Raccogli i log di Trellix EPO

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Trellix ePO in Google Security Operations utilizzando l'agente Bindplane.

Trellix ePO (in precedenza McAfee ePolicy Orchestrator) è una piattaforma di gestione della sicurezza centralizzata che fornisce applicazione unificata delle policy, visibilità in tempo reale e conformità automatizzata nei prodotti di sicurezza degli endpoint. Consente agli amministratori di gestire le policy di sicurezza, eseguire il deployment degli agenti, monitorare le minacce e generare report da un'unica console basata sul web.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Un host Windows 2016 o versioni successive o Linux con systemd
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso privilegiato alla console Trellix ePO con privilegi amministrativi

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino al ritiro dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliata)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea service account.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome service account: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua, quindi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il numero di progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle norme della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica di passare all'opzione 1 prima di questa data.

Recuperare l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni SIEM > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade dell'agente di raccolta prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarli a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID_HERE
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MCAFEE_EPO'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
   • Sostituisci YOUR_CUSTOMER_ID_HERE con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nel Passaggio 1.
   • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore. Per l'elenco completo, consulta Endpoint regionali.
   • Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.

Esportatore dell'API di importazione precedente

• Se utilizzi il file di autenticazione dell'importazione dell'opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID_HERE
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MCAFEE_EPO'
      raw_log_field: body
      ingestion_labels:
  

Nota: questo esportatore smetterà di funzionare quando l'API Ingestion verrà ritirata il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura l'inoltro del syslog di Trellix ePO

1. Accedi alla console Trellix ePO con le credenziali di amministratore.
2. Vai a Menu > Configurazione > Server registrati.
3. Fai clic su Nuovo server.
4. Nell'elenco a discesa Tipo di server, seleziona Syslog.
5. Nel campo Nome, inserisci un nome descrittivo (ad esempio Chronicle-Bindplane).
6. Fai clic su Avanti.
7. Nel campo Server Syslog, inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
8. Nel campo Porta, inserisci 514 (o la porta configurata in Bindplane).
9. Nell'elenco a discesa Protocollo, seleziona TCP.
10. Nell'elenco a discesa Formato evento, seleziona Common Event Format (CEF).
11. Fai clic su Test Connection (Verifica connessione) per verificare la connettività all'agente Bindplane.
12. Fai clic su Salva.
13. Vai a Menu > Automation > Risposte automatiche.
14. Fai clic su Nuova risposta per creare una nuova regola di risposta automatica.
15. Nel campo Nome, inserisci un nome descrittivo (ad esempio, Syslog-Chronicle).
16. Nell'elenco a discesa Gruppo di eventi, seleziona i gruppi di eventi da inoltrare:
    • Eventi di notifica ePO
    • Eventi di minaccia
    • Eventi dei clienti
17. Fai clic su Avanti.
18. Nella scheda Filtro, configura i filtri degli eventi in base alle tue esigenze (o lascia i valori predefiniti per inoltrare tutti gli eventi).
19. Fai clic su Avanti.
20. Nella sezione Azioni, seleziona Invia Syslog.
21. Nell'elenco a discesa Syslog Server (Server Syslog), seleziona il server Syslog registrato (Chronicle-Bindplane).
22. Fai clic su Avanti.

23. Rivedi la configurazione e fai clic su Salva.

    Nota: per saperne di più, consulta la documentazione del prodotto Trellix ePO.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
about_token	about	Unita
additional_token	additional	Rinominato/mappato
ActionID_label	additional.fields	Unita
BadLinkRatingID_label	additional.fields	Unita
ContentID_label	additional.fields	Unita
DownloadRatingID_label	additional.fields	Unita
Error_label	additional.fields	Unita
ExploitRatingID_label	additional.fields	Unita
InitiatorID_label	additional.fields	Unita
InitiatorType_label	additional.fields	Unita
ListID_label	additional.fields	Unita
Locale_label	additional.fields	Unita
PhishingRatingID_label	additional.fields	Unita
PopupRatingID_label	additional.fields	Unita
ProductID_label	additional.fields	Unita
RatingID_label	additional.fields	Unita
ReasonID_label	additional.fields	Unita
SiteName_label	additional.fields	Unita
SourceProcessSigned_label	additional.fields	Unita
SourceProcessSigner_label	additional.fields	Unita
SpamRatingID_label	additional.fields	Unita
TargetDriveType_label	additional.fields	Unita
_field	additional.fields	Unita
analyzer_engine_version_label	additional.fields	Unita
analyzer_ipv4_label	additional.fields	Unita
analyzer_label	additional.fields	Unita
analyzer_name_label	additional.fields	Unita
analyzerengineversion_label	additional.fields	Unita
bps_id_label	additional.fields	Unita
client_labels_	additional.fields	Unita
description_value_label	additional.fields	Unita
detected_utc_label	additional.fields	Unita
eventType_label	additional.fields	Unita
event_version_label	additional.fields	Unita
extradatnames_label	additional.fields	Unita
machine_agent_version_label	additional.fields	Unita
opg_data_label	additional.fields	Unita
product_family_label	additional.fields	Unita
product_name_label	additional.fields	Unita
server_list_labels	additional.fields	Unita
source_ipv4_label	additional.fields	Unita
sphotfix_label	additional.fields	Unita
target_protocol_label	additional.fields	Unita
targetprotocol_label	additional.fields	Unita
tenant_guid_label	additional.fields	Unita
tenant_id_label	additional.fields	Unita
tenant_node_path_label	additional.fields	Unita
threat_action_taken_label	additional.fields	Unita
time_s_zone_label	additional.fields	Unita
timezone_bias_label	additional.fields	Unita
type_label	additional.fields	Unita
user_info_label	additional.fields	Unita
verbuild_label	additional.fields	Unita
vermin_label	additional.fields	Unita
vermjr_label	additional.fields	Unita
verrev_label	additional.fields	Unita
workflowid_label	additional.fields	Unita
intermediary	intermediary	Unita
intermediary1	intermediary	Unita
Analyzer	intermediary.application	Mappato direttamente
analyzer	intermediary.application	Mappato direttamente
AnalyzerHostName	intermediary.asset.hostname	Mappata direttamente
AnalyzerMAC	intermediary.asset.mac	Unita
AnalyzerHostName	intermediary.hostname	Mappato direttamente
analyzerhostname	intermediary.hostname	Mappata direttamente
analyzeripv4	intermediary.ip	Unita
AnalyzerMAC	intermediary.mac	Unita
analyzermac	intermediary.mac	Unita
Name	metadata.description	Mappato direttamente
event_description	metadata.description	Mappato direttamente
eventname	metadata.description	Mappato direttamente
scantype	metadata.description	Mappato direttamente
tvdeventid	metadata.description	Mappato direttamente
event_type	metadata.event_type	Mappato direttamente
TenantId	metadata.product_deployment_id	Mappato direttamente
EventID	metadata.product_event_type	Mappato direttamente
Type	metadata.product_event_type	Mappato direttamente
eventType	metadata.product_event_type	Mappato direttamente
prod_event_type	metadata.product_event_type	Mappata direttamente
product_event_type	metadata.product_event_type	Rinominate/mappate
tvdeventid	metadata.product_event_type	Mappato direttamente
AutoID	metadata.product_log_id	Mappato direttamente
AutoId	metadata.product_log_id	Mappato direttamente
alertId	metadata.product_log_id	Mappato direttamente
autoid	metadata.product_log_id	Mappata direttamente
product_log_id	metadata.product_log_id	Rinominate/mappate
analyzername	metadata.product_name	Mappato direttamente
product_name	metadata.product_name	Mappato direttamente
AnalyzerVersion	metadata.product_version	Mappato direttamente
analyzerversion	metadata.product_version	Mappato direttamente
product_version	metadata.product_version	Mappato direttamente
productversion	metadata.product_version	Mappato direttamente
app_protocol	network.application_protocol	Mappato direttamente
target_protocol	network.ip_protocol	Mappata direttamente
sys_ip	observer.ip	Unita
analyzer_name	observer.namespace	Mappato direttamente
principal_token	principal	Rinominate/mappate
source_user_domain	principal.administrative_domain	Mappato direttamente
application_name	principal.application	Mappato direttamente
host	principal.application	Mappato direttamente
process_name	principal.application	Mappato direttamente
source_process_name	principal.application	Mappato direttamente
agentguid	principal.asset.asset_id	Mappata direttamente
token_new	principal.asset.attribute.labels	Unita
SiteName	principal.asset.hostname	Mappato direttamente
SourceHostName	principal.asset.hostname	Mappato direttamente
host	principal.asset.hostname	Mappato direttamente
principal_hostname	principal.asset.hostname	Mappato direttamente
source	principal.asset.hostname	Mappata direttamente
machine_ip_address	principal.asset.ip	Unita
sourceIP	principal.asset.ip	Unita
src_ip	principal.asset.ip	Unita
SourceMAC	principal.asset.mac	Unita
machine_raw_mac_address	principal.asset.mac	Unita
AutoGUID	principal.asset.product_object_id	Mappato direttamente
autoguid	principal.asset.product_object_id	Mappato direttamente
SiteName	principal.hostname	Mappato direttamente
SourceHostName	principal.hostname	Mappato direttamente
TargetHostName	principal.hostname	Mappato direttamente
analyzer_host_name	principal.hostname	Mappato direttamente
host	principal.hostname	Mappato direttamente
machine_name	principal.hostname	Mappato direttamente
prin_host	principal.hostname	Mappato direttamente
principal_asset_hostname	principal.hostname	Mappato direttamente
principal_machine_name	principal.hostname	Mappato direttamente
source_host_name	principal.hostname	Mappato direttamente
sourcehostname	principal.hostname	Mappata direttamente
machine_ip_address	principal.ip	Unita
normalized_ip_address	principal.ip	Unita
prin_ip	principal.ip	Unita
sourceIP	principal.ip	Unita
source_ip	principal.ip	Unita
sourceipv4	principal.ip	Unita
src_ip	principal.ip	Unita
srcip	principal.ip	Unita
SourceMAC	principal.mac	Unita
machine_raw_mac_address	principal.mac	Unita
normalized_mac_address	principal.mac	Unita
sourcemac	principal.mac	Unita
source_port	principal.port	Mappato direttamente
cmd_line	principal.process.command_line	Mappato direttamente
eventCommandLine	principal.process.command_line	Mappato direttamente
source_process_cmd	principal.process.command_line	Mappato direttamente
SourceFilePath	principal.process.file.full_path	Mappato direttamente
SourceProcessName	principal.process.file.full_path	Mappato direttamente
eventProgramName	principal.process.file.full_path	Mappato direttamente
process_name	principal.process.file.full_path	Mappato direttamente
prog_name	principal.process.file.full_path	Mappato direttamente
sourceprocessname	principal.process.file.full_path	Mappato direttamente
SourceProcessHash	principal.process.file.md5	Mappato direttamente
Source_FileSize	principal.process.file.size	Mappato direttamente
parent_process_name	principal.process.parent_process.file.full_path	Mappato direttamente
source_parent_process_id	principal.process.parent_process.pid	Mappato direttamente
process_id	principal.process.pid	Mappato direttamente
source_process_id	principal.process.pid	Mappato direttamente
source_device_sn	principal.resource.id	Mappato direttamente
source_product_name	principal.resource.name	Mappato direttamente
SourceURL	principal.url	Mappato direttamente
sourceurl	principal.url	Mappata direttamente
subject	principal.user.group_identifiers	Unita
machine_user_name	principal.user.user_display_name	Mappato direttamente
source_user_name	principal.user.user_display_name	Mappato direttamente
username	principal.user.user_display_name	Mappato direttamente
SourceUserName	principal.user.userid	Mappato direttamente
clientId	principal.user.userid	Mappato direttamente
eventProgramUser	principal.user.userid	Mappato direttamente
sourceusername	principal.user.userid	Mappata direttamente
sec_res	security_result	Unita
security_result	security_result	Unita
security_result_token	security_result	Unita
virus_type_label	security_result.about.resource.attribute.labels	Unita
action	security_result.action	Unita
security_action	security_result.action	Unita
action_taken	security_result.action_details	Mappato direttamente
security_action_details	security_result.action_details	Mappato direttamente
threat_action_taken	security_result.action_details	Mappata direttamente
category	security_result.category	Unita
security_category	security_result.category	Unita
ThreatCategory	security_result.category_details	Unita
category_details	security_result.category_details	Unita
security_category_details	security_result.category_details	Unita
threatcategory	security_result.category_details	Unita
Data	security_result.description	Mappato direttamente
natural_lang_description	security_result.description	Mappato direttamente
security_description	security_result.description	Mappata direttamente
Access_Requested_label	security_result.detection_fields	Unita
Analyzer_ContentVersion_label	security_result.detection_fields	Unita
_field	security_result.detection_fields	Unita
analyzer_dat_version_label	security_result.detection_fields	Unita
analyzer_detection_method_label	security_result.detection_fields	Unita
analyzerdatversion_label	security_result.detection_fields	Unita
analyzerdetectionmethod_label	security_result.detection_fields	Unita
command_executed_label	security_result.detection_fields	Unita
label_agent_guid	security_result.detection_fields	Unita
label_task_name	security_result.detection_fields	Unita
labels0	security_result.detection_fields	Unita
return_code_label	security_result.detection_fields	Unita
seq_no_label	security_result.detection_fields	Unita
server_id_label	security_result.detection_fields	Unita
task_id_label	security_result.detection_fields	Unita
task_name_label	security_result.detection_fields	Unita
threat_event_id_label	security_result.detection_fields	Unita
threat_handled_label	security_result.detection_fields	Unita
threat_type_label	security_result.detection_fields	Unita
threateventid_label	security_result.detection_fields	Unita
threathandled_label	security_result.detection_fields	Unita
threattype_label	security_result.detection_fields	Unita
total_chunks_label	security_result.detection_fields	Unita
transaction_id_label	security_result.detection_fields	Unita
TVDEventID	security_result.rule_id	Mappato direttamente
event_id	security_result.rule_id	Mappato direttamente
policy_name	security_result.rule_name	Mappato direttamente
rule_name	security_result.rule_name	Mappato direttamente
TVDSeverity	security_result.severity_details	Mappato direttamente
ThreatSeverity	security_result.severity_details	Mappato direttamente
threat_severity	security_result.severity_details	Mappato direttamente
threatseverity	security_result.severity_details	Mappato direttamente
ThreatActionTaken	security_result.summary	Mappato direttamente
ThreatType	security_result.summary	Mappato direttamente
detection_message	security_result.summary	Mappato direttamente
security_result.severity	security_result.summary	Mappato direttamente
security_summary	security_result.summary	Mappato direttamente
threat_type	security_result.threat_id	Mappato direttamente
ThreatName	security_result.threat_name	Mappato direttamente
threat_name	security_result.threat_name	Mappato direttamente
threatname	security_result.threat_name	Mappata direttamente
src_token	src	Rinominate/mappate
src_domain	src.administrative_domain	Mappata direttamente
source_ip	src.ip	Unita
source_port	src.port	Mappato direttamente
src_user	src.user.userid	Mappata direttamente
target_token	target	Rinominate/mappate
ProductCode	target.application	Mappato direttamente
tar_app	target.application	Mappato direttamente
serverid	target.asset.asset_id	Mappata direttamente
token_new	target.asset.attribute.labels	Unita
HostName	target.asset.hostname	Mappato direttamente
TargetHostName	target.asset.hostname	Mappato direttamente
target_hostname	target.asset.hostname	Mappata direttamente
targetIP	target.asset.ip	Unita
TargetMAC	target.asset.mac	Unita
AgentGUID	target.asset_id	Mappato direttamente
TargetFileName	target.file.full_path	Mappato direttamente
target_file_name	target.file.full_path	Mappato direttamente
targetfilename	target.file.full_path	Mappata direttamente
target_file_size	target.file.size	Rinominate/mappate
HostName	target.hostname	Mappato direttamente
TargetHostName	target.hostname	Mappato direttamente
machine_name	target.hostname	Mappato direttamente
target_asset_hostname	target.hostname	Mappato direttamente
target_host_name	target.hostname	Mappato direttamente
targethostname	target.hostname	Mappata direttamente
dstip	target.ip	Unita
normalized_ip_address	target.ip	Unita
targetIP	target.ip	Unita
target_ip	target.ip	Unita
target_ipv4	target.ip	Mappata direttamente
targetipv4_val	target.ip	Unita
TargetMAC	target.mac	Unita
normalized_mac_address	target.mac	Unita
targetmac	target.mac	Unita
TenantId	target.namespace	Mappato direttamente
tenantid	target.namespace	Mappato direttamente
TargetPort	target.port	Mappato direttamente
target_port	target.port	Mappato direttamente
targetport	target.port	Mappato direttamente
TargetProcessName	target.process.file.full_path	Mappato direttamente
eventObject	target.process.file.full_path	Mappato direttamente
file_name	target.process.file.full_path	Mappato direttamente
process_name	target.process.file.full_path	Mappato direttamente
target_file_name	target.process.file.full_path	Mappato direttamente
target_name	target.process.file.full_path	Mappato direttamente
targetprocessname	target.process.file.full_path	Mappato direttamente
value_data	target.process.file.full_path	Mappato direttamente
hash	target.process.file.md5	Mappato direttamente
md5	target.process.file.md5	Mappato direttamente
target_hash	target.process.file.md5	Mappato direttamente
sha1	target.process.file.sha1	Mappato direttamente
target_sha	target.process.file.sha1	Mappato direttamente
sha256	target.process.file.sha256	Mappato direttamente
file_size	target.process.file.size	Mappato direttamente
target_parent_file_name	target.process.parent_process.file.full_path	Mappato direttamente
LogonSessionID	target.process.pid	Mappato direttamente
tar_pid	target.process.pid	Mappato direttamente
key_name	target.registry.registry_key	Mappato direttamente
ThreatName	target.resource.name	Mappato direttamente
source_url	target.url	Mappata direttamente
nodeid_label	target.user.attribute.labels	Unita
version_label	target.user.attribute.labels	Unita
targetuseremail	target.user.email_addresses	Unita
machine_user_name	target.user.user_display_name	Mappato direttamente
target_user_name	target.user.user_display_name	Mappato direttamente
value	target.user.user_display_name	Mappato direttamente
TargetUserName	target.user.userid	Mappato direttamente
UserName	target.user.userid	Mappato direttamente
UserSID	target.user.windows_sid	Mappata direttamente
N/D	about	Costante: about_token
N/D	additional.fields	Costante: eventType_label
N/D	intermediary	Costante: intermediary1
N/D	intermediary.asset.mac	Costante: AnalyzerMAC
N/D	intermediary.ip	Costante: analyzeripv4
N/D	intermediary.mac	Costante: AnalyzerMAC
N/D	metadata.description	Costante: No raw event available
N/D	metadata.event_type	Costante: GENERIC_EVENT
N/D	metadata.product_name	Costante: McAfee EPO
N/D	metadata.vendor_name	Costante: McAfee
N/D	observer.ip	Costante: sys_ip
N/D	principal.asset.attribute.labels	Costante: token_new
N/D	principal.asset.ip	Costante: src_ip
N/D	principal.asset.mac	Costante: SourceMAC
N/D	principal.ip	Costante: src_ip
N/D	principal.mac	Costante: SourceMAC
N/D	principal.platform	Costante: WINDOWS
N/D	principal.process.file.size	Costante: uinteger
N/D	principal.user.group_identifiers	Costante: subject
N/D	security_result	Costante: sec_res
N/D	security_result.about.resource.attribute.labels	Costante: virus_type_label
N/D	security_result.action	Costante: action
N/D	security_result.category	Costante: category
N/D	security_result.category_details	Costante: ThreatCategory
N/D	security_result.detection_fields	Costante: threat_event_id_label
N/D	security_result.severity	Costante: HIGH
N/D	src.ip	Costante: source_ip
N/D	target.asset.attribute.labels	Costante: token_new
N/D	target.asset.ip	Costante: targetIP
N/D	target.asset.mac	Costante: TargetMAC
N/D	target.ip	Costante: targetIP
N/D	target.mac	Costante: TargetMAC
N/D	target.process.file.size	Costante: uinteger
N/D	target.user.attribute.labels	Costante: version_label
N/D	target.user.email_addresses	Costante: targetuseremail

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.