Collecter les journaux Trend Micro Vision One

Compatible avec :

Ce document explique comment collecter les journaux Trend Micro Vision One en configurant un flux Google Security Operations. L'analyseur transmet les alertes, les données d'événement, les failles des conteneurs, les données d'activité et les journaux d'audit aux buckets AWS S3 gérés par Trend Micro. Google SecOps récupère ces données à l'aide de flux de données environ toutes les 15 minutes. Les données non récupérées dans les buckets S3 sont conservées pendant sept jours avant d'être purgées.

Vous pouvez créer plusieurs flux dans Google SecOps et configurer individuellement les données obtenues à l'aide de ces flux.

Avant de commencer

  • Assurez-vous de disposer d'une instance Google SecOps.
  • Assurez-vous de disposer d'un accès privilégié à Trend Micro Vision One.

Configurer l'exportation de données Trend Vision One vers Google SecOps

  1. Dans la console Trend Vision One, générez la clé d'accès et spécifiez les données à envoyer à Google SecOps.
  2. Accédez à Workflow et automatisation > Intégration tierce.
  3. Dans la colonne Intégration, cliquez sur Google Security Operations.
  4. Sous Clé d'accès, cliquez sur Générer une clé pour générer l'ID de clé d'accès et la clé d'accès secrète. Enregistrez l'ID de clé d'accès et la clé d'accès secrète, car vous en aurez besoin plus tard.
  5. Sous Transfert de données, activez le bouton à côté des données que vous souhaitez envoyer aux buckets S3. Chaque fois qu'un transfert de données est activé, un URI S3 est généré et les données commencent à être envoyées au bucket S3 correspondant. Copiez et stockez l'URI S3 pour une utilisation ultérieure.
  6. Pour Événements et Données d'activité, cliquez sur Modifier pour modifier le champ d'application des données.
  7. Pour arrêter d'envoyer un type de données à Google SecOps, désactivez le bouton à côté des données. La réactivation du transfert de données génère un nouvel URI S3. Vous devez configurer un nouveau flux dans Google SecOps.

Configurer un flux dans Google SecOps pour ingérer les journaux Trend Micro Vision One

  1. Accédez à Paramètres > Gestion des données > Flux. Si vous utilisez une plate-forme SIEM uniquement, accédez à Paramètres > Flux.
  2. Cliquez sur Ajouter.
  3. Dans le champ Nom du flux, saisissez un nom pour le flux, par exemple Trend Micro Vision One Workbench Logs.
  4. Sélectionnez Amazon S3 V2 comme Type de source.
  5. Sélectionnez les données Trend Vision One que vous souhaitez que Google SecOps ingère en tant que Type de journal. Voici les options disponibles :
    • Trend Micro Vision One
    • Activité Trend Micro Vision One
    • Trend Micro Vision One Audit
    • Failles de conteneur Trend Micro Vision One
    • Détections Trend Micro Vision One
    • Techniques d'attaque observées par Trend Micro Vision One
    • Trend Micro Vision One Workbench
  6. Cliquez sur Suivant.
  7. Spécifiez les valeurs des paramètres d'entrée suivants :
    • URI S3 : saisissez l'URI S3 obtenu dans la section précédente.
    • Options de suppression de la source : sélectionnez Ne jamais supprimer les fichiers.
    • Âge maximal du fichier : inclut les fichiers modifiés au cours d'un certain nombre de jours. La valeur par défaut est de 180 jours.
    • ID de clé d'accès : saisissez la clé d'accès utilisateur obtenue dans la section précédente.
    • Clé d'accès secrète : saisissez la clé secrète de l'utilisateur ayant accès au bucket S3, obtenue dans la section précédente.
    • Espace de noms de l'élément : espace de noms de l'élément.
    • Étiquettes d'ingestion : étiquette à appliquer aux événements de ce flux.
  8. Cliquez sur Suivant.
  9. Vérifiez la configuration de votre nouveau flux d'actualités sur l'écran Finaliser, puis cliquez sur Envoyer.

Répétez ce processus pour ajouter plusieurs flux pour tous les types de données Trend Vision One que vous souhaitez ingérer dans Google SecOps.

Table de mappage UDM

Champ du journal mappage UDM Logique
message about Mappé : CEF: → about
deviceNtDomain about.administrative_domain Renommé/Mappé
sslCertCommonName about.artifact.last_https_certificate.issuer.common_name Mappage direct
sslCertSerialNumber about.artifact.last_https_certificate.serial_number Mappage direct
sslCertFingerprint about.artifact.last_https_certificate.thumbprint Mappage direct
sslCertValidUntil about.artifact.last_https_certificate.validity.expiry_time Mappage direct
sslCertValidFrom about.artifact.last_https_certificate.validity.issue_time Fusionné
deviceExternalId about.asset.asset_id Mappage direct
device_product about.asset.asset_id Mappage direct
device_vendor about.asset.asset_id Mappage direct
fileHash about.file.full_path Mappage direct
filePath about.file.full_path Renommé/Mappé
_hash about.file.sha256 Renommé/Mappé
fileHash about.file.sha256 Renommé/Mappé
fileSize about.file.size Renommé/Mappé
fsize about.file.size Renommé/Mappé
dvchost about.hostname Renommé/Mappé
ips about.ip Fusionné
message about.ip Mappé : CEF: → ips
dvc_mac about.mac Mappé : slot → mac_address
dvcmac about.mac Fusionné
mac_address about.mac Fusionné
message about.mac Mappé : CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip Fusionné
message about.nat_ip Mappé : CEF: → deviceTranslatedAddress
Emne about.process.command_line Mappage direct
Path about.process.command_line Mappage direct
Subject about.process.command_line Mappage direct
deviceProcessName about.process.command_line Renommé/Mappé
dvcpid about.process.pid Renommé/Mappé
message about.resource.attribute.permissions Mappé : CEF: → permissions
permissions about.resource.attribute.permissions Fusionné
_field additional.fields Fusionné
accountCount_label additional.fields Fusionné
additional_cfp1 additional.fields Fusionné
additional_cfp2 additional.fields Fusionné
additional_cfp3 additional.fields Fusionné
additional_cfp4 additional.fields Fusionné
additional_cn1 additional.fields Fusionné
additional_cn2 additional.fields Fusionné
additional_cn3 additional.fields Fusionné
additional_cs1 additional.fields Fusionné
additional_cs2 additional.fields Fusionné
additional_cs3 additional.fields Fusionné
additional_cs4 additional.fields Fusionné
additional_cs5 additional.fields Fusionné
additional_cs6 additional.fields Fusionné
additional_cs7 additional.fields Fusionné
additional_devicePayloadId additional.fields Fusionné
additional_eventId additional.fields Fusionné
additional_eventSourceType additional.fields Fusionné
additional_eventSubId additional.fields Fusionné
additional_flexString1 additional.fields Fusionné
additional_fname additional.fields Fusionné
additional_integrityLevel additional.fields Fusionné
additional_objectFileHashId additional.fields Fusionné
additional_objectFirstSeen additional.fields Fusionné
additional_objectHashId additional.fields Fusionné
additional_objectLastSeen additional.fields Fusionné
additional_objectLaunchTime additional.fields Fusionné
additional_objectName additional.fields Fusionné
additional_objectRunAsLocalAccount additional.fields Fusionné
additional_objectSigner additional.fields Fusionné
additional_objectSignerValid additional.fields Fusionné
additional_objectUser additional.fields Fusionné
additional_objectUserDomain additional.fields Fusionné
additional_osType additional.fields Fusionné
additional_parentName additional.fields Fusionné
additional_parentSigner additional.fields Fusionné
additional_parentSignerValid additional.fields Fusionné
additional_parentUser additional.fields Fusionné
additional_parentUserDomain additional.fields Fusionné
additional_plang additional.fields Fusionné
additional_pplat additional.fields Fusionné
additional_processHashId additional.fields Fusionné
additional_processLaunchTime additional.fields Fusionné
additional_processTrueType additional.fields Fusionné
additional_processUser additional.fields Fusionné
additional_processUserDomain additional.fields Fusionné
additional_productCode additional.fields Fusionné
additional_searchDL additional.fields Fusionné
additional_srcFirstSeen additional.fields Fusionné
additional_srcHashId additional.fields Fusionné
additional_srcLastSeen additional.fields Fusionné
additional_uuid additional.fields Fusionné
alertProvider_label additional.fields Fusionné
caseId_label additional.fields Fusionné
clientIp_label additional.fields Fusionné
cloudIdentityCount_label additional.fields Fusionné
containerCount_label additional.fields Fusionné
cs2 additional.fields Mappé : arc_test → additional_cs2
cs5_label additional.fields Fusionné
desktopCount_label additional.fields Fusionné
detail_channel_label additional.fields Fusionné
detail_engineOperation_label additional.fields Fusionné
detail_objectLaunchTime_label additional.fields Fusionné
detectionTime_label additional.fields Fusionné
emailAddressCount_label additional.fields Fusionné
endpoint_ip_label additional.fields Fusionné
endpoint_object_guid_label additional.fields Fusionné
engVer_label additional.fields Fusionné
entity_entityValue_label additional.fields Fusionné
entity_guid_value_label additional.fields Fusionné
entity_managementScopeGroupId_label additional.fields Fusionné
entity_managementScopeInstanceId_label additional.fields Fusionné
entity_managementScopePartitionKey_label additional.fields Fusionné
entity_type_label additional.fields Fusionné
eventSourceType_label additional.fields Fusionné
eventSubName_label additional.fields Fusionné
filePathName_label additional.fields Fusionné
incidentId_label additional.fields Fusionné
ingestionTime_label additional.fields Fusionné
instance_id_label additional.fields Fusionné
key additional.fields Mappé : "device_Facility", "ApexCentral_Host" → _field
level_label additional.fields Fusionné
logKey_label additional.fields Fusionné
logReceivedTime_label additional.fields Fusionné
matchedDateTime_label additional.fields Fusionné
matched_filter_id_label additional.fields Fusionné
message additional.fields Valeurs mappées (109 au total, par exemple CEF: → _field, CEF: → additional_eventId, CEF: → `a...
modelId_label additional.fields Fusionné
modelType_label additional.fields Fusionné
model_label additional.fields Fusionné
object_guid_label additional.fields Fusionné
objects_label additional.fields Fusionné
pname_additional_label additional.fields Fusionné
process_cmd_label additional.fields Fusionné
process_file_hash_sha1_label additional.fields Fusionné
process_file_hash_sha256_label additional.fields Fusionné
process_file_path_label additional.fields Fusionné
process_file_size_label additional.fields Fusionné
process_hash_id_label additional.fields Fusionné
process_launch_time_label additional.fields Fusionné
process_pid_label additional.fields Fusionné
process_user_label additional.fields Fusionné
provenance_data additional.fields Fusionné
reportLink_label additional.fields Fusionné
rtHour_label additional.fields Fusionné
rtWeekDay_label additional.fields Fusionné
schema_version_label additional.fields Fusionné
senderGUID_label additional.fields Fusionné
serverCount_label additional.fields Fusionné
serverIp_label additional.fields Fusionné
status_label additional.fields Fusionné
has_user extensions.auth.type Mappé : true → AUTHTYPE_UNSPECIFIED
message extensions.auth.type Mappé : CEF: → AUTHTYPE_UNSPECIFIED
message intermediary Mappé : CEF: → intermediary
inter_host intermediary.hostname Mappage direct
Model metadata.description Mappage direct
description metadata.description Mappage direct
eventSubName metadata.description Mappage direct
msg metadata.description Renommé/Mappé
Generated metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ss
createdDateTime metadata.event_timestamp Analysé en tant que ISO8601
detail.eventTime metadata.event_timestamp Analysé en tant que UNIX_MS
detectedDateTime metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ssZ
detectionTime metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ssZ
firstSeen metadata.event_timestamp Analysé en tant que UNIX_MS
ingestedDateTime metadata.event_timestamp Analysé en tant que ISO8601
lastSeen metadata.event_timestamp Analysé en tant que UNIX_MS
loggedDateTime metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ssZ
processFileModifiedTime metadata.event_timestamp Analysé en tant que UNIX_MS
rt metadata.event_timestamp Analysé en tant que UNIX_MS
sslCertValidFrom metadata.event_timestamp Analysé en tant que ISO8601
sslCertValidUntil metadata.event_timestamp Analysé en tant que ISO8601
unix_logReceivedTime metadata.event_timestamp Analysé en tant que UNIX_MS
updatedDateTime metadata.event_timestamp Analysé en tant que ISO8601
utc metadata.event_timestamp Analysé en tant que yyyy-MM-ddTHH:mm:ss.SSSZ
event_name metadata.event_type Mappé : "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_user metadata.event_type Mappé : true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Valeurs mappées (8 au total, par exemple CEF: → SCAN_UNCATEGORIZED, CEF: → STATUS_UPDATE, CEF:...
principal_present metadata.event_type Mappé : true → PROCESS_UNCATEGORIZED, true → NETWORK_CONNECTION, true → `PROCESS_L...
activity metadata.product_event_type Mappage direct
device_event_class_id metadata.product_event_type Mappage direct
event_name metadata.product_event_type Mappage direct
type metadata.product_event_type Mappage direct
WorkbenchID metadata.product_log_id Mappage direct
detail.uuid metadata.product_log_id Mappage direct
e_ID metadata.product_log_id Mappage direct
externalId metadata.product_log_id Mappage direct
id metadata.product_log_id Mappage direct
detail.mpname metadata.product_name Mappage direct
device_product metadata.product_name Mappage direct
message metadata.product_name Mappé : CEF: → Vision One
detail.mpver metadata.product_version Mappage direct
device_version metadata.product_version Mappage direct
device_vendor metadata.vendor_name Renommé/Mappé
message metadata.vendor_name Mappé : CEF: → Trend Micro
app_protocol_output network.application_protocol Mappage direct
deviceDirection network.direction Mappé : 0 → INBOUND, 1 → OUTBOUND
message network.direction Mappé : CEF: → INBOUND, CEF: → OUTBOUND
object.CustomValue network.email.from Mappage direct
message network.email.subject Mappé : CEF: → title
title network.email.subject Fusionné
message network.email.to Mappé : CEF: → object.CustomValue
object.CustomValue network.email.to Fusionné
objecttype network.email.to Mappé : email_forward → object.CustomValue
requestMethod network.http.method Renommé/Mappé
Link network.http.referral_url Mappage direct
requestClientApplication network.http.user_agent Renommé/Mappé
userAgent network.http.user_agent Mappage direct
ip_protocol_out network.ip_protocol Mappage direct
in network.received_bytes Renommé/Mappé
out network.sent_bytes Renommé/Mappé
sessionId network.session_id Mappage direct
tlsSelectedCipher network.tls.cipher Mappage direct
ja3Hash network.tls.client.ja3 Mappage direct
ja3sHash network.tls.server.ja3s Mappage direct
detail.mDeviceGUID observer.asset.asset_id Mappage direct
detail.dvchost observer.hostname Mappage direct
ip observer.ip Fusionné
message observer.ip Mappé : CEF: → ip
account_domain principal.administrative_domain Mappage direct
sntdom principal.administrative_domain Renommé/Mappé
userDomain principal.administrative_domain Mappage direct
userDomain.0 principal.administrative_domain Mappage direct
application principal.application Renommé/Mappé
sourceServiceName principal.application Renommé/Mappé
detail.endpointGuid principal.asset.asset_id Mappage direct
endpoint.agentGuid principal.asset.asset_id Mappage direct
mDeviceGUID principal.asset.asset_id Mappage direct
entityName_label principal.asset.attribute.labels Fusionné
message principal.asset.attribute.labels Mappé : CEF: → entityName_label
endpoint.name principal.asset.hostname Mappage direct
endpointHostName principal.asset.hostname Mappage direct
object_hostname principal.asset.hostname Mappage direct
shost principal.asset.hostname Mappage direct
Appliance_IP_address principal.asset.ip Fusionné
IP_address principal.asset.ip Fusionné
ip principal.asset.ip Fusionné
ip_src_value principal.asset.ip Fusionné
message principal.asset.ip Valeurs mappées (7 au total, par exemple CEF: → IP_address, CEF: → Appliance_IP_address, CEF:...
object_field principal.asset.ip Mappé : src → ip_src_value
shost principal.asset.ip Fusionné
src principal.asset.ip Fusionné
src_ip principal.asset.ip Fusionné
endpointGuid principal.asset_id Mappage direct
object_guid principal.asset_id Mappage direct
detail.fullPath principal.file.full_path Mappage direct
requestMimeType principal.file.mime_type Mappage direct
indicator.value principal.file.sha1 Mappage direct
Group_name principal.group.group_display_name Mappage direct
Gruppenavn principal.group.group_display_name Mappage direct
clientGroup principal.group.group_display_name Mappage direct
detail.groupId principal.group.product_object_id Mappage direct
Device_name principal.hostname Mappage direct
Enhetsnavn principal.hostname Mappage direct
endpoint.name principal.hostname Mappage direct
endpointHostName principal.hostname Mappage direct
object_hostname principal.hostname Mappage direct
shost principal.hostname Mappage direct
Appliance_IP_address principal.ip Fusionné
IP_address principal.ip Fusionné
ip principal.ip Fusionné
ip_src_value principal.ip Fusionné
message principal.ip Valeurs mappées (8 au total, par exemple CEF: → IP_address, CEF: → Appliance_IP_address, CEF:...
object_field principal.ip Mappé : src → ip_src_value
principal_ip principal.ip Fusionné
shost principal.ip Fusionné
src principal.ip Fusionné
src_ip principal.ip Fusionné
mac principal.mac Fusionné
message principal.mac Mappé : CEF: → mac
message principal.nat_ip Mappé : CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Fusionné
sourceTranslatedPort principal.nat_port Renommé/Mappé
message principal.platform Mapped: CEF: → WINDOWS, CEF: → MAC, CEF: → LINUX
osName principal.platform Mappé : (?i)windows → WINDOWS, (?i)Mac/iOS → MAC, (?)Lin → LINUX
osVer principal.platform_version Mappage direct
platform_version principal.platform_version Mappage direct
spt principal.port Renommé/Mappé
object.value principal.process.command_line Mappage direct
processCmd principal.process.command_line Mappage direct
process_cmd principal.process.command_line Mappage direct
sproc principal.process.command_line Renommé/Mappé
detail.processName principal.process.file.full_path Mappage direct
object.value principal.process.file.full_path Mappage direct
processFilePath principal.process.file.full_path Mappage direct
process_file_path principal.process.file.full_path Mappage direct
processFileModifiedTime principal.process.file.last_modification_time Renommé/Mappé
detail.processFileHashMd5 principal.process.file.md5 Mappage direct
processFileHashMd5 principal.process.file.md5 Mappage direct
fileHash principal.process.file.sha1 Mappage direct
object.value principal.process.file.sha1 Mappage direct
processFileHashSha1 principal.process.file.sha1 Mappage direct
process_file_hash_sha1 principal.process.file.sha1 Mappage direct
fileHashSha256 principal.process.file.sha256 Mappage direct
processFileHashSha256 principal.process.file.sha256 Mappage direct
process_file_hash_sha256 principal.process.file.sha256 Mappage direct
processFileSize principal.process.file.size Renommé/Mappé
parentFilePath principal.process.parent_process.file.full_path Mappage direct
parentFileHashMd5 principal.process.parent_process.file.md5 Mappage direct
parentFileHashSha1 principal.process.parent_process.file.sha1 Mappage direct
parentFileHashSha256 principal.process.parent_process.file.sha256 Mappage direct
parentPid principal.process.parent_process.pid Mappage direct
processPid principal.process.pid Mappage direct
process_pid principal.process.pid Mappage direct
spid principal.process.pid Renommé/Mappé
message principal.resource.attribute.labels Mapped: CEF: → sourceLabel, CEF: → pname_label, CEF: → senderGUID_label
pname_label principal.resource.attribute.labels Fusionné
senderGUID_label principal.resource.attribute.labels Fusionné
sourceLabel principal.resource.attribute.labels Fusionné
uuid principal.resource.product_object_id Mappage direct
customer_name_label principal.user.attribute.labels Fusionné
message principal.user.attribute.labels Mappé : CEF: → customer_name_label
message principal.user.attribute.roles Mappé : CEF: → principal_role, CEF: → roles
principal_role principal.user.attribute.roles Fusionné
roles principal.user.attribute.roles Fusionné
message principal.user.department Mappé : CEF: → userDepartment
userDepartment principal.user.department Fusionné
details.identifier.email principal.user.email_addresses Fusionné
entity.entityValue principal.user.email_addresses Fusionné
message principal.user.email_addresses Mapped: CEF: → details.identifier.email, CEF: → entity.entityValue, CEF: → `princi...
principalName principal.user.email_addresses Fusionné
entity_entityValue principal.user.user_display_name Mappage direct
loggedUser principal.user.user_display_name Mappage direct
suser principal.user.user_display_name Mappage direct
account principal.user.userid Mappage direct
account_name principal.user.userid Mappage direct
detail.suid principal.user.userid Mappage direct
details.identifier.id principal.user.userid Mappage direct
loggedUser principal.user.userid Mappage direct
logonUser.0 principal.user.userid Mappage direct
object.CustomValue principal.user.userid Mappage direct
process_user principal.user.userid Mappage direct
suid principal.user.userid Renommé/Mappé
security_id principal.user.windows_sid Mappage direct
message security_result Valeurs mappées (5 au total, par exemple CEF: → security_result, CEF: → task_sec_res, CEF: → `...
sec security_result Fusionné
sec_isEntity security_result Fusionné
sec_res security_result Fusionné
task_sec_res security_result Fusionné
wasEntity.key security_result.about.file.full_path Mappage direct
investigationResult security_result.about.investigation.comments Fusionné
message security_result.about.investigation.comments Mappé : CEF: → investigationResult
investigationStatus security_result.about.investigation.status Mapped: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
message security_result.about.investigation.status Valeurs mappées (5 au total, par exemple CEF: → NEW, CEF: → CLOSED, CEF: → OPEN)
attr_value security_result.about.process.command_line Mappage direct
_action security_result.action Fusionné
act security_result.action Mappé : accept → _action, deny → _action
action_data security_result.action Fusionné
message security_result.action Mapped: CEF: → _action, CEF: → action_data, CEF: → security_result_action
object_field security_result.action Mappé : actResult → security_result_action
result security_result.action Mappé : Successful → action_data, Unsuccess → action_data
security_result_action security_result.action Fusionné
Action_Taken security_result.action_details Mappage direct
act security_result.action_details Mappage direct
actResult security_result.action_details Mappage direct
detail.accessPermission security_result.action_details Mappage direct
result security_result.action_details Mappage direct
message security_result.attack_details.tactics Mappé : CEF: → tactics, CEF: → tactic
tactic security_result.attack_details.tactics Fusionné
tactics security_result.attack_details.tactics Fusionné
message security_result.attack_details.techniques Mappé : CEF: → techniques
techniques security_result.attack_details.techniques Fusionné
act security_result.category Mappé : Block → event_category
event_category security_result.category Fusionné
message security_result.category Mappé : CEF: → event_category
cat security_result.category_details Fusionné
category security_result.category_details Fusionné
detail.behaviorCat security_result.category_details Fusionné
message security_result.category_details Mapped: CEF: → cat, CEF: → category, CEF: → detail.behaviorCat
Scan_Type security_result.description Mappage direct
Type security_result.description Mappage direct
filters.0.description security_result.description Mappage direct
msg_data_2 security_result.description Mappage direct
LogonID_label security_result.detection_fields Fusionné
accessType_label security_result.detection_fields Fusionné
access_right_label security_result.detection_fields Fusionné
account_modified_name_label security_result.detection_fields Fusionné
account_type_label security_result.detection_fields Fusionné
activity_label security_result.detection_fields Fusionné
attr_name security_result.detection_fields Mappé : sha256 → sha256_label, startType → startType_label, state → state_label
evt_type_label security_result.detection_fields Fusionné
filepath_label security_result.detection_fields Fusionné
highlighted_field_label security_result.detection_fields Fusionné
highlighted_type_label security_result.detection_fields Fusionné
indicator_label security_result.detection_fields Fusionné
infection_channel_label security_result.detection_fields Fusionné
matched_event_uuid_label security_result.detection_fields Fusionné
message security_result.detection_fields Valeurs mappées (30 au total, par exemple CEF: → operation_label, CEF: → operasjon_label, CEF:...)
mpver_label security_result.detection_fields Fusionné
objecttype security_result.detection_fields Mappé : text → text_label
operasjon_label security_result.detection_fields Fusionné
operation_label security_result.detection_fields Fusionné
permission_label security_result.detection_fields Fusionné
policy_id_label security_result.detection_fields Fusionné
sha256_label security_result.detection_fields Fusionné
spyware_Grayware_Type_label security_result.detection_fields Fusionné
startType_label security_result.detection_fields Fusionné
state_label security_result.detection_fields Fusionné
subRuleId_label security_result.detection_fields Fusionné
subRuleName_label security_result.detection_fields Fusionné
tag_label security_result.detection_fields Fusionné
text_label security_result.detection_fields Fusionné
threat_probability_label security_result.detection_fields Fusionné
tillatelse_label security_result.detection_fields Fusionné
was_key_label security_result.detection_fields Fusionné
winEventId_label security_result.detection_fields Fusionné
createdDateTime security_result.first_discovered_time Renommé/Mappé
firstSeen security_result.first_discovered_time Renommé/Mappé
lastSeen security_result.last_discovered_time Renommé/Mappé
updatedDateTime security_result.last_updated_time Renommé/Mappé
Score security_result.risk_score Renommé/Mappé
score security_result.risk_score Renommé/Mappé
detail.ruleId security_result.rule_id Renommé/Mappé
detail.uuid security_result.rule_id Mappage direct
filters.0.unique_id security_result.rule_id Mappage direct
ruleUuid security_result.rule_id Renommé/Mappé
detail.ruleName security_result.rule_name Renommé/Mappé
filters.0.id security_result.rule_name Mappage direct
mwProfile security_result.rule_name Mappage direct
object.CustomValue security_result.rule_name Mappage direct
ruleName security_result.rule_name Mappage direct
filter.type security_result.rule_type Mappage direct
ruleType security_result.rule_type Mappage direct
message security_result.severity Valeurs mappées (5 au total, par exemple CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH)
severity security_result.severity Valeurs mappées (6 au total, par exemple "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", ... )
filter.riskLevel security_result.severity_details Mappage direct
Result security_result.summary Mappage direct
appcategory security_result.summary Mappage direct
filters.0.name security_result.summary Mappage direct
reason security_result.summary Renommé/Mappé
Spyware security_result.threat_name Mappage direct
Unknown_Threat security_result.threat_name Mappage direct
Virus_Malware_Name security_result.threat_name Mappage direct
object.value security_result.threat_name Mappage direct
workbenchLink security_result.url_back_to_product Renommé/Mappé
oldFilePath src.file.full_path Renommé/Mappé
oldFileSize src.file.size Renommé/Mappé
message src.resource.attribute.permissions Mappé : CEF: → old_permissions
old_permissions src.resource.attribute.permissions Fusionné
dntdom target.administrative_domain Renommé/Mappé
destinationServiceName target.application Renommé/Mappé
detail.deviceGUID target.asset.asset_id Mappage direct
dst target.asset.ip Fusionné
ip_dst_value target.asset.ip Fusionné
message target.asset.ip Mappé : CEF: → dst, CEF: → ip_dst_value
object_field target.asset.ip Mappé : dst → ip_dst_value
object.CustomValue target.file.full_path Mappage direct
object.value target.file.full_path Mappage direct
value target.file.full_path Mappage direct
object.CustomValue target.file.sha1 Mappage direct
object.value target.file.sha1 Mappage direct
detail.objectFileSize target.file.size Mappage direct
message target.file.size Mappé : CEF: → uinteger
temp_dhost target.hostname Mappage direct
IPv6_Address target.ip Fusionné
dst target.ip Fusionné
dst_ip target.ip Fusionné
ip_dst_value target.ip Fusionné
ipv6 target.ip Mappé : - → IPv6_Address
message target.ip Mappé : CEF: → dst_ip, CEF: → IPv6_Address, CEF: → dst, CEF: → ip_dst_value
object_field target.ip Mappé : dst → ip_dst_value
mac_address target.mac Fusionné
message target.mac Mappé : CEF: → mac_address
destination_translated_address target.nat_ip Fusionné
message target.nat_ip Mappé : CEF: → destination_translated_address
destinationTranslatedPort target.nat_port Renommé/Mappé
dpt target.port Renommé/Mappé
dproc target.process.command_line Renommé/Mappé
object.CustomValue target.process.command_line Mappage direct
object.value target.process.command_line Mappage direct
objectCmd target.process.command_line Mappage direct
File_name target.process.file.full_path Mappage direct
Infected_Resource target.process.file.full_path Mappage direct
Object target.process.file.full_path Mappage direct
Objekt target.process.file.full_path Mappage direct
fileName target.process.file.full_path Mappage direct
object.CustomValue target.process.file.full_path Mappage direct
object.value target.process.file.full_path Mappage direct
objectFilePath target.process.file.full_path Mappage direct
objectFileHashMd5 target.process.file.md5 Mappage direct
object.CustomValue target.process.file.sha1 Mappage direct
object.value target.process.file.sha1 Mappage direct
objectFileHashSha1 target.process.file.sha1 Mappage direct
objectFileHashSha256 target.process.file.sha256 Mappage direct
object.CustomValue target.process.parent_process.command_line Mappage direct
object.CustomValue target.process.parent_process.file.full_path Mappage direct
object.CustomValue target.process.parent_process.file.sha1 Mappage direct
object.value target.process.parent_process.file.sha1 Mappage direct
dpid target.process.pid Renommé/Mappé
objectPid target.process.pid Mappage direct
command_line_label target.resource.attribute.labels Fusionné
dacDeviceType_label target.resource.attribute.labels Fusionné
endpointGUID_label target.resource.attribute.labels Fusionné
file_path_label target.resource.attribute.labels Fusionné
file_sha1_label target.resource.attribute.labels Fusionné
message target.resource.attribute.labels Valeurs mappées (6 au total, par exemple CEF: → resource_Type_label, CEF: → dacDeviceType_label, etc.
objecttype target.resource.attribute.labels Mappé : command_line → command_line_label, file_sha1 → file_sha1_label, fullpath →...
resource_Type_label target.resource.attribute.labels Fusionné
request target.url Mappage direct
message target.user.attribute.roles Mappé : CEF: → target_role
target_role target.user.attribute.roles Fusionné
CustomerName target.user.user_display_name Mappage direct
temp_duser target.user.user_display_name Mappage direct
Bruker target.user.userid Mappage direct
User_value target.user.userid Mappage direct
temp_duid target.user.userid Mappage direct
N/A extensions.auth.type Constante : AUTHTYPE_UNSPECIFIED
N/A metadata.event_type Constante : SCAN_UNCATEGORIZED
N/A metadata.product_name Constante : Vision One
N/A metadata.vendor_name Constante : Trend Micro
N/A network.direction Constante : INBOUND
N/A principal.platform Constante : WINDOWS
N/A security_result.about.investigation.status Constante : NEW
N/A security_result.severity Constante : LOW

Journal des modifications

Afficher le journal des modifications de cet analyseur

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.