‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומני Wazuh

נתמך ב:

Google SecOps SIEM

מנתח הנתונים הזה של Wazuh מטמיע יומנים בפורמט SYSLOG ו-JSON, מנרמל שדות לפורמט נפוץ ומעשיר אותם במטא-נתונים ספציפיים ל-Wazuh. לאחר מכן, הוא משתמש בסדרה של הצהרות מותנות שמבוססות על השדות event_type ו-rule_id כדי למפות את נתוני היומן הגולמיים לסוג האירוע ולשדות המתאימים של UDM, ומטפל בפורמטים שונים של יומנים ובמקרים חריגים בסביבה העסקית של Wazuh.

לפני שמתחילים

ודאו שאתם עומדים בדרישות המוקדמות הבאות:

מופע של Google SecOps.
מכונה פעילה של Wazuh.
גישה עם הרשאות לקובצי התצורה של Wazuh.

הגדרת פידים

כדי להגדיר פיד:

עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
לוחצים על הוספת פיד חדש.
בדף הבא, לוחצים על הגדרת פיד יחיד.
בשדה Feed name, מזינים שם לפיד, לדוגמה Wazuh Logs.
בוחרים באפשרות Webhook בתור סוג המקור.
בוחרים באפשרות Wazuh בתור Log type.
לוחצים על הבא.
אופציונלי: מציינים ערכים לפרמטרים הבאים של הקלט:
- Split delimiter: התו המשמש להפרדה בין שורות ביומן, כמו \n.
לוחצים על הבא.
בודקים את הגדרות הפיד במסך סיום ולוחצים על שליחה.
לוחצים על יצירת מפתח סודי כדי ליצור מפתח סודי לאימות הפיד הזה.
מעתיקים את המפתח הסודי ושומרים אותו. לא תוכלו לראות שוב את המפתח הסודי הזה. במקרה הצורך, אפשר ליצור מחדש מפתח סודי, אבל הפעולה הזו מבטלת את המפתח הסודי הקודם.
בכרטיסייה פרטים, מעתיקים את כתובת ה-URL של נקודת הקצה של הפיד מהשדה פרטי נקודת הקצה. צריך לציין את כתובת ה-URL של נקודת הקצה הזו באפליקציית הלקוח.
לוחצים על סיום.

יצירת מפתח API לפיד ה-Webhook

נכנסים לGoogle Cloud מסוף > Credentials.

כניסה לדף Credentials
לוחצים על Create credentials ואז על מפתח API.
מגבילים את הגישה של מפתח ה-API ל-Google Security Operations API.

מציינים את כתובת ה-URL של נקודת הקצה

באפליקציית הלקוח, מציינים את כתובת ה-URL של נקודת הקצה (endpoint) ב-HTTPS שסופקה בפיד ה-webhook.
כדי להפעיל את האימות, צריך לציין את מפתח ה-API ואת המפתח הסודי כחלק מהכותרת בהתאמה אישית, בפורמט הבא:
```
X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET
```
המלצה: ציינו את מפתח ה-API ככותרת במקום לציין אותו בכתובת ה-URL. אם לקוח ה-webhook שלכם לא תומך בכותרות בהתאמה אישית, אתם יכולים לציין את מפתח ה-API ואת המפתח הסודי באמצעות פרמטרים של שאילתה בפורמט הבא:
```
ENDPOINT_URL?key=API_KEY&secret=SECRET
```

מחליפים את מה שכתוב בשדות הבאים:

‫ENDPOINT_URL: כתובת ה-URL של נקודת הקצה של הפיד.
‫API_KEY: מפתח ה-API לאימות ב-Google Security Operations.
‫SECRET: המפתח הסודי שיצרתם כדי לאמת את הפיד.

הגדרת Webhook של Wazuh Cloud

כדי להגדיר את ה-Webhook של Wazuh Cloud:

נכנסים לחשבון ב-Wazuh Cloud.
עוברים אל הגדרות, שנמצאות בתפריט החלונית הימנית בקטע ניהול שרתים.
לוחצים על עריכת ההגדרות.
מוסיפים את בלוק השילוב הבא בקטע <integration> של ההגדרות.
- אם הקטע לא קיים, מעתיקים את כל הבלוק עם <integration> כדי ליצור אותו.
- מחליפים את הערכים הזמניים לשמירת מקום בפרטים האמיתיים של Google SecOps:

<integration>
  <name>google-chronicle</name>
  <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
  <alert_format>json</alert_format>
  <level>0</level>  <!-- Adjust the level as needed -->
</integration>

‫CHRONICLE_REGION: האזור של Google SecOps (לדוגמה, us,‏ europe-west1).
‫GOOGLE_PROJECT_NUMBER: מספר הפרויקט בענן ב-Google Cloud.
‫LOCATION: האזור של Google SecOps (לדוגמה, us,‏ europe-west1).
‫CUSTOMER_ID: מזהה הלקוח ב-Google SecOps.
‫FEED_ID: המזהה של הפיד ב-Google SecOps.
‫API_KEY: מפתח ה-API של Google Cloud שמארח את Google SecOps.
‫SECRET: הסוד של הפיד ב-Google SecOps.
‫alert_format: צריך להגדיר את הערך json כדי שתהיה תאימות ל-Google SecOps.
‫level: מציין את רמת ההתראה המינימלית להעברה. 0 שולח את כל ההתראות.

לוחצים על הכפתור שמירה.
לוחצים על Restart wazuh-manager.

הגדרת webhook מקומי של Wazuh

כדי להגדיר את ה-Webhook של Wazuh מקומי:

נכנסים למנהל Wazuh המקומי.
עוברים לספרייה /var/ossec/etc/.
פותחים את הקובץ ossec.conf באמצעות כלי לעריכת טקסט (לדוגמה, nano,‏ vim).
מוסיפים את בלוק השילוב הבא בקטע <integration> של ההגדרות.
- אם הקטע לא קיים, מעתיקים את כל הבלוק עם <integration> כדי ליצור אותו.
- מחליפים את הערכים הזמניים לשמירת מקום בפרטים האמיתיים של Google SecOps:
```
<integration>
   <name>google-chronicle</name>
   <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
   <alert_format>json</alert_format>
   <level>0</level>  
</integration>
```
- ‫CHRONICLE_REGION: האזור של Google SecOps (לדוגמה, us,‏ europe-west1).
- ‫GOOGLE_PROJECT_NUMBER: מספר הפרויקט בענן ב-Google Cloud.
- ‫LOCATION: האזור של Google SecOps (לדוגמה, us,‏ europe-west1).
- ‫CUSTOMER_ID: מזהה הלקוח ב-Google SecOps.
- ‫FEED_ID: המזהה של הפיד ב-Google SecOps.
- ‫API_KEY: מפתח ה-API של Google Cloud שמארח את Google SecOps.
- ‫SECRET: הסוד של הפיד ב-Google SecOps.
- ‫alert_format: צריך להגדיר את הערך json כדי שתהיה תאימות ל-Google SecOps.
- ‫level: מציין את רמת ההתראה המינימלית להעברה. 0 שולח את כל ההתראות.
מפעילים מחדש את מנהל Wazuh כדי להחיל את השינויים:
```
sudo systemctl restart wazuh-manager
```

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
`Acct-Authentic`	`event.idm.read_only_udm.security_result.authentication_mechanism`	ממופה ישירות מהשדה `Acct-Authentic`.
`Acct-Status-Type`	`event.idm.read_only_udm.security_result.detection_fields[].value`	ממופה ישירות מהשדה `Acct-Status-Type`. המפתח מוגדר כ-"Acct-Status-Type".
`agent.id`	`event.idm.read_only_udm.intermediary.resource.id`	ממופה ישירות מהשדה `agent.id`.
`agent.ip`	`event.idm.read_only_udm.intermediary.ip`,‏ `event.idm.read_only_udm.intermediary.asset.ip`,‏ `event.idm.read_only_udm.principal.ip`,‏ `event.idm.read_only_udm.principal.asset.ip`,‏ `event.idm.read_only_udm.target.ip`,‏ `event.idm.read_only_udm.target.asset.ip`	ממופה ישירות מהשדה `agent.ip`. משמש גם לכתובת ה-IP של הגורם הראשי או של היעד במקרים מסוימים, בהתאם לסוג האירוע.
`agent.name`	`event.idm.read_only_udm.security_result.about.hostname`	ממופה ישירות מהשדה `agent.name`.
`application`	`event.idm.read_only_udm.target.application`	ממופה ישירות מהשדה `application` של Wazuh.
`audit-session-id`	`event.idm.read_only_udm.network.session_id`	ממופה ישירות מהשדה `audit-session-id`.
`ClientIP`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	ממופה ישירות מהשדה `ClientIP`.
`ClientPort`	`event.idm.read_only_udm.principal.port`	ממופה ישירות מהשדה `ClientPort` ומומר למספר שלם.
`cmd`	`event.idm.read_only_udm.target.process.command_line`	ממופה ישירות מהשדה `cmd`.
`CommandLine`	`event.idm.read_only_udm.target.process.command_line`	ממופה ישירות מהשדה `CommandLine`.
`ConfigVersionId`	`event.idm.read_only_udm.additional.fields[].value.number_value`	ממופה ישירות מהשדה `ConfigVersionId`. המפתח מוגדר בתור "מזהה גרסת ההגדרה".
`data.Account Number`	`event.idm.read_only_udm.principal.user.userid`	ממופה ישירות מהשדה `data.Account Number` למזהי כללים ספציפיים.
`data.Control`	`event.idm.read_only_udm.security_result.action_details`	ממופה ישירות מהשדה `data.Control` למזהי כללים ספציפיים.
`data.Message`	`event.idm.read_only_udm.security_result.description`	ממופה ישירות מהשדה `data.Message` למזהי כללים ספציפיים.
`data.Profile`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `data.Profile` למזהי כללים ספציפיים.
`data.Region`	`event.idm.read_only_udm.principal.location.name`	ממופה ישירות מהשדה `data.Region` למזהי כללים ספציפיים.
`data.Status`	`event.idm.read_only_udm.security_result.action`	ממופה מהשדה `data.Status`. אם הערך הוא Pass או AUDIT_SUCCESS, הפעולה מוגדרת כ-ALLOW. אם הערך הוא ERROR,‏ AUDIT_FAILURE או FAIL, הפעולה מוגדרת כ-BLOCK.
`data.aws.awsRegion`	`event.idm.read_only_udm.principal.location.name`	ממופה ישירות מהשדה `data.aws.awsRegion` למזהי כללים ספציפיים.
`data.aws.eventID`	`event.idm.read_only_udm.target.resource.attribute.labels[].value`	ממופה ישירות מהשדה `data.aws.eventID`. המפתח מוגדר כ-"Event ID" (מזהה אירוע).
`data.aws.eventName`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `data.aws.eventName` למזהי כללים ספציפיים.
`data.aws.eventSource`	`event.idm.read_only_udm.metadata.url_back_to_product`	ממופה ישירות מהשדה `data.aws.eventSource` למזהי כללים ספציפיים.
`data.aws.eventType`	`event.idm.read_only_udm.metadata.product_event_type`	ממופה ישירות מהשדה `data.aws.eventType` למזהי כללים ספציפיים.
`data.aws.requestID`	`event.idm.read_only_udm.target.resource.attribute.labels[].value`	ממופה ישירות מהשדה `data.aws.requestID`. המפתח מוגדר בתור "מזהה בקשה".
`data.aws.requestParameters.loadBalancerName`	`event.idm.read_only_udm.target.resource.attribute.labels[].value`	ממופה ישירות מהשדה `data.aws.requestParameters.loadBalancerName`. המפתח מוגדר ל-"LoadBalancer Name".
`data.aws.sourceIPAddress`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `data.aws.sourceIPAddress` למזהי כללים ספציפיים.
`data.aws.source_ip_address`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	ממופה ישירות מהשדה `data.aws.source_ip_address`.
`data.aws.userIdentity.accountId`	`event.idm.read_only_udm.principal.user.product_object_id`	ממופה ישירות מהשדה `data.aws.userIdentity.accountId` למזהי כללים ספציפיים.
`data.aws.userIdentity.principalId`	`event.idm.read_only_udm.principal.user.userid`	ממופה ישירות מהשדה `data.aws.userIdentity.principalId` למזהי כללים ספציפיים.
`data.aws.userIdentity.sessionContext.sessionIssuer.arn`	`event.idm.read_only_udm.target.resource.attribute.labels[].value`	ממופה ישירות מהשדה `data.aws.userIdentity.sessionContext.sessionIssuer.arn`. המפתח מוגדר כ-"ARN".
`data.aws.userIdentity.sessionContext.sessionIssuer.userName`	`event.idm.read_only_udm.principal.user.user_display_name`	ממופה ישירות מהשדה `data.aws.userIdentity.sessionContext.sessionIssuer.userName` למזהי כללים ספציפיים.
`data.command`	`event.idm.read_only_udm.target.file.full_path`	ממופה ישירות מהשדה `data.command`.
`data.docker.message`	`event.idm.read_only_udm.security_result.description`	מיפוי ישיר מהשדה `data.docker.message` לסוגי אירועים ספציפיים.
`data.dstuser`	`event.idm.read_only_udm.target.user.userid`	ממופה ישירות מהשדה `data.dstuser`.
`data.file`	`event.idm.read_only_udm.target.file.full_path`	ממופה ישירות מהשדה `data.file`.
`data.package`	`event.idm.read_only_udm.target.asset.software[].name`	ממופה ישירות מהשדה `data.package`.
`data.srcip`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	ממופה ישירות מהשדה `data.srcip`.
`data.srcuser`	`event.idm.read_only_udm.principal.user.userid`	ממופה ישירות מהשדה `data.srcuser`.
`data.subject.account_domain`	`event.idm.read_only_udm.target.administrative_domain`	ממופה ישירות מהשדה `data.subject.account_domain` למזהי כללים ספציפיים.
`data.subject.account_name`	`event.idm.read_only_udm.target.user.user_display_name`	ממופה ישירות מהשדה `data.subject.account_name` למזהי כללים ספציפיים.
`data.subject.security_id`	`event.idm.read_only_udm.target.user.windows_sid`	ממופה ישירות מהשדה `data.subject.security_id` למזהי כללים ספציפיים.
`data.title`	`event.idm.read_only_udm.target.resource.name`	ממופה ישירות מהשדה `data.title`.
`data.version`	`event.idm.read_only_udm.target.asset.software[].version`	ממופה ישירות מהשדה `data.version`.
`decoder.name`	`event.idm.read_only_udm.about.resource.name`, `event.idm.read_only_udm.target.application`	ממופה ישירות מהשדה `decoder.name`. במקרים מסוימים, משמש גם לאפליקציית היעד.
`decoder.parent`	`event.idm.read_only_udm.about.resource.parent`	ממופה ישירות מהשדה `decoder.parent`.
`Description`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `Description`.
`Destination`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`, `event.idm.read_only_udm.target.port`	מנותח כדי לחלץ את כתובת ה-IP והיציאה של היעד.
`DestinationIPAddress`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	ממופה ישירות מהשדה `DestinationIPAddress`.
`DestinationPort`	`event.idm.read_only_udm.target.port`	ממופה ישירות מהשדה `DestinationPort` ומומר למספר שלם.
`device_ip_address`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	ממופה ישירות מהשדה `device_ip_address`.
`feature`	`event.idm.read_only_udm.metadata.product_event_type`	ממופה ישירות מהשדה `feature`, לפעמים בשילוב עם `message_type`.
`file_path`	`event.idm.read_only_udm.target.file.full_path`	ממופה ישירות מהשדה `file_path`.
`Framed-IP-Address`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	ממופה ישירות מהשדה `Framed-IP-Address`.
`full_log`	`event.idm.read_only_udm.principal.port`, `event.idm.read_only_udm.security_result.description`, `event.idm.read_only_udm.about.labels[].value`	מנותח כדי לחלץ את מספר היציאה, תיאור תוצאת האבטחה ומזהה ההתחברות של הנושא.
`Hashes`	`event.idm.read_only_udm.target.process.file.sha256`, `event.idm.read_only_udm.target.process.file.md5`	מנותח כדי לחלץ גיבובי SHA256 ו-MD5.
`hostname`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `hostname`.
`Image`	`event.idm.read_only_udm.target.process.file.full_path`	ממופה ישירות מהשדה `Image`.
`IntegrityLevel`	`event.idm.read_only_udm.additional.fields[].value.string_value`	ממופה ישירות מהשדה `IntegrityLevel`. המפתח מוגדר כ-"Integrity Level".
`kv_data`	‫`event.idm.read_only_udm.target.process.file.full_path`, `event.idm.read_only_udm.target.process.pid`, `event.idm.read_only_udm.target.process.parent_process.file.full_path`, `event.idm.read_only_udm.target.process.parent_process.command_line`, `event.idm.read_only_udm.target.process.parent_process.product_specific_process_id`, `event.idm.read_only_udm.target.process.product_specific_process_id`, `event.idm.read_only_udm.metadata.description`, `event.idm.read_only_udm.additional.fields[].value.string_value`	מנותח כדי לחלץ שדות שונים שקשורים ליצירת תהליכים, לתיאור ולערכי גיבוב (hash) של קבצים.
`kv_log_data`	`event.idm.read_only_udm.security_result.severity_details`	מנותח כדי לחלץ את רמת ההתראה.
`location`	`event.idm.read_only_udm.target.file.full_path`	ממופה ישירות מהשדה `location`.
`LogonGuid`	`event.idm.read_only_udm.additional.fields[].value.string_value`	ממופה ישירות מהשדה `LogonGuid` אחרי הסרת הסוגריים המסולסלים. המפתח מוגדר כ-"Logon Guid".
`LogonId`	`event.idm.read_only_udm.about.labels[].value`, `event.idm.read_only_udm.additional.fields[].value.string_value`	משמש למזהה ההתחברות של הנושא באירועי התנתקות, וממופה ישירות לאירועים אחרים. המפתח מוגדר בתור "מזהה כניסה".
`log_description`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `log_description`.
`log_message`	`event.idm.read_only_udm.target.file.full_path`, `event.idm.read_only_udm.metadata.description`	מנותח כדי לחלץ את הנתיב ואת תיאור היומן.
`manager.name`	`event.idm.read_only_udm.about.user.userid`, `event.idm.read_only_udm.principal.user.userid`	ממופה ישירות מהשדה `manager.name`. במקרים מסוימים, משמש גם כמזהה המשתמש הראשי.
`md5`	`event.idm.read_only_udm.target.process.file.md5`	ממופה ישירות מהשדה `md5`.
`message`	`event.idm.read_only_udm.metadata.product_event_type`, `event.idm.read_only_udm.metadata.description`, `event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`, `event.idm.read_only_udm.target.process.command_line`, `event.idm.read_only_udm.network.http.method`, `event.idm.read_only_udm.network.http.response_code`, `event.idm.read_only_udm.principal.user.userid`, `event.idm.read_only_udm.principal.mac`, `event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`, `event.idm.read_only_udm.target.port`, `event.idm.read_only_udm.principal.nat_ip`, `event.idm.read_only_udm.principal.nat_port`, `event.idm.read_only_udm.security_result.severity`, `event.idm.read_only_udm.network.session_id`, `event.idm.read_only_udm.security_result.detection_fields[].value`, `event.idm.read_only_udm.additional.fields[].value.number_value`, `event.idm.read_only_udm.target.url`, `event.idm.read_only_udm.target.application`, `event.idm.read_only_udm.principal.resource.attribute.labels[].value`, `event.idm.read_only_udm.security_result.rule_type`, `event.idm.read_only_udm.security_result.description`, `event.idm.read_only_udm.network.http.user_agent`, `event.idm.read_only_udm.principal.process.pid`, `event.idm.read_only_udm.principal.resource.attribute.labels[].value`, `event.idm.read_only_udm.security_result.severity_details`	מנותח באמצעות grok כדי לחלץ שדות שונים בהתאם לפורמט של היומן.
`message_data`	‫`event.idm.read_only_udm.metadata.description`, `event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`, `event.idm.read_only_udm.principal.port`, `event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`, `event.idm.read_only_udm.target.port`, `event.idm.read_only_udm.network.sent_bytes`, `event.idm.read_only_udm.network.received_bytes`, `event.idm.read_only_udm.network.ip_protocol`, `event.idm.read_only_udm.metadata.event_type`	מנותחים כדי לחלץ נתוני הודעות, כתובות IP, יציאות, בייטים שנשלחו או התקבלו וסוג האירוע.
`message_type`	`event.idm.read_only_udm.metadata.product_event_type`, `event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `message_type`, לפעמים בשילוב עם `feature`. במקרים מסוימים, משמש גם לתיאור.
`method`	`event.idm.read_only_udm.network.http.method`	ממופה ישירות מהשדה `method`.
`NAS-IP-Address`	`event.idm.read_only_udm.principal.nat_ip`	ממופה ישירות מהשדה `NAS-IP-Address`.
`NAS-Port`	`event.idm.read_only_udm.principal.nat_port`	ממופה ישירות מהשדה `NAS-Port` ומומר למספר שלם.
`NAS-Port-Type`	`event.idm.read_only_udm.principal.resource.attribute.labels[].value`	ממופה ישירות מהשדה `NAS-Port-Type`. המפתח מוגדר כ-"nas_port_type".
`NetworkDeviceName`	`event.idm.read_only_udm.intermediary.hostname`	ממופה ישירות מהשדה `NetworkDeviceName` אחרי הסרת לוכסנים הפוכים.
`ParentCommandLine`	`event.idm.read_only_udm.target.process.parent_process.command_line`	ממופה ישירות מהשדה `ParentCommandLine`.
`ParentImage`	`event.idm.read_only_udm.target.process.parent_process.file.full_path`	ממופה ישירות מהשדה `ParentImage`.
`ParentProcessGuid`	`event.idm.read_only_udm.target.process.parent_process.product_specific_process_id`	ממופה ישירות מהשדה `ParentProcessGuid` אחרי הסרת הסוגריים המסולסלים והוספת "ID:" בתחילת המחרוזת.
`ParentProcessId`	`event.idm.read_only_udm.target.process.parent_process.pid`	ממופה ישירות מהשדה `ParentProcessId`.
`predecoder.hostname`	`event.idm.read_only_udm.principal.hostname`, `event.idm.read_only_udm.principal.asset.hostname`	ממופה ישירות מהשדה `predecoder.hostname`.
`ProcessGuid`	`event.idm.read_only_udm.target.process.product_specific_process_id`	ממופה ישירות מהשדה `ProcessGuid` אחרי הסרת הסוגריים המסולסלים והוספת "ID:" בתחילת המחרוזת.
`ProcessId`	`event.idm.read_only_udm.target.process.pid`	ממופה ישירות מהשדה `ProcessId`.
`product_event_type`	`event.idm.read_only_udm.metadata.product_event_type`	ממופה ישירות מהשדה `product_event_type`.
`response_code`	`event.idm.read_only_udm.network.http.response_code`	ממופה ישירות מהשדה `response_code` ומומר למספר שלם.
`rule.description`	`event.idm.read_only_udm.metadata.event_type`, `event.idm.read_only_udm.security_result.summary`	משמש לקביעת סוג האירוע וממופה ישירות לסיכום תוצאות האבטחה.
`rule.id`	`event.idm.read_only_udm.metadata.product_log_id`, `event.idm.read_only_udm.security_result.rule_id`	ממופה ישירות מהשדה `rule.id`.
`rule.info`	`event.idm.read_only_udm.target.url`	ממופה ישירות מהשדה `rule.info`.
`rule.level`	`event.idm.read_only_udm.security_result.severity_details`	משמש להגדרת פרטי החומרה.
`r_cat_name`	`event.idm.read_only_udm.metadata.event_type`	משמש לקביעת סוג האירוע.
`r_msg_id`	`event.idm.read_only_udm.metadata.product_log_id`	ממופה ישירות מהשדה `r_msg_id`.
`security_result.severity`	`event.idm.read_only_udm.security_result.severity`	ממופה ישירות מהשדה `security_result.severity`.
`ServerIP`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	ממופה ישירות מהשדה `ServerIP`.
`ServerPort`	`event.idm.read_only_udm.target.port`	ממופה ישירות מהשדה `ServerPort` ומומר למספר שלם.
`sha256`	`event.idm.read_only_udm.target.process.file.sha256`	ממופה ישירות מהשדה `sha256`.
`Source`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`, `event.idm.read_only_udm.principal.port`	מנותח כדי לחלץ את כתובת ה-IP והיציאה של המשתמש הראשי.
`src_ip`	`event.idm.read_only_udm.principal.ip`, `event.idm.read_only_udm.principal.asset.ip`	ממופה ישירות מהשדה `src_ip`.
`sr_description`	`event.idm.read_only_udm.metadata.event_type`, `event.idm.read_only_udm.security_result.description`	משמש לקביעת סוג האירוע וממופה ישירות לתיאור של תוצאת האבטחה.
`syscheck.md5_after`	`event.idm.read_only_udm.target.process.file.md5`	ממופה ישירות מהשדה `syscheck.md5_after`.
`syscheck.md5_before`	`event.idm.read_only_udm.src.process.file.md5`	ממופה ישירות מהשדה `syscheck.md5_before`.
`syscheck.path`	`event.idm.read_only_udm.target.file.full_path`	ממופה ישירות מהשדה `syscheck.path`.
`syscheck.sha1_after`	`event.idm.read_only_udm.target.process.file.sha1`	ממופה ישירות מהשדה `syscheck.sha1_after`.
`syscheck.sha1_before`	`event.idm.read_only_udm.src.process.file.sha1`	ממופה ישירות מהשדה `syscheck.sha1_before`.
`syscheck.sha256_after`	`event.idm.read_only_udm.target.process.file.sha256`	ממופה ישירות מהשדה `syscheck.sha256_after`.
`syscheck.sha256_before`	`event.idm.read_only_udm.src.process.file.sha256`	ממופה ישירות מהשדה `syscheck.sha256_before`.
`syscheck.size_after`	`event.idm.read_only_udm.target.process.file.size`	ממופה ישירות מהשדה `syscheck.size_after` ומומר למספר שלם ללא סימן.
`syscheck.size_before`	`event.idm.read_only_udm.src.process.file.size`	ממופה ישירות מהשדה `syscheck.size_before` ומומר למספר שלם ללא סימן.
`syscheck.uname_after`	`event.idm.read_only_udm.principal.user.user_display_name`	ממופה ישירות מהשדה `syscheck.uname_after`.
`target_url`	`event.idm.read_only_udm.target.url`	ממופה ישירות מהשדה `target_url`.
`timestamp`	`event.idm.read_only_udm.metadata.event_timestamp`	ממופה ישירות מהשדה `timestamp`.
`Total_bytes_recv`	`event.idm.read_only_udm.network.received_bytes`	ממופה ישירות מהשדה `Total_bytes_recv` ומומר למספר שלם ללא סימן.
`Total_bytes_send`	`event.idm.read_only_udm.network.sent_bytes`	ממופה ישירות מהשדה `Total_bytes_send` ומומר למספר שלם ללא סימן.
`User-Name`	`event.idm.read_only_udm.principal.user.userid`, `event.idm.read_only_udm.principal.mac`	ממופה ישירות מהשדה `User-Name` אם זו לא כתובת MAC. אחרת, הוא מנותח ככתובת MAC.
`user_agent`	`event.idm.read_only_udm.network.http.user_agent`	ממופה ישירות מהשדה `user_agent`.
`user_id`	`event.idm.read_only_udm.principal.user.userid`	ממופה ישירות מהשדה `user_id`.
`UserName`	`event.idm.read_only_udm.principal.user.userid`, `event.idm.read_only_udm.principal.mac`	ממופה ישירות מהשדה `UserName` אם זו לא כתובת MAC. אחרת, הוא מנותח ככתובת MAC.
`VserverServiceIP`	`event.idm.read_only_udm.target.ip`, `event.idm.read_only_udm.target.asset.ip`	ממופה ישירות מהשדה `VserverServiceIP`.
`VserverServicePort`	`event.idm.read_only_udm.target.port`	ממופה ישירות מהשדה `VserverServicePort` ומומר למספר שלם.
`win.system.channel`	`event.idm.read_only_udm.security_result.detection_fields[].value`	ממופה ישירות מהשדה `win.system.channel`. המפתח מוגדר כ-"channel".
`win.system.computer`	`event.idm.read_only_udm.principal.resource.attribute.labels[].value`	ממופה ישירות מהשדה `win.system.computer`. המפתח מוגדר כ-"computer".
`win.system.eventID`	`event.idm.read_only_udm.metadata.product_log_id`	ממופה ישירות מהשדה `win.system.eventID`.
`win.system.message_description`	`event.idm.read_only_udm.metadata.description`	ממופה ישירות מהשדה `win.system.message_description`.
`win.system.processID`	`event.idm.read_only_udm.principal.process.pid`	ממופה ישירות מהשדה `win.system.processID`.
`win.system.providerGuid`	`event.idm.read_only_udm.principal.resource.attribute.labels[].value`	ממופה ישירות מהשדה `win.system.providerGuid`. המפתח מוגדר כ-"providerGuid".
`win.system.providerName`	`event.idm.read_only_udm.principal.resource.attribute.labels[].value`	ממופה ישירות מהשדה `win.system.providerName`. המפתח מוגדר כ-"providerName".
`win.system.severityValue`	`event.idm.read_only_udm.security_result.severity`, `event.idm.read_only_udm.security_result.severity_details`	ממופה ישירות מהשדה `win.system.severityValue` אם זה ערך חומרה תקין.
`win.system.systemTime`	`event.idm.read_only_udm.security_result.detection_fields[].value`	ממופה ישירות מהשדה `win.system.systemTime`. המפתח מוגדר כ-"systemTime".
`win.system.threadID`	`event.idm.read_only_udm.security_result.detection_fields[].value`	ממופה ישירות מהשדה `win.system.threadID`. המפתח מוגדר כ-"threadID".
לא רלוונטי	`event.idm.read_only_udm.metadata.event_type`	הערך שמוגדר כברירת מחדל הוא "GENERIC_EVENT", והוא מוחלף על ידי לוגיקה ספציפית לסוגי אירועים שונים.
לא רלוונטי	`event.idm.read_only_udm.extensions.auth.mechanism`	מוגדר כ-"REMOTE" לאירועי התחברות.
לא רלוונטי	`event.idm.read_only_udm.extensions.auth.type`	מוגדר כ-"PASSWORD" לאירועי התחברות/התנתקות, ומוחלף ב-"MACHINE" לאירועים מסוימים.
לא רלוונטי	`event.idm.read_only_udm.network.ip_protocol`	מגדירים את הערך "TCP" לחיבורי רשת TCP.
לא רלוונטי	`event.idm.read_only_udm.security_result.action`	צריך להגדיר את הערך ALLOW לאירועי התחברות ואירועים שהצליחו, ואת הערך BLOCK לאירועים שנכשלו.
לא רלוונטי	`event.idm.read_only_udm.metadata.log_type`	מגדירים את הערך "WAZUH".
לא רלוונטי	`event.idm.read_only_udm.metadata.product_name`	מגדירים את האפשרות "Wazuh".

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.