Raccogli i log di Trend Micro Vision One

Supportata in:

Questo documento spiega come raccogliere i log di Trend Micro Vision One configurando un feed di Google Security Operations. Il parser invia avvisi, dati sugli eventi, vulnerabilità dei container, dati sulle attività e audit log ai bucket AWS S3 gestiti da Trend Micro. Google SecOps recupera questi dati utilizzando i feed di dati circa ogni 15 minuti. I dati non recuperati nei bucket S3 vengono conservati per 7 giorni prima di essere eliminati definitivamente.

Puoi creare più feed in Google SecOps e configurare i dati ottenuti utilizzando i feed singolarmente.

Prima di iniziare

  • Assicurati di avere un'istanza Google SecOps.
  • Assicurati di disporre dell'accesso con privilegi a Trend Micro Vision One.

Configura l'esportazione dei dati di Trend Vision One in Google SecOps

  1. Nella console Trend Vision One, genera la chiave di accesso e specifica i dati da inviare a Google SecOps.
  2. Vai a Workflow and Automation (Flusso di lavoro e automazione) > Third-Party Integration (Integrazione di terze parti).
  3. Nella colonna Integrazione, fai clic su Google Security Operations.
  4. In Chiave di accesso, fai clic su Genera chiave per generare l'ID chiave di accesso e la chiave di accesso segreta. Salva l'ID della chiave di accesso e la chiave di accesso segreta per utilizzarli in un secondo momento.
  5. In Trasferimento di dati, attiva l'opzione accanto ai dati che vuoi inviare ai bucket S3. Ogni volta che viene attivato un trasferimento di dati, viene generato un URI S3 e i dati iniziano a essere inviati al bucket S3 corrispondente. Copia e memorizza l'URI S3 per utilizzarlo in un secondo momento.
  6. Per Eventi e Dati sulle attività, fai clic su Modifica per modificare l'ambito dei dati.
  7. Per interrompere l'invio di un tipo di dati a Google SecOps, disattiva l'opzione accanto ai dati. La riattivazione del trasferimento di dati genera un nuovo URI S3. Devi configurare un nuovo feed in Google SecOps.

Configura un feed in Google SecOps per importare i log di Trend Micro Vision One

  1. Vai a Impostazioni > Gestione dei dati > Feed. Se utilizzi una piattaforma solo SIEM, vai a Impostazioni > Feed.
  2. Fai clic su Aggiungi nuovo.
  3. Nel campo Nome feed, inserisci un nome per il feed, ad esempio Trend Micro Vision One Workbench Logs.
  4. Seleziona Amazon S3 V2 come Tipo di origine.
  5. Seleziona i dati di Trend Vision One che vuoi che Google SecOps importi come Tipo di log. Le opzioni disponibili includono:
    • Trend Micro Vision One
    • Trend Micro Vision One Activity
    • Trend Micro Vision One Audit
    • Trend Micro Vision One Container Vulnerabilities
    • Trend Micro Vision One Detections
    • Trend Micro Vision One Observed Attack Techniques
    • Trend Micro Vision One Workbench
  6. Fai clic su Avanti.
  7. Specifica i valori per i seguenti parametri di input:
    • URI S3: inserisci l'URI S3 ottenuto nella sezione precedente.
    • Opzioni di eliminazione dell'origine: seleziona Non eliminare mai i file.
    • Età massima dei file: include i file modificati negli ultimi giorni. Il valore predefinito è 180 giorni.
    • ID chiave di accesso: inserisci la chiave di accesso utente ottenuta nella sezione precedente.
    • Chiave di accesso segreta: inserisci la chiave segreta dell'utente con accesso al bucket S3 ottenuta nella sezione precedente.
    • Spazio dei nomi dell'asset: lo spazio dei nomi dell'asset.
    • Etichette di importazione: l'etichetta da applicare agli eventi di questo feed.
  8. Fai clic su Avanti.
  9. Controlla la nuova configurazione del feed di notizie nella schermata Finalizza e poi fai clic su Invia.

Ripeti questa procedura per aggiungere più feed per tutti i tipi di dati Trend Vision One che vuoi importare in Google SecOps.

Tabella di mappatura UDM

Campo del log mappatura UDM Logica
message about Mappatura: CEF: → about
deviceNtDomain about.administrative_domain Rinominato/mappato
sslCertCommonName about.artifact.last_https_certificate.issuer.common_name Mappatura diretta
sslCertSerialNumber about.artifact.last_https_certificate.serial_number Mappatura diretta
sslCertFingerprint about.artifact.last_https_certificate.thumbprint Mappatura diretta
sslCertValidUntil about.artifact.last_https_certificate.validity.expiry_time Mappatura diretta
sslCertValidFrom about.artifact.last_https_certificate.validity.issue_time Unita
deviceExternalId about.asset.asset_id Mappatura diretta
device_product about.asset.asset_id Mappatura diretta
device_vendor about.asset.asset_id Mappatura diretta
fileHash about.file.full_path Mappatura diretta
filePath about.file.full_path Rinominato/mappato
_hash about.file.sha256 Rinominato/mappato
fileHash about.file.sha256 Rinominato/mappato
fileSize about.file.size Rinominato/mappato
fsize about.file.size Rinominato/mappato
dvchost about.hostname Rinominato/mappato
ips about.ip Unita
message about.ip Mappatura: CEF: → ips
dvc_mac about.mac Mappatura: slot → mac_address
dvcmac about.mac Unita
mac_address about.mac Unita
message about.mac Mappatura: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip Unita
message about.nat_ip Mappatura: CEF: → deviceTranslatedAddress
Emne about.process.command_line Mappatura diretta
Path about.process.command_line Mappatura diretta
Subject about.process.command_line Mappatura diretta
deviceProcessName about.process.command_line Rinominato/mappato
dvcpid about.process.pid Rinominato/mappato
message about.resource.attribute.permissions Mappatura: CEF: → permissions
permissions about.resource.attribute.permissions Unita
_field additional.fields Unita
accountCount_label additional.fields Unita
additional_cfp1 additional.fields Unita
additional_cfp2 additional.fields Unita
additional_cfp3 additional.fields Unita
additional_cfp4 additional.fields Unita
additional_cn1 additional.fields Unita
additional_cn2 additional.fields Unita
additional_cn3 additional.fields Unita
additional_cs1 additional.fields Unita
additional_cs2 additional.fields Unita
additional_cs3 additional.fields Unita
additional_cs4 additional.fields Unita
additional_cs5 additional.fields Unita
additional_cs6 additional.fields Unita
additional_cs7 additional.fields Unita
additional_devicePayloadId additional.fields Unita
additional_eventId additional.fields Unita
additional_eventSourceType additional.fields Unita
additional_eventSubId additional.fields Unita
additional_flexString1 additional.fields Unita
additional_fname additional.fields Unita
additional_integrityLevel additional.fields Unita
additional_objectFileHashId additional.fields Unita
additional_objectFirstSeen additional.fields Unita
additional_objectHashId additional.fields Unita
additional_objectLastSeen additional.fields Unita
additional_objectLaunchTime additional.fields Unita
additional_objectName additional.fields Unita
additional_objectRunAsLocalAccount additional.fields Unita
additional_objectSigner additional.fields Unita
additional_objectSignerValid additional.fields Unita
additional_objectUser additional.fields Unita
additional_objectUserDomain additional.fields Unita
additional_osType additional.fields Unita
additional_parentName additional.fields Unita
additional_parentSigner additional.fields Unita
additional_parentSignerValid additional.fields Unita
additional_parentUser additional.fields Unita
additional_parentUserDomain additional.fields Unita
additional_plang additional.fields Unita
additional_pplat additional.fields Unita
additional_processHashId additional.fields Unita
additional_processLaunchTime additional.fields Unita
additional_processTrueType additional.fields Unita
additional_processUser additional.fields Unita
additional_processUserDomain additional.fields Unita
additional_productCode additional.fields Unita
additional_searchDL additional.fields Unita
additional_srcFirstSeen additional.fields Unita
additional_srcHashId additional.fields Unita
additional_srcLastSeen additional.fields Unita
additional_uuid additional.fields Unita
alertProvider_label additional.fields Unita
caseId_label additional.fields Unita
clientIp_label additional.fields Unita
cloudIdentityCount_label additional.fields Unita
containerCount_label additional.fields Unita
cs2 additional.fields Mappatura: arc_test → additional_cs2
cs5_label additional.fields Unita
desktopCount_label additional.fields Unita
detail_channel_label additional.fields Unita
detail_engineOperation_label additional.fields Unita
detail_objectLaunchTime_label additional.fields Unita
detectionTime_label additional.fields Unita
emailAddressCount_label additional.fields Unita
endpoint_ip_label additional.fields Unita
endpoint_object_guid_label additional.fields Unita
engVer_label additional.fields Unita
entity_entityValue_label additional.fields Unita
entity_guid_value_label additional.fields Unita
entity_managementScopeGroupId_label additional.fields Unita
entity_managementScopeInstanceId_label additional.fields Unita
entity_managementScopePartitionKey_label additional.fields Unita
entity_type_label additional.fields Unita
eventSourceType_label additional.fields Unita
eventSubName_label additional.fields Unita
filePathName_label additional.fields Unita
incidentId_label additional.fields Unita
ingestionTime_label additional.fields Unita
instance_id_label additional.fields Unita
key additional.fields Mappatura: "device_Facility", "ApexCentral_Host" → _field
level_label additional.fields Unita
logKey_label additional.fields Unita
logReceivedTime_label additional.fields Unita
matchedDateTime_label additional.fields Unita
matched_filter_id_label additional.fields Unita
message additional.fields Valori mappati (109 in totale, ad es. CEF: → _field, CEF: → additional_eventId, CEF: → `a…
modelId_label additional.fields Unita
modelType_label additional.fields Unita
model_label additional.fields Unita
object_guid_label additional.fields Unita
objects_label additional.fields Unita
pname_additional_label additional.fields Unita
process_cmd_label additional.fields Unita
process_file_hash_sha1_label additional.fields Unita
process_file_hash_sha256_label additional.fields Unita
process_file_path_label additional.fields Unita
process_file_size_label additional.fields Unita
process_hash_id_label additional.fields Unita
process_launch_time_label additional.fields Unita
process_pid_label additional.fields Unita
process_user_label additional.fields Unita
provenance_data additional.fields Unita
reportLink_label additional.fields Unita
rtHour_label additional.fields Unita
rtWeekDay_label additional.fields Unita
schema_version_label additional.fields Unita
senderGUID_label additional.fields Unita
serverCount_label additional.fields Unita
serverIp_label additional.fields Unita
status_label additional.fields Unita
has_user extensions.auth.type Mappatura: true → AUTHTYPE_UNSPECIFIED
message extensions.auth.type Mappatura: CEF: → AUTHTYPE_UNSPECIFIED
message intermediary Mappatura: CEF: → intermediary
inter_host intermediary.hostname Mappatura diretta
Model metadata.description Mappatura diretta
description metadata.description Mappatura diretta
eventSubName metadata.description Mappatura diretta
msg metadata.description Rinominato/mappato
Generated metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss
createdDateTime metadata.event_timestamp Analizzato come ISO8601
detail.eventTime metadata.event_timestamp Analizzato come UNIX_MS
detectedDateTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
detectionTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
firstSeen metadata.event_timestamp Analizzato come UNIX_MS
ingestedDateTime metadata.event_timestamp Analizzato come ISO8601
lastSeen metadata.event_timestamp Analizzato come UNIX_MS
loggedDateTime metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ssZ
processFileModifiedTime metadata.event_timestamp Analizzato come UNIX_MS
rt metadata.event_timestamp Analizzato come UNIX_MS
sslCertValidFrom metadata.event_timestamp Analizzato come ISO8601
sslCertValidUntil metadata.event_timestamp Analizzato come ISO8601
unix_logReceivedTime metadata.event_timestamp Analizzato come UNIX_MS
updatedDateTime metadata.event_timestamp Analizzato come ISO8601
utc metadata.event_timestamp Analizzato come yyyy-MM-ddTHH:mm:ss.SSSZ
event_name metadata.event_type Mappatura: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_user metadata.event_type Mappatura: true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Valori mappati (8 in totale, ad es. CEF: → SCAN_UNCATEGORIZED, CEF: → STATUS_UPDATE, CEF:…
principal_present metadata.event_type Mappato: true → PROCESS_UNCATEGORIZED, true → NETWORK_CONNECTION, true → `PROCESS_L…
activity metadata.product_event_type Mappatura diretta
device_event_class_id metadata.product_event_type Mappatura diretta
event_name metadata.product_event_type Mappatura diretta
type metadata.product_event_type Mappatura diretta
WorkbenchID metadata.product_log_id Mappatura diretta
detail.uuid metadata.product_log_id Mappatura diretta
e_ID metadata.product_log_id Mappatura diretta
externalId metadata.product_log_id Mappatura diretta
id metadata.product_log_id Mappatura diretta
detail.mpname metadata.product_name Mappatura diretta
device_product metadata.product_name Mappatura diretta
message metadata.product_name Mappatura: CEF: → Vision One
detail.mpver metadata.product_version Mappatura diretta
device_version metadata.product_version Mappatura diretta
device_vendor metadata.vendor_name Rinominato/mappato
message metadata.vendor_name Mappatura: CEF: → Trend Micro
app_protocol_output network.application_protocol Mappatura diretta
deviceDirection network.direction Mappatura: 0 → INBOUND, 1 → OUTBOUND
message network.direction Mappatura: CEF: → INBOUND, CEF: → OUTBOUND
object.CustomValue network.email.from Mappatura diretta
message network.email.subject Mappatura: CEF: → title
title network.email.subject Unita
message network.email.to Mappatura: CEF: → object.CustomValue
object.CustomValue network.email.to Unita
objecttype network.email.to Mappatura: email_forward → object.CustomValue
requestMethod network.http.method Rinominato/mappato
Link network.http.referral_url Mappatura diretta
requestClientApplication network.http.user_agent Rinominato/mappato
userAgent network.http.user_agent Mappatura diretta
ip_protocol_out network.ip_protocol Mappatura diretta
in network.received_bytes Rinominato/mappato
out network.sent_bytes Rinominato/mappato
sessionId network.session_id Mappatura diretta
tlsSelectedCipher network.tls.cipher Mappatura diretta
ja3Hash network.tls.client.ja3 Mappatura diretta
ja3sHash network.tls.server.ja3s Mappatura diretta
detail.mDeviceGUID observer.asset.asset_id Mappatura diretta
detail.dvchost observer.hostname Mappatura diretta
ip observer.ip Unita
message observer.ip Mappatura: CEF: → ip
account_domain principal.administrative_domain Mappatura diretta
sntdom principal.administrative_domain Rinominato/mappato
userDomain principal.administrative_domain Mappatura diretta
userDomain.0 principal.administrative_domain Mappatura diretta
application principal.application Rinominato/mappato
sourceServiceName principal.application Rinominato/mappato
detail.endpointGuid principal.asset.asset_id Mappatura diretta
endpoint.agentGuid principal.asset.asset_id Mappatura diretta
mDeviceGUID principal.asset.asset_id Mappatura diretta
entityName_label principal.asset.attribute.labels Unita
message principal.asset.attribute.labels Mappatura: CEF: → entityName_label
endpoint.name principal.asset.hostname Mappatura diretta
endpointHostName principal.asset.hostname Mappatura diretta
object_hostname principal.asset.hostname Mappatura diretta
shost principal.asset.hostname Mappatura diretta
Appliance_IP_address principal.asset.ip Unita
IP_address principal.asset.ip Unita
ip principal.asset.ip Unita
ip_src_value principal.asset.ip Unita
message principal.asset.ip Valori mappati (7 in totale, ad es. CEF: → IP_address, CEF: → Appliance_IP_address, CEF: …
object_field principal.asset.ip Mappatura: src → ip_src_value
shost principal.asset.ip Unita
src principal.asset.ip Unita
src_ip principal.asset.ip Unita
endpointGuid principal.asset_id Mappatura diretta
object_guid principal.asset_id Mappatura diretta
detail.fullPath principal.file.full_path Mappatura diretta
requestMimeType principal.file.mime_type Mappatura diretta
indicator.value principal.file.sha1 Mappatura diretta
Group_name principal.group.group_display_name Mappatura diretta
Gruppenavn principal.group.group_display_name Mappatura diretta
clientGroup principal.group.group_display_name Mappatura diretta
detail.groupId principal.group.product_object_id Mappatura diretta
Device_name principal.hostname Mappatura diretta
Enhetsnavn principal.hostname Mappatura diretta
endpoint.name principal.hostname Mappatura diretta
endpointHostName principal.hostname Mappatura diretta
object_hostname principal.hostname Mappatura diretta
shost principal.hostname Mappatura diretta
Appliance_IP_address principal.ip Unita
IP_address principal.ip Unita
ip principal.ip Unita
ip_src_value principal.ip Unita
message principal.ip Valori mappati (8 in totale, ad es. CEF: → IP_address, CEF: → Appliance_IP_address, CEF: …
object_field principal.ip Mappatura: src → ip_src_value
principal_ip principal.ip Unita
shost principal.ip Unita
src principal.ip Unita
src_ip principal.ip Unita
mac principal.mac Unita
message principal.mac Mappatura: CEF: → mac
message principal.nat_ip Mappatura: CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Unita
sourceTranslatedPort principal.nat_port Rinominato/mappato
message principal.platform Mapped: CEF: → WINDOWS, CEF: → MAC, CEF: → LINUX
osName principal.platform Mapped: (?i)windows → WINDOWS, (?i)Mac/iOS → MAC, (?)Lin → LINUX
osVer principal.platform_version Mappatura diretta
platform_version principal.platform_version Mappatura diretta
spt principal.port Rinominato/mappato
object.value principal.process.command_line Mappatura diretta
processCmd principal.process.command_line Mappatura diretta
process_cmd principal.process.command_line Mappatura diretta
sproc principal.process.command_line Rinominato/mappato
detail.processName principal.process.file.full_path Mappatura diretta
object.value principal.process.file.full_path Mappatura diretta
processFilePath principal.process.file.full_path Mappatura diretta
process_file_path principal.process.file.full_path Mappatura diretta
processFileModifiedTime principal.process.file.last_modification_time Rinominato/mappato
detail.processFileHashMd5 principal.process.file.md5 Mappatura diretta
processFileHashMd5 principal.process.file.md5 Mappatura diretta
fileHash principal.process.file.sha1 Mappatura diretta
object.value principal.process.file.sha1 Mappatura diretta
processFileHashSha1 principal.process.file.sha1 Mappatura diretta
process_file_hash_sha1 principal.process.file.sha1 Mappatura diretta
fileHashSha256 principal.process.file.sha256 Mappatura diretta
processFileHashSha256 principal.process.file.sha256 Mappatura diretta
process_file_hash_sha256 principal.process.file.sha256 Mappatura diretta
processFileSize principal.process.file.size Rinominato/mappato
parentFilePath principal.process.parent_process.file.full_path Mappatura diretta
parentFileHashMd5 principal.process.parent_process.file.md5 Mappatura diretta
parentFileHashSha1 principal.process.parent_process.file.sha1 Mappatura diretta
parentFileHashSha256 principal.process.parent_process.file.sha256 Mappatura diretta
parentPid principal.process.parent_process.pid Mappatura diretta
processPid principal.process.pid Mappatura diretta
process_pid principal.process.pid Mappatura diretta
spid principal.process.pid Rinominato/mappato
message principal.resource.attribute.labels Mapped: CEF: → sourceLabel, CEF: → pname_label, CEF: → senderGUID_label
pname_label principal.resource.attribute.labels Unita
senderGUID_label principal.resource.attribute.labels Unita
sourceLabel principal.resource.attribute.labels Unita
uuid principal.resource.product_object_id Mappatura diretta
customer_name_label principal.user.attribute.labels Unita
message principal.user.attribute.labels Mappatura: CEF: → customer_name_label
message principal.user.attribute.roles Mappatura: CEF: → principal_role, CEF: → roles
principal_role principal.user.attribute.roles Unita
roles principal.user.attribute.roles Unita
message principal.user.department Mappatura: CEF: → userDepartment
userDepartment principal.user.department Unita
details.identifier.email principal.user.email_addresses Unita
entity.entityValue principal.user.email_addresses Unita
message principal.user.email_addresses Mapped: CEF: → details.identifier.email, CEF: → entity.entityValue, CEF: → `princi…
principalName principal.user.email_addresses Unita
entity_entityValue principal.user.user_display_name Mappatura diretta
loggedUser principal.user.user_display_name Mappatura diretta
suser principal.user.user_display_name Mappatura diretta
account principal.user.userid Mappatura diretta
account_name principal.user.userid Mappatura diretta
detail.suid principal.user.userid Mappatura diretta
details.identifier.id principal.user.userid Mappatura diretta
loggedUser principal.user.userid Mappatura diretta
logonUser.0 principal.user.userid Mappatura diretta
object.CustomValue principal.user.userid Mappatura diretta
process_user principal.user.userid Mappatura diretta
suid principal.user.userid Rinominato/mappato
security_id principal.user.windows_sid Mappatura diretta
message security_result Valori mappati (5 in totale, ad es. CEF: → security_result, CEF: → task_sec_res, CEF: → `…
sec security_result Unita
sec_isEntity security_result Unita
sec_res security_result Unita
task_sec_res security_result Unita
wasEntity.key security_result.about.file.full_path Mappatura diretta
investigationResult security_result.about.investigation.comments Unita
message security_result.about.investigation.comments Mappatura: CEF: → investigationResult
investigationStatus security_result.about.investigation.status Mappatura: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
message security_result.about.investigation.status Valori mappati (5 in totale, ad es. CEF: → NEW, CEF: → CLOSED, CEF: → OPEN)
attr_value security_result.about.process.command_line Mappatura diretta
_action security_result.action Unita
act security_result.action Mappatura: accept → _action, deny → _action
action_data security_result.action Unita
message security_result.action Mapped: CEF: → _action, CEF: → action_data, CEF: → security_result_action
object_field security_result.action Mappatura: actResult → security_result_action
result security_result.action Mappatura: Successful → action_data, Unsuccess → action_data
security_result_action security_result.action Unita
Action_Taken security_result.action_details Mappatura diretta
act security_result.action_details Mappatura diretta
actResult security_result.action_details Mappatura diretta
detail.accessPermission security_result.action_details Mappatura diretta
result security_result.action_details Mappatura diretta
message security_result.attack_details.tactics Mappatura: CEF: → tactics, CEF: → tactic
tactic security_result.attack_details.tactics Unita
tactics security_result.attack_details.tactics Unita
message security_result.attack_details.techniques Mappatura: CEF: → techniques
techniques security_result.attack_details.techniques Unita
act security_result.category Mappatura: Block → event_category
event_category security_result.category Unita
message security_result.category Mappatura: CEF: → event_category
cat security_result.category_details Unita
category security_result.category_details Unita
detail.behaviorCat security_result.category_details Unita
message security_result.category_details Mapped: CEF: → cat, CEF: → category, CEF: → detail.behaviorCat
Scan_Type security_result.description Mappatura diretta
Type security_result.description Mappatura diretta
filters.0.description security_result.description Mappatura diretta
msg_data_2 security_result.description Mappatura diretta
LogonID_label security_result.detection_fields Unita
accessType_label security_result.detection_fields Unita
access_right_label security_result.detection_fields Unita
account_modified_name_label security_result.detection_fields Unita
account_type_label security_result.detection_fields Unita
activity_label security_result.detection_fields Unita
attr_name security_result.detection_fields Mapped: sha256 → sha256_label, startType → startType_label, state → state_label
evt_type_label security_result.detection_fields Unita
filepath_label security_result.detection_fields Unita
highlighted_field_label security_result.detection_fields Unita
highlighted_type_label security_result.detection_fields Unita
indicator_label security_result.detection_fields Unita
infection_channel_label security_result.detection_fields Unita
matched_event_uuid_label security_result.detection_fields Unita
message security_result.detection_fields Valori mappati (30 in totale, ad es. CEF: → operation_label, CEF: → operasjon_label, CEF:…)
mpver_label security_result.detection_fields Unita
objecttype security_result.detection_fields Mappatura: text → text_label
operasjon_label security_result.detection_fields Unita
operation_label security_result.detection_fields Unita
permission_label security_result.detection_fields Unita
policy_id_label security_result.detection_fields Unita
sha256_label security_result.detection_fields Unita
spyware_Grayware_Type_label security_result.detection_fields Unita
startType_label security_result.detection_fields Unita
state_label security_result.detection_fields Unita
subRuleId_label security_result.detection_fields Unita
subRuleName_label security_result.detection_fields Unita
tag_label security_result.detection_fields Unita
text_label security_result.detection_fields Unita
threat_probability_label security_result.detection_fields Unita
tillatelse_label security_result.detection_fields Unita
was_key_label security_result.detection_fields Unita
winEventId_label security_result.detection_fields Unita
createdDateTime security_result.first_discovered_time Rinominato/mappato
firstSeen security_result.first_discovered_time Rinominato/mappato
lastSeen security_result.last_discovered_time Rinominato/mappato
updatedDateTime security_result.last_updated_time Rinominato/mappato
Score security_result.risk_score Rinominato/mappato
score security_result.risk_score Rinominato/mappato
detail.ruleId security_result.rule_id Rinominato/mappato
detail.uuid security_result.rule_id Mappatura diretta
filters.0.unique_id security_result.rule_id Mappatura diretta
ruleUuid security_result.rule_id Rinominato/mappato
detail.ruleName security_result.rule_name Rinominato/mappato
filters.0.id security_result.rule_name Mappatura diretta
mwProfile security_result.rule_name Mappatura diretta
object.CustomValue security_result.rule_name Mappatura diretta
ruleName security_result.rule_name Mappatura diretta
filter.type security_result.rule_type Mappatura diretta
ruleType security_result.rule_type Mappatura diretta
message security_result.severity Valori mappati (5 in totale, ad es. CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH)
severity security_result.severity Valori mappati (6 in totale, ad es. "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", … )
filter.riskLevel security_result.severity_details Mappatura diretta
Result security_result.summary Mappatura diretta
appcategory security_result.summary Mappatura diretta
filters.0.name security_result.summary Mappatura diretta
reason security_result.summary Rinominato/mappato
Spyware security_result.threat_name Mappatura diretta
Unknown_Threat security_result.threat_name Mappatura diretta
Virus_Malware_Name security_result.threat_name Mappatura diretta
object.value security_result.threat_name Mappatura diretta
workbenchLink security_result.url_back_to_product Rinominato/mappato
oldFilePath src.file.full_path Rinominato/mappato
oldFileSize src.file.size Rinominato/mappato
message src.resource.attribute.permissions Mappatura: CEF: → old_permissions
old_permissions src.resource.attribute.permissions Unita
dntdom target.administrative_domain Rinominato/mappato
destinationServiceName target.application Rinominato/mappato
detail.deviceGUID target.asset.asset_id Mappatura diretta
dst target.asset.ip Unita
ip_dst_value target.asset.ip Unita
message target.asset.ip Mappatura: CEF: → dst, CEF: → ip_dst_value
object_field target.asset.ip Mappatura: dst → ip_dst_value
object.CustomValue target.file.full_path Mappatura diretta
object.value target.file.full_path Mappatura diretta
value target.file.full_path Mappatura diretta
object.CustomValue target.file.sha1 Mappatura diretta
object.value target.file.sha1 Mappatura diretta
detail.objectFileSize target.file.size Mappatura diretta
message target.file.size Mappatura: CEF: → uinteger
temp_dhost target.hostname Mappatura diretta
IPv6_Address target.ip Unita
dst target.ip Unita
dst_ip target.ip Unita
ip_dst_value target.ip Unita
ipv6 target.ip Mappatura: - → IPv6_Address
message target.ip Mappatura: CEF: → dst_ip, CEF: → IPv6_Address, CEF: → dst, CEF: → ip_dst_value
object_field target.ip Mappatura: dst → ip_dst_value
mac_address target.mac Unita
message target.mac Mappatura: CEF: → mac_address
destination_translated_address target.nat_ip Unita
message target.nat_ip Mappatura: CEF: → destination_translated_address
destinationTranslatedPort target.nat_port Rinominato/mappato
dpt target.port Rinominato/mappato
dproc target.process.command_line Rinominato/mappato
object.CustomValue target.process.command_line Mappatura diretta
object.value target.process.command_line Mappatura diretta
objectCmd target.process.command_line Mappatura diretta
File_name target.process.file.full_path Mappatura diretta
Infected_Resource target.process.file.full_path Mappatura diretta
Object target.process.file.full_path Mappatura diretta
Objekt target.process.file.full_path Mappatura diretta
fileName target.process.file.full_path Mappatura diretta
object.CustomValue target.process.file.full_path Mappatura diretta
object.value target.process.file.full_path Mappatura diretta
objectFilePath target.process.file.full_path Mappatura diretta
objectFileHashMd5 target.process.file.md5 Mappatura diretta
object.CustomValue target.process.file.sha1 Mappatura diretta
object.value target.process.file.sha1 Mappatura diretta
objectFileHashSha1 target.process.file.sha1 Mappatura diretta
objectFileHashSha256 target.process.file.sha256 Mappatura diretta
object.CustomValue target.process.parent_process.command_line Mappatura diretta
object.CustomValue target.process.parent_process.file.full_path Mappatura diretta
object.CustomValue target.process.parent_process.file.sha1 Mappatura diretta
object.value target.process.parent_process.file.sha1 Mappatura diretta
dpid target.process.pid Rinominato/mappato
objectPid target.process.pid Mappatura diretta
command_line_label target.resource.attribute.labels Unita
dacDeviceType_label target.resource.attribute.labels Unita
endpointGUID_label target.resource.attribute.labels Unita
file_path_label target.resource.attribute.labels Unita
file_sha1_label target.resource.attribute.labels Unita
message target.resource.attribute.labels Valori mappati (6 in totale, ad es. CEF: → resource_Type_label, CEF: → dacDeviceType_label,…
objecttype target.resource.attribute.labels Mappatura: command_line → command_line_label, file_sha1 → file_sha1_label, fullpath →…
resource_Type_label target.resource.attribute.labels Unita
request target.url Mappatura diretta
message target.user.attribute.roles Mappatura: CEF: → target_role
target_role target.user.attribute.roles Unita
CustomerName target.user.user_display_name Mappatura diretta
temp_duser target.user.user_display_name Mappatura diretta
Bruker target.user.userid Mappatura diretta
User_value target.user.userid Mappatura diretta
temp_duid target.user.userid Mappatura diretta
N/D extensions.auth.type Costante: AUTHTYPE_UNSPECIFIED
N/D metadata.event_type Costante: SCAN_UNCATEGORIZED
N/D metadata.product_name Costante: Vision One
N/D metadata.vendor_name Costante: Trend Micro
N/D network.direction Costante: INBOUND
N/D principal.platform Costante: WINDOWS
N/D security_result.about.investigation.status Costante: NEW
N/D security_result.severity Costante: LOW

Log delle modifiche

Visualizza il log delle modifiche per questo parser

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.