Recopila registros de Trend Micro Vision One
Se admite en los siguientes sistemas operativos:
Google SecOps
SIEM
En este documento, se explica cómo recopilar registros de Trend Micro Vision One configurando un feed de Google Security Operations. El analizador envía alertas, datos de eventos, vulnerabilidades de contenedores, datos de actividad y registros de auditoría a los buckets de S3 de AWS que administra Trend Micro. Google SecOps recupera estos datos con feeds de datos aproximadamente cada 15 minutos. Los datos no recuperados en los buckets de S3 se conservan durante 7 días antes de borrarse definitivamente.
Puedes crear varios feeds en Google SecOps y configurar los datos obtenidos con los feeds de forma individual.
Antes de comenzar
- Asegúrate de tener una instancia de Google SecOps.
- Asegúrate de tener acceso con privilegios a Trend Micro Vision One.
Configura la exportación de datos de Trend Vision One a Google SecOps
- En la consola de Trend Vision One, genera la clave de acceso y especifica los datos que se enviarán a Google SecOps.
- Ve a Workflow and Automation > Third-Party Integration.
- En la columna Integración, haz clic en Google Security Operations.
- En Clave de acceso, haz clic en Generar clave para generar el ID de la clave de acceso y la clave de acceso secreta. Guarda el ID de clave de acceso y la clave de acceso secreta para usarlos más adelante.
- En Transferencia de datos, activa el botón de activación junto a los datos que deseas enviar a los buckets de S3. Cada vez que se habilita una transferencia de datos, se genera un URI de S3 y se comienzan a enviar los datos al bucket de S3 correspondiente. Copia y almacena el URI de S3 para usarlo más adelante.
- En Eventos y Datos de actividad, haz clic en Editar para modificar el alcance de los datos.
- Para dejar de enviar un tipo de datos a Google SecOps, desactiva el botón de activación junto a los datos. Si vuelves a habilitar la transferencia de datos, se generará un nuevo URI de S3. Debes configurar un feed nuevo en Google SecOps.
Configura un feed en Google SecOps para transferir los registros de Trend Micro Vision One
- Ve a Configuración de SIEM > Feeds.
- Haz clic en Agregar nueva.
- En el campo Nombre del feed, ingresa un nombre para el feed, por ejemplo,
Trend Micro Vision One Workbench Logs. - Selecciona Amazon S3 V2 como el Tipo de fuente.
- Selecciona los datos de Trend Vision One que deseas que Google SecOps transfiera como el Tipo de registro. Las opciones disponibles incluyen las siguientes:
- Trend Micro Vision One
- Actividad de Trend Micro Vision One
- Auditoría de Trend Micro Vision One
- Vulnerabilidades de contenedores de Trend Micro Vision One
- Detecciones de Trend Micro Vision One
- Técnicas de ataque observadas por Trend Micro Vision One
- Trend Micro Vision One Workbench
- Haz clic en Siguiente.
- Especifica valores para los siguientes parámetros de entrada:
- URI de S3: Ingresa el URI de S3 que obtuviste en la sección anterior.
- Opciones de eliminación del código fuente: Selecciona No borrar archivos nunca.
- Antigüedad máxima del archivo: Incluye los archivos modificados en la cantidad de días especificada. El valor predeterminado es de 180 días.
- ID de clave de acceso: Ingresa la clave de acceso del usuario que obtuviste en la sección anterior.
- Clave de acceso secreta: Ingresa la clave secreta del usuario con acceso al bucket de S3 que obtuviste en la sección anterior.
- Espacio de nombres del recurso: Es el espacio de nombres del recurso.
- Etiquetas de transferencia: Es la etiqueta que se aplicará a los eventos de este feed.
- Haz clic en Siguiente.
- Revisa la nueva configuración del feed en la pantalla Finalizar y, luego, haz clic en Enviar.
Repite este proceso para agregar varios feeds para todos los tipos de datos de Trend Vision One que quieras transferir a Google SecOps.
Tabla de asignación de UDM
| Campo de registro | Asignación de UDM | Lógica |
|---|---|---|
message |
about |
Asignado: CEF: → about |
deviceNtDomain |
about.administrative_domain |
Se cambió el nombre o se asignó |
sslCertCommonName |
about.artifact.last_https_certificate.issuer.common_name |
Asignada directamente |
sslCertSerialNumber |
about.artifact.last_https_certificate.serial_number |
Asignada directamente |
sslCertFingerprint |
about.artifact.last_https_certificate.thumbprint |
Asignada directamente |
sslCertValidUntil |
about.artifact.last_https_certificate.validity.expiry_time |
Asignada directamente |
sslCertValidFrom |
about.artifact.last_https_certificate.validity.issue_time |
Combinado |
deviceExternalId |
about.asset.asset_id |
Asignada directamente |
device_product |
about.asset.asset_id |
Asignada directamente |
device_vendor |
about.asset.asset_id |
Asignada directamente |
fileHash |
about.file.full_path |
Asignada directamente |
filePath |
about.file.full_path |
Se cambió el nombre o se asignó |
_hash |
about.file.sha256 |
Se cambió el nombre o se asignó |
fileHash |
about.file.sha256 |
Se cambió el nombre o se asignó |
fileSize |
about.file.size |
Se cambió el nombre o se asignó |
fsize |
about.file.size |
Se cambió el nombre o se asignó |
dvchost |
about.hostname |
Se cambió el nombre o se asignó |
ips |
about.ip |
Combinado |
message |
about.ip |
Asignado: CEF: → ips |
dvc_mac |
about.mac |
Asignado: slot → mac_address |
dvcmac |
about.mac |
Combinado |
mac_address |
about.mac |
Combinado |
message |
about.mac |
Asignado: CEF: → mac_address, CEF: → dvcmac |
deviceTranslatedAddress |
about.nat_ip |
Combinado |
message |
about.nat_ip |
Asignado: CEF: → deviceTranslatedAddress |
Emne |
about.process.command_line |
Asignada directamente |
Path |
about.process.command_line |
Asignada directamente |
Subject |
about.process.command_line |
Asignada directamente |
deviceProcessName |
about.process.command_line |
Se cambió el nombre o se asignó |
dvcpid |
about.process.pid |
Se cambió el nombre o se asignó |
message |
about.resource.attribute.permissions |
Asignado: CEF: → permissions |
permissions |
about.resource.attribute.permissions |
Combinado |
_field |
additional.fields |
Combinado |
accountCount_label |
additional.fields |
Combinado |
additional_cfp1 |
additional.fields |
Combinado |
additional_cfp2 |
additional.fields |
Combinado |
additional_cfp3 |
additional.fields |
Combinado |
additional_cfp4 |
additional.fields |
Combinado |
additional_cn1 |
additional.fields |
Combinado |
additional_cn2 |
additional.fields |
Combinado |
additional_cn3 |
additional.fields |
Combinado |
additional_cs1 |
additional.fields |
Combinado |
additional_cs2 |
additional.fields |
Combinado |
additional_cs3 |
additional.fields |
Combinado |
additional_cs4 |
additional.fields |
Combinado |
additional_cs5 |
additional.fields |
Combinado |
additional_cs6 |
additional.fields |
Combinado |
additional_cs7 |
additional.fields |
Combinado |
additional_devicePayloadId |
additional.fields |
Combinado |
additional_eventId |
additional.fields |
Combinado |
additional_eventSourceType |
additional.fields |
Combinado |
additional_eventSubId |
additional.fields |
Combinado |
additional_flexString1 |
additional.fields |
Combinado |
additional_fname |
additional.fields |
Combinado |
additional_integrityLevel |
additional.fields |
Combinado |
additional_objectFileHashId |
additional.fields |
Combinado |
additional_objectFirstSeen |
additional.fields |
Combinado |
additional_objectHashId |
additional.fields |
Combinado |
additional_objectLastSeen |
additional.fields |
Combinado |
additional_objectLaunchTime |
additional.fields |
Combinado |
additional_objectName |
additional.fields |
Combinado |
additional_objectRunAsLocalAccount |
additional.fields |
Combinado |
additional_objectSigner |
additional.fields |
Combinado |
additional_objectSignerValid |
additional.fields |
Combinado |
additional_objectUser |
additional.fields |
Combinado |
additional_objectUserDomain |
additional.fields |
Combinado |
additional_osType |
additional.fields |
Combinado |
additional_parentName |
additional.fields |
Combinado |
additional_parentSigner |
additional.fields |
Combinado |
additional_parentSignerValid |
additional.fields |
Combinado |
additional_parentUser |
additional.fields |
Combinado |
additional_parentUserDomain |
additional.fields |
Combinado |
additional_plang |
additional.fields |
Combinado |
additional_pplat |
additional.fields |
Combinado |
additional_processHashId |
additional.fields |
Combinado |
additional_processLaunchTime |
additional.fields |
Combinado |
additional_processTrueType |
additional.fields |
Combinado |
additional_processUser |
additional.fields |
Combinado |
additional_processUserDomain |
additional.fields |
Combinado |
additional_productCode |
additional.fields |
Combinado |
additional_searchDL |
additional.fields |
Combinado |
additional_srcFirstSeen |
additional.fields |
Combinado |
additional_srcHashId |
additional.fields |
Combinado |
additional_srcLastSeen |
additional.fields |
Combinado |
additional_uuid |
additional.fields |
Combinado |
alertProvider_label |
additional.fields |
Combinado |
caseId_label |
additional.fields |
Combinado |
clientIp_label |
additional.fields |
Combinado |
cloudIdentityCount_label |
additional.fields |
Combinado |
containerCount_label |
additional.fields |
Combinado |
cs2 |
additional.fields |
Asignado: arc_test → additional_cs2 |
cs5_label |
additional.fields |
Combinado |
desktopCount_label |
additional.fields |
Combinado |
detail_channel_label |
additional.fields |
Combinado |
detail_engineOperation_label |
additional.fields |
Combinado |
detail_objectLaunchTime_label |
additional.fields |
Combinado |
detectionTime_label |
additional.fields |
Combinado |
emailAddressCount_label |
additional.fields |
Combinado |
endpoint_ip_label |
additional.fields |
Combinado |
endpoint_object_guid_label |
additional.fields |
Combinado |
engVer_label |
additional.fields |
Combinado |
entity_entityValue_label |
additional.fields |
Combinado |
entity_guid_value_label |
additional.fields |
Combinado |
entity_managementScopeGroupId_label |
additional.fields |
Combinado |
entity_managementScopeInstanceId_label |
additional.fields |
Combinado |
entity_managementScopePartitionKey_label |
additional.fields |
Combinado |
entity_type_label |
additional.fields |
Combinado |
eventSourceType_label |
additional.fields |
Combinado |
eventSubName_label |
additional.fields |
Combinado |
filePathName_label |
additional.fields |
Combinado |
incidentId_label |
additional.fields |
Combinado |
ingestionTime_label |
additional.fields |
Combinado |
instance_id_label |
additional.fields |
Combinado |
key |
additional.fields |
Asignado: "device_Facility", "ApexCentral_Host" → _field |
level_label |
additional.fields |
Combinado |
logKey_label |
additional.fields |
Combinado |
logReceivedTime_label |
additional.fields |
Combinado |
matchedDateTime_label |
additional.fields |
Combinado |
matched_filter_id_label |
additional.fields |
Combinado |
message |
additional.fields |
Valores asignados (109 en total, p. ej., CEF: → _field, CEF: → additional_eventId, CEF: → "a… |
modelId_label |
additional.fields |
Combinado |
modelType_label |
additional.fields |
Combinado |
model_label |
additional.fields |
Combinado |
object_guid_label |
additional.fields |
Combinado |
objects_label |
additional.fields |
Combinado |
pname_additional_label |
additional.fields |
Combinado |
process_cmd_label |
additional.fields |
Combinado |
process_file_hash_sha1_label |
additional.fields |
Combinado |
process_file_hash_sha256_label |
additional.fields |
Combinado |
process_file_path_label |
additional.fields |
Combinado |
process_file_size_label |
additional.fields |
Combinado |
process_hash_id_label |
additional.fields |
Combinado |
process_launch_time_label |
additional.fields |
Combinado |
process_pid_label |
additional.fields |
Combinado |
process_user_label |
additional.fields |
Combinado |
provenance_data |
additional.fields |
Combinado |
reportLink_label |
additional.fields |
Combinado |
rtHour_label |
additional.fields |
Combinado |
rtWeekDay_label |
additional.fields |
Combinado |
schema_version_label |
additional.fields |
Combinado |
senderGUID_label |
additional.fields |
Combinado |
serverCount_label |
additional.fields |
Combinado |
serverIp_label |
additional.fields |
Combinado |
status_label |
additional.fields |
Combinado |
has_user |
extensions.auth.type |
Asignado: true → AUTHTYPE_UNSPECIFIED |
message |
extensions.auth.type |
Asignado: CEF: → AUTHTYPE_UNSPECIFIED |
message |
intermediary |
Asignado: CEF: → intermediary |
inter_host |
intermediary.hostname |
Asignada directamente |
Model |
metadata.description |
Asignada directamente |
description |
metadata.description |
Asignada directamente |
eventSubName |
metadata.description |
Asignada directamente |
msg |
metadata.description |
Se cambió el nombre o se asignó |
Generated |
metadata.event_timestamp |
Se analizó como yyyy-MM-ddTHH:mm:ss |
Received |
metadata.event_timestamp |
Se analizó como yyyy-MM-ddTHH:mm:ss |
createdDateTime |
metadata.event_timestamp |
Se analizó como ISO8601 |
detail.eventTime |
metadata.event_timestamp |
Se analizó como UNIX_MS |
detectedDateTime |
metadata.event_timestamp |
Se analizó como yyyy-MM-ddTHH:mm:ssZ |
detectionTime |
metadata.event_timestamp |
Se analizó como yyyy-MM-ddTHH:mm:ssZ |
firstSeen |
metadata.event_timestamp |
Se analizó como UNIX_MS |
ingestedDateTime |
metadata.event_timestamp |
Se analizó como ISO8601 |
lastSeen |
metadata.event_timestamp |
Se analizó como UNIX_MS |
loggedDateTime |
metadata.event_timestamp |
Se analizó como yyyy-MM-ddTHH:mm:ssZ |
processFileModifiedTime |
metadata.event_timestamp |
Se analizó como UNIX_MS |
rt |
metadata.event_timestamp |
Se analizó como UNIX_MS |
sslCertValidFrom |
metadata.event_timestamp |
Se analizó como ISO8601 |
sslCertValidUntil |
metadata.event_timestamp |
Se analizó como ISO8601 |
unix_logReceivedTime |
metadata.event_timestamp |
Se analizó como UNIX_MS |
updatedDateTime |
metadata.event_timestamp |
Se analizó como ISO8601 |
utc |
metadata.event_timestamp |
Se analizó como yyyy-MM-ddTHH:mm:ss.SSSZ |
event_name |
metadata.event_type |
Asignado: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED |
has_user |
metadata.event_type |
Asignado: true → USER_LOGIN, true → USER_UNCATEGORIZED |
message |
metadata.event_type |
Valores asignados (8 en total, p. ej., CEF: → SCAN_UNCATEGORIZED, CEF: → STATUS_UPDATE, CEF:…) |
principal_present |
metadata.event_type |
Asignado: true → PROCESS_UNCATEGORIZED, true → NETWORK_CONNECTION, true → `PROCESS_L... |
activity |
metadata.product_event_type |
Asignada directamente |
device_event_class_id |
metadata.product_event_type |
Asignada directamente |
event_name |
metadata.product_event_type |
Asignada directamente |
type |
metadata.product_event_type |
Asignada directamente |
WorkbenchID |
metadata.product_log_id |
Asignada directamente |
detail.uuid |
metadata.product_log_id |
Asignada directamente |
e_ID |
metadata.product_log_id |
Asignada directamente |
externalId |
metadata.product_log_id |
Asignada directamente |
id |
metadata.product_log_id |
Asignada directamente |
detail.mpname |
metadata.product_name |
Asignada directamente |
device_product |
metadata.product_name |
Asignada directamente |
message |
metadata.product_name |
Asignado: CEF: → Vision One |
detail.mpver |
metadata.product_version |
Asignada directamente |
device_version |
metadata.product_version |
Asignada directamente |
device_vendor |
metadata.vendor_name |
Se cambió el nombre o se asignó |
message |
metadata.vendor_name |
Asignado: CEF: → Trend Micro |
app_protocol_output |
network.application_protocol |
Asignada directamente |
deviceDirection |
network.direction |
Asignado: 0 → INBOUND, 1 → OUTBOUND |
message |
network.direction |
Asignado: CEF: → INBOUND, CEF: → OUTBOUND |
object.CustomValue |
network.email.from |
Asignada directamente |
message |
network.email.subject |
Asignado: CEF: → title |
title |
network.email.subject |
Combinado |
message |
network.email.to |
Asignado: CEF: → object.CustomValue |
object.CustomValue |
network.email.to |
Combinado |
objecttype |
network.email.to |
Asignado: email_forward → object.CustomValue |
requestMethod |
network.http.method |
Se cambió el nombre o se asignó |
Link |
network.http.referral_url |
Asignada directamente |
requestClientApplication |
network.http.user_agent |
Se cambió el nombre o se asignó |
userAgent |
network.http.user_agent |
Asignada directamente |
ip_protocol_out |
network.ip_protocol |
Asignada directamente |
in |
network.received_bytes |
Se cambió el nombre o se asignó |
out |
network.sent_bytes |
Se cambió el nombre o se asignó |
sessionId |
network.session_id |
Asignada directamente |
tlsSelectedCipher |
network.tls.cipher |
Asignada directamente |
ja3Hash |
network.tls.client.ja3 |
Asignada directamente |
ja3sHash |
network.tls.server.ja3s |
Asignada directamente |
detail.mDeviceGUID |
observer.asset.asset_id |
Asignada directamente |
detail.dvchost |
observer.hostname |
Asignada directamente |
ip |
observer.ip |
Combinado |
message |
observer.ip |
Asignado: CEF: → ip |
account_domain |
principal.administrative_domain |
Asignada directamente |
sntdom |
principal.administrative_domain |
Se cambió el nombre o se asignó |
userDomain |
principal.administrative_domain |
Asignada directamente |
userDomain.0 |
principal.administrative_domain |
Asignada directamente |
application |
principal.application |
Se cambió el nombre o se asignó |
sourceServiceName |
principal.application |
Se cambió el nombre o se asignó |
detail.endpointGuid |
principal.asset.asset_id |
Asignada directamente |
endpoint.agentGuid |
principal.asset.asset_id |
Asignada directamente |
mDeviceGUID |
principal.asset.asset_id |
Asignada directamente |
entityName_label |
principal.asset.attribute.labels |
Combinado |
message |
principal.asset.attribute.labels |
Asignado: CEF: → entityName_label |
endpoint.name |
principal.asset.hostname |
Asignada directamente |
endpointHostName |
principal.asset.hostname |
Asignada directamente |
object_hostname |
principal.asset.hostname |
Asignada directamente |
shost |
principal.asset.hostname |
Asignada directamente |
Appliance_IP_address |
principal.asset.ip |
Combinado |
IP_address |
principal.asset.ip |
Combinado |
ip |
principal.asset.ip |
Combinado |
ip_src_value |
principal.asset.ip |
Combinado |
message |
principal.asset.ip |
Valores asignados (7 en total, p. ej., CEF: → IP_address, CEF: → Appliance_IP_address, CEF:…) |
object_field |
principal.asset.ip |
Asignado: src → ip_src_value |
shost |
principal.asset.ip |
Combinado |
src |
principal.asset.ip |
Combinado |
src_ip |
principal.asset.ip |
Combinado |
endpointGuid |
principal.asset_id |
Asignada directamente |
object_guid |
principal.asset_id |
Asignada directamente |
detail.fullPath |
principal.file.full_path |
Asignada directamente |
requestMimeType |
principal.file.mime_type |
Asignada directamente |
indicator.value |
principal.file.sha1 |
Asignada directamente |
Group_name |
principal.group.group_display_name |
Asignada directamente |
Gruppenavn |
principal.group.group_display_name |
Asignada directamente |
clientGroup |
principal.group.group_display_name |
Asignada directamente |
detail.groupId |
principal.group.product_object_id |
Asignada directamente |
Device_name |
principal.hostname |
Asignada directamente |
Enhetsnavn |
principal.hostname |
Asignada directamente |
endpoint.name |
principal.hostname |
Asignada directamente |
endpointHostName |
principal.hostname |
Asignada directamente |
object_hostname |
principal.hostname |
Asignada directamente |
shost |
principal.hostname |
Asignada directamente |
Appliance_IP_address |
principal.ip |
Combinado |
IP_address |
principal.ip |
Combinado |
ip |
principal.ip |
Combinado |
ip_src_value |
principal.ip |
Combinado |
message |
principal.ip |
Valores asignados (8 en total, p. ej., CEF: → IP_address, CEF: → Appliance_IP_address, CEF: … |
object_field |
principal.ip |
Asignado: src → ip_src_value |
principal_ip |
principal.ip |
Combinado |
shost |
principal.ip |
Combinado |
src |
principal.ip |
Combinado |
src_ip |
principal.ip |
Combinado |
mac |
principal.mac |
Combinado |
message |
principal.mac |
Asignado: CEF: → mac |
message |
principal.nat_ip |
Asignado: CEF: → sourceTranslatedAddress |
sourceTranslatedAddress |
principal.nat_ip |
Combinado |
sourceTranslatedPort |
principal.nat_port |
Se cambió el nombre o se asignó |
message |
principal.platform |
Asignado: CEF: → WINDOWS, CEF: → MAC, CEF: → LINUX |
osName |
principal.platform |
Asignación: (?i)windows → WINDOWS, (?i)Mac/iOS → MAC, (?)Lin → LINUX |
osVer |
principal.platform_version |
Asignada directamente |
platform_version |
principal.platform_version |
Asignada directamente |
spt |
principal.port |
Se cambió el nombre o se asignó |
object.value |
principal.process.command_line |
Asignada directamente |
processCmd |
principal.process.command_line |
Asignada directamente |
process_cmd |
principal.process.command_line |
Asignada directamente |
sproc |
principal.process.command_line |
Se cambió el nombre o se asignó |
detail.processName |
principal.process.file.full_path |
Asignada directamente |
object.value |
principal.process.file.full_path |
Asignada directamente |
processFilePath |
principal.process.file.full_path |
Asignada directamente |
process_file_path |
principal.process.file.full_path |
Asignada directamente |
processFileModifiedTime |
principal.process.file.last_modification_time |
Se cambió el nombre o se asignó |
detail.processFileHashMd5 |
principal.process.file.md5 |
Asignada directamente |
processFileHashMd5 |
principal.process.file.md5 |
Asignada directamente |
fileHash |
principal.process.file.sha1 |
Asignada directamente |
object.value |
principal.process.file.sha1 |
Asignada directamente |
processFileHashSha1 |
principal.process.file.sha1 |
Asignada directamente |
process_file_hash_sha1 |
principal.process.file.sha1 |
Asignada directamente |
fileHashSha256 |
principal.process.file.sha256 |
Asignada directamente |
processFileHashSha256 |
principal.process.file.sha256 |
Asignada directamente |
process_file_hash_sha256 |
principal.process.file.sha256 |
Asignada directamente |
processFileSize |
principal.process.file.size |
Se cambió el nombre o se asignó |
parentFilePath |
principal.process.parent_process.file.full_path |
Asignada directamente |
parentFileHashMd5 |
principal.process.parent_process.file.md5 |
Asignada directamente |
parentFileHashSha1 |
principal.process.parent_process.file.sha1 |
Asignada directamente |
parentFileHashSha256 |
principal.process.parent_process.file.sha256 |
Asignada directamente |
parentPid |
principal.process.parent_process.pid |
Asignada directamente |
processPid |
principal.process.pid |
Asignada directamente |
process_pid |
principal.process.pid |
Asignada directamente |
spid |
principal.process.pid |
Se cambió el nombre o se asignó |
message |
principal.resource.attribute.labels |
Asignado: CEF: → sourceLabel, CEF: → pname_label, CEF: → senderGUID_label |
pname_label |
principal.resource.attribute.labels |
Combinado |
senderGUID_label |
principal.resource.attribute.labels |
Combinado |
sourceLabel |
principal.resource.attribute.labels |
Combinado |
uuid |
principal.resource.product_object_id |
Asignada directamente |
customer_name_label |
principal.user.attribute.labels |
Combinado |
message |
principal.user.attribute.labels |
Asignado: CEF: → customer_name_label |
message |
principal.user.attribute.roles |
Asignado: CEF: → principal_role, CEF: → roles |
principal_role |
principal.user.attribute.roles |
Combinado |
roles |
principal.user.attribute.roles |
Combinado |
message |
principal.user.department |
Asignado: CEF: → userDepartment |
userDepartment |
principal.user.department |
Combinado |
details.identifier.email |
principal.user.email_addresses |
Combinado |
entity.entityValue |
principal.user.email_addresses |
Combinado |
message |
principal.user.email_addresses |
Asignado: CEF: → details.identifier.email, CEF: → entity.entityValue, CEF: → `princi... |
principalName |
principal.user.email_addresses |
Combinado |
entity_entityValue |
principal.user.user_display_name |
Asignada directamente |
loggedUser |
principal.user.user_display_name |
Asignada directamente |
suser |
principal.user.user_display_name |
Asignada directamente |
account |
principal.user.userid |
Asignada directamente |
account_name |
principal.user.userid |
Asignada directamente |
detail.suid |
principal.user.userid |
Asignada directamente |
details.identifier.id |
principal.user.userid |
Asignada directamente |
loggedUser |
principal.user.userid |
Asignada directamente |
logonUser.0 |
principal.user.userid |
Asignada directamente |
object.CustomValue |
principal.user.userid |
Asignada directamente |
process_user |
principal.user.userid |
Asignada directamente |
suid |
principal.user.userid |
Se cambió el nombre o se asignó |
security_id |
principal.user.windows_sid |
Asignada directamente |
message |
security_result |
Valores asignados (5 en total, p. ej., CEF: → security_result, CEF: → task_sec_res, CEF: → "… |
sec |
security_result |
Combinado |
sec_isEntity |
security_result |
Combinado |
sec_res |
security_result |
Combinado |
task_sec_res |
security_result |
Combinado |
wasEntity.key |
security_result.about.file.full_path |
Asignada directamente |
investigationResult |
security_result.about.investigation.comments |
Combinado |
message |
security_result.about.investigation.comments |
Asignado: CEF: → investigationResult |
investigationStatus |
security_result.about.investigation.status |
Asignado: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED |
message |
security_result.about.investigation.status |
Valores asignados (5 en total, p.ej., CEF: → NEW, CEF: → CLOSED, CEF: → OPEN) |
attr_value |
security_result.about.process.command_line |
Asignada directamente |
_action |
security_result.action |
Combinado |
act |
security_result.action |
Asignado: accept → _action, deny → _action |
action_data |
security_result.action |
Combinado |
message |
security_result.action |
Asignado: CEF: → _action, CEF: → action_data, CEF: → security_result_action |
object_field |
security_result.action |
Asignado: actResult → security_result_action |
result |
security_result.action |
Asignado: Successful → action_data, Unsuccess → action_data |
security_result_action |
security_result.action |
Combinado |
Action_Taken |
security_result.action_details |
Asignada directamente |
act |
security_result.action_details |
Asignada directamente |
actResult |
security_result.action_details |
Asignada directamente |
detail.accessPermission |
security_result.action_details |
Asignada directamente |
result |
security_result.action_details |
Asignada directamente |
message |
security_result.attack_details.tactics |
Asignado: CEF: → tactics, CEF: → tactic |
tactic |
security_result.attack_details.tactics |
Combinado |
tactics |
security_result.attack_details.tactics |
Combinado |
message |
security_result.attack_details.techniques |
Asignado: CEF: → techniques |
techniques |
security_result.attack_details.techniques |
Combinado |
act |
security_result.category |
Asignado: Block → event_category |
event_category |
security_result.category |
Combinado |
message |
security_result.category |
Asignado: CEF: → event_category |
cat |
security_result.category_details |
Combinado |
category |
security_result.category_details |
Combinado |
detail.behaviorCat |
security_result.category_details |
Combinado |
message |
security_result.category_details |
Asignado: CEF: → cat, CEF: → category, CEF: → detail.behaviorCat |
Scan_Type |
security_result.description |
Asignada directamente |
Type |
security_result.description |
Asignada directamente |
filters.0.description |
security_result.description |
Asignada directamente |
msg_data_2 |
security_result.description |
Asignada directamente |
LogonID_label |
security_result.detection_fields |
Combinado |
accessType_label |
security_result.detection_fields |
Combinado |
access_right_label |
security_result.detection_fields |
Combinado |
account_modified_name_label |
security_result.detection_fields |
Combinado |
account_type_label |
security_result.detection_fields |
Combinado |
activity_label |
security_result.detection_fields |
Combinado |
attr_name |
security_result.detection_fields |
Asignación: sha256 → sha256_label, startType → startType_label, state → state_label |
evt_type_label |
security_result.detection_fields |
Combinado |
filepath_label |
security_result.detection_fields |
Combinado |
highlighted_field_label |
security_result.detection_fields |
Combinado |
highlighted_type_label |
security_result.detection_fields |
Combinado |
indicator_label |
security_result.detection_fields |
Combinado |
infection_channel_label |
security_result.detection_fields |
Combinado |
matched_event_uuid_label |
security_result.detection_fields |
Combinado |
message |
security_result.detection_fields |
Valores asignados (30 en total, p. ej., CEF: → operation_label, CEF: → operasjon_label, CEF:…) |
mpver_label |
security_result.detection_fields |
Combinado |
objecttype |
security_result.detection_fields |
Asignado: text → text_label |
operasjon_label |
security_result.detection_fields |
Combinado |
operation_label |
security_result.detection_fields |
Combinado |
permission_label |
security_result.detection_fields |
Combinado |
policy_id_label |
security_result.detection_fields |
Combinado |
sha256_label |
security_result.detection_fields |
Combinado |
spyware_Grayware_Type_label |
security_result.detection_fields |
Combinado |
startType_label |
security_result.detection_fields |
Combinado |
state_label |
security_result.detection_fields |
Combinado |
subRuleId_label |
security_result.detection_fields |
Combinado |
subRuleName_label |
security_result.detection_fields |
Combinado |
tag_label |
security_result.detection_fields |
Combinado |
text_label |
security_result.detection_fields |
Combinado |
threat_probability_label |
security_result.detection_fields |
Combinado |
tillatelse_label |
security_result.detection_fields |
Combinado |
was_key_label |
security_result.detection_fields |
Combinado |
winEventId_label |
security_result.detection_fields |
Combinado |
createdDateTime |
security_result.first_discovered_time |
Se cambió el nombre o se asignó |
firstSeen |
security_result.first_discovered_time |
Se cambió el nombre o se asignó |
lastSeen |
security_result.last_discovered_time |
Se cambió el nombre o se asignó |
updatedDateTime |
security_result.last_updated_time |
Se cambió el nombre o se asignó |
Score |
security_result.risk_score |
Se cambió el nombre o se asignó |
score |
security_result.risk_score |
Se cambió el nombre o se asignó |
detail.ruleId |
security_result.rule_id |
Se cambió el nombre o se asignó |
detail.uuid |
security_result.rule_id |
Asignada directamente |
filters.0.unique_id |
security_result.rule_id |
Asignada directamente |
ruleUuid |
security_result.rule_id |
Se cambió el nombre o se asignó |
detail.ruleName |
security_result.rule_name |
Se cambió el nombre o se asignó |
filters.0.id |
security_result.rule_name |
Asignada directamente |
mwProfile |
security_result.rule_name |
Asignada directamente |
object.CustomValue |
security_result.rule_name |
Asignada directamente |
ruleName |
security_result.rule_name |
Asignada directamente |
filter.type |
security_result.rule_type |
Asignada directamente |
ruleType |
security_result.rule_type |
Asignada directamente |
message |
security_result.severity |
Valores asignados (5 en total, p.ej., CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH) |
severity |
security_result.severity |
Valores asignados (6 en total, p. ej., "0", "1", "2", "3", "LOW" → LOW, "4", "5", "6", "MEDIUM", …) |
filter.riskLevel |
security_result.severity_details |
Asignada directamente |
Result |
security_result.summary |
Asignada directamente |
appcategory |
security_result.summary |
Asignada directamente |
filters.0.name |
security_result.summary |
Asignada directamente |
reason |
security_result.summary |
Se cambió el nombre o se asignó |
Spyware |
security_result.threat_name |
Asignada directamente |
Unknown_Threat |
security_result.threat_name |
Asignada directamente |
Virus_Malware_Name |
security_result.threat_name |
Asignada directamente |
object.value |
security_result.threat_name |
Asignada directamente |
workbenchLink |
security_result.url_back_to_product |
Se cambió el nombre o se asignó |
oldFilePath |
src.file.full_path |
Se cambió el nombre o se asignó |
oldFileSize |
src.file.size |
Se cambió el nombre o se asignó |
message |
src.resource.attribute.permissions |
Asignado: CEF: → old_permissions |
old_permissions |
src.resource.attribute.permissions |
Combinado |
dntdom |
target.administrative_domain |
Se cambió el nombre o se asignó |
destinationServiceName |
target.application |
Se cambió el nombre o se asignó |
detail.deviceGUID |
target.asset.asset_id |
Asignada directamente |
dst |
target.asset.ip |
Combinado |
ip_dst_value |
target.asset.ip |
Combinado |
message |
target.asset.ip |
Asignado: CEF: → dst, CEF: → ip_dst_value |
object_field |
target.asset.ip |
Asignado: dst → ip_dst_value |
object.CustomValue |
target.file.full_path |
Asignada directamente |
object.value |
target.file.full_path |
Asignada directamente |
value |
target.file.full_path |
Asignada directamente |
object.CustomValue |
target.file.sha1 |
Asignada directamente |
object.value |
target.file.sha1 |
Asignada directamente |
detail.objectFileSize |
target.file.size |
Asignada directamente |
message |
target.file.size |
Asignado: CEF: → uinteger |
temp_dhost |
target.hostname |
Asignada directamente |
IPv6_Address |
target.ip |
Combinado |
dst |
target.ip |
Combinado |
dst_ip |
target.ip |
Combinado |
ip_dst_value |
target.ip |
Combinado |
ipv6 |
target.ip |
Asignado: - → IPv6_Address |
message |
target.ip |
Asignado: CEF: → dst_ip, CEF: → IPv6_Address, CEF: → dst, CEF: → ip_dst_value |
object_field |
target.ip |
Asignado: dst → ip_dst_value |
mac_address |
target.mac |
Combinado |
message |
target.mac |
Asignado: CEF: → mac_address |
destination_translated_address |
target.nat_ip |
Combinado |
message |
target.nat_ip |
Asignado: CEF: → destination_translated_address |
destinationTranslatedPort |
target.nat_port |
Se cambió el nombre o se asignó |
dpt |
target.port |
Se cambió el nombre o se asignó |
dproc |
target.process.command_line |
Se cambió el nombre o se asignó |
object.CustomValue |
target.process.command_line |
Asignada directamente |
object.value |
target.process.command_line |
Asignada directamente |
objectCmd |
target.process.command_line |
Asignada directamente |
File_name |
target.process.file.full_path |
Asignada directamente |
Infected_Resource |
target.process.file.full_path |
Asignada directamente |
Object |
target.process.file.full_path |
Asignada directamente |
Objekt |
target.process.file.full_path |
Asignada directamente |
fileName |
target.process.file.full_path |
Asignada directamente |
object.CustomValue |
target.process.file.full_path |
Asignada directamente |
object.value |
target.process.file.full_path |
Asignada directamente |
objectFilePath |
target.process.file.full_path |
Asignada directamente |
objectFileHashMd5 |
target.process.file.md5 |
Asignada directamente |
object.CustomValue |
target.process.file.sha1 |
Asignada directamente |
object.value |
target.process.file.sha1 |
Asignada directamente |
objectFileHashSha1 |
target.process.file.sha1 |
Asignada directamente |
objectFileHashSha256 |
target.process.file.sha256 |
Asignada directamente |
object.CustomValue |
target.process.parent_process.command_line |
Asignada directamente |
object.CustomValue |
target.process.parent_process.file.full_path |
Asignada directamente |
object.CustomValue |
target.process.parent_process.file.sha1 |
Asignada directamente |
object.value |
target.process.parent_process.file.sha1 |
Asignada directamente |
dpid |
target.process.pid |
Se cambió el nombre o se asignó |
objectPid |
target.process.pid |
Asignada directamente |
command_line_label |
target.resource.attribute.labels |
Combinado |
dacDeviceType_label |
target.resource.attribute.labels |
Combinado |
endpointGUID_label |
target.resource.attribute.labels |
Combinado |
file_path_label |
target.resource.attribute.labels |
Combinado |
file_sha1_label |
target.resource.attribute.labels |
Combinado |
message |
target.resource.attribute.labels |
Valores asignados (6 en total, p. ej., CEF: → resource_Type_label, CEF: → dacDeviceType_label,…) |
objecttype |
target.resource.attribute.labels |
Asignado: command_line → command_line_label, file_sha1 → file_sha1_label, fullpath →… |
resource_Type_label |
target.resource.attribute.labels |
Combinado |
request |
target.url |
Asignada directamente |
message |
target.user.attribute.roles |
Asignado: CEF: → target_role |
target_role |
target.user.attribute.roles |
Combinado |
CustomerName |
target.user.user_display_name |
Asignada directamente |
temp_duser |
target.user.user_display_name |
Asignada directamente |
Bruker |
target.user.userid |
Asignada directamente |
User_value |
target.user.userid |
Asignada directamente |
temp_duid |
target.user.userid |
Asignada directamente |
| N/A | extensions.auth.type |
Constante: AUTHTYPE_UNSPECIFIED |
| N/A | metadata.event_type |
Constante: SCAN_UNCATEGORIZED |
| N/A | metadata.product_name |
Constante: Vision One |
| N/A | metadata.vendor_name |
Constante: Trend Micro |
| N/A | network.direction |
Constante: INBOUND |
| N/A | principal.platform |
Constante: WINDOWS |
| N/A | security_result.about.investigation.status |
Constante: NEW |
| N/A | security_result.severity |
Constante: LOW |
Registro de cambios
Consulta el registro de cambios de este analizador
¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.