Raccogliere i log di Trend Micro Vision One

Supportato in:

Questo documento spiega come raccogliere i log di Trend Micro Vision One configurando un feed Google Security Operations. Il parser invia avvisi, dati sugli eventi, vulnerabilità dei container, dati sull'attività e audit log ai bucket AWS S3 gestiti da Trend Micro. Google SecOps recupera questi dati utilizzando i feed di dati circa ogni 15 minuti. I dati non recuperati nei bucket S3 vengono conservati per 7 giorni prima di essere eliminati.

Puoi creare più feed in Google SecOps e configurare individualmente i dati ottenuti utilizzando i feed.

Prima di iniziare

  • Assicurati di avere un'istanza Google SecOps.
  • Assicurati di disporre dell'accesso con privilegi a Trend Micro Vision One.

Configura l'esportazione dei dati di Trend Vision One in Google SecOps

  1. Nella console Trend Vision One, genera la chiave di accesso e specifica i dati da inviare a Google SecOps.
  2. Vai a Workflow e Automation > Integrazione di terze parti.
  3. Nella colonna Integrazione, fai clic su Google Security Operations.
  4. In Chiave di accesso, fai clic su Genera chiave per generare l'ID chiave di accesso e la chiave di accesso segreta. Salva l'ID della chiave di accesso e la chiave di accesso segreta per utilizzarli in un secondo momento.
  5. Nella sezione Trasferimento dei dati, attiva il pulsante di attivazione/disattivazione accanto ai dati che vuoi inviare ai bucket S3. Ogni volta che viene attivato un trasferimento di dati, viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente. Copia e memorizza l'URI S3 per utilizzarlo in un secondo momento.
  6. Per Eventi e Dati sull'attività, fai clic su Modifica per modificare l'ambito dei dati.
  7. Per interrompere l'invio di un tipo di dati a Google SecOps, disattiva l'opzione accanto ai dati. Se riattivi il trasferimento dei dati, viene generato un nuovo URI S3. Devi configurare un nuovo feed in Google SecOps.

Configura un feed in Google SecOps per importare i log di Trend Micro Vision One

  1. Vai a Impostazioni SIEM > Feed.
  2. Fai clic su Aggiungi nuovo.
  3. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Trend Micro Vision One Workbench Logs.
  4. Seleziona Amazon S3 V2 come Tipo di origine.
  5. Seleziona i dati di Trend Vision One che vuoi che Google SecOps acquisisca come Tipo di log. Le opzioni disponibili includono:
    • Trend Micro Vision One
    • Attività Trend Micro Vision One
    • Trend Micro Vision One Audit
    • Vulnerabilità dei container Trend Micro Vision One
    • Rilevamenti di Trend Micro Vision One
    • Trend Micro Vision One Observed Attack Techniques
    • Trend Micro Vision One Workbench
  6. Fai clic su Avanti.
  7. Specifica i valori per i seguenti parametri di input:
    • URI S3: inserisci l'URI S3 ottenuto nella sezione precedente.
    • Opzioni di eliminazione dell'origine: seleziona Non eliminare mai i file.
    • Età massima file: include i file modificati nell'ultimo numero di giorni. Il valore predefinito è 180 giorni.
    • ID chiave di accesso: inserisci la chiave di accesso utente ottenuta nella sezione precedente.
    • Chiave di accesso segreta: inserisci la chiave segreta dell'utente con accesso al bucket S3 ottenuta nella sezione precedente.
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
  8. Fai clic su Avanti.
  9. Controlla la nuova configurazione del feed nella schermata Finalizza e poi fai clic su Invia.

Ripeti questa procedura per aggiungere più feed per tutti i tipi di dati Trend Vision One che vuoi importare in Google SecOps.

Tabella di mappatura UDM

Campo log mappatura UDM Logica
message about Mappato: CEF: → about
deviceNtDomain about.administrative_domain Rinominate/mappate
sslCertCommonName about.artifact.last_https_certificate.issuer.common_name Mappato direttamente
sslCertSerialNumber about.artifact.last_https_certificate.serial_number Mappato direttamente
sslCertFingerprint about.artifact.last_https_certificate.thumbprint Mappato direttamente
sslCertValidUntil about.artifact.last_https_certificate.validity.expiry_time Mappato direttamente
sslCertValidFrom about.artifact.last_https_certificate.validity.issue_time Unita
deviceExternalId about.asset.asset_id Mappato direttamente
device_product about.asset.asset_id Mappato direttamente
device_vendor about.asset.asset_id Mappato direttamente
fileHash about.file.full_path Mappato direttamente
filePath about.file.full_path Rinominate/mappate
_hash about.file.sha256 Rinominate/mappate
fileHash about.file.sha256 Rinominate/mappate
fileSize about.file.size Rinominate/mappate
fsize about.file.size Rinominate/mappate
dvchost about.hostname Rinominate/mappate
ips about.ip Unita
message about.ip Mappato: CEF: → ips
dvc_mac about.mac Mappato: slot → mac_address
dvcmac about.mac Unita
mac_address about.mac Unita
message about.mac Mappato: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip Unita
message about.nat_ip Mappato: CEF: → deviceTranslatedAddress
Emne about.process.command_line Mappato direttamente
Path about.process.command_line Mappato direttamente
Subject about.process.command_line Mappato direttamente
deviceProcessName about.process.command_line Rinominate/mappate
dvcpid about.process.pid Rinominate/mappate
message about.resource.attribute.permissions Mappato: CEF: → permissions
permissions about.resource.attribute.permissions Unita
_field additional.fields Unita
accountCount_label additional.fields Unita
additional_cfp1 additional.fields Unita
additional_cfp2 additional.fields Unita
additional_cfp3 additional.fields Unita
additional_cfp4 additional.fields Unita
additional_cn1 additional.fields Unita
additional_cn2 additional.fields Unita
additional_cn3 additional.fields Unita
additional_cs1 additional.fields Unita
additional_cs2 additional.fields Unita
additional_cs3 additional.fields Unita
additional_cs4 additional.fields Unita
additional_cs5 additional.fields Unita
additional_cs6 additional.fields Unita
additional_cs7 additional.fields Unita
additional_devicePayloadId additional.fields Unita
additional_eventId additional.fields Unita
additional_eventSourceType additional.fields Unita
additional_eventSubId additional.fields Unita
additional_flexString1 additional.fields Unita
additional_fname additional.fields Unita
additional_integrityLevel additional.fields Unita
additional_objectFileHashId additional.fields Unita
additional_objectFirstSeen additional.fields Unita
additional_objectHashId additional.fields Unita
additional_objectLastSeen additional.fields Unita
additional_objectLaunchTime additional.fields Unita
additional_objectName additional.fields Unita
additional_objectRunAsLocalAccount additional.fields Unita
additional_objectSigner additional.fields Unita
additional_objectSignerValid additional.fields Unita
additional_objectUser additional.fields Unita
additional_objectUserDomain additional.fields Unita
additional_osType additional.fields Unita
additional_parentName additional.fields Unita
additional_parentSigner additional.fields Unita
additional_parentSignerValid additional.fields Unita
additional_parentUser additional.fields Unita
additional_parentUserDomain additional.fields Unita
additional_plang additional.fields Unita
additional_pplat additional.fields Unita
additional_processHashId additional.fields Unita
additional_processLaunchTime additional.fields Unita
additional_processTrueType additional.fields Unita
additional_processUser additional.fields Unita
additional_processUserDomain additional.fields Unita
additional_productCode additional.fields Unita
additional_searchDL additional.fields Unita
additional_srcFirstSeen additional.fields Unita
additional_srcHashId additional.fields Unita
additional_srcLastSeen additional.fields Unita
additional_uuid additional.fields Unita
alertProvider_label additional.fields Unita
caseId_label additional.fields Unita
clientIp_label additional.fields Unita
cloudIdentityCount_label additional.fields Unita
containerCount_label additional.fields Unita
cs2 additional.fields Mappato: arc_test → additional_cs2
cs5_label additional.fields Unita
desktopCount_label additional.fields Unita
detail_channel_label additional.fields Unita
detail_engineOperation_label additional.fields Unita
detail_objectLaunchTime_label additional.fields Unita
detectionTime_label additional.fields Unita
emailAddressCount_label additional.fields Unita
endpoint_ip_label additional.fields Unita
endpoint_object_guid_label additional.fields Unita
engVer_label additional.fields Unita
entity_entityValue_label additional.fields Unita
entity_guid_value_label additional.fields Unita
entity_managementScopeGroupId_label additional.fields Unita
entity_managementScopeInstanceId_label additional.fields Unita
entity_managementScopePartitionKey_label additional.fields Unita
entity_type_label additional.fields Unita
eventSourceType_label additional.fields Unita
eventSubName_label additional.fields Unita
filePathName_label additional.fields Unita
incidentId_label additional.fields Unita
ingestionTime_label additional.fields Unita
instance_id_label additional.fields Unita
key additional.fields Mappato: "device_Facility", "ApexCentral_Host" → _field
level_label additional.fields Unita
logKey_label additional.fields Unita
logReceivedTime_label additional.fields Unita
matchedDateTime_label additional.fields Unita
matched_filter_id_label additional.fields Unita
message additional.fields Valori mappati (109 totali, ad es. CEF: → _field, CEF: → additional_eventId, CEF: → `a…
modelId_label additional.fields Unita
modelType_label additional.fields Unita
model_label additional.fields Unita
object_guid_label additional.fields Unita
objects_label additional.fields Unita
pname_additional_label additional.fields Unita
process_cmd_label additional.fields Unita
process_file_hash_sha1_label additional.fields Unita
process_file_hash_sha256_label additional.fields Unita
process_file_path_label additional.fields Unita
process_file_size_label additional.fields Unita
process_hash_id_label additional.fields Unita
process_launch_time_label additional.fields Unita
process_pid_label additional.fields Unita
process_user_label additional.fields Unita
provenance_data additional.fields Unita
reportLink_label additional.fields Unita
rtHour_label additional.fields Unita
rtWeekDay_label additional.fields Unita
schema_version_label additional.fields Unita
senderGUID_label additional.fields Unita
serverCount_label additional.fields Unita
serverIp_label additional.fields Unita
status_label additional.fields Unita
has_user extensions.auth.type Mappato: true → AUTHTYPE_UNSPECIFIED
message extensions.auth.type Mappato: CEF: → AUTHTYPE_UNSPECIFIED
message intermediary Mappato: CEF: → intermediary
inter_host intermediary.hostname Mappato direttamente
Model metadata.description Mappato direttamente
description metadata.description Mappato direttamente
eventSubName metadata.description Mappato direttamente
msg metadata.description Rinominate/mappate
Generated metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
createdDateTime metadata.event_timestamp Analizzato come ISO8601
detail.eventTime metadata.event_timestamp Analizzato come UNIX_MS
detectedDateTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
detectionTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
firstSeen metadata.event_timestamp Analizzato come UNIX_MS
ingestedDateTime metadata.event_timestamp Analizzato come ISO8601
lastSeen metadata.event_timestamp Analizzato come UNIX_MS
loggedDateTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
processFileModifiedTime metadata.event_timestamp Analizzato come UNIX_MS
rt metadata.event_timestamp Analizzato come UNIX_MS
sslCertValidFrom metadata.event_timestamp Analizzato come ISO8601
sslCertValidUntil metadata.event_timestamp Analizzato come ISO8601
unix_logReceivedTime metadata.event_timestamp Analizzato come UNIX_MS
updatedDateTime metadata.event_timestamp Analizzato come ISO8601
utc metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss.SSSZ
event_name metadata.event_type Mappato: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_user metadata.event_type Mappato: true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Valori mappati (8 in totale, ad es. CEF: → SCAN_UNCATEGORIZED, CEF: → STATUS_UPDATE, CEF:…
principal_present metadata.event_type Mappato: true → PROCESS_UNCATEGORIZED, true → NETWORK_CONNECTION, true → `PROCESS_L…
activity metadata.product_event_type Mappato direttamente
device_event_class_id metadata.product_event_type Mappato direttamente
event_name metadata.product_event_type Mappato direttamente
type metadata.product_event_type Mappato direttamente
WorkbenchID metadata.product_log_id Mappato direttamente
detail.uuid metadata.product_log_id Mappato direttamente
e_ID metadata.product_log_id Mappato direttamente
externalId metadata.product_log_id Mappato direttamente
id metadata.product_log_id Mappato direttamente
detail.mpname metadata.product_name Mappato direttamente
device_product metadata.product_name Mappato direttamente
message metadata.product_name Mappato: CEF: → Vision One
detail.mpver metadata.product_version Mappato direttamente
device_version metadata.product_version Mappato direttamente
device_vendor metadata.vendor_name Rinominate/mappate
message metadata.vendor_name Mappato: CEF: → Trend Micro
app_protocol_output network.application_protocol Mappato direttamente
deviceDirection network.direction Mappato: 0 → INBOUND, 1 → OUTBOUND
message network.direction Mappato: CEF: → INBOUND, CEF: → OUTBOUND
object.CustomValue network.email.from Mappato direttamente
message network.email.subject Mappato: CEF: → title
title network.email.subject Unita
message network.email.to Mappato: CEF: → object.CustomValue
object.CustomValue network.email.to Unita
objecttype network.email.to Mappato: email_forward → object.CustomValue
requestMethod network.http.method Rinominate/mappate
Link network.http.referral_url Mappato direttamente
requestClientApplication network.http.user_agent Rinominate/mappate
userAgent network.http.user_agent Mappato direttamente
ip_protocol_out network.ip_protocol Mappato direttamente
in network.received_bytes Rinominate/mappate
out network.sent_bytes Rinominate/mappate
sessionId network.session_id Mappato direttamente
tlsSelectedCipher network.tls.cipher Mappato direttamente
ja3Hash network.tls.client.ja3 Mappato direttamente
ja3sHash network.tls.server.ja3s Mappato direttamente
detail.mDeviceGUID observer.asset.asset_id Mappato direttamente
detail.dvchost observer.hostname Mappato direttamente
ip observer.ip Unita
message observer.ip Mappato: CEF: → ip
account_domain principal.administrative_domain Mappato direttamente
sntdom principal.administrative_domain Rinominate/mappate
userDomain principal.administrative_domain Mappato direttamente
userDomain.0 principal.administrative_domain Mappato direttamente
application principal.application Rinominate/mappate
sourceServiceName principal.application Rinominate/mappate
detail.endpointGuid principal.asset.asset_id Mappato direttamente
endpoint.agentGuid principal.asset.asset_id Mappato direttamente
mDeviceGUID principal.asset.asset_id Mappato direttamente
entityName_label principal.asset.attribute.labels Unita
message principal.asset.attribute.labels Mappato: CEF: → entityName_label
endpoint.name principal.asset.hostname Mappato direttamente
endpointHostName principal.asset.hostname Mappato direttamente
object_hostname principal.asset.hostname Mappato direttamente
shost principal.asset.hostname Mappato direttamente
Appliance_IP_address principal.asset.ip Unita
IP_address principal.asset.ip Unita
ip principal.asset.ip Unita
ip_src_value principal.asset.ip Unita
message principal.asset.ip Valori mappati (7 in totale, ad es. CEF: → IP_address, CEF: → Appliance_IP_address, CEF: …
object_field principal.asset.ip Mappato: src → ip_src_value
shost principal.asset.ip Unita
src principal.asset.ip Unita
src_ip principal.asset.ip Unita
endpointGuid principal.asset_id Mappato direttamente
object_guid principal.asset_id Mappato direttamente
detail.fullPath principal.file.full_path Mappato direttamente
requestMimeType principal.file.mime_type Mappato direttamente
indicator.value principal.file.sha1 Mappato direttamente
Group_name principal.group.group_display_name Mappato direttamente
Gruppenavn principal.group.group_display_name Mappato direttamente
clientGroup principal.group.group_display_name Mappato direttamente
detail.groupId principal.group.product_object_id Mappato direttamente
Device_name principal.hostname Mappato direttamente
Enhetsnavn principal.hostname Mappato direttamente
endpoint.name principal.hostname Mappato direttamente
endpointHostName principal.hostname Mappato direttamente
object_hostname principal.hostname Mappato direttamente
shost principal.hostname Mappato direttamente
Appliance_IP_address principal.ip Unita
IP_address principal.ip Unita
ip principal.ip Unita
ip_src_value principal.ip Unita
message principal.ip Valori mappati (8 in totale, ad es. CEF: → IP_address, CEF: → Appliance_IP_address, CEF: …
object_field principal.ip Mappato: src → ip_src_value
principal_ip principal.ip Unita
shost principal.ip Unita
src principal.ip Unita
src_ip principal.ip Unita
mac principal.mac Unita
message principal.mac Mappato: CEF: → mac
message principal.nat_ip Mappato: CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Unita
sourceTranslatedPort principal.nat_port Rinominate/mappate
message principal.platform Mappato: CEF: → WINDOWS, CEF: → MAC, CEF: → LINUX
osName principal.platform Mappato: (?i)windows → WINDOWS, (?i)Mac/iOS → MAC, (?)Lin → LINUX
osVer principal.platform_version Mappato direttamente
platform_version principal.platform_version Mappato direttamente
spt principal.port Rinominate/mappate
object.value principal.process.command_line Mappato direttamente
processCmd principal.process.command_line Mappato direttamente
process_cmd principal.process.command_line Mappato direttamente
sproc principal.process.command_line Rinominate/mappate
detail.processName principal.process.file.full_path Mappato direttamente
object.value principal.process.file.full_path Mappato direttamente
processFilePath principal.process.file.full_path Mappato direttamente
process_file_path principal.process.file.full_path Mappato direttamente
processFileModifiedTime principal.process.file.last_modification_time Rinominate/mappate
detail.processFileHashMd5 principal.process.file.md5 Mappato direttamente
processFileHashMd5 principal.process.file.md5 Mappato direttamente
fileHash principal.process.file.sha1 Mappato direttamente
object.value principal.process.file.sha1 Mappato direttamente
processFileHashSha1 principal.process.file.sha1 Mappato direttamente
process_file_hash_sha1 principal.process.file.sha1 Mappato direttamente
fileHashSha256 principal.process.file.sha256 Mappato direttamente
processFileHashSha256 principal.process.file.sha256 Mappato direttamente
process_file_hash_sha256 principal.process.file.sha256 Mappato direttamente
processFileSize principal.process.file.size Rinominate/mappate
parentFilePath principal.process.parent_process.file.full_path Mappato direttamente
parentFileHashMd5 principal.process.parent_process.file.md5 Mappato direttamente
parentFileHashSha1 principal.process.parent_process.file.sha1 Mappato direttamente
parentFileHashSha256 principal.process.parent_process.file.sha256 Mappato direttamente
parentPid principal.process.parent_process.pid Mappato direttamente
processPid principal.process.pid Mappato direttamente
process_pid principal.process.pid Mappato direttamente
spid principal.process.pid Rinominate/mappate
message principal.resource.attribute.labels Mappato: CEF: → sourceLabel, CEF: → pname_label, CEF: → senderGUID_label
pname_label principal.resource.attribute.labels Unita
senderGUID_label principal.resource.attribute.labels Unita
sourceLabel principal.resource.attribute.labels Unita
uuid principal.resource.product_object_id Mappato direttamente
customer_name_label principal.user.attribute.labels Unita
message principal.user.attribute.labels Mappato: CEF: → customer_name_label
message principal.user.attribute.roles Mappato: CEF: → principal_role, CEF: → roles
principal_role principal.user.attribute.roles Unita
roles principal.user.attribute.roles Unita
message principal.user.department Mappato: CEF: → userDepartment
userDepartment principal.user.department Unita
details.identifier.email principal.user.email_addresses Unita
entity.entityValue principal.user.email_addresses Unita
message principal.user.email_addresses Mappato: CEF: → details.identifier.email, CEF: → entity.entityValue, CEF: → `princi…
principalName principal.user.email_addresses Unita
entity_entityValue principal.user.user_display_name Mappato direttamente
loggedUser principal.user.user_display_name Mappato direttamente
suser principal.user.user_display_name Mappato direttamente
account principal.user.userid Mappato direttamente
account_name principal.user.userid Mappato direttamente
detail.suid principal.user.userid Mappato direttamente
details.identifier.id principal.user.userid Mappato direttamente
loggedUser principal.user.userid Mappato direttamente
logonUser.0 principal.user.userid Mappato direttamente
object.CustomValue principal.user.userid Mappato direttamente
process_user principal.user.userid Mappato direttamente
suid principal.user.userid Rinominate/mappate
security_id principal.user.windows_sid Mappato direttamente
message security_result Valori mappati (5 in totale, ad es. CEF: → security_result, CEF: → task_sec_res, CEF: → `…
sec security_result Unita
sec_isEntity security_result Unita
sec_res security_result Unita
task_sec_res security_result Unita
wasEntity.key security_result.about.file.full_path Mappato direttamente
investigationResult security_result.about.investigation.comments Unita
message security_result.about.investigation.comments Mappato: CEF: → investigationResult
investigationStatus security_result.about.investigation.status Mappato: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
message security_result.about.investigation.status Valori mappati (5 in totale, ad es. CEF: → NEW, CEF: → CLOSED, CEF: → OPEN)
attr_value security_result.about.process.command_line Mappato direttamente
_action security_result.action Unita
act security_result.action Mappato: accept → _action, deny → _action
action_data security_result.action Unita
message security_result.action Mappato: CEF: → _action, CEF: → action_data, CEF: → security_result_action
object_field security_result.action Mappato: actResult → security_result_action
result security_result.action Mappato: Successful → action_data, Unsuccess → action_data
security_result_action security_result.action Unita
Action_Taken security_result.action_details Mappato direttamente
act security_result.action_details Mappato direttamente
actResult security_result.action_details Mappato direttamente
detail.accessPermission security_result.action_details Mappato direttamente
result security_result.action_details Mappato direttamente
message security_result.attack_details.tactics Mappato: CEF: → tactics, CEF: → tactic
tactic security_result.attack_details.tactics Unita
tactics security_result.attack_details.tactics Unita
message security_result.attack_details.techniques Mappato: CEF: → techniques
techniques security_result.attack_details.techniques Unita
act security_result.category Mappato: Block → event_category
event_category security_result.category Unita
message security_result.category Mappato: CEF: → event_category
cat security_result.category_details Unita
category security_result.category_details Unita
detail.behaviorCat security_result.category_details Unita
message security_result.category_details Mappato: CEF: → cat, CEF: → category, CEF: → detail.behaviorCat
Scan_Type security_result.description Mappato direttamente
Type security_result.description Mappato direttamente
filters.0.description security_result.description Mappato direttamente
msg_data_2 security_result.description Mappato direttamente
LogonID_label security_result.detection_fields Unita
accessType_label security_result.detection_fields Unita
access_right_label security_result.detection_fields Unita
account_modified_name_label security_result.detection_fields Unita
account_type_label security_result.detection_fields Unita
activity_label security_result.detection_fields Unita
attr_name security_result.detection_fields Mappato: sha256 → sha256_label, startType → startType_label, state → state_label
evt_type_label security_result.detection_fields Unita
filepath_label security_result.detection_fields Unita
highlighted_field_label security_result.detection_fields Unita
highlighted_type_label security_result.detection_fields Unita
indicator_label security_result.detection_fields Unita
infection_channel_label security_result.detection_fields Unita
matched_event_uuid_label security_result.detection_fields Unita
message security_result.detection_fields Valori mappati (30 in totale, ad es. CEF: → operation_label, CEF: → operasjon_label, CEF:…)
mpver_label security_result.detection_fields Unita
objecttype security_result.detection_fields Mappato: text → text_label
operasjon_label security_result.detection_fields Unita
operation_label security_result.detection_fields Unita
permission_label security_result.detection_fields Unita
policy_id_label security_result.detection_fields Unita
sha256_label security_result.detection_fields Unita
spyware_Grayware_Type_label security_result.detection_fields Unita
startType_label security_result.detection_fields Unita
state_label security_result.detection_fields Unita
subRuleId_label security_result.detection_fields Unita
subRuleName_label security_result.detection_fields Unita
tag_label security_result.detection_fields Unita
text_label security_result.detection_fields Unita
threat_probability_label security_result.detection_fields Unita
tillatelse_label security_result.detection_fields Unita
was_key_label security_result.detection_fields Unita
winEventId_label security_result.detection_fields Unita
createdDateTime security_result.first_discovered_time Rinominate/mappate
firstSeen security_result.first_discovered_time Rinominate/mappate
lastSeen security_result.last_discovered_time Rinominate/mappate
updatedDateTime security_result.last_updated_time Rinominate/mappate
Score security_result.risk_score Rinominate/mappate
score security_result.risk_score Rinominate/mappate
detail.ruleId security_result.rule_id Rinominate/mappate
detail.uuid security_result.rule_id Mappato direttamente
filters.0.unique_id security_result.rule_id Mappato direttamente
ruleUuid security_result.rule_id Rinominate/mappate
detail.ruleName security_result.rule_name Rinominate/mappate
filters.0.id security_result.rule_name Mappato direttamente
mwProfile security_result.rule_name Mappato direttamente
object.CustomValue security_result.rule_name Mappato direttamente
ruleName security_result.rule_name Mappato direttamente
filter.type security_result.rule_type Mappato direttamente
ruleType security_result.rule_type Mappato direttamente
message security_result.severity Valori mappati (5 in totale, ad es. CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH)
severity security_result.severity Valori mappati (6 in totale, ad es. "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", … )
filter.riskLevel security_result.severity_details Mappato direttamente
Result security_result.summary Mappato direttamente
appcategory security_result.summary Mappato direttamente
filters.0.name security_result.summary Mappato direttamente
reason security_result.summary Rinominate/mappate
Spyware security_result.threat_name Mappato direttamente
Unknown_Threat security_result.threat_name Mappato direttamente
Virus_Malware_Name security_result.threat_name Mappato direttamente
object.value security_result.threat_name Mappato direttamente
workbenchLink security_result.url_back_to_product Rinominate/mappate
oldFilePath src.file.full_path Rinominate/mappate
oldFileSize src.file.size Rinominate/mappate
message src.resource.attribute.permissions Mappato: CEF: → old_permissions
old_permissions src.resource.attribute.permissions Unita
dntdom target.administrative_domain Rinominate/mappate
destinationServiceName target.application Rinominate/mappate
detail.deviceGUID target.asset.asset_id Mappato direttamente
dst target.asset.ip Unita
ip_dst_value target.asset.ip Unita
message target.asset.ip Mappato: CEF: → dst, CEF: → ip_dst_value
object_field target.asset.ip Mappato: dst → ip_dst_value
object.CustomValue target.file.full_path Mappato direttamente
object.value target.file.full_path Mappato direttamente
value target.file.full_path Mappato direttamente
object.CustomValue target.file.sha1 Mappato direttamente
object.value target.file.sha1 Mappato direttamente
detail.objectFileSize target.file.size Mappato direttamente
message target.file.size Mappato: CEF: → uinteger
temp_dhost target.hostname Mappato direttamente
IPv6_Address target.ip Unita
dst target.ip Unita
dst_ip target.ip Unita
ip_dst_value target.ip Unita
ipv6 target.ip Mappato: - → IPv6_Address
message target.ip Mappato: CEF: → dst_ip, CEF: → IPv6_Address, CEF: → dst, CEF: → ip_dst_value
object_field target.ip Mappato: dst → ip_dst_value
mac_address target.mac Unita
message target.mac Mappato: CEF: → mac_address
destination_translated_address target.nat_ip Unita
message target.nat_ip Mappato: CEF: → destination_translated_address
destinationTranslatedPort target.nat_port Rinominate/mappate
dpt target.port Rinominate/mappate
dproc target.process.command_line Rinominate/mappate
object.CustomValue target.process.command_line Mappato direttamente
object.value target.process.command_line Mappato direttamente
objectCmd target.process.command_line Mappato direttamente
File_name target.process.file.full_path Mappato direttamente
Infected_Resource target.process.file.full_path Mappato direttamente
Object target.process.file.full_path Mappato direttamente
Objekt target.process.file.full_path Mappato direttamente
fileName target.process.file.full_path Mappato direttamente
object.CustomValue target.process.file.full_path Mappato direttamente
object.value target.process.file.full_path Mappato direttamente
objectFilePath target.process.file.full_path Mappato direttamente
objectFileHashMd5 target.process.file.md5 Mappato direttamente
object.CustomValue target.process.file.sha1 Mappato direttamente
object.value target.process.file.sha1 Mappato direttamente
objectFileHashSha1 target.process.file.sha1 Mappato direttamente
objectFileHashSha256 target.process.file.sha256 Mappato direttamente
object.CustomValue target.process.parent_process.command_line Mappato direttamente
object.CustomValue target.process.parent_process.file.full_path Mappato direttamente
object.CustomValue target.process.parent_process.file.sha1 Mappato direttamente
object.value target.process.parent_process.file.sha1 Mappato direttamente
dpid target.process.pid Rinominate/mappate
objectPid target.process.pid Mappato direttamente
command_line_label target.resource.attribute.labels Unita
dacDeviceType_label target.resource.attribute.labels Unita
endpointGUID_label target.resource.attribute.labels Unita
file_path_label target.resource.attribute.labels Unita
file_sha1_label target.resource.attribute.labels Unita
message target.resource.attribute.labels Valori mappati (6 in totale, ad es. CEF: → resource_Type_label, CEF: → dacDeviceType_label,…
objecttype target.resource.attribute.labels Mappato: command_line → command_line_label, file_sha1 → file_sha1_label, fullpath →…
resource_Type_label target.resource.attribute.labels Unita
request target.url Mappato direttamente
message target.user.attribute.roles Mappato: CEF: → target_role
target_role target.user.attribute.roles Unita
CustomerName target.user.user_display_name Mappato direttamente
temp_duser target.user.user_display_name Mappato direttamente
Bruker target.user.userid Mappato direttamente
User_value target.user.userid Mappato direttamente
temp_duid target.user.userid Mappato direttamente
N/D extensions.auth.type Costante: AUTHTYPE_UNSPECIFIED
N/D metadata.event_type Costante: SCAN_UNCATEGORIZED
N/D metadata.product_name Costante: Vision One
N/D metadata.vendor_name Costante: Trend Micro
N/D network.direction Costante: INBOUND
N/D principal.platform Costante: WINDOWS
N/D security_result.about.investigation.status Costante: NEW
N/D security_result.severity Costante: LOW

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.