Raccogli i log di Trellix EPO

Supportata in:

Google SecOps SIEM

Questo documento spiega come importare i log di Trellix ePO in Google Security Operations utilizzando l'agente Bindplane.

Trellix ePO (in precedenza McAfee ePolicy Orchestrator) è una piattaforma di gestione della sicurezza centralizzata che fornisce l'applicazione unificata delle policy, visibilità in tempo reale e conformità automatizzata tra i prodotti di sicurezza degli endpoint. Consente agli amministratori di gestire le policy di sicurezza, eseguire il deployment degli agenti, monitorare le minacce e generare report da un'unica console basata sul web.

Prima di iniziare

Assicurati di soddisfare i seguenti prerequisiti:

• Un'istanza Google SecOps
• Un host Windows 2016 o versioni successive o Linux con systemd
• Se l'esecuzione avviene dietro un proxy, assicurati che le porte del firewall siano aperte in base ai requisiti dell'agente Bindplane
• Accesso privilegiato alla console Trellix ePO con privilegi di amministratore

Ottieni le credenziali di Google SecOps per l'agente Bindplane

Per autenticare l'agente Bindplane in Google SecOps, scegli uno dei seguenti metodi:

• Nuovi deployment: utilizza l'API Chronicle (opzione 1).
• Deployment legacy: continua a utilizzare il file di autenticazione dell'acquisizione (opzione 2) fino alla dismissione dell'API Ingestion il 20 luglio 2027.

Opzione 1: crea un account di servizio per l'API Chronicle (consigliato)

1. Accedi alla consoleGoogle Cloud e seleziona il progetto Google Cloud collegato alla tua istanza di Google SecOps.
2. Vai a IAM e amministrazione > Service account.
3. Fai clic su Crea account di servizio.
4. Fornisci i seguenti dettagli di configurazione:
   • Nome account di servizio: inserisci un nome per l'account (ad esempio bindplane-ingest).
   • Descrizione service account: inserisci una descrizione (ad esempio, Bindplane agent log ingestion).
5. Fai clic su Crea e continua.
6. Nella sezione Concedi a questo account di servizio l'accesso al progetto, fai clic su Seleziona un ruolo e seleziona Chronicle Editor.
7. Fai clic su Continua e poi su Fine.
8. Fai clic sul account di servizio che hai creato, quindi vai alla scheda Chiavi.
9. Fai clic su Aggiungi chiave > Crea nuova chiave.
10. Seleziona JSON e fai clic su Crea. Il file della chiave viene scaricato sul computer.
11. Salva il file della chiave come ingestion-auth.json nella directory del raccoglitore Bindplane (/opt/observiq-otel-collector/ingestion-auth.json su Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json su Windows) o aggiorna creds_file_path in config.yaml in modo che corrisponda al percorso in cui lo salvi.
12. Vai a IAM e amministrazione > Impostazioni e copia il Numero progetto. Ti servirà per la configurazione dell'esportatore.

Nota: la chiave JSON è una credenziale. Limita l'accesso al file sull'host Bindplane e ruota la chiave in base alle policy della tua organizzazione.

Opzione 2: scarica il file di autenticazione dell'acquisizione (legacy)

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Gestione dei dati > Agenti di raccolta. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Agenti di raccolta.
3. Scarica il file di autenticazione dell'acquisizione.
4. Salva il file in modo sicuro sul sistema in cui verrà installato l'agente Bindplane.

Nota: questo file autentica l'agente nell'API Ingestion precedente (malachiteingestion-pa.googleapis.com), che Google ha programmato per la fine del ciclo di vita il 20 luglio 2027. Pianifica il passaggio all'Opzione 1 prima di questa data.

Ottieni l'ID cliente Google SecOps

1. Accedi alla console Google SecOps.
2. Vai a Impostazioni > Amministrazione > Profilo. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Profilo.
3. Copia e salva l'ID cliente dalla sezione Dettagli organizzazione.

Installa l'agente Bindplane

Installa l'agente Bindplane sul tuo sistema operativo Windows o Linux seguendo le istruzioni riportate di seguito.

Installazione di Windows

1. Apri il prompt dei comandi o PowerShell come amministratore.

2. Esegui questo comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Installazione di Linux

1. Apri un terminale con privilegi root o sudo.

2. Esegui questo comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Risorse aggiuntive per l'installazione

Per ulteriori opzioni di installazione, consulta questa guida all'installazione.

Nota: la configurazione dell'esportatore dell'API Chronicle richiede Bindplane Collector v1.106.0 o versioni successive. I comandi precedenti installano l'ultima release. Se stai aggiornando un'installazione esistente, esegui l'upgrade del raccoglitore prima di modificare la configurazione.

Configura l'agente Bindplane per importare Syslog e inviarlo a Google SecOps

1. Accedi al file di configurazione:

   • Individua il file config.yaml. In genere, si trova nella directory /opt/observiq-otel-collector/ su Linux o nella directory di installazione su Windows.
   • Apri il file utilizzando un editor di testo (ad esempio nano, vi o Blocco note).

2. Modifica il file config.yaml come segue:

   receivers:
     tcplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: YOUR_CUSTOMER_ID_HERE
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'MCAFEE_EPO'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - tcplog
         exporters:
           - chronicle/chronicle_w_labels
   

   • Sostituisci la porta e l'indirizzo IP come richiesto nella tua infrastruttura.
   • Sostituisci YOUR_CUSTOMER_ID_HERE con l'ID cliente effettivo.
   • Aggiorna /path/to/ingestion-authentication-file.json con il percorso del file in cui è stato salvato il file della chiave del account di servizio (Opzione 1) nel Passaggio 1.
   • Sostituisci <LOCATION> con la regione della tua istanza Google SecOps (ad esempio us, europe o asia-southeast1). L'esportatore antepone chronicle.googleapis.com a questo valore. Per l'elenco completo, consulta Endpoint regionali.
   • Sostituisci <PROJECT_NUMBER> con il numero di progetto indicato in IAM e amministrazione > Impostazioni.

Esportatore API di importazione precedente

• Se utilizzi il file di autenticazione dell'acquisizione dell'Opzione 2, sostituisci il blocco exporters con il seguente. Imposta creds_file_path sul percorso del file di autenticazione dell'acquisizione e, se l'istanza si trova al di fuori degli Stati Uniti, sostituisci malachiteingestion-pa.googleapis.com con il tuo endpoint regionale (ad esempio, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: YOUR_CUSTOMER_ID_HERE
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'MCAFEE_EPO'
      raw_log_field: body
      ingestion_labels:
  

Nota: questo strumento di esportazione smetterà di funzionare quando l'API Ingestion non sarà più disponibile il 20 luglio 2027.

Riavvia l'agente Bindplane per applicare le modifiche

1. Per riavviare l'agente Bindplane in Linux, esegui questo comando:

   sudo systemctl restart observiq-otel-collector
   

2. Per riavviare l'agente Bindplane in Windows, puoi utilizzare la console Servizi o inserire il seguente comando:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

Configura l'inoltro del syslog di Trellix ePO

1. Accedi alla console Trellix ePO con le credenziali di amministratore.
2. Vai a Menu > Configurazione > Server registrati.
3. Fai clic su Nuovo server.
4. Nell'elenco a discesa Tipo di server, seleziona Syslog.
5. Nel campo Nome, inserisci un nome descrittivo (ad esempio Chronicle-Bindplane).
6. Fai clic su Avanti.
7. Nel campo Server Syslog, inserisci l'indirizzo IP dell'host dell'agente Bindplane (ad esempio, 192.168.1.100).
8. Nel campo Porta, inserisci 514 (o la porta configurata in Bindplane).
9. Nell'elenco a discesa Protocollo, seleziona TCP.
10. Nell'elenco a discesa Formato evento, seleziona Common Event Format (CEF).
11. Fai clic su Test Connection (Verifica connessione) per verificare la connettività all'agente Bindplane.
12. Fai clic su Salva.
13. Vai a Menu > Automation > Risposte automatiche.
14. Fai clic su New Response (Nuova risposta) per creare una nuova regola di risposta automatica.
15. Nel campo Nome, inserisci un nome descrittivo (ad esempio Syslog-Chronicle).
16. Nell'elenco a discesa Gruppo di eventi, seleziona i gruppi di eventi da inoltrare:
    • Eventi di notifica ePO
    • Eventi di minaccia
    • Eventi client
17. Fai clic su Avanti.
18. Nella scheda Filtro, configura i filtri degli eventi in base alle tue esigenze (o lascia i valori predefiniti per inoltrare tutti gli eventi).
19. Fai clic su Avanti.
20. Nella sezione Azioni, seleziona Invia Syslog.
21. Nell'elenco a discesa Server Syslog, seleziona il server syslog registrato (Chronicle-Bindplane).
22. Fai clic su Avanti.

23. Rivedi la configurazione e fai clic su Salva.

    Nota: per saperne di più, consulta la documentazione del prodotto Trellix ePO.

Tabella di mappatura UDM

Campo log	Mappatura UDM	Logica
about_token	about	Unita
additional_token	additional	Rinominato/mappato
ActionID_label	additional.fields	Unita
BadLinkRatingID_label	additional.fields	Unita
ContentID_label	additional.fields	Unita
DownloadRatingID_label	additional.fields	Unita
Error_label	additional.fields	Unita
ExploitRatingID_label	additional.fields	Unita
InitiatorID_label	additional.fields	Unita
InitiatorType_label	additional.fields	Unita
ListID_label	additional.fields	Unita
Locale_label	additional.fields	Unita
PhishingRatingID_label	additional.fields	Unita
PopupRatingID_label	additional.fields	Unita
ProductID_label	additional.fields	Unita
RatingID_label	additional.fields	Unita
ReasonID_label	additional.fields	Unita
SiteName_label	additional.fields	Unita
SourceProcessSigned_label	additional.fields	Unita
SourceProcessSigner_label	additional.fields	Unita
SpamRatingID_label	additional.fields	Unita
TargetDriveType_label	additional.fields	Unita
_field	additional.fields	Unita
analyzer_engine_version_label	additional.fields	Unita
analyzer_ipv4_label	additional.fields	Unita
analyzer_label	additional.fields	Unita
analyzer_name_label	additional.fields	Unita
analyzerengineversion_label	additional.fields	Unita
bps_id_label	additional.fields	Unita
client_labels_	additional.fields	Unita
description_value_label	additional.fields	Unita
detected_utc_label	additional.fields	Unita
eventType_label	additional.fields	Unita
event_version_label	additional.fields	Unita
extradatnames_label	additional.fields	Unita
machine_agent_version_label	additional.fields	Unita
opg_data_label	additional.fields	Unita
product_family_label	additional.fields	Unita
product_name_label	additional.fields	Unita
server_list_labels	additional.fields	Unita
source_ipv4_label	additional.fields	Unita
sphotfix_label	additional.fields	Unita
target_protocol_label	additional.fields	Unita
targetprotocol_label	additional.fields	Unita
tenant_guid_label	additional.fields	Unita
tenant_id_label	additional.fields	Unita
tenant_node_path_label	additional.fields	Unita
threat_action_taken_label	additional.fields	Unita
time_s_zone_label	additional.fields	Unita
timezone_bias_label	additional.fields	Unita
type_label	additional.fields	Unita
user_info_label	additional.fields	Unita
verbuild_label	additional.fields	Unita
vermin_label	additional.fields	Unita
vermjr_label	additional.fields	Unita
verrev_label	additional.fields	Unita
workflowid_label	additional.fields	Unita
intermediary	intermediary	Unita
intermediary1	intermediary	Unita
Analyzer	intermediary.application	Mappatura diretta
analyzer	intermediary.application	Mappatura diretta
AnalyzerHostName	intermediary.asset.hostname	Mappatura diretta
AnalyzerMAC	intermediary.asset.mac	Unita
AnalyzerHostName	intermediary.hostname	Mappatura diretta
analyzerhostname	intermediary.hostname	Mappatura diretta
analyzeripv4	intermediary.ip	Unita
AnalyzerMAC	intermediary.mac	Unita
analyzermac	intermediary.mac	Unita
Name	metadata.description	Mappatura diretta
event_description	metadata.description	Mappatura diretta
eventname	metadata.description	Mappatura diretta
scantype	metadata.description	Mappatura diretta
tvdeventid	metadata.description	Mappatura diretta
event_type	metadata.event_type	Mappatura diretta
TenantId	metadata.product_deployment_id	Mappatura diretta
EventID	metadata.product_event_type	Mappatura diretta
Type	metadata.product_event_type	Mappatura diretta
eventType	metadata.product_event_type	Mappatura diretta
prod_event_type	metadata.product_event_type	Mappatura diretta
product_event_type	metadata.product_event_type	Rinominato/mappato
tvdeventid	metadata.product_event_type	Mappatura diretta
AutoID	metadata.product_log_id	Mappatura diretta
AutoId	metadata.product_log_id	Mappatura diretta
alertId	metadata.product_log_id	Mappatura diretta
autoid	metadata.product_log_id	Mappatura diretta
product_log_id	metadata.product_log_id	Rinominato/mappato
analyzername	metadata.product_name	Mappatura diretta
product_name	metadata.product_name	Mappatura diretta
AnalyzerVersion	metadata.product_version	Mappatura diretta
analyzerversion	metadata.product_version	Mappatura diretta
product_version	metadata.product_version	Mappatura diretta
productversion	metadata.product_version	Mappatura diretta
app_protocol	network.application_protocol	Mappatura diretta
target_protocol	network.ip_protocol	Mappatura diretta
sys_ip	observer.ip	Unita
analyzer_name	observer.namespace	Mappatura diretta
principal_token	principal	Rinominato/mappato
source_user_domain	principal.administrative_domain	Mappatura diretta
application_name	principal.application	Mappatura diretta
host	principal.application	Mappatura diretta
process_name	principal.application	Mappatura diretta
source_process_name	principal.application	Mappatura diretta
agentguid	principal.asset.asset_id	Mappatura diretta
token_new	principal.asset.attribute.labels	Unita
SiteName	principal.asset.hostname	Mappatura diretta
SourceHostName	principal.asset.hostname	Mappatura diretta
host	principal.asset.hostname	Mappatura diretta
principal_hostname	principal.asset.hostname	Mappatura diretta
source	principal.asset.hostname	Mappatura diretta
machine_ip_address	principal.asset.ip	Unita
sourceIP	principal.asset.ip	Unita
src_ip	principal.asset.ip	Unita
SourceMAC	principal.asset.mac	Unita
machine_raw_mac_address	principal.asset.mac	Unita
AutoGUID	principal.asset.product_object_id	Mappatura diretta
autoguid	principal.asset.product_object_id	Mappatura diretta
SiteName	principal.hostname	Mappatura diretta
SourceHostName	principal.hostname	Mappatura diretta
TargetHostName	principal.hostname	Mappatura diretta
analyzer_host_name	principal.hostname	Mappatura diretta
host	principal.hostname	Mappatura diretta
machine_name	principal.hostname	Mappatura diretta
prin_host	principal.hostname	Mappatura diretta
principal_asset_hostname	principal.hostname	Mappatura diretta
principal_machine_name	principal.hostname	Mappatura diretta
source_host_name	principal.hostname	Mappatura diretta
sourcehostname	principal.hostname	Mappatura diretta
machine_ip_address	principal.ip	Unita
normalized_ip_address	principal.ip	Unita
prin_ip	principal.ip	Unita
sourceIP	principal.ip	Unita
source_ip	principal.ip	Unita
sourceipv4	principal.ip	Unita
src_ip	principal.ip	Unita
srcip	principal.ip	Unita
SourceMAC	principal.mac	Unita
machine_raw_mac_address	principal.mac	Unita
normalized_mac_address	principal.mac	Unita
sourcemac	principal.mac	Unita
source_port	principal.port	Mappatura diretta
cmd_line	principal.process.command_line	Mappatura diretta
eventCommandLine	principal.process.command_line	Mappatura diretta
source_process_cmd	principal.process.command_line	Mappatura diretta
SourceFilePath	principal.process.file.full_path	Mappatura diretta
SourceProcessName	principal.process.file.full_path	Mappatura diretta
eventProgramName	principal.process.file.full_path	Mappatura diretta
process_name	principal.process.file.full_path	Mappatura diretta
prog_name	principal.process.file.full_path	Mappatura diretta
sourceprocessname	principal.process.file.full_path	Mappatura diretta
SourceProcessHash	principal.process.file.md5	Mappatura diretta
Source_FileSize	principal.process.file.size	Mappatura diretta
parent_process_name	principal.process.parent_process.file.full_path	Mappatura diretta
source_parent_process_id	principal.process.parent_process.pid	Mappatura diretta
process_id	principal.process.pid	Mappatura diretta
source_process_id	principal.process.pid	Mappatura diretta
source_device_sn	principal.resource.id	Mappatura diretta
source_product_name	principal.resource.name	Mappatura diretta
SourceURL	principal.url	Mappatura diretta
sourceurl	principal.url	Mappatura diretta
subject	principal.user.group_identifiers	Unita
machine_user_name	principal.user.user_display_name	Mappatura diretta
source_user_name	principal.user.user_display_name	Mappatura diretta
username	principal.user.user_display_name	Mappatura diretta
SourceUserName	principal.user.userid	Mappatura diretta
clientId	principal.user.userid	Mappatura diretta
eventProgramUser	principal.user.userid	Mappatura diretta
sourceusername	principal.user.userid	Mappatura diretta
sec_res	security_result	Unita
security_result	security_result	Unita
security_result_token	security_result	Unita
virus_type_label	security_result.about.resource.attribute.labels	Unita
action	security_result.action	Unita
security_action	security_result.action	Unita
action_taken	security_result.action_details	Mappatura diretta
security_action_details	security_result.action_details	Mappatura diretta
threat_action_taken	security_result.action_details	Mappatura diretta
category	security_result.category	Unita
security_category	security_result.category	Unita
ThreatCategory	security_result.category_details	Unita
category_details	security_result.category_details	Unita
security_category_details	security_result.category_details	Unita
threatcategory	security_result.category_details	Unita
Data	security_result.description	Mappatura diretta
natural_lang_description	security_result.description	Mappatura diretta
security_description	security_result.description	Mappatura diretta
Access_Requested_label	security_result.detection_fields	Unita
Analyzer_ContentVersion_label	security_result.detection_fields	Unita
_field	security_result.detection_fields	Unita
analyzer_dat_version_label	security_result.detection_fields	Unita
analyzer_detection_method_label	security_result.detection_fields	Unita
analyzerdatversion_label	security_result.detection_fields	Unita
analyzerdetectionmethod_label	security_result.detection_fields	Unita
command_executed_label	security_result.detection_fields	Unita
label_agent_guid	security_result.detection_fields	Unita
label_task_name	security_result.detection_fields	Unita
labels0	security_result.detection_fields	Unita
return_code_label	security_result.detection_fields	Unita
seq_no_label	security_result.detection_fields	Unita
server_id_label	security_result.detection_fields	Unita
task_id_label	security_result.detection_fields	Unita
task_name_label	security_result.detection_fields	Unita
threat_event_id_label	security_result.detection_fields	Unita
threat_handled_label	security_result.detection_fields	Unita
threat_type_label	security_result.detection_fields	Unita
threateventid_label	security_result.detection_fields	Unita
threathandled_label	security_result.detection_fields	Unita
threattype_label	security_result.detection_fields	Unita
total_chunks_label	security_result.detection_fields	Unita
transaction_id_label	security_result.detection_fields	Unita
TVDEventID	security_result.rule_id	Mappatura diretta
event_id	security_result.rule_id	Mappatura diretta
policy_name	security_result.rule_name	Mappatura diretta
rule_name	security_result.rule_name	Mappatura diretta
TVDSeverity	security_result.severity_details	Mappatura diretta
ThreatSeverity	security_result.severity_details	Mappatura diretta
threat_severity	security_result.severity_details	Mappatura diretta
threatseverity	security_result.severity_details	Mappatura diretta
ThreatActionTaken	security_result.summary	Mappatura diretta
ThreatType	security_result.summary	Mappatura diretta
detection_message	security_result.summary	Mappatura diretta
security_result.severity	security_result.summary	Mappatura diretta
security_summary	security_result.summary	Mappatura diretta
threat_type	security_result.threat_id	Mappatura diretta
ThreatName	security_result.threat_name	Mappatura diretta
threat_name	security_result.threat_name	Mappatura diretta
threatname	security_result.threat_name	Mappatura diretta
src_token	src	Rinominato/mappato
src_domain	src.administrative_domain	Mappatura diretta
source_ip	src.ip	Unita
source_port	src.port	Mappatura diretta
src_user	src.user.userid	Mappatura diretta
target_token	target	Rinominato/mappato
ProductCode	target.application	Mappatura diretta
tar_app	target.application	Mappatura diretta
serverid	target.asset.asset_id	Mappatura diretta
token_new	target.asset.attribute.labels	Unita
HostName	target.asset.hostname	Mappatura diretta
TargetHostName	target.asset.hostname	Mappatura diretta
target_hostname	target.asset.hostname	Mappatura diretta
targetIP	target.asset.ip	Unita
TargetMAC	target.asset.mac	Unita
AgentGUID	target.asset_id	Mappatura diretta
TargetFileName	target.file.full_path	Mappatura diretta
target_file_name	target.file.full_path	Mappatura diretta
targetfilename	target.file.full_path	Mappatura diretta
target_file_size	target.file.size	Rinominato/mappato
HostName	target.hostname	Mappatura diretta
TargetHostName	target.hostname	Mappatura diretta
machine_name	target.hostname	Mappatura diretta
target_asset_hostname	target.hostname	Mappatura diretta
target_host_name	target.hostname	Mappatura diretta
targethostname	target.hostname	Mappatura diretta
dstip	target.ip	Unita
normalized_ip_address	target.ip	Unita
targetIP	target.ip	Unita
target_ip	target.ip	Unita
target_ipv4	target.ip	Mappatura diretta
targetipv4_val	target.ip	Unita
TargetMAC	target.mac	Unita
normalized_mac_address	target.mac	Unita
targetmac	target.mac	Unita
TenantId	target.namespace	Mappatura diretta
tenantid	target.namespace	Mappatura diretta
TargetPort	target.port	Mappatura diretta
target_port	target.port	Mappatura diretta
targetport	target.port	Mappatura diretta
TargetProcessName	target.process.file.full_path	Mappatura diretta
eventObject	target.process.file.full_path	Mappatura diretta
file_name	target.process.file.full_path	Mappatura diretta
process_name	target.process.file.full_path	Mappatura diretta
target_file_name	target.process.file.full_path	Mappatura diretta
target_name	target.process.file.full_path	Mappatura diretta
targetprocessname	target.process.file.full_path	Mappatura diretta
value_data	target.process.file.full_path	Mappatura diretta
hash	target.process.file.md5	Mappatura diretta
md5	target.process.file.md5	Mappatura diretta
target_hash	target.process.file.md5	Mappatura diretta
sha1	target.process.file.sha1	Mappatura diretta
target_sha	target.process.file.sha1	Mappatura diretta
sha256	target.process.file.sha256	Mappatura diretta
file_size	target.process.file.size	Mappatura diretta
target_parent_file_name	target.process.parent_process.file.full_path	Mappatura diretta
LogonSessionID	target.process.pid	Mappatura diretta
tar_pid	target.process.pid	Mappatura diretta
key_name	target.registry.registry_key	Mappatura diretta
ThreatName	target.resource.name	Mappatura diretta
source_url	target.url	Mappatura diretta
nodeid_label	target.user.attribute.labels	Unita
version_label	target.user.attribute.labels	Unita
targetuseremail	target.user.email_addresses	Unita
machine_user_name	target.user.user_display_name	Mappatura diretta
target_user_name	target.user.user_display_name	Mappatura diretta
value	target.user.user_display_name	Mappatura diretta
TargetUserName	target.user.userid	Mappatura diretta
UserName	target.user.userid	Mappatura diretta
UserSID	target.user.windows_sid	Mappatura diretta
N/D	about	Costante: about_token
N/D	additional.fields	Costante: eventType_label
N/D	intermediary	Costante: intermediary1
N/D	intermediary.asset.mac	Costante: AnalyzerMAC
N/D	intermediary.ip	Costante: analyzeripv4
N/D	intermediary.mac	Costante: AnalyzerMAC
N/D	metadata.description	Costante: No raw event available
N/D	metadata.event_type	Costante: GENERIC_EVENT
N/D	metadata.product_name	Costante: McAfee EPO
N/D	metadata.vendor_name	Costante: McAfee
N/D	observer.ip	Costante: sys_ip
N/D	principal.asset.attribute.labels	Costante: token_new
N/D	principal.asset.ip	Costante: src_ip
N/D	principal.asset.mac	Costante: SourceMAC
N/D	principal.ip	Costante: src_ip
N/D	principal.mac	Costante: SourceMAC
N/D	principal.platform	Costante: WINDOWS
N/D	principal.process.file.size	Costante: uinteger
N/D	principal.user.group_identifiers	Costante: subject
N/D	security_result	Costante: sec_res
N/D	security_result.about.resource.attribute.labels	Costante: virus_type_label
N/D	security_result.action	Costante: action
N/D	security_result.category	Costante: category
N/D	security_result.category_details	Costante: ThreatCategory
N/D	security_result.detection_fields	Costante: threat_event_id_label
N/D	security_result.severity	Costante: HIGH
N/D	src.ip	Costante: source_ip
N/D	target.asset.attribute.labels	Costante: token_new
N/D	target.asset.ip	Costante: targetIP
N/D	target.asset.mac	Costante: TargetMAC
N/D	target.ip	Costante: targetIP
N/D	target.mac	Costante: TargetMAC
N/D	target.process.file.size	Costante: uinteger
N/D	target.user.attribute.labels	Costante: version_label
N/D	target.user.email_addresses	Costante: targetuseremail

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.