Trellix EPO-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Trellix ePO-Logs mit dem Bindplane-Agenten in Google Security Operations aufnehmen.

Trellix ePO (ehemals McAfee ePolicy Orchestrator) ist eine zentrale Sicherheitsverwaltungsplattform, die eine einheitliche Richtliniendurchsetzung, Echtzeitsichtbarkeit und automatisierte Compliance für Endpoint-Sicherheitsprodukte bietet. Administratoren können damit Sicherheitsrichtlinien verwalten, Agents bereitstellen, Bedrohungen überwachen und Berichte über eine einzige webbasierte Konsole erstellen.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz
• Ein Windows 2016- oder höherer oder Linux-Host mit systemd
• Wenn Sie den Agent hinter einem Proxy ausführen, müssen die Firewallports gemäß den Anforderungen des Bindplane-Agents geöffnet sein.
• Privilegierter Zugriff auf die Trellix ePO-Konsole mit Administratorberechtigungen

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agent bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Alte Bereitstellungen: Verwenden Sie die Datei für die Authentifizierung bei der Aufnahme (Option 2) weiterhin, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud -Konsole an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein, z. B. Bindplane agent log ingestion.
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das von Ihnen erstellte Dienstkonto und rufen Sie den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Konfiguration des Exporters.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Erfassungs-Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie, vor diesem Datum zu Option 1 zu wechseln.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie in diesem Installationsleitfaden.

Hinweis :Für die Konfiguration des Chronicle API-Exporters ist der Bindplane-Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird die neueste Version installiert. Wenn Sie eine vorhandene Installation aktualisieren, führen Sie ein Upgrade des Collectors durch, bevor Sie die Konfiguration ändern.

Bindplane-Agent für die Aufnahme von Syslog und das Senden an Google SecOps konfigurieren

1. Konfigurationsdatei aufrufen:

   • Suchen Sie die Datei config.yaml. In der Regel befindet sie sich unter Linux im Verzeichnis /opt/observiq-otel-collector/ oder unter Windows im Installationsverzeichnis.
   • Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID_HERE
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MCAFEE_EPO'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
   • Ersetzen Sie YOUR_CUSTOMER_ID_HERE durch die tatsächliche Kundennummer.
   • Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, unter dem die Dienstkontoschlüsseldatei (Option 1) in Schritt 1 gespeichert wurde.
   • Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran. Eine vollständige Liste finden Sie unter Regionale Endpunkte.
   • Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.

Exporter für die Legacy Ingestion API

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie creds_file_path auf den Pfad zur Datei für die Authentifizierung bei der Aufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID_HERE
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MCAFEE_EPO'
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

1. Führen Sie den folgenden Befehl aus, um den Bindplane-Agenten unter Linux neu zu starten:

   sudo systemctl restart observiq-otel-collector
   

2. Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Trellix ePO-Syslog-Weiterleitung konfigurieren

1. Melden Sie sich mit Administratoranmeldedaten in der Trellix ePO-Konsole an.
2. Gehen Sie zu Menü > Konfiguration > Registrierte Server.
3. Klicken Sie auf Neuer Server.
4. Wählen Sie in der Drop-down-Liste Servertyp die Option Syslog aus.
5. Geben Sie im Feld Name einen aussagekräftigen Namen ein, z. B. Chronicle-Bindplane.
6. Klicken Sie auf Weiter.
7. Geben Sie im Feld Syslog-Server die IP-Adresse des Bindplane-Agent-Hosts ein (z. B. 192.168.1.100).
8. Geben Sie in das Feld Port den Wert 514 (oder den in Bindplane konfigurierten Port) ein.
9. Wählen Sie in der Drop-down-Liste Protokoll die Option TCP aus.
10. Wählen Sie in der Drop-down-Liste Ereignisformat die Option Common Event Format (CEF) aus.
11. Klicken Sie auf Verbindung testen, um die Verbindung zum Bindplane-Agent zu prüfen.
12. Klicken Sie auf Speichern.
13. Gehen Sie zu Menü > „Automatisierung“ > „Automatische Antworten“.
14. Klicken Sie auf Neue Antwort, um eine neue Regel für automatische Antworten zu erstellen.
15. Geben Sie im Feld Name einen aussagekräftigen Namen ein, z. B. Syslog-Chronicle.
16. Wählen Sie im Drop-down-Menü Ereignisgruppe die weiterzuleitenden Ereignisgruppen aus:
    • ePO-Benachrichtigungsereignisse
    • Bedrohungsereignisse
    • Client-Ereignisse
17. Klicken Sie auf Weiter.
18. Konfigurieren Sie auf dem Tab Filter bei Bedarf Ereignisfilter oder übernehmen Sie die Standardeinstellungen, um alle Ereignisse weiterzuleiten.
19. Klicken Sie auf Weiter.
20. Wählen Sie im Abschnitt Aktionen die Option Syslog senden aus.
21. Wählen Sie in der Drop-down-Liste Syslog-Server den registrierten Syslog-Server (Chronicle-Bindplane) aus.
22. Klicken Sie auf Weiter.

23. Prüfen Sie die Konfiguration und klicken Sie auf Speichern.

    Hinweis :Weitere Informationen finden Sie in der Produktdokumentation zu Trellix ePO.

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
about_token	about	Zusammengeführt
additional_token	additional	Umbenannt/zugeordnet
ActionID_label	additional.fields	Zusammengeführt
BadLinkRatingID_label	additional.fields	Zusammengeführt
ContentID_label	additional.fields	Zusammengeführt
DownloadRatingID_label	additional.fields	Zusammengeführt
Error_label	additional.fields	Zusammengeführt
ExploitRatingID_label	additional.fields	Zusammengeführt
InitiatorID_label	additional.fields	Zusammengeführt
InitiatorType_label	additional.fields	Zusammengeführt
ListID_label	additional.fields	Zusammengeführt
Locale_label	additional.fields	Zusammengeführt
PhishingRatingID_label	additional.fields	Zusammengeführt
PopupRatingID_label	additional.fields	Zusammengeführt
ProductID_label	additional.fields	Zusammengeführt
RatingID_label	additional.fields	Zusammengeführt
ReasonID_label	additional.fields	Zusammengeführt
SiteName_label	additional.fields	Zusammengeführt
SourceProcessSigned_label	additional.fields	Zusammengeführt
SourceProcessSigner_label	additional.fields	Zusammengeführt
SpamRatingID_label	additional.fields	Zusammengeführt
TargetDriveType_label	additional.fields	Zusammengeführt
_field	additional.fields	Zusammengeführt
analyzer_engine_version_label	additional.fields	Zusammengeführt
analyzer_ipv4_label	additional.fields	Zusammengeführt
analyzer_label	additional.fields	Zusammengeführt
analyzer_name_label	additional.fields	Zusammengeführt
analyzerengineversion_label	additional.fields	Zusammengeführt
bps_id_label	additional.fields	Zusammengeführt
client_labels_	additional.fields	Zusammengeführt
description_value_label	additional.fields	Zusammengeführt
detected_utc_label	additional.fields	Zusammengeführt
eventType_label	additional.fields	Zusammengeführt
event_version_label	additional.fields	Zusammengeführt
extradatnames_label	additional.fields	Zusammengeführt
machine_agent_version_label	additional.fields	Zusammengeführt
opg_data_label	additional.fields	Zusammengeführt
product_family_label	additional.fields	Zusammengeführt
product_name_label	additional.fields	Zusammengeführt
server_list_labels	additional.fields	Zusammengeführt
source_ipv4_label	additional.fields	Zusammengeführt
sphotfix_label	additional.fields	Zusammengeführt
target_protocol_label	additional.fields	Zusammengeführt
targetprotocol_label	additional.fields	Zusammengeführt
tenant_guid_label	additional.fields	Zusammengeführt
tenant_id_label	additional.fields	Zusammengeführt
tenant_node_path_label	additional.fields	Zusammengeführt
threat_action_taken_label	additional.fields	Zusammengeführt
time_s_zone_label	additional.fields	Zusammengeführt
timezone_bias_label	additional.fields	Zusammengeführt
type_label	additional.fields	Zusammengeführt
user_info_label	additional.fields	Zusammengeführt
verbuild_label	additional.fields	Zusammengeführt
vermin_label	additional.fields	Zusammengeführt
vermjr_label	additional.fields	Zusammengeführt
verrev_label	additional.fields	Zusammengeführt
workflowid_label	additional.fields	Zusammengeführt
intermediary	intermediary	Zusammengeführt
intermediary1	intermediary	Zusammengeführt
Analyzer	intermediary.application	Direkt zugeordnet
analyzer	intermediary.application	Direkt zugeordnet
AnalyzerHostName	intermediary.asset.hostname	Direkt zugeordnet
AnalyzerMAC	intermediary.asset.mac	Zusammengeführt
AnalyzerHostName	intermediary.hostname	Direkt zugeordnet
analyzerhostname	intermediary.hostname	Direkt zugeordnet
analyzeripv4	intermediary.ip	Zusammengeführt
AnalyzerMAC	intermediary.mac	Zusammengeführt
analyzermac	intermediary.mac	Zusammengeführt
Name	metadata.description	Direkt zugeordnet
event_description	metadata.description	Direkt zugeordnet
eventname	metadata.description	Direkt zugeordnet
scantype	metadata.description	Direkt zugeordnet
tvdeventid	metadata.description	Direkt zugeordnet
event_type	metadata.event_type	Direkt zugeordnet
TenantId	metadata.product_deployment_id	Direkt zugeordnet
EventID	metadata.product_event_type	Direkt zugeordnet
Type	metadata.product_event_type	Direkt zugeordnet
eventType	metadata.product_event_type	Direkt zugeordnet
prod_event_type	metadata.product_event_type	Direkt zugeordnet
product_event_type	metadata.product_event_type	Umbenannt/zugeordnet
tvdeventid	metadata.product_event_type	Direkt zugeordnet
AutoID	metadata.product_log_id	Direkt zugeordnet
AutoId	metadata.product_log_id	Direkt zugeordnet
alertId	metadata.product_log_id	Direkt zugeordnet
autoid	metadata.product_log_id	Direkt zugeordnet
product_log_id	metadata.product_log_id	Umbenannt/zugeordnet
analyzername	metadata.product_name	Direkt zugeordnet
product_name	metadata.product_name	Direkt zugeordnet
AnalyzerVersion	metadata.product_version	Direkt zugeordnet
analyzerversion	metadata.product_version	Direkt zugeordnet
product_version	metadata.product_version	Direkt zugeordnet
productversion	metadata.product_version	Direkt zugeordnet
app_protocol	network.application_protocol	Direkt zugeordnet
target_protocol	network.ip_protocol	Direkt zugeordnet
sys_ip	observer.ip	Zusammengeführt
analyzer_name	observer.namespace	Direkt zugeordnet
principal_token	principal	Umbenannt/zugeordnet
source_user_domain	principal.administrative_domain	Direkt zugeordnet
application_name	principal.application	Direkt zugeordnet
host	principal.application	Direkt zugeordnet
process_name	principal.application	Direkt zugeordnet
source_process_name	principal.application	Direkt zugeordnet
agentguid	principal.asset.asset_id	Direkt zugeordnet
token_new	principal.asset.attribute.labels	Zusammengeführt
SiteName	principal.asset.hostname	Direkt zugeordnet
SourceHostName	principal.asset.hostname	Direkt zugeordnet
host	principal.asset.hostname	Direkt zugeordnet
principal_hostname	principal.asset.hostname	Direkt zugeordnet
source	principal.asset.hostname	Direkt zugeordnet
machine_ip_address	principal.asset.ip	Zusammengeführt
sourceIP	principal.asset.ip	Zusammengeführt
src_ip	principal.asset.ip	Zusammengeführt
SourceMAC	principal.asset.mac	Zusammengeführt
machine_raw_mac_address	principal.asset.mac	Zusammengeführt
AutoGUID	principal.asset.product_object_id	Direkt zugeordnet
autoguid	principal.asset.product_object_id	Direkt zugeordnet
SiteName	principal.hostname	Direkt zugeordnet
SourceHostName	principal.hostname	Direkt zugeordnet
TargetHostName	principal.hostname	Direkt zugeordnet
analyzer_host_name	principal.hostname	Direkt zugeordnet
host	principal.hostname	Direkt zugeordnet
machine_name	principal.hostname	Direkt zugeordnet
prin_host	principal.hostname	Direkt zugeordnet
principal_asset_hostname	principal.hostname	Direkt zugeordnet
principal_machine_name	principal.hostname	Direkt zugeordnet
source_host_name	principal.hostname	Direkt zugeordnet
sourcehostname	principal.hostname	Direkt zugeordnet
machine_ip_address	principal.ip	Zusammengeführt
normalized_ip_address	principal.ip	Zusammengeführt
prin_ip	principal.ip	Zusammengeführt
sourceIP	principal.ip	Zusammengeführt
source_ip	principal.ip	Zusammengeführt
sourceipv4	principal.ip	Zusammengeführt
src_ip	principal.ip	Zusammengeführt
srcip	principal.ip	Zusammengeführt
SourceMAC	principal.mac	Zusammengeführt
machine_raw_mac_address	principal.mac	Zusammengeführt
normalized_mac_address	principal.mac	Zusammengeführt
sourcemac	principal.mac	Zusammengeführt
source_port	principal.port	Direkt zugeordnet
cmd_line	principal.process.command_line	Direkt zugeordnet
eventCommandLine	principal.process.command_line	Direkt zugeordnet
source_process_cmd	principal.process.command_line	Direkt zugeordnet
SourceFilePath	principal.process.file.full_path	Direkt zugeordnet
SourceProcessName	principal.process.file.full_path	Direkt zugeordnet
eventProgramName	principal.process.file.full_path	Direkt zugeordnet
process_name	principal.process.file.full_path	Direkt zugeordnet
prog_name	principal.process.file.full_path	Direkt zugeordnet
sourceprocessname	principal.process.file.full_path	Direkt zugeordnet
SourceProcessHash	principal.process.file.md5	Direkt zugeordnet
Source_FileSize	principal.process.file.size	Direkt zugeordnet
parent_process_name	principal.process.parent_process.file.full_path	Direkt zugeordnet
source_parent_process_id	principal.process.parent_process.pid	Direkt zugeordnet
process_id	principal.process.pid	Direkt zugeordnet
source_process_id	principal.process.pid	Direkt zugeordnet
source_device_sn	principal.resource.id	Direkt zugeordnet
source_product_name	principal.resource.name	Direkt zugeordnet
SourceURL	principal.url	Direkt zugeordnet
sourceurl	principal.url	Direkt zugeordnet
subject	principal.user.group_identifiers	Zusammengeführt
machine_user_name	principal.user.user_display_name	Direkt zugeordnet
source_user_name	principal.user.user_display_name	Direkt zugeordnet
username	principal.user.user_display_name	Direkt zugeordnet
SourceUserName	principal.user.userid	Direkt zugeordnet
clientId	principal.user.userid	Direkt zugeordnet
eventProgramUser	principal.user.userid	Direkt zugeordnet
sourceusername	principal.user.userid	Direkt zugeordnet
sec_res	security_result	Zusammengeführt
security_result	security_result	Zusammengeführt
security_result_token	security_result	Zusammengeführt
virus_type_label	security_result.about.resource.attribute.labels	Zusammengeführt
action	security_result.action	Zusammengeführt
security_action	security_result.action	Zusammengeführt
action_taken	security_result.action_details	Direkt zugeordnet
security_action_details	security_result.action_details	Direkt zugeordnet
threat_action_taken	security_result.action_details	Direkt zugeordnet
category	security_result.category	Zusammengeführt
security_category	security_result.category	Zusammengeführt
ThreatCategory	security_result.category_details	Zusammengeführt
category_details	security_result.category_details	Zusammengeführt
security_category_details	security_result.category_details	Zusammengeführt
threatcategory	security_result.category_details	Zusammengeführt
Data	security_result.description	Direkt zugeordnet
natural_lang_description	security_result.description	Direkt zugeordnet
security_description	security_result.description	Direkt zugeordnet
Access_Requested_label	security_result.detection_fields	Zusammengeführt
Analyzer_ContentVersion_label	security_result.detection_fields	Zusammengeführt
_field	security_result.detection_fields	Zusammengeführt
analyzer_dat_version_label	security_result.detection_fields	Zusammengeführt
analyzer_detection_method_label	security_result.detection_fields	Zusammengeführt
analyzerdatversion_label	security_result.detection_fields	Zusammengeführt
analyzerdetectionmethod_label	security_result.detection_fields	Zusammengeführt
command_executed_label	security_result.detection_fields	Zusammengeführt
label_agent_guid	security_result.detection_fields	Zusammengeführt
label_task_name	security_result.detection_fields	Zusammengeführt
labels0	security_result.detection_fields	Zusammengeführt
return_code_label	security_result.detection_fields	Zusammengeführt
seq_no_label	security_result.detection_fields	Zusammengeführt
server_id_label	security_result.detection_fields	Zusammengeführt
task_id_label	security_result.detection_fields	Zusammengeführt
task_name_label	security_result.detection_fields	Zusammengeführt
threat_event_id_label	security_result.detection_fields	Zusammengeführt
threat_handled_label	security_result.detection_fields	Zusammengeführt
threat_type_label	security_result.detection_fields	Zusammengeführt
threateventid_label	security_result.detection_fields	Zusammengeführt
threathandled_label	security_result.detection_fields	Zusammengeführt
threattype_label	security_result.detection_fields	Zusammengeführt
total_chunks_label	security_result.detection_fields	Zusammengeführt
transaction_id_label	security_result.detection_fields	Zusammengeführt
TVDEventID	security_result.rule_id	Direkt zugeordnet
event_id	security_result.rule_id	Direkt zugeordnet
policy_name	security_result.rule_name	Direkt zugeordnet
rule_name	security_result.rule_name	Direkt zugeordnet
TVDSeverity	security_result.severity_details	Direkt zugeordnet
ThreatSeverity	security_result.severity_details	Direkt zugeordnet
threat_severity	security_result.severity_details	Direkt zugeordnet
threatseverity	security_result.severity_details	Direkt zugeordnet
ThreatActionTaken	security_result.summary	Direkt zugeordnet
ThreatType	security_result.summary	Direkt zugeordnet
detection_message	security_result.summary	Direkt zugeordnet
security_result.severity	security_result.summary	Direkt zugeordnet
security_summary	security_result.summary	Direkt zugeordnet
threat_type	security_result.threat_id	Direkt zugeordnet
ThreatName	security_result.threat_name	Direkt zugeordnet
threat_name	security_result.threat_name	Direkt zugeordnet
threatname	security_result.threat_name	Direkt zugeordnet
src_token	src	Umbenannt/zugeordnet
src_domain	src.administrative_domain	Direkt zugeordnet
source_ip	src.ip	Zusammengeführt
source_port	src.port	Direkt zugeordnet
src_user	src.user.userid	Direkt zugeordnet
target_token	target	Umbenannt/zugeordnet
ProductCode	target.application	Direkt zugeordnet
tar_app	target.application	Direkt zugeordnet
serverid	target.asset.asset_id	Direkt zugeordnet
token_new	target.asset.attribute.labels	Zusammengeführt
HostName	target.asset.hostname	Direkt zugeordnet
TargetHostName	target.asset.hostname	Direkt zugeordnet
target_hostname	target.asset.hostname	Direkt zugeordnet
targetIP	target.asset.ip	Zusammengeführt
TargetMAC	target.asset.mac	Zusammengeführt
AgentGUID	target.asset_id	Direkt zugeordnet
TargetFileName	target.file.full_path	Direkt zugeordnet
target_file_name	target.file.full_path	Direkt zugeordnet
targetfilename	target.file.full_path	Direkt zugeordnet
target_file_size	target.file.size	Umbenannt/zugeordnet
HostName	target.hostname	Direkt zugeordnet
TargetHostName	target.hostname	Direkt zugeordnet
machine_name	target.hostname	Direkt zugeordnet
target_asset_hostname	target.hostname	Direkt zugeordnet
target_host_name	target.hostname	Direkt zugeordnet
targethostname	target.hostname	Direkt zugeordnet
dstip	target.ip	Zusammengeführt
normalized_ip_address	target.ip	Zusammengeführt
targetIP	target.ip	Zusammengeführt
target_ip	target.ip	Zusammengeführt
target_ipv4	target.ip	Direkt zugeordnet
targetipv4_val	target.ip	Zusammengeführt
TargetMAC	target.mac	Zusammengeführt
normalized_mac_address	target.mac	Zusammengeführt
targetmac	target.mac	Zusammengeführt
TenantId	target.namespace	Direkt zugeordnet
tenantid	target.namespace	Direkt zugeordnet
TargetPort	target.port	Direkt zugeordnet
target_port	target.port	Direkt zugeordnet
targetport	target.port	Direkt zugeordnet
TargetProcessName	target.process.file.full_path	Direkt zugeordnet
eventObject	target.process.file.full_path	Direkt zugeordnet
file_name	target.process.file.full_path	Direkt zugeordnet
process_name	target.process.file.full_path	Direkt zugeordnet
target_file_name	target.process.file.full_path	Direkt zugeordnet
target_name	target.process.file.full_path	Direkt zugeordnet
targetprocessname	target.process.file.full_path	Direkt zugeordnet
value_data	target.process.file.full_path	Direkt zugeordnet
hash	target.process.file.md5	Direkt zugeordnet
md5	target.process.file.md5	Direkt zugeordnet
target_hash	target.process.file.md5	Direkt zugeordnet
sha1	target.process.file.sha1	Direkt zugeordnet
target_sha	target.process.file.sha1	Direkt zugeordnet
sha256	target.process.file.sha256	Direkt zugeordnet
file_size	target.process.file.size	Direkt zugeordnet
target_parent_file_name	target.process.parent_process.file.full_path	Direkt zugeordnet
LogonSessionID	target.process.pid	Direkt zugeordnet
tar_pid	target.process.pid	Direkt zugeordnet
key_name	target.registry.registry_key	Direkt zugeordnet
ThreatName	target.resource.name	Direkt zugeordnet
source_url	target.url	Direkt zugeordnet
nodeid_label	target.user.attribute.labels	Zusammengeführt
version_label	target.user.attribute.labels	Zusammengeführt
targetuseremail	target.user.email_addresses	Zusammengeführt
machine_user_name	target.user.user_display_name	Direkt zugeordnet
target_user_name	target.user.user_display_name	Direkt zugeordnet
value	target.user.user_display_name	Direkt zugeordnet
TargetUserName	target.user.userid	Direkt zugeordnet
UserName	target.user.userid	Direkt zugeordnet
UserSID	target.user.windows_sid	Direkt zugeordnet
–	about	Konstante: about_token
–	additional.fields	Konstante: eventType_label
–	intermediary	Konstante: intermediary1
–	intermediary.asset.mac	Konstante: AnalyzerMAC
–	intermediary.ip	Konstante: analyzeripv4
–	intermediary.mac	Konstante: AnalyzerMAC
–	metadata.description	Konstante: No raw event available
–	metadata.event_type	Konstante: GENERIC_EVENT
–	metadata.product_name	Konstante: McAfee EPO
–	metadata.vendor_name	Konstante: McAfee
–	observer.ip	Konstante: sys_ip
–	principal.asset.attribute.labels	Konstante: token_new
–	principal.asset.ip	Konstante: src_ip
–	principal.asset.mac	Konstante: SourceMAC
–	principal.ip	Konstante: src_ip
–	principal.mac	Konstante: SourceMAC
–	principal.platform	Konstante: WINDOWS
–	principal.process.file.size	Konstante: uinteger
–	principal.user.group_identifiers	Konstante: subject
–	security_result	Konstante: sec_res
–	security_result.about.resource.attribute.labels	Konstante: virus_type_label
–	security_result.action	Konstante: action
–	security_result.category	Konstante: category
–	security_result.category_details	Konstante: ThreatCategory
–	security_result.detection_fields	Konstante: threat_event_id_label
–	security_result.severity	Konstante: HIGH
–	src.ip	Konstante: source_ip
–	target.asset.attribute.labels	Konstante: token_new
–	target.asset.ip	Konstante: targetIP
–	target.asset.mac	Konstante: TargetMAC
–	target.ip	Konstante: targetIP
–	target.mac	Konstante: TargetMAC
–	target.process.file.size	Konstante: uinteger
–	target.user.attribute.labels	Konstante: version_label
–	target.user.email_addresses	Konstante: targetuseremail

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten