Mengumpulkan log Trellix EPO

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Trellix ePO ke Google Security Operations menggunakan agen Bindplane.

Trellix ePO (sebelumnya McAfee ePolicy Orchestrator) adalah platform pengelolaan keamanan terpusat yang menyediakan penegakan kebijakan terpadu, visibilitas real-time, dan kepatuhan otomatis di seluruh produk keamanan endpoint. Solusi ini memungkinkan administrator mengelola kebijakan keamanan, men-deploy agen, memantau ancaman, dan membuat laporan dari satu konsol berbasis web.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Host Windows 2016 atau yang lebih baru atau Linux dengan systemd
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke konsol Trellix ePO dengan hak istimewa administrator

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.
3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Referensi Penginstalan Tambahan

Untuk opsi penginstalan tambahan, lihat panduan penginstalan ini.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi Agen Bindplane untuk menyerap Syslog dan mengirimkannya ke Google SecOps

1. Akses File Konfigurasi:

   • Cari file config.yaml. Biasanya, file ini berada di direktori /opt/observiq-otel-collector/ di Linux atau di direktori penginstalan di Windows.
   • Buka file menggunakan editor teks (misalnya, nano, vi, atau Notepad).

2. Edit file config.yaml sebagai berikut:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID_HERE
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MCAFEE_EPO'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Ganti port dan alamat IP sesuai kebutuhan di infrastruktur Anda.
   • Ganti YOUR_CUSTOMER_ID_HERE dengan ID Pelanggan yang sebenarnya.
   • Ganti /path/to/ingestion-authentication-file.json dengan jalur file tempat file kunci akun layanan (Opsi 1) disimpan di Langkah 1.
   • Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor akan menambahkan awalan chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
   • Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID_HERE
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MCAFEE_EPO'
      raw_log_field: body
      ingestion_labels:
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Mulai ulang Bindplane Agent untuk menerapkan perubahan

1. Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

   sudo systemctl restart observiq-otel-collector
   

2. Untuk memulai ulang agen Bindplane di Windows, Anda dapat menggunakan konsol Services atau memasukkan perintah berikut:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Mengonfigurasi penerusan syslog Trellix ePO

1. Login ke konsol Trellix ePO dengan kredensial administrator.
2. Buka Menu > Configuration > Registered Servers.
3. Klik New Server.
4. Di menu drop-down Server type, pilih Syslog.
5. Di kolom Name, masukkan nama deskriptif (misalnya, Chronicle-Bindplane).
6. Klik Berikutnya.
7. Di kolom Syslog Server, masukkan alamat IP host agen Bindplane (misalnya, 192.168.1.100).
8. Di kolom Port, masukkan 514 (atau port yang dikonfigurasi di Bindplane).
9. Di menu drop-down Protocol, pilih TCP.
10. Di menu drop-down Event format, pilih Common Event Format (CEF).
11. Klik Uji Koneksi untuk memverifikasi konektivitas ke agen Bindplane.
12. Klik Simpan.
13. Buka Menu > Otomatisasi > Respons Otomatis.
14. Klik Respons Baru untuk membuat aturan respons otomatis baru.
15. Di kolom Name, masukkan nama deskriptif (misalnya, Syslog-Chronicle).
16. Di menu drop-down Event Group, pilih grup peristiwa yang akan diteruskan:
    • Peristiwa Notifikasi ePO
    • Peristiwa Ancaman
    • Peristiwa Klien
17. Klik Berikutnya.
18. Di tab Filter, konfigurasi filter peristiwa sesuai kebutuhan (atau biarkan default untuk meneruskan semua peristiwa).
19. Klik Berikutnya.
20. Di bagian Tindakan, pilih Kirim Syslog.
21. Di menu drop-down Syslog Server, pilih server syslog yang terdaftar (Chronicle-Bindplane).
22. Klik Berikutnya.

23. Tinjau konfigurasi, lalu klik Simpan.

    Catatan: Untuk mengetahui informasi selengkapnya, lihat dokumentasi produk Trellix ePO.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
about_token	about	Digabung
additional_token	additional	Diganti namanya/dipetakan
ActionID_label	additional.fields	Digabung
BadLinkRatingID_label	additional.fields	Digabung
ContentID_label	additional.fields	Digabung
DownloadRatingID_label	additional.fields	Digabung
Error_label	additional.fields	Digabung
ExploitRatingID_label	additional.fields	Digabung
InitiatorID_label	additional.fields	Digabung
InitiatorType_label	additional.fields	Digabung
ListID_label	additional.fields	Digabung
Locale_label	additional.fields	Digabung
PhishingRatingID_label	additional.fields	Digabung
PopupRatingID_label	additional.fields	Digabung
ProductID_label	additional.fields	Digabung
RatingID_label	additional.fields	Digabung
ReasonID_label	additional.fields	Digabung
SiteName_label	additional.fields	Digabung
SourceProcessSigned_label	additional.fields	Digabung
SourceProcessSigner_label	additional.fields	Digabung
SpamRatingID_label	additional.fields	Digabung
TargetDriveType_label	additional.fields	Digabung
_field	additional.fields	Digabung
analyzer_engine_version_label	additional.fields	Digabung
analyzer_ipv4_label	additional.fields	Digabung
analyzer_label	additional.fields	Digabung
analyzer_name_label	additional.fields	Digabung
analyzerengineversion_label	additional.fields	Digabung
bps_id_label	additional.fields	Digabung
client_labels_	additional.fields	Digabung
description_value_label	additional.fields	Digabung
detected_utc_label	additional.fields	Digabung
eventType_label	additional.fields	Digabung
event_version_label	additional.fields	Digabung
extradatnames_label	additional.fields	Digabung
machine_agent_version_label	additional.fields	Digabung
opg_data_label	additional.fields	Digabung
product_family_label	additional.fields	Digabung
product_name_label	additional.fields	Digabung
server_list_labels	additional.fields	Digabung
source_ipv4_label	additional.fields	Digabung
sphotfix_label	additional.fields	Digabung
target_protocol_label	additional.fields	Digabung
targetprotocol_label	additional.fields	Digabung
tenant_guid_label	additional.fields	Digabung
tenant_id_label	additional.fields	Digabung
tenant_node_path_label	additional.fields	Digabung
threat_action_taken_label	additional.fields	Digabung
time_s_zone_label	additional.fields	Digabung
timezone_bias_label	additional.fields	Digabung
type_label	additional.fields	Digabung
user_info_label	additional.fields	Digabung
verbuild_label	additional.fields	Digabung
vermin_label	additional.fields	Digabung
vermjr_label	additional.fields	Digabung
verrev_label	additional.fields	Digabung
workflowid_label	additional.fields	Digabung
intermediary	intermediary	Digabung
intermediary1	intermediary	Digabung
Analyzer	intermediary.application	Dipetakan secara langsung
analyzer	intermediary.application	Dipetakan secara langsung
AnalyzerHostName	intermediary.asset.hostname	Dipetakan secara langsung
AnalyzerMAC	intermediary.asset.mac	Digabung
AnalyzerHostName	intermediary.hostname	Dipetakan secara langsung
analyzerhostname	intermediary.hostname	Dipetakan secara langsung
analyzeripv4	intermediary.ip	Digabung
AnalyzerMAC	intermediary.mac	Digabung
analyzermac	intermediary.mac	Digabung
Name	metadata.description	Dipetakan secara langsung
event_description	metadata.description	Dipetakan secara langsung
eventname	metadata.description	Dipetakan secara langsung
scantype	metadata.description	Dipetakan secara langsung
tvdeventid	metadata.description	Dipetakan secara langsung
event_type	metadata.event_type	Dipetakan secara langsung
TenantId	metadata.product_deployment_id	Dipetakan secara langsung
EventID	metadata.product_event_type	Dipetakan secara langsung
Type	metadata.product_event_type	Dipetakan secara langsung
eventType	metadata.product_event_type	Dipetakan secara langsung
prod_event_type	metadata.product_event_type	Dipetakan secara langsung
product_event_type	metadata.product_event_type	Diganti nama/dipetakan
tvdeventid	metadata.product_event_type	Dipetakan secara langsung
AutoID	metadata.product_log_id	Dipetakan secara langsung
AutoId	metadata.product_log_id	Dipetakan secara langsung
alertId	metadata.product_log_id	Dipetakan secara langsung
autoid	metadata.product_log_id	Dipetakan secara langsung
product_log_id	metadata.product_log_id	Diganti nama/dipetakan
analyzername	metadata.product_name	Dipetakan secara langsung
product_name	metadata.product_name	Dipetakan secara langsung
AnalyzerVersion	metadata.product_version	Dipetakan secara langsung
analyzerversion	metadata.product_version	Dipetakan secara langsung
product_version	metadata.product_version	Dipetakan secara langsung
productversion	metadata.product_version	Dipetakan secara langsung
app_protocol	network.application_protocol	Dipetakan secara langsung
target_protocol	network.ip_protocol	Dipetakan secara langsung
sys_ip	observer.ip	Digabung
analyzer_name	observer.namespace	Dipetakan secara langsung
principal_token	principal	Diganti nama/dipetakan
source_user_domain	principal.administrative_domain	Dipetakan secara langsung
application_name	principal.application	Dipetakan secara langsung
host	principal.application	Dipetakan secara langsung
process_name	principal.application	Dipetakan secara langsung
source_process_name	principal.application	Dipetakan secara langsung
agentguid	principal.asset.asset_id	Dipetakan secara langsung
token_new	principal.asset.attribute.labels	Digabung
SiteName	principal.asset.hostname	Dipetakan secara langsung
SourceHostName	principal.asset.hostname	Dipetakan secara langsung
host	principal.asset.hostname	Dipetakan secara langsung
principal_hostname	principal.asset.hostname	Dipetakan secara langsung
source	principal.asset.hostname	Dipetakan secara langsung
machine_ip_address	principal.asset.ip	Digabung
sourceIP	principal.asset.ip	Digabung
src_ip	principal.asset.ip	Digabung
SourceMAC	principal.asset.mac	Digabung
machine_raw_mac_address	principal.asset.mac	Digabung
AutoGUID	principal.asset.product_object_id	Dipetakan secara langsung
autoguid	principal.asset.product_object_id	Dipetakan secara langsung
SiteName	principal.hostname	Dipetakan secara langsung
SourceHostName	principal.hostname	Dipetakan secara langsung
TargetHostName	principal.hostname	Dipetakan secara langsung
analyzer_host_name	principal.hostname	Dipetakan secara langsung
host	principal.hostname	Dipetakan secara langsung
machine_name	principal.hostname	Dipetakan secara langsung
prin_host	principal.hostname	Dipetakan secara langsung
principal_asset_hostname	principal.hostname	Dipetakan secara langsung
principal_machine_name	principal.hostname	Dipetakan secara langsung
source_host_name	principal.hostname	Dipetakan secara langsung
sourcehostname	principal.hostname	Dipetakan secara langsung
machine_ip_address	principal.ip	Digabung
normalized_ip_address	principal.ip	Digabung
prin_ip	principal.ip	Digabung
sourceIP	principal.ip	Digabung
source_ip	principal.ip	Digabung
sourceipv4	principal.ip	Digabung
src_ip	principal.ip	Digabung
srcip	principal.ip	Digabung
SourceMAC	principal.mac	Digabung
machine_raw_mac_address	principal.mac	Digabung
normalized_mac_address	principal.mac	Digabung
sourcemac	principal.mac	Digabung
source_port	principal.port	Dipetakan secara langsung
cmd_line	principal.process.command_line	Dipetakan secara langsung
eventCommandLine	principal.process.command_line	Dipetakan secara langsung
source_process_cmd	principal.process.command_line	Dipetakan secara langsung
SourceFilePath	principal.process.file.full_path	Dipetakan secara langsung
SourceProcessName	principal.process.file.full_path	Dipetakan secara langsung
eventProgramName	principal.process.file.full_path	Dipetakan secara langsung
process_name	principal.process.file.full_path	Dipetakan secara langsung
prog_name	principal.process.file.full_path	Dipetakan secara langsung
sourceprocessname	principal.process.file.full_path	Dipetakan secara langsung
SourceProcessHash	principal.process.file.md5	Dipetakan secara langsung
Source_FileSize	principal.process.file.size	Dipetakan secara langsung
parent_process_name	principal.process.parent_process.file.full_path	Dipetakan secara langsung
source_parent_process_id	principal.process.parent_process.pid	Dipetakan secara langsung
process_id	principal.process.pid	Dipetakan secara langsung
source_process_id	principal.process.pid	Dipetakan secara langsung
source_device_sn	principal.resource.id	Dipetakan secara langsung
source_product_name	principal.resource.name	Dipetakan secara langsung
SourceURL	principal.url	Dipetakan secara langsung
sourceurl	principal.url	Dipetakan secara langsung
subject	principal.user.group_identifiers	Digabung
machine_user_name	principal.user.user_display_name	Dipetakan secara langsung
source_user_name	principal.user.user_display_name	Dipetakan secara langsung
username	principal.user.user_display_name	Dipetakan secara langsung
SourceUserName	principal.user.userid	Dipetakan secara langsung
clientId	principal.user.userid	Dipetakan secara langsung
eventProgramUser	principal.user.userid	Dipetakan secara langsung
sourceusername	principal.user.userid	Dipetakan secara langsung
sec_res	security_result	Digabung
security_result	security_result	Digabung
security_result_token	security_result	Digabung
virus_type_label	security_result.about.resource.attribute.labels	Digabung
action	security_result.action	Digabung
security_action	security_result.action	Digabung
action_taken	security_result.action_details	Dipetakan secara langsung
security_action_details	security_result.action_details	Dipetakan secara langsung
threat_action_taken	security_result.action_details	Dipetakan secara langsung
category	security_result.category	Digabung
security_category	security_result.category	Digabung
ThreatCategory	security_result.category_details	Digabung
category_details	security_result.category_details	Digabung
security_category_details	security_result.category_details	Digabung
threatcategory	security_result.category_details	Digabung
Data	security_result.description	Dipetakan secara langsung
natural_lang_description	security_result.description	Dipetakan secara langsung
security_description	security_result.description	Dipetakan secara langsung
Access_Requested_label	security_result.detection_fields	Digabung
Analyzer_ContentVersion_label	security_result.detection_fields	Digabung
_field	security_result.detection_fields	Digabung
analyzer_dat_version_label	security_result.detection_fields	Digabung
analyzer_detection_method_label	security_result.detection_fields	Digabung
analyzerdatversion_label	security_result.detection_fields	Digabung
analyzerdetectionmethod_label	security_result.detection_fields	Digabung
command_executed_label	security_result.detection_fields	Digabung
label_agent_guid	security_result.detection_fields	Digabung
label_task_name	security_result.detection_fields	Digabung
labels0	security_result.detection_fields	Digabung
return_code_label	security_result.detection_fields	Digabung
seq_no_label	security_result.detection_fields	Digabung
server_id_label	security_result.detection_fields	Digabung
task_id_label	security_result.detection_fields	Digabung
task_name_label	security_result.detection_fields	Digabung
threat_event_id_label	security_result.detection_fields	Digabung
threat_handled_label	security_result.detection_fields	Digabung
threat_type_label	security_result.detection_fields	Digabung
threateventid_label	security_result.detection_fields	Digabung
threathandled_label	security_result.detection_fields	Digabung
threattype_label	security_result.detection_fields	Digabung
total_chunks_label	security_result.detection_fields	Digabung
transaction_id_label	security_result.detection_fields	Digabung
TVDEventID	security_result.rule_id	Dipetakan secara langsung
event_id	security_result.rule_id	Dipetakan secara langsung
policy_name	security_result.rule_name	Dipetakan secara langsung
rule_name	security_result.rule_name	Dipetakan secara langsung
TVDSeverity	security_result.severity_details	Dipetakan secara langsung
ThreatSeverity	security_result.severity_details	Dipetakan secara langsung
threat_severity	security_result.severity_details	Dipetakan secara langsung
threatseverity	security_result.severity_details	Dipetakan secara langsung
ThreatActionTaken	security_result.summary	Dipetakan secara langsung
ThreatType	security_result.summary	Dipetakan secara langsung
detection_message	security_result.summary	Dipetakan secara langsung
security_result.severity	security_result.summary	Dipetakan secara langsung
security_summary	security_result.summary	Dipetakan secara langsung
threat_type	security_result.threat_id	Dipetakan secara langsung
ThreatName	security_result.threat_name	Dipetakan secara langsung
threat_name	security_result.threat_name	Dipetakan secara langsung
threatname	security_result.threat_name	Dipetakan secara langsung
src_token	src	Diganti nama/dipetakan
src_domain	src.administrative_domain	Dipetakan secara langsung
source_ip	src.ip	Digabung
source_port	src.port	Dipetakan secara langsung
src_user	src.user.userid	Dipetakan secara langsung
target_token	target	Diganti nama/dipetakan
ProductCode	target.application	Dipetakan secara langsung
tar_app	target.application	Dipetakan secara langsung
serverid	target.asset.asset_id	Dipetakan secara langsung
token_new	target.asset.attribute.labels	Digabung
HostName	target.asset.hostname	Dipetakan secara langsung
TargetHostName	target.asset.hostname	Dipetakan secara langsung
target_hostname	target.asset.hostname	Dipetakan secara langsung
targetIP	target.asset.ip	Digabung
TargetMAC	target.asset.mac	Digabung
AgentGUID	target.asset_id	Dipetakan secara langsung
TargetFileName	target.file.full_path	Dipetakan secara langsung
target_file_name	target.file.full_path	Dipetakan secara langsung
targetfilename	target.file.full_path	Dipetakan secara langsung
target_file_size	target.file.size	Diganti nama/dipetakan
HostName	target.hostname	Dipetakan secara langsung
TargetHostName	target.hostname	Dipetakan secara langsung
machine_name	target.hostname	Dipetakan secara langsung
target_asset_hostname	target.hostname	Dipetakan secara langsung
target_host_name	target.hostname	Dipetakan secara langsung
targethostname	target.hostname	Dipetakan secara langsung
dstip	target.ip	Digabung
normalized_ip_address	target.ip	Digabung
targetIP	target.ip	Digabung
target_ip	target.ip	Digabung
target_ipv4	target.ip	Dipetakan secara langsung
targetipv4_val	target.ip	Digabung
TargetMAC	target.mac	Digabung
normalized_mac_address	target.mac	Digabung
targetmac	target.mac	Digabung
TenantId	target.namespace	Dipetakan secara langsung
tenantid	target.namespace	Dipetakan secara langsung
TargetPort	target.port	Dipetakan secara langsung
target_port	target.port	Dipetakan secara langsung
targetport	target.port	Dipetakan secara langsung
TargetProcessName	target.process.file.full_path	Dipetakan secara langsung
eventObject	target.process.file.full_path	Dipetakan secara langsung
file_name	target.process.file.full_path	Dipetakan secara langsung
process_name	target.process.file.full_path	Dipetakan secara langsung
target_file_name	target.process.file.full_path	Dipetakan secara langsung
target_name	target.process.file.full_path	Dipetakan secara langsung
targetprocessname	target.process.file.full_path	Dipetakan secara langsung
value_data	target.process.file.full_path	Dipetakan secara langsung
hash	target.process.file.md5	Dipetakan secara langsung
md5	target.process.file.md5	Dipetakan secara langsung
target_hash	target.process.file.md5	Dipetakan secara langsung
sha1	target.process.file.sha1	Dipetakan secara langsung
target_sha	target.process.file.sha1	Dipetakan secara langsung
sha256	target.process.file.sha256	Dipetakan secara langsung
file_size	target.process.file.size	Dipetakan secara langsung
target_parent_file_name	target.process.parent_process.file.full_path	Dipetakan secara langsung
LogonSessionID	target.process.pid	Dipetakan secara langsung
tar_pid	target.process.pid	Dipetakan secara langsung
key_name	target.registry.registry_key	Dipetakan secara langsung
ThreatName	target.resource.name	Dipetakan secara langsung
source_url	target.url	Dipetakan secara langsung
nodeid_label	target.user.attribute.labels	Digabung
version_label	target.user.attribute.labels	Digabung
targetuseremail	target.user.email_addresses	Digabung
machine_user_name	target.user.user_display_name	Dipetakan secara langsung
target_user_name	target.user.user_display_name	Dipetakan secara langsung
value	target.user.user_display_name	Dipetakan secara langsung
TargetUserName	target.user.userid	Dipetakan secara langsung
UserName	target.user.userid	Dipetakan secara langsung
UserSID	target.user.windows_sid	Dipetakan secara langsung
T/A	about	Konstanta: about_token
T/A	additional.fields	Konstanta: eventType_label
T/A	intermediary	Konstanta: intermediary1
T/A	intermediary.asset.mac	Konstanta: AnalyzerMAC
T/A	intermediary.ip	Konstanta: analyzeripv4
T/A	intermediary.mac	Konstanta: AnalyzerMAC
T/A	metadata.description	Konstanta: No raw event available
T/A	metadata.event_type	Konstanta: GENERIC_EVENT
T/A	metadata.product_name	Konstanta: McAfee EPO
T/A	metadata.vendor_name	Konstanta: McAfee
T/A	observer.ip	Konstanta: sys_ip
T/A	principal.asset.attribute.labels	Konstanta: token_new
T/A	principal.asset.ip	Konstanta: src_ip
T/A	principal.asset.mac	Konstanta: SourceMAC
T/A	principal.ip	Konstanta: src_ip
T/A	principal.mac	Konstanta: SourceMAC
T/A	principal.platform	Konstanta: WINDOWS
T/A	principal.process.file.size	Konstanta: uinteger
T/A	principal.user.group_identifiers	Konstanta: subject
T/A	security_result	Konstanta: sec_res
T/A	security_result.about.resource.attribute.labels	Konstanta: virus_type_label
T/A	security_result.action	Konstanta: action
T/A	security_result.category	Konstanta: category
T/A	security_result.category_details	Konstanta: ThreatCategory
T/A	security_result.detection_fields	Konstanta: threat_event_id_label
T/A	security_result.severity	Konstanta: HIGH
T/A	src.ip	Konstanta: source_ip
T/A	target.asset.attribute.labels	Konstanta: token_new
T/A	target.asset.ip	Konstanta: targetIP
T/A	target.asset.mac	Konstanta: TargetMAC
T/A	target.ip	Konstanta: targetIP
T/A	target.mac	Konstanta: TargetMAC
T/A	target.process.file.size	Konstanta: uinteger
T/A	target.user.attribute.labels	Konstanta: version_label
T/A	target.user.email_addresses	Konstanta: targetuseremail

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.