איסוף יומנים מ-WatchGuard Firebox

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של WatchGuard Firebox ב-Google Security Operations באמצעות Bindplane. ‫WatchGuard Firebox הוא מכשיר חומת אש לניהול איומים מאוחד (UTM) שמספק תכונות אבטחה לרשת, כולל בדיקת חבילות נתונים עם שמירת מצב, מניעת פריצות, בקרת אפליקציות, סינון כתובות URL, אנטי-וירוס לשער וחיבור דרך VPN. ביומנים של Firebox מתועדים אירועי תנועה, התראות אבטחה, פעילות אימות ומידע על תקינות המערכת.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מכונה של Google SecOps.
  • מארח Windows 2016 ואילך או מארח Linux עם systemd.
  • אם אתם מפעילים את הסוכן מאחורי שרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
  • גישה עם הרשאות לממשק המשתמש של WatchGuard Firebox באינטרנט (Fireware Web UI) או ל-WatchGuard System Manager.

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

  • פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
  • פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.
  1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
  2. נכנסים לדף IAM & Admin > Service Accounts.
  3. לוחצים על יצירת חשבון שירות.
  4. מספקים את פרטי ההגדרה הבאים:
    • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
    • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
  5. לוחצים על Create and continue.
  6. בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
  7. לוחצים על המשך ואז על סיום.
  8. לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
  9. לוחצים על Add key > Create new key.
  10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
  11. שומרים את קובץ המפתח בתור ingestion-auth.json בספריית ה-collector של Bindplane (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
  12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדת קובץ אימות להטמעת נתונים (גרסה מדור קודם)

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל הגדרות SIEM > סוכני איסוף.
  3. מורידים את קובץ האימות להטמעת נתונים.
  4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן סוכן Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

  1. נכנסים למסוף Google SecOps.
  2. עוברים אל SIEM Settings (הגדרות SIEM) > Profile (פרופיל).
  3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנה ב-Windows

  1. פותחים את שורת הפקודה או את PowerShell כאדמין.

  2. מריצים את הפקודה הבאה:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

התקנה ב-Linux

  1. פותחים טרמינל עם הרשאות root או sudo.

  2. מריצים את הפקודה הבאה:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מקורות מידע נוספים להתקנה

הגדרת סוכן Bindplane להטמעת syslog ושליחה ל-Google SecOps

  1. ניגשים לקובץ התצורה:

    • מאתרים את הקובץ config.yaml. בדרך כלל, הוא נמצא בספרייה /opt/observiq-otel-collector/ ב-Linux או בספריית ההתקנה ב-Windows.
    • פותחים את הקובץ באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vi או פנקס הרשימות).

  2. עורכים את הקובץ config.yaml באופן הבא:

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: chronicle.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'WATCHGUARD'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
  • מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית שלכם.
  • מחליפים את <LOCATION> באזור של מכונת Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com.
  • מחליפים את <PROJECT_NUMBER> במספר הפרויקט מתוך IAM & Admin > Settings.
  • מחליפים את YOUR_CUSTOMER_ID במספר הלקוח בפועל.
  • מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בשלב 1.

כלי לייצוא נתונים מ-Legacy ingestion API

  • אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

    exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded in Step 1
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID from Step 2
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    # Add optional ingestion labels for better organization
    log_type: 'WATCHGUARD'
    raw_log_field: body
    ingestion_labels:

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

  1. כדי להפעיל מחדש את סוכן Bindplane ב-Linux, מריצים את הפקודה הבאה:

    sudo systemctl restart observiq-otel-collector

  2. כדי להפעיל מחדש את סוכן Bindplane ב-Windows, אפשר להשתמש במסוף Services או להזין את הפקודה הבאה:

    net stop observiq-otel-collector && net start observiq-otel-collector

הגדרת העברת syslog ב-WatchGuard Firebox

כדי להגדיר את WatchGuard Firebox להעביר הודעות syslog לסוכן Bindplane, צריך לבצע את השלבים הבאים באמצעות ממשק המשתמש של Fireware באינטרנט:

  1. נכנסים אל Fireware Web UI (https://<firebox-ip>:8080).
  2. עוברים אל System > Logging.
  3. בקטע שרתי Syslog, לוחצים על הוספה.

  4. ממלאים את פרטי ההגדרה הבאים:

    • כתובת IP: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
    • יציאה: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane).
    • Log Format: בוחרים באפשרות Syslog (פורמט Syslog רגיל של BSD).

  5. בקטע Syslog Settings, מגדירים את רמת היומן:

    • מגדירים את רמת היומן למידע או לרמה גבוהה יותר כדי לתעד אירועי תנועה, אבטחה ומערכת.

  6. לוחצים על Save.

הגדרת סוגי היומנים להעברה

  1. ב-Fireware Web UI, עוברים אל System > Logging > Syslog.

  2. מוודאים שסוגי היומנים הבאים מופעלים להעברה ל-syslog:

    • תנועה – אירועי תנועה של חומת אש (אישור, דחייה).
    • Alarm – אירועים של IPS ושל אזעקת אבטחה.
    • אירוע – אירועי מערכת ושינויים בסטטוס.
    • ניפוי באגים – אופציונלי, לפתרון בעיות בלבד.

  3. לוחצים על Save.

(חלופה) הגדרה באמצעות WatchGuard System Manager

  1. פותחים את WatchGuard System Manager ומתחברים ל-Firebox.
  2. עוברים אל Setup > Logging > Send log messages to this syslog server.
  3. לוחצים על הוספה.

  4. ממלאים את פרטי ההגדרה הבאים:

    • כתובת IP: מזינים את כתובת ה-IP של המארח של סוכן Bindplane.
    • יציאה: מזינים 514.
    • פורמט יומן: בוחרים באפשרות Syslog.

  5. לוחצים על OK ושומרים את ההגדרה ב-Firebox.

מידע נוסף זמין במסמכי התיעוד של WatchGuard Fireware בנושא רישום ביומן.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
action security_result.action_details הערך של action מהיומן הגולמי מוקצה ל-security_result.action_details.
action target.labels.value הערך של action מהיומן הגולמי מוקצה ל-target.labels.value, כאשר target.labels.key הוא "פעולה במשאב".
arg target.file.full_path הערך של arg מהיומן הגולמי מוקצה ל-target.file.full_path.
app_cat_id about.labels.value הערך של app_cat_id מהיומן הגולמי מוקצה ל-about.labels.value, כאשר about.labels.key הוא "app_cat_id".
app_cat_name target.application משמש בשילוב עם app_name כדי ליצור את הערך של target.application (למשל, "Google – שירותי אינטרנט").
app_id about.labels.value הערך של app_id מהיומן הגולמי מוקצה ל-about.labels.value, כאשר about.labels.key הוא "app_id".
app_name target.application משמש בשילוב עם app_cat_name כדי ליצור את הערך של target.application (למשל, "Google - Web services").
cats security_result.category_details הערך של cats מיומן הרישום הגולמי מוקצה ל-security_result.category_details.
cert_issuer network.tls.server.certificate.issuer הערך של cert_issuer מיומן הרישום הגולמי מוקצה ל-network.tls.server.certificate.issuer.
cert_subject network.tls.server.certificate.subject הערך של cert_subject מהיומן הגולמי מוקצה ל-network.tls.server.certificate.subject.
cn network.tls.server.certificate.subject הערך של cn מיומן הרישום הגולמי מוקצה ל-network.tls.server.certificate.subject.
conn_action security_result.action_details הערך של conn_action מהיומן הגולמי מוקצה ל-security_result.action_details.
content_type לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
description metadata.description הערך של description שנגזר מהיומן הגולמי מוקצה ל-metadata.description.
dhcp_type network.dhcp.type הערך של dhcp_type מהיומן הגולמי ממופה לסוג ה-DHCP התואם ב-network.dhcp.type (למשל, "REQUEST",‏ "ACK").
dst_host target.hostname הערך של dst_host מהיומן הגולמי מוקצה ל-target.hostname.
dst_ip target.ip הערך של dst_ip מהיומן הגולמי מוקצה ל-target.ip.
dst_mac target.mac הערך של dst_mac מהיומן הגולמי מוקצה ל-target.mac.
dst_port target.port הערך של dst_port מהיומן הגולמי מוקצה ל-target.port.
dst_user target.user.user_display_name הערך של dst_user מהיומן הגולמי מוקצה ל-target.user.user_display_name.
dstname target.administrative_domain הערך של dstname מהיומן הגולמי מוקצה ל-target.administrative_domain.
duration לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
elapsed_time לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
endpoint intermediary.labels.value הערך של endpoint מהיומן הגולמי מוקצה ל-intermediary.labels.value, כאשר intermediary.labels.key הוא Gateway-Endpoint.
event_name principal.application הערך של event_name מהיומן הגולמי מוקצה ל-principal.application.
firewall_id intermediary.asset_id הערך של firewall_id מיומן הגולמי מתווסף עם 'מזהה חומת האש : ' ומוקצה ל-intermediary.asset_id.
firewall_name principal.asset_id הערך של firewall_name מיומן הגולמי מתווסף עם הקידומת Firewall:‎ ומוקצה ל-principal.asset_id.
firewallname intermediary.hostname הערך של firewallname מהיומן הגולמי מוקצה ל-intermediary.hostname.
firewallname principal.hostname הערך של firewallname מהיומן הגולמי מוקצה ל-principal.hostname.
fqdn_dst_match לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
geo לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
geo_dst target.location.country_or_region הערך של geo_dst מהיומן הגולמי מוקצה ל-target.location.country_or_region.
geo_src principal.location.country_or_region הערך של geo_src מהיומן הגולמי מוקצה ל-principal.location.country_or_region.
host לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
ike_policy security_result.rule_id הערך של ike_policy מיומן הרישום הגולמי מוקצה ל-security_result.rule_id.
ike_policy_version security_result.rule_version הערך של ike_policy_version מיומן הרישום הגולמי מוקצה ל-security_result.rule_version.
intermediary_host intermediary.hostname הערך של intermediary_host מיומן הרישום הגולמי מוקצה ל-intermediary.hostname.
ipaddress לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
ipsec_policy לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
ipsec_policy_version לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
keyword לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
line לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
log_message metadata.description הערך של log_message מיומן הגולמי משויך ל-metadata.description כשאין תיאורים ספציפיים יותר.
log_reason security_result.summary הערך של log_reason מיומן הרישום הגולמי מוקצה ל-security_result.summary.
log_type metadata.log_type הערך של log_type מיומן הרישום הגולמי מוקצה ל-metadata.log_type. תמיד צריך להגדיר את הערך WATCHGUARD.
msg security_result.summary הערך של msg מהיומן הגולמי מוקצה ל-security_result.summary.
msg_id metadata.product_event_type הערך של msg_id מהיומן הגולמי מוקצה ל-metadata.product_event_type.
new_action security_result.action_details משמש עם conn_action כדי ליצור את הערך של security_result.action_details (לדוגמה, ProxyReplace: IP protocol - HTTPS-Client.DPI-Off).
op network.http.method הערך של op מיומן הרישום הגולמי מוקצה ל-network.http.method.
path target.url הערך של path מהיומן הגולמי מוקצה ל-target.url.
pid לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
policy_name intermediary.resource.name הערך של policy_name מהיומן הגולמי מוקצה ל-intermediary.resource.name.
policy_name security_result.rule_name הערך של policy_name מיומן הרישום הגולמי מוקצה ל-security_result.rule_name.
policyname_label.value security_result.rule_labels.value הערך של policy_name מהיומן הגולמי מוקצה ל-security_result.rule_labels.value, כאשר security_result.rule_labels.key הוא "PolicyName".
prin_host principal.hostname הערך של prin_host מהיומן הגולמי מוקצה ל-principal.hostname.
proc_id לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
protocol network.ip_protocol הערך של protocol מיומן הגולמי, אחרי המרה לאותיות רישיות, מוקצה ל-network.ip_protocol. טיפול מיוחד ב-"EXTERNAL ICMP" שממופה ל-"ICMP".
proxy_act security_result.rule_id הערך של proxy_act מיומן הרישום הגולמי מוקצה ל-security_result.rule_id.
proxy_act security_result.rule_name הערך של proxy_act מהיומן הגולמי מוקצה ל-security_result.rule_name.
query_name network.dns.questions.name הערך של query_name מהיומן הגולמי מוקצה ל-network.dns.questions.name.
query_type network.dns.questions.type הערך של query_type מהיומן הגולמי מוקצה ל-network.dns.questions.type. טיפול מיוחד בסוגי שאילתות מספריות ומיפוי לסוגי שאילתות DNS רגילות.
rc לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
reason security_result.summary הערך של reason מיומן הרישום הגולמי מוקצה ל-security_result.summary.
record_type network.dns.answers.type הערך של record_type מהיומן הגולמי ממופה לסוג רשומת ה-DNS התואם ב-network.dns.answers.type.
redirect_action לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
reputation additional.fields.value.string_value הערך של reputation מיומן הגולמי משויך ל-additional.fields.value.string_value, כאשר additional.fields.key הוא 'מוניטין'.
response לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
response_code network.dns.response_code הערך של response_code מהיומן הגולמי ממופה לקוד התגובה המתאים של DNS ב-network.dns.response_code.
route_type לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
rule_name security_result.rule_name הערך של rule_name מהיומן הגולמי מוקצה ל-security_result.rule_name.
rcvd_bytes network.received_bytes הערך של rcvd_bytes מהיומן הגולמי מוקצה ל-network.received_bytes.
sent_bytes network.sent_bytes הערך של sent_bytes מיומן הרישום הגולמי מוקצה ל-network.sent_bytes.
server_ssl לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
severity לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
sig_vers network.tls.server.certificate.version הערך של sig_vers מהיומן הגולמי מוקצה ל-network.tls.server.certificate.version.
signature_cat additional.fields.value.string_value הערך של signature_cat מהיומן הגולמי מוקצה ל-additional.fields.value.string_value, כאשר additional.fields.key הוא "signature_cat".
signature_id additional.fields.value.string_value הערך של signature_id מהיומן הגולמי מוקצה ל-additional.fields.value.string_value, כאשר additional.fields.key הוא "signature_id".
signature_name additional.fields.value.string_value הערך של signature_name מיומן הגולמי משויך ל-additional.fields.value.string_value, כאשר additional.fields.key הוא signature_name.
sni network.tls.client.server_name הערך של sni מהיומן הגולמי מוקצה ל-network.tls.client.server_name.
src_ctid לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
src_host principal.hostname הערך של src_host מיומן הרישום הגולמי מוקצה ל-principal.hostname.
src_ip principal.ip הערך של src_ip מיומן הרישום הגולמי מוקצה ל-principal.ip.
src_ip_nat לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
src_mac principal.mac הערך של src_mac מיומן הרישום הגולמי מוקצה ל-principal.mac.
src_port principal.port הערך של src_port מיומן הרישום הגולמי מוקצה ל-principal.port.
src_user principal.user.user_display_name הערך של src_user מיומן הרישום הגולמי מוקצה ל-principal.user.user_display_name.
src_user_name principal.user.user_display_name הערך של src_user_name מהיומן הגולמי מוקצה ל-principal.user.user_display_name.
src_vpn_ip principal.ip הערך של src_vpn_ip מהיומן הגולמי מוקצה ל-principal.ip.
srv_ip לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
srv_port לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
ssl_offload לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
tcp_info לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
time metadata.event_timestamp.seconds, timestamp.seconds הערך של time מנותח מיומן הגולמי וממלא את הערכים של metadata.event_timestamp.seconds ושל timestamp.seconds.
time1 metadata.event_timestamp.seconds, timestamp.seconds המערכת מנתחת את הערך של time1 מהיומן הגולמי ומשתמשת בו כדי לאכלס את metadata.event_timestamp.seconds ו-timestamp.seconds.
tls_profile about.labels.value הערך של tls_profile מיומן הגולמי משויך ל-about.labels.value, כאשר about.labels.key הוא tls_profile.
tls_version לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
user_name principal.user.userid, principal.user.user_display_name הערך של user_name מהיומן הגולמי מוקצה ל-principal.user.userid או ל-principal.user.user_display_name, בהתאם להקשר.
user_type לא ממופים לא ממופה לאובייקט IDM בדוגמאות ה-UDM שסופקו.
(לא רלוונטי) intermediary.resource.type הערך שמוגדר תמיד הוא ACCESS_POLICY.
(לא רלוונטי) metadata.event_type נקבע על ידי לוגיקת הניתוח על סמך msg_id,‏ log_type,‏ event_name ושדות אחרים. יכול להיות NETWORK_CONNECTION, SERVICE_MODIFICATION, NETWORK_SMTP, NETWORK_DNS, NETWORK_HTTP, USER_LOGIN, USER_LOGOUT, USER_RESOURCE_UPDATE_CONTENT, RESOURCE_PERMISSIONS_CHANGE, RESOURCE_CREATION, GENERIC_EVENT, STATUS_UPDATE או USER_UNCATEGORIZED.
(לא רלוונטי) metadata.product_name תמיד צריך להגדיר את הערך "Fireware".
(לא רלוונטי) metadata.vendor_name תמיד צריך להגדיר את האפשרות Watchguard.
(לא רלוונטי) security_result.action הערך נקבע על ידי לוגיקת הניתוח על סמך disposition. הערכים האפשריים הם ALLOW או BLOCK.
(לא רלוונטי) extensions.auth.type מוגדר כ-"AUTHTYPE_UNSPECIFIED" לאירועי התחברות/התנתקות של משתמשים, וכ-"VPN" לאירועי רשת שקשורים לרשתות VPN.
(לא רלוונטי) network.application_protocol ההודעה נבחרת לפי הלוגיקה של מנתח התוכן על סמך msg_id וevent_name. הערך יכול להיות "DNS",‏ "DHCP",‏ "HTTP" או "HTTPS".
(לא רלוונטי) network.dns.questions.type מגדירים את הערך 1 לשאילתות של רשומות מסוג A.
(לא רלוונטי) target.labels.key צריך להגדיר "פעולה על משאב" כשממפים את action ל-target.labels.value.
(לא רלוונטי) intermediary.labels.key הערך שמוגדר הוא Firewall Member Name (שם חבר בחומת האש) כש-prin_host ממופה ל-intermediary.labels.value.
(לא רלוונטי) intermediary.labels.key הערך שמוגדר הוא Gateway-Endpoint כש-endpoint ממופה ל-intermediary.labels.value.
(לא רלוונטי) principal.labels.key צריך להגדיר את האפשרות "שער" כשממפים את gateway אל principal.labels.value.
(לא רלוונטי) target.labels.key צריך להגדיר את הערך "Gateway" כשהשדה gateway ממופה לשדה target.labels.value.
(לא רלוונטי) principal.labels.key צריך להגדיר את הערך "state" כשהשדה status ממופה לשדה principal.labels.value.
(לא רלוונטי) target.labels.key צריך להגדיר את האפשרות "סטטוס שער" כש-status ממופה אל target.labels.value.
(לא רלוונטי) additional.fields.key צריך להגדיר את הערך "signature_name",‏ "signature_cat",‏ "signature_id" או "reputation" כשממפים את הערכים המתאימים מהיומן הגולמי.

יומן שינויים

צפייה ביומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.