Trend Micro Vision One 로그 수집

다음에서 지원:

이 문서에서는 Google Security Operations 피드를 설정하여 Trend Micro Vision One 로그를 수집하는 방법을 설명합니다. 파서는 Trend Micro에서 관리하는 AWS S3 버킷에 알림, 이벤트 데이터, 컨테이너 취약점, 활동 데이터, 감사 로그를 푸시합니다. Google SecOps는 데이터 피드를 사용하여 약 15분마다 이 데이터를 가져옵니다. S3 버킷에서 가져오지 않은 데이터는 삭제되기 전 7일 동안 보관됩니다.

Google SecOps에서 피드를 여러 개 만들고 피드를 사용하여 획득한 데이터를 개별적으로 구성할 수 있습니다.

시작하기 전에

  • Google SecOps 인스턴스가 있는지 확인합니다.
  • Trend Micro Vision One에 대한 권한 액세스 권한이 있는지 확인합니다.

Google SecOps로 Trend Vision One 데이터 내보내기 구성

  1. Trend Vision One 콘솔에서 액세스 키를 생성하고 Google SecOps로 전송할 데이터를 지정합니다.
  2. 워크플로 및 자동화 > 서드 파티 통합으로 이동합니다.
  3. 통합 열에서 Google Security Operations를 클릭합니다.
  4. 액세스 키에서 키 생성을 클릭하여 액세스 키 ID와 보안 비밀 액세스 키를 생성합니다. 나중에 사용할 수 있도록 액세스 키 ID와 보안 비밀 액세스 키를 저장합니다.
  5. 데이터 전송에서 S3 버킷으로 전송할 데이터 옆의 전환 버튼을 사용 설정합니다. 데이터 전송이 사용 설정될 때마다 S3 URI가 생성되고 데이터가 해당 S3 버킷으로 전송되기 시작합니다. 나중에 사용할 수 있도록 S3 URI를 복사하여 저장합니다.
  6. 이벤트 및 활동 데이터의 경우 수정을 클릭하여 데이터 범위를 수정합니다.
  7. Google SecOps로 데이터 유형 전송을 중지하려면 데이터 옆에 있는 전환 버튼을 사용 중지합니다. 데이터 전송을 다시 사용 설정하면 새 S3 URI가 생성됩니다. Google SecOps에서 새 피드를 구성해야 합니다.

Trend Micro Vision One 로그를 수집하도록 Google SecOps에서 피드 구성

  1. SIEM 설정 > 피드로 이동합니다.
  2. 새로 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다(예: Trend Micro Vision One Workbench Logs).
  4. 소스 유형으로 Amazon S3 V2를 선택합니다.
  5. Google SecOps에서 수집할 Trend Vision One 데이터를 로그 유형으로 선택합니다. 사용 가능한 옵션은 다음과 같습니다.
    • Trend Micro Vision One
    • Trend Micro Vision One 활동
    • Trend Micro Vision One 감사
    • Trend Micro Vision One 컨테이너 취약점
    • Trend Micro Vision One 감지
    • Trend Micro Vision One 관찰된 공격 기법
    • Trend Micro Vision One Workbench
  6. 다음을 클릭합니다.
  7. 다음 입력 파라미터의 값을 지정합니다.
    • S3 URI: 이전 섹션에서 가져온 S3 URI를 입력합니다.
    • 소스 삭제 옵션: 파일 삭제 안함을 선택합니다.
    • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
    • 액세스 키 ID: 이전 섹션에서 얻은 사용자 액세스 키를 입력합니다.
    • 보안 비밀 액세스 키: 이전 섹션에서 획득한 S3 버킷에 액세스할 수 있는 사용자 보안 비밀 키를 입력합니다.
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용할 라벨입니다.
  8. 다음을 클릭합니다.
  9. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

이 프로세스를 반복하여 Google SecOps에 수집하려는 모든 Trend Vision One 데이터 유형에 대해 여러 피드를 추가합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
message about 매핑됨: CEF: → about
deviceNtDomain about.administrative_domain 이름이 변경됨/매핑됨
sslCertCommonName about.artifact.last_https_certificate.issuer.common_name 직접 매핑됨
sslCertSerialNumber about.artifact.last_https_certificate.serial_number 직접 매핑됨
sslCertFingerprint about.artifact.last_https_certificate.thumbprint 직접 매핑됨
sslCertValidUntil about.artifact.last_https_certificate.validity.expiry_time 직접 매핑됨
sslCertValidFrom about.artifact.last_https_certificate.validity.issue_time 병합됨
deviceExternalId about.asset.asset_id 직접 매핑됨
device_product about.asset.asset_id 직접 매핑됨
device_vendor about.asset.asset_id 직접 매핑됨
fileHash about.file.full_path 직접 매핑됨
filePath about.file.full_path 이름이 변경됨/매핑됨
_hash about.file.sha256 이름이 변경됨/매핑됨
fileHash about.file.sha256 이름이 변경됨/매핑됨
fileSize about.file.size 이름이 변경됨/매핑됨
fsize about.file.size 이름이 변경됨/매핑됨
dvchost about.hostname 이름이 변경됨/매핑됨
ips about.ip 병합됨
message about.ip 매핑됨: CEF: → ips
dvc_mac about.mac 매핑됨: slot → mac_address
dvcmac about.mac 병합됨
mac_address about.mac 병합됨
message about.mac 매핑됨: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip 병합됨
message about.nat_ip 매핑됨: CEF: → deviceTranslatedAddress
Emne about.process.command_line 직접 매핑됨
Path about.process.command_line 직접 매핑됨
Subject about.process.command_line 직접 매핑됨
deviceProcessName about.process.command_line 이름이 변경됨/매핑됨
dvcpid about.process.pid 이름이 변경됨/매핑됨
message about.resource.attribute.permissions 매핑됨: CEF: → permissions
permissions about.resource.attribute.permissions 병합됨
_field additional.fields 병합됨
accountCount_label additional.fields 병합됨
additional_cfp1 additional.fields 병합됨
additional_cfp2 additional.fields 병합됨
additional_cfp3 additional.fields 병합됨
additional_cfp4 additional.fields 병합됨
additional_cn1 additional.fields 병합됨
additional_cn2 additional.fields 병합됨
additional_cn3 additional.fields 병합됨
additional_cs1 additional.fields 병합됨
additional_cs2 additional.fields 병합됨
additional_cs3 additional.fields 병합됨
additional_cs4 additional.fields 병합됨
additional_cs5 additional.fields 병합됨
additional_cs6 additional.fields 병합됨
additional_cs7 additional.fields 병합됨
additional_devicePayloadId additional.fields 병합됨
additional_eventId additional.fields 병합됨
additional_eventSourceType additional.fields 병합됨
additional_eventSubId additional.fields 병합됨
additional_flexString1 additional.fields 병합됨
additional_fname additional.fields 병합됨
additional_integrityLevel additional.fields 병합됨
additional_objectFileHashId additional.fields 병합됨
additional_objectFirstSeen additional.fields 병합됨
additional_objectHashId additional.fields 병합됨
additional_objectLastSeen additional.fields 병합됨
additional_objectLaunchTime additional.fields 병합됨
additional_objectName additional.fields 병합됨
additional_objectRunAsLocalAccount additional.fields 병합됨
additional_objectSigner additional.fields 병합됨
additional_objectSignerValid additional.fields 병합됨
additional_objectUser additional.fields 병합됨
additional_objectUserDomain additional.fields 병합됨
additional_osType additional.fields 병합됨
additional_parentName additional.fields 병합됨
additional_parentSigner additional.fields 병합됨
additional_parentSignerValid additional.fields 병합됨
additional_parentUser additional.fields 병합됨
additional_parentUserDomain additional.fields 병합됨
additional_plang additional.fields 병합됨
additional_pplat additional.fields 병합됨
additional_processHashId additional.fields 병합됨
additional_processLaunchTime additional.fields 병합됨
additional_processTrueType additional.fields 병합됨
additional_processUser additional.fields 병합됨
additional_processUserDomain additional.fields 병합됨
additional_productCode additional.fields 병합됨
additional_searchDL additional.fields 병합됨
additional_srcFirstSeen additional.fields 병합됨
additional_srcHashId additional.fields 병합됨
additional_srcLastSeen additional.fields 병합됨
additional_uuid additional.fields 병합됨
alertProvider_label additional.fields 병합됨
caseId_label additional.fields 병합됨
clientIp_label additional.fields 병합됨
cloudIdentityCount_label additional.fields 병합됨
containerCount_label additional.fields 병합됨
cs2 additional.fields 매핑됨: arc_test → additional_cs2
cs5_label additional.fields 병합됨
desktopCount_label additional.fields 병합됨
detail_channel_label additional.fields 병합됨
detail_engineOperation_label additional.fields 병합됨
detail_objectLaunchTime_label additional.fields 병합됨
detectionTime_label additional.fields 병합됨
emailAddressCount_label additional.fields 병합됨
endpoint_ip_label additional.fields 병합됨
endpoint_object_guid_label additional.fields 병합됨
engVer_label additional.fields 병합됨
entity_entityValue_label additional.fields 병합됨
entity_guid_value_label additional.fields 병합됨
entity_managementScopeGroupId_label additional.fields 병합됨
entity_managementScopeInstanceId_label additional.fields 병합됨
entity_managementScopePartitionKey_label additional.fields 병합됨
entity_type_label additional.fields 병합됨
eventSourceType_label additional.fields 병합됨
eventSubName_label additional.fields 병합됨
filePathName_label additional.fields 병합됨
incidentId_label additional.fields 병합됨
ingestionTime_label additional.fields 병합됨
instance_id_label additional.fields 병합됨
key additional.fields 매핑됨: "device_Facility", "ApexCentral_Host" → _field
level_label additional.fields 병합됨
logKey_label additional.fields 병합됨
logReceivedTime_label additional.fields 병합됨
matchedDateTime_label additional.fields 병합됨
matched_filter_id_label additional.fields 병합됨
message additional.fields 매핑된 값 (총 109개, 예: CEF: → _field, CEF: → additional_eventId, CEF: → `a…
modelId_label additional.fields 병합됨
modelType_label additional.fields 병합됨
model_label additional.fields 병합됨
object_guid_label additional.fields 병합됨
objects_label additional.fields 병합됨
pname_additional_label additional.fields 병합됨
process_cmd_label additional.fields 병합됨
process_file_hash_sha1_label additional.fields 병합됨
process_file_hash_sha256_label additional.fields 병합됨
process_file_path_label additional.fields 병합됨
process_file_size_label additional.fields 병합됨
process_hash_id_label additional.fields 병합됨
process_launch_time_label additional.fields 병합됨
process_pid_label additional.fields 병합됨
process_user_label additional.fields 병합됨
provenance_data additional.fields 병합됨
reportLink_label additional.fields 병합됨
rtHour_label additional.fields 병합됨
rtWeekDay_label additional.fields 병합됨
schema_version_label additional.fields 병합됨
senderGUID_label additional.fields 병합됨
serverCount_label additional.fields 병합됨
serverIp_label additional.fields 병합됨
status_label additional.fields 병합됨
has_user extensions.auth.type 매핑됨: true → AUTHTYPE_UNSPECIFIED
message extensions.auth.type 매핑됨: CEF: → AUTHTYPE_UNSPECIFIED
message intermediary 매핑됨: CEF: → intermediary
inter_host intermediary.hostname 직접 매핑됨
Model metadata.description 직접 매핑됨
description metadata.description 직접 매핑됨
eventSubName metadata.description 직접 매핑됨
msg metadata.description 이름이 변경됨/매핑됨
Generated metadata.event_timestamp yyyy-MM-ddTHH:mm:ss로 파싱됨
Received metadata.event_timestamp yyyy-MM-ddTHH:mm:ss로 파싱됨
createdDateTime metadata.event_timestamp ISO8601로 파싱됨
detail.eventTime metadata.event_timestamp UNIX_MS로 파싱됨
detectedDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ로 파싱됨
detectionTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ로 파싱됨
firstSeen metadata.event_timestamp UNIX_MS로 파싱됨
ingestedDateTime metadata.event_timestamp ISO8601로 파싱됨
lastSeen metadata.event_timestamp UNIX_MS로 파싱됨
loggedDateTime metadata.event_timestamp yyyy-MM-ddTHH:mm:ssZ로 파싱됨
processFileModifiedTime metadata.event_timestamp UNIX_MS로 파싱됨
rt metadata.event_timestamp UNIX_MS로 파싱됨
sslCertValidFrom metadata.event_timestamp ISO8601로 파싱됨
sslCertValidUntil metadata.event_timestamp ISO8601로 파싱됨
unix_logReceivedTime metadata.event_timestamp UNIX_MS로 파싱됨
updatedDateTime metadata.event_timestamp ISO8601로 파싱됨
utc metadata.event_timestamp yyyy-MM-ddTHH:mm:ss.SSSZ로 파싱됨
event_name metadata.event_type 매핑됨: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_user metadata.event_type 매핑됨: true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type 매핑된 값 (총 8개, 예: CEF: → SCAN_UNCATEGORIZED, CEF: → STATUS_UPDATE, CEF:…
principal_present metadata.event_type 매핑됨: true → PROCESS_UNCATEGORIZED, true → NETWORK_CONNECTION, true → `PROCESS_L…
activity metadata.product_event_type 직접 매핑됨
device_event_class_id metadata.product_event_type 직접 매핑됨
event_name metadata.product_event_type 직접 매핑됨
type metadata.product_event_type 직접 매핑됨
WorkbenchID metadata.product_log_id 직접 매핑됨
detail.uuid metadata.product_log_id 직접 매핑됨
e_ID metadata.product_log_id 직접 매핑됨
externalId metadata.product_log_id 직접 매핑됨
id metadata.product_log_id 직접 매핑됨
detail.mpname metadata.product_name 직접 매핑됨
device_product metadata.product_name 직접 매핑됨
message metadata.product_name 매핑됨: CEF: → Vision One
detail.mpver metadata.product_version 직접 매핑됨
device_version metadata.product_version 직접 매핑됨
device_vendor metadata.vendor_name 이름이 변경됨/매핑됨
message metadata.vendor_name 매핑됨: CEF: → Trend Micro
app_protocol_output network.application_protocol 직접 매핑됨
deviceDirection network.direction 매핑됨: 0 → INBOUND, 1 → OUTBOUND
message network.direction 매핑됨: CEF: → INBOUND, CEF: → OUTBOUND
object.CustomValue network.email.from 직접 매핑됨
message network.email.subject 매핑됨: CEF: → title
title network.email.subject 병합됨
message network.email.to 매핑됨: CEF: → object.CustomValue
object.CustomValue network.email.to 병합됨
objecttype network.email.to 매핑됨: email_forward → object.CustomValue
requestMethod network.http.method 이름이 변경됨/매핑됨
Link network.http.referral_url 직접 매핑됨
requestClientApplication network.http.user_agent 이름이 변경됨/매핑됨
userAgent network.http.user_agent 직접 매핑됨
ip_protocol_out network.ip_protocol 직접 매핑됨
in network.received_bytes 이름이 변경됨/매핑됨
out network.sent_bytes 이름이 변경됨/매핑됨
sessionId network.session_id 직접 매핑됨
tlsSelectedCipher network.tls.cipher 직접 매핑됨
ja3Hash network.tls.client.ja3 직접 매핑됨
ja3sHash network.tls.server.ja3s 직접 매핑됨
detail.mDeviceGUID observer.asset.asset_id 직접 매핑됨
detail.dvchost observer.hostname 직접 매핑됨
ip observer.ip 병합됨
message observer.ip 매핑됨: CEF: → ip
account_domain principal.administrative_domain 직접 매핑됨
sntdom principal.administrative_domain 이름이 변경됨/매핑됨
userDomain principal.administrative_domain 직접 매핑됨
userDomain.0 principal.administrative_domain 직접 매핑됨
application principal.application 이름이 변경됨/매핑됨
sourceServiceName principal.application 이름이 변경됨/매핑됨
detail.endpointGuid principal.asset.asset_id 직접 매핑됨
endpoint.agentGuid principal.asset.asset_id 직접 매핑됨
mDeviceGUID principal.asset.asset_id 직접 매핑됨
entityName_label principal.asset.attribute.labels 병합됨
message principal.asset.attribute.labels 매핑됨: CEF: → entityName_label
endpoint.name principal.asset.hostname 직접 매핑됨
endpointHostName principal.asset.hostname 직접 매핑됨
object_hostname principal.asset.hostname 직접 매핑됨
shost principal.asset.hostname 직접 매핑됨
Appliance_IP_address principal.asset.ip 병합됨
IP_address principal.asset.ip 병합됨
ip principal.asset.ip 병합됨
ip_src_value principal.asset.ip 병합됨
message principal.asset.ip 매핑된 값 (총 7개, 예: CEF: → IP_address, CEF: → Appliance_IP_address, CEF: …
object_field principal.asset.ip 매핑됨: src → ip_src_value
shost principal.asset.ip 병합됨
src principal.asset.ip 병합됨
src_ip principal.asset.ip 병합됨
endpointGuid principal.asset_id 직접 매핑됨
object_guid principal.asset_id 직접 매핑됨
detail.fullPath principal.file.full_path 직접 매핑됨
requestMimeType principal.file.mime_type 직접 매핑됨
indicator.value principal.file.sha1 직접 매핑됨
Group_name principal.group.group_display_name 직접 매핑됨
Gruppenavn principal.group.group_display_name 직접 매핑됨
clientGroup principal.group.group_display_name 직접 매핑됨
detail.groupId principal.group.product_object_id 직접 매핑됨
Device_name principal.hostname 직접 매핑됨
Enhetsnavn principal.hostname 직접 매핑됨
endpoint.name principal.hostname 직접 매핑됨
endpointHostName principal.hostname 직접 매핑됨
object_hostname principal.hostname 직접 매핑됨
shost principal.hostname 직접 매핑됨
Appliance_IP_address principal.ip 병합됨
IP_address principal.ip 병합됨
ip principal.ip 병합됨
ip_src_value principal.ip 병합됨
message principal.ip 매핑된 값 (총 8개, 예: CEF: → IP_address, CEF: → Appliance_IP_address, CEF: …
object_field principal.ip 매핑됨: src → ip_src_value
principal_ip principal.ip 병합됨
shost principal.ip 병합됨
src principal.ip 병합됨
src_ip principal.ip 병합됨
mac principal.mac 병합됨
message principal.mac 매핑됨: CEF: → mac
message principal.nat_ip 매핑됨: CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip 병합됨
sourceTranslatedPort principal.nat_port 이름이 변경됨/매핑됨
message principal.platform 매핑됨: CEF: → WINDOWS, CEF: → MAC, CEF: → LINUX
osName principal.platform 매핑됨: (?i)windows → WINDOWS, (?i)Mac/iOS → MAC, (?)Lin → LINUX
osVer principal.platform_version 직접 매핑됨
platform_version principal.platform_version 직접 매핑됨
spt principal.port 이름이 변경됨/매핑됨
object.value principal.process.command_line 직접 매핑됨
processCmd principal.process.command_line 직접 매핑됨
process_cmd principal.process.command_line 직접 매핑됨
sproc principal.process.command_line 이름이 변경됨/매핑됨
detail.processName principal.process.file.full_path 직접 매핑됨
object.value principal.process.file.full_path 직접 매핑됨
processFilePath principal.process.file.full_path 직접 매핑됨
process_file_path principal.process.file.full_path 직접 매핑됨
processFileModifiedTime principal.process.file.last_modification_time 이름이 변경됨/매핑됨
detail.processFileHashMd5 principal.process.file.md5 직접 매핑됨
processFileHashMd5 principal.process.file.md5 직접 매핑됨
fileHash principal.process.file.sha1 직접 매핑됨
object.value principal.process.file.sha1 직접 매핑됨
processFileHashSha1 principal.process.file.sha1 직접 매핑됨
process_file_hash_sha1 principal.process.file.sha1 직접 매핑됨
fileHashSha256 principal.process.file.sha256 직접 매핑됨
processFileHashSha256 principal.process.file.sha256 직접 매핑됨
process_file_hash_sha256 principal.process.file.sha256 직접 매핑됨
processFileSize principal.process.file.size 이름이 변경됨/매핑됨
parentFilePath principal.process.parent_process.file.full_path 직접 매핑됨
parentFileHashMd5 principal.process.parent_process.file.md5 직접 매핑됨
parentFileHashSha1 principal.process.parent_process.file.sha1 직접 매핑됨
parentFileHashSha256 principal.process.parent_process.file.sha256 직접 매핑됨
parentPid principal.process.parent_process.pid 직접 매핑됨
processPid principal.process.pid 직접 매핑됨
process_pid principal.process.pid 직접 매핑됨
spid principal.process.pid 이름이 변경됨/매핑됨
message principal.resource.attribute.labels 매핑됨: CEF: → sourceLabel, CEF: → pname_label, CEF: → senderGUID_label
pname_label principal.resource.attribute.labels 병합됨
senderGUID_label principal.resource.attribute.labels 병합됨
sourceLabel principal.resource.attribute.labels 병합됨
uuid principal.resource.product_object_id 직접 매핑됨
customer_name_label principal.user.attribute.labels 병합됨
message principal.user.attribute.labels 매핑됨: CEF: → customer_name_label
message principal.user.attribute.roles 매핑됨: CEF: → principal_role, CEF: → roles
principal_role principal.user.attribute.roles 병합됨
roles principal.user.attribute.roles 병합됨
message principal.user.department 매핑됨: CEF: → userDepartment
userDepartment principal.user.department 병합됨
details.identifier.email principal.user.email_addresses 병합됨
entity.entityValue principal.user.email_addresses 병합됨
message principal.user.email_addresses 매핑됨: CEF: → details.identifier.email, CEF: → entity.entityValue, CEF: → `princi…
principalName principal.user.email_addresses 병합됨
entity_entityValue principal.user.user_display_name 직접 매핑됨
loggedUser principal.user.user_display_name 직접 매핑됨
suser principal.user.user_display_name 직접 매핑됨
account principal.user.userid 직접 매핑됨
account_name principal.user.userid 직접 매핑됨
detail.suid principal.user.userid 직접 매핑됨
details.identifier.id principal.user.userid 직접 매핑됨
loggedUser principal.user.userid 직접 매핑됨
logonUser.0 principal.user.userid 직접 매핑됨
object.CustomValue principal.user.userid 직접 매핑됨
process_user principal.user.userid 직접 매핑됨
suid principal.user.userid 이름이 변경됨/매핑됨
security_id principal.user.windows_sid 직접 매핑됨
message security_result 매핑된 값 (총 5개, 예: CEF: → security_result, CEF: → task_sec_res, CEF: → `…
sec security_result 병합됨
sec_isEntity security_result 병합됨
sec_res security_result 병합됨
task_sec_res security_result 병합됨
wasEntity.key security_result.about.file.full_path 직접 매핑됨
investigationResult security_result.about.investigation.comments 병합됨
message security_result.about.investigation.comments 매핑됨: CEF: → investigationResult
investigationStatus security_result.about.investigation.status 매핑됨: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
message security_result.about.investigation.status 매핑된 값 (총 5개, 예: CEF: → NEW, CEF: → CLOSED, CEF: → OPEN)
attr_value security_result.about.process.command_line 직접 매핑됨
_action security_result.action 병합됨
act security_result.action 매핑됨: accept → _action, deny → _action
action_data security_result.action 병합됨
message security_result.action 매핑됨: CEF: → _action, CEF: → action_data, CEF: → security_result_action
object_field security_result.action 매핑됨: actResult → security_result_action
result security_result.action 매핑됨: Successful → action_data, Unsuccess → action_data
security_result_action security_result.action 병합됨
Action_Taken security_result.action_details 직접 매핑됨
act security_result.action_details 직접 매핑됨
actResult security_result.action_details 직접 매핑됨
detail.accessPermission security_result.action_details 직접 매핑됨
result security_result.action_details 직접 매핑됨
message security_result.attack_details.tactics 매핑됨: CEF: → tactics, CEF: → tactic
tactic security_result.attack_details.tactics 병합됨
tactics security_result.attack_details.tactics 병합됨
message security_result.attack_details.techniques 매핑됨: CEF: → techniques
techniques security_result.attack_details.techniques 병합됨
act security_result.category 매핑됨: Block → event_category
event_category security_result.category 병합됨
message security_result.category 매핑됨: CEF: → event_category
cat security_result.category_details 병합됨
category security_result.category_details 병합됨
detail.behaviorCat security_result.category_details 병합됨
message security_result.category_details 매핑됨: CEF: → cat, CEF: → category, CEF: → detail.behaviorCat
Scan_Type security_result.description 직접 매핑됨
Type security_result.description 직접 매핑됨
filters.0.description security_result.description 직접 매핑됨
msg_data_2 security_result.description 직접 매핑됨
LogonID_label security_result.detection_fields 병합됨
accessType_label security_result.detection_fields 병합됨
access_right_label security_result.detection_fields 병합됨
account_modified_name_label security_result.detection_fields 병합됨
account_type_label security_result.detection_fields 병합됨
activity_label security_result.detection_fields 병합됨
attr_name security_result.detection_fields 매핑됨: sha256 → sha256_label, startType → startType_label, state → state_label
evt_type_label security_result.detection_fields 병합됨
filepath_label security_result.detection_fields 병합됨
highlighted_field_label security_result.detection_fields 병합됨
highlighted_type_label security_result.detection_fields 병합됨
indicator_label security_result.detection_fields 병합됨
infection_channel_label security_result.detection_fields 병합됨
matched_event_uuid_label security_result.detection_fields 병합됨
message security_result.detection_fields 매핑된 값 (총 30개, 예: CEF: → operation_label, CEF: → operasjon_label, CEF:…)
mpver_label security_result.detection_fields 병합됨
objecttype security_result.detection_fields 매핑됨: text → text_label
operasjon_label security_result.detection_fields 병합됨
operation_label security_result.detection_fields 병합됨
permission_label security_result.detection_fields 병합됨
policy_id_label security_result.detection_fields 병합됨
sha256_label security_result.detection_fields 병합됨
spyware_Grayware_Type_label security_result.detection_fields 병합됨
startType_label security_result.detection_fields 병합됨
state_label security_result.detection_fields 병합됨
subRuleId_label security_result.detection_fields 병합됨
subRuleName_label security_result.detection_fields 병합됨
tag_label security_result.detection_fields 병합됨
text_label security_result.detection_fields 병합됨
threat_probability_label security_result.detection_fields 병합됨
tillatelse_label security_result.detection_fields 병합됨
was_key_label security_result.detection_fields 병합됨
winEventId_label security_result.detection_fields 병합됨
createdDateTime security_result.first_discovered_time 이름이 변경됨/매핑됨
firstSeen security_result.first_discovered_time 이름이 변경됨/매핑됨
lastSeen security_result.last_discovered_time 이름이 변경됨/매핑됨
updatedDateTime security_result.last_updated_time 이름이 변경됨/매핑됨
Score security_result.risk_score 이름이 변경됨/매핑됨
score security_result.risk_score 이름이 변경됨/매핑됨
detail.ruleId security_result.rule_id 이름이 변경됨/매핑됨
detail.uuid security_result.rule_id 직접 매핑됨
filters.0.unique_id security_result.rule_id 직접 매핑됨
ruleUuid security_result.rule_id 이름이 변경됨/매핑됨
detail.ruleName security_result.rule_name 이름이 변경됨/매핑됨
filters.0.id security_result.rule_name 직접 매핑됨
mwProfile security_result.rule_name 직접 매핑됨
object.CustomValue security_result.rule_name 직접 매핑됨
ruleName security_result.rule_name 직접 매핑됨
filter.type security_result.rule_type 직접 매핑됨
ruleType security_result.rule_type 직접 매핑됨
message security_result.severity 매핑된 값 (총 5개, 예: CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH)
severity security_result.severity 매핑된 값 (총 6개, 예: "0", "1", "2", "3", "LOW" → LOW, `"4", "5", "6", "MEDIUM", …`)
filter.riskLevel security_result.severity_details 직접 매핑됨
Result security_result.summary 직접 매핑됨
appcategory security_result.summary 직접 매핑됨
filters.0.name security_result.summary 직접 매핑됨
reason security_result.summary 이름이 변경됨/매핑됨
Spyware security_result.threat_name 직접 매핑됨
Unknown_Threat security_result.threat_name 직접 매핑됨
Virus_Malware_Name security_result.threat_name 직접 매핑됨
object.value security_result.threat_name 직접 매핑됨
workbenchLink security_result.url_back_to_product 이름이 변경됨/매핑됨
oldFilePath src.file.full_path 이름이 변경됨/매핑됨
oldFileSize src.file.size 이름이 변경됨/매핑됨
message src.resource.attribute.permissions 매핑됨: CEF: → old_permissions
old_permissions src.resource.attribute.permissions 병합됨
dntdom target.administrative_domain 이름이 변경됨/매핑됨
destinationServiceName target.application 이름이 변경됨/매핑됨
detail.deviceGUID target.asset.asset_id 직접 매핑됨
dst target.asset.ip 병합됨
ip_dst_value target.asset.ip 병합됨
message target.asset.ip 매핑됨: CEF: → dst, CEF: → ip_dst_value
object_field target.asset.ip 매핑됨: dst → ip_dst_value
object.CustomValue target.file.full_path 직접 매핑됨
object.value target.file.full_path 직접 매핑됨
value target.file.full_path 직접 매핑됨
object.CustomValue target.file.sha1 직접 매핑됨
object.value target.file.sha1 직접 매핑됨
detail.objectFileSize target.file.size 직접 매핑됨
message target.file.size 매핑됨: CEF: → uinteger
temp_dhost target.hostname 직접 매핑됨
IPv6_Address target.ip 병합됨
dst target.ip 병합됨
dst_ip target.ip 병합됨
ip_dst_value target.ip 병합됨
ipv6 target.ip 매핑됨: - → IPv6_Address
message target.ip 매핑됨: CEF: → dst_ip, CEF: → IPv6_Address, CEF: → dst, CEF: → ip_dst_value
object_field target.ip 매핑됨: dst → ip_dst_value
mac_address target.mac 병합됨
message target.mac 매핑됨: CEF: → mac_address
destination_translated_address target.nat_ip 병합됨
message target.nat_ip 매핑됨: CEF: → destination_translated_address
destinationTranslatedPort target.nat_port 이름이 변경됨/매핑됨
dpt target.port 이름이 변경됨/매핑됨
dproc target.process.command_line 이름이 변경됨/매핑됨
object.CustomValue target.process.command_line 직접 매핑됨
object.value target.process.command_line 직접 매핑됨
objectCmd target.process.command_line 직접 매핑됨
File_name target.process.file.full_path 직접 매핑됨
Infected_Resource target.process.file.full_path 직접 매핑됨
Object target.process.file.full_path 직접 매핑됨
Objekt target.process.file.full_path 직접 매핑됨
fileName target.process.file.full_path 직접 매핑됨
object.CustomValue target.process.file.full_path 직접 매핑됨
object.value target.process.file.full_path 직접 매핑됨
objectFilePath target.process.file.full_path 직접 매핑됨
objectFileHashMd5 target.process.file.md5 직접 매핑됨
object.CustomValue target.process.file.sha1 직접 매핑됨
object.value target.process.file.sha1 직접 매핑됨
objectFileHashSha1 target.process.file.sha1 직접 매핑됨
objectFileHashSha256 target.process.file.sha256 직접 매핑됨
object.CustomValue target.process.parent_process.command_line 직접 매핑됨
object.CustomValue target.process.parent_process.file.full_path 직접 매핑됨
object.CustomValue target.process.parent_process.file.sha1 직접 매핑됨
object.value target.process.parent_process.file.sha1 직접 매핑됨
dpid target.process.pid 이름이 변경됨/매핑됨
objectPid target.process.pid 직접 매핑됨
command_line_label target.resource.attribute.labels 병합됨
dacDeviceType_label target.resource.attribute.labels 병합됨
endpointGUID_label target.resource.attribute.labels 병합됨
file_path_label target.resource.attribute.labels 병합됨
file_sha1_label target.resource.attribute.labels 병합됨
message target.resource.attribute.labels 매핑된 값 (총 6개, 예: CEF: → resource_Type_label, CEF: → dacDeviceType_label,…
objecttype target.resource.attribute.labels 매핑됨: command_line → command_line_label, file_sha1 → file_sha1_label, fullpath →…
resource_Type_label target.resource.attribute.labels 병합됨
request target.url 직접 매핑됨
message target.user.attribute.roles 매핑됨: CEF: → target_role
target_role target.user.attribute.roles 병합됨
CustomerName target.user.user_display_name 직접 매핑됨
temp_duser target.user.user_display_name 직접 매핑됨
Bruker target.user.userid 직접 매핑됨
User_value target.user.userid 직접 매핑됨
temp_duid target.user.userid 직접 매핑됨
해당 사항 없음 extensions.auth.type 상수: AUTHTYPE_UNSPECIFIED
해당 사항 없음 metadata.event_type 상수: SCAN_UNCATEGORIZED
해당 사항 없음 metadata.product_name 상수: Vision One
해당 사항 없음 metadata.vendor_name 상수: Trend Micro
해당 사항 없음 network.direction 상수: INBOUND
해당 사항 없음 principal.platform 상수: WINDOWS
해당 사항 없음 security_result.about.investigation.status 상수: NEW
해당 사항 없음 security_result.severity 상수: LOW

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.