result.detection_fields	Zusammengeführt
xref_label	security_result.detection_fields	Zusammengeführt
severity	security_result.severity	Direkt zugeordnet
–	entity.asset.attribute.labels.key	Konstante: ssh_fingerprints
–	metadata.entity_type	Konstante: ASSET
–	metadata.product_name	Konstante: Tenable IO
–	metadata.vendor_name	Konstante: Tenable IO
–	security_result.severity	Konstante: CRITICAL

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten