Trend Micro Vision One-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Trend Micro Vision One-Logs erfassen, indem Sie einen Google Security Operations-Feed einrichten. Der Parser überträgt Warnungen, Ereignisdaten, Container-Schwachstellen, Aktivitätsdaten und Audit-Logs an AWS S3-Buckets, die von Trend Micro verwaltet werden. Google SecOps ruft diese Daten etwa alle 15 Minuten über Datenfeeds ab. Nicht abgerufene Daten in den S3-Buckets werden 7 Tage lang aufbewahrt, bevor sie gelöscht werden.

Sie können mehrere Feeds in Google SecOps erstellen und die über die Feeds abgerufenen Daten individuell konfigurieren.

Hinweis

  • Prüfen Sie, ob Sie eine Google SecOps-Instanz haben.
  • Sie benötigen privilegierten Zugriff auf Trend Micro Vision One.

Trend Vision One-Datenexport zu Google SecOps konfigurieren

  1. Generieren Sie in der Trend Vision One-Konsole den Zugriffsschlüssel und geben Sie die Daten an, die an Google SecOps gesendet werden sollen.
  2. Rufen Sie Workflow und Automatisierung > Integration von Drittanbietern auf.
  3. Klicken Sie in der Spalte Integration auf Google Security Operations.
  4. Klicken Sie unter Zugriffsschlüssel auf Schlüssel generieren, um die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel zu generieren. Speichern Sie die Zugriffsschlüssel-ID und den geheimen Zugriffsschlüssel zur späteren Verwendung.
  5. Aktivieren Sie unter Datenübertragung den Ein/Aus-Schalter neben den Daten, die Sie an S3-Buckets senden möchten. Immer wenn eine Datenübertragung aktiviert wird, wird ein S3-URI generiert und die Daten werden an den entsprechenden S3-Bucket gesendet. Kopieren Sie den S3-URI und speichern Sie ihn zur späteren Verwendung.
  6. Klicken Sie bei Ereignisse und Aktivitätsdaten auf Bearbeiten, um den Umfang der Daten zu ändern.
  7. Wenn Sie einen bestimmten Datentyp nicht mehr an Google SecOps senden möchten, deaktivieren Sie den Schalter neben den Daten. Wenn Sie die Datenübertragung wieder aktivieren, wird ein neuer S3-URI generiert. Sie müssen einen neuen Feed in Google SecOps konfigurieren.

Feed in Google SecOps konfigurieren, um die Trend Micro Vision One-Logs aufzunehmen

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neu hinzufügen.
  3. Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Trend Micro Vision One Workbench Logs.
  4. Wählen Sie Amazon S3 V2 als Quelltyp aus.
  5. Wählen Sie die Trend Vision One-Daten aus, die von Google SecOps als Log type (Logtyp) aufgenommen werden sollen. Folgende Optionen sind verfügbar:
    • Trend Micro Vision One
    • Trend Micro Vision One-Aktivität
    • Trend Micro Vision One Audit
    • Trend Micro Vision One Container Vulnerabilities
    • Trend Micro Vision One-Erkennungen
    • Trend Micro Vision One Observed Attack Techniques
    • Trend Micro Vision One Workbench
  6. Klicken Sie auf Weiter.
  7. Geben Sie Werte für die folgenden Eingabeparameter an:
    • S3-URI: Geben Sie den S3-URI ein, den Sie im vorherigen Abschnitt abgerufen haben.
    • Optionen zum Löschen von Quellen: Wählen Sie Dateien nie löschen aus.
    • Maximales Dateialter: Enthält Dateien, die in den letzten Tagen geändert wurden. Der Standardwert ist 180 Tage.
    • Zugriffsschlüssel-ID: Geben Sie den Nutzerzugriffsschlüssel ein, den Sie im vorherigen Abschnitt abgerufen haben.
    • Geheimer Zugriffsschlüssel: Geben Sie den geheimen Schlüssel des Nutzers mit Zugriff auf den S3-Bucket ein, den Sie im vorherigen Abschnitt erhalten haben.
    • Asset-Namespace: der Asset-Namespace.
    • Labels für Datenaufnahme: Das Label, das auf die Ereignisse aus diesem Feed angewendet werden soll.
  8. Klicken Sie auf Weiter.
  9. Prüfen Sie die neue Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.

Wiederholen Sie diesen Vorgang, um mehrere Feeds für alle Trend Vision One-Datentypen hinzuzufügen, die Sie in Google SecOps aufnehmen möchten.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
message about Zugeordnet: CEF: → about
deviceNtDomain about.administrative_domain Umbenannt/zugeordnet
sslCertCommonName about.artifact.last_https_certificate.issuer.common_name Direkt zugeordnet
sslCertSerialNumber about.artifact.last_https_certificate.serial_number Direkt zugeordnet
sslCertFingerprint about.artifact.last_https_certificate.thumbprint Direkt zugeordnet
sslCertValidUntil about.artifact.last_https_certificate.validity.expiry_time Direkt zugeordnet
sslCertValidFrom about.artifact.last_https_certificate.validity.issue_time Zusammengeführt
deviceExternalId about.asset.asset_id Direkt zugeordnet
device_product about.asset.asset_id Direkt zugeordnet
device_vendor about.asset.asset_id Direkt zugeordnet
fileHash about.file.full_path Direkt zugeordnet
filePath about.file.full_path Umbenannt/zugeordnet
_hash about.file.sha256 Umbenannt/zugeordnet
fileHash about.file.sha256 Umbenannt/zugeordnet
fileSize about.file.size Umbenannt/zugeordnet
fsize about.file.size Umbenannt/zugeordnet
dvchost about.hostname Umbenannt/zugeordnet
ips about.ip Zusammengeführt
message about.ip Zugeordnet: CEF: → ips
dvc_mac about.mac Zugeordnet: slot → mac_address
dvcmac about.mac Zusammengeführt
mac_address about.mac Zusammengeführt
message about.mac Zugeordnet: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip Zusammengeführt
message about.nat_ip Zugeordnet: CEF: → deviceTranslatedAddress
Emne about.process.command_line Direkt zugeordnet
Path about.process.command_line Direkt zugeordnet
Subject about.process.command_line Direkt zugeordnet
deviceProcessName about.process.command_line Umbenannt/zugeordnet
dvcpid about.process.pid Umbenannt/zugeordnet
message about.resource.attribute.permissions Zugeordnet: CEF: → permissions
permissions about.resource.attribute.permissions Zusammengeführt
_field additional.fields Zusammengeführt
accountCount_label additional.fields Zusammengeführt
additional_cfp1 additional.fields Zusammengeführt
additional_cfp2 additional.fields Zusammengeführt
additional_cfp3 additional.fields Zusammengeführt
additional_cfp4 additional.fields Zusammengeführt
additional_cn1 additional.fields Zusammengeführt
additional_cn2 additional.fields Zusammengeführt
additional_cn3 additional.fields Zusammengeführt
additional_cs1 additional.fields Zusammengeführt
additional_cs2 additional.fields Zusammengeführt
additional_cs3 additional.fields Zusammengeführt
additional_cs4 additional.fields Zusammengeführt
additional_cs5 additional.fields Zusammengeführt
additional_cs6 additional.fields Zusammengeführt
additional_cs7 additional.fields Zusammengeführt
additional_devicePayloadId additional.fields Zusammengeführt
additional_eventId additional.fields Zusammengeführt
additional_eventSourceType additional.fields Zusammengeführt
additional_eventSubId additional.fields Zusammengeführt
additional_flexString1 additional.fields Zusammengeführt
additional_fname additional.fields Zusammengeführt
additional_integrityLevel additional.fields Zusammengeführt
additional_objectFileHashId additional.fields Zusammengeführt
additional_objectFirstSeen additional.fields Zusammengeführt
additional_objectHashId additional.fields Zusammengeführt
additional_objectLastSeen additional.fields Zusammengeführt
additional_objectLaunchTime additional.fields Zusammengeführt
additional_objectName additional.fields Zusammengeführt
additional_objectRunAsLocalAccount additional.fields Zusammengeführt
additional_objectSigner additional.fields Zusammengeführt
additional_objectSignerValid additional.fields Zusammengeführt
additional_objectUser additional.fields Zusammengeführt
additional_objectUserDomain additional.fields Zusammengeführt
additional_osType additional.fields Zusammengeführt
additional_parentName additional.fields Zusammengeführt
additional_parentSigner additional.fields Zusammengeführt
additional_parentSignerValid additional.fields Zusammengeführt
additional_parentUser additional.fields Zusammengeführt
additional_parentUserDomain additional.fields Zusammengeführt
additional_plang additional.fields Zusammengeführt
additional_pplat additional.fields Zusammengeführt
additional_processHashId additional.fields Zusammengeführt
additional_processLaunchTime additional.fields Zusammengeführt
additional_processTrueType additional.fields Zusammengeführt
additional_processUser additional.fields Zusammengeführt
additional_processUserDomain additional.fields Zusammengeführt
additional_productCode additional.fields Zusammengeführt
additional_searchDL additional.fields Zusammengeführt
additional_srcFirstSeen additional.fields Zusammengeführt
additional_srcHashId additional.fields Zusammengeführt
additional_srcLastSeen additional.fields Zusammengeführt
additional_uuid additional.fields Zusammengeführt
alertProvider_label additional.fields Zusammengeführt
caseId_label additional.fields Zusammengeführt
clientIp_label additional.fields Zusammengeführt
cloudIdentityCount_label additional.fields Zusammengeführt
containerCount_label additional.fields Zusammengeführt
cs2 additional.fields Zugeordnet: arc_test → additional_cs2
cs5_label additional.fields Zusammengeführt
desktopCount_label additional.fields Zusammengeführt
detail_channel_label additional.fields Zusammengeführt
detail_engineOperation_label additional.fields Zusammengeführt
detail_objectLaunchTime_label additional.fields Zusammengeführt
detectionTime_label additional.fields Zusammengeführt
emailAddressCount_label additional.fields Zusammengeführt
endpoint_ip_label additional.fields Zusammengeführt
endpoint_object_guid_label additional.fields Zusammengeführt
engVer_label additional.fields Zusammengeführt
entity_entityValue_label additional.fields Zusammengeführt
entity_guid_value_label additional.fields Zusammengeführt
entity_managementScopeGroupId_label additional.fields Zusammengeführt
entity_managementScopeInstanceId_label additional.fields Zusammengeführt
entity_managementScopePartitionKey_label additional.fields Zusammengeführt
entity_type_label additional.fields Zusammengeführt
eventSourceType_label additional.fields Zusammengeführt
eventSubName_label additional.fields Zusammengeführt
filePathName_label additional.fields Zusammengeführt
incidentId_label additional.fields Zusammengeführt
ingestionTime_label additional.fields Zusammengeführt
instance_id_label additional.fields Zusammengeführt
key additional.fields Zugeordnet: "device_Facility", "ApexCentral_Host" → _field
level_label additional.fields Zusammengeführt
logKey_label additional.fields Zusammengeführt
logReceivedTime_label additional.fields Zusammengeführt
matchedDateTime_label additional.fields Zusammengeführt
matched_filter_id_label additional.fields Zusammengeführt
message additional.fields Zugeordnete Werte (insgesamt 109, z.B. CEF: → _field, CEF: → additional_eventId, CEF: → `a...
modelId_label additional.fields Zusammengeführt
modelType_label additional.fields Zusammengeführt
model_label additional.fields Zusammengeführt
object_guid_label additional.fields Zusammengeführt
objects_label additional.fields Zusammengeführt
pname_additional_label additional.fields Zusammengeführt
process_cmd_label additional.fields Zusammengeführt
process_file_hash_sha1_label additional.fields Zusammengeführt
process_file_hash_sha256_label additional.fields Zusammengeführt
process_file_path_label additional.fields Zusammengeführt
process_file_size_label additional.fields Zusammengeführt
process_hash_id_label additional.fields Zusammengeführt
process_launch_time_label additional.fields Zusammengeführt
process_pid_label additional.fields Zusammengeführt
process_user_label additional.fields Zusammengeführt
provenance_data additional.fields Zusammengeführt
reportLink_label additional.fields Zusammengeführt
rtHour_label additional.fields Zusammengeführt
rtWeekDay_label additional.fields Zusammengeführt
schema_version_label additional.fields Zusammengeführt
senderGUID_label additional.fields Zusammengeführt
serverCount_label additional.fields Zusammengeführt
serverIp_label additional.fields Zusammengeführt
status_label additional.fields Zusammengeführt
has_user extensions.auth.type Zugeordnet: true → AUTHTYPE_UNSPECIFIED
message extensions.auth.type Zugeordnet: CEF: → AUTHTYPE_UNSPECIFIED
message intermediary Zugeordnet: CEF: → intermediary
inter_host intermediary.hostname Direkt zugeordnet
Model metadata.description Direkt zugeordnet
description metadata.description Direkt zugeordnet
eventSubName metadata.description Direkt zugeordnet
msg metadata.description Umbenannt/zugeordnet
Generated metadata.event_timestamp Als yyyy-MM-ddTHH:mm:ss geparst
Received metadata.event_timestamp Als yyyy-MM-ddTHH:mm:ss geparst
createdDateTime metadata.event_timestamp Als ISO8601 geparst
detail.eventTime metadata.event_timestamp Als UNIX_MS geparst
detectedDateTime metadata.event_timestamp Als yyyy-MM-ddTHH:mm:ssZ geparst
detectionTime metadata.event_timestamp Als yyyy-MM-ddTHH:mm:ssZ geparst
firstSeen metadata.event_timestamp Als UNIX_MS geparst
ingestedDateTime metadata.event_timestamp Als ISO8601 geparst
lastSeen metadata.event_timestamp Als UNIX_MS geparst
loggedDateTime metadata.event_timestamp Als yyyy-MM-ddTHH:mm:ssZ geparst
processFileModifiedTime metadata.event_timestamp Als UNIX_MS geparst
rt metadata.event_timestamp Als UNIX_MS geparst
sslCertValidFrom metadata.event_timestamp Als ISO8601 geparst
sslCertValidUntil metadata.event_timestamp Als ISO8601 geparst
unix_logReceivedTime metadata.event_timestamp Als UNIX_MS geparst
updatedDateTime metadata.event_timestamp Als ISO8601 geparst
utc metadata.event_timestamp Als yyyy-MM-ddTHH:mm:ss.SSSZ geparst
event_name metadata.event_type Zugeordnet: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_user metadata.event_type Zugeordnet: true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Zugeordnete Werte (insgesamt 8, z.B. CEF: → SCAN_UNCATEGORIZED, CEF: → STATUS_UPDATE, CEF:...)
principal_present metadata.event_type Zugeordnet: true → PROCESS_UNCATEGORIZED, true → NETWORK_CONNECTION, true → `PROCESS_L...
activity metadata.product_event_type Direkt zugeordnet
device_event_class_id metadata.product_event_type Direkt zugeordnet
event_name metadata.product_event_type Direkt zugeordnet
type metadata.product_event_type Direkt zugeordnet
WorkbenchID metadata.product_log_id Direkt zugeordnet
detail.uuid metadata.product_log_id Direkt zugeordnet
e_ID metadata.product_log_id Direkt zugeordnet
externalId metadata.product_log_id Direkt zugeordnet
id metadata.product_log_id Direkt zugeordnet
detail.mpname metadata.product_name Direkt zugeordnet
device_product metadata.product_name Direkt zugeordnet
message metadata.product_name Zugeordnet: CEF: → Vision One
detail.mpver metadata.product_version Direkt zugeordnet
device_version metadata.product_version Direkt zugeordnet
device_vendor metadata.vendor_name Umbenannt/zugeordnet
message metadata.vendor_name Zugeordnet: CEF: → Trend Micro
app_protocol_output network.application_protocol Direkt zugeordnet
deviceDirection network.direction Zugeordnet: 0 → INBOUND, 1 → OUTBOUND
message network.direction Zugeordnet: CEF: → INBOUND, CEF: → OUTBOUND
object.CustomValue network.email.from Direkt zugeordnet
message network.email.subject Zugeordnet: CEF: → title
title network.email.subject Zusammengeführt
message network.email.to Zugeordnet: CEF: → object.CustomValue
object.CustomValue network.email.to Zusammengeführt
objecttype network.email.to Zugeordnet: email_forward → object.CustomValue
requestMethod network.http.method Umbenannt/zugeordnet
Link network.http.referral_url Direkt zugeordnet
requestClientApplication network.http.user_agent Umbenannt/zugeordnet
userAgent network.http.user_agent Direkt zugeordnet
ip_protocol_out network.ip_protocol Direkt zugeordnet
in network.received_bytes Umbenannt/zugeordnet
out network.sent_bytes Umbenannt/zugeordnet
sessionId network.session_id Direkt zugeordnet
tlsSelectedCipher network.tls.cipher Direkt zugeordnet
ja3Hash network.tls.client.ja3 Direkt zugeordnet
ja3sHash network.tls.server.ja3s Direkt zugeordnet
detail.mDeviceGUID observer.asset.asset_id Direkt zugeordnet
detail.dvchost observer.hostname Direkt zugeordnet
ip observer.ip Zusammengeführt
message observer.ip Zugeordnet: CEF: → ip
account_domain principal.administrative_domain Direkt zugeordnet
sntdom principal.administrative_domain Umbenannt/zugeordnet
userDomain principal.administrative_domain Direkt zugeordnet
userDomain.0 principal.administrative_domain Direkt zugeordnet
application principal.application Umbenannt/zugeordnet
sourceServiceName principal.application Umbenannt/zugeordnet
detail.endpointGuid principal.asset.asset_id Direkt zugeordnet
endpoint.agentGuid principal.asset.asset_id Direkt zugeordnet
mDeviceGUID principal.asset.asset_id Direkt zugeordnet
entityName_label principal.asset.attribute.labels Zusammengeführt
message principal.asset.attribute.labels Zugeordnet: CEF: → entityName_label
endpoint.name principal.asset.hostname Direkt zugeordnet
endpointHostName principal.asset.hostname Direkt zugeordnet
object_hostname principal.asset.hostname Direkt zugeordnet
shost principal.asset.hostname Direkt zugeordnet
Appliance_IP_address principal.asset.ip Zusammengeführt
IP_address principal.asset.ip Zusammengeführt
ip principal.asset.ip Zusammengeführt
ip_src_value principal.asset.ip Zusammengeführt
message principal.asset.ip Zugeordnete Werte (insgesamt 7, z.B. CEF: → IP_address, CEF: → Appliance_IP_address, CEF: ...
object_field principal.asset.ip Zugeordnet: src → ip_src_value
shost principal.asset.ip Zusammengeführt
src principal.asset.ip Zusammengeführt
src_ip principal.asset.ip Zusammengeführt
endpointGuid principal.asset_id Direkt zugeordnet
object_guid principal.asset_id Direkt zugeordnet
detail.fullPath principal.file.full_path Direkt zugeordnet
requestMimeType principal.file.mime_type Direkt zugeordnet
indicator.value principal.file.sha1 Direkt zugeordnet
Group_name principal.group.group_display_name Direkt zugeordnet
Gruppenavn principal.group.group_display_name Direkt zugeordnet
clientGroup principal.group.group_display_name Direkt zugeordnet
detail.groupId principal.group.product_object_id Direkt zugeordnet
Device_name principal.hostname Direkt zugeordnet
Enhetsnavn principal.hostname Direkt zugeordnet
endpoint.name principal.hostname Direkt zugeordnet
endpointHostName principal.hostname Direkt zugeordnet
object_hostname principal.hostname Direkt zugeordnet
shost principal.hostname Direkt zugeordnet
Appliance_IP_address principal.ip Zusammengeführt
IP_address principal.ip Zusammengeführt
ip principal.ip Zusammengeführt
ip_src_value principal.ip Zusammengeführt
message principal.ip Zugeordnete Werte (insgesamt 8, z. B. CEF: → IP_address, CEF: → Appliance_IP_address, CEF: …
object_field principal.ip Zugeordnet: src → ip_src_value
principal_ip principal.ip Zusammengeführt
shost principal.ip Zusammengeführt
src principal.ip Zusammengeführt
src_ip principal.ip Zusammengeführt
mac principal.mac Zusammengeführt
message principal.mac Zugeordnet: CEF: → mac
message principal.nat_ip Zugeordnet: CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Zusammengeführt
sourceTranslatedPort principal.nat_port Umbenannt/zugeordnet
message principal.platform Zugeordnet: CEF: → WINDOWS, CEF: → MAC, CEF: → LINUX
osName principal.platform Zugeordnet: (?i)windows → WINDOWS, (?i)Mac/iOS → MAC, (?)Lin → LINUX
osVer principal.platform_version Direkt zugeordnet
platform_version principal.platform_version Direkt zugeordnet
spt principal.port Umbenannt/zugeordnet
object.value principal.process.command_line Direkt zugeordnet
processCmd principal.process.command_line Direkt zugeordnet
process_cmd principal.process.command_line Direkt zugeordnet
sproc principal.process.command_line Umbenannt/zugeordnet
detail.processName principal.process.file.full_path Direkt zugeordnet
object.value principal.process.file.full_path Direkt zugeordnet
processFilePath principal.process.file.full_path Direkt zugeordnet
process_file_path principal.process.file.full_path Direkt zugeordnet
processFileModifiedTime principal.process.file.last_modification_time Umbenannt/zugeordnet
detail.processFileHashMd5 principal.process.file.md5 Direkt zugeordnet
processFileHashMd5 principal.process.file.md5 Direkt zugeordnet
fileHash principal.process.file.sha1 Direkt zugeordnet
object.value principal.process.file.sha1 Direkt zugeordnet
processFileHashSha1 principal.process.file.sha1 Direkt zugeordnet
process_file_hash_sha1 principal.process.file.sha1 Direkt zugeordnet
fileHashSha256 principal.process.file.sha256 Direkt zugeordnet
processFileHashSha256 principal.process.file.sha256 Direkt zugeordnet
process_file_hash_sha256 principal.process.file.sha256 Direkt zugeordnet
processFileSize principal.process.file.size Umbenannt/zugeordnet
parentFilePath principal.process.parent_process.file.full_path Direkt zugeordnet
parentFileHashMd5 principal.process.parent_process.file.md5 Direkt zugeordnet
parentFileHashSha1 principal.process.parent_process.file.sha1 Direkt zugeordnet
parentFileHashSha256 principal.process.parent_process.file.sha256 Direkt zugeordnet
parentPid principal.process.parent_process.pid Direkt zugeordnet
processPid principal.process.pid Direkt zugeordnet
process_pid principal.process.pid Direkt zugeordnet
spid principal.process.pid Umbenannt/zugeordnet
message principal.resource.attribute.labels Zugeordnet: CEF: → sourceLabel, CEF: → pname_label, CEF: → senderGUID_label
pname_label principal.resource.attribute.labels Zusammengeführt
senderGUID_label principal.resource.attribute.labels Zusammengeführt
sourceLabel principal.resource.attribute.labels Zusammengeführt
uuid principal.resource.product_object_id Direkt zugeordnet
customer_name_label principal.user.attribute.labels Zusammengeführt
message principal.user.attribute.labels Zugeordnet: CEF: → customer_name_label
message principal.user.attribute.roles Zugeordnet: CEF: → principal_role, CEF: → roles
principal_role principal.user.attribute.roles Zusammengeführt
roles principal.user.attribute.roles Zusammengeführt
message principal.user.department Zugeordnet: CEF: → userDepartment
userDepartment principal.user.department Zusammengeführt
details.identifier.email principal.user.email_addresses Zusammengeführt
entity.entityValue principal.user.email_addresses Zusammengeführt
message principal.user.email_addresses Zugeordnet: CEF: → details.identifier.email, CEF: → entity.entityValue, CEF: → `princi...
principalName principal.user.email_addresses Zusammengeführt
entity_entityValue principal.user.user_display_name Direkt zugeordnet
loggedUser principal.user.user_display_name Direkt zugeordnet
suser principal.user.user_display_name Direkt zugeordnet
account principal.user.userid Direkt zugeordnet
account_name principal.user.userid Direkt zugeordnet
detail.suid principal.user.userid Direkt zugeordnet
details.identifier.id principal.user.userid Direkt zugeordnet
loggedUser principal.user.userid Direkt zugeordnet
logonUser.0 principal.user.userid Direkt zugeordnet
object.CustomValue principal.user.userid Direkt zugeordnet
process_user principal.user.userid Direkt zugeordnet
suid principal.user.userid Umbenannt/zugeordnet
security_id principal.user.windows_sid Direkt zugeordnet
message security_result Zugeordnete Werte (insgesamt 5, z.B. CEF: → security_result, CEF: → task_sec_res, CEF: → `...
sec security_result Zusammengeführt
sec_isEntity security_result Zusammengeführt
sec_res security_result Zusammengeführt
task_sec_res security_result Zusammengeführt
wasEntity.key security_result.about.file.full_path Direkt zugeordnet
investigationResult security_result.about.investigation.comments Zusammengeführt
message security_result.about.investigation.comments Zugeordnet: CEF: → investigationResult
investigationStatus security_result.about.investigation.status Zugeordnet: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
message security_result.about.investigation.status Zugeordnete Werte (insgesamt 5, z.B. CEF: → NEW, CEF: → CLOSED, CEF: → OPEN)
attr_value security_result.about.process.command_line Direkt zugeordnet
_action security_result.action Zusammengeführt
act security_result.action Zugeordnet: accept → _action, deny → _action
action_data security_result.action Zusammengeführt
message security_result.action Zugeordnet: CEF: → _action, CEF: → action_data, CEF: → security_result_action
object_field security_result.action Zugeordnet: actResult → security_result_action
result security_result.action Zugeordnet: Successful → action_data, Unsuccess → action_data
security_result_action security_result.action Zusammengeführt
Action_Taken security_result.action_details Direkt zugeordnet
act security_result.action_details Direkt zugeordnet
actResult security_result.action_details Direkt zugeordnet
detail.accessPermission security_result.action_details Direkt zugeordnet
result security_result.action_details Direkt zugeordnet
message security_result.attack_details.tactics Zugeordnet: CEF: → tactics, CEF: → tactic
tactic security_result.attack_details.tactics Zusammengeführt
tactics security_result.attack_details.tactics Zusammengeführt
message security_result.attack_details.techniques Zugeordnet: CEF: → techniques
techniques security_result.attack_details.techniques Zusammengeführt
act security_result.category Zugeordnet: Block → event_category
event_category security_result.category Zusammengeführt
message security_result.category Zugeordnet: CEF: → event_category
cat security_result.category_details Zusammengeführt
category security_result.category_details Zusammengeführt
detail.behaviorCat security_result.category_details Zusammengeführt
message security_result.category_details Zugeordnet: CEF: → cat, CEF: → category, CEF: → detail.behaviorCat
Scan_Type security_result.description Direkt zugeordnet
Type security_result.description Direkt zugeordnet
filters.0.description security_result.description Direkt zugeordnet
msg_data_2 security_result.description Direkt zugeordnet
LogonID_label security_result.detection_fields Zusammengeführt
accessType_label security_result.detection_fields Zusammengeführt
access_right_label security_result.detection_fields Zusammengeführt
account_modified_name_label security_result.detection_fields Zusammengeführt
account_type_label security_result.detection_fields Zusammengeführt
activity_label security_result.detection_fields Zusammengeführt
attr_name security_result.detection_fields Zugeordnet: sha256 → sha256_label, startType → startType_label, state → state_label
evt_type_label security_result.detection_fields Zusammengeführt
filepath_label security_result.detection_fields Zusammengeführt
highlighted_field_label security_result.detection_fields Zusammengeführt
highlighted_type_label security_result.detection_fields Zusammengeführt
indicator_label security_result.detection_fields Zusammengeführt
infection_channel_label security_result.detection_fields Zusammengeführt
matched_event_uuid_label security_result.detection_fields Zusammengeführt
message security_result.detection_fields Zugeordnete Werte (insgesamt 30, z.B. CEF: → operation_label, CEF: → operasjon_label, CEF:... )
mpver_label security_result.detection_fields Zusammengeführt
objecttype security_result.detection_fields Zugeordnet: text → text_label
operasjon_label security_result.detection_fields Zusammengeführt
operation_label security_result.detection_fields Zusammengeführt
permission_label security_result.detection_fields Zusammengeführt
policy_id_label security_result.detection_fields Zusammengeführt
sha256_label security_result.detection_fields Zusammengeführt
spyware_Grayware_Type_label security_result.detection_fields Zusammengeführt
startType_label security_result.detection_fields Zusammengeführt
state_label security_result.detection_fields Zusammengeführt
subRuleId_label security_result.detection_fields Zusammengeführt
subRuleName_label security_result.detection_fields Zusammengeführt
tag_label security_result.detection_fields Zusammengeführt
text_label security_result.detection_fields Zusammengeführt
threat_probability_label security_result.detection_fields Zusammengeführt
tillatelse_label security_result.detection_fields Zusammengeführt
was_key_label security_result.detection_fields Zusammengeführt
winEventId_label security_result.detection_fields Zusammengeführt
createdDateTime security_result.first_discovered_time Umbenannt/zugeordnet
firstSeen security_result.first_discovered_time Umbenannt/zugeordnet
lastSeen security_result.last_discovered_time Umbenannt/zugeordnet
updatedDateTime security_result.last_updated_time Umbenannt/zugeordnet
Score security_result.risk_score Umbenannt/zugeordnet
score security_result.risk_score Umbenannt/zugeordnet
detail.ruleId security_result.rule_id Umbenannt/zugeordnet
detail.uuid security_result.rule_id Direkt zugeordnet
filters.0.unique_id security_result.rule_id Direkt zugeordnet
ruleUuid security_result.rule_id Umbenannt/zugeordnet
detail.ruleName security_result.rule_name Umbenannt/zugeordnet
filters.0.id security_result.rule_name Direkt zugeordnet
mwProfile security_result.rule_name Direkt zugeordnet
object.CustomValue security_result.rule_name Direkt zugeordnet
ruleName security_result.rule_name Direkt zugeordnet
filter.type security_result.rule_type Direkt zugeordnet
ruleType security_result.rule_type Direkt zugeordnet
message security_result.severity Zugeordnete Werte (insgesamt 5, z.B. CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH)
severity security_result.severity Zugeordnete Werte (insgesamt 6, z. B. "0", "1", "2", "3", "LOW" → LOW, „4“, „5“, „6“, „MEDIUM“ usw.)
filter.riskLevel security_result.severity_details Direkt zugeordnet
Result security_result.summary Direkt zugeordnet
appcategory security_result.summary Direkt zugeordnet
filters.0.name security_result.summary Direkt zugeordnet
reason security_result.summary Umbenannt/zugeordnet
Spyware security_result.threat_name Direkt zugeordnet
Unknown_Threat security_result.threat_name Direkt zugeordnet
Virus_Malware_Name security_result.threat_name Direkt zugeordnet
object.value security_result.threat_name Direkt zugeordnet
workbenchLink security_result.url_back_to_product Umbenannt/zugeordnet
oldFilePath src.file.full_path Umbenannt/zugeordnet
oldFileSize src.file.size Umbenannt/zugeordnet
message src.resource.attribute.permissions Zugeordnet: CEF: → old_permissions
old_permissions src.resource.attribute.permissions Zusammengeführt
dntdom target.administrative_domain Umbenannt/zugeordnet
destinationServiceName target.application Umbenannt/zugeordnet
detail.deviceGUID target.asset.asset_id Direkt zugeordnet
dst target.asset.ip Zusammengeführt
ip_dst_value target.asset.ip Zusammengeführt
message target.asset.ip Zugeordnet: CEF: → dst, CEF: → ip_dst_value
object_field target.asset.ip Zugeordnet: dst → ip_dst_value
object.CustomValue target.file.full_path Direkt zugeordnet
object.value target.file.full_path Direkt zugeordnet
value target.file.full_path Direkt zugeordnet
object.CustomValue target.file.sha1 Direkt zugeordnet
object.value target.file.sha1 Direkt zugeordnet
detail.objectFileSize target.file.size Direkt zugeordnet
message target.file.size Zugeordnet: CEF: → uinteger
temp_dhost target.hostname Direkt zugeordnet
IPv6_Address target.ip Zusammengeführt
dst target.ip Zusammengeführt
dst_ip target.ip Zusammengeführt
ip_dst_value target.ip Zusammengeführt
ipv6 target.ip Zugeordnet: - → IPv6_Address
message target.ip Zugeordnet: CEF: → dst_ip, CEF: → IPv6_Address, CEF: → dst, CEF: → ip_dst_value
object_field target.ip Zugeordnet: dst → ip_dst_value
mac_address target.mac Zusammengeführt
message target.mac Zugeordnet: CEF: → mac_address
destination_translated_address target.nat_ip Zusammengeführt
message target.nat_ip Zugeordnet: CEF: → destination_translated_address
destinationTranslatedPort target.nat_port Umbenannt/zugeordnet
dpt target.port Umbenannt/zugeordnet
dproc target.process.command_line Umbenannt/zugeordnet
object.CustomValue target.process.command_line Direkt zugeordnet
object.value target.process.command_line Direkt zugeordnet
objectCmd target.process.command_line Direkt zugeordnet
File_name target.process.file.full_path Direkt zugeordnet
Infected_Resource target.process.file.full_path Direkt zugeordnet
Object target.process.file.full_path Direkt zugeordnet
Objekt target.process.file.full_path Direkt zugeordnet
fileName target.process.file.full_path Direkt zugeordnet
object.CustomValue target.process.file.full_path Direkt zugeordnet
object.value target.process.file.full_path Direkt zugeordnet
objectFilePath target.process.file.full_path Direkt zugeordnet
objectFileHashMd5 target.process.file.md5 Direkt zugeordnet
object.CustomValue target.process.file.sha1 Direkt zugeordnet
object.value target.process.file.sha1 Direkt zugeordnet
objectFileHashSha1 target.process.file.sha1 Direkt zugeordnet
objectFileHashSha256 target.process.file.sha256 Direkt zugeordnet
object.CustomValue target.process.parent_process.command_line Direkt zugeordnet
object.CustomValue target.process.parent_process.file.full_path Direkt zugeordnet
object.CustomValue target.process.parent_process.file.sha1 Direkt zugeordnet
object.value target.process.parent_process.file.sha1 Direkt zugeordnet
dpid target.process.pid Umbenannt/zugeordnet
objectPid target.process.pid Direkt zugeordnet
command_line_label target.resource.attribute.labels Zusammengeführt
dacDeviceType_label target.resource.attribute.labels Zusammengeführt
endpointGUID_label target.resource.attribute.labels Zusammengeführt
file_path_label target.resource.attribute.labels Zusammengeführt
file_sha1_label target.resource.attribute.labels Zusammengeführt
message target.resource.attribute.labels Zugeordnete Werte (insgesamt 6, z. B. CEF: → resource_Type_label, CEF: → dacDeviceType_label usw.
objecttype target.resource.attribute.labels Zugeordnet: command_line → command_line_label, file_sha1 → file_sha1_label, fullpath →...
resource_Type_label target.resource.attribute.labels Zusammengeführt
request target.url Direkt zugeordnet
message target.user.attribute.roles Zugeordnet: CEF: → target_role
target_role target.user.attribute.roles Zusammengeführt
CustomerName target.user.user_display_name Direkt zugeordnet
temp_duser target.user.user_display_name Direkt zugeordnet
Bruker target.user.userid Direkt zugeordnet
User_value target.user.userid Direkt zugeordnet
temp_duid target.user.userid Direkt zugeordnet
– extensions.auth.type Konstante: AUTHTYPE_UNSPECIFIED
– metadata.event_type Konstante: SCAN_UNCATEGORIZED
– metadata.product_name Konstante: Vision One
– metadata.vendor_name Konstante: Trend Micro
– network.direction Konstante: INBOUND
– principal.platform Konstante: WINDOWS
– security_result.about.investigation.status Konstante: NEW
– security_result.severity Konstante: LOW

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten