Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Wazuh-Logs erfassen

Unterstützt in:

Google SecOps SIEM

Dieser Wazuh-Parser nimmt SYSLOG- und JSON-formatierte Logs auf, normalisiert Felder in ein gängiges Format und reichert sie mit Wazuh-spezifischen Metadaten an. Anschließend werden eine Reihe von bedingten Anweisungen basierend auf den Feldern event_type und rule_id verwendet, um die Rohprotokolldaten dem entsprechenden UDM-Ereignistyp und den entsprechenden Feldern zuzuordnen. Dabei werden verschiedene Protokollformate und Grenzfälle innerhalb des Wazuh-Ökosystems berücksichtigt.

Hinweis

Folgende Voraussetzungen müssen erfüllt sein:

Google SecOps-Instanz
Aktive Wazuh-Instanz.
Privilegierter Zugriff auf Wazuh-Konfigurationsdateien.

Feeds einrichten

So konfigurieren Sie einen Feed:

Rufen Sie die Einstellungen > Datenverwaltung > Feeds auf. Wenn Sie eine reine SIEM-Plattform verwenden, rufen Sie die Einstellungen > Feeds auf.
Klicken Sie auf Neuen Feed hinzufügen.
Klicken Sie auf der nächsten Seite auf Einzelnen Feed konfigurieren.
Geben Sie im Feld Feedname einen Namen für den Feed ein, z. B. Wazuh-Logs.
Wählen Sie Webhook als Quelltyp aus.
Wählen Sie Wazuh als Logtyp aus.
Klicken Sie auf Weiter.
Optional: Geben Sie Werte für die folgenden Eingabeparameter an:
- Trennzeichen: Das Trennzeichen, das zum Trennen von Logzeilen verwendet wird, z. B. \n.
Klicken Sie auf Weiter.
Prüfen Sie die Feedkonfiguration auf dem Bildschirm Abschließen und klicken Sie dann auf Senden.
Klicken Sie auf Geheimen Schlüssel generieren, um einen geheimen Schlüssel zur Authentifizierung dieses Feeds zu generieren.
Kopieren Sie den geheimen Schlüssel und speichern Sie ihn. Sie können diesen geheimen Schlüssel nicht noch einmal aufrufen. Bei Bedarf können Sie einen neuen geheimen Schlüssel generieren. Dadurch wird der vorherige geheime Schlüssel jedoch ungültig.
Kopieren Sie auf dem Tab Details die Feed-Endpunkt-URL aus dem Feld Endpunktinformationen. Sie müssen diese Endpunkt-URL in Ihrer Clientanwendung angeben.
Klicken Sie auf Fertig.

API-Schlüssel für den Webhook-Feed erstellen

Rufen Sie dieGoogle Cloud Console > Anmeldedaten auf.

Zu den Anmeldedaten
Klicken Sie auf Anmeldedaten erstellen und wählen Sie anschließend API-Schlüssel aus.
Beschränken Sie den API-Schlüsselzugriff auf die Google Security Operations API.

Endpunkt-URL angeben

Geben Sie in Ihrer Clientanwendung die HTTPS-Endpunkt-URL an, die im Webhook-Feed angegeben ist.
Aktivieren Sie die Authentifizierung, indem Sie den API-Schlüssel und den geheimen Schlüssel als Teil des benutzerdefinierten Headers im folgenden Format angeben:
```
X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET
```
Empfehlung: Geben Sie den API-Schlüssel als Header an, anstatt ihn in der URL anzugeben. Wenn Ihr Webhook-Client keine benutzerdefinierten Header unterstützt, können Sie den API-Schlüssel und den geheimen Schlüssel mit Suchparametern im folgenden Format angeben:
```
ENDPOINT_URL?key=API_KEY&secret=SECRET
```

Ersetzen Sie Folgendes:

ENDPOINT_URL: die Feed-Endpunkt-URL.
API_KEY: der API-Schlüssel für die Authentifizierung bei Google Security Operations.
SECRET: der geheime Schlüssel, den Sie zur Authentifizierung des Feeds generiert haben.

Wazuh Cloud-Webhook konfigurieren

Führen Sie die folgenden Schritte aus, um den Wazuh Cloud-Webhook zu konfigurieren:

Melden Sie sich in Ihrer Wazuh Cloud an.
Gehen Sie im linken Bereich unter Serververwaltung zu Einstellungen.
Klicken Sie auf Konfiguration bearbeiten.
Fügen Sie den folgenden Integrationsblock im Abschnitt <integration> der Konfiguration hinzu.
- Wenn der Abschnitt nicht vorhanden ist, kopieren Sie den gesamten Block mit <integration>, um einen zu erstellen.
- Ersetzen Sie die Platzhalterwerte durch Ihre tatsächlichen Google SecOps-Details:

<integration>
  <name>google-chronicle</name>
  <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
  <alert_format>json</alert_format>
  <level>0</level>  <!-- Adjust the level as needed -->
</integration>

CHRONICLE_REGION: Ihre Google SecOps-Region (z. B. us, europe-west1).
GOOGLE_PROJECT_NUMBER: Ihre Google Cloud-Projektnummer.
LOCATION: Ihre Google SecOps-Region (z. B. us, europe-west1).
CUSTOMER_ID: Ihre Google SecOps-Kundennummer.
FEED_ID: Die ID Ihres Google SecOps-Feeds.
API_KEY: Der API-Schlüssel Ihrer Google Cloud, auf der Google SecOps gehostet wird.
SECRET: Das Secret Ihres Google SecOps-Feeds.
alert_format: Legen Sie für die Kompatibilität mit Google SecOps json fest.
level: Gibt die Mindestwarnstufe an, die weitergeleitet werden soll. 0 sendet alle Warnungen.

Klicken Sie auf Speichern.
Klicken Sie auf Restart wazuh-manager (Wazuh-Manager neu starten).

Lokalen Wazuh-Webhook konfigurieren

Führen Sie die folgenden Schritte aus, um den lokalen Wazuh-Webhook zu konfigurieren:

Greifen Sie auf Ihren lokalen Wazuh-Manager zu.
Wechseln Sie in das Verzeichnis /var/ossec/etc/.
Öffnen Sie die Datei ossec.conf in einem Texteditor (z. B. nano, vim).
Fügen Sie den folgenden Integrationsblock im Abschnitt <integration> der Konfiguration hinzu.
- Wenn der Abschnitt nicht vorhanden ist, kopieren Sie den gesamten Block mit <integration>, um einen zu erstellen.
- Ersetzen Sie die Platzhalterwerte durch Ihre tatsächlichen Google SecOps-Details:
```
<integration>
   <name>google-chronicle</name>
   <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
   <alert_format>json</alert_format>
   <level>0</level>  
</integration>
```
- CHRONICLE_REGION: Ihre Google SecOps-Region (z. B. us, europe-west1).
- GOOGLE_PROJECT_NUMBER: Ihre Google Cloud-Projektnummer.
- LOCATION: Ihre Google SecOps-Region (z. B. us, europe-west1).
- CUSTOMER_ID: Ihre Google SecOps-Kundennummer.
- FEED_ID: Die ID Ihres Google SecOps-Feeds.
- API_KEY: Der API-Schlüssel Ihrer Google Cloud, auf der Google SecOps gehostet wird.
- SECRET: Das Secret Ihres Google SecOps-Feeds.
- alert_format: Legen Sie für die Kompatibilität mit Google SecOps json fest.
- level: Gibt die Mindestwarnstufe an, die weitergeleitet werden soll. 0 sendet alle Warnungen.
Starten Sie den Wazuh-Manager neu, um die Änderungen zu übernehmen:
```
sudo systemctl restart wazuh-manager
```

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
`Acct-Authentic`	`event.idm.read_only_udm.security_result.authentication_mechanism`	Wird direkt aus dem Feld `Acct-Authentic` zugeordnet.
`Acct-Status-Type`	`event.idm.read_only_udm.security_result.detection_fields[].value`	Wird direkt aus dem Feld `Acct-Status-Type` zugeordnet. Der Schlüssel ist auf „Acct-Status-Type“ festgelegt.
`agent.id`	`event.idm.read_only_udm.intermediary.resource.id`	Wird direkt aus dem Feld `agent.id` zugeordnet.
`agent.ip`	`event.idm.read_only_udm.intermediary.ip`, `event.idm.read_only_udm.intermediary.asset.ip`, `event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`, `event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	Wird direkt aus dem Feld `agent.ip` zugeordnet. Wird in einigen Fällen je nach Ereignistyp auch für die Hauptkonto-/Ziel-IP-Adresse verwendet.
`agent.name`	`event.idm.read_only_udm.security_result.about.hostname`	Wird direkt aus dem Feld `agent.name` zugeordnet.
`application`	`event.idm.read_only_udm.target.application`	Direkt aus dem Wazuh-Feld `application` zugeordnet.
`audit-session-id`	`event.idm.read_only_udm.network.session_id`	Wird direkt aus dem Feld `audit-session-id` zugeordnet.
`ClientIP`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	Wird direkt aus dem Feld `ClientIP` zugeordnet.
`ClientPort`	`event.idm.read_only_udm.principal.port`	Wird direkt aus dem Feld `ClientPort` zugeordnet und in eine Ganzzahl umgewandelt.
`cmd`	`event.idm.read_only_udm.target.process.command_line`	Wird direkt aus dem Feld `cmd` zugeordnet.
`CommandLine`	`event.idm.read_only_udm.target.process.command_line`	Wird direkt aus dem Feld `CommandLine` zugeordnet.
`ConfigVersionId`	`event.idm.read_only_udm.additional.fields[].value.number_value`	Wird direkt aus dem Feld `ConfigVersionId` zugeordnet. Der Schlüssel ist auf „Config Version Id“ festgelegt.
`data.Account Number`	`event.idm.read_only_udm.principal.user.userid`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.Account Number` zugeordnet.
`data.Control`	`event.idm.read_only_udm.security_result.action_details`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.Control` zugeordnet.
`data.Message`	`event.idm.read_only_udm.security_result.description`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.Message` zugeordnet.
`data.Profile`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.Profile` zugeordnet.
`data.Region`	`event.idm.read_only_udm.principal.location.name`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.Region` zugeordnet.
`data.Status`	`event.idm.read_only_udm.security_result.action`	Aus dem Feld `data.Status` zugeordnet. Wenn der Wert „Pass“ oder „AUDIT_SUCCESS“ ist, wird die Aktion auf „ALLOW“ gesetzt. Wenn der Wert „ERROR“, „AUDIT_FAILURE“ oder „FAIL“ ist, wird die Aktion auf „BLOCK“ gesetzt.
`data.aws.awsRegion`	`event.idm.read_only_udm.principal.location.name`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.aws.awsRegion` zugeordnet.
`data.aws.eventID`	`event.idm.read_only_udm.target.resource.attribute.labels[].value`	Wird direkt aus dem Feld `data.aws.eventID` zugeordnet. Der Schlüssel wird auf „Ereignis-ID“ festgelegt.
`data.aws.eventName`	`event.idm.read_only_udm.metadata.description`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.aws.eventName` zugeordnet.
`data.aws.eventSource`	`event.idm.read_only_udm.metadata.url_back_to_product`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.aws.eventSource` zugeordnet.
`data.aws.eventType`	`event.idm.read_only_udm.metadata.product_event_type`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.aws.eventType` zugeordnet.
`data.aws.requestID`	`event.idm.read_only_udm.target.resource.attribute.labels[].value`	Wird direkt aus dem Feld `data.aws.requestID` zugeordnet. Der Schlüssel ist auf „Anfrage-ID“ festgelegt.
`data.aws.requestParameters.loadBalancerName`	`event.idm.read_only_udm.target.resource.attribute.labels[].value`	Wird direkt aus dem Feld `data.aws.requestParameters.loadBalancerName` zugeordnet. Der Schlüssel ist auf „LoadBalancer Name“ festgelegt.
`data.aws.sourceIPAddress`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.aws.sourceIPAddress` zugeordnet.
`data.aws.source_ip_address`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	Wird direkt aus dem Feld `data.aws.source_ip_address` zugeordnet.
`data.aws.userIdentity.accountId`	`event.idm.read_only_udm.principal.user.product_object_id`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.aws.userIdentity.accountId` zugeordnet.
`data.aws.userIdentity.principalId`	`event.idm.read_only_udm.principal.user.userid`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.aws.userIdentity.principalId` zugeordnet.
`data.aws.userIdentity.sessionContext.sessionIssuer.arn`	`event.idm.read_only_udm.target.resource.attribute.labels[].value`	Wird direkt aus dem Feld `data.aws.userIdentity.sessionContext.sessionIssuer.arn` zugeordnet. Der Schlüssel ist auf „ARN“ festgelegt.
`data.aws.userIdentity.sessionContext.sessionIssuer.userName`	`event.idm.read_only_udm.principal.user.user_display_name`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.aws.userIdentity.sessionContext.sessionIssuer.userName` zugeordnet.
`data.command`	`event.idm.read_only_udm.target.file.full_path`	Wird direkt aus dem Feld `data.command` zugeordnet.
`data.docker.message`	`event.idm.read_only_udm.security_result.description`	Wird für bestimmte Ereignistypen direkt aus dem Feld `data.docker.message` zugeordnet.
`data.dstuser`	`event.idm.read_only_udm.target.user.userid`	Wird direkt aus dem Feld `data.dstuser` zugeordnet.
`data.file`	`event.idm.read_only_udm.target.file.full_path`	Wird direkt aus dem Feld `data.file` zugeordnet.
`data.package`	`event.idm.read_only_udm.target.asset.software[].name`	Wird direkt aus dem Feld `data.package` zugeordnet.
`data.srcip`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	Wird direkt aus dem Feld `data.srcip` zugeordnet.
`data.srcuser`	`event.idm.read_only_udm.principal.user.userid`	Wird direkt aus dem Feld `data.srcuser` zugeordnet.
`data.subject.account_domain`	`event.idm.read_only_udm.target.administrative_domain`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.subject.account_domain` zugeordnet.
`data.subject.account_name`	`event.idm.read_only_udm.target.user.user_display_name`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.subject.account_name` zugeordnet.
`data.subject.security_id`	`event.idm.read_only_udm.target.user.windows_sid`	Wird für bestimmte Regel-IDs direkt aus dem Feld `data.subject.security_id` zugeordnet.
`data.title`	`event.idm.read_only_udm.target.resource.name`	Wird direkt aus dem Feld `data.title` zugeordnet.
`data.version`	`event.idm.read_only_udm.target.asset.software[].version`	Wird direkt aus dem Feld `data.version` zugeordnet.
`decoder.name`	`event.idm.read_only_udm.about.resource.name`, `event.idm.read_only_udm.target.application`	Wird direkt aus dem Feld `decoder.name` zugeordnet. In einigen Fällen auch für die Zielanwendung verwendet.
`decoder.parent`	`event.idm.read_only_udm.about.resource.parent`	Wird direkt aus dem Feld `decoder.parent` zugeordnet.
`Description`	`event.idm.read_only_udm.metadata.description`	Wird direkt aus dem Feld `Description` zugeordnet.
`Destination`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`, `event.idm.read_only_udm.target.port`	Wird geparst, um die Ziel-IP-Adresse und den Zielport zu extrahieren.
`DestinationIPAddress`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	Wird direkt aus dem Feld `DestinationIPAddress` zugeordnet.
`DestinationPort`	`event.idm.read_only_udm.target.port`	Wird direkt aus dem Feld `DestinationPort` zugeordnet und in eine Ganzzahl umgewandelt.
`device_ip_address`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	Wird direkt aus dem Feld `device_ip_address` zugeordnet.
`feature`	`event.idm.read_only_udm.metadata.product_event_type`	Wird direkt aus dem Feld `feature` zugeordnet, manchmal in Kombination mit `message_type`.
`file_path`	`event.idm.read_only_udm.target.file.full_path`	Wird direkt aus dem Feld `file_path` zugeordnet.
`Framed-IP-Address`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	Wird direkt aus dem Feld `Framed-IP-Address` zugeordnet.
`full_log`	`event.idm.read_only_udm.principal.port`, `event.idm.read_only_udm.security_result.description`, `event.idm.read_only_udm.about.labels[].value`	Wird geparst, um die Portnummer, die Beschreibung des Sicherheitsergebnisses und die Anmelde-ID des Subjekts zu extrahieren.
`Hashes`	`event.idm.read_only_udm.target.process.file.sha256`, `event.idm.read_only_udm.target.process.file.md5`	Wird geparst, um SHA256- und MD5-Hashes zu extrahieren.
`hostname`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Wird direkt aus dem Feld `hostname` zugeordnet.
`Image`	`event.idm.read_only_udm.target.process.file.full_path`	Wird direkt aus dem Feld `Image` zugeordnet.
`IntegrityLevel`	`event.idm.read_only_udm.additional.fields[].value.string_value`	Wird direkt aus dem Feld `IntegrityLevel` zugeordnet. Der Schlüssel ist auf „Integritätsstufe“ festgelegt.
`kv_data`	`event.idm.read_only_udm.target.process.file.full_path`, `event.idm.read_only_udm.target.process.pid`, `event.idm.read_only_udm.target.process.parent_process.file.full_path`, `event.idm.read_only_udm.target.process.parent_process.command_line`, `event.idm.read_only_udm.target.process.parent_process.product_specific_process_id`, `event.idm.read_only_udm.target.process.product_specific_process_id`, `event.idm.read_only_udm.metadata.description`, `event.idm.read_only_udm.additional.fields[].value.string_value`	Wird geparst, um verschiedene Felder im Zusammenhang mit der Prozesserstellung, Dateihashes und der Beschreibung zu extrahieren.
`kv_log_data`	`event.idm.read_only_udm.security_result.severity_details`	Wird geparst, um die Alarmstufe zu extrahieren.
`location`	`event.idm.read_only_udm.target.file.full_path`	Wird direkt aus dem Feld `location` zugeordnet.
`LogonGuid`	`event.idm.read_only_udm.additional.fields[].value.string_value`	Wird direkt aus dem Feld `LogonGuid` zugeordnet, nachdem die geschweiften Klammern entfernt wurden. Der Schlüssel ist auf „Logon Guid“ festgelegt.
`LogonId`	`event.idm.read_only_udm.about.labels[].value`, `event.idm.read_only_udm.additional.fields[].value.string_value`	Wird für die Anmelde-ID des Subjekts in Abmeldeereignissen verwendet und für andere Ereignisse direkt zugeordnet. Der Schlüssel ist auf „Logon id“ festgelegt.
`log_description`	`event.idm.read_only_udm.metadata.description`	Wird direkt aus dem Feld `log_description` zugeordnet.
`log_message`	`event.idm.read_only_udm.target.file.full_path`, `event.idm.read_only_udm.metadata.description`	Wird geparst, um den Pfad und die Logbeschreibung zu extrahieren.
`manager.name`	`event.idm.read_only_udm.about.user.userid`, `event.idm.read_only_udm.principal.user.userid`	Wird direkt aus dem Feld `manager.name` zugeordnet. In einigen Fällen auch für die Hauptnutzer-ID verwendet.
`md5`	`event.idm.read_only_udm.target.process.file.md5`	Wird direkt aus dem Feld `md5` zugeordnet.
`message`	`event.idm.read_only_udm.metadata.product_event_type`, `event.idm.read_only_udm.metadata.description`, `event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`, `event.idm.read_only_udm.target.process.command_line`, `event.idm.read_only_udm.network.http.method`, `event.idm.read_only_udm.network.http.response_code`, `event.idm.read_only_udm.principal.user.userid`, `event.idm.read_only_udm.principal.mac`, `event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`, `event.idm.read_only_udm.target.port`, `event.idm.read_only_udm.principal.nat_ip`, `event.idm.read_only_udm.principal.nat_port`, `event.idm.read_only_udm.security_result.severity`, `event.idm.read_only_udm.network.session_id`, `event.idm.read_only_udm.security_result.detection_fields[].value`, `event.idm.read_only_udm.additional.fields[].value.number_value`, `event.idm.read_only_udm.target.url`, `event.idm.read_only_udm.target.application`, `event.idm.read_only_udm.principal.resource.attribute.labels[].value`, `event.idm.read_only_udm.security_result.rule_type`, `event.idm.read_only_udm.security_result.description`, `event.idm.read_only_udm.network.http.user_agent`, `event.idm.read_only_udm.principal.process.pid`, `event.idm.read_only_udm.principal.resource.attribute.labels[].value`, `event.idm.read_only_udm.security_result.severity_details`	Wird mit Grok geparst, um je nach Logformat verschiedene Felder zu extrahieren.
`message_data`	`event.idm.read_only_udm.metadata.description`, `event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`, `event.idm.read_only_udm.principal.port`, `event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`, `event.idm.read_only_udm.target.port`, `event.idm.read_only_udm.network.sent_bytes`, `event.idm.read_only_udm.network.received_bytes`, `event.idm.read_only_udm.network.ip_protocol`, `event.idm.read_only_udm.metadata.event_type`	Wird geparst, um Nachrichtendaten, IP-Adressen, Ports, gesendete/empfangene Byte und den Ereignistyp zu extrahieren.
`message_type`	`event.idm.read_only_udm.metadata.product_event_type`, `event.idm.read_only_udm.metadata.description`	Wird direkt aus dem Feld `message_type` zugeordnet, manchmal in Kombination mit `feature`. Wird in einigen Fällen auch für die Beschreibung verwendet.
`method`	`event.idm.read_only_udm.network.http.method`	Wird direkt aus dem Feld `method` zugeordnet.
`NAS-IP-Address`	`event.idm.read_only_udm.principal.nat_ip`	Wird direkt aus dem Feld `NAS-IP-Address` zugeordnet.
`NAS-Port`	`event.idm.read_only_udm.principal.nat_port`	Wird direkt aus dem Feld `NAS-Port` zugeordnet und in eine Ganzzahl umgewandelt.
`NAS-Port-Type`	`event.idm.read_only_udm.principal.resource.attribute.labels[].value`	Wird direkt aus dem Feld `NAS-Port-Type` zugeordnet. Der Schlüssel ist auf „nas_port_type“ festgelegt.
`NetworkDeviceName`	`event.idm.read_only_udm.intermediary.hostname`	Wird direkt aus dem Feld `NetworkDeviceName` zugeordnet, nachdem Backslashes entfernt wurden.
`ParentCommandLine`	`event.idm.read_only_udm.target.process.parent_process.command_line`	Wird direkt aus dem Feld `ParentCommandLine` zugeordnet.
`ParentImage`	`event.idm.read_only_udm.target.process.parent_process.file.full_path`	Wird direkt aus dem Feld `ParentImage` zugeordnet.
`ParentProcessGuid`	`event.idm.read_only_udm.target.process.parent_process.product_specific_process_id`	Wird direkt aus dem Feld `ParentProcessGuid` zugeordnet, nachdem die geschweiften Klammern entfernt und „ID:“ vorangestellt wurde.
`ParentProcessId`	`event.idm.read_only_udm.target.process.parent_process.pid`	Wird direkt aus dem Feld `ParentProcessId` zugeordnet.
`predecoder.hostname`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	Wird direkt aus dem Feld `predecoder.hostname` zugeordnet.
`ProcessGuid`	`event.idm.read_only_udm.target.process.product_specific_process_id`	Wird direkt aus dem Feld `ProcessGuid` zugeordnet, nachdem die geschweiften Klammern entfernt und „ID:“ vorangestellt wurde.
`ProcessId`	`event.idm.read_only_udm.target.process.pid`	Wird direkt aus dem Feld `ProcessId` zugeordnet.
`product_event_type`	`event.idm.read_only_udm.metadata.product_event_type`	Wird direkt aus dem Feld `product_event_type` zugeordnet.
`response_code`	`event.idm.read_only_udm.network.http.response_code`	Wird direkt aus dem Feld `response_code` zugeordnet und in eine Ganzzahl umgewandelt.
`rule.description`	`event.idm.read_only_udm.metadata.event_type`, `event.idm.read_only_udm.security_result.summary`	Wird verwendet, um den Ereignistyp zu bestimmen, und direkt der Zusammenfassung des Sicherheitsergebnisses zugeordnet.
`rule.id`	`event.idm.read_only_udm.metadata.product_log_id`, `event.idm.read_only_udm.security_result.rule_id`	Wird direkt aus dem Feld `rule.id` zugeordnet.
`rule.info`	`event.idm.read_only_udm.target.url`	Wird direkt aus dem Feld `rule.info` zugeordnet.
`rule.level`	`event.idm.read_only_udm.security_result.severity_details`	Wird verwendet, um Details zum Schweregrad festzulegen.
`r_cat_name`	`event.idm.read_only_udm.metadata.event_type`	Wird verwendet, um den Ereignistyp zu bestimmen.
`r_msg_id`	`event.idm.read_only_udm.metadata.product_log_id`	Wird direkt aus dem Feld `r_msg_id` zugeordnet.
`security_result.severity`	`event.idm.read_only_udm.security_result.severity`	Wird direkt aus dem Feld `security_result.severity` zugeordnet.
`ServerIP`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	Wird direkt aus dem Feld `ServerIP` zugeordnet.
`ServerPort`	`event.idm.read_only_udm.target.port`	Wird direkt aus dem Feld `ServerPort` zugeordnet und in eine Ganzzahl umgewandelt.
`sha256`	`event.idm.read_only_udm.target.process.file.sha256`	Wird direkt aus dem Feld `sha256` zugeordnet.
`Source`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`, `event.idm.read_only_udm.principal.port`	Wird geparst, um die IP-Adresse und den Port des Hauptkontos zu extrahieren.
`src_ip`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	Wird direkt aus dem Feld `src_ip` zugeordnet.
`sr_description`	`event.idm.read_only_udm.metadata.event_type`, `event.idm.read_only_udm.security_result.description`	Wird verwendet, um den Ereignistyp zu bestimmen, und wird direkt der Beschreibung des Sicherheitsergebnisses zugeordnet.
`syscheck.md5_after`	`event.idm.read_only_udm.target.process.file.md5`	Wird direkt aus dem Feld `syscheck.md5_after` zugeordnet.
`syscheck.md5_before`	`event.idm.read_only_udm.src.process.file.md5`	Wird direkt aus dem Feld `syscheck.md5_before` zugeordnet.
`syscheck.path`	`event.idm.read_only_udm.target.file.full_path`	Wird direkt aus dem Feld `syscheck.path` zugeordnet.
`syscheck.sha1_after`	`event.idm.read_only_udm.target.process.file.sha1`	Wird direkt aus dem Feld `syscheck.sha1_after` zugeordnet.
`syscheck.sha1_before`	`event.idm.read_only_udm.src.process.file.sha1`	Wird direkt aus dem Feld `syscheck.sha1_before` zugeordnet.
`syscheck.sha256_after`	`event.idm.read_only_udm.target.process.file.sha256`	Wird direkt aus dem Feld `syscheck.sha256_after` zugeordnet.
`syscheck.sha256_before`	`event.idm.read_only_udm.src.process.file.sha256`	Wird direkt aus dem Feld `syscheck.sha256_before` zugeordnet.
`syscheck.size_after`	`event.idm.read_only_udm.target.process.file.size`	Wird direkt aus dem Feld `syscheck.size_after` zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
`syscheck.size_before`	`event.idm.read_only_udm.src.process.file.size`	Wird direkt aus dem Feld `syscheck.size_before` zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
`syscheck.uname_after`	`event.idm.read_only_udm.principal.user.user_display_name`	Wird direkt aus dem Feld `syscheck.uname_after` zugeordnet.
`target_url`	`event.idm.read_only_udm.target.url`	Wird direkt aus dem Feld `target_url` zugeordnet.
`timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	Wird direkt aus dem Feld `timestamp` zugeordnet.
`Total_bytes_recv`	`event.idm.read_only_udm.network.received_bytes`	Wird direkt aus dem Feld `Total_bytes_recv` zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
`Total_bytes_send`	`event.idm.read_only_udm.network.sent_bytes`	Wird direkt aus dem Feld `Total_bytes_send` zugeordnet und in eine vorzeichenlose Ganzzahl konvertiert.
`User-Name`	`event.idm.read_only_udm.principal.user.userid`, `event.idm.read_only_udm.principal.mac`	Wird direkt aus dem Feld `User-Name` zugeordnet, wenn es sich nicht um eine MAC-Adresse handelt. Andernfalls wird er als MAC-Adresse geparst.
`user_agent`	`event.idm.read_only_udm.network.http.user_agent`	Wird direkt aus dem Feld `user_agent` zugeordnet.
`user_id`	`event.idm.read_only_udm.principal.user.userid`	Wird direkt aus dem Feld `user_id` zugeordnet.
`UserName`	`event.idm.read_only_udm.principal.user.userid`, `event.idm.read_only_udm.principal.mac`	Wird direkt aus dem Feld `UserName` zugeordnet, wenn es sich nicht um eine MAC-Adresse handelt. Andernfalls wird er als MAC-Adresse geparst.
`VserverServiceIP`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	Wird direkt aus dem Feld `VserverServiceIP` zugeordnet.
`VserverServicePort`	`event.idm.read_only_udm.target.port`	Wird direkt aus dem Feld `VserverServicePort` zugeordnet und in eine Ganzzahl umgewandelt.
`win.system.channel`	`event.idm.read_only_udm.security_result.detection_fields[].value`	Wird direkt aus dem Feld `win.system.channel` zugeordnet. Der Schlüssel ist auf „channel“ festgelegt.
`win.system.computer`	`event.idm.read_only_udm.principal.resource.attribute.labels[].value`	Wird direkt aus dem Feld `win.system.computer` zugeordnet. Der Schlüssel ist auf „computer“ festgelegt.
`win.system.eventID`	`event.idm.read_only_udm.metadata.product_log_id`	Wird direkt aus dem Feld `win.system.eventID` zugeordnet.
`win.system.message_description`	`event.idm.read_only_udm.metadata.description`	Wird direkt aus dem Feld `win.system.message_description` zugeordnet.
`win.system.processID`	`event.idm.read_only_udm.principal.process.pid`	Wird direkt aus dem Feld `win.system.processID` zugeordnet.
`win.system.providerGuid`	`event.idm.read_only_udm.principal.resource.attribute.labels[].value`	Wird direkt aus dem Feld `win.system.providerGuid` zugeordnet. Der Schlüssel ist auf „providerGuid“ festgelegt.
`win.system.providerName`	`event.idm.read_only_udm.principal.resource.attribute.labels[].value`	Wird direkt aus dem Feld `win.system.providerName` zugeordnet. Der Schlüssel ist auf „providerName“ festgelegt.
`win.system.severityValue`	`event.idm.read_only_udm.security_result.severity`, `event.idm.read_only_udm.security_result.severity_details`	Wird direkt aus dem Feld `win.system.severityValue` zugeordnet, wenn es sich um einen gültigen Schweregradwert handelt.
`win.system.systemTime`	`event.idm.read_only_udm.security_result.detection_fields[].value`	Wird direkt aus dem Feld `win.system.systemTime` zugeordnet. Der Schlüssel ist auf „systemTime“ festgelegt.
`win.system.threadID`	`event.idm.read_only_udm.security_result.detection_fields[].value`	Wird direkt aus dem Feld `win.system.threadID` zugeordnet. Der Schlüssel ist auf „threadID“ festgelegt.
–	`event.idm.read_only_udm.metadata.event_type`	Wird standardmäßig auf „GENERIC_EVENT“ festgelegt und durch eine spezifische Logik für verschiedene Ereignistypen überschrieben.
–	`event.idm.read_only_udm.extensions.auth.mechanism`	Für Anmeldeereignisse auf „REMOTE“ festgelegt.
–	`event.idm.read_only_udm.extensions.auth.type`	Wird für Anmelde-/Abmeldeereignisse auf „PASSWORD“ gesetzt und für einige Ereignisse mit „MACHINE“ überschrieben.
–	`event.idm.read_only_udm.network.ip_protocol`	Legen Sie für TCP-Netzwerkverbindungen „TCP“ fest.
–	`event.idm.read_only_udm.security_result.action`	Legen Sie „ALLOW“ für Anmelde- und erfolgreiche Ereignisse und „BLOCK“ für fehlgeschlagene Ereignisse fest.
–	`event.idm.read_only_udm.metadata.log_type`	Legen Sie diesen Wert auf „WAZUH“ fest.
–	`event.idm.read_only_udm.metadata.product_name`	Legen Sie diesen Wert auf „Wazuh“ fest.

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten