Coletar registros do Trend Micro Vision One

Compatível com:

Este documento explica como coletar registros do Trend Micro Vision One configurando um feed do Google Security Operations. O analisador envia alertas, dados de eventos, vulnerabilidades de contêineres, dados de atividades e registros de auditoria para buckets do AWS S3 gerenciados pela Trend Micro. O Google SecOps recupera esses dados usando feeds de dados aproximadamente a cada 15 minutos. Os dados não recuperados nos buckets do S3 são retidos por sete dias antes de serem excluídos.

É possível criar vários feeds no Google SecOps e configurar os dados obtidos usando os feeds individualmente.

Antes de começar

  • Verifique se você tem uma instância do Google SecOps.
  • Verifique se você tem acesso privilegiado ao Trend Micro Vision One.

Configurar a exportação de dados do Trend Vision One para o Google SecOps

  1. No console do Trend Vision One, gere a chave de acesso e especifique os dados a serem enviados ao Google SecOps.
  2. Acesse Fluxo de trabalho e Automation > Integração de terceiros.
  3. Na coluna Integração, clique em Google Security Operations.
  4. Em Chave de acesso, clique em Gerar chave para gerar o ID da chave de acesso e a chave de acesso secreta. Salve o ID da chave de acesso e a chave de acesso secreta para uso posterior.
  5. Em Transferência de dados, ative o botão ao lado dos dados que você quer enviar para buckets do S3. Sempre que uma transferência de dados é ativada, um URI do S3 é gerado e os dados começam a ser enviados para o bucket do S3 correspondente. Copie e armazene o URI do S3 para uso posterior.
  6. Em Eventos e Dados de atividade, clique em Editar para modificar o escopo dos dados.
  7. Para parar de enviar um tipo de dado ao Google SecOps, desative a opção ao lado dele. Ao reativar a transferência de dados, um novo URI do S3 é gerado. Você precisa configurar um novo feed no Google SecOps.

Configurar um feed no Google SecOps para ingerir os registros do Trend Micro Vision One

  1. Acesse Configurações do SIEM > Feeds.
  2. Clique em Adicionar novo.
  3. No campo Nome do feed, insira um nome para o feed, por exemplo, Trend Micro Vision One Workbench Logs.
  4. Selecione Amazon S3 V2 como o Tipo de origem.
  5. Selecione os dados do Trend Vision One que você quer que o Google SecOps ingira como o Tipo de registro. As opções disponíveis incluem:
    • Trend Micro Vision One (em inglês)
    • Atividade do Trend Micro Vision One
    • Auditoria do Trend Micro Vision One
    • Vulnerabilidades de contêineres do Trend Micro Vision One
    • Detecções do Trend Micro Vision One
    • Técnicas de ataque observadas do Trend Micro Vision One
    • Trend Micro Vision One Workbench (em inglês)
  6. Clique em Próxima.
  7. Especifique valores para os seguintes parâmetros de entrada:
    • URI do S3: insira o URI do S3 obtido na seção anterior.
    • Opções de exclusão da fonte: selecione Nunca excluir arquivos.
    • Idade máxima do arquivo: inclui arquivos modificados nos últimos dias. O padrão é de 180 dias.
    • ID da chave de acesso: insira a chave de acesso do usuário obtida na seção anterior.
    • Chave de acesso secreta: insira a chave secreta do usuário com acesso ao bucket do S3 obtida na seção anterior.
    • Namespace do recurso: o namespace do recurso.
    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.
  8. Clique em Próxima.
  9. Revise a nova configuração do feed na tela Finalizar e clique em Enviar.

Repita esse processo para adicionar vários feeds de todos os tipos de dados do Trend Vision One que você quer ingerir no Google SecOps.

Tabela de mapeamento de UDM

Campo de registro Mapeamento de UDM Lógica
message about Mapeado: CEF: → about
deviceNtDomain about.administrative_domain Renomeado/mapeado
sslCertCommonName about.artifact.last_https_certificate.issuer.common_name Mapeado diretamente
sslCertSerialNumber about.artifact.last_https_certificate.serial_number Mapeado diretamente
sslCertFingerprint about.artifact.last_https_certificate.thumbprint Mapeado diretamente
sslCertValidUntil about.artifact.last_https_certificate.validity.expiry_time Mapeado diretamente
sslCertValidFrom about.artifact.last_https_certificate.validity.issue_time Mesclado
deviceExternalId about.asset.asset_id Mapeado diretamente
device_product about.asset.asset_id Mapeado diretamente
device_vendor about.asset.asset_id Mapeado diretamente
fileHash about.file.full_path Mapeado diretamente
filePath about.file.full_path Renomeado/mapeado
_hash about.file.sha256 Renomeado/mapeado
fileHash about.file.sha256 Renomeado/mapeado
fileSize about.file.size Renomeado/mapeado
fsize about.file.size Renomeado/mapeado
dvchost about.hostname Renomeado/mapeado
ips about.ip Mesclado
message about.ip Mapeado: CEF: → ips
dvc_mac about.mac Mapeado: slot → mac_address
dvcmac about.mac Mesclado
mac_address about.mac Mesclado
message about.mac Mapeado: CEF: → mac_address, CEF: → dvcmac
deviceTranslatedAddress about.nat_ip Mesclado
message about.nat_ip Mapeado: CEF: → deviceTranslatedAddress
Emne about.process.command_line Mapeado diretamente
Path about.process.command_line Mapeado diretamente
Subject about.process.command_line Mapeado diretamente
deviceProcessName about.process.command_line Renomeado/mapeado
dvcpid about.process.pid Renomeado/mapeado
message about.resource.attribute.permissions Mapeado: CEF: → permissions
permissions about.resource.attribute.permissions Mesclado
_field additional.fields Mesclado
accountCount_label additional.fields Mesclado
additional_cfp1 additional.fields Mesclado
additional_cfp2 additional.fields Mesclado
additional_cfp3 additional.fields Mesclado
additional_cfp4 additional.fields Mesclado
additional_cn1 additional.fields Mesclado
additional_cn2 additional.fields Mesclado
additional_cn3 additional.fields Mesclado
additional_cs1 additional.fields Mesclado
additional_cs2 additional.fields Mesclado
additional_cs3 additional.fields Mesclado
additional_cs4 additional.fields Mesclado
additional_cs5 additional.fields Mesclado
additional_cs6 additional.fields Mesclado
additional_cs7 additional.fields Mesclado
additional_devicePayloadId additional.fields Mesclado
additional_eventId additional.fields Mesclado
additional_eventSourceType additional.fields Mesclado
additional_eventSubId additional.fields Mesclado
additional_flexString1 additional.fields Mesclado
additional_fname additional.fields Mesclado
additional_integrityLevel additional.fields Mesclado
additional_objectFileHashId additional.fields Mesclado
additional_objectFirstSeen additional.fields Mesclado
additional_objectHashId additional.fields Mesclado
additional_objectLastSeen additional.fields Mesclado
additional_objectLaunchTime additional.fields Mesclado
additional_objectName additional.fields Mesclado
additional_objectRunAsLocalAccount additional.fields Mesclado
additional_objectSigner additional.fields Mesclado
additional_objectSignerValid additional.fields Mesclado
additional_objectUser additional.fields Mesclado
additional_objectUserDomain additional.fields Mesclado
additional_osType additional.fields Mesclado
additional_parentName additional.fields Mesclado
additional_parentSigner additional.fields Mesclado
additional_parentSignerValid additional.fields Mesclado
additional_parentUser additional.fields Mesclado
additional_parentUserDomain additional.fields Mesclado
additional_plang additional.fields Mesclado
additional_pplat additional.fields Mesclado
additional_processHashId additional.fields Mesclado
additional_processLaunchTime additional.fields Mesclado
additional_processTrueType additional.fields Mesclado
additional_processUser additional.fields Mesclado
additional_processUserDomain additional.fields Mesclado
additional_productCode additional.fields Mesclado
additional_searchDL additional.fields Mesclado
additional_srcFirstSeen additional.fields Mesclado
additional_srcHashId additional.fields Mesclado
additional_srcLastSeen additional.fields Mesclado
additional_uuid additional.fields Mesclado
alertProvider_label additional.fields Mesclado
caseId_label additional.fields Mesclado
clientIp_label additional.fields Mesclado
cloudIdentityCount_label additional.fields Mesclado
containerCount_label additional.fields Mesclado
cs2 additional.fields Mapeado: arc_test → additional_cs2
cs5_label additional.fields Mesclado
desktopCount_label additional.fields Mesclado
detail_channel_label additional.fields Mesclado
detail_engineOperation_label additional.fields Mesclado
detail_objectLaunchTime_label additional.fields Mesclado
detectionTime_label additional.fields Mesclado
emailAddressCount_label additional.fields Mesclado
endpoint_ip_label additional.fields Mesclado
endpoint_object_guid_label additional.fields Mesclado
engVer_label additional.fields Mesclado
entity_entityValue_label additional.fields Mesclado
entity_guid_value_label additional.fields Mesclado
entity_managementScopeGroupId_label additional.fields Mesclado
entity_managementScopeInstanceId_label additional.fields Mesclado
entity_managementScopePartitionKey_label additional.fields Mesclado
entity_type_label additional.fields Mesclado
eventSourceType_label additional.fields Mesclado
eventSubName_label additional.fields Mesclado
filePathName_label additional.fields Mesclado
incidentId_label additional.fields Mesclado
ingestionTime_label additional.fields Mesclado
instance_id_label additional.fields Mesclado
key additional.fields Mapeado: "device_Facility", "ApexCentral_Host" → _field
level_label additional.fields Mesclado
logKey_label additional.fields Mesclado
logReceivedTime_label additional.fields Mesclado
matchedDateTime_label additional.fields Mesclado
matched_filter_id_label additional.fields Mesclado
message additional.fields Valores mapeados (109 no total, por exemplo, CEF: → _field, CEF: → additional_eventId, CEF: → `a...
modelId_label additional.fields Mesclado
modelType_label additional.fields Mesclado
model_label additional.fields Mesclado
object_guid_label additional.fields Mesclado
objects_label additional.fields Mesclado
pname_additional_label additional.fields Mesclado
process_cmd_label additional.fields Mesclado
process_file_hash_sha1_label additional.fields Mesclado
process_file_hash_sha256_label additional.fields Mesclado
process_file_path_label additional.fields Mesclado
process_file_size_label additional.fields Mesclado
process_hash_id_label additional.fields Mesclado
process_launch_time_label additional.fields Mesclado
process_pid_label additional.fields Mesclado
process_user_label additional.fields Mesclado
provenance_data additional.fields Mesclado
reportLink_label additional.fields Mesclado
rtHour_label additional.fields Mesclado
rtWeekDay_label additional.fields Mesclado
schema_version_label additional.fields Mesclado
senderGUID_label additional.fields Mesclado
serverCount_label additional.fields Mesclado
serverIp_label additional.fields Mesclado
status_label additional.fields Mesclado
has_user extensions.auth.type Mapeado: true → AUTHTYPE_UNSPECIFIED
message extensions.auth.type Mapeado: CEF: → AUTHTYPE_UNSPECIFIED
message intermediary Mapeado: CEF: → intermediary
inter_host intermediary.hostname Mapeado diretamente
Model metadata.description Mapeado diretamente
description metadata.description Mapeado diretamente
eventSubName metadata.description Mapeado diretamente
msg metadata.description Renomeado/mapeado
Generated metadata.event_timestamp Analisado como yyyy-MM-ddTHH:mm:ss
Received metadata.event_timestamp Analisado como yyyy-MM-ddTHH:mm:ss
createdDateTime metadata.event_timestamp Analisado como ISO8601
detail.eventTime metadata.event_timestamp Analisado como UNIX_MS
detectedDateTime metadata.event_timestamp Analisado como yyyy-MM-ddTHH:mm:ssZ
detectionTime metadata.event_timestamp Analisado como yyyy-MM-ddTHH:mm:ssZ
firstSeen metadata.event_timestamp Analisado como UNIX_MS
ingestedDateTime metadata.event_timestamp Analisado como ISO8601
lastSeen metadata.event_timestamp Analisado como UNIX_MS
loggedDateTime metadata.event_timestamp Analisado como yyyy-MM-ddTHH:mm:ssZ
processFileModifiedTime metadata.event_timestamp Analisado como UNIX_MS
rt metadata.event_timestamp Analisado como UNIX_MS
sslCertValidFrom metadata.event_timestamp Analisado como ISO8601
sslCertValidUntil metadata.event_timestamp Analisado como ISO8601
unix_logReceivedTime metadata.event_timestamp Analisado como UNIX_MS
updatedDateTime metadata.event_timestamp Analisado como ISO8601
utc metadata.event_timestamp Analisado como yyyy-MM-ddTHH:mm:ss.SSSZ
event_name metadata.event_type Mapeado: "LogSpyware","LogPredictiveMachineLearning" → SCAN_UNCATEGORIZED
has_user metadata.event_type Mapeado: true → USER_LOGIN, true → USER_UNCATEGORIZED
message metadata.event_type Valores mapeados (8 no total, por exemplo, CEF: → SCAN_UNCATEGORIZED, CEF: → STATUS_UPDATE, CEF:...
principal_present metadata.event_type Mapeado: true → PROCESS_UNCATEGORIZED, true → NETWORK_CONNECTION, true → `PROCESS_L...
activity metadata.product_event_type Mapeado diretamente
device_event_class_id metadata.product_event_type Mapeado diretamente
event_name metadata.product_event_type Mapeado diretamente
type metadata.product_event_type Mapeado diretamente
WorkbenchID metadata.product_log_id Mapeado diretamente
detail.uuid metadata.product_log_id Mapeado diretamente
e_ID metadata.product_log_id Mapeado diretamente
externalId metadata.product_log_id Mapeado diretamente
id metadata.product_log_id Mapeado diretamente
detail.mpname metadata.product_name Mapeado diretamente
device_product metadata.product_name Mapeado diretamente
message metadata.product_name Mapeado: CEF: → Vision One
detail.mpver metadata.product_version Mapeado diretamente
device_version metadata.product_version Mapeado diretamente
device_vendor metadata.vendor_name Renomeado/mapeado
message metadata.vendor_name Mapeado: CEF: → Trend Micro
app_protocol_output network.application_protocol Mapeado diretamente
deviceDirection network.direction Mapeado: 0 → INBOUND, 1 → OUTBOUND
message network.direction Mapeado: CEF: → INBOUND, CEF: → OUTBOUND
object.CustomValue network.email.from Mapeado diretamente
message network.email.subject Mapeado: CEF: → title
title network.email.subject Mesclado
message network.email.to Mapeado: CEF: → object.CustomValue
object.CustomValue network.email.to Mesclado
objecttype network.email.to Mapeado: email_forward → object.CustomValue
requestMethod network.http.method Renomeado/mapeado
Link network.http.referral_url Mapeado diretamente
requestClientApplication network.http.user_agent Renomeado/mapeado
userAgent network.http.user_agent Mapeado diretamente
ip_protocol_out network.ip_protocol Mapeado diretamente
in network.received_bytes Renomeado/mapeado
out network.sent_bytes Renomeado/mapeado
sessionId network.session_id Mapeado diretamente
tlsSelectedCipher network.tls.cipher Mapeado diretamente
ja3Hash network.tls.client.ja3 Mapeado diretamente
ja3sHash network.tls.server.ja3s Mapeado diretamente
detail.mDeviceGUID observer.asset.asset_id Mapeado diretamente
detail.dvchost observer.hostname Mapeado diretamente
ip observer.ip Mesclado
message observer.ip Mapeado: CEF: → ip
account_domain principal.administrative_domain Mapeado diretamente
sntdom principal.administrative_domain Renomeado/mapeado
userDomain principal.administrative_domain Mapeado diretamente
userDomain.0 principal.administrative_domain Mapeado diretamente
application principal.application Renomeado/mapeado
sourceServiceName principal.application Renomeado/mapeado
detail.endpointGuid principal.asset.asset_id Mapeado diretamente
endpoint.agentGuid principal.asset.asset_id Mapeado diretamente
mDeviceGUID principal.asset.asset_id Mapeado diretamente
entityName_label principal.asset.attribute.labels Mesclado
message principal.asset.attribute.labels Mapeado: CEF: → entityName_label
endpoint.name principal.asset.hostname Mapeado diretamente
endpointHostName principal.asset.hostname Mapeado diretamente
object_hostname principal.asset.hostname Mapeado diretamente
shost principal.asset.hostname Mapeado diretamente
Appliance_IP_address principal.asset.ip Mesclado
IP_address principal.asset.ip Mesclado
ip principal.asset.ip Mesclado
ip_src_value principal.asset.ip Mesclado
message principal.asset.ip Valores mapeados (7 no total, por exemplo, CEF: → IP_address, CEF: → Appliance_IP_address, CEF: ...
object_field principal.asset.ip Mapeado: src → ip_src_value
shost principal.asset.ip Mesclado
src principal.asset.ip Mesclado
src_ip principal.asset.ip Mesclado
endpointGuid principal.asset_id Mapeado diretamente
object_guid principal.asset_id Mapeado diretamente
detail.fullPath principal.file.full_path Mapeado diretamente
requestMimeType principal.file.mime_type Mapeado diretamente
indicator.value principal.file.sha1 Mapeado diretamente
Group_name principal.group.group_display_name Mapeado diretamente
Gruppenavn principal.group.group_display_name Mapeado diretamente
clientGroup principal.group.group_display_name Mapeado diretamente
detail.groupId principal.group.product_object_id Mapeado diretamente
Device_name principal.hostname Mapeado diretamente
Enhetsnavn principal.hostname Mapeado diretamente
endpoint.name principal.hostname Mapeado diretamente
endpointHostName principal.hostname Mapeado diretamente
object_hostname principal.hostname Mapeado diretamente
shost principal.hostname Mapeado diretamente
Appliance_IP_address principal.ip Mesclado
IP_address principal.ip Mesclado
ip principal.ip Mesclado
ip_src_value principal.ip Mesclado
message principal.ip Valores mapeados (8 no total, por exemplo, CEF: → IP_address, CEF: → Appliance_IP_address, CEF: ...
object_field principal.ip Mapeado: src → ip_src_value
principal_ip principal.ip Mesclado
shost principal.ip Mesclado
src principal.ip Mesclado
src_ip principal.ip Mesclado
mac principal.mac Mesclado
message principal.mac Mapeado: CEF: → mac
message principal.nat_ip Mapeado: CEF: → sourceTranslatedAddress
sourceTranslatedAddress principal.nat_ip Mesclado
sourceTranslatedPort principal.nat_port Renomeado/mapeado
message principal.platform Mapeado: CEF: → WINDOWS, CEF: → MAC, CEF: → LINUX
osName principal.platform Mapeado: (?i)windows → WINDOWS, (?i)Mac/iOS → MAC, (?)Lin → LINUX
osVer principal.platform_version Mapeado diretamente
platform_version principal.platform_version Mapeado diretamente
spt principal.port Renomeado/mapeado
object.value principal.process.command_line Mapeado diretamente
processCmd principal.process.command_line Mapeado diretamente
process_cmd principal.process.command_line Mapeado diretamente
sproc principal.process.command_line Renomeado/mapeado
detail.processName principal.process.file.full_path Mapeado diretamente
object.value principal.process.file.full_path Mapeado diretamente
processFilePath principal.process.file.full_path Mapeado diretamente
process_file_path principal.process.file.full_path Mapeado diretamente
processFileModifiedTime principal.process.file.last_modification_time Renomeado/mapeado
detail.processFileHashMd5 principal.process.file.md5 Mapeado diretamente
processFileHashMd5 principal.process.file.md5 Mapeado diretamente
fileHash principal.process.file.sha1 Mapeado diretamente
object.value principal.process.file.sha1 Mapeado diretamente
processFileHashSha1 principal.process.file.sha1 Mapeado diretamente
process_file_hash_sha1 principal.process.file.sha1 Mapeado diretamente
fileHashSha256 principal.process.file.sha256 Mapeado diretamente
processFileHashSha256 principal.process.file.sha256 Mapeado diretamente
process_file_hash_sha256 principal.process.file.sha256 Mapeado diretamente
processFileSize principal.process.file.size Renomeado/mapeado
parentFilePath principal.process.parent_process.file.full_path Mapeado diretamente
parentFileHashMd5 principal.process.parent_process.file.md5 Mapeado diretamente
parentFileHashSha1 principal.process.parent_process.file.sha1 Mapeado diretamente
parentFileHashSha256 principal.process.parent_process.file.sha256 Mapeado diretamente
parentPid principal.process.parent_process.pid Mapeado diretamente
processPid principal.process.pid Mapeado diretamente
process_pid principal.process.pid Mapeado diretamente
spid principal.process.pid Renomeado/mapeado
message principal.resource.attribute.labels Mapeado: CEF: → sourceLabel, CEF: → pname_label, CEF: → senderGUID_label
pname_label principal.resource.attribute.labels Mesclado
senderGUID_label principal.resource.attribute.labels Mesclado
sourceLabel principal.resource.attribute.labels Mesclado
uuid principal.resource.product_object_id Mapeado diretamente
customer_name_label principal.user.attribute.labels Mesclado
message principal.user.attribute.labels Mapeado: CEF: → customer_name_label
message principal.user.attribute.roles Mapeado: CEF: → principal_role, CEF: → roles
principal_role principal.user.attribute.roles Mesclado
roles principal.user.attribute.roles Mesclado
message principal.user.department Mapeado: CEF: → userDepartment
userDepartment principal.user.department Mesclado
details.identifier.email principal.user.email_addresses Mesclado
entity.entityValue principal.user.email_addresses Mesclado
message principal.user.email_addresses Mapeado: CEF: → details.identifier.email, CEF: → entity.entityValue, CEF: → `princi...
principalName principal.user.email_addresses Mesclado
entity_entityValue principal.user.user_display_name Mapeado diretamente
loggedUser principal.user.user_display_name Mapeado diretamente
suser principal.user.user_display_name Mapeado diretamente
account principal.user.userid Mapeado diretamente
account_name principal.user.userid Mapeado diretamente
detail.suid principal.user.userid Mapeado diretamente
details.identifier.id principal.user.userid Mapeado diretamente
loggedUser principal.user.userid Mapeado diretamente
logonUser.0 principal.user.userid Mapeado diretamente
object.CustomValue principal.user.userid Mapeado diretamente
process_user principal.user.userid Mapeado diretamente
suid principal.user.userid Renomeado/mapeado
security_id principal.user.windows_sid Mapeado diretamente
message security_result Valores mapeados (5 no total, por exemplo, CEF: → security_result, CEF: → task_sec_res, CEF: → `...
sec security_result Mesclado
sec_isEntity security_result Mesclado
sec_res security_result Mesclado
task_sec_res security_result Mesclado
wasEntity.key security_result.about.file.full_path Mapeado diretamente
investigationResult security_result.about.investigation.comments Mesclado
message security_result.about.investigation.comments Mapeado: CEF: → investigationResult
investigationStatus security_result.about.investigation.status Mapeado: New → NEW, Closed → CLOSED, Open → OPEN, Reviewed → REVIEWED
message security_result.about.investigation.status Valores mapeados (5 no total, por exemplo, CEF: → NEW, CEF: → CLOSED, CEF: → OPEN)
attr_value security_result.about.process.command_line Mapeado diretamente
_action security_result.action Mesclado
act security_result.action Mapeado: accept → _action, deny → _action
action_data security_result.action Mesclado
message security_result.action Mapeado: CEF: → _action, CEF: → action_data, CEF: → security_result_action
object_field security_result.action Mapeado: actResult → security_result_action
result security_result.action Mapeado: Successful → action_data, Unsuccess → action_data
security_result_action security_result.action Mesclado
Action_Taken security_result.action_details Mapeado diretamente
act security_result.action_details Mapeado diretamente
actResult security_result.action_details Mapeado diretamente
detail.accessPermission security_result.action_details Mapeado diretamente
result security_result.action_details Mapeado diretamente
message security_result.attack_details.tactics Mapeado: CEF: → tactics, CEF: → tactic
tactic security_result.attack_details.tactics Mesclado
tactics security_result.attack_details.tactics Mesclado
message security_result.attack_details.techniques Mapeado: CEF: → techniques
techniques security_result.attack_details.techniques Mesclado
act security_result.category Mapeado: Block → event_category
event_category security_result.category Mesclado
message security_result.category Mapeado: CEF: → event_category
cat security_result.category_details Mesclado
category security_result.category_details Mesclado
detail.behaviorCat security_result.category_details Mesclado
message security_result.category_details Mapeado: CEF: → cat, CEF: → category, CEF: → detail.behaviorCat
Scan_Type security_result.description Mapeado diretamente
Type security_result.description Mapeado diretamente
filters.0.description security_result.description Mapeado diretamente
msg_data_2 security_result.description Mapeado diretamente
LogonID_label security_result.detection_fields Mesclado
accessType_label security_result.detection_fields Mesclado
access_right_label security_result.detection_fields Mesclado
account_modified_name_label security_result.detection_fields Mesclado
account_type_label security_result.detection_fields Mesclado
activity_label security_result.detection_fields Mesclado
attr_name security_result.detection_fields Mapeado: sha256 → sha256_label, startType → startType_label, state → state_label
evt_type_label security_result.detection_fields Mesclado
filepath_label security_result.detection_fields Mesclado
highlighted_field_label security_result.detection_fields Mesclado
highlighted_type_label security_result.detection_fields Mesclado
indicator_label security_result.detection_fields Mesclado
infection_channel_label security_result.detection_fields Mesclado
matched_event_uuid_label security_result.detection_fields Mesclado
message security_result.detection_fields Valores mapeados (30 no total, por exemplo, CEF: → operation_label, CEF: → operasjon_label, CEF:...)
mpver_label security_result.detection_fields Mesclado
objecttype security_result.detection_fields Mapeado: text → text_label
operasjon_label security_result.detection_fields Mesclado
operation_label security_result.detection_fields Mesclado
permission_label security_result.detection_fields Mesclado
policy_id_label security_result.detection_fields Mesclado
sha256_label security_result.detection_fields Mesclado
spyware_Grayware_Type_label security_result.detection_fields Mesclado
startType_label security_result.detection_fields Mesclado
state_label security_result.detection_fields Mesclado
subRuleId_label security_result.detection_fields Mesclado
subRuleName_label security_result.detection_fields Mesclado
tag_label security_result.detection_fields Mesclado
text_label security_result.detection_fields Mesclado
threat_probability_label security_result.detection_fields Mesclado
tillatelse_label security_result.detection_fields Mesclado
was_key_label security_result.detection_fields Mesclado
winEventId_label security_result.detection_fields Mesclado
createdDateTime security_result.first_discovered_time Renomeado/mapeado
firstSeen security_result.first_discovered_time Renomeado/mapeado
lastSeen security_result.last_discovered_time Renomeado/mapeado
updatedDateTime security_result.last_updated_time Renomeado/mapeado
Score security_result.risk_score Renomeado/mapeado
score security_result.risk_score Renomeado/mapeado
detail.ruleId security_result.rule_id Renomeado/mapeado
detail.uuid security_result.rule_id Mapeado diretamente
filters.0.unique_id security_result.rule_id Mapeado diretamente
ruleUuid security_result.rule_id Renomeado/mapeado
detail.ruleName security_result.rule_name Renomeado/mapeado
filters.0.id security_result.rule_name Mapeado diretamente
mwProfile security_result.rule_name Mapeado diretamente
object.CustomValue security_result.rule_name Mapeado diretamente
ruleName security_result.rule_name Mapeado diretamente
filter.type security_result.rule_type Mapeado diretamente
ruleType security_result.rule_type Mapeado diretamente
message security_result.severity Valores mapeados (5 no total, por exemplo, CEF: → LOW, CEF: → MEDIUM, CEF: → HIGH)
severity security_result.severity Valores mapeados (6 no total, por exemplo, "0", "1", "2", "3", "LOW" → LOW, "4", "5", "6", "MEDIUM", ... )
filter.riskLevel security_result.severity_details Mapeado diretamente
Result security_result.summary Mapeado diretamente
appcategory security_result.summary Mapeado diretamente
filters.0.name security_result.summary Mapeado diretamente
reason security_result.summary Renomeado/mapeado
Spyware security_result.threat_name Mapeado diretamente
Unknown_Threat security_result.threat_name Mapeado diretamente
Virus_Malware_Name security_result.threat_name Mapeado diretamente
object.value security_result.threat_name Mapeado diretamente
workbenchLink security_result.url_back_to_product Renomeado/mapeado
oldFilePath src.file.full_path Renomeado/mapeado
oldFileSize src.file.size Renomeado/mapeado
message src.resource.attribute.permissions Mapeado: CEF: → old_permissions
old_permissions src.resource.attribute.permissions Mesclado
dntdom target.administrative_domain Renomeado/mapeado
destinationServiceName target.application Renomeado/mapeado
detail.deviceGUID target.asset.asset_id Mapeado diretamente
dst target.asset.ip Mesclado
ip_dst_value target.asset.ip Mesclado
message target.asset.ip Mapeado: CEF: → dst, CEF: → ip_dst_value
object_field target.asset.ip Mapeado: dst → ip_dst_value
object.CustomValue target.file.full_path Mapeado diretamente
object.value target.file.full_path Mapeado diretamente
value target.file.full_path Mapeado diretamente
object.CustomValue target.file.sha1 Mapeado diretamente
object.value target.file.sha1 Mapeado diretamente
detail.objectFileSize target.file.size Mapeado diretamente
message target.file.size Mapeado: CEF: → uinteger
temp_dhost target.hostname Mapeado diretamente
IPv6_Address target.ip Mesclado
dst target.ip Mesclado
dst_ip target.ip Mesclado
ip_dst_value target.ip Mesclado
ipv6 target.ip Mapeado: - → IPv6_Address
message target.ip Mapeado: CEF: → dst_ip, CEF: → IPv6_Address, CEF: → dst, CEF: → ip_dst_value
object_field target.ip Mapeado: dst → ip_dst_value
mac_address target.mac Mesclado
message target.mac Mapeado: CEF: → mac_address
destination_translated_address target.nat_ip Mesclado
message target.nat_ip Mapeado: CEF: → destination_translated_address
destinationTranslatedPort target.nat_port Renomeado/mapeado
dpt target.port Renomeado/mapeado
dproc target.process.command_line Renomeado/mapeado
object.CustomValue target.process.command_line Mapeado diretamente
object.value target.process.command_line Mapeado diretamente
objectCmd target.process.command_line Mapeado diretamente
File_name target.process.file.full_path Mapeado diretamente
Infected_Resource target.process.file.full_path Mapeado diretamente
Object target.process.file.full_path Mapeado diretamente
Objekt target.process.file.full_path Mapeado diretamente
fileName target.process.file.full_path Mapeado diretamente
object.CustomValue target.process.file.full_path Mapeado diretamente
object.value target.process.file.full_path Mapeado diretamente
objectFilePath target.process.file.full_path Mapeado diretamente
objectFileHashMd5 target.process.file.md5 Mapeado diretamente
object.CustomValue target.process.file.sha1 Mapeado diretamente
object.value target.process.file.sha1 Mapeado diretamente
objectFileHashSha1 target.process.file.sha1 Mapeado diretamente
objectFileHashSha256 target.process.file.sha256 Mapeado diretamente
object.CustomValue target.process.parent_process.command_line Mapeado diretamente
object.CustomValue target.process.parent_process.file.full_path Mapeado diretamente
object.CustomValue target.process.parent_process.file.sha1 Mapeado diretamente
object.value target.process.parent_process.file.sha1 Mapeado diretamente
dpid target.process.pid Renomeado/mapeado
objectPid target.process.pid Mapeado diretamente
command_line_label target.resource.attribute.labels Mesclado
dacDeviceType_label target.resource.attribute.labels Mesclado
endpointGUID_label target.resource.attribute.labels Mesclado
file_path_label target.resource.attribute.labels Mesclado
file_sha1_label target.resource.attribute.labels Mesclado
message target.resource.attribute.labels Valores mapeados (6 no total, por exemplo, CEF: → resource_Type_label, CEF: → dacDeviceType_label,...
objecttype target.resource.attribute.labels Mapeado: command_line → command_line_label, file_sha1 → file_sha1_label, fullpath →...
resource_Type_label target.resource.attribute.labels Mesclado
request target.url Mapeado diretamente
message target.user.attribute.roles Mapeado: CEF: → target_role
target_role target.user.attribute.roles Mesclado
CustomerName target.user.user_display_name Mapeado diretamente
temp_duser target.user.user_display_name Mapeado diretamente
Bruker target.user.userid Mapeado diretamente
User_value target.user.userid Mapeado diretamente
temp_duid target.user.userid Mapeado diretamente
N/A extensions.auth.type Constante: AUTHTYPE_UNSPECIFIED
N/A metadata.event_type Constante: SCAN_UNCATEGORIZED
N/A metadata.product_name Constante: Vision One
N/A metadata.vendor_name Constante: Trend Micro
N/A network.direction Constante: INBOUND
N/A principal.platform Constante: WINDOWS
N/A security_result.about.investigation.status Constante: NEW
N/A security_result.severity Constante: LOW

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.