איסוף יומנים של Versa Networks Secure Access Service Edge (SASE)‎

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומני Secure Access Service Edge (SASE) של Versa Networks ב-Google Security Operations באמצעות סוכן Bindplane.

‫Versa Networks SASE היא פלטפורמה מאוחדת לאבטחה ולרשתות, שיוצרת הודעות syslog לאירועי חומת אש, יומני איומים, סיווג אפליקציות, סינון כתובות URL, זיהויים של IDS או IPS ואירועי התרעה. הכלי לניתוח מחלץ צמדי מפתח/ערך מהודעות syslog וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין צומת Versa Analytics
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה מיוחדת ל-Versa SASE

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
3. לוחצים על Create service account.
4. מספקים את פרטי ההגדרה הבאים:
   • Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח ה-JSON הוא פרטי כניסה. צריך להגביל את הגישה לקובץ במארח Bindplane ולבצע רוטציה של המפתח בהתאם למדיניות הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API הקודם (malachiteingestion-pa.googleapis.com), ש-Google מתכננת להפסיק את התמיכה בו ב-20 ביולי 2027. כדאי לתכנן את המעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.

3. מעתיקים את מזהה הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: צריך להזין את מספר הלקוח כדי להגדיר את כלי הייצוא של סוכן Bindplane.

התקנת סוכן Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. מאמתים את ההתקנה על ידי הרצת:

   sudo systemctl status observiq-otel-collector
   

   השירות צריך להופיע כפעיל (פועל).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

מאתרים את קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ תצורה

• מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

  receivers:
    tcplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/versa_firewall:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: VERSA_FIREWALL
      raw_log_field: body
  
  service:
    pipelines:
      logs/versa_firewall_to_chronicle:
        receivers:
          - tcplog
        exporters:
          - chronicle/versa_firewall
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת המקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)
    • ב-Versa משתמשים בתעבורת TCP, ולכן נדרש מקלט tcplog

• הגדרת כלי הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    • ‫Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫location: מחליפים את <LOCATION> באזור של מופע Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). ערך זה מתווסף לתחילית chronicle.googleapis.com של הכלי לייצוא. לרשימה המלאה, ראו נקודות קצה אזוריות.
  • ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  • ‫endpoint: משאירים את הערך chronicle.googleapis.com.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/versa_firewall:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: VERSA_FIREWALL
      raw_log_field: body
  

הערה: הכלי הזה לייצוא יפסיק לפעול כשתמיכת ה-API להעברת נתונים תופסק ב-20 ביולי 2027.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
  • ‫Windows: לוחצים על קובץ > שמירה.

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת פקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת Versa Networks SASE

האדמינים צריכים להגדיר אוספי נתונים מרוחקים בכל צומת של Versa Analytics כדי להעביר יומנים למערכות של צד שלישי.

הפעלת העברת יומנים

1. נכנסים לשרת הניתוח של Versa.
2. עוברים אל CLI באמצעות הפקודה cli.
3. עוברים אל מצב הגדרה על ידי הפעלת הפקודה configure, ואז מזינים load merge terminal.

4. מעתיקים ומדביקים את הפקודות הבאות כדי להגדיר העברת יומנים (מחליפים את <collector_ip> ואת <collector_port> בכתובת ה-IP ובפורט של כלי האיסוף של syslog):

   set system analytics log-collector-exporter destination-address <collector_ip>
   set system analytics log-collector-exporter destination-port <collector_port>
   set system analytics log-collector-exporter transport tcp
   set system analytics log-collector-exporter log-types firewall-log
   set system analytics log-collector-exporter log-types threat-log
   commit
   

5. שומרים את ההגדרה:

   save
   

   הערה: אם לא מציינים סוג יומן, כל האירועים מסוג יומן מועברים בסטרימינג.

הפעלת רישום ביומן של מזהה הסשן

כדי לתעד מידע שקשור לכתובת ה-IP, צריך להפעיל את התיעוד של מזהה הסשן:

1. נכנסים אל Versa Director.
2. עוברים למצב במאי.
3. עוברים אל הגדרה > מכשירים > דייר > מכשיר כדי לגשת אל תצוגת המכשיר.
4. בוחרים באפשרות הגדרה > אחרים > מערכת > הגדרה > הגדרה.
5. בחלונית פרמטרים, לוחצים על עריכה.
6. בחלון עריכת פרמטרים, בוחרים באפשרות LEF.
7. בקטע Firewall, מסמנים את התיבה Include session ID logging.

8. לוחצים על OK.

   הערה: בגרסאות 21.1.1 ואילך, זיהוי הסשנים מופעל באופן אוטומטי.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
accCkt	additional.fields[].key: "accCkt" additional.fields[].value.string_value: accCkt	הערך נלקח ישירות מהשדה accCkt.
accCktId	additional.fields[].key: "accCktId" additional.fields[].value.string_value: accCktId	הערך נלקח ישירות מהשדה accCktId.
accCktName	additional.fields[].key: "accCktName" additional.fields[].value.string_value: accCktName	הערך נלקח ישירות מהשדה accCktName.
accessType	additional.fields[].key: "accessType" additional.fields[].value.string_value: accessType	הערך נלקח ישירות מהשדה accessType.
action	security_result.action: action	אם action, ‏ type, ‏ idpAction, ‏ avAction או urlAction מוגדרים כ-allow, אז ALLOW. אם action,‏ type,‏ idpAction,‏ avAction או urlAction הם reject,‏ drop,‏ block או deny, אז BLOCK. אם idpAction הוא כל דבר אחר, אז UNKNOWN_ACTION.
alarmCause	security_result.detection_fields[].key: "alarmCause" security_result.detection_fields[].value: alarmCause	הערך נלקח ישירות מהשדה alarmCause.
alarmClass	security_result.detection_fields[].key: "alarmClass" security_result.detection_fields[].value: alarmClass	הערך נלקח ישירות מהשדה alarmClass.
alarmClearable	security_result.detection_fields[].key: "alarmClearable" security_result.detection_fields[].value: alarmClearable	הערך נלקח ישירות מהשדה alarmClearable.
alarmEventType	metadata.product_event_type: alarmEventType	הערך נלקח ישירות מהשדה alarmEventType.
alarmKey	security_result.detection_fields[].key: "alarmKey" security_result.detection_fields[].value: alarmKey	הערך נלקח ישירות מהשדה alarmKey.
alarmKind	security_result.detection_fields[].key: "alarmKind" security_result.detection_fields[].value: alarmKind	הערך נלקח ישירות מהשדה alarmKind.
alarmOwner	security_result.detection_fields[].key: "alarmOwner" security_result.detection_fields[].value: alarmOwner	הערך נלקח ישירות מהשדה alarmOwner.
alarmSeqNo	security_result.detection_fields[].key: "alarmSeqNo" security_result.detection_fields[].value: alarmSeqNo	הערך נלקח ישירות מהשדה alarmSeqNo.
alarmSeverity	security_result.severity_details: alarmSeverity	הערך נלקח ישירות מהשדה alarmSeverity.
alarmText	security_result.summary: alarmText	הערך נלקח ישירות מהשדה alarmText, אחרי שהוסרו ממנו המירכאות הכפולות.
alarmType	security_result.description: alarmType	הערך נלקח ישירות מהשדה alarmType.
appFamily	metadata.product_event_type: appFamily security_result.detection_fields[].key: "appFamily" security_result.detection_fields[].value: appFamily	הערך נלקח ישירות מהשדה appFamily.
appId	security_result.detection_fields[].key: "מזהה האפליקציה" security_result.detection_fields[].value: appId	הערך נלקח ישירות מהשדה appId.
appIdStr	security_result.detection_fields[].key: "appIdStr" security_result.detection_fields[].value: appIdStr	הערך נלקח ישירות מהשדה appIdStr.
applianceName	principal.hostname: applianceName	הערך נלקח ישירות מהשדה applianceName, siteName או site.
appProductivity	security_result.detection_fields[].key: "appProductivity" security_result.detection_fields[].value: appProductivity	הערך נלקח ישירות מהשדה appProductivity.
appRisk	security_result.severity_details: appRisk	הערך נלקח ישירות מהשדה appRisk.
appSubFamily	security_result.detection_fields[].key: "appSubFamily" security_result.detection_fields[].value: appSubFamily	הערך נלקח ישירות מהשדה appSubFamily.
avAccuracy	additional.fields[].key: "avAccuracy" additional.fields[].value.string_value: avAccuracy	הערך נלקח ישירות מהשדה avAccuracy.
avAction	security_result.action: avAction	הלוגיקה מפורטת בaction.
avMalwareName	security_result.threat_name: avMalwareName	הערך נלקח ישירות מהשדה avMalwareName.
avMalwareType	security_result.category_details: avMalwareType	הערך נלקח ישירות מהשדה avMalwareType.
classMsg	security_result.description: classMsg	הערך נלקח ישירות מהשדה classMsg, ללא המירכאות הכפולות.
clientIPv4Address	target.ip: clientIPv4Address	הערך נלקח ישירות מהשדה clientIPv4Address.
destIp	target.ip: destIp destinationIPv4Address: destIp	הערך נלקח ישירות מהשדה destIp.
destinationIPv4Address	target.ip: destinationIPv4Address	הערך נלקח ישירות מהשדה destinationIPv4Address או נגזר מהשדה networkPrefix.
destinationIPv6Address	target.ip: destinationIPv6Address	הערך נלקח ישירות מהשדה destinationIPv6Address.
destinationPort	target.port: destinationPort	הערך נלקח ישירות מהשדה destinationPort והומר למספר שלם.
destinationTransportPort	target.port: destinationTransportPort	הערך נלקח ישירות מהשדה destinationTransportPort ומומר למספר שלם.
deviceKey	about.resource.attribute.labels[].key: "deviceKey" about.resource.attribute.labels[].value: deviceKey	הערך נלקח ישירות מהשדה deviceKey אם הוא לא "לא ידוע".
deviceName	about.resource.attribute.labels[].key: "deviceName" about.resource.attribute.labels[].value: deviceName	הערך נלקח ישירות מהשדה deviceName אם הוא לא "לא ידוע".
duration	network.session_duration.seconds: duration	הערך נלקח ישירות מהשדה duration ומומר למספר שלם.
egressInterfaceName	additional.fields[].key: "egressInterfaceName" additional.fields[].value.string_value: egressInterfaceName	הערך נלקח ישירות מהשדה egressInterfaceName.
event.type	metadata.event_type: event.type	אם מופיעים גם applianceName (או sourceIPv4Address או user או sourceIPv6Address) וגם destinationIPv4Address (או remoteSite או destinationIPv6Address או clientIPv4Address או hostname), נשתמש ב-NETWORK_CONNECTION. אחרת, STATUS_UPDATE. אם applianceName ריק, אז GENERIC_EVENT.
eventType	principal.resource.attribute.labels[].key: "eventType" principal.resource.attribute.labels[].value: eventType	הערך נלקח ישירות מהשדה eventType.
family	security_result.detection_fields[].key: "family" security_result.detection_fields[].value: family	הערך נלקח ישירות מהשדה family.
fc	security_result.detection_fields[].key: "ForwardingClass" security_result.detection_fields[].value: fc	הערך נלקח ישירות מהשדה fc.
fileTransDir	additional.fields[].key: "fileTransDir" additional.fields[].value.string_value: fileTransDir	הערך נלקח ישירות מהשדה fileTransDir.
filename	target.file.names: filename	הערך נלקח ישירות מהשדה filename.
flowCookie	metadata.collected_timestamp: flowCookie	הערך נלקח ישירות מהשדה flowCookie והומר לחותמת זמן בפורמט UNIX.
flowId	principal.resource.product_object_id: flowId	הערך נלקח ישירות מהשדה flowId.
forwardForwardingClass	security_result.detection_fields[].key: "forwardForwardingClass" security_result.detection_fields[].value: forwardForwardingClass	הערך נלקח ישירות מהשדה forwardForwardingClass.
fromCountry	‫principal.location.country_or_region: ‏fromCountry ‫target.location.country_or_region: ‏fromCountry	הערך נלקח ישירות מהשדה fromCountry.
fromUser	principal.user.userid: fromUser	הערך נלקח ישירות מהשדה fromUser אם הוא לא ריק, לא unknown ולא Unknown.
fromZone	additional.fields[].key: "fromZone" additional.fields[].value.string_value: fromZone	הערך נלקח ישירות מהשדה fromZone.
generateTime	metadata.collected_timestamp: generateTime	הערך נלקח ישירות מהשדה generateTime ומומר לחותמת זמן בפורמט UNIX.
hostname	target.hostname: hostname	הערך נלקח ישירות מהשדה hostname.
httpUrl	target.url: httpUrl	הערך נלקח ישירות מהשדה httpUrl.
icmpTypeIPv4	additional.fields[].key: "icmpTypeIPv4" additional.fields[].value.string_value: icmpTypeIPv4	הערך נלקח ישירות מהשדה icmpTypeIPv4.
idpAction	security_result.action: idpAction	הלוגיקה מפורטת במאמר action.
ingressInterfaceName	additional.fields[].key: "ingressInterfaceName" additional.fields[].value.string_value: ingressInterfaceName	הערך נלקח ישירות מהשדה ingressInterfaceName.
ipsApplication	additional.fields[].key: "ipsApplication" additional.fields[].value.string_value: ipsApplication	הערך נלקח ישירות מהשדה ipsApplication.
ipsDirection	security_result.detection_fields[].key: "ipsDirection" security_result.detection_fields[].value: ipsDirection	הערך נלקח ישירות מהשדה ipsDirection.
ipsProfile	security_result.detection_fields[].key: "ipsProfile" security_result.detection_fields[].value: ipsProfile	הערך נלקח ישירות מהשדה ipsProfile.
ipsProfileRule	security_result.rule_name: ipsProfileRule	הערך נלקח ישירות מהשדה ipsProfileRule.
ipsProtocol	network.ip_protocol: ipsProtocol	הערך נלקח ישירות מהשדה ipsProtocol.
log_type	‫metadata.description: ‏log_type ‫metadata.log_type: ‏log_type	הערך נלקח ישירות מהשדה log_type.
mstatsTimeBlock	metadata.collected_timestamp: mstatsTimeBlock	הערך נלקח ישירות מהשדה mstatsTimeBlock והומר לחותמת זמן בפורמט UNIX.
mstatsTotRecvdOctets	network.received_bytes: mstatsTotRecvdOctets	הערך נלקח ישירות מהשדה mstatsTotRecvdOctets ומומר למספר שלם ללא סימן.
mstatsTotSentOctets	network.sent_bytes: mstatsTotSentOctets	הערך נלקח ישירות מהשדה mstatsTotSentOctets ומומר למספר שלם ללא סימן.
mstatsTotSessCount	additional.fields[].key: "mstatsTotSessCount" additional.fields[].value.string_value: mstatsTotSessCount	הערך נלקח ישירות מהשדה mstatsTotSessCount.
mstatsTotSessDuration	network.session_duration.seconds: mstatsTotSessDuration	הערך נלקח ישירות מהשדה mstatsTotSessDuration ומומר למספר שלם.
mstatsType	security_result.category_details: mstatsType	הערך נלקח ישירות מהשדה mstatsType.
networkPrefix	target.ip: networkPrefix target.port: networkPrefix	כתובת ה-IP שחולצה מהשדה networkPrefix. היציאה חולצה מהשדה networkPrefix והומרה למספר שלם.
protocolIdentifier	network.ip_protocol: protocolIdentifier	הערך נלקח ישירות מהשדה protocolIdentifier, מומר למספר שלם וממופה לשם של פרוטוקול IP באמצעות חיפוש.
recvdOctets	network.received_bytes: recvdOctets	הערך נלקח ישירות מהשדה recvdOctets והומר למספר שלם לא מסומן.
recvdPackets	network.received_packets: recvdPackets	הערך נלקח ישירות מהשדה recvdPackets והומר למספר שלם.
remoteSite	target.hostname: remoteSite	הערך נלקח ישירות מהשדה remoteSite.
reverseForwardingClass	security_result.detection_fields[].key: "reverseForwardingClass" security_result.detection_fields[].value: reverseForwardingClass	הערך נלקח ישירות מהשדה reverseForwardingClass.
risk	security_result.risk_score: risk	הערך נלקח ישירות מהשדה risk ומומר ל-float.
rule	security_result.rule_name: rule	הערך נלקח ישירות מהשדה rule.
sentOctets	network.sent_bytes: sentOctets	הערך נלקח ישירות מהשדה sentOctets ומומר למספר שלם ללא סימן.
sentPackets	network.sent_packets: sentPackets	הערך נלקח ישירות מהשדה sentPackets והומר למספר שלם.
serialNum	security_result.detection_fields[].key: "serialNum" security_result.detection_fields[].value: serialNum	הערך נלקח ישירות מהשדה serialNum.
signatureId	security_result.detection_fields[].key: "signatureID" security_result.detection_fields[].value: signatureId	הערך נלקח ישירות מהשדה signatureId.
signatureMsg	security_result.detection_fields[].key: "signatureMsg" security_result.detection_fields[].value: signatureMsg	הערך נלקח ישירות מהשדה signatureMsg.
signaturePriority	security_result.severity: signaturePriority	אם signaturePriority הוא "low" (לא תלוי-רישיות), אז LOW. אם signaturePriority הוא 'medium' (לא תלוי-רישיות), אז MEDIUM. אם הערך של signaturePriority הוא 'גבוה' (לא תלוי רישיות), אז HIGH.
site	‫principal.hostname: ‏site ‫applianceName: ‏site	הערך נלקח ישירות מהשדה site.
siteId	additional.fields[].key: "siteId" additional.fields[].value.string_value: siteId	הערך נלקח ישירות מהשדה siteId.
siteName	‫principal.hostname: ‏siteName ‫applianceName: ‏siteName	הערך נלקח ישירות מהשדה siteName.
sourceIPv4Address	principal.ip: sourceIPv4Address	הערך נלקח ישירות מהשדה sourceIPv4Address.
sourceIPv6Address	principal.ip: sourceIPv6Address	הערך נלקח ישירות מהשדה sourceIPv6Address.
sourcePort	principal.port: sourcePort	הערך נלקח ישירות מהשדה sourcePort והומר למספר שלם.
sourceTransportPort	principal.port: sourceTransportPort	הערך נלקח ישירות מהשדה sourceTransportPort ומומר למספר שלם.
subFamily	security_result.detection_fields[].key: "subFamily" security_result.detection_fields[].value: subFamily	הערך נלקח ישירות מהשדה subFamily.
tcpConnAborted	additional.fields[].key: "tcpConnAborted" additional.fields[].value.string_value: tcpConnAborted	הערך נלקח ישירות מהשדה tcpConnAborted אם הוא לא ריק או לא מכיל את הערך "0".
tcpConnRefused	additional.fields[].key: "tcpConnRefused" additional.fields[].value.string_value: tcpConnRefused	הערך נלקח ישירות מהשדה tcpConnRefused אם הוא לא ריק או לא מכיל את הערך "0".
tcpPktsFwd	network.sent_packets: tcpPktsFwd	הערך נלקח ישירות מהשדה tcpPktsFwd ומומר למספר שלם.
tcpPktsRev	network.received_packets: tcpPktsRev	הערך נלקח ישירות מהשדה tcpPktsRev והומר למספר שלם.
tcpReXmitFwd	additional.fields[].key: "tcpReXmitFwd" additional.fields[].value.string_value: tcpReXmitFwd	הערך נלקח ישירות מהשדה tcpReXmitFwd אם הוא לא ריק או לא מכיל את הערך "0".
tcpReXmitRev	additional.fields[].key: "tcpReXmitRev" additional.fields[].value.string_value: tcpReXmitRev	הערך נלקח ישירות מהשדה tcpReXmitRev אם הוא לא ריק או לא מכיל את הערך "0".
tcpSAA	additional.fields[].key: "tcpSAA" additional.fields[].value.string_value: tcpSAA	הערך נלקח ישירות מהשדה tcpSAA אם הוא לא ריק או לא מכיל את הערך "0".
tcpSSA	additional.fields[].key: "tcpSSA" additional.fields[].value.string_value: tcpSSA	הערך נלקח ישירות מהשדה tcpSSA אם הוא לא ריק או לא מכיל את הערך "0".
tcpSessCnt	additional.fields[].key: "tcpSessCnt" additional.fields[].value.string_value: tcpSessCnt	הערך נלקח ישירות מהשדה tcpSessCnt.
tcpSessDur	network.session_duration.seconds: tcpSessDur	הערך נלקח ישירות מהשדה tcpSessDur והומר למספר שלם.
tcpSynAckReXmit	additional.fields[].key: "tcpSynAckReXmit" additional.fields[].value.string_value: tcpSynAckReXmit	הערך נלקח ישירות מהשדה tcpSynAckReXmit אם הוא לא ריק או לא '0'.
tcpSynReXmit	additional.fields[].key: "tcpSynReXmit" additional.fields[].value.string_value: tcpSynReXmit	הערך נלקח ישירות מהשדה tcpSynReXmit אם הוא לא ריק או לא מכיל את הערך "0".
tcpTWHS	additional.fields[].key: "tcpTWHS" additional.fields[].value.string_value: tcpTWHS	הערך נלקח ישירות מהשדה tcpTWHS אם הוא לא ריק או לא מכיל את הערך "0".
tenantId	principal.resource.attribute.labels[].key: "tenantId" principal.resource.attribute.labels[].value: tenantId	הערך נלקח ישירות מהשדה tenantId.
tenantName	observer.hostname: tenantName	הערך נלקח ישירות מהשדה tenantName.
threatType	security_result.detection_fields[].key: "threatType" security_result.detection_fields[].value: threatType	הערך נלקח ישירות מהשדה threatType.
toCountry	target.location.country_or_region: toCountry	הערך נלקח ישירות מהשדה toCountry.
toZone	additional.fields[].key: "toZone" additional.fields[].value.string_value: toZone	הערך נלקח ישירות מהשדה toZone.
traffType	additional.fields[].key: "traffType" additional.fields[].value.string_value: traffType	הערך נלקח ישירות מהשדה traffType.
ts	metadata.event_timestamp: ts	הערך נלקח ישירות מהשדה ts ומומר לחותמת זמן.
type	security_result.action: type	הלוגיקה מפורטת במאמר action.
urlAction	security_result.action: urlAction	הלוגיקה מפורטת במאמר action.
urlActionMessage	security_result.summary: urlActionMessage	הערך נלקח ישירות מהשדה urlActionMessage.
urlCategory	principal.resource.attribute.labels[].key: "urlCategory" principal.resource.attribute.labels[].value: urlCategory	הערך נלקח ישירות מהשדה urlCategory.
urlProfile	additional.fields[].key: "urlProfile" additional.fields[].value.string_value: urlProfile	הערך נלקח ישירות מהשדה urlProfile.
urlReputation	security_result.severity_details: urlReputation	הערך נלקח ישירות מהשדה urlReputation.
user	principal.ip: user	הערך נלקח ישירות מהשדה user.
vsnId	principal.resource.attribute.labels[].key: "vsnId" principal.resource.attribute.labels[].value: vsnId	הערך נלקח ישירות מהשדה vsnId. ערך בקידוד קשיח. ערך שמוגדר בהארדקוד.
applianceName	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
postNATSourceIPv4Address	event.idm.read_only_udm.principal.nat_ip	מופה מיומן השינויים
postNATDestinationIPv4Address	event.idm.read_only_udm.target.nat_ip	מופה מיומן השינויים
postNAPTsourceTransportPort	event.idm.read_only_udm.principal.nat_port	מופה מיומן השינויים
postNAPTdestinationTransportPort	event.idm.read_only_udm.target.nat_port	מופה מיומן השינויים
natRuleName	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
natEvent	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
log_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
flowCookie	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
flowId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourceNatPoolName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
destNatPoolName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
deviceKey	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
deviceName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
observationTimeMilliseconds	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
threatSeverity	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfBadCname	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfEvType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfDomain	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfMsgType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfProfileName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfIpReputation	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
dnsfAction	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
HitCount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
groupId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
signatureRev	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
packetTime	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
moduleId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
dnsfBadResolvedV4Addr	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
dnsfIpGeoLocation	event.idm.read_only_udm.target.location.country_or_region	מופה מיומן השינויים
sourceIPv4Address	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
destinationIPv4Address	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
host	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
eipProfileName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
traffScope	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
srcSGT	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
destSGT	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ucsBand	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ucsReason	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
urlLookupSrc	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
protocolInfo	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ecsBand	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ecsReason	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
appAuth	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ucsScore	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
policyActionName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
policyActionModule	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
ecsScore	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
applianceId	event.idm.read_only_udm.intermediary.asset.product_object_id	מופה מיומן השינויים
inter_hostname	event.idm.ready_only_udm.intermediary.hostname	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.