‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Trend Micro Vision One

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך לאסוף יומנים של Trend Micro Vision One על ידי הגדרת פיד של Google Security Operations. הכלי לניתוח מעביר התראות, נתוני אירועים, נקודות חולשה של קונטיינרים, נתוני פעילות ויומני ביקורת לקטגוריות S3 ב-AWS שמנוהלות על ידי Trend Micro. ‫Google SecOps מאחזרת את הנתונים האלה באמצעות פידים של נתונים בערך כל 15 דקות. נתונים שלא אוחזרו בדלי S3 נשמרים למשך 7 ימים לפני שהם נמחקים.

אפשר ליצור כמה פידים ב-Google SecOps ולהגדיר את הנתונים שמתקבלים באמצעות הפידים בנפרד.

לפני שמתחילים

מוודאים שיש לכם מכונת Google SecOps.
מוודאים שיש לכם גישת הרשאות ל-Trend Micro Vision One.

הגדרה של ייצוא נתונים מ-Trend Vision One אל Google SecOps

במסוף Trend Vision One, יוצרים את מפתח הגישה ומציינים את הנתונים לשליחה אל Google SecOps.
עוברים אל Workflow and Automation > Third-Party Integration (תהליך עבודה ואוטומציה > שילוב עם צד שלישי).
בעמודה Integration (שילוב), לוחצים על Google Security Operations.
בקטע מפתח גישה, לוחצים על יצירת מפתח כדי ליצור את מזהה מפתח הגישה ואת מפתח הגישה הסודי. שומרים את המזהה של מפתח הגישה ואת מפתח הגישה הסודי לשימוש בהמשך.
בקטע Data transfer (העברת נתונים), מעבירים את המתג למצב מופעל לצד הנתונים שרוצים לשלוח לקטגוריות S3. בכל פעם שהעברת נתונים מופעלת, נוצר URI של S3 והנתונים מתחילים להישלח לקטגוריית S3 המתאימה. מעתיקים ושומרים את ה-URI של S3 לשימוש מאוחר יותר.
בקטעים אירועים ונתוני פעילות, לוחצים על עריכה כדי לשנות את היקף הנתונים.
כדי להפסיק לשלוח סוג נתונים מסוים אל Google SecOps, משביתים את המתג שליד הנתונים. הפעלה מחדש של העברת הנתונים יוצרת URI חדש של S3. צריך להגדיר פיד חדש ב-Google SecOps.

הגדרת פיד ב-Google SecOps להטמעה של יומני Trend Micro Vision One

עוברים אל SIEM Settings (הגדרות SIEM) > Feeds (פידים).
לוחצים על הוספה.
בשדה שם הפיד, מזינים שם לפיד, למשל Trend Micro Vision One Workbench Logs.
בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
בוחרים את נתוני Trend Vision One שרוצים ש-Google SecOps יקלוט בתור סוג היומן. האפשרויות הזמינות כוללות:
- Trend Micro Vision One
- Trend Micro Vision One Activity
- Trend Micro Vision One Audit
- Trend Micro Vision One Container Vulnerabilities
- Trend Micro Vision One Detections
- Trend Micro Vision One Observed Attack Techniques
- Trend Micro Vision One Workbench
לוחצים על הבא.
מציינים ערכים לפרמטרים הבאים של הקלט:
- ‫S3 URI: מזינים את ה-S3 URI שהתקבל בקטע הקודם.
- אפשרויות למחיקת מקורות: בוחרים באפשרות אף פעם לא למחוק קבצים.
- הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרון. ברירת המחדל היא 180 ימים.
- מזהה מפתח גישה: מזינים את מפתח הגישה של המשתמש שהתקבל בקטע הקודם.
- מפתח גישה סודי: מזינים את מפתח הגישה הסודי של המשתמש עם גישה לקטגוריית S3 שהתקבל בקטע הקודם.
- מרחב השמות של הנכס: מרחב השמות של הנכס.
- תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.
לוחצים על הבא.
בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

חוזרים על התהליך הזה כדי להוסיף כמה פידים לכל סוגי הנתונים של Trend Vision One שרוצים להעביר ל-Google SecOps.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`message`	`about`	מיפוי: `CEF:` → `about`
`deviceNtDomain`	`about.administrative_domain`	שם שונה/מיפוי
`sslCertCommonName`	`about.artifact.last_https_certificate.issuer.common_name`	מיפוי ישיר
`sslCertSerialNumber`	`about.artifact.last_https_certificate.serial_number`	מיפוי ישיר
`sslCertFingerprint`	`about.artifact.last_https_certificate.thumbprint`	מיפוי ישיר
`sslCertValidUntil`	`about.artifact.last_https_certificate.validity.expiry_time`	מיפוי ישיר
`sslCertValidFrom`	`about.artifact.last_https_certificate.validity.issue_time`	ממוזג
`deviceExternalId`	`about.asset.asset_id`	מיפוי ישיר
`device_product`	`about.asset.asset_id`	מיפוי ישיר
`device_vendor`	`about.asset.asset_id`	מיפוי ישיר
`fileHash`	`about.file.full_path`	מיפוי ישיר
`filePath`	`about.file.full_path`	שם שונה/מיפוי
`_hash`	`about.file.sha256`	שם שונה/מיפוי
`fileHash`	`about.file.sha256`	שם שונה/מיפוי
`fileSize`	`about.file.size`	שם שונה/מיפוי
`fsize`	`about.file.size`	שם שונה/מיפוי
`dvchost`	`about.hostname`	שם שונה/מיפוי
`ips`	`about.ip`	ממוזג
`message`	`about.ip`	מיפוי: `CEF:` → `ips`
`dvc_mac`	`about.mac`	מיפוי: `slot` → `mac_address`
`dvcmac`	`about.mac`	ממוזג
`mac_address`	`about.mac`	ממוזג
`message`	`about.mac`	מיפוי: `CEF:` ← `mac_address`, ‏ `CEF:` ← `dvcmac`
`deviceTranslatedAddress`	`about.nat_ip`	ממוזג
`message`	`about.nat_ip`	מיפוי: `CEF:` → `deviceTranslatedAddress`
`Emne`	`about.process.command_line`	מיפוי ישיר
`Path`	`about.process.command_line`	מיפוי ישיר
`Subject`	`about.process.command_line`	מיפוי ישיר
`deviceProcessName`	`about.process.command_line`	שם שונה/מיפוי
`dvcpid`	`about.process.pid`	שם שונה/מיפוי
`message`	`about.resource.attribute.permissions`	מיפוי: `CEF:` → `permissions`
`permissions`	`about.resource.attribute.permissions`	ממוזג
`_field`	`additional.fields`	ממוזג
`accountCount_label`	`additional.fields`	ממוזג
`additional_cfp1`	`additional.fields`	ממוזג
`additional_cfp2`	`additional.fields`	ממוזג
`additional_cfp3`	`additional.fields`	ממוזג
`additional_cfp4`	`additional.fields`	ממוזג
`additional_cn1`	`additional.fields`	ממוזג
`additional_cn2`	`additional.fields`	ממוזג
`additional_cn3`	`additional.fields`	ממוזג
`additional_cs1`	`additional.fields`	ממוזג
`additional_cs2`	`additional.fields`	ממוזג
`additional_cs3`	`additional.fields`	ממוזג
`additional_cs4`	`additional.fields`	ממוזג
`additional_cs5`	`additional.fields`	ממוזג
`additional_cs6`	`additional.fields`	ממוזג
`additional_cs7`	`additional.fields`	ממוזג
`additional_devicePayloadId`	`additional.fields`	ממוזג
`additional_eventId`	`additional.fields`	ממוזג
`additional_eventSourceType`	`additional.fields`	ממוזג
`additional_eventSubId`	`additional.fields`	ממוזג
`additional_flexString1`	`additional.fields`	ממוזג
`additional_fname`	`additional.fields`	ממוזג
`additional_integrityLevel`	`additional.fields`	ממוזג
`additional_objectFileHashId`	`additional.fields`	ממוזג
`additional_objectFirstSeen`	`additional.fields`	ממוזג
`additional_objectHashId`	`additional.fields`	ממוזג
`additional_objectLastSeen`	`additional.fields`	ממוזג
`additional_objectLaunchTime`	`additional.fields`	ממוזג
`additional_objectName`	`additional.fields`	ממוזג
`additional_objectRunAsLocalAccount`	`additional.fields`	ממוזג
`additional_objectSigner`	`additional.fields`	ממוזג
`additional_objectSignerValid`	`additional.fields`	ממוזג
`additional_objectUser`	`additional.fields`	ממוזג
`additional_objectUserDomain`	`additional.fields`	ממוזג
`additional_osType`	`additional.fields`	ממוזג
`additional_parentName`	`additional.fields`	ממוזג
`additional_parentSigner`	`additional.fields`	ממוזג
`additional_parentSignerValid`	`additional.fields`	ממוזג
`additional_parentUser`	`additional.fields`	ממוזג
`additional_parentUserDomain`	`additional.fields`	ממוזג
`additional_plang`	`additional.fields`	ממוזג
`additional_pplat`	`additional.fields`	ממוזג
`additional_processHashId`	`additional.fields`	ממוזג
`additional_processLaunchTime`	`additional.fields`	ממוזג
`additional_processTrueType`	`additional.fields`	ממוזג
`additional_processUser`	`additional.fields`	ממוזג
`additional_processUserDomain`	`additional.fields`	ממוזג
`additional_productCode`	`additional.fields`	ממוזג
`additional_searchDL`	`additional.fields`	ממוזג
`additional_srcFirstSeen`	`additional.fields`	ממוזג
`additional_srcHashId`	`additional.fields`	ממוזג
`additional_srcLastSeen`	`additional.fields`	ממוזג
`additional_uuid`	`additional.fields`	ממוזג
`alertProvider_label`	`additional.fields`	ממוזג
`caseId_label`	`additional.fields`	ממוזג
`clientIp_label`	`additional.fields`	ממוזג
`cloudIdentityCount_label`	`additional.fields`	ממוזג
`containerCount_label`	`additional.fields`	ממוזג
`cs2`	`additional.fields`	מיפוי: `arc_test` → `additional_cs2`
`cs5_label`	`additional.fields`	ממוזג
`desktopCount_label`	`additional.fields`	ממוזג
`detail_channel_label`	`additional.fields`	ממוזג
`detail_engineOperation_label`	`additional.fields`	ממוזג
`detail_objectLaunchTime_label`	`additional.fields`	ממוזג
`detectionTime_label`	`additional.fields`	ממוזג
`emailAddressCount_label`	`additional.fields`	ממוזג
`endpoint_ip_label`	`additional.fields`	ממוזג
`endpoint_object_guid_label`	`additional.fields`	ממוזג
`engVer_label`	`additional.fields`	ממוזג
`entity_entityValue_label`	`additional.fields`	ממוזג
`entity_guid_value_label`	`additional.fields`	ממוזג
`entity_managementScopeGroupId_label`	`additional.fields`	ממוזג
`entity_managementScopeInstanceId_label`	`additional.fields`	ממוזג
`entity_managementScopePartitionKey_label`	`additional.fields`	ממוזג
`entity_type_label`	`additional.fields`	ממוזג
`eventSourceType_label`	`additional.fields`	ממוזג
`eventSubName_label`	`additional.fields`	ממוזג
`filePathName_label`	`additional.fields`	ממוזג
`incidentId_label`	`additional.fields`	ממוזג
`ingestionTime_label`	`additional.fields`	ממוזג
`instance_id_label`	`additional.fields`	ממוזג
`key`	`additional.fields`	מיפוי: `"device_Facility", "ApexCentral_Host"` → `_field`
`level_label`	`additional.fields`	ממוזג
`logKey_label`	`additional.fields`	ממוזג
`logReceivedTime_label`	`additional.fields`	ממוזג
`matchedDateTime_label`	`additional.fields`	ממוזג
`matched_filter_id_label`	`additional.fields`	ממוזג
`message`	`additional.fields`	ערכים ממופים (109 בסך הכול, למשל, `CEF:` ← `_field`, ‏ `CEF:` ← `additional_eventId`, ‏ `CEF:` ← `a...
`modelId_label`	`additional.fields`	ממוזג
`modelType_label`	`additional.fields`	ממוזג
`model_label`	`additional.fields`	ממוזג
`object_guid_label`	`additional.fields`	ממוזג
`objects_label`	`additional.fields`	ממוזג
`pname_additional_label`	`additional.fields`	ממוזג
`process_cmd_label`	`additional.fields`	ממוזג
`process_file_hash_sha1_label`	`additional.fields`	ממוזג
`process_file_hash_sha256_label`	`additional.fields`	ממוזג
`process_file_path_label`	`additional.fields`	ממוזג
`process_file_size_label`	`additional.fields`	ממוזג
`process_hash_id_label`	`additional.fields`	ממוזג
`process_launch_time_label`	`additional.fields`	ממוזג
`process_pid_label`	`additional.fields`	ממוזג
`process_user_label`	`additional.fields`	ממוזג
`provenance_data`	`additional.fields`	ממוזג
`reportLink_label`	`additional.fields`	ממוזג
`rtHour_label`	`additional.fields`	ממוזג
`rtWeekDay_label`	`additional.fields`	ממוזג
`schema_version_label`	`additional.fields`	ממוזג
`senderGUID_label`	`additional.fields`	ממוזג
`serverCount_label`	`additional.fields`	ממוזג
`serverIp_label`	`additional.fields`	ממוזג
`status_label`	`additional.fields`	ממוזג
`has_user`	`extensions.auth.type`	מיפוי: `true` → `AUTHTYPE_UNSPECIFIED`
`message`	`extensions.auth.type`	מיפוי: `CEF:` → `AUTHTYPE_UNSPECIFIED`
`message`	`intermediary`	מיפוי: `CEF:` → `intermediary`
`inter_host`	`intermediary.hostname`	מיפוי ישיר
`Model`	`metadata.description`	מיפוי ישיר
`description`	`metadata.description`	מיפוי ישיר
`eventSubName`	`metadata.description`	מיפוי ישיר
`msg`	`metadata.description`	שם שונה/מיפוי
`Generated`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `yyyy-MM-ddTHH:mm:ss`
`Received`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `yyyy-MM-ddTHH:mm:ss`
`createdDateTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `ISO8601`
`detail.eventTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `UNIX_MS`
`detectedDateTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `yyyy-MM-ddTHH:mm:ssZ`
`detectionTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `yyyy-MM-ddTHH:mm:ssZ`
`firstSeen`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `UNIX_MS`
`ingestedDateTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `ISO8601`
`lastSeen`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `UNIX_MS`
`loggedDateTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `yyyy-MM-ddTHH:mm:ssZ`
`processFileModifiedTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `UNIX_MS`
`rt`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `UNIX_MS`
`sslCertValidFrom`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `ISO8601`
`sslCertValidUntil`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `ISO8601`
`unix_logReceivedTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `UNIX_MS`
`updatedDateTime`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `ISO8601`
`utc`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `yyyy-MM-ddTHH:mm:ss.SSSZ`
`event_name`	`metadata.event_type`	מיפוי: `"LogSpyware","LogPredictiveMachineLearning"` → `SCAN_UNCATEGORIZED`
`has_user`	`metadata.event_type`	מיפוי: `true` ← `USER_LOGIN`, ‏ `true` ← `USER_UNCATEGORIZED`
`message`	`metadata.event_type`	ערכים ממופים (8 בסך הכול, למשל, `CEF:` ← `SCAN_UNCATEGORIZED`, ‏ `CEF:` ← `STATUS_UPDATE`, ‏ `CEF:`...
`principal_present`	`metadata.event_type`	מיפוי: `true` → `PROCESS_UNCATEGORIZED`, ‏ `true` → `NETWORK_CONNECTION`, ‏ `true` → ‏ `PROCESS_L...
`activity`	`metadata.product_event_type`	מיפוי ישיר
`device_event_class_id`	`metadata.product_event_type`	מיפוי ישיר
`event_name`	`metadata.product_event_type`	מיפוי ישיר
`type`	`metadata.product_event_type`	מיפוי ישיר
`WorkbenchID`	`metadata.product_log_id`	מיפוי ישיר
`detail.uuid`	`metadata.product_log_id`	מיפוי ישיר
`e_ID`	`metadata.product_log_id`	מיפוי ישיר
`externalId`	`metadata.product_log_id`	מיפוי ישיר
`id`	`metadata.product_log_id`	מיפוי ישיר
`detail.mpname`	`metadata.product_name`	מיפוי ישיר
`device_product`	`metadata.product_name`	מיפוי ישיר
`message`	`metadata.product_name`	מיפוי: `CEF:` → `Vision One`
`detail.mpver`	`metadata.product_version`	מיפוי ישיר
`device_version`	`metadata.product_version`	מיפוי ישיר
`device_vendor`	`metadata.vendor_name`	שם שונה/מיפוי
`message`	`metadata.vendor_name`	מיפוי: `CEF:` → `Trend Micro`
`app_protocol_output`	`network.application_protocol`	מיפוי ישיר
`deviceDirection`	`network.direction`	מיפוי: `0` ← `INBOUND`, ‏ `1` ← `OUTBOUND`
`message`	`network.direction`	מיפוי: `CEF:` ← `INBOUND`, ‏ `CEF:` ← `OUTBOUND`
`object.CustomValue`	`network.email.from`	מיפוי ישיר
`message`	`network.email.subject`	מיפוי: `CEF:` → `title`
`title`	`network.email.subject`	ממוזג
`message`	`network.email.to`	מיפוי: `CEF:` → `object.CustomValue`
`object.CustomValue`	`network.email.to`	ממוזג
`objecttype`	`network.email.to`	מיפוי: `email_forward` → `object.CustomValue`
`requestMethod`	`network.http.method`	שם שונה/מיפוי
`Link`	`network.http.referral_url`	מיפוי ישיר
`requestClientApplication`	`network.http.user_agent`	שם שונה/מיפוי
`userAgent`	`network.http.user_agent`	מיפוי ישיר
`ip_protocol_out`	`network.ip_protocol`	מיפוי ישיר
`in`	`network.received_bytes`	שם שונה/מיפוי
`out`	`network.sent_bytes`	שם שונה/מיפוי
`sessionId`	`network.session_id`	מיפוי ישיר
`tlsSelectedCipher`	`network.tls.cipher`	מיפוי ישיר
`ja3Hash`	`network.tls.client.ja3`	מיפוי ישיר
`ja3sHash`	`network.tls.server.ja3s`	מיפוי ישיר
`detail.mDeviceGUID`	`observer.asset.asset_id`	מיפוי ישיר
`detail.dvchost`	`observer.hostname`	מיפוי ישיר
`ip`	`observer.ip`	ממוזג
`message`	`observer.ip`	מיפוי: `CEF:` → `ip`
`account_domain`	`principal.administrative_domain`	מיפוי ישיר
`sntdom`	`principal.administrative_domain`	שם שונה/מיפוי
`userDomain`	`principal.administrative_domain`	מיפוי ישיר
`userDomain.0`	`principal.administrative_domain`	מיפוי ישיר
`application`	`principal.application`	שם שונה/מיפוי
`sourceServiceName`	`principal.application`	שם שונה/מיפוי
`detail.endpointGuid`	`principal.asset.asset_id`	מיפוי ישיר
`endpoint.agentGuid`	`principal.asset.asset_id`	מיפוי ישיר
`mDeviceGUID`	`principal.asset.asset_id`	מיפוי ישיר
`entityName_label`	`principal.asset.attribute.labels`	ממוזג
`message`	`principal.asset.attribute.labels`	מיפוי: `CEF:` → `entityName_label`
`endpoint.name`	`principal.asset.hostname`	מיפוי ישיר
`endpointHostName`	`principal.asset.hostname`	מיפוי ישיר
`object_hostname`	`principal.asset.hostname`	מיפוי ישיר
`shost`	`principal.asset.hostname`	מיפוי ישיר
`Appliance_IP_address`	`principal.asset.ip`	ממוזג
`IP_address`	`principal.asset.ip`	ממוזג
`ip`	`principal.asset.ip`	ממוזג
`ip_src_value`	`principal.asset.ip`	ממוזג
`message`	`principal.asset.ip`	ערכים ממופים (7 סך הכול, למשל, `CEF:` ← `IP_address`, ‏ `CEF:` ← `Appliance_IP_address`, ‏ `CEF:` ...
`object_field`	`principal.asset.ip`	מיפוי: `src` → `ip_src_value`
`shost`	`principal.asset.ip`	ממוזג
`src`	`principal.asset.ip`	ממוזג
`src_ip`	`principal.asset.ip`	ממוזג
`endpointGuid`	`principal.asset_id`	מיפוי ישיר
`object_guid`	`principal.asset_id`	מיפוי ישיר
`detail.fullPath`	`principal.file.full_path`	מיפוי ישיר
`requestMimeType`	`principal.file.mime_type`	מיפוי ישיר
`indicator.value`	`principal.file.sha1`	מיפוי ישיר
`Group_name`	`principal.group.group_display_name`	מיפוי ישיר
`Gruppenavn`	`principal.group.group_display_name`	מיפוי ישיר
`clientGroup`	`principal.group.group_display_name`	מיפוי ישיר
`detail.groupId`	`principal.group.product_object_id`	מיפוי ישיר
`Device_name`	`principal.hostname`	מיפוי ישיר
`Enhetsnavn`	`principal.hostname`	מיפוי ישיר
`endpoint.name`	`principal.hostname`	מיפוי ישיר
`endpointHostName`	`principal.hostname`	מיפוי ישיר
`object_hostname`	`principal.hostname`	מיפוי ישיר
`shost`	`principal.hostname`	מיפוי ישיר
`Appliance_IP_address`	`principal.ip`	ממוזג
`IP_address`	`principal.ip`	ממוזג
`ip`	`principal.ip`	ממוזג
`ip_src_value`	`principal.ip`	ממוזג
`message`	`principal.ip`	ערכים ממופים (8 סך הכול, למשל, `CEF:` ← `IP_address`, ‏ `CEF:` ← `Appliance_IP_address`, ‏ `CEF:` ...
`object_field`	`principal.ip`	מיפוי: `src` → `ip_src_value`
`principal_ip`	`principal.ip`	ממוזג
`shost`	`principal.ip`	ממוזג
`src`	`principal.ip`	ממוזג
`src_ip`	`principal.ip`	ממוזג
`mac`	`principal.mac`	ממוזג
`message`	`principal.mac`	מיפוי: `CEF:` → `mac`
`message`	`principal.nat_ip`	מיפוי: `CEF:` → `sourceTranslatedAddress`
`sourceTranslatedAddress`	`principal.nat_ip`	ממוזג
`sourceTranslatedPort`	`principal.nat_port`	שם שונה/מיפוי
`message`	`principal.platform`	מיפוי: `CEF:` ← `WINDOWS`, ‏ `CEF:` ← `MAC`, ‏ `CEF:` ← `LINUX`
`osName`	`principal.platform`	מיפוי: `(?i)windows` ← `WINDOWS`, ‏ `(?i)Mac/iOS` ← `MAC`, ‏ `(?)Lin` ← `LINUX`
`osVer`	`principal.platform_version`	מיפוי ישיר
`platform_version`	`principal.platform_version`	מיפוי ישיר
`spt`	`principal.port`	שם שונה/מיפוי
`object.value`	`principal.process.command_line`	מיפוי ישיר
`processCmd`	`principal.process.command_line`	מיפוי ישיר
`process_cmd`	`principal.process.command_line`	מיפוי ישיר
`sproc`	`principal.process.command_line`	שם שונה/מיפוי
`detail.processName`	`principal.process.file.full_path`	מיפוי ישיר
`object.value`	`principal.process.file.full_path`	מיפוי ישיר
`processFilePath`	`principal.process.file.full_path`	מיפוי ישיר
`process_file_path`	`principal.process.file.full_path`	מיפוי ישיר
`processFileModifiedTime`	`principal.process.file.last_modification_time`	שם שונה/מיפוי
`detail.processFileHashMd5`	`principal.process.file.md5`	מיפוי ישיר
`processFileHashMd5`	`principal.process.file.md5`	מיפוי ישיר
`fileHash`	`principal.process.file.sha1`	מיפוי ישיר
`object.value`	`principal.process.file.sha1`	מיפוי ישיר
`processFileHashSha1`	`principal.process.file.sha1`	מיפוי ישיר
`process_file_hash_sha1`	`principal.process.file.sha1`	מיפוי ישיר
`fileHashSha256`	`principal.process.file.sha256`	מיפוי ישיר
`processFileHashSha256`	`principal.process.file.sha256`	מיפוי ישיר
`process_file_hash_sha256`	`principal.process.file.sha256`	מיפוי ישיר
`processFileSize`	`principal.process.file.size`	שם שונה/מיפוי
`parentFilePath`	`principal.process.parent_process.file.full_path`	מיפוי ישיר
`parentFileHashMd5`	`principal.process.parent_process.file.md5`	מיפוי ישיר
`parentFileHashSha1`	`principal.process.parent_process.file.sha1`	מיפוי ישיר
`parentFileHashSha256`	`principal.process.parent_process.file.sha256`	מיפוי ישיר
`parentPid`	`principal.process.parent_process.pid`	מיפוי ישיר
`processPid`	`principal.process.pid`	מיפוי ישיר
`process_pid`	`principal.process.pid`	מיפוי ישיר
`spid`	`principal.process.pid`	שם שונה/מיפוי
`message`	`principal.resource.attribute.labels`	מיפוי: `CEF:` ← `sourceLabel`, ‏ `CEF:` ← `pname_label`, ‏ `CEF:` ← `senderGUID_label`
`pname_label`	`principal.resource.attribute.labels`	ממוזג
`senderGUID_label`	`principal.resource.attribute.labels`	ממוזג
`sourceLabel`	`principal.resource.attribute.labels`	ממוזג
`uuid`	`principal.resource.product_object_id`	מיפוי ישיר
`customer_name_label`	`principal.user.attribute.labels`	ממוזג
`message`	`principal.user.attribute.labels`	מיפוי: `CEF:` → `customer_name_label`
`message`	`principal.user.attribute.roles`	מיפוי: `CEF:` ← `principal_role`, ‏ `CEF:` ← `roles`
`principal_role`	`principal.user.attribute.roles`	ממוזג
`roles`	`principal.user.attribute.roles`	ממוזג
`message`	`principal.user.department`	מיפוי: `CEF:` → `userDepartment`
`userDepartment`	`principal.user.department`	ממוזג
`details.identifier.email`	`principal.user.email_addresses`	ממוזג
`entity.entityValue`	`principal.user.email_addresses`	ממוזג
`message`	`principal.user.email_addresses`	מיפוי: `CEF:` ← `details.identifier.email`, ‏ `CEF:` ← `entity.entityValue`, ‏ `CEF:` ← `princi...
`principalName`	`principal.user.email_addresses`	ממוזג
`entity_entityValue`	`principal.user.user_display_name`	מיפוי ישיר
`loggedUser`	`principal.user.user_display_name`	מיפוי ישיר
`suser`	`principal.user.user_display_name`	מיפוי ישיר
`account`	`principal.user.userid`	מיפוי ישיר
`account_name`	`principal.user.userid`	מיפוי ישיר
`detail.suid`	`principal.user.userid`	מיפוי ישיר
`details.identifier.id`	`principal.user.userid`	מיפוי ישיר
`loggedUser`	`principal.user.userid`	מיפוי ישיר
`logonUser.0`	`principal.user.userid`	מיפוי ישיר
`object.CustomValue`	`principal.user.userid`	מיפוי ישיר
`process_user`	`principal.user.userid`	מיפוי ישיר
`suid`	`principal.user.userid`	שם שונה/מיפוי
`security_id`	`principal.user.windows_sid`	מיפוי ישיר
`message`	`security_result`	ערכים ממופים (5 סך הכול, למשל, `CEF:` ← `security_result`, ‏ `CEF:` ← `task_sec_res`, ‏ `CEF:` ← `...
`sec`	`security_result`	ממוזג
`sec_isEntity`	`security_result`	ממוזג
`sec_res`	`security_result`	ממוזג
`task_sec_res`	`security_result`	ממוזג
`wasEntity.key`	`security_result.about.file.full_path`	מיפוי ישיר
`investigationResult`	`security_result.about.investigation.comments`	ממוזג
`message`	`security_result.about.investigation.comments`	מיפוי: `CEF:` → `investigationResult`
`investigationStatus`	`security_result.about.investigation.status`	מיפוי: `New` ← `NEW`, ‏ `Closed` ← `CLOSED`, ‏ `Open` ← `OPEN`, ‏ `Reviewed` ← `REVIEWED`
`message`	`security_result.about.investigation.status`	ערכים ממופים (5 סה"כ, לדוגמה, `CEF:` ← `NEW`, ‏ `CEF:` ← `CLOSED`, ‏ `CEF:` ← `OPEN`)
`attr_value`	`security_result.about.process.command_line`	מיפוי ישיר
`_action`	`security_result.action`	ממוזג
`act`	`security_result.action`	מיפוי: `accept` ← `_action`, ‏ `deny` ← `_action`
`action_data`	`security_result.action`	ממוזג
`message`	`security_result.action`	מיפוי: `CEF:` ← `_action`, ‏ `CEF:` ← `action_data`, ‏ `CEF:` ← `security_result_action`
`object_field`	`security_result.action`	מיפוי: `actResult` → `security_result_action`
`result`	`security_result.action`	מיפוי: `Successful` ← `action_data`, ‏ `Unsuccess` ← `action_data`
`security_result_action`	`security_result.action`	ממוזג
`Action_Taken`	`security_result.action_details`	מיפוי ישיר
`act`	`security_result.action_details`	מיפוי ישיר
`actResult`	`security_result.action_details`	מיפוי ישיר
`detail.accessPermission`	`security_result.action_details`	מיפוי ישיר
`result`	`security_result.action_details`	מיפוי ישיר
`message`	`security_result.attack_details.tactics`	מיפוי: `CEF:` ← `tactics`, ‏ `CEF:` ← `tactic`
`tactic`	`security_result.attack_details.tactics`	ממוזג
`tactics`	`security_result.attack_details.tactics`	ממוזג
`message`	`security_result.attack_details.techniques`	מיפוי: `CEF:` → `techniques`
`techniques`	`security_result.attack_details.techniques`	ממוזג
`act`	`security_result.category`	מיפוי: `Block` → `event_category`
`event_category`	`security_result.category`	ממוזג
`message`	`security_result.category`	מיפוי: `CEF:` → `event_category`
`cat`	`security_result.category_details`	ממוזג
`category`	`security_result.category_details`	ממוזג
`detail.behaviorCat`	`security_result.category_details`	ממוזג
`message`	`security_result.category_details`	מיפוי: `CEF:` ← `cat`, ‏ `CEF:` ← `category`, ‏ `CEF:` ← `detail.behaviorCat`
`Scan_Type`	`security_result.description`	מיפוי ישיר
`Type`	`security_result.description`	מיפוי ישיר
`filters.0.description`	`security_result.description`	מיפוי ישיר
`msg_data_2`	`security_result.description`	מיפוי ישיר
`LogonID_label`	`security_result.detection_fields`	ממוזג
`accessType_label`	`security_result.detection_fields`	ממוזג
`access_right_label`	`security_result.detection_fields`	ממוזג
`account_modified_name_label`	`security_result.detection_fields`	ממוזג
`account_type_label`	`security_result.detection_fields`	ממוזג
`activity_label`	`security_result.detection_fields`	ממוזג
`attr_name`	`security_result.detection_fields`	מיפוי: `sha256` ← `sha256_label`, ‏ `startType` ← `startType_label`, ‏ `state` ← `state_label`
`evt_type_label`	`security_result.detection_fields`	ממוזג
`filepath_label`	`security_result.detection_fields`	ממוזג
`highlighted_field_label`	`security_result.detection_fields`	ממוזג
`highlighted_type_label`	`security_result.detection_fields`	ממוזג
`indicator_label`	`security_result.detection_fields`	ממוזג
`infection_channel_label`	`security_result.detection_fields`	ממוזג
`matched_event_uuid_label`	`security_result.detection_fields`	ממוזג
`message`	`security_result.detection_fields`	ערכים ממופים (30 סה"כ, למשל, `CEF:` ← `operation_label`, ‏ `CEF:` ← `operasjon_label`, ‏ `CEF:`... )
`mpver_label`	`security_result.detection_fields`	ממוזג
`objecttype`	`security_result.detection_fields`	מיפוי: `text` → `text_label`
`operasjon_label`	`security_result.detection_fields`	ממוזג
`operation_label`	`security_result.detection_fields`	ממוזג
`permission_label`	`security_result.detection_fields`	ממוזג
`policy_id_label`	`security_result.detection_fields`	ממוזג
`sha256_label`	`security_result.detection_fields`	ממוזג
`spyware_Grayware_Type_label`	`security_result.detection_fields`	ממוזג
`startType_label`	`security_result.detection_fields`	ממוזג
`state_label`	`security_result.detection_fields`	ממוזג
`subRuleId_label`	`security_result.detection_fields`	ממוזג
`subRuleName_label`	`security_result.detection_fields`	ממוזג
`tag_label`	`security_result.detection_fields`	ממוזג
`text_label`	`security_result.detection_fields`	ממוזג
`threat_probability_label`	`security_result.detection_fields`	ממוזג
`tillatelse_label`	`security_result.detection_fields`	ממוזג
`was_key_label`	`security_result.detection_fields`	ממוזג
`winEventId_label`	`security_result.detection_fields`	ממוזג
`createdDateTime`	`security_result.first_discovered_time`	שם שונה/מיפוי
`firstSeen`	`security_result.first_discovered_time`	שם שונה/מיפוי
`lastSeen`	`security_result.last_discovered_time`	שם שונה/מיפוי
`updatedDateTime`	`security_result.last_updated_time`	שם שונה/מיפוי
`Score`	`security_result.risk_score`	שם שונה/מיפוי
`score`	`security_result.risk_score`	שם שונה/מיפוי
`detail.ruleId`	`security_result.rule_id`	שם שונה/מיפוי
`detail.uuid`	`security_result.rule_id`	מיפוי ישיר
`filters.0.unique_id`	`security_result.rule_id`	מיפוי ישיר
`ruleUuid`	`security_result.rule_id`	שם שונה/מיפוי
`detail.ruleName`	`security_result.rule_name`	שם שונה/מיפוי
`filters.0.id`	`security_result.rule_name`	מיפוי ישיר
`mwProfile`	`security_result.rule_name`	מיפוי ישיר
`object.CustomValue`	`security_result.rule_name`	מיפוי ישיר
`ruleName`	`security_result.rule_name`	מיפוי ישיר
`filter.type`	`security_result.rule_type`	מיפוי ישיר
`ruleType`	`security_result.rule_type`	מיפוי ישיר
`message`	`security_result.severity`	ערכים ממופים (5 סה"כ, לדוגמה, `CEF:` ← `LOW`, ‏ `CEF:` ← `MEDIUM`, ‏ `CEF:` ← `HIGH`)
`severity`	`security_result.severity`	ערכים ממופים (6 סך הכול, למשל, `"0", "1", "2", "3", "LOW"` ← `LOW`, ‏'4',‏ '5',‏ '6',‏ 'MEDIUM', ...)
`filter.riskLevel`	`security_result.severity_details`	מיפוי ישיר
`Result`	`security_result.summary`	מיפוי ישיר
`appcategory`	`security_result.summary`	מיפוי ישיר
`filters.0.name`	`security_result.summary`	מיפוי ישיר
`reason`	`security_result.summary`	שם שונה/מיפוי
`Spyware`	`security_result.threat_name`	מיפוי ישיר
`Unknown_Threat`	`security_result.threat_name`	מיפוי ישיר
`Virus_Malware_Name`	`security_result.threat_name`	מיפוי ישיר
`object.value`	`security_result.threat_name`	מיפוי ישיר
`workbenchLink`	`security_result.url_back_to_product`	שם שונה/מיפוי
`oldFilePath`	`src.file.full_path`	שם שונה/מיפוי
`oldFileSize`	`src.file.size`	שם שונה/מיפוי
`message`	`src.resource.attribute.permissions`	מיפוי: `CEF:` → `old_permissions`
`old_permissions`	`src.resource.attribute.permissions`	ממוזג
`dntdom`	`target.administrative_domain`	שם שונה/מיפוי
`destinationServiceName`	`target.application`	שם שונה/מיפוי
`detail.deviceGUID`	`target.asset.asset_id`	מיפוי ישיר
`dst`	`target.asset.ip`	ממוזג
`ip_dst_value`	`target.asset.ip`	ממוזג
`message`	`target.asset.ip`	מיפוי: `CEF:` ← `dst`, ‏ `CEF:` ← `ip_dst_value`
`object_field`	`target.asset.ip`	מיפוי: `dst` → `ip_dst_value`
`object.CustomValue`	`target.file.full_path`	מיפוי ישיר
`object.value`	`target.file.full_path`	מיפוי ישיר
`value`	`target.file.full_path`	מיפוי ישיר
`object.CustomValue`	`target.file.sha1`	מיפוי ישיר
`object.value`	`target.file.sha1`	מיפוי ישיר
`detail.objectFileSize`	`target.file.size`	מיפוי ישיר
`message`	`target.file.size`	מיפוי: `CEF:` → `uinteger`
`temp_dhost`	`target.hostname`	מיפוי ישיר
`IPv6_Address`	`target.ip`	ממוזג
`dst`	`target.ip`	ממוזג
`dst_ip`	`target.ip`	ממוזג
`ip_dst_value`	`target.ip`	ממוזג
`ipv6`	`target.ip`	מיפוי: `-` → `IPv6_Address`
`message`	`target.ip`	מיפוי: `CEF:` → `dst_ip`, ‏ `CEF:` → `IPv6_Address`, ‏ `CEF:` → `dst`, ‏ `CEF:` → `ip_dst_value`
`object_field`	`target.ip`	מיפוי: `dst` → `ip_dst_value`
`mac_address`	`target.mac`	ממוזג
`message`	`target.mac`	מיפוי: `CEF:` → `mac_address`
`destination_translated_address`	`target.nat_ip`	ממוזג
`message`	`target.nat_ip`	מיפוי: `CEF:` → `destination_translated_address`
`destinationTranslatedPort`	`target.nat_port`	שם שונה/מיפוי
`dpt`	`target.port`	שם שונה/מיפוי
`dproc`	`target.process.command_line`	שם שונה/מיפוי
`object.CustomValue`	`target.process.command_line`	מיפוי ישיר
`object.value`	`target.process.command_line`	מיפוי ישיר
`objectCmd`	`target.process.command_line`	מיפוי ישיר
`File_name`	`target.process.file.full_path`	מיפוי ישיר
`Infected_Resource`	`target.process.file.full_path`	מיפוי ישיר
`Object`	`target.process.file.full_path`	מיפוי ישיר
`Objekt`	`target.process.file.full_path`	מיפוי ישיר
`fileName`	`target.process.file.full_path`	מיפוי ישיר
`object.CustomValue`	`target.process.file.full_path`	מיפוי ישיר
`object.value`	`target.process.file.full_path`	מיפוי ישיר
`objectFilePath`	`target.process.file.full_path`	מיפוי ישיר
`objectFileHashMd5`	`target.process.file.md5`	מיפוי ישיר
`object.CustomValue`	`target.process.file.sha1`	מיפוי ישיר
`object.value`	`target.process.file.sha1`	מיפוי ישיר
`objectFileHashSha1`	`target.process.file.sha1`	מיפוי ישיר
`objectFileHashSha256`	`target.process.file.sha256`	מיפוי ישיר
`object.CustomValue`	`target.process.parent_process.command_line`	מיפוי ישיר
`object.CustomValue`	`target.process.parent_process.file.full_path`	מיפוי ישיר
`object.CustomValue`	`target.process.parent_process.file.sha1`	מיפוי ישיר
`object.value`	`target.process.parent_process.file.sha1`	מיפוי ישיר
`dpid`	`target.process.pid`	שם שונה/מיפוי
`objectPid`	`target.process.pid`	מיפוי ישיר
`command_line_label`	`target.resource.attribute.labels`	ממוזג
`dacDeviceType_label`	`target.resource.attribute.labels`	ממוזג
`endpointGUID_label`	`target.resource.attribute.labels`	ממוזג
`file_path_label`	`target.resource.attribute.labels`	ממוזג
`file_sha1_label`	`target.resource.attribute.labels`	ממוזג
`message`	`target.resource.attribute.labels`	ערכים ממופים (6 סך הכול, למשל, `CEF:` ← `resource_Type_label`, ‏ `CEF:` ← `dacDeviceType_label`,...
`objecttype`	`target.resource.attribute.labels`	מיפוי: `command_line` → `command_line_label`, ‏ `file_sha1` → `file_sha1_label`, ‏ `fullpath` →...
`resource_Type_label`	`target.resource.attribute.labels`	ממוזג
`request`	`target.url`	מיפוי ישיר
`message`	`target.user.attribute.roles`	מיפוי: `CEF:` → `target_role`
`target_role`	`target.user.attribute.roles`	ממוזג
`CustomerName`	`target.user.user_display_name`	מיפוי ישיר
`temp_duser`	`target.user.user_display_name`	מיפוי ישיר
`Bruker`	`target.user.userid`	מיפוי ישיר
`User_value`	`target.user.userid`	מיפוי ישיר
`temp_duid`	`target.user.userid`	מיפוי ישיר
לא רלוונטי	`extensions.auth.type`	קבוע: `AUTHTYPE_UNSPECIFIED`
לא רלוונטי	`metadata.event_type`	קבוע: `SCAN_UNCATEGORIZED`
לא רלוונטי	`metadata.product_name`	קבוע: `Vision One`
לא רלוונטי	`metadata.vendor_name`	קבוע: `Trend Micro`
לא רלוונטי	`network.direction`	קבוע: `INBOUND`
לא רלוונטי	`principal.platform`	קבוע: `WINDOWS`
לא רלוונטי	`security_result.about.investigation.status`	קבוע: `NEW`
לא רלוונטי	`security_result.severity`	קבוע: `LOW`

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.