Collecter les journaux Trellix EPO

Compatible avec :

Google SecOps SIEM

Ce document explique comment ingérer des journaux Trellix ePO dans Google Security Operations à l'aide de l'agent Bindplane.

Trellix ePO (anciennement McAfee ePolicy Orchestrator) est une plate-forme de gestion centralisée de la sécurité qui offre une application unifiée des règles, une visibilité en temps réel et une conformité automatisée pour les produits de sécurité des points de terminaison. Elle permet aux administrateurs de gérer les règles de sécurité, de déployer des agents, de surveiller les menaces et de générer des rapports à partir d'une seule console Web.

Avant de commencer

Assurez-vous de remplir les conditions suivantes :

• Une instance Google SecOps
• Un hôte Windows 2016 ou version ultérieure, ou Linux avec systemd
• Si vous exécutez l'agent derrière un proxy, assurez-vous que les ports de pare-feu sont ouverts conformément aux exigences de l'agent BindPlane.
• Accès privilégié à la console Trellix ePO avec des droits d'administrateur

Obtenir des identifiants Google SecOps pour l'agent BindPlane

Pour authentifier l'agent Bindplane auprès de Google SecOps, choisissez l'une des méthodes suivantes :

• Nouveaux déploiements : utilisez l'API Chronicle (option 1).
• Anciens déploiements : continuez à utiliser le fichier d'authentification d'ingestion (option 2) jusqu'à l'arrêt de l'API Ingestion le 20 juillet 2027.

Option 1 : Créer un compte de service pour l'API Chronicle (recommandé)

1. Connectez-vous à la consoleGoogle Cloud et sélectionnez le projet Google Cloud associé à votre instance Google SecOps.
2. Accédez à IAM et administration > Comptes de service.
3. Cliquez sur Créer un compte de service.
4. Fournissez les informations de configuration suivantes :
   • Nom du compte de service : saisissez un nom pour le compte (par exemple, bindplane-ingest).
   • Description du compte de service : saisissez une description (par exemple, Bindplane agent log ingestion).
5. Cliquez sur Créer et continuer.
6. Dans la section Autoriser ce compte de service à accéder au projet, cliquez sur Sélectionner un rôle, puis sélectionnez Éditeur Chronicle.
7. Cliquez sur Continue (Continuer), puis sur Done (OK).
8. Cliquez sur le compte de service que vous avez créé, puis accédez à l'onglet Clés.
9. Cliquez sur Ajouter une clé > Créer une clé.
10. Sélectionnez JSON, puis cliquez sur Créer. Le fichier de clé est téléchargé sur votre ordinateur.
11. Enregistrez le fichier de clé sous le nom ingestion-auth.json dans le répertoire du collecteur Bindplane (/opt/observiq-otel-collector/ingestion-auth.json sous Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json sous Windows), ou mettez à jour creds_file_path dans config.yaml pour qu'il corresponde au chemin d'accès où vous l'enregistrez.
12. Accédez à IAM et administration > Paramètres, puis copiez le numéro du projet. Vous en aurez besoin pour configurer l'exportateur.

Remarque : La clé JSON est un identifiant. Limitez l'accès au fichier sur l'hôte BindPlane et effectuez une rotation de la clé conformément aux règles de votre organisation.

Option 2 : Télécharger le fichier d'authentification d'ingestion (ancien)

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres > Gestion des données > Agents de collecte. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Agents de collecte.
3. Téléchargez le fichier d'authentification d'ingestion.
4. Enregistrez le fichier de manière sécurisée sur le système où l'agent BindPlane sera installé.

Remarque : Ce fichier authentifie l'agent auprès de l'ancienne API d'ingestion (malachiteingestion-pa.googleapis.com), dont Google a prévu la fin de vie le 20 juillet 2027. Prévoyez de passer à l'option 1 avant cette date.

Obtenir le numéro client Google SecOps

1. Connectez-vous à la console Google SecOps.
2. Accédez à Paramètres > Administration > Profil. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Profil.
3. Copiez et enregistrez le numéro client de la section Détails de l'organisation.

Installer l'agent BindPlane

Installez l'agent BindPlane sur votre système d'exploitation Windows ou Linux en suivant les instructions ci-dessous.

Installation de Windows

1. Ouvrez l'invite de commande ou PowerShell en tant qu'administrateur.

2. Exécutez la commande suivante :

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installation de Linux

1. Ouvrez un terminal avec des droits d'accès racine ou sudo.

2. Exécutez la commande suivante :

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Ressources d'installation supplémentaires

Pour découvrir d'autres options d'installation, consultez ce guide d'installation.

Remarque : La configuration de l'exportateur de l'API Chronicle nécessite le collecteur Bindplane v1.106.0 ou une version ultérieure. Les commandes précédentes installent la dernière version. Si vous mettez à jour une installation existante, mettez à niveau le collecteur avant de modifier la configuration.

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

1. Accédez au fichier de configuration :

   • Trouvez le fichier config.yaml. En général, il se trouve dans le répertoire /opt/observiq-otel-collector/ sous Linux ou dans le répertoire d'installation sous Windows.
   • Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou Notepad).

2. Modifiez le fichier config.yaml comme suit :

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID_HERE
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MCAFEE_EPO'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.
   • Remplacez YOUR_CUSTOMER_ID_HERE par le numéro client réel.
   • Remplacez /path/to/ingestion-authentication-file.json par le chemin d'accès au fichier de clé du compte de service (option 1) enregistré à l'étape 1.
   • Remplacez <LOCATION> par la région de votre instance Google SecOps (par exemple, us, europe ou asia-southeast1). L'exportateur ajoute cette valeur en préfixe à chronicle.googleapis.com. Pour obtenir la liste complète, consultez Points de terminaison régionaux.
   • Remplacez <PROJECT_NUMBER> par le numéro de projet indiqué dans IAM et administration > Paramètres.

Ancien exportateur d'API d'ingestion

• Si vous utilisez le fichier d'authentification d'ingestion de l'option 2, remplacez le bloc exporters par le code suivant. Définissez creds_file_path sur le chemin d'accès au fichier d'authentification d'ingestion. Si votre instance se trouve en dehors des États-Unis, remplacez malachiteingestion-pa.googleapis.com par votre point de terminaison régional (par exemple, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID_HERE
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MCAFEE_EPO'
      raw_log_field: body
      ingestion_labels:
  

Remarque : Cet exportateur cessera de fonctionner lorsque l'API Ingestion sera abandonnée le 20 juillet 2027.

Redémarrez l'agent BindPlane pour appliquer les modifications.

1. Pour redémarrer l'agent BindPlane sous Linux, exécutez la commande suivante :

   sudo systemctl restart observiq-otel-collector
   

2. Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configurer le transfert syslog Trellix ePO

1. Connectez-vous à la console Trellix ePO avec des identifiants d'administrateur.
2. Accédez à Menu > Configuration > Serveurs enregistrés.
3. Cliquez sur New Server (Nouveau serveur).
4. Dans la liste déroulante Type de serveur, sélectionnez Syslog.
5. Dans le champ Nom, saisissez un nom descriptif (par exemple, Chronicle-Bindplane).
6. Cliquez sur Suivant.
7. Dans le champ Syslog Server (Serveur Syslog), saisissez l'adresse IP de l'hôte de l'agent BindPlane (par exemple, 192.168.1.100).
8. Dans le champ Port, saisissez 514 (ou le port configuré dans BindPlane).
9. Dans la liste déroulante Protocole, sélectionnez TCP.
10. Dans la liste déroulante Format d'événement, sélectionnez Common Event Format (CEF).
11. Cliquez sur Tester la connexion pour vérifier la connectivité à l'agent BindPlane.
12. Cliquez sur Enregistrer.
13. Accédez à Menu > Automatisation > Réponses automatiques.
14. Cliquez sur New Response (Nouvelle réponse) pour créer une règle de réponse automatique.
15. Dans le champ Nom, saisissez un nom descriptif (par exemple, Syslog-Chronicle).
16. Dans la liste déroulante Groupe d'événements, sélectionnez les groupes d'événements à transférer :
    • Événements de notification ePO
    • Événements de menace
    • Événements client
17. Cliquez sur Suivant.
18. Dans l'onglet Filtre, configurez les filtres d'événements selon vos besoins (ou laissez les valeurs par défaut pour transférer tous les événements).
19. Cliquez sur Suivant.
20. Dans la section Actions, sélectionnez Envoyer un Syslog.
21. Dans la liste déroulante Serveur Syslog, sélectionnez le serveur Syslog enregistré (Chronicle-Bindplane).
22. Cliquez sur Suivant.

23. Vérifiez la configuration, puis cliquez sur Enregistrer.

    Remarque : Pour en savoir plus, consultez la documentation produit Trellix ePO.

Table de mappage UDM

Champ du journal	Mappage UDM	Logique
about_token	about	Fusionné
additional_token	additional	Renommé/Mappé
ActionID_label	additional.fields	Fusionné
BadLinkRatingID_label	additional.fields	Fusionné
ContentID_label	additional.fields	Fusionné
DownloadRatingID_label	additional.fields	Fusionné
Error_label	additional.fields	Fusionné
ExploitRatingID_label	additional.fields	Fusionné
InitiatorID_label	additional.fields	Fusionné
InitiatorType_label	additional.fields	Fusionné
ListID_label	additional.fields	Fusionné
Locale_label	additional.fields	Fusionné
PhishingRatingID_label	additional.fields	Fusionné
PopupRatingID_label	additional.fields	Fusionné
ProductID_label	additional.fields	Fusionné
RatingID_label	additional.fields	Fusionné
ReasonID_label	additional.fields	Fusionné
SiteName_label	additional.fields	Fusionné
SourceProcessSigned_label	additional.fields	Fusionné
SourceProcessSigner_label	additional.fields	Fusionné
SpamRatingID_label	additional.fields	Fusionné
TargetDriveType_label	additional.fields	Fusionné
_field	additional.fields	Fusionné
analyzer_engine_version_label	additional.fields	Fusionné
analyzer_ipv4_label	additional.fields	Fusionné
analyzer_label	additional.fields	Fusionné
analyzer_name_label	additional.fields	Fusionné
analyzerengineversion_label	additional.fields	Fusionné
bps_id_label	additional.fields	Fusionné
client_labels_	additional.fields	Fusionné
description_value_label	additional.fields	Fusionné
detected_utc_label	additional.fields	Fusionné
eventType_label	additional.fields	Fusionné
event_version_label	additional.fields	Fusionné
extradatnames_label	additional.fields	Fusionné
machine_agent_version_label	additional.fields	Fusionné
opg_data_label	additional.fields	Fusionné
product_family_label	additional.fields	Fusionné
product_name_label	additional.fields	Fusionné
server_list_labels	additional.fields	Fusionné
source_ipv4_label	additional.fields	Fusionné
sphotfix_label	additional.fields	Fusionné
target_protocol_label	additional.fields	Fusionné
targetprotocol_label	additional.fields	Fusionné
tenant_guid_label	additional.fields	Fusionné
tenant_id_label	additional.fields	Fusionné
tenant_node_path_label	additional.fields	Fusionné
threat_action_taken_label	additional.fields	Fusionné
time_s_zone_label	additional.fields	Fusionné
timezone_bias_label	additional.fields	Fusionné
type_label	additional.fields	Fusionné
user_info_label	additional.fields	Fusionné
verbuild_label	additional.fields	Fusionné
vermin_label	additional.fields	Fusionné
vermjr_label	additional.fields	Fusionné
verrev_label	additional.fields	Fusionné
workflowid_label	additional.fields	Fusionné
intermediary	intermediary	Fusionné
intermediary1	intermediary	Fusionné
Analyzer	intermediary.application	Mappage direct
analyzer	intermediary.application	Mappage direct
AnalyzerHostName	intermediary.asset.hostname	Mappage direct
AnalyzerMAC	intermediary.asset.mac	Fusionné
AnalyzerHostName	intermediary.hostname	Mappage direct
analyzerhostname	intermediary.hostname	Mappage direct
analyzeripv4	intermediary.ip	Fusionné
AnalyzerMAC	intermediary.mac	Fusionné
analyzermac	intermediary.mac	Fusionné
Name	metadata.description	Mappage direct
event_description	metadata.description	Mappage direct
eventname	metadata.description	Mappage direct
scantype	metadata.description	Mappage direct
tvdeventid	metadata.description	Mappage direct
event_type	metadata.event_type	Mappage direct
TenantId	metadata.product_deployment_id	Mappage direct
EventID	metadata.product_event_type	Mappage direct
Type	metadata.product_event_type	Mappage direct
eventType	metadata.product_event_type	Mappage direct
prod_event_type	metadata.product_event_type	Mappage direct
product_event_type	metadata.product_event_type	Renommé/Mappé
tvdeventid	metadata.product_event_type	Mappage direct
AutoID	metadata.product_log_id	Mappage direct
AutoId	metadata.product_log_id	Mappage direct
alertId	metadata.product_log_id	Mappage direct
autoid	metadata.product_log_id	Mappage direct
product_log_id	metadata.product_log_id	Renommé/Mappé
analyzername	metadata.product_name	Mappage direct
product_name	metadata.product_name	Mappage direct
AnalyzerVersion	metadata.product_version	Mappage direct
analyzerversion	metadata.product_version	Mappage direct
product_version	metadata.product_version	Mappage direct
productversion	metadata.product_version	Mappage direct
app_protocol	network.application_protocol	Mappage direct
target_protocol	network.ip_protocol	Mappage direct
sys_ip	observer.ip	Fusionné
analyzer_name	observer.namespace	Mappage direct
principal_token	principal	Renommé/Mappé
source_user_domain	principal.administrative_domain	Mappage direct
application_name	principal.application	Mappage direct
host	principal.application	Mappage direct
process_name	principal.application	Mappage direct
source_process_name	principal.application	Mappage direct
agentguid	principal.asset.asset_id	Mappage direct
token_new	principal.asset.attribute.labels	Fusionné
SiteName	principal.asset.hostname	Mappage direct
SourceHostName	principal.asset.hostname	Mappage direct
host	principal.asset.hostname	Mappage direct
principal_hostname	principal.asset.hostname	Mappage direct
source	principal.asset.hostname	Mappage direct
machine_ip_address	principal.asset.ip	Fusionné
sourceIP	principal.asset.ip	Fusionné
src_ip	principal.asset.ip	Fusionné
SourceMAC	principal.asset.mac	Fusionné
machine_raw_mac_address	principal.asset.mac	Fusionné
AutoGUID	principal.asset.product_object_id	Mappage direct
autoguid	principal.asset.product_object_id	Mappage direct
SiteName	principal.hostname	Mappage direct
SourceHostName	principal.hostname	Mappage direct
TargetHostName	principal.hostname	Mappage direct
analyzer_host_name	principal.hostname	Mappage direct
host	principal.hostname	Mappage direct
machine_name	principal.hostname	Mappage direct
prin_host	principal.hostname	Mappage direct
principal_asset_hostname	principal.hostname	Mappage direct
principal_machine_name	principal.hostname	Mappage direct
source_host_name	principal.hostname	Mappage direct
sourcehostname	principal.hostname	Mappage direct
machine_ip_address	principal.ip	Fusionné
normalized_ip_address	principal.ip	Fusionné
prin_ip	principal.ip	Fusionné
sourceIP	principal.ip	Fusionné
source_ip	principal.ip	Fusionné
sourceipv4	principal.ip	Fusionné
src_ip	principal.ip	Fusionné
srcip	principal.ip	Fusionné
SourceMAC	principal.mac	Fusionné
machine_raw_mac_address	principal.mac	Fusionné
normalized_mac_address	principal.mac	Fusionné
sourcemac	principal.mac	Fusionné
source_port	principal.port	Mappage direct
cmd_line	principal.process.command_line	Mappage direct
eventCommandLine	principal.process.command_line	Mappage direct
source_process_cmd	principal.process.command_line	Mappage direct
SourceFilePath	principal.process.file.full_path	Mappage direct
SourceProcessName	principal.process.file.full_path	Mappage direct
eventProgramName	principal.process.file.full_path	Mappage direct
process_name	principal.process.file.full_path	Mappage direct
prog_name	principal.process.file.full_path	Mappage direct
sourceprocessname	principal.process.file.full_path	Mappage direct
SourceProcessHash	principal.process.file.md5	Mappage direct
Source_FileSize	principal.process.file.size	Mappage direct
parent_process_name	principal.process.parent_process.file.full_path	Mappage direct
source_parent_process_id	principal.process.parent_process.pid	Mappage direct
process_id	principal.process.pid	Mappage direct
source_process_id	principal.process.pid	Mappage direct
source_device_sn	principal.resource.id	Mappage direct
source_product_name	principal.resource.name	Mappage direct
SourceURL	principal.url	Mappage direct
sourceurl	principal.url	Mappage direct
subject	principal.user.group_identifiers	Fusionné
machine_user_name	principal.user.user_display_name	Mappage direct
source_user_name	principal.user.user_display_name	Mappage direct
username	principal.user.user_display_name	Mappage direct
SourceUserName	principal.user.userid	Mappage direct
clientId	principal.user.userid	Mappage direct
eventProgramUser	principal.user.userid	Mappage direct
sourceusername	principal.user.userid	Mappage direct
sec_res	security_result	Fusionné
security_result	security_result	Fusionné
security_result_token	security_result	Fusionné
virus_type_label	security_result.about.resource.attribute.labels	Fusionné
action	security_result.action	Fusionné
security_action	security_result.action	Fusionné
action_taken	security_result.action_details	Mappage direct
security_action_details	security_result.action_details	Mappage direct
threat_action_taken	security_result.action_details	Mappage direct
category	security_result.category	Fusionné
security_category	security_result.category	Fusionné
ThreatCategory	security_result.category_details	Fusionné
category_details	security_result.category_details	Fusionné
security_category_details	security_result.category_details	Fusionné
threatcategory	security_result.category_details	Fusionné
Data	security_result.description	Mappage direct
natural_lang_description	security_result.description	Mappage direct
security_description	security_result.description	Mappage direct
Access_Requested_label	security_result.detection_fields	Fusionné
Analyzer_ContentVersion_label	security_result.detection_fields	Fusionné
_field	security_result.detection_fields	Fusionné
analyzer_dat_version_label	security_result.detection_fields	Fusionné
analyzer_detection_method_label	security_result.detection_fields	Fusionné
analyzerdatversion_label	security_result.detection_fields	Fusionné
analyzerdetectionmethod_label	security_result.detection_fields	Fusionné
command_executed_label	security_result.detection_fields	Fusionné
label_agent_guid	security_result.detection_fields	Fusionné
label_task_name	security_result.detection_fields	Fusionné
labels0	security_result.detection_fields	Fusionné
return_code_label	security_result.detection_fields	Fusionné
seq_no_label	security_result.detection_fields	Fusionné
server_id_label	security_result.detection_fields	Fusionné
task_id_label	security_result.detection_fields	Fusionné
task_name_label	security_result.detection_fields	Fusionné
threat_event_id_label	security_result.detection_fields	Fusionné
threat_handled_label	security_result.detection_fields	Fusionné
threat_type_label	security_result.detection_fields	Fusionné
threateventid_label	security_result.detection_fields	Fusionné
threathandled_label	security_result.detection_fields	Fusionné
threattype_label	security_result.detection_fields	Fusionné
total_chunks_label	security_result.detection_fields	Fusionné
transaction_id_label	security_result.detection_fields	Fusionné
TVDEventID	security_result.rule_id	Mappage direct
event_id	security_result.rule_id	Mappage direct
policy_name	security_result.rule_name	Mappage direct
rule_name	security_result.rule_name	Mappage direct
TVDSeverity	security_result.severity_details	Mappage direct
ThreatSeverity	security_result.severity_details	Mappage direct
threat_severity	security_result.severity_details	Mappage direct
threatseverity	security_result.severity_details	Mappage direct
ThreatActionTaken	security_result.summary	Mappage direct
ThreatType	security_result.summary	Mappage direct
detection_message	security_result.summary	Mappage direct
security_result.severity	security_result.summary	Mappage direct
security_summary	security_result.summary	Mappage direct
threat_type	security_result.threat_id	Mappage direct
ThreatName	security_result.threat_name	Mappage direct
threat_name	security_result.threat_name	Mappage direct
threatname	security_result.threat_name	Mappage direct
src_token	src	Renommé/Mappé
src_domain	src.administrative_domain	Mappage direct
source_ip	src.ip	Fusionné
source_port	src.port	Mappage direct
src_user	src.user.userid	Mappage direct
target_token	target	Renommé/Mappé
ProductCode	target.application	Mappage direct
tar_app	target.application	Mappage direct
serverid	target.asset.asset_id	Mappage direct
token_new	target.asset.attribute.labels	Fusionné
HostName	target.asset.hostname	Mappage direct
TargetHostName	target.asset.hostname	Mappage direct
target_hostname	target.asset.hostname	Mappage direct
targetIP	target.asset.ip	Fusionné
TargetMAC	target.asset.mac	Fusionné
AgentGUID	target.asset_id	Mappage direct
TargetFileName	target.file.full_path	Mappage direct
target_file_name	target.file.full_path	Mappage direct
targetfilename	target.file.full_path	Mappage direct
target_file_size	target.file.size	Renommé/Mappé
HostName	target.hostname	Mappage direct
TargetHostName	target.hostname	Mappage direct
machine_name	target.hostname	Mappage direct
target_asset_hostname	target.hostname	Mappage direct
target_host_name	target.hostname	Mappage direct
targethostname	target.hostname	Mappage direct
dstip	target.ip	Fusionné
normalized_ip_address	target.ip	Fusionné
targetIP	target.ip	Fusionné
target_ip	target.ip	Fusionné
target_ipv4	target.ip	Mappage direct
targetipv4_val	target.ip	Fusionné
TargetMAC	target.mac	Fusionné
normalized_mac_address	target.mac	Fusionné
targetmac	target.mac	Fusionné
TenantId	target.namespace	Mappage direct
tenantid	target.namespace	Mappage direct
TargetPort	target.port	Mappage direct
target_port	target.port	Mappage direct
targetport	target.port	Mappage direct
TargetProcessName	target.process.file.full_path	Mappage direct
eventObject	target.process.file.full_path	Mappage direct
file_name	target.process.file.full_path	Mappage direct
process_name	target.process.file.full_path	Mappage direct
target_file_name	target.process.file.full_path	Mappage direct
target_name	target.process.file.full_path	Mappage direct
targetprocessname	target.process.file.full_path	Mappage direct
value_data	target.process.file.full_path	Mappage direct
hash	target.process.file.md5	Mappage direct
md5	target.process.file.md5	Mappage direct
target_hash	target.process.file.md5	Mappage direct
sha1	target.process.file.sha1	Mappage direct
target_sha	target.process.file.sha1	Mappage direct
sha256	target.process.file.sha256	Mappage direct
file_size	target.process.file.size	Mappage direct
target_parent_file_name	target.process.parent_process.file.full_path	Mappage direct
LogonSessionID	target.process.pid	Mappage direct
tar_pid	target.process.pid	Mappage direct
key_name	target.registry.registry_key	Mappage direct
ThreatName	target.resource.name	Mappage direct
source_url	target.url	Mappage direct
nodeid_label	target.user.attribute.labels	Fusionné
version_label	target.user.attribute.labels	Fusionné
targetuseremail	target.user.email_addresses	Fusionné
machine_user_name	target.user.user_display_name	Mappage direct
target_user_name	target.user.user_display_name	Mappage direct
value	target.user.user_display_name	Mappage direct
TargetUserName	target.user.userid	Mappage direct
UserName	target.user.userid	Mappage direct
UserSID	target.user.windows_sid	Mappage direct
N/A	about	Constante : about_token
N/A	additional.fields	Constante : eventType_label
N/A	intermediary	Constante : intermediary1
N/A	intermediary.asset.mac	Constante : AnalyzerMAC
N/A	intermediary.ip	Constante : analyzeripv4
N/A	intermediary.mac	Constante : AnalyzerMAC
N/A	metadata.description	Constante : No raw event available
N/A	metadata.event_type	Constante : GENERIC_EVENT
N/A	metadata.product_name	Constante : McAfee EPO
N/A	metadata.vendor_name	Constante : McAfee
N/A	observer.ip	Constante : sys_ip
N/A	principal.asset.attribute.labels	Constante : token_new
N/A	principal.asset.ip	Constante : src_ip
N/A	principal.asset.mac	Constante : SourceMAC
N/A	principal.ip	Constante : src_ip
N/A	principal.mac	Constante : SourceMAC
N/A	principal.platform	Constante : WINDOWS
N/A	principal.process.file.size	Constante : uinteger
N/A	principal.user.group_identifiers	Constante : subject
N/A	security_result	Constante : sec_res
N/A	security_result.about.resource.attribute.labels	Constante : virus_type_label
N/A	security_result.action	Constante : action
N/A	security_result.category	Constante : category
N/A	security_result.category_details	Constante : ThreatCategory
N/A	security_result.detection_fields	Constante : threat_event_id_label
N/A	security_result.severity	Constante : HIGH
N/A	src.ip	Constante : source_ip
N/A	target.asset.attribute.labels	Constante : token_new
N/A	target.asset.ip	Constante : targetIP
N/A	target.asset.mac	Constante : TargetMAC
N/A	target.ip	Constante : targetIP
N/A	target.mac	Constante : TargetMAC
N/A	target.process.file.size	Constante : uinteger
N/A	target.user.attribute.labels	Constante : version_label
N/A	target.user.email_addresses	Constante : targetuseremail

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.