איסוף יומנים של Versa Networks Secure Access Service Edge (SASE)

נתמך ב:

Google SecOps SIEM

במסמך הזה מוסבר איך להטמיע יומנים של Versa Networks Secure Access Service Edge ‏ (SASE) ב-Google Security Operations באמצעות סוכן Bindplane.

‫Versa Networks SASE היא פלטפורמה מאוחדת לאבטחה ולרשתות, שיוצרת הודעות syslog לאירועי חומת אש, יומני איומים, סיווג אפליקציות, סינון כתובות URL, זיהויים של IDS או IPS ואירועי התרעה. המנתח מחלץ צמדי מפתח/ערך מהודעות syslog וממפה אותם למודל הנתונים המאוחד (UDM).

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

• מופע של Google SecOps
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd
• קישוריות לרשת בין סוכן Bindplane לבין צומת Versa Analytics
• אם השרת פועל מאחורי שרת proxy, צריך לוודא שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישה מיוחדת ל-Versa SASE

קבלת קובץ אימות להטמעת נתונים ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents.

3. מורידים את קובץ האימות להטמעת נתונים. שומרים את הקובץ באופן מאובטח במערכת שבה יותקן Bindplane.

   הערה: קובץ ה-JSON הזה מכיל פרטי כניסה לאימות של סוכן Bindplane ב-Google SecOps.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile (הגדרות SIEM > פרופיל).

3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

   הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת סוכן Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sc query observiq-otel-collector
   

   השירות צריך להופיע עם הערך RUNNING.

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. מחכים שההתקנה תסתיים.

4. כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:

   sudo systemctl status observiq-otel-collector
   

   השירות אמור להופיע כ-active (running).

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות ולפתרון בעיות, עיינו במדריך להתקנת סוכן Bindplane.

הגדרה של סוכן Bindplane לקליטת syslog ושליחה ל-Google SecOps

מאתרים את קובץ התצורה

• ‫Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• ‫Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

עריכת קובץ ההגדרות

• מחליפים את כל התוכן של config.yaml בהגדרה הבאה:

  receivers:
      tcplog:
          listen_address: "0.0.0.0:514"
  
  exporters:
      chronicle/versa_firewall:
          compression: gzip
          creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
          customer_id: '<customer_id>'
          endpoint: malachiteingestion-pa.googleapis.com
          log_type: VERSA_FIREWALL
          raw_log_field: body
  
  service:
      pipelines:
          logs/versa_firewall_to_chronicle:
              receivers:
                  - tcplog
              exporters:
                  - chronicle/versa_firewall
  

פרמטרים להגדרה

מחליפים את ה-placeholders הבאים:

• הגדרת מקלט:

  • ‫listen_address: כתובת ה-IP והיציאה להאזנה:
    • ‫0.0.0.0 כדי להאזין בכל הממשקים (מומלץ)
    • יציאה 514 היא יציאת syslog רגילה (נדרשת הרשאת root ב-Linux; אפשר להשתמש ב-1514 ללא הרשאת root)
    • ‫Versa משתמשת בתעבורת TCP, ולכן נדרש מקלט tcplog

• הגדרת הייצוא:

  • ‫creds_file_path: הנתיב המלא לקובץ האימות להטמעת נתונים:
    • Linux: /etc/bindplane-agent/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • ‫customer_id: מספר הלקוח שהועתק ממסוף Google SecOps
  • ‫endpoint: כתובת ה-URL של נקודת הקצה האזורית:
    • ארה"ב: malachiteingestion-pa.googleapis.com
    • אירופה: europe-malachiteingestion-pa.googleapis.com
    • אסיה: asia-southeast1-malachiteingestion-pa.googleapis.com
    • רשימה מלאה מופיעה במאמר בנושא נקודות קצה אזוריות.

שמירת קובץ התצורה

• אחרי שמסיימים לערוך, שומרים את הקובץ:
  • ‫Linux: מקישים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X.
  • Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

• כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

  sudo systemctl restart observiq-otel-collector
  

  1. מוודאים שהשירות פועל:

     sudo systemctl status observiq-otel-collector
     

  2. בודקים אם יש שגיאות ביומנים:

     sudo journalctl -u observiq-otel-collector -f
     

• כדי להפעיל מחדש את סוכן Bindplane ב-Windows, בוחרים באחת מהאפשרויות הבאות:

  • שורת הפקודה או PowerShell כאדמין:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • מסוף השירותים:

    1. מקישים על Win+R, מקלידים services.msc ומקישים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

    4. מוודאים שהשירות פועל:

       sc query observiq-otel-collector
       

    5. בודקים אם יש שגיאות ביומנים:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

הגדרת Versa Networks SASE

האדמינים צריכים להגדיר אוספי נתונים מרוחקים בכל צומת של Versa Analytics כדי להעביר יומנים למערכות של צד שלישי.

הפעלת העברת יומנים

1. נכנסים לשרת הניתוח של Versa.
2. עוברים אל CLI באמצעות הפקודה cli.
3. עוברים אל מצב הגדרה על ידי הפעלת הפקודה configure, ואז מזינים load merge terminal.

4. מעתיקים ומדביקים את הפקודות הבאות כדי להגדיר העברת יומנים (מחליפים את <collector_ip> ואת <collector_port> בכתובת ה-IP וביציאה של אוסף ה-syslog):

   set system analytics log-collector-exporter destination-address <collector_ip>
   set system analytics log-collector-exporter destination-port <collector_port>
   set system analytics log-collector-exporter transport tcp
   set system analytics log-collector-exporter log-types firewall-log
   set system analytics log-collector-exporter log-types threat-log
   commit
   

5. שומרים את ההגדרה:

   save
   

   הערה: אם לא מציינים סוג יומן, כל האירועים מסוג יומן מועברים בסטרימינג.

הפעלת רישום ביומן של מזהה הסשן

כדי לרשום ביומן מידע שקשור לכתובת IP, צריך להפעיל רישום ביומן של מזהה הסשן:

1. נכנסים אל Versa Director.
2. עוברים למצב במאי.
3. כדי לגשת אל Appliance View, עוברים אל Configuration > Devices > Tenant > Device.
4. בוחרים באפשרות הגדרה > אחרים > מערכת > הגדרה > הגדרה.
5. בחלונית פרמטרים, לוחצים על עריכה.
6. בחלון עריכת פרמטרים, בוחרים באפשרות LEF.
7. בקטע Firewall, מסמנים את התיבה Include session ID logging.

8. לוחצים על OK.

   הערה: בגרסאות 21.1.1 ואילך, זיהוי הסשן מופעל באופן אוטומטי.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
accCkt	additional.fields[].key: "accCkt" additional.fields[].value.string_value: accCkt	הערך נלקח ישירות מהשדה accCkt.
accCktId	additional.fields[].key: "accCktId" additional.fields[].value.string_value: accCktId	הערך נלקח ישירות מהשדה accCktId.
accCktName	additional.fields[].key: "accCktName" additional.fields[].value.string_value: accCktName	הערך נלקח ישירות מהשדה accCktName.
accessType	additional.fields[].key: "accessType" additional.fields[].value.string_value: accessType	הערך נלקח ישירות מהשדה accessType.
action	security_result.action: action	אם action, ‏ type, ‏ idpAction, ‏ avAction או urlAction מוגדרים כ-allow, אז ALLOW. אם action, ‏ type, ‏ idpAction, ‏ avAction או urlAction הם "reject",‏ "drop",‏ "block",‏ "deny", אז BLOCK. אם idpAction הוא כל ערך אחר, אז UNKNOWN_ACTION.
alarmCause	security_result.detection_fields[].key: "alarmCause" security_result.detection_fields[].value: alarmCause	הערך נלקח ישירות מהשדה alarmCause.
alarmClass	security_result.detection_fields[].key: "alarmClass" security_result.detection_fields[].value: alarmClass	הערך נלקח ישירות מהשדה alarmClass.
alarmClearable	security_result.detection_fields[].key: "alarmClearable" security_result.detection_fields[].value: alarmClearable	הערך נלקח ישירות מהשדה alarmClearable.
alarmEventType	metadata.product_event_type: alarmEventType	הערך נלקח ישירות מהשדה alarmEventType.
alarmKey	security_result.detection_fields[].key: "alarmKey" security_result.detection_fields[].value: alarmKey	הערך נלקח ישירות מהשדה alarmKey.
alarmKind	security_result.detection_fields[].key: "alarmKind" security_result.detection_fields[].value: alarmKind	הערך נלקח ישירות מהשדה alarmKind.
alarmOwner	security_result.detection_fields[].key: "alarmOwner" security_result.detection_fields[].value: alarmOwner	הערך נלקח ישירות מהשדה alarmOwner.
alarmSeqNo	security_result.detection_fields[].key: "alarmSeqNo" security_result.detection_fields[].value: alarmSeqNo	הערך נלקח ישירות מהשדה alarmSeqNo.
alarmSeverity	security_result.severity_details: alarmSeverity	הערך נלקח ישירות מהשדה alarmSeverity.
alarmText	security_result.summary: alarmText	הערך נלקח ישירות מהשדה alarmText, אחרי שהוסרו ממנו המירכאות הכפולות.
alarmType	security_result.description: alarmType	הערך נלקח ישירות מהשדה alarmType.
appFamily	metadata.product_event_type: appFamily security_result.detection_fields[].key: "appFamily" security_result.detection_fields[].value: appFamily	הערך נלקח ישירות מהשדה appFamily.
appId	security_result.detection_fields[].key: "Application ID" security_result.detection_fields[].value: appId	הערך נלקח ישירות מהשדה appId.
appIdStr	security_result.detection_fields[].key: "appIdStr" security_result.detection_fields[].value: appIdStr	הערך נלקח ישירות מהשדה appIdStr.
applianceName	principal.hostname: applianceName	הערך נלקח ישירות מהשדה applianceName, siteName או site.
appProductivity	security_result.detection_fields[].key: "appProductivity" security_result.detection_fields[].value: appProductivity	הערך נלקח ישירות מהשדה appProductivity.
appRisk	security_result.severity_details: appRisk	הערך נלקח ישירות מהשדה appRisk.
appSubFamily	security_result.detection_fields[].key: "appSubFamily" security_result.detection_fields[].value: appSubFamily	הערך נלקח ישירות מהשדה appSubFamily.
avAccuracy	additional.fields[].key: "avAccuracy" additional.fields[].value.string_value: avAccuracy	הערך נלקח ישירות מהשדה avAccuracy.
avAction	security_result.action: avAction	הלוגיקה מפורטת בaction.
avMalwareName	security_result.threat_name: avMalwareName	הערך נלקח ישירות מהשדה avMalwareName.
avMalwareType	security_result.category_details: avMalwareType	הערך נלקח ישירות מהשדה avMalwareType.
classMsg	security_result.description: classMsg	הערך נלקח ישירות מהשדה classMsg, ללא המירכאות הכפולות.
clientIPv4Address	target.ip: clientIPv4Address	הערך נלקח ישירות מהשדה clientIPv4Address.
destIp	target.ip: destIp destinationIPv4Address: destIp	הערך נלקח ישירות מהשדה destIp.
destinationIPv4Address	target.ip: destinationIPv4Address	הערך נלקח ישירות מהשדה destinationIPv4Address או נגזר מהשדה networkPrefix.
destinationIPv6Address	target.ip: destinationIPv6Address	הערך נלקח ישירות מהשדה destinationIPv6Address.
destinationPort	target.port: destinationPort	הערך נלקח ישירות מהשדה destinationPort והומר למספר שלם.
destinationTransportPort	target.port: destinationTransportPort	הערך נלקח ישירות מהשדה destinationTransportPort והומר למספר שלם.
deviceKey	about.resource.attribute.labels[].key: "deviceKey" about.resource.attribute.labels[].value: deviceKey	הערך נלקח ישירות מהשדה deviceKey אם הוא לא Unknown (לא ידוע).
deviceName	about.resource.attribute.labels[].key: "deviceName" about.resource.attribute.labels[].value: deviceName	הערך נלקח ישירות מהשדה deviceName אם הוא לא "לא ידוע".
duration	network.session_duration.seconds: duration	הערך נלקח ישירות מהשדה duration והומר למספר שלם.
egressInterfaceName	additional.fields[].key: "egressInterfaceName" additional.fields[].value.string_value: egressInterfaceName	הערך נלקח ישירות מהשדה egressInterfaceName.
event.type	metadata.event_type: event.type	אם מופיעים גם applianceName (או sourceIPv4Address או user או sourceIPv6Address) וגם destinationIPv4Address (או remoteSite או destinationIPv6Address או clientIPv4Address או hostname), נשתמש ב-NETWORK_CONNECTION. אחרת, STATUS_UPDATE. אם applianceName ריק, אז GENERIC_EVENT.
eventType	principal.resource.attribute.labels[].key: "eventType" principal.resource.attribute.labels[].value: eventType	הערך נלקח ישירות מהשדה eventType.
family	security_result.detection_fields[].key: "family" security_result.detection_fields[].value: family	הערך נלקח ישירות מהשדה family.
fc	security_result.detection_fields[].key: "ForwardingClass" security_result.detection_fields[].value: fc	הערך נלקח ישירות מהשדה fc.
fileTransDir	additional.fields[].key: "fileTransDir" additional.fields[].value.string_value: fileTransDir	הערך נלקח ישירות מהשדה fileTransDir.
filename	target.file.names: filename	הערך נלקח ישירות מהשדה filename.
flowCookie	metadata.collected_timestamp: flowCookie	הערך נלקח ישירות מהשדה flowCookie והומר לחותמת זמן בפורמט UNIX.
flowId	principal.resource.product_object_id: flowId	הערך נלקח ישירות מהשדה flowId.
forwardForwardingClass	security_result.detection_fields[].key: "forwardForwardingClass" security_result.detection_fields[].value: forwardForwardingClass	הערך נלקח ישירות מהשדה forwardForwardingClass.
fromCountry	principal.location.country_or_region: fromCountry target.location.country_or_region: fromCountry	הערך נלקח ישירות מהשדה fromCountry.
fromUser	principal.user.userid: fromUser	הערך נלקח ישירות מהשדה fromUser אם הוא לא ריק, לא unknown ולא Unknown.
fromZone	additional.fields[].key: "fromZone" additional.fields[].value.string_value: fromZone	הערך נלקח ישירות מהשדה fromZone.
generateTime	metadata.collected_timestamp: generateTime	הערך נלקח ישירות מהשדה generateTime והומר לחותמת זמן בפורמט UNIX.
hostname	target.hostname: hostname	הערך נלקח ישירות מהשדה hostname.
httpUrl	target.url: httpUrl	הערך נלקח ישירות מהשדה httpUrl.
icmpTypeIPv4	additional.fields[].key: "icmpTypeIPv4" additional.fields[].value.string_value: icmpTypeIPv4	הערך נלקח ישירות מהשדה icmpTypeIPv4.
idpAction	security_result.action: idpAction	הלוגיקה מפורטת במאמר action.
ingressInterfaceName	additional.fields[].key: "ingressInterfaceName" additional.fields[].value.string_value: ingressInterfaceName	הערך נלקח ישירות מהשדה ingressInterfaceName.
ipsApplication	additional.fields[].key: "ipsApplication" additional.fields[].value.string_value: ipsApplication	הערך נלקח ישירות מהשדה ipsApplication.
ipsDirection	security_result.detection_fields[].key: "ipsDirection" security_result.detection_fields[].value: ipsDirection	הערך נלקח ישירות מהשדה ipsDirection.
ipsProfile	security_result.detection_fields[].key: "ipsProfile" security_result.detection_fields[].value: ipsProfile	הערך נלקח ישירות מהשדה ipsProfile.
ipsProfileRule	security_result.rule_name: ipsProfileRule	הערך נלקח ישירות מהשדה ipsProfileRule.
ipsProtocol	network.ip_protocol: ipsProtocol	הערך נלקח ישירות מהשדה ipsProtocol.
log_type	metadata.description: log_type metadata.log_type: log_type	הערך נלקח ישירות מהשדה log_type.
mstatsTimeBlock	metadata.collected_timestamp: mstatsTimeBlock	הערך נלקח ישירות מהשדה mstatsTimeBlock והומר לחותמת זמן בפורמט UNIX.
mstatsTotRecvdOctets	network.received_bytes: mstatsTotRecvdOctets	הערך נלקח ישירות מהשדה mstatsTotRecvdOctets והומר למספר שלם לא מסומן.
mstatsTotSentOctets	network.sent_bytes: mstatsTotSentOctets	הערך נלקח ישירות מהשדה mstatsTotSentOctets והומר למספר שלם לא מסומן.
mstatsTotSessCount	additional.fields[].key: "mstatsTotSessCount" additional.fields[].value.string_value: mstatsTotSessCount	הערך נלקח ישירות מהשדה mstatsTotSessCount.
mstatsTotSessDuration	network.session_duration.seconds: mstatsTotSessDuration	הערך נלקח ישירות מהשדה mstatsTotSessDuration ומומר למספר שלם.
mstatsType	security_result.category_details: mstatsType	הערך נלקח ישירות מהשדה mstatsType.
networkPrefix	target.ip: networkPrefix target.port: networkPrefix	כתובת ה-IP שחולצה מהשדה networkPrefix. היציאה חולצה מהשדה networkPrefix והומרה למספר שלם.
protocolIdentifier	network.ip_protocol: protocolIdentifier	הערך נלקח ישירות מהשדה protocolIdentifier, מומר למספר שלם וממופה לשם פרוטוקול ה-IP באמצעות חיפוש.
recvdOctets	network.received_bytes: recvdOctets	הערך נלקח ישירות מהשדה recvdOctets והומר למספר שלם לא מסומן.
recvdPackets	network.received_packets: recvdPackets	הערך נלקח ישירות מהשדה recvdPackets והומר למספר שלם.
remoteSite	target.hostname: remoteSite	הערך נלקח ישירות מהשדה remoteSite.
reverseForwardingClass	security_result.detection_fields[].key: "reverseForwardingClass" security_result.detection_fields[].value: reverseForwardingClass	הערך נלקח ישירות מהשדה reverseForwardingClass.
risk	security_result.risk_score: risk	הערך נלקח ישירות מהשדה risk והומר למספר ממשי.
rule	security_result.rule_name: rule	הערך נלקח ישירות מהשדה rule.
sentOctets	network.sent_bytes: sentOctets	הערך נלקח ישירות מהשדה sentOctets והומר למספר שלם לא מסומן.
sentPackets	network.sent_packets: sentPackets	הערך נלקח ישירות מהשדה sentPackets ומומר למספר שלם.
serialNum	security_result.detection_fields[].key: "serialNum" security_result.detection_fields[].value: serialNum	הערך נלקח ישירות מהשדה serialNum.
signatureId	security_result.detection_fields[].key: "signatureID" security_result.detection_fields[].value: signatureId	הערך נלקח ישירות מהשדה signatureId.
signatureMsg	security_result.detection_fields[].key: "signatureMsg" security_result.detection_fields[].value: signatureMsg	הערך נלקח ישירות מהשדה signatureMsg.
signaturePriority	security_result.severity: signaturePriority	אם signaturePriority הוא 'low' (לא תלוי-רישיות), אז LOW. אם signaturePriority הוא 'medium' (לא תלוי-רישיות), אז MEDIUM. אם הערך של signaturePriority הוא "high" (לא תלוי-רישיות), אז HIGH.
site	‫principal.hostname: ‏site ‫applianceName: ‏site	הערך נלקח ישירות מהשדה site.
siteId	additional.fields[].key: "siteId" additional.fields[].value.string_value: siteId	הערך נלקח ישירות מהשדה siteId.
siteName	principal.hostname: siteName applianceName: siteName	הערך נלקח ישירות מהשדה siteName.
sourceIPv4Address	principal.ip: sourceIPv4Address	הערך נלקח ישירות מהשדה sourceIPv4Address.
sourceIPv6Address	principal.ip: sourceIPv6Address	הערך נלקח ישירות מהשדה sourceIPv6Address.
sourcePort	principal.port: sourcePort	הערך נלקח ישירות מהשדה sourcePort ומומר למספר שלם.
sourceTransportPort	principal.port: sourceTransportPort	הערך נלקח ישירות מהשדה sourceTransportPort ומומר למספר שלם.
subFamily	security_result.detection_fields[].key: "subFamily" security_result.detection_fields[].value: subFamily	הערך נלקח ישירות מהשדה subFamily.
tcpConnAborted	additional.fields[].key: "tcpConnAborted" additional.fields[].value.string_value: tcpConnAborted	הערך נלקח ישירות מהשדה tcpConnAborted אם הוא לא ריק או לא מכיל את הערך "0".
tcpConnRefused	additional.fields[].key: "tcpConnRefused" additional.fields[].value.string_value: tcpConnRefused	הערך נלקח ישירות מהשדה tcpConnRefused אם הוא לא ריק או לא מכיל את הערך "0".
tcpPktsFwd	network.sent_packets: tcpPktsFwd	הערך נלקח ישירות מהשדה tcpPktsFwd והומר למספר שלם.
tcpPktsRev	network.received_packets: tcpPktsRev	הערך נלקח ישירות מהשדה tcpPktsRev ומומר למספר שלם.
tcpReXmitFwd	additional.fields[].key: "tcpReXmitFwd" additional.fields[].value.string_value: tcpReXmitFwd	הערך נלקח ישירות מהשדה tcpReXmitFwd אם הוא לא ריק או לא מכיל את הערך "0".
tcpReXmitRev	additional.fields[].key: "tcpReXmitRev" additional.fields[].value.string_value: tcpReXmitRev	הערך נלקח ישירות מהשדה tcpReXmitRev אם הוא לא ריק או לא '0'.
tcpSAA	additional.fields[].key: "tcpSAA" additional.fields[].value.string_value: tcpSAA	הערך נלקח ישירות מהשדה tcpSAA אם הוא לא ריק או לא '0'.
tcpSSA	additional.fields[].key: "tcpSSA" additional.fields[].value.string_value: tcpSSA	הערך נלקח ישירות מהשדה tcpSSA אם הוא לא ריק או לא '0'.
tcpSessCnt	additional.fields[].key: "tcpSessCnt" additional.fields[].value.string_value: tcpSessCnt	הערך נלקח ישירות מהשדה tcpSessCnt.
tcpSessDur	network.session_duration.seconds: tcpSessDur	הערך נלקח ישירות מהשדה tcpSessDur ומומר למספר שלם.
tcpSynAckReXmit	additional.fields[].key: "tcpSynAckReXmit" additional.fields[].value.string_value: tcpSynAckReXmit	הערך נלקח ישירות מהשדה tcpSynAckReXmit אם הוא לא ריק או לא '0'.
tcpSynReXmit	additional.fields[].key: "tcpSynReXmit" additional.fields[].value.string_value: tcpSynReXmit	הערך נלקח ישירות מהשדה tcpSynReXmit אם הוא לא ריק או לא '0'.
tcpTWHS	additional.fields[].key: "tcpTWHS" additional.fields[].value.string_value: tcpTWHS	הערך נלקח ישירות מהשדה tcpTWHS אם הוא לא ריק או לא מכיל את הערך "0".
tenantId	principal.resource.attribute.labels[].key: "tenantId" principal.resource.attribute.labels[].value: tenantId	הערך נלקח ישירות מהשדה tenantId.
tenantName	observer.hostname: tenantName	הערך נלקח ישירות מהשדה tenantName.
threatType	security_result.detection_fields[].key: "threatType" security_result.detection_fields[].value: threatType	הערך נלקח ישירות מהשדה threatType.
toCountry	target.location.country_or_region: toCountry	הערך נלקח ישירות מהשדה toCountry.
toZone	additional.fields[].key: "toZone" additional.fields[].value.string_value: toZone	הערך נלקח ישירות מהשדה toZone.
traffType	additional.fields[].key: "traffType" additional.fields[].value.string_value: traffType	הערך נלקח ישירות מהשדה traffType.
ts	metadata.event_timestamp: ts	הערך נלקח ישירות מהשדה ts והומר לחותמת זמן.
type	security_result.action: type	הלוגיקה מפורטת במאמר action.
urlAction	security_result.action: urlAction	הלוגיקה מפורטת במאמר action.
urlActionMessage	security_result.summary: urlActionMessage	הערך נלקח ישירות מהשדה urlActionMessage.
urlCategory	principal.resource.attribute.labels[].key: "urlCategory" principal.resource.attribute.labels[].value: urlCategory	הערך נלקח ישירות מהשדה urlCategory.
urlProfile	additional.fields[].key: "urlProfile" additional.fields[].value.string_value: urlProfile	הערך נלקח ישירות מהשדה urlProfile.
urlReputation	security_result.severity_details: urlReputation	הערך נלקח ישירות מהשדה urlReputation.
user	principal.ip: user	הערך נלקח ישירות מהשדה user.
vsnId	principal.resource.attribute.labels[].key: "vsnId" principal.resource.attribute.labels[].value: vsnId	הערך נלקח ישירות מהשדה vsnId. ערך שמוגדר בהארדקוד. ערך בקידוד קשיח.
applianceName	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
postNATSourceIPv4Address	event.idm.read_only_udm.principal.nat_ip	מופה מיומן השינויים
postNATDestinationIPv4Address	event.idm.read_only_udm.target.nat_ip	מופה מיומן השינויים
postNAPTsourceTransportPort	event.idm.read_only_udm.principal.nat_port	מופה מיומן השינויים
postNAPTdestinationTransportPort	event.idm.read_only_udm.target.nat_port	מופה מיומן השינויים
natRuleName	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
natEvent	event.idm.read_only_udm.metadata.product_event_type	מופה מיומן השינויים
log_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
flowCookie	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
flowId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
sourceNatPoolName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
destNatPoolName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
deviceKey	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
deviceName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
observationTimeMilliseconds	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
threatSeverity	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfBadCname	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfEvType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfDomain	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfMsgType	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfProfileName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
dnsfIpReputation	event.idm.read_only_udm.security_result.category_details	מופה מיומן השינויים
dnsfAction	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
HitCount	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
groupId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
signatureRev	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
packetTime	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
moduleId	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
dnsfBadResolvedV4Addr	event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip	מופה מיומן השינויים
dnsfIpGeoLocation	event.idm.read_only_udm.target.location.country_or_region	מופה מיומן השינויים
sourceIPv4Address	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
destinationIPv4Address	event.idm.read_only_udm.metadata.description	מופה מיומן השינויים
host	event.idm.read_only_udm.target.hostname	מופה מיומן השינויים
eipProfileName	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
traffScope	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
srcSGT	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
destSGT	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ucsBand	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ucsReason	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
urlLookupSrc	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
protocolInfo	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ecsBand	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ecsReason	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
appAuth	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ucsScore	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
policyActionName	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
policyActionModule	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
ecsScore	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
applianceId	event.idm.read_only_udm.intermediary.asset.product_object_id	מופה מיומן השינויים
inter_hostname	event.idm.ready_only_udm.intermediary.hostname	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.