איסוף יומני Trellix EPO

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני Trellix ePO ב-Google Security Operations באמצעות סוכן Bindplane.

‫Trellix ePO (לשעבר McAfee ePolicy Orchestrator) היא פלטפורמה מרכזית לניהול אבטחה, שמאפשרת לאכוף מדיניות אחידה, לראות נתונים בזמן אמת ולעמוד בדרישות באופן אוטומטי בכל מוצרי האבטחה של נקודות הקצה. הוא מאפשר לאדמינים לנהל את מדיניות האבטחה, לפרוס סוכנים, לעקוב אחרי איומים וליצור דוחות ממסוף אחד מבוסס-אינטרנט.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps
  • מארח עם Windows 2016 ואילך או Linux עם systemd
  • אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה מורשית למסוף Trellix ePO עם הרשאות אדמין

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על Create service account.
  4. מזינים את פרטי ההגדרה הבאים:
    • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים בנושא התקנה

אפשרויות התקנה נוספות מפורטות במדריך ההתקנה.

הגדרת Bindplane Agent להטמעת Syslog ושליחה ל-Google SecOps

  1. גישה לקובץ התצורה:

    • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
    • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או פנקס הרשימות).

  2. עורכים את הקובץ config.yaml:

    receivers:
  tcplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_EPO'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels
    • מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
    • מחליפים את YOUR_CUSTOMER_ID_HERE במספר הלקוח בפועל.
    • מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בשלב 1.
    • מחליפים את <LOCATION> באזור של המופע של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המערכת מוסיפה את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
    • מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.

מייצא API להטמעה מדור קודם

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID_HERE
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'MCAFEE_EPO'
    raw_log_field: body
    ingestion_labels:

מפעילים מחדש את Bindplane Agent כדי להחיל את השינויים.

  1. כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

  2. כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

    net stop observiq-otel-collector && net start observiq-otel-collector

הגדרת העברת syslog של Trellix ePO

  1. נכנסים למסוף Trellix ePO באמצעות פרטי כניסה של אדמין.
  2. עוברים אל תפריט > הגדרה > שרתים רשומים.
  3. לוחצים על שרת חדש.
  4. ברשימה הנפתחת Server type, בוחרים באפשרות Syslog.
  5. בשדה Name, מזינים שם תיאורי (לדוגמה, Chronicle-Bindplane).
  6. לוחצים על הבא.
  7. בשדה שרת Syslog, מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
  8. בשדה Port, מזינים 514 (או את היציאה שהוגדרה ב-Bindplane).
  9. ברשימה הנפתחת Protocol, בוחרים באפשרות TCP.
  10. ברשימה הנפתחת Event format, בוחרים באפשרות Common Event Format (CEF)‎.
  11. לוחצים על Test Connection כדי לוודא שיש קישוריות לסוכן Bindplane.
  12. לוחצים על Save.
  13. עוברים אל תפריט > אוטומציה > תגובות אוטומטיות.
  14. לוחצים על תגובה חדשה כדי ליצור כלל חדש לתגובה אוטומטית.
  15. בשדה Name, מזינים שם תיאורי (לדוגמה, Syslog-Chronicle).
  16. ברשימה הנפתחת Event Group, בוחרים את קבוצות האירועים שרוצים להעביר:
    • אירועי התראות ב-ePO
    • אירועי איומים
    • אירועים בצד הלקוח
  17. לוחצים על הבא.
  18. בכרטיסייה מסנן, מגדירים מסנני אירועים לפי הצורך (או משאירים את ברירות המחדל כדי להעביר את כל האירועים).
  19. לוחצים על הבא.
  20. בקטע פעולות, בוחרים באפשרות שליחת Syslog.
  21. בתפריט הנפתח Syslog Server, בוחרים את שרת ה-syslog הרשום (Chronicle-Bindplane).
  22. לוחצים על הבא.

  23. בודקים את ההגדרות ולוחצים על שמירה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
about_token about ממוזג
additional_token additional שינוי שם/מיפוי
ActionID_label additional.fields ממוזג
BadLinkRatingID_label additional.fields ממוזג
ContentID_label additional.fields ממוזג
DownloadRatingID_label additional.fields ממוזג
Error_label additional.fields ממוזג
ExploitRatingID_label additional.fields ממוזג
InitiatorID_label additional.fields ממוזג
InitiatorType_label additional.fields ממוזג
ListID_label additional.fields ממוזג
Locale_label additional.fields ממוזג
PhishingRatingID_label additional.fields ממוזג
PopupRatingID_label additional.fields ממוזג
ProductID_label additional.fields ממוזג
RatingID_label additional.fields ממוזג
ReasonID_label additional.fields ממוזג
SiteName_label additional.fields ממוזג
SourceProcessSigned_label additional.fields ממוזג
SourceProcessSigner_label additional.fields ממוזג
SpamRatingID_label additional.fields ממוזג
TargetDriveType_label additional.fields ממוזג
_field additional.fields ממוזג
analyzer_engine_version_label additional.fields ממוזג
analyzer_ipv4_label additional.fields ממוזג
analyzer_label additional.fields ממוזג
analyzer_name_label additional.fields ממוזג
analyzerengineversion_label additional.fields ממוזג
bps_id_label additional.fields ממוזג
client_labels_ additional.fields ממוזג
description_value_label additional.fields ממוזג
detected_utc_label additional.fields ממוזג
eventType_label additional.fields ממוזג
event_version_label additional.fields ממוזג
extradatnames_label additional.fields ממוזג
machine_agent_version_label additional.fields ממוזג
opg_data_label additional.fields ממוזג
product_family_label additional.fields ממוזג
product_name_label additional.fields ממוזג
server_list_labels additional.fields ממוזג
source_ipv4_label additional.fields ממוזג
sphotfix_label additional.fields ממוזג
target_protocol_label additional.fields ממוזג
targetprotocol_label additional.fields ממוזג
tenant_guid_label additional.fields ממוזג
tenant_id_label additional.fields ממוזג
tenant_node_path_label additional.fields ממוזג
threat_action_taken_label additional.fields ממוזג
time_s_zone_label additional.fields ממוזג
timezone_bias_label additional.fields ממוזג
type_label additional.fields ממוזג
user_info_label additional.fields ממוזג
verbuild_label additional.fields ממוזג
vermin_label additional.fields ממוזג
vermjr_label additional.fields ממוזג
verrev_label additional.fields ממוזג
workflowid_label additional.fields ממוזג
intermediary intermediary ממוזג
intermediary1 intermediary ממוזג
Analyzer intermediary.application מיפוי ישיר
analyzer intermediary.application מיפוי ישיר
AnalyzerHostName intermediary.asset.hostname מיפוי ישיר
AnalyzerMAC intermediary.asset.mac ממוזג
AnalyzerHostName intermediary.hostname מיפוי ישיר
analyzerhostname intermediary.hostname מיפוי ישיר
analyzeripv4 intermediary.ip ממוזג
AnalyzerMAC intermediary.mac ממוזג
analyzermac intermediary.mac ממוזג
Name metadata.description מיפוי ישיר
event_description metadata.description מיפוי ישיר
eventname metadata.description מיפוי ישיר
scantype metadata.description מיפוי ישיר
tvdeventid metadata.description מיפוי ישיר
event_type metadata.event_type מיפוי ישיר
TenantId metadata.product_deployment_id מיפוי ישיר
EventID metadata.product_event_type מיפוי ישיר
Type metadata.product_event_type מיפוי ישיר
eventType metadata.product_event_type מיפוי ישיר
prod_event_type metadata.product_event_type מיפוי ישיר
product_event_type metadata.product_event_type שינוי שם/מיפוי
tvdeventid metadata.product_event_type מיפוי ישיר
AutoID metadata.product_log_id מיפוי ישיר
AutoId metadata.product_log_id מיפוי ישיר
alertId metadata.product_log_id מיפוי ישיר
autoid metadata.product_log_id מיפוי ישיר
product_log_id metadata.product_log_id שינוי שם/מיפוי
analyzername metadata.product_name מיפוי ישיר
product_name metadata.product_name מיפוי ישיר
AnalyzerVersion metadata.product_version מיפוי ישיר
analyzerversion metadata.product_version מיפוי ישיר
product_version metadata.product_version מיפוי ישיר
productversion metadata.product_version מיפוי ישיר
app_protocol network.application_protocol מיפוי ישיר
target_protocol network.ip_protocol מיפוי ישיר
sys_ip observer.ip ממוזג
analyzer_name observer.namespace מיפוי ישיר
principal_token principal שינוי שם/מיפוי
source_user_domain principal.administrative_domain מיפוי ישיר
application_name principal.application מיפוי ישיר
host principal.application מיפוי ישיר
process_name principal.application מיפוי ישיר
source_process_name principal.application מיפוי ישיר
agentguid principal.asset.asset_id מיפוי ישיר
token_new principal.asset.attribute.labels ממוזג
SiteName principal.asset.hostname מיפוי ישיר
SourceHostName principal.asset.hostname מיפוי ישיר
host principal.asset.hostname מיפוי ישיר
principal_hostname principal.asset.hostname מיפוי ישיר
source principal.asset.hostname מיפוי ישיר
machine_ip_address principal.asset.ip ממוזג
sourceIP principal.asset.ip ממוזג
src_ip principal.asset.ip ממוזג
SourceMAC principal.asset.mac ממוזג
machine_raw_mac_address principal.asset.mac ממוזג
AutoGUID principal.asset.product_object_id מיפוי ישיר
autoguid principal.asset.product_object_id מיפוי ישיר
SiteName principal.hostname מיפוי ישיר
SourceHostName principal.hostname מיפוי ישיר
TargetHostName principal.hostname מיפוי ישיר
analyzer_host_name principal.hostname מיפוי ישיר
host principal.hostname מיפוי ישיר
machine_name principal.hostname מיפוי ישיר
prin_host principal.hostname מיפוי ישיר
principal_asset_hostname principal.hostname מיפוי ישיר
principal_machine_name principal.hostname מיפוי ישיר
source_host_name principal.hostname מיפוי ישיר
sourcehostname principal.hostname מיפוי ישיר
machine_ip_address principal.ip ממוזג
normalized_ip_address principal.ip ממוזג
prin_ip principal.ip ממוזג
sourceIP principal.ip ממוזג
source_ip principal.ip ממוזג
sourceipv4 principal.ip ממוזג
src_ip principal.ip ממוזג
srcip principal.ip ממוזג
SourceMAC principal.mac ממוזג
machine_raw_mac_address principal.mac ממוזג
normalized_mac_address principal.mac ממוזג
sourcemac principal.mac ממוזג
source_port principal.port מיפוי ישיר
cmd_line principal.process.command_line מיפוי ישיר
eventCommandLine principal.process.command_line מיפוי ישיר
source_process_cmd principal.process.command_line מיפוי ישיר
SourceFilePath principal.process.file.full_path מיפוי ישיר
SourceProcessName principal.process.file.full_path מיפוי ישיר
eventProgramName principal.process.file.full_path מיפוי ישיר
process_name principal.process.file.full_path מיפוי ישיר
prog_name principal.process.file.full_path מיפוי ישיר
sourceprocessname principal.process.file.full_path מיפוי ישיר
SourceProcessHash principal.process.file.md5 מיפוי ישיר
Source_FileSize principal.process.file.size מיפוי ישיר
parent_process_name principal.process.parent_process.file.full_path מיפוי ישיר
source_parent_process_id principal.process.parent_process.pid מיפוי ישיר
process_id principal.process.pid מיפוי ישיר
source_process_id principal.process.pid מיפוי ישיר
source_device_sn principal.resource.id מיפוי ישיר
source_product_name principal.resource.name מיפוי ישיר
SourceURL principal.url מיפוי ישיר
sourceurl principal.url מיפוי ישיר
subject principal.user.group_identifiers ממוזג
machine_user_name principal.user.user_display_name מיפוי ישיר
source_user_name principal.user.user_display_name מיפוי ישיר
username principal.user.user_display_name מיפוי ישיר
SourceUserName principal.user.userid מיפוי ישיר
clientId principal.user.userid מיפוי ישיר
eventProgramUser principal.user.userid מיפוי ישיר
sourceusername principal.user.userid מיפוי ישיר
sec_res security_result ממוזג
security_result security_result ממוזג
security_result_token security_result ממוזג
virus_type_label security_result.about.resource.attribute.labels ממוזג
action security_result.action ממוזג
security_action security_result.action ממוזג
action_taken security_result.action_details מיפוי ישיר
security_action_details security_result.action_details מיפוי ישיר
threat_action_taken security_result.action_details מיפוי ישיר
category security_result.category ממוזג
security_category security_result.category ממוזג
ThreatCategory security_result.category_details ממוזג
category_details security_result.category_details ממוזג
security_category_details security_result.category_details ממוזג
threatcategory security_result.category_details ממוזג
Data security_result.description מיפוי ישיר
natural_lang_description security_result.description מיפוי ישיר
security_description security_result.description מיפוי ישיר
Access_Requested_label security_result.detection_fields ממוזג
Analyzer_ContentVersion_label security_result.detection_fields ממוזג
_field security_result.detection_fields ממוזג
analyzer_dat_version_label security_result.detection_fields ממוזג
analyzer_detection_method_label security_result.detection_fields ממוזג
analyzerdatversion_label security_result.detection_fields ממוזג
analyzerdetectionmethod_label security_result.detection_fields ממוזג
command_executed_label security_result.detection_fields ממוזג
label_agent_guid security_result.detection_fields ממוזג
label_task_name security_result.detection_fields ממוזג
labels0 security_result.detection_fields ממוזג
return_code_label security_result.detection_fields ממוזג
seq_no_label security_result.detection_fields ממוזג
server_id_label security_result.detection_fields ממוזג
task_id_label security_result.detection_fields ממוזג
task_name_label security_result.detection_fields ממוזג
threat_event_id_label security_result.detection_fields ממוזג
threat_handled_label security_result.detection_fields ממוזג
threat_type_label security_result.detection_fields ממוזג
threateventid_label security_result.detection_fields ממוזג
threathandled_label security_result.detection_fields ממוזג
threattype_label security_result.detection_fields ממוזג
total_chunks_label security_result.detection_fields ממוזג
transaction_id_label security_result.detection_fields ממוזג
TVDEventID security_result.rule_id מיפוי ישיר
event_id security_result.rule_id מיפוי ישיר
policy_name security_result.rule_name מיפוי ישיר
rule_name security_result.rule_name מיפוי ישיר
TVDSeverity security_result.severity_details מיפוי ישיר
ThreatSeverity security_result.severity_details מיפוי ישיר
threat_severity security_result.severity_details מיפוי ישיר
threatseverity security_result.severity_details מיפוי ישיר
ThreatActionTaken security_result.summary מיפוי ישיר
ThreatType security_result.summary מיפוי ישיר
detection_message security_result.summary מיפוי ישיר
security_result.severity security_result.summary מיפוי ישיר
security_summary security_result.summary מיפוי ישיר
threat_type security_result.threat_id מיפוי ישיר
ThreatName security_result.threat_name מיפוי ישיר
threat_name security_result.threat_name מיפוי ישיר
threatname security_result.threat_name מיפוי ישיר
src_token src שינוי שם/מיפוי
src_domain src.administrative_domain מיפוי ישיר
source_ip src.ip ממוזג
source_port src.port מיפוי ישיר
src_user src.user.userid מיפוי ישיר
target_token target שינוי שם/מיפוי
ProductCode target.application מיפוי ישיר
tar_app target.application מיפוי ישיר
serverid target.asset.asset_id מיפוי ישיר
token_new target.asset.attribute.labels ממוזג
HostName target.asset.hostname מיפוי ישיר
TargetHostName target.asset.hostname מיפוי ישיר
target_hostname target.asset.hostname מיפוי ישיר
targetIP target.asset.ip ממוזג
TargetMAC target.asset.mac ממוזג
AgentGUID target.asset_id מיפוי ישיר
TargetFileName target.file.full_path מיפוי ישיר
target_file_name target.file.full_path מיפוי ישיר
targetfilename target.file.full_path מיפוי ישיר
target_file_size target.file.size שינוי שם/מיפוי
HostName target.hostname מיפוי ישיר
TargetHostName target.hostname מיפוי ישיר
machine_name target.hostname מיפוי ישיר
target_asset_hostname target.hostname מיפוי ישיר
target_host_name target.hostname מיפוי ישיר
targethostname target.hostname מיפוי ישיר
dstip target.ip ממוזג
normalized_ip_address target.ip ממוזג
targetIP target.ip ממוזג
target_ip target.ip ממוזג
target_ipv4 target.ip מיפוי ישיר
targetipv4_val target.ip ממוזג
TargetMAC target.mac ממוזג
normalized_mac_address target.mac ממוזג
targetmac target.mac ממוזג
TenantId target.namespace מיפוי ישיר
tenantid target.namespace מיפוי ישיר
TargetPort target.port מיפוי ישיר
target_port target.port מיפוי ישיר
targetport target.port מיפוי ישיר
TargetProcessName target.process.file.full_path מיפוי ישיר
eventObject target.process.file.full_path מיפוי ישיר
file_name target.process.file.full_path מיפוי ישיר
process_name target.process.file.full_path מיפוי ישיר
target_file_name target.process.file.full_path מיפוי ישיר
target_name target.process.file.full_path מיפוי ישיר
targetprocessname target.process.file.full_path מיפוי ישיר
value_data target.process.file.full_path מיפוי ישיר
hash target.process.file.md5 מיפוי ישיר
md5 target.process.file.md5 מיפוי ישיר
target_hash target.process.file.md5 מיפוי ישיר
sha1 target.process.file.sha1 מיפוי ישיר
target_sha target.process.file.sha1 מיפוי ישיר
sha256 target.process.file.sha256 מיפוי ישיר
file_size target.process.file.size מיפוי ישיר
target_parent_file_name target.process.parent_process.file.full_path מיפוי ישיר
LogonSessionID target.process.pid מיפוי ישיר
tar_pid target.process.pid מיפוי ישיר
key_name target.registry.registry_key מיפוי ישיר
ThreatName target.resource.name מיפוי ישיר
source_url target.url מיפוי ישיר
nodeid_label target.user.attribute.labels ממוזג
version_label target.user.attribute.labels ממוזג
targetuseremail target.user.email_addresses ממוזג
machine_user_name target.user.user_display_name מיפוי ישיר
target_user_name target.user.user_display_name מיפוי ישיר
value target.user.user_display_name מיפוי ישיר
TargetUserName target.user.userid מיפוי ישיר
UserName target.user.userid מיפוי ישיר
UserSID target.user.windows_sid מיפוי ישיר
לא רלוונטי about קבוע: about_token
לא רלוונטי additional.fields קבוע: eventType_label
לא רלוונטי intermediary קבוע: intermediary1
לא רלוונטי intermediary.asset.mac קבוע: AnalyzerMAC
לא רלוונטי intermediary.ip קבוע: analyzeripv4
לא רלוונטי intermediary.mac קבוע: AnalyzerMAC
לא רלוונטי metadata.description קבוע: No raw event available
לא רלוונטי metadata.event_type קבוע: GENERIC_EVENT
לא רלוונטי metadata.product_name קבוע: McAfee EPO
לא רלוונטי metadata.vendor_name קבוע: McAfee
לא רלוונטי observer.ip קבוע: sys_ip
לא רלוונטי principal.asset.attribute.labels קבוע: token_new
לא רלוונטי principal.asset.ip קבוע: src_ip
לא רלוונטי principal.asset.mac קבוע: SourceMAC
לא רלוונטי principal.ip קבוע: src_ip
לא רלוונטי principal.mac קבוע: SourceMAC
לא רלוונטי principal.platform קבוע: WINDOWS
לא רלוונטי principal.process.file.size קבוע: uinteger
לא רלוונטי principal.user.group_identifiers קבוע: subject
לא רלוונטי security_result קבוע: sec_res
לא רלוונטי security_result.about.resource.attribute.labels קבוע: virus_type_label
לא רלוונטי security_result.action קבוע: action
לא רלוונטי security_result.category קבוע: category
לא רלוונטי security_result.category_details קבוע: ThreatCategory
לא רלוונטי security_result.detection_fields קבוע: threat_event_id_label
לא רלוונטי security_result.severity קבוע: HIGH
לא רלוונטי src.ip קבוע: source_ip
לא רלוונטי target.asset.attribute.labels קבוע: token_new
לא רלוונטי target.asset.ip קבוע: targetIP
לא רלוונטי target.asset.mac קבוע: TargetMAC
לא רלוונטי target.ip קבוע: targetIP
לא רלוונטי target.mac קבוע: TargetMAC
לא רלוונטי target.process.file.size קבוע: uinteger
לא רלוונטי target.user.attribute.labels קבוע: version_label
לא רלוונטי target.user.email_addresses קבוע: targetuseremail

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.