Trend Micro Vision One のログを収集する

以下でサポートされています。

このドキュメントでは、Google Security Operations フィードを設定して Trend Micro Vision One のログを収集する方法について説明します。パーサーは、アラート、イベントデータ、コンテナの脆弱性、アクティビティ データ、監査ログを Trend Micro が管理する AWS S3 バケットに push します。Google SecOps は、データフィードを使用して約 15 分ごとにこのデータを取得します。S3 バケット内の未取得データは、パージされるまで 7 日間保持されます。

Google SecOps で複数のフィードを作成し、フィードを使用して取得したデータを個別に構成できます。

始める前に

  • Google SecOps インスタンスがあることを確認します。
  • Trend Micro Vision One への特権アクセス権があることを確認します。

Trend Vision One のデータ エクスポートを Google SecOps に構成する

  1. Trend Vision One コンソールで、アクセスキーを生成し、Google SecOps に送信するデータを指定します。
  2. [Workflow and Automation] > [Third-Party Integration] に移動します。
  3. [統合] 列で、[Google Security Operations] をクリックします。
  4. [アクセスキー] で、[キーを生成] をクリックして、アクセスキー ID とシークレット アクセスキーを生成します。後で使用するために、アクセスキー ID とシークレット アクセスキーを保存します。
  5. [データ転送] で、S3 バケットに送信するデータの横にある切り替えボタンをオンにします。データ転送が有効になるたびに、S3 URI が生成され、データが対応する S3 バケットに送信され始めます。後で使用するために、S3 URI をコピーして保存します。
  6. [イベント] と [アクティビティ データ] で、[編集] をクリックしてデータの範囲を変更します。
  7. 特定の種類のデータの Google SecOps への送信を停止するには、そのデータの横にある切り替えボタンをオフにします。データ転送を再度有効にすると、新しい S3 URI が生成されます。Google SecOps で新しいフィードを構成する必要があります。

Trend Micro Vision One のログを取り込むように Google SecOps でフィードを構成する

  1. [SIEM Settings] > [Feeds] に移動します。
  2. [新しく追加] をクリックします。
  3. [フィード名] フィールドに、フィードの名前（例: Trend Micro Vision One Workbench Logs）を入力します。
  4. [ソースタイプ] として [Amazon S3 V2] を選択します。
  5. Google SecOps に取り込む Trend Vision One データを [ログタイプ] として選択します。使用できるオプションは次のとおりです。
    • Trend Micro Vision One
    • Trend Micro Vision One アクティビティ
    • Trend Micro Vision One の監査
    • Trend Micro Vision One コンテナの脆弱性
    • Trend Micro Vision One の検出
    • Trend Micro Vision One で検出された攻撃手法
    • Trend Micro Vision One Workbench
  6. [次へ] をクリックします。
  7. 次の入力パラメータの値を指定します。
    • S3 URI: 前のセクションで取得した S3 URI を入力します。
    • ソース削除オプション: [ファイルを削除しない] を選択します。
    • ファイルの最大経過日数: 指定した日数以内に変更されたファイルを含めます。デフォルトは 180 日です。
    • アクセスキー ID: 前のセクションで取得したユーザー アクセスキーを入力します。
    • シークレット アクセスキー: 前のセクションで取得した S3 バケットにアクセスできるユーザーのシークレット キーを入力します。
    • Asset namespace: アセットの名前空間。
    • Ingestion labels: このフィードのイベントに適用されるラベル。
  8. [次へ] をクリックします。
  9. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

このプロセスを繰り返して、Google SecOps に取り込むすべての Trend Vision One データ型の複数のフィードを追加します。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
message about マッピング: CEF: → about
deviceNtDomain about.administrative_domain 名前変更済み/マッピング済み
sslCertCommonName about.artifact.last_https_certificate.issuer.common_name 直接マッピングされます。
sslCertSerialNumber about.artifact.last_https_certificate.serial_number 直接マッピングされます。
sslCertFingerprint about.artifact.last_https_certificate.thumbprint 直接マッピングされます。
sslCertValidUntil about.artifact.last_https_certificate.validity.expiry_time 直接マッピングされます。
sslCertValidFrom about.artifact.last_https_certificate.validity.issue_time 統合済み
deviceExternalId about.asset.asset_id 直接マッピングされます。
device_product about.asset.asset_id 直接マッピングされます。
device_vendor about.asset.asset_id 直接マッピングされます。
fileHash about.file.full_path 直接マッピングされます。
filePath about.file.full_path 名前変更済み/マッピング済み
_hash about.file.sha256 名前変更済み/マッピング済み
fileHash about.file.sha256 名前変更済み/マッピング済み
fileSize about.file.size 名前変更済み/マッピング済み
fsize about.file.size 名前変更済み/マッピング済み
dvchost about.hostname 名前変更済み/マッピング済み
ips about.ip 統合済み
message about.ip マッピング: CEF: → ips
dvc_mac about.mac マッピング: slot → mac_address
dvcmac about.mac 統合済み
mac_address about.mac 統合済み
message about.mac マッピング: CEF: → mac_address、CEF: → dvcmac
deviceTranslatedAddress about.nat_ip 統合済み
message about.nat_ip マッピング: CEF: → deviceTranslatedAddress
Emne about.process.command_line 直接マッピングされます。
Path about.process.command_line 直接マッピングされます。
Subject about.process.command_line 直接マッピングされます。
deviceProcessName about.process.command_line 名前変更済み/マッピング済み
dvcpid about.process.pid 名前変更済み/マッピング済み
message about.resource.attribute.permissions マッピング: CEF: → permissions
permissions about.resource.attribute.permissions 統合済み
_field additional.fields 統合済み
accountCount_label additional.fields 統合済み
additional_cfp1 additional.fields 統合済み
additional_cfp2 additional.fields 統合済み
additional_cfp3 additional.fields 統合済み
additional_cfp4 additional.fields 統合済み
additional_cn1 additional.fields 統合済み
additional_cn2 additional.fields 統合済み
additional_cn3 additional.fields 統合済み
additional_cs1 additional.fields 統合済み
additional_cs2 additional.fields 統合済み
additional_cs3 additional.fields 統合済み
additional_cs4 additional.fields 統合済み
additional_cs5 additional.fields 統合済み
additional_cs6 additional.fields 統合済み
additional_cs7 additional.fields 統合済み
additional_devicePayloadId additional.fields 統合済み
additional_eventId additional.fields 統合済み
additional_eventSourceType additional.fields 統合済み
additional_eventSubId additional.fields 統合済み
additional_flexString1 additional.fields 統合済み
additional_fname additional.fields 統合済み
additional_integrityLevel additional.fields 統合済み
additional_objectFileHashId additional.fields 統合済み
additional_objectFirstSeen additional.fields 統合済み
additional_objectHashId additional.fields 統合済み
additional_objectLastSeen additional.fields 統合済み
additional_objectLaunchTime additional.fields 統合済み
additional_objectName additional.fields 統合済み
additional_objectRunAsLocalAccount additional.fields 統合済み
additional_objectSigner additional.fields 統合済み
additional_objectSignerValid additional.fields 統合済み
additional_objectUser additional.fields 統合済み
additional_objectUserDomain additional.fields 統合済み
additional_osType additional.fields 統合済み
additional_parentName additional.fields 統合済み
additional_parentSigner additional.fields 統合済み
additional_parentSignerValid additional.fields 統合済み
additional_parentUser additional.fields 統合済み
additional_parentUserDomain additional.fields 統合済み
additional_plang additional.fields 統合済み
additional_pplat additional.fields 統合済み
additional_processHashId additional.fields 統合済み
additional_processLaunchTime additional.fields 統合済み
additional_processTrueType additional.fields 統合済み
additional_processUser additional.fields 統合済み
additional_processUserDomain additional.fields 統合済み
additional_productCode additional.fields 統合済み
additional_searchDL additional.fields 統合済み
additional_srcFirstSeen additional.fields 統合済み
additional_srcHashId additional.fields 統合済み
additional_srcLastSeen additional.fields 統合済み
additional_uuid additional.fields 統合済み
alertProvider_label additional.fields 統合済み
caseId_label additional.fields 統合済み
clientIp_label additional.fields 統合済み
cloudIdentityCount_label additional.fields 統合済み
containerCount_label additional.fields 統合済み
cs2 additional.fields マッピング: arc_test → additional_cs2
cs5_label additional.fields 統合済み
desktopCount_label additional.fields 統合済み
detail_channel_label additional.fields 統合済み
detail_engineOperation_label additional.fields 統合済み
detail_objectLaunchTime_label additional.fields 統合済み
detectionTime_label additional.fields 統合済み
emailAddressCount_label additional.fields 統合済み
endpoint_ip_label additional.fields 統合済み
endpoint_object_guid_label additional.fields 統合済み
engVer_label additional.fields 統合済み
entity_entityValue_label additional.fields 統合済み
entity_guid_value_label additional.fields 統合済み
entity_managementScopeGroupId_label additional.fields 統合済み
entity_managementScopeInstanceId_label additional.fields 統合済み
entity_managementScopePartitionKey_label additional.fields 統合済み
entity_type_label additional.fields 統合済み
eventSourceType_label additional.fields 統合済み
eventSubName_label additional.fields 統合済み
filePathName_label additional.fields 統合済み
incidentId_label additional.fields 統合済み
ingestionTime_label additional.fields 統合済み
instance_id_label additional.fields 統合済み
key additional.fields マッピング: "device_Facility", "ApexCentral_Host" → _field
level_label additional.fields 統合済み
logKey_label additional.fields 統合済み
logReceivedTime_label additional.fields 統合済み
matchedDateTime_label additional.fields 統合済み
matched_filter_id_label additional.fields 統合済み
message additional.fields マッピングされた値（合計 109 個、例: CEF: → _field、CEF: → additional_eventId、CEF: → `a...
modelId_label additional.fields 統合済み
modelType_label additional.fields 統合済み
model_label additional.fields 統合済み
object_guid_label additional.fields 統合済み
objects_label additional.fields 統合済み
pname_additional_label additional.fields 統合済み
process_cmd_label additional.fields 統合済み
process_file_hash_sha1_label additional.fields 統合済み
process_file_hash_sha256_label additional.fields 統合済み
process_file_path_label additional.fields 統合済み
process_file_size_label additional.fields 統合済み
process_hash_id_label additional.fields 統合済み
process_launch_time_label additional.fields 統合済み
process_pid_label additional.fields 統合済み
process_user_label additional.fields 統合済み
provenance_data additional.fields 統合済み
reportLink_label additional.fields 統合済み
rtHour_label additional.fields 統合済み
rtWeekDay_label additional.fields 統合済み
schema_version_label additional.fields 統合済み
senderGUID_label additional.fields 統合済み
serverCount_label additional.fields 統合済み
serverIp_label additional.fields 統合済み
status_label additional.fields 統合済み
has_user extensions.auth.type マッピング: true → AUTHTYPE_UNSPECIFIED
message extensions.auth.type マッピング: CEF: → AUTHTYPE_UNSPECIFIED
message intermediary マッピング: CEF: → intermediary
inter_host intermediary.hostname 直接マッピングされます。
Model metadata.description 直接マッピングされます。
description metadata.description 直接マッピングされます。
eventSubName metadata.description 直接マッピングされます。
msg metadata.description 名前変更済み/マッピング済み
Generated metadata.event_timestamp yyyy-MM-ddTHH:mm:ss として解析済み
Received metadata.event_timestamp yyyy-MM-ddTHH:mm:ss として解析済み
createdDateTime metadata.event_timestamp ISO8601 として解析済み
detail.eventTime metadata.event_timestamp UNIX_MS として解析済み
detectedDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ として解析済み
detectionTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ として解析済み
firstSeen metadata.event_timestamp UNIX_MS として解析済み
ingestedDateTime metadata.event_timestamp ISO8601 として解析済み
lastSeen metadata.event_timestamp UNIX_MS として解析済み
loggedDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ として解析済み
processFileModifiedTime metadata.event_timestamp UNIX_MS として解析済み
rt metadata.event_timestamp UNIX_MS として解析済み
sslCertValidFrom metadata.event_timestamp ISO8601 として解析済み
sslCertValidUntil metadata.event_timestamp ISO8601 として解析済み
unix_logReceivedTime metadata.event_timestamp UNIX_MS として解析済み
updatedDateTime metadata.event_timestamp ISO8601 として解析済み
utc metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSSZ として解析済み
event_name metadata.event_type マッピング: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_user metadata.event_type マッピング: true → USER_LOGIN、true → USER_UNCATEGORIZED
message metadata.event_type マッピングされた値（合計 8 個、例: CEF: → SCAN_UNCATEGORIZED、CEF: → STATUS_UPDATE、CEF:...
principal_present metadata.event_type マッピング: true → PROCESS_UNCATEGORIZED、true → NETWORK_CONNECTION、true → `PROCESS_L...
activity metadata.product_event_type 直接マッピングされます。
device_event_class_id metadata.product_event_type 直接マッピングされます。
event_name metadata.product_event_type 直接マッピングされます。
type metadata.product_event_type 直接マッピングされます。
WorkbenchID metadata.product_log_id 直接マッピングされます。
detail.uuid metadata.product_log_id 直接マッピングされます。
e_ID metadata.product_log_id 直接マッピングされます。
externalId metadata.product_log_id 直接マッピングされます。
id metadata.product_log_id 直接マッピングされます。
detail.mpname metadata.product_name 直接マッピングされます。
device_product metadata.product_name 直接マッピングされます。
message metadata.product_name マッピング: CEF: → Vision One
detail.mpver metadata.product_version 直接マッピングされます。
device_version metadata.product_version 直接マッピングされます。
device_vendor metadata.vendor_name 名前変更済み/マッピング済み
message metadata.vendor_name マッピング: CEF: → Trend Micro
app_protocol_output network.application_protocol 直接マッピングされます。
deviceDirection network.direction マッピング: 0 → INBOUND、1 → OUTBOUND
message network.direction マッピング: CEF: → INBOUND、CEF: → OUTBOUND
object.CustomValue network.email.from 直接マッピングされます。
message network.email.subject マッピング: CEF: → title
title network.email.subject 統合済み
message network.email.to マッピング: CEF: → object.CustomValue
object.CustomValue network.email.to 統合済み
objecttype network.email.to マッピング: email_forward → object.CustomValue
requestMethod network.http.method 名前変更済み/マッピング済み
Link network.http.referral_url 直接マッピングされます。
requestClientApplication network.http.user_agent 名前変更済み/マッピング済み
userAgent network.http.user_agent 直接マッピングされます。
ip_protocol_out network.ip_protocol 直接マッピングされます。
in network.received_bytes 名前変更済み/マッピング済み
out network.sent_bytes 名前変更済み/マッピング済み
sessionId network.session_id 直接マッピングされます。
tlsSelectedCipher network.tls.cipher 直接マッピングされます。
ja3Hash network.tls.client.ja3 直接マッピングされます。
ja3sHash network.tls.server.ja3s 直接マッピングされます。
detail.mDeviceGUID observer.asset.asset_id 直接マッピングされます。
detail.dvchost observer.hostname 直接マッピングされます。
ip observer.ip 統合済み
message observer.ip マッピング: CEF: → ip
account_domain principal.administrative_domain 直接マッピングされます。
sntdom principal.administrative_domain 名前変更済み/マッピング済み
userDomain principal.administrative_domain 直接マッピングされます。
userDomain.0 principal.administrative_domain 直接マッピングされます。
application principal.application 名前変更済み/マッピング済み
sourceServiceName principal.application 名前変更済み/マッピング済み
detail.endpointGuid principal.asset.asset_id 直接マッピングされます。
endpoint.agentGuid principal.asset.asset_id 直接マッピングされます。
mDeviceGUID principal.asset.asset_id 直接マッピングされます。
entityName_label principal.asset.attribute.labels 統合済み
message principal.asset.attribute.labels マッピング: CEF: → entityName_label
endpoint.name principal.asset.hostname 直接マッピングされます。
endpointHostName principal.asset.hostname 直接マッピングされます。
object_hostname principal.asset.hostname 直接マッピングされます。
shost principal.asset.hostname 直接マッピングされます。
Appliance_IP_address principal.asset.ip 統合済み
IP_address principal.asset.ip 統合済み
ip principal.asset.ip 統合済み
ip_src_value principal.asset.ip 統合済み
message principal.asset.ip マッピングされた値（合計 7 個、例: CEF: → IP_address、CEF: → Appliance_IP_address、CEF: ...
object_field principal.asset.ip マッピング: src → ip_src_value
shost principal.asset.ip 統合済み
src principal.asset.ip 統合済み
src_ip principal.asset.ip 統合済み
endpointGuid principal.asset_id 直接マッピングされます。
object_guid principal.asset_id 直接マッピングされます。
detail.fullPath principal.file.full_path 直接マッピングされます。
requestMimeType principal.file.mime_type 直接マッピングされます。
indicator.value principal.file.sha1 直接マッピングされます。
Group_name principal.group.group_display_name 直接マッピングされます。
Gruppenavn principal.group.group_display_name 直接マッピングされます。
clientGroup principal.group.group_display_name 直接マッピングされます。
detail.groupId principal.group.product_object_id 直接マッピングされます。
Device_name principal.hostname 直接マッピングされます。
Enhetsnavn principal.hostname 直接マッピングされます。
endpoint.name principal.hostname 直接マッピングされます。
endpointHostName principal.hostname 直接マッピングされます。
object_hostname principal.hostname 直接マッピングされます。
shost principal.hostname 直接マッピングされます。
Appliance_IP_address principal.ip 統合済み
IP_address principal.ip 統合済み
ip principal.ip 統合済み
ip_src_value principal.ip 統合済み
message principal.ip マッピングされた値（合計 8 個、例: CEF: → IP_address、CEF: → Appliance_IP_address、CEF: ...
object_field principal.ip マッピング: src → ip_src_value
principal_ip principal.ip 統合済み
shost principal.ip 統合済み
src principal.ip 統合済み
src_ip principal.ip 統合済み
mac principal.mac 統合済み
message principal.mac マッピング: CEF: → mac
message principal.nat_ip マッピング: CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip 統合済み
sourceTranslatedPort principal.nat_port 名前変更済み/マッピング済み
message principal.platform マッピング: CEF: → WINDOWS、CEF: → MAC、CEF: → LINUX
osName principal.platform マッピング: (?i)windows → WINDOWS、(?i)Mac/iOS → MAC、(?)Lin → LINUX
osVer principal.platform_version 直接マッピングされます。
platform_version principal.platform_version 直接マッピングされます。
spt principal.port 名前変更済み/マッピング済み
object.value principal.process.command_line 直接マッピングされます。
processCmd principal.process.command_line 直接マッピングされます。
process_cmd principal.process.command_line 直接マッピングされます。
sproc principal.process.command_line 名前変更済み/マッピング済み
detail.processName principal.process.file.full_path 直接マッピングされます。
object.value principal.process.file.full_path 直接マッピングされます。
processFilePath principal.process.file.full_path 直接マッピングされます。
process_file_path principal.process.file.full_path 直接マッピングされます。
processFileModifiedTime principal.process.file.last_modification_time 名前変更済み/マッピング済み
detail.processFileHashMd5 principal.process.file.md5 直接マッピングされます。
processFileHashMd5 principal.process.file.md5 直接マッピングされます。
fileHash principal.process.file.sha1 直接マッピングされます。
object.value principal.process.file.sha1 直接マッピングされます。
processFileHashSha1 principal.process.file.sha1 直接マッピングされます。
process_file_hash_sha1 principal.process.file.sha1 直接マッピングされます。
fileHashSha256 principal.process.file.sha256 直接マッピングされます。
processFileHashSha256 principal.process.file.sha256 直接マッピングされます。
process_file_hash_sha256 principal.process.file.sha256 直接マッピングされます。
processFileSize principal.process.file.size 名前変更済み/マッピング済み
parentFilePath principal.process.parent_process.file.full_path 直接マッピングされます。
parentFileHashMd5 principal.process.parent_process.file.md5 直接マッピングされます。
parentFileHashSha1 principal.process.parent_process.file.sha1 直接マッピングされます。
parentFileHashSha256 principal.process.parent_process.file.sha256 直接マッピングされます。
parentPid principal.process.parent_process.pid 直接マッピングされます。
processPid principal.process.pid 直接マッピングされます。
process_pid principal.process.pid 直接マッピングされます。
spid principal.process.pid 名前変更済み/マッピング済み
message principal.resource.attribute.labels マッピング: CEF: → sourceLabel、CEF: → pname_label、CEF: → senderGUID_label
pname_label principal.resource.attribute.labels 統合済み
senderGUID_label principal.resource.attribute.labels 統合済み
sourceLabel principal.resource.attribute.labels 統合済み
uuid principal.resource.product_object_id 直接マッピングされます。
customer_name_label principal.user.attribute.labels 統合済み
message principal.user.attribute.labels マッピング: CEF: → customer_name_label
message principal.user.attribute.roles マッピング: CEF: → principal_role、CEF: → roles
principal_role principal.user.attribute.roles 統合済み
roles principal.user.attribute.roles 統合済み
message principal.user.department マッピング: CEF: → userDepartment
userDepartment principal.user.department 統合済み
details.identifier.email principal.user.email_addresses 統合済み
entity.entityValue principal.user.email_addresses 統合済み
message principal.user.email_addresses マッピング: CEF: → details.identifier.email、CEF: → entity.entityValue、CEF: → `princi...
principalName principal.user.email_addresses 統合済み
entity_entityValue principal.user.user_display_name 直接マッピングされます。
loggedUser principal.user.user_display_name 直接マッピングされます。
suser principal.user.user_display_name 直接マッピングされます。
account principal.user.userid 直接マッピングされます。
account_name principal.user.userid 直接マッピングされます。
detail.suid principal.user.userid 直接マッピングされます。
details.identifier.id principal.user.userid 直接マッピングされます。
loggedUser principal.user.userid 直接マッピングされます。
logonUser.0 principal.user.userid 直接マッピングされます。
object.CustomValue principal.user.userid 直接マッピングされます。
process_user principal.user.userid 直接マッピングされます。
suid principal.user.userid 名前変更済み/マッピング済み
security_id principal.user.windows_sid 直接マッピングされます。
message security_result マッピングされた値（合計 5 個。例: CEF: → security_result、CEF: → task_sec_res、CEF: → `...
sec security_result 統合済み
sec_isEntity security_result 統合済み
sec_res security_result 統合済み
task_sec_res security_result 統合済み
wasEntity.key security_result.about.file.full_path 直接マッピングされます。
investigationResult security_result.about.investigation.comments 統合済み
message security_result.about.investigation.comments マッピング: CEF: → investigationResult
investigationStatus security_result.about.investigation.status マッピング: New → NEW、Closed → CLOSED、Open → OPEN、Reviewed → REVIEWED
message security_result.about.investigation.status マッピングされた値（合計 5 個、例: CEF: → NEW、CEF: → CLOSED、CEF: → OPEN）
attr_value security_result.about.process.command_line 直接マッピングされます。
_action security_result.action 統合済み
act security_result.action マッピング: accept → _action、deny → _action
action_data security_result.action 統合済み
message security_result.action マッピング: CEF: → _action、CEF: → action_data、CEF: → security_result_action
object_field security_result.action マッピング: actResult → security_result_action
result security_result.action マッピング: Successful → action_data、Unsuccess → action_data
security_result_action security_result.action 統合済み
Action_Taken security_result.action_details 直接マッピングされます。
act security_result.action_details 直接マッピングされます。
actResult security_result.action_details 直接マッピングされます。
detail.accessPermission security_result.action_details 直接マッピングされます。
result security_result.action_details 直接マッピングされます。
message security_result.attack_details.tactics マッピング: CEF: → tactics、CEF: → tactic
tactic security_result.attack_details.tactics 統合済み
tactics security_result.attack_details.tactics 統合済み
message security_result.attack_details.techniques マッピング: CEF: → techniques
techniques security_result.attack_details.techniques 統合済み
act security_result.category マッピング: Block → event_category
event_category security_result.category 統合済み
message security_result.category マッピング: CEF: → event_category
cat security_result.category_details 統合済み
category security_result.category_details 統合済み
detail.behaviorCat security_result.category_details 統合済み
message security_result.category_details マッピング: CEF: → cat、CEF: → category、CEF: → detail.behaviorCat
Scan_Type security_result.description 直接マッピングされます。
Type security_result.description 直接マッピングされます。
filters.0.description security_result.description 直接マッピングされます。
msg_data_2 security_result.description 直接マッピングされます。
LogonID_label security_result.detection_fields 統合済み
accessType_label security_result.detection_fields 統合済み
access_right_label security_result.detection_fields 統合済み
account_modified_name_label security_result.detection_fields 統合済み
account_type_label security_result.detection_fields 統合済み
activity_label security_result.detection_fields 統合済み
attr_name security_result.detection_fields マッピング: sha256 → sha256_label、startType → startType_label、state → state_label
evt_type_label security_result.detection_fields 統合済み
filepath_label security_result.detection_fields 統合済み
highlighted_field_label security_result.detection_fields 統合済み
highlighted_type_label security_result.detection_fields 統合済み
indicator_label security_result.detection_fields 統合済み
infection_channel_label security_result.detection_fields 統合済み
matched_event_uuid_label security_result.detection_fields 統合済み
message security_result.detection_fields マッピングされた値（合計 30 個、例: CEF: → operation_label、CEF: → operasjon_label、CEF:...）
mpver_label security_result.detection_fields 統合済み
objecttype security_result.detection_fields マッピング: text → text_label
operasjon_label security_result.detection_fields 統合済み
operation_label security_result.detection_fields 統合済み
permission_label security_result.detection_fields 統合済み
policy_id_label security_result.detection_fields 統合済み
sha256_label security_result.detection_fields 統合済み
spyware_Grayware_Type_label security_result.detection_fields 統合済み
startType_label security_result.detection_fields 統合済み
state_label security_result.detection_fields 統合済み
subRuleId_label security_result.detection_fields 統合済み
subRuleName_label security_result.detection_fields 統合済み
tag_label security_result.detection_fields 統合済み
text_label security_result.detection_fields 統合済み
threat_probability_label security_result.detection_fields 統合済み
tillatelse_label security_result.detection_fields 統合済み
was_key_label security_result.detection_fields 統合済み
winEventId_label security_result.detection_fields 統合済み
createdDateTime security_result.first_discovered_time 名前変更済み/マッピング済み
firstSeen security_result.first_discovered_time 名前変更済み/マッピング済み
lastSeen security_result.last_discovered_time 名前変更済み/マッピング済み
updatedDateTime security_result.last_updated_time 名前変更済み/マッピング済み
Score security_result.risk_score 名前変更済み/マッピング済み
score security_result.risk_score 名前変更済み/マッピング済み
detail.ruleId security_result.rule_id 名前変更済み/マッピング済み
detail.uuid security_result.rule_id 直接マッピングされます。
filters.0.unique_id security_result.rule_id 直接マッピングされます。
ruleUuid security_result.rule_id 名前変更済み/マッピング済み
detail.ruleName security_result.rule_name 名前変更済み/マッピング済み
filters.0.id security_result.rule_name 直接マッピングされます。
mwProfile security_result.rule_name 直接マッピングされます。
object.CustomValue security_result.rule_name 直接マッピングされます。
ruleName security_result.rule_name 直接マッピングされます。
filter.type security_result.rule_type 直接マッピングされます。
ruleType security_result.rule_type 直接マッピングされます。
message security_result.severity マッピングされた値（合計 5 個、例: CEF: → LOW、CEF: → MEDIUM、CEF: → HIGH）
severity security_result.severity マッピングされた値（合計 6 個、例: "0", "1", "2", "3", "LOW" → LOW、`"4", "5", "6", "MEDIUM", ... ）
filter.riskLevel security_result.severity_details 直接マッピングされます。
Result security_result.summary 直接マッピングされます。
appcategory security_result.summary 直接マッピングされます。
filters.0.name security_result.summary 直接マッピングされます。
reason security_result.summary 名前変更済み/マッピング済み
Spyware security_result.threat_name 直接マッピングされます。
Unknown_Threat security_result.threat_name 直接マッピングされます。
Virus_Malware_Name security_result.threat_name 直接マッピングされます。
object.value security_result.threat_name 直接マッピングされます。
workbenchLink security_result.url_back_to_product 名前変更済み/マッピング済み
oldFilePath src.file.full_path 名前変更済み/マッピング済み
oldFileSize src.file.size 名前変更済み/マッピング済み
message src.resource.attribute.permissions マッピング: CEF: → old_permissions
old_permissions src.resource.attribute.permissions 統合済み
dntdom target.administrative_domain 名前変更済み/マッピング済み
destinationServiceName target.application 名前変更済み/マッピング済み
detail.deviceGUID target.asset.asset_id 直接マッピングされます。
dst target.asset.ip 統合済み
ip_dst_value target.asset.ip 統合済み
message target.asset.ip マッピング: CEF: → dst、CEF: → ip_dst_value
object_field target.asset.ip マッピング: dst → ip_dst_value
object.CustomValue target.file.full_path 直接マッピングされます。
object.value target.file.full_path 直接マッピングされます。
value target.file.full_path 直接マッピングされます。
object.CustomValue target.file.sha1 直接マッピングされます。
object.value target.file.sha1 直接マッピングされます。
detail.objectFileSize target.file.size 直接マッピングされます。
message target.file.size マッピング: CEF: → uinteger
temp_dhost target.hostname 直接マッピングされます。
IPv6_Address target.ip 統合済み
dst target.ip 統合済み
dst_ip target.ip 統合済み
ip_dst_value target.ip 統合済み
ipv6 target.ip マッピング: - → IPv6_Address
message target.ip マッピング: CEF: → dst_ip、CEF: → IPv6_Address、CEF: → dst、CEF: → ip_dst_value
object_field target.ip マッピング: dst → ip_dst_value
mac_address target.mac 統合済み
message target.mac マッピング: CEF: → mac_address
destination_translated_address target.nat_ip 統合済み
message target.nat_ip マッピング: CEF: → destination_translated_address
destinationTranslatedPort target.nat_port 名前変更済み/マッピング済み
dpt target.port 名前変更済み/マッピング済み
dproc target.process.command_line 名前変更済み/マッピング済み
object.CustomValue target.process.command_line 直接マッピングされます。
object.value target.process.command_line 直接マッピングされます。
objectCmd target.process.command_line 直接マッピングされます。
File_name target.process.file.full_path 直接マッピングされます。
Infected_Resource target.process.file.full_path 直接マッピングされます。
Object target.process.file.full_path 直接マッピングされます。
Objekt target.process.file.full_path 直接マッピングされます。
fileName target.process.file.full_path 直接マッピングされます。
object.CustomValue target.process.file.full_path 直接マッピングされます。
object.value target.process.file.full_path 直接マッピングされます。
objectFilePath target.process.file.full_path 直接マッピングされます。
objectFileHashMd5 target.process.file.md5 直接マッピングされます。
object.CustomValue target.process.file.sha1 直接マッピングされます。
object.value target.process.file.sha1 直接マッピングされます。
objectFileHashSha1 target.process.file.sha1 直接マッピングされます。
objectFileHashSha256 target.process.file.sha256 直接マッピングされます。
object.CustomValue target.process.parent_process.command_line 直接マッピングされます。
object.CustomValue target.process.parent_process.file.full_path 直接マッピングされます。
object.CustomValue target.process.parent_process.file.sha1 直接マッピングされます。
object.value target.process.parent_process.file.sha1 直接マッピングされます。
dpid target.process.pid 名前変更済み/マッピング済み
objectPid target.process.pid 直接マッピングされます。
command_line_label target.resource.attribute.labels 統合済み
dacDeviceType_label target.resource.attribute.labels 統合済み
endpointGUID_label target.resource.attribute.labels 統合済み
file_path_label target.resource.attribute.labels 統合済み
file_sha1_label target.resource.attribute.labels 統合済み
message target.resource.attribute.labels マッピングされた値（合計 6 個、例: CEF: → resource_Type_label、CEF: → dacDeviceType_label、...
objecttype target.resource.attribute.labels マッピング: command_line → command_line_label、file_sha1 → file_sha1_label、fullpath →...
resource_Type_label target.resource.attribute.labels 統合済み
request target.url 直接マッピングされます。
message target.user.attribute.roles マッピング: CEF: → target_role
target_role target.user.attribute.roles 統合済み
CustomerName target.user.user_display_name 直接マッピングされます。
temp_duser target.user.user_display_name 直接マッピングされます。
Bruker target.user.userid 直接マッピングされます。
User_value target.user.userid 直接マッピングされます。
temp_duid target.user.userid 直接マッピングされます。
なし extensions.auth.type 定数: AUTHTYPE_UNSPECIFIED
なし metadata.event_type 定数: SCAN_UNCATEGORIZED
なし metadata.product_name 定数: Vision One
なし metadata.vendor_name 定数: Trend Micro
なし network.direction 定数: INBOUND
なし principal.platform 定数: WINDOWS
なし security_result.about.investigation.status 定数: NEW
なし security_result.severity 定数: LOW

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。