Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Trend Micro Vision One

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan log Trend Micro Vision One dengan menyiapkan feed Google Security Operations. Parser mengirimkan pemberitahuan, data peristiwa, kerentanan penampung, data aktivitas, dan log audit ke bucket AWS S3 yang dikelola oleh Trend Micro. Google SecOps mengambil data ini menggunakan feed data setiap 15 menit. Data yang tidak diambil di bucket S3 akan dipertahankan selama 7 hari sebelum dihapus.

Anda dapat membuat beberapa feed di Google SecOps dan mengonfigurasi data yang diperoleh menggunakan feed satu per satu.

Sebelum memulai

Pastikan Anda memiliki instance Google SecOps.
Pastikan Anda memiliki akses istimewa ke Trend Micro Vision One.

Mengonfigurasi Trend Vision One Data Export ke Google SecOps

Di konsol Trend Vision One, buat kunci akses dan tentukan data yang akan dikirim ke Google SecOps.
Buka Workflow and Automation > Third-Party Integration.
Di kolom Integrasi, klik Google Security Operations.
Di bagian Access key, klik Generate key untuk membuat ID kunci akses dan kunci akses rahasia. Simpan ID kunci akses dan kunci akses rahasia untuk digunakan nanti.
Di bagian Transfer data, aktifkan tombol di samping data yang ingin Anda kirim ke bucket S3. Setiap kali transfer data diaktifkan, URI S3 akan dibuat dan data mulai dikirim ke bucket S3 yang sesuai. Salin dan simpan URI S3 untuk digunakan nanti.
Untuk Peristiwa dan Data aktivitas, klik Edit untuk mengubah cakupan data.
Untuk berhenti mengirim jenis data ke Google SecOps, nonaktifkan tombol di samping data. Mengaktifkan kembali transfer data akan menghasilkan URI S3 baru. Anda perlu mengonfigurasi feed baru di Google SecOps.

Konfigurasi feed di Google SecOps untuk menyerap log Trend Micro Vision One

Buka SIEM Settings > Feeds.
Klik Tambahkan baru.
Di kolom Nama feed, masukkan nama untuk feed; misalnya, Trend Micro Vision One Workbench Logs.
Pilih Amazon S3 V2 sebagai Jenis sumber.
Pilih data Trend Vision One yang ingin Anda masukkan ke Google SecOps sebagai Jenis log. Opsi yang tersedia meliputi:
- Trend Micro Vision One
- Aktivitas Trend Micro Vision One
- Audit Trend Micro Vision One
- Kerentanan Kontainer Trend Micro Vision One
- Deteksi Trend Micro Vision One
- Teknik Serangan yang Diamati Trend Micro Vision One
- Trend Micro Vision One Workbench
Klik Berikutnya.
Tentukan nilai untuk parameter input berikut:
- S3 URI: masukkan S3 URI yang diperoleh di bagian sebelumnya.
- Opsi penghapusan sumber: pilih Jangan pernah hapus file.
- Usia File Maksimum: Menyertakan file yang diubah dalam jumlah hari terakhir. Defaultnya adalah 180 hari.
- Access Key ID: masukkan kunci akses Pengguna yang diperoleh di bagian sebelumnya.
- Kunci Akses Rahasia: masukkan kunci rahasia Pengguna dengan akses ke bucket S3 yang diperoleh di bagian sebelumnya.
- Namespace aset: namespace aset.
- Label penyerapan: label yang akan diterapkan ke peristiwa dari feed ini.
Klik Berikutnya.
Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Ulangi proses ini untuk menambahkan beberapa feed untuk semua jenis data Trend Vision One yang ingin Anda masukkan ke Google SecOps.

Tabel pemetaan UDM

Kolom log	Pemetaan UDM	Logika
`message`	`about`	Dipetakan: `CEF:` → `about`
`deviceNtDomain`	`about.administrative_domain`	Diganti nama/dipetakan
`sslCertCommonName`	`about.artifact.last_https_certificate.issuer.common_name`	Dipetakan secara langsung
`sslCertSerialNumber`	`about.artifact.last_https_certificate.serial_number`	Dipetakan secara langsung
`sslCertFingerprint`	`about.artifact.last_https_certificate.thumbprint`	Dipetakan secara langsung
`sslCertValidUntil`	`about.artifact.last_https_certificate.validity.expiry_time`	Dipetakan secara langsung
`sslCertValidFrom`	`about.artifact.last_https_certificate.validity.issue_time`	Digabung
`deviceExternalId`	`about.asset.asset_id`	Dipetakan secara langsung
`device_product`	`about.asset.asset_id`	Dipetakan secara langsung
`device_vendor`	`about.asset.asset_id`	Dipetakan secara langsung
`fileHash`	`about.file.full_path`	Dipetakan secara langsung
`filePath`	`about.file.full_path`	Diganti nama/dipetakan
`_hash`	`about.file.sha256`	Diganti nama/dipetakan
`fileHash`	`about.file.sha256`	Diganti nama/dipetakan
`fileSize`	`about.file.size`	Diganti nama/dipetakan
`fsize`	`about.file.size`	Diganti nama/dipetakan
`dvchost`	`about.hostname`	Diganti nama/dipetakan
`ips`	`about.ip`	Digabung
`message`	`about.ip`	Dipetakan: `CEF:` → `ips`
`dvc_mac`	`about.mac`	Dipetakan: `slot` → `mac_address`
`dvcmac`	`about.mac`	Digabung
`mac_address`	`about.mac`	Digabung
`message`	`about.mac`	Dipetakan: `CEF:` → `mac_address`, `CEF:` → `dvcmac`
`deviceTranslatedAddress`	`about.nat_ip`	Digabung
`message`	`about.nat_ip`	Dipetakan: `CEF:` → `deviceTranslatedAddress`
`Emne`	`about.process.command_line`	Dipetakan secara langsung
`Path`	`about.process.command_line`	Dipetakan secara langsung
`Subject`	`about.process.command_line`	Dipetakan secara langsung
`deviceProcessName`	`about.process.command_line`	Diganti nama/dipetakan
`dvcpid`	`about.process.pid`	Diganti nama/dipetakan
`message`	`about.resource.attribute.permissions`	Dipetakan: `CEF:` → `permissions`
`permissions`	`about.resource.attribute.permissions`	Digabung
`_field`	`additional.fields`	Digabung
`accountCount_label`	`additional.fields`	Digabung
`additional_cfp1`	`additional.fields`	Digabung
`additional_cfp2`	`additional.fields`	Digabung
`additional_cfp3`	`additional.fields`	Digabung
`additional_cfp4`	`additional.fields`	Digabung
`additional_cn1`	`additional.fields`	Digabung
`additional_cn2`	`additional.fields`	Digabung
`additional_cn3`	`additional.fields`	Digabung
`additional_cs1`	`additional.fields`	Digabung
`additional_cs2`	`additional.fields`	Digabung
`additional_cs3`	`additional.fields`	Digabung
`additional_cs4`	`additional.fields`	Digabung
`additional_cs5`	`additional.fields`	Digabung
`additional_cs6`	`additional.fields`	Digabung
`additional_cs7`	`additional.fields`	Digabung
`additional_devicePayloadId`	`additional.fields`	Digabung
`additional_eventId`	`additional.fields`	Digabung
`additional_eventSourceType`	`additional.fields`	Digabung
`additional_eventSubId`	`additional.fields`	Digabung
`additional_flexString1`	`additional.fields`	Digabung
`additional_fname`	`additional.fields`	Digabung
`additional_integrityLevel`	`additional.fields`	Digabung
`additional_objectFileHashId`	`additional.fields`	Digabung
`additional_objectFirstSeen`	`additional.fields`	Digabung
`additional_objectHashId`	`additional.fields`	Digabung
`additional_objectLastSeen`	`additional.fields`	Digabung
`additional_objectLaunchTime`	`additional.fields`	Digabung
`additional_objectName`	`additional.fields`	Digabung
`additional_objectRunAsLocalAccount`	`additional.fields`	Digabung
`additional_objectSigner`	`additional.fields`	Digabung
`additional_objectSignerValid`	`additional.fields`	Digabung
`additional_objectUser`	`additional.fields`	Digabung
`additional_objectUserDomain`	`additional.fields`	Digabung
`additional_osType`	`additional.fields`	Digabung
`additional_parentName`	`additional.fields`	Digabung
`additional_parentSigner`	`additional.fields`	Digabung
`additional_parentSignerValid`	`additional.fields`	Digabung
`additional_parentUser`	`additional.fields`	Digabung
`additional_parentUserDomain`	`additional.fields`	Digabung
`additional_plang`	`additional.fields`	Digabung
`additional_pplat`	`additional.fields`	Digabung
`additional_processHashId`	`additional.fields`	Digabung
`additional_processLaunchTime`	`additional.fields`	Digabung
`additional_processTrueType`	`additional.fields`	Digabung
`additional_processUser`	`additional.fields`	Digabung
`additional_processUserDomain`	`additional.fields`	Digabung
`additional_productCode`	`additional.fields`	Digabung
`additional_searchDL`	`additional.fields`	Digabung
`additional_srcFirstSeen`	`additional.fields`	Digabung
`additional_srcHashId`	`additional.fields`	Digabung
`additional_srcLastSeen`	`additional.fields`	Digabung
`additional_uuid`	`additional.fields`	Digabung
`alertProvider_label`	`additional.fields`	Digabung
`caseId_label`	`additional.fields`	Digabung
`clientIp_label`	`additional.fields`	Digabung
`cloudIdentityCount_label`	`additional.fields`	Digabung
`containerCount_label`	`additional.fields`	Digabung
`cs2`	`additional.fields`	Dipetakan: `arc_test` → `additional_cs2`
`cs5_label`	`additional.fields`	Digabung
`desktopCount_label`	`additional.fields`	Digabung
`detail_channel_label`	`additional.fields`	Digabung
`detail_engineOperation_label`	`additional.fields`	Digabung
`detail_objectLaunchTime_label`	`additional.fields`	Digabung
`detectionTime_label`	`additional.fields`	Digabung
`emailAddressCount_label`	`additional.fields`	Digabung
`endpoint_ip_label`	`additional.fields`	Digabung
`endpoint_object_guid_label`	`additional.fields`	Digabung
`engVer_label`	`additional.fields`	Digabung
`entity_entityValue_label`	`additional.fields`	Digabung
`entity_guid_value_label`	`additional.fields`	Digabung
`entity_managementScopeGroupId_label`	`additional.fields`	Digabung
`entity_managementScopeInstanceId_label`	`additional.fields`	Digabung
`entity_managementScopePartitionKey_label`	`additional.fields`	Digabung
`entity_type_label`	`additional.fields`	Digabung
`eventSourceType_label`	`additional.fields`	Digabung
`eventSubName_label`	`additional.fields`	Digabung
`filePathName_label`	`additional.fields`	Digabung
`incidentId_label`	`additional.fields`	Digabung
`ingestionTime_label`	`additional.fields`	Digabung
`instance_id_label`	`additional.fields`	Digabung
`key`	`additional.fields`	Dipetakan: `"device_Facility", "ApexCentral_Host"` → `_field`
`level_label`	`additional.fields`	Digabung
`logKey_label`	`additional.fields`	Digabung
`logReceivedTime_label`	`additional.fields`	Digabung
`matchedDateTime_label`	`additional.fields`	Digabung
`matched_filter_id_label`	`additional.fields`	Digabung
`message`	`additional.fields`	Nilai yang dipetakan (total 109, misalnya, `CEF:` → `_field`, `CEF:` → `additional_eventId`, `CEF:` → `a...
`modelId_label`	`additional.fields`	Digabung
`modelType_label`	`additional.fields`	Digabung
`model_label`	`additional.fields`	Digabung
`object_guid_label`	`additional.fields`	Digabung
`objects_label`	`additional.fields`	Digabung
`pname_additional_label`	`additional.fields`	Digabung
`process_cmd_label`	`additional.fields`	Digabung
`process_file_hash_sha1_label`	`additional.fields`	Digabung
`process_file_hash_sha256_label`	`additional.fields`	Digabung
`process_file_path_label`	`additional.fields`	Digabung
`process_file_size_label`	`additional.fields`	Digabung
`process_hash_id_label`	`additional.fields`	Digabung
`process_launch_time_label`	`additional.fields`	Digabung
`process_pid_label`	`additional.fields`	Digabung
`process_user_label`	`additional.fields`	Digabung
`provenance_data`	`additional.fields`	Digabung
`reportLink_label`	`additional.fields`	Digabung
`rtHour_label`	`additional.fields`	Digabung
`rtWeekDay_label`	`additional.fields`	Digabung
`schema_version_label`	`additional.fields`	Digabung
`senderGUID_label`	`additional.fields`	Digabung
`serverCount_label`	`additional.fields`	Digabung
`serverIp_label`	`additional.fields`	Digabung
`status_label`	`additional.fields`	Digabung
`has_user`	`extensions.auth.type`	Dipetakan: `true` → `AUTHTYPE_UNSPECIFIED`
`message`	`extensions.auth.type`	Dipetakan: `CEF:` → `AUTHTYPE_UNSPECIFIED`
`message`	`intermediary`	Dipetakan: `CEF:` → `intermediary`
`inter_host`	`intermediary.hostname`	Dipetakan secara langsung
`Model`	`metadata.description`	Dipetakan secara langsung
`description`	`metadata.description`	Dipetakan secara langsung
`eventSubName`	`metadata.description`	Dipetakan secara langsung
`msg`	`metadata.description`	Diganti nama/dipetakan
`Generated`	`metadata.event_timestamp`	Diuraikan sebagai `yyyy-MM-ddTHH:mm:ss`
`Received`	`metadata.event_timestamp`	Diuraikan sebagai `yyyy-MM-ddTHH:mm:ss`
`createdDateTime`	`metadata.event_timestamp`	Diuraikan sebagai `ISO8601`
`detail.eventTime`	`metadata.event_timestamp`	Diuraikan sebagai `UNIX_MS`
`detectedDateTime`	`metadata.event_timestamp`	Diuraikan sebagai `yyyy-MM-ddTHH:mm:ssZ`
`detectionTime`	`metadata.event_timestamp`	Diuraikan sebagai `yyyy-MM-ddTHH:mm:ssZ`
`firstSeen`	`metadata.event_timestamp`	Diuraikan sebagai `UNIX_MS`
`ingestedDateTime`	`metadata.event_timestamp`	Diuraikan sebagai `ISO8601`
`lastSeen`	`metadata.event_timestamp`	Diuraikan sebagai `UNIX_MS`
`loggedDateTime`	`metadata.event_timestamp`	Diuraikan sebagai `yyyy-MM-ddTHH:mm:ssZ`
`processFileModifiedTime`	`metadata.event_timestamp`	Diuraikan sebagai `UNIX_MS`
`rt`	`metadata.event_timestamp`	Diuraikan sebagai `UNIX_MS`
`sslCertValidFrom`	`metadata.event_timestamp`	Diuraikan sebagai `ISO8601`
`sslCertValidUntil`	`metadata.event_timestamp`	Diuraikan sebagai `ISO8601`
`unix_logReceivedTime`	`metadata.event_timestamp`	Diuraikan sebagai `UNIX_MS`
`updatedDateTime`	`metadata.event_timestamp`	Diuraikan sebagai `ISO8601`
`utc`	`metadata.event_timestamp`	Diuraikan sebagai `yyyy-MM-ddTHH:mm:ss.SSSZ`
`event_name`	`metadata.event_type`	Dipetakan: `"LogSpyware","LogPredictiveMachineLearning"` → `SCAN_UNCATEGORIZED`
`has_user`	`metadata.event_type`	Dipetakan: `true` → `USER_LOGIN`, `true` → `USER_UNCATEGORIZED`
`message`	`metadata.event_type`	Nilai yang dipetakan (total 8, misalnya, `CEF:` → `SCAN_UNCATEGORIZED`, `CEF:` → `STATUS_UPDATE`, `CEF:`...
`principal_present`	`metadata.event_type`	Dipetakan: `true` → `PROCESS_UNCATEGORIZED`, `true` → `NETWORK_CONNECTION`, `true` → `PROCESS_L...
`activity`	`metadata.product_event_type`	Dipetakan secara langsung
`device_event_class_id`	`metadata.product_event_type`	Dipetakan secara langsung
`event_name`	`metadata.product_event_type`	Dipetakan secara langsung
`type`	`metadata.product_event_type`	Dipetakan secara langsung
`WorkbenchID`	`metadata.product_log_id`	Dipetakan secara langsung
`detail.uuid`	`metadata.product_log_id`	Dipetakan secara langsung
`e_ID`	`metadata.product_log_id`	Dipetakan secara langsung
`externalId`	`metadata.product_log_id`	Dipetakan secara langsung
`id`	`metadata.product_log_id`	Dipetakan secara langsung
`detail.mpname`	`metadata.product_name`	Dipetakan secara langsung
`device_product`	`metadata.product_name`	Dipetakan secara langsung
`message`	`metadata.product_name`	Dipetakan: `CEF:` → `Vision One`
`detail.mpver`	`metadata.product_version`	Dipetakan secara langsung
`device_version`	`metadata.product_version`	Dipetakan secara langsung
`device_vendor`	`metadata.vendor_name`	Diganti nama/dipetakan
`message`	`metadata.vendor_name`	Dipetakan: `CEF:` → `Trend Micro`
`app_protocol_output`	`network.application_protocol`	Dipetakan secara langsung
`deviceDirection`	`network.direction`	Dipetakan: `0` → `INBOUND`, `1` → `OUTBOUND`
`message`	`network.direction`	Dipetakan: `CEF:` → `INBOUND`, `CEF:` → `OUTBOUND`
`object.CustomValue`	`network.email.from`	Dipetakan secara langsung
`message`	`network.email.subject`	Dipetakan: `CEF:` → `title`
`title`	`network.email.subject`	Digabung
`message`	`network.email.to`	Dipetakan: `CEF:` → `object.CustomValue`
`object.CustomValue`	`network.email.to`	Digabung
`objecttype`	`network.email.to`	Dipetakan: `email_forward` → `object.CustomValue`
`requestMethod`	`network.http.method`	Diganti nama/dipetakan
`Link`	`network.http.referral_url`	Dipetakan secara langsung
`requestClientApplication`	`network.http.user_agent`	Diganti nama/dipetakan
`userAgent`	`network.http.user_agent`	Dipetakan secara langsung
`ip_protocol_out`	`network.ip_protocol`	Dipetakan secara langsung
`in`	`network.received_bytes`	Diganti nama/dipetakan
`out`	`network.sent_bytes`	Diganti nama/dipetakan
`sessionId`	`network.session_id`	Dipetakan secara langsung
`tlsSelectedCipher`	`network.tls.cipher`	Dipetakan secara langsung
`ja3Hash`	`network.tls.client.ja3`	Dipetakan secara langsung
`ja3sHash`	`network.tls.server.ja3s`	Dipetakan secara langsung
`detail.mDeviceGUID`	`observer.asset.asset_id`	Dipetakan secara langsung
`detail.dvchost`	`observer.hostname`	Dipetakan secara langsung
`ip`	`observer.ip`	Digabung
`message`	`observer.ip`	Dipetakan: `CEF:` → `ip`
`account_domain`	`principal.administrative_domain`	Dipetakan secara langsung
`sntdom`	`principal.administrative_domain`	Diganti nama/dipetakan
`userDomain`	`principal.administrative_domain`	Dipetakan secara langsung
`userDomain.0`	`principal.administrative_domain`	Dipetakan secara langsung
`application`	`principal.application`	Diganti nama/dipetakan
`sourceServiceName`	`principal.application`	Diganti nama/dipetakan
`detail.endpointGuid`	`principal.asset.asset_id`	Dipetakan secara langsung
`endpoint.agentGuid`	`principal.asset.asset_id`	Dipetakan secara langsung
`mDeviceGUID`	`principal.asset.asset_id`	Dipetakan secara langsung
`entityName_label`	`principal.asset.attribute.labels`	Digabung
`message`	`principal.asset.attribute.labels`	Dipetakan: `CEF:` → `entityName_label`
`endpoint.name`	`principal.asset.hostname`	Dipetakan secara langsung
`endpointHostName`	`principal.asset.hostname`	Dipetakan secara langsung
`object_hostname`	`principal.asset.hostname`	Dipetakan secara langsung
`shost`	`principal.asset.hostname`	Dipetakan secara langsung
`Appliance_IP_address`	`principal.asset.ip`	Digabung
`IP_address`	`principal.asset.ip`	Digabung
`ip`	`principal.asset.ip`	Digabung
`ip_src_value`	`principal.asset.ip`	Digabung
`message`	`principal.asset.ip`	Nilai yang dipetakan (total 7, misalnya, `CEF:` → `IP_address`, `CEF:` → `Appliance_IP_address`, `CEF:` ...
`object_field`	`principal.asset.ip`	Dipetakan: `src` → `ip_src_value`
`shost`	`principal.asset.ip`	Digabung
`src`	`principal.asset.ip`	Digabung
`src_ip`	`principal.asset.ip`	Digabung
`endpointGuid`	`principal.asset_id`	Dipetakan secara langsung
`object_guid`	`principal.asset_id`	Dipetakan secara langsung
`detail.fullPath`	`principal.file.full_path`	Dipetakan secara langsung
`requestMimeType`	`principal.file.mime_type`	Dipetakan secara langsung
`indicator.value`	`principal.file.sha1`	Dipetakan secara langsung
`Group_name`	`principal.group.group_display_name`	Dipetakan secara langsung
`Gruppenavn`	`principal.group.group_display_name`	Dipetakan secara langsung
`clientGroup`	`principal.group.group_display_name`	Dipetakan secara langsung
`detail.groupId`	`principal.group.product_object_id`	Dipetakan secara langsung
`Device_name`	`principal.hostname`	Dipetakan secara langsung
`Enhetsnavn`	`principal.hostname`	Dipetakan secara langsung
`endpoint.name`	`principal.hostname`	Dipetakan secara langsung
`endpointHostName`	`principal.hostname`	Dipetakan secara langsung
`object_hostname`	`principal.hostname`	Dipetakan secara langsung
`shost`	`principal.hostname`	Dipetakan secara langsung
`Appliance_IP_address`	`principal.ip`	Digabung
`IP_address`	`principal.ip`	Digabung
`ip`	`principal.ip`	Digabung
`ip_src_value`	`principal.ip`	Digabung
`message`	`principal.ip`	Nilai yang dipetakan (total 8, misalnya, `CEF:` → `IP_address`, `CEF:` → `Appliance_IP_address`, `CEF:` ...
`object_field`	`principal.ip`	Dipetakan: `src` → `ip_src_value`
`principal_ip`	`principal.ip`	Digabung
`shost`	`principal.ip`	Digabung
`src`	`principal.ip`	Digabung
`src_ip`	`principal.ip`	Digabung
`mac`	`principal.mac`	Digabung
`message`	`principal.mac`	Dipetakan: `CEF:` → `mac`
`message`	`principal.nat_ip`	Dipetakan: `CEF:` → `sourceTranslatedAddress`
`sourceTranslatedAddress`	`principal.nat_ip`	Digabung
`sourceTranslatedPort`	`principal.nat_port`	Diganti nama/dipetakan
`message`	`principal.platform`	Dipetakan: `CEF:` → `WINDOWS`, `CEF:` → `MAC`, `CEF:` → `LINUX`
`osName`	`principal.platform`	Dipetakan: `(?i)windows` → `WINDOWS`, `(?i)Mac/iOS` → `MAC`, `(?)Lin` → `LINUX`
`osVer`	`principal.platform_version`	Dipetakan secara langsung
`platform_version`	`principal.platform_version`	Dipetakan secara langsung
`spt`	`principal.port`	Diganti nama/dipetakan
`object.value`	`principal.process.command_line`	Dipetakan secara langsung
`processCmd`	`principal.process.command_line`	Dipetakan secara langsung
`process_cmd`	`principal.process.command_line`	Dipetakan secara langsung
`sproc`	`principal.process.command_line`	Diganti nama/dipetakan
`detail.processName`	`principal.process.file.full_path`	Dipetakan secara langsung
`object.value`	`principal.process.file.full_path`	Dipetakan secara langsung
`processFilePath`	`principal.process.file.full_path`	Dipetakan secara langsung
`process_file_path`	`principal.process.file.full_path`	Dipetakan secara langsung
`processFileModifiedTime`	`principal.process.file.last_modification_time`	Diganti nama/dipetakan
`detail.processFileHashMd5`	`principal.process.file.md5`	Dipetakan secara langsung
`processFileHashMd5`	`principal.process.file.md5`	Dipetakan secara langsung
`fileHash`	`principal.process.file.sha1`	Dipetakan secara langsung
`object.value`	`principal.process.file.sha1`	Dipetakan secara langsung
`processFileHashSha1`	`principal.process.file.sha1`	Dipetakan secara langsung
`process_file_hash_sha1`	`principal.process.file.sha1`	Dipetakan secara langsung
`fileHashSha256`	`principal.process.file.sha256`	Dipetakan secara langsung
`processFileHashSha256`	`principal.process.file.sha256`	Dipetakan secara langsung
`process_file_hash_sha256`	`principal.process.file.sha256`	Dipetakan secara langsung
`processFileSize`	`principal.process.file.size`	Diganti nama/dipetakan
`parentFilePath`	`principal.process.parent_process.file.full_path`	Dipetakan secara langsung
`parentFileHashMd5`	`principal.process.parent_process.file.md5`	Dipetakan secara langsung
`parentFileHashSha1`	`principal.process.parent_process.file.sha1`	Dipetakan secara langsung
`parentFileHashSha256`	`principal.process.parent_process.file.sha256`	Dipetakan secara langsung
`parentPid`	`principal.process.parent_process.pid`	Dipetakan secara langsung
`processPid`	`principal.process.pid`	Dipetakan secara langsung
`process_pid`	`principal.process.pid`	Dipetakan secara langsung
`spid`	`principal.process.pid`	Diganti nama/dipetakan
`message`	`principal.resource.attribute.labels`	Dipetakan: `CEF:` → `sourceLabel`, `CEF:` → `pname_label`, `CEF:` → `senderGUID_label`
`pname_label`	`principal.resource.attribute.labels`	Digabung
`senderGUID_label`	`principal.resource.attribute.labels`	Digabung
`sourceLabel`	`principal.resource.attribute.labels`	Digabung
`uuid`	`principal.resource.product_object_id`	Dipetakan secara langsung
`customer_name_label`	`principal.user.attribute.labels`	Digabung
`message`	`principal.user.attribute.labels`	Dipetakan: `CEF:` → `customer_name_label`
`message`	`principal.user.attribute.roles`	Dipetakan: `CEF:` → `principal_role`, `CEF:` → `roles`
`principal_role`	`principal.user.attribute.roles`	Digabung
`roles`	`principal.user.attribute.roles`	Digabung
`message`	`principal.user.department`	Dipetakan: `CEF:` → `userDepartment`
`userDepartment`	`principal.user.department`	Digabung
`details.identifier.email`	`principal.user.email_addresses`	Digabung
`entity.entityValue`	`principal.user.email_addresses`	Digabung
`message`	`principal.user.email_addresses`	Dipetakan: `CEF:` → `details.identifier.email`, `CEF:` → `entity.entityValue`, `CEF:` → `princi...
`principalName`	`principal.user.email_addresses`	Digabung
`entity_entityValue`	`principal.user.user_display_name`	Dipetakan secara langsung
`loggedUser`	`principal.user.user_display_name`	Dipetakan secara langsung
`suser`	`principal.user.user_display_name`	Dipetakan secara langsung
`account`	`principal.user.userid`	Dipetakan secara langsung
`account_name`	`principal.user.userid`	Dipetakan secara langsung
`detail.suid`	`principal.user.userid`	Dipetakan secara langsung
`details.identifier.id`	`principal.user.userid`	Dipetakan secara langsung
`loggedUser`	`principal.user.userid`	Dipetakan secara langsung
`logonUser.0`	`principal.user.userid`	Dipetakan secara langsung
`object.CustomValue`	`principal.user.userid`	Dipetakan secara langsung
`process_user`	`principal.user.userid`	Dipetakan secara langsung
`suid`	`principal.user.userid`	Diganti nama/dipetakan
`security_id`	`principal.user.windows_sid`	Dipetakan secara langsung
`message`	`security_result`	Nilai yang dipetakan (total 5, misalnya, `CEF:` → `security_result`, `CEF:` → `task_sec_res`, `CEF:` → `...
`sec`	`security_result`	Digabung
`sec_isEntity`	`security_result`	Digabung
`sec_res`	`security_result`	Digabung
`task_sec_res`	`security_result`	Digabung
`wasEntity.key`	`security_result.about.file.full_path`	Dipetakan secara langsung
`investigationResult`	`security_result.about.investigation.comments`	Digabung
`message`	`security_result.about.investigation.comments`	Dipetakan: `CEF:` → `investigationResult`
`investigationStatus`	`security_result.about.investigation.status`	Dipetakan: `New` → `NEW`, `Closed` → `CLOSED`, `Open` → `OPEN`, `Reviewed` → `REVIEWED`
`message`	`security_result.about.investigation.status`	Nilai yang dipetakan (total 5, misalnya, `CEF:` → `NEW`, `CEF:` → `CLOSED`, `CEF:` → `OPEN`)
`attr_value`	`security_result.about.process.command_line`	Dipetakan secara langsung
`_action`	`security_result.action`	Digabung
`act`	`security_result.action`	Dipetakan: `accept` → `_action`, `deny` → `_action`
`action_data`	`security_result.action`	Digabung
`message`	`security_result.action`	Dipetakan: `CEF:` → `_action`, `CEF:` → `action_data`, `CEF:` → `security_result_action`
`object_field`	`security_result.action`	Dipetakan: `actResult` → `security_result_action`
`result`	`security_result.action`	Dipetakan: `Successful` → `action_data`, `Unsuccess` → `action_data`
`security_result_action`	`security_result.action`	Digabung
`Action_Taken`	`security_result.action_details`	Dipetakan secara langsung
`act`	`security_result.action_details`	Dipetakan secara langsung
`actResult`	`security_result.action_details`	Dipetakan secara langsung
`detail.accessPermission`	`security_result.action_details`	Dipetakan secara langsung
`result`	`security_result.action_details`	Dipetakan secara langsung
`message`	`security_result.attack_details.tactics`	Dipetakan: `CEF:` → `tactics`, `CEF:` → `tactic`
`tactic`	`security_result.attack_details.tactics`	Digabung
`tactics`	`security_result.attack_details.tactics`	Digabung
`message`	`security_result.attack_details.techniques`	Dipetakan: `CEF:` → `techniques`
`techniques`	`security_result.attack_details.techniques`	Digabung
`act`	`security_result.category`	Dipetakan: `Block` → `event_category`
`event_category`	`security_result.category`	Digabung
`message`	`security_result.category`	Dipetakan: `CEF:` → `event_category`
`cat`	`security_result.category_details`	Digabung
`category`	`security_result.category_details`	Digabung
`detail.behaviorCat`	`security_result.category_details`	Digabung
`message`	`security_result.category_details`	Dipetakan: `CEF:` → `cat`, `CEF:` → `category`, `CEF:` → `detail.behaviorCat`
`Scan_Type`	`security_result.description`	Dipetakan secara langsung
`Type`	`security_result.description`	Dipetakan secara langsung
`filters.0.description`	`security_result.description`	Dipetakan secara langsung
`msg_data_2`	`security_result.description`	Dipetakan secara langsung
`LogonID_label`	`security_result.detection_fields`	Digabung
`accessType_label`	`security_result.detection_fields`	Digabung
`access_right_label`	`security_result.detection_fields`	Digabung
`account_modified_name_label`	`security_result.detection_fields`	Digabung
`account_type_label`	`security_result.detection_fields`	Digabung
`activity_label`	`security_result.detection_fields`	Digabung
`attr_name`	`security_result.detection_fields`	Dipetakan: `sha256` → `sha256_label`, `startType` → `startType_label`, `state` → `state_label`
`evt_type_label`	`security_result.detection_fields`	Digabung
`filepath_label`	`security_result.detection_fields`	Digabung
`highlighted_field_label`	`security_result.detection_fields`	Digabung
`highlighted_type_label`	`security_result.detection_fields`	Digabung
`indicator_label`	`security_result.detection_fields`	Digabung
`infection_channel_label`	`security_result.detection_fields`	Digabung
`matched_event_uuid_label`	`security_result.detection_fields`	Digabung
`message`	`security_result.detection_fields`	Nilai yang dipetakan (total 30, misalnya, `CEF:` → `operation_label`, `CEF:` → `operasjon_label`, `CEF:`... )
`mpver_label`	`security_result.detection_fields`	Digabung
`objecttype`	`security_result.detection_fields`	Dipetakan: `text` → `text_label`
`operasjon_label`	`security_result.detection_fields`	Digabung
`operation_label`	`security_result.detection_fields`	Digabung
`permission_label`	`security_result.detection_fields`	Digabung
`policy_id_label`	`security_result.detection_fields`	Digabung
`sha256_label`	`security_result.detection_fields`	Digabung
`spyware_Grayware_Type_label`	`security_result.detection_fields`	Digabung
`startType_label`	`security_result.detection_fields`	Digabung
`state_label`	`security_result.detection_fields`	Digabung
`subRuleId_label`	`security_result.detection_fields`	Digabung
`subRuleName_label`	`security_result.detection_fields`	Digabung
`tag_label`	`security_result.detection_fields`	Digabung
`text_label`	`security_result.detection_fields`	Digabung
`threat_probability_label`	`security_result.detection_fields`	Digabung
`tillatelse_label`	`security_result.detection_fields`	Digabung
`was_key_label`	`security_result.detection_fields`	Digabung
`winEventId_label`	`security_result.detection_fields`	Digabung
`createdDateTime`	`security_result.first_discovered_time`	Diganti nama/dipetakan
`firstSeen`	`security_result.first_discovered_time`	Diganti nama/dipetakan
`lastSeen`	`security_result.last_discovered_time`	Diganti nama/dipetakan
`updatedDateTime`	`security_result.last_updated_time`	Diganti nama/dipetakan
`Score`	`security_result.risk_score`	Diganti nama/dipetakan
`score`	`security_result.risk_score`	Diganti nama/dipetakan
`detail.ruleId`	`security_result.rule_id`	Diganti nama/dipetakan
`detail.uuid`	`security_result.rule_id`	Dipetakan secara langsung
`filters.0.unique_id`	`security_result.rule_id`	Dipetakan secara langsung
`ruleUuid`	`security_result.rule_id`	Diganti nama/dipetakan
`detail.ruleName`	`security_result.rule_name`	Diganti nama/dipetakan
`filters.0.id`	`security_result.rule_name`	Dipetakan secara langsung
`mwProfile`	`security_result.rule_name`	Dipetakan secara langsung
`object.CustomValue`	`security_result.rule_name`	Dipetakan secara langsung
`ruleName`	`security_result.rule_name`	Dipetakan secara langsung
`filter.type`	`security_result.rule_type`	Dipetakan secara langsung
`ruleType`	`security_result.rule_type`	Dipetakan secara langsung
`message`	`security_result.severity`	Nilai yang dipetakan (total 5, misalnya, `CEF:` → `LOW`, `CEF:` → `MEDIUM`, `CEF:` → `HIGH`)
`severity`	`security_result.severity`	Nilai yang dipetakan (total 6, misalnya, `"0", "1", "2", "3", "LOW"` → `LOW`, `"4", "5", "6", "MEDIUM", ... )
`filter.riskLevel`	`security_result.severity_details`	Dipetakan secara langsung
`Result`	`security_result.summary`	Dipetakan secara langsung
`appcategory`	`security_result.summary`	Dipetakan secara langsung
`filters.0.name`	`security_result.summary`	Dipetakan secara langsung
`reason`	`security_result.summary`	Diganti nama/dipetakan
`Spyware`	`security_result.threat_name`	Dipetakan secara langsung
`Unknown_Threat`	`security_result.threat_name`	Dipetakan secara langsung
`Virus_Malware_Name`	`security_result.threat_name`	Dipetakan secara langsung
`object.value`	`security_result.threat_name`	Dipetakan secara langsung
`workbenchLink`	`security_result.url_back_to_product`	Diganti nama/dipetakan
`oldFilePath`	`src.file.full_path`	Diganti nama/dipetakan
`oldFileSize`	`src.file.size`	Diganti nama/dipetakan
`message`	`src.resource.attribute.permissions`	Dipetakan: `CEF:` → `old_permissions`
`old_permissions`	`src.resource.attribute.permissions`	Digabung
`dntdom`	`target.administrative_domain`	Diganti nama/dipetakan
`destinationServiceName`	`target.application`	Diganti nama/dipetakan
`detail.deviceGUID`	`target.asset.asset_id`	Dipetakan secara langsung
`dst`	`target.asset.ip`	Digabung
`ip_dst_value`	`target.asset.ip`	Digabung
`message`	`target.asset.ip`	Dipetakan: `CEF:` → `dst`, `CEF:` → `ip_dst_value`
`object_field`	`target.asset.ip`	Dipetakan: `dst` → `ip_dst_value`
`object.CustomValue`	`target.file.full_path`	Dipetakan secara langsung
`object.value`	`target.file.full_path`	Dipetakan secara langsung
`value`	`target.file.full_path`	Dipetakan secara langsung
`object.CustomValue`	`target.file.sha1`	Dipetakan secara langsung
`object.value`	`target.file.sha1`	Dipetakan secara langsung
`detail.objectFileSize`	`target.file.size`	Dipetakan secara langsung
`message`	`target.file.size`	Dipetakan: `CEF:` → `uinteger`
`temp_dhost`	`target.hostname`	Dipetakan secara langsung
`IPv6_Address`	`target.ip`	Digabung
`dst`	`target.ip`	Digabung
`dst_ip`	`target.ip`	Digabung
`ip_dst_value`	`target.ip`	Digabung
`ipv6`	`target.ip`	Dipetakan: `-` → `IPv6_Address`
`message`	`target.ip`	Dipetakan: `CEF:` → `dst_ip`, `CEF:` → `IPv6_Address`, `CEF:` → `dst`, `CEF:` → `ip_dst_value`
`object_field`	`target.ip`	Dipetakan: `dst` → `ip_dst_value`
`mac_address`	`target.mac`	Digabung
`message`	`target.mac`	Dipetakan: `CEF:` → `mac_address`
`destination_translated_address`	`target.nat_ip`	Digabung
`message`	`target.nat_ip`	Dipetakan: `CEF:` → `destination_translated_address`
`destinationTranslatedPort`	`target.nat_port`	Diganti nama/dipetakan
`dpt`	`target.port`	Diganti nama/dipetakan
`dproc`	`target.process.command_line`	Diganti nama/dipetakan
`object.CustomValue`	`target.process.command_line`	Dipetakan secara langsung
`object.value`	`target.process.command_line`	Dipetakan secara langsung
`objectCmd`	`target.process.command_line`	Dipetakan secara langsung
`File_name`	`target.process.file.full_path`	Dipetakan secara langsung
`Infected_Resource`	`target.process.file.full_path`	Dipetakan secara langsung
`Object`	`target.process.file.full_path`	Dipetakan secara langsung
`Objekt`	`target.process.file.full_path`	Dipetakan secara langsung
`fileName`	`target.process.file.full_path`	Dipetakan secara langsung
`object.CustomValue`	`target.process.file.full_path`	Dipetakan secara langsung
`object.value`	`target.process.file.full_path`	Dipetakan secara langsung
`objectFilePath`	`target.process.file.full_path`	Dipetakan secara langsung
`objectFileHashMd5`	`target.process.file.md5`	Dipetakan secara langsung
`object.CustomValue`	`target.process.file.sha1`	Dipetakan secara langsung
`object.value`	`target.process.file.sha1`	Dipetakan secara langsung
`objectFileHashSha1`	`target.process.file.sha1`	Dipetakan secara langsung
`objectFileHashSha256`	`target.process.file.sha256`	Dipetakan secara langsung
`object.CustomValue`	`target.process.parent_process.command_line`	Dipetakan secara langsung
`object.CustomValue`	`target.process.parent_process.file.full_path`	Dipetakan secara langsung
`object.CustomValue`	`target.process.parent_process.file.sha1`	Dipetakan secara langsung
`object.value`	`target.process.parent_process.file.sha1`	Dipetakan secara langsung
`dpid`	`target.process.pid`	Diganti nama/dipetakan
`objectPid`	`target.process.pid`	Dipetakan secara langsung
`command_line_label`	`target.resource.attribute.labels`	Digabung
`dacDeviceType_label`	`target.resource.attribute.labels`	Digabung
`endpointGUID_label`	`target.resource.attribute.labels`	Digabung
`file_path_label`	`target.resource.attribute.labels`	Digabung
`file_sha1_label`	`target.resource.attribute.labels`	Digabung
`message`	`target.resource.attribute.labels`	Nilai yang dipetakan (total 6, misalnya, `CEF:` → `resource_Type_label`, `CEF:` → `dacDeviceType_label`,...
`objecttype`	`target.resource.attribute.labels`	Dipetakan: `command_line` → `command_line_label`, `file_sha1` → `file_sha1_label`, `fullpath` →...
`resource_Type_label`	`target.resource.attribute.labels`	Digabung
`request`	`target.url`	Dipetakan secara langsung
`message`	`target.user.attribute.roles`	Dipetakan: `CEF:` → `target_role`
`target_role`	`target.user.attribute.roles`	Digabung
`CustomerName`	`target.user.user_display_name`	Dipetakan secara langsung
`temp_duser`	`target.user.user_display_name`	Dipetakan secara langsung
`Bruker`	`target.user.userid`	Dipetakan secara langsung
`User_value`	`target.user.userid`	Dipetakan secara langsung
`temp_duid`	`target.user.userid`	Dipetakan secara langsung
T/A	`extensions.auth.type`	Konstanta: `AUTHTYPE_UNSPECIFIED`
T/A	`metadata.event_type`	Konstanta: `SCAN_UNCATEGORIZED`
T/A	`metadata.product_name`	Konstanta: `Vision One`
T/A	`metadata.vendor_name`	Konstanta: `Trend Micro`
T/A	`network.direction`	Konstanta: `INBOUND`
T/A	`principal.platform`	Konstanta: `WINDOWS`
T/A	`security_result.about.investigation.status`	Konstanta: `NEW`
T/A	`security_result.severity`	Konstanta: `LOW`

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.