Claroty CTD-Logs erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Claroty Continuous Threat Detection (CTD)-Logs mit Bindplane in Google Security Operations aufnehmen.

Hinweise

  • Prüfen Sie, ob Sie eine Google Security Operations-Instanz haben.
  • Achten Sie darauf, dass Sie Windows 2016 oder höher oder einen Linux-Host mit systemd verwenden.
  • Wenn Sie einen Proxy verwenden, müssen die Firewallports geöffnet sein.
  • Prüfen Sie, ob Sie privilegierten Zugriff auf Claroty CTD haben.

Authentifizierungsdatei für die Aufnahme in Google SecOps abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie SIEM-Einstellungen > Collection Agents auf.
  3. Laden Sie die Authentifizierungsdatei für die Aufnahme herunter. Speichern Sie die Datei sicher auf dem System, auf dem BindPlane installiert wird.

Google SecOps-Kundennummer abrufen

  1. Melden Sie sich in der Google SecOps-Konsole an.
  2. Rufen Sie die SIEM-Einstellungen > „Profil“ auf.
  3. Kopieren und speichern Sie die Kunden-ID aus dem Bereich Organisationsdetails.

BindPlane-Agent installieren

Fenstereinbau

  1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

  2. Führen Sie dazu diesen Befehl aus:

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux-Installation

  1. Öffnen Sie ein Terminal mit Root- oder Sudo-Berechtigungen.

  2. Führen Sie dazu diesen Befehl aus:

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Zusätzliche Installationsressourcen

BindPlane-Agent zum Erfassen von Syslog-Daten und Senden an Google SecOps konfigurieren

  1. Greifen Sie auf die Konfigurationsdatei zu:

    1. Suchen Sie die Datei config.yaml. Normalerweise befindet es sich unter Linux im Verzeichnis /etc/bindplane-agent/ oder unter Windows im Installationsverzeichnis.
    2. Öffnen Sie die Datei mit einem Texteditor (z. B. nano, vi oder Notepad).

  2. Bearbeiten Sie die Datei config.yamlso:

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: CLAROTY_CTD
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.

  4. Ersetzen Sie <customer_id> durch die tatsächliche Kunden-ID.

  5. Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Pfad, in dem die Authentifizierungsdatei im Abschnitt Google SecOps-Aufnahmeauthentifizierungsdatei abrufen gespeichert wurde.

Bindplane-Agent neu starten, um die Änderungen zu übernehmen

  • Führen Sie den folgenden Befehl aus, um den Bindplane-Agent unter Linux neu zu starten:

    sudo systemctl restart bindplane-agent

  • Wenn Sie den Bindplane-Agent unter Windows neu starten möchten, können Sie entweder die Konsole Dienste verwenden oder den folgenden Befehl eingeben:

    net stop BindPlaneAgent && net start BindPlaneAgent

Syslog in Claroty Continuous Threat Detection (CTD) konfigurieren

  1. Melden Sie sich in der Claroty CTD-Web-UI an.
  2. Klicken Sie auf das Menü > Integrationen > Syslog.
  3. Wiederholen Sie die folgenden Schritte für jeden Syslog-Typ für Nachrichteninhalt:
    • Benachrichtigungen
    • Ereignisse
    • Statusüberwachung
    • Statistiken
    • Aktivitätsprotokolle
    • Sicherheitslücken
  4. Klicken Sie auf +, um eine neue Konfiguration hinzuzufügen.
  5. Wählen Sie im Menü Nachrichteninhalt die Inhalte aus, die exportiert werden sollen.
  6. Geben Sie die folgenden Konfigurationsdetails an:
    • Kategorie: Wählen Sie Alle aus.
    • Typ: Wählen Sie alle Alle auswählen-Typen aus.
    • Format: Wählen Sie CEF (Latest) aus.
    • System-URL: Aktualisieren Sie die System-URL/IP nur, wenn Sie einen Proxyserver verwenden.
    • Senden an: Wählen Sie Externer Syslog-Server (z. B. SIEM-, SOAR-Systeme) aus.
    • Anbieter: Wählen Sie Sonstiges aus.
    • Syslog Server IP (Syslog-Server-IP): Geben Sie die IP-Adresse des Bindplane-Agents ein.
    • Port: Geben Sie den BindPlane-Agent-Port ein, z. B. 514.
    • Protokoll: Wählen Sie UDP aus. Je nach Bindplane-Konfiguration sind auch TCP, TLS oder mTLS verfügbar.
  7. Klicken Sie auf Speichern.

UDM-Zuordnungstabelle

Logfeld UDM-Zuordnung Logik
CtdRealTime metadata.event_timestamp Wird mit MMM dd yyyy HH:mm:ss aus CtdRealTime geparst und als Ereigniszeitstempel verwendet.
CtdTimeGenerated metadata.event_timestamp Wenn CtdRealTime leer ist, wird der Ereigniszeitstempel aus CtdTimeGenerated mit MMM dd yyyy HH:mm:ss geparst.
CtdMessage metadata.description Legt metadata.description aus dem Feld „CtdMessage“ fest.
CtdMessage security_result.description Legt „security_result.description“ aus dem Feld „CtdMessage“ fest, sofern zutreffend.
Port (aus CtdMessage-KV) principal.port Wird aus dem Schlüssel Port in CtdMessage extrahiert, in eine Ganzzahl konvertiert und als principal.port festgelegt.
Kategorie (aus CtdMessage-KV) security_result.detection_fields (Category_label) Aus CtdMessage als Schlüssel Category extrahiert und in Erkennungsfelder zusammengeführt.
Zugriff (über CtdMessage-KV) security_result.detection_fields (Access_label) Aus CtdMessage als Schlüssel Access extrahiert und in Erkennungsfelder zusammengeführt.
CtdSite principal.hostname Ordnet CtdSite dem principal.hostname zu.
CtdSite principal.asset.hostname Ordnet CtdSite principal.asset.hostname zu.
CtdCpu principal.resource.attribute.labels (CtdCpu_label) Erstellt ein Label mit dem Schlüssel CtdCpu mit dem Wert von CtdCpu und führt es in „principal.resource.attribute.labels“ ein.
CtdMem principal.resource.attribute.labels (CtdMem_label) Erstellt ein Label mit dem Schlüssel CtdMem mit dem Wert von CtdMem und führt es in principal.resource.attribute.labels zusammen.
CtdUsedOptIcsranger principal.resource.attribute.labels (CtdUsedOptIcsranger_label) Erstellt ein Label aus CtdUsedOptIcsranger und führt es zusammen.
CtdUsedVar principal.resource.attribute.labels (CtdUsedVar_label) Erstellt ein Label aus CtdUsedVar und führt es zusammen.
CtdUsedTmp principal.resource.attribute.labels (CtdUsedTmp_label) Erstellt ein Label aus CtdUsedTmp und führt es zusammen.
CtdUsedEtc principal.resource.attribute.labels (CtdUsedEtc_label) Erstellt ein Label aus CtdUsedEtc und führt es zusammen.
CtdBusyFd principal.resource.attribute.labels (CtdBusyFd_label) Erstellt ein Label aus CtdBusyFd und führt es zusammen.
CtdBusySda principal.resource.attribute.labels (CtdBusySda_label) Erstellt ein Label aus CtdBusySda und führt es zusammen.
CtdBusySdaA principal.resource.attribute.labels (CtdBusySdaA_label) Erstellt ein Label aus CtdBusySdaA und führt es zusammen.
CtdBusySdaB principal.resource.attribute.labels (CtdBusySdaB_label) Erstellt ein Label aus CtdBusySdaB und führt es zusammen.
CtdBusySr principal.resource.attribute.labels (CtdBusySr_label) Erstellt ein Label aus CtdBusySr und führt es zusammen.
CtdBusyDm principal.resource.attribute.labels (CtdBusyDm_label) Erstellt ein Label aus CtdBusyDm und führt es zusammen.
CtdBusyDmA principal.resource.attribute.labels (CtdBusyDmA_label) Erstellt ein Label aus CtdBusyDmA und führt es zusammen.
CtdQuPreprocessingNg principal.resource.attribute.labels (CtdQuPreprocessingNg_label) Erstellt ein Label aus CtdQuPreprocessingNg und führt es zusammen.
CtdQuBaselineTracker principal.resource.attribute.labels (CtdQuBaselineTracker_label) Erstellt ein Label aus CtdQuBaselineTracker und führt es zusammen.
CtdQuBridge principal.resource.attribute.labels (CtdQuBridge_label) Erstellt ein Label aus CtdQuBridge und führt es zusammen.
CtdQuCentralBridge principal.resource.attribute.labels (CtdQuCentralBridge_label) Erstellt ein Label aus CtdQuCentralBridge und führt es zusammen.
CtdQuConcluding principal.resource.attribute.labels (CtdQuConcluding_label) Erstellt ein Label aus „CtdQuConcluding“ und führt es zusammen.
CtdQuDiodeFeeder principal.resource.attribute.labels (CtdQuDiodeFeeder_label) Erstellt ein Label aus CtdQuDiodeFeeder und führt es zusammen.
CtdQuDissector principal.resource.attribute.labels (CtdQuDissector_label) Erstellt ein Label aus CtdQuDissector und führt es zusammen.
CtdQuDissectorA principal.resource.attribute.labels (CtdQuDissectorA_label) Erstellt ein Label aus CtdQuDissectorA und führt es zusammen.
CtdQuDissectorNg principal.resource.attribute.labels (CtdQuDissectorNg_label) Erstellt ein Label aus CtdQuDissectorNg und führt es zusammen.
CtdQuIndicatorService principal.resource.attribute.labels (CtdQuIndicatorService_label) Erstellt ein Label aus CtdQuIndicatorService und führt es zusammen.
CtdQuLeecher principal.resource.attribute.labels (CtdQuLeecher_label) Erstellt ein Label aus CtdQuLeecher und führt es zusammen.
CtdQuMonitor principal.resource.attribute.labels (CtdQuMonitor_label) Erstellt ein Label aus CtdQuMonitor und führt es zusammen.
CtdQuNetworkStatistics principal.resource.attribute.labels (CtdQuNetworkStatistics_label) Erstellt ein Label aus CtdQuNetworkStatistics und führt es zusammen.
CtdQuPackets principal.resource.attribute.labels (CtdQuPackets_label) Erstellt ein Label aus CtdQuPackets und führt es zusammen.
CtdQuPacketsErrors principal.resource.attribute.labels (CtdQuPacketsErrors_label) Erstellt ein Label aus CtdQuPacketsErrors und führt es zusammen.
CtdQuPreprocessing principal.resource.attribute.labels (CtdQuPreprocessing_label) Erstellt ein Label aus CtdQuPreprocessing und führt es zusammen.
CtdQuPriorityProcessing principal.resource.attribute.labels (CtdQuPriorityProcessing_label) Erstellt ein Label aus CtdQuPriorityProcessing und führt es zusammen.
CtdQuProcessing principal.resource.attribute.labels (CtdQuProcessing_label) Erstellt ein Label aus CtdQuProcessing und führt es zusammen.
CtdQuProcessingHigh principal.resource.attribute.labels (CtdQuProcessingHigh_label) Erstellt ein Label aus CtdQuProcessingHigh und führt es zusammen.
CtdQuZordonUpdates principal.resource.attribute.labels (CtdQuZordonUpdates_label) Erstellt ein Label aus CtdQuZordonUpdates und führt es zusammen.
CtdQuStatisticsNg principal.resource.attribute.labels (CtdQuStatisticsNg_label) Erstellt ein Label aus CtdQuStatisticsNg und führt es zusammen.
CtdQueuePurge principal.resource.attribute.labels (CtdQueuePurge_label) Erstellt ein Label aus CtdQueuePurge und führt es zusammen.
CtdQuSyslogAlerts principal.resource.attribute.labels (CtdQuSyslogAlerts_label) Erstellt ein Label aus CtdQuSyslogAlerts und führt es zusammen.
CtdQuSyslogEvents principal.resource.attribute.labels (CtdQuSyslogEvents_label) Erstellt ein Label aus CtdQuSyslogEvents und führt es zusammen.
CtdQuSyslogInsights principal.resource.attribute.labels (CtdQuSyslogInsights_label) Erstellt ein Label aus CtdQuSyslogInsights und führt es zusammen.
CtdRdDissector principal.resource.attribute.labels (CtdRdDissector_label) Erstellt ein Label aus CtdRdDissector und führt es zusammen.
CtdRdDissectorA principal.resource.attribute.labels (CtdRdDissectorA_label) Erstellt ein Label aus CtdRdDissectorA und führt es zusammen.
CtdRdDissectorNg principal.resource.attribute.labels (CtdRdDissectorNg_label) Erstellt ein Label aus CtdRdDissectorNg und führt es zusammen.
CtdRdPreprocessing principal.resource.attribute.labels (CtdRdPreprocessing_label) Erstellt ein Label aus CtdRdPreprocessing und führt es zusammen.
CtdRdPreprocessingNg principal.resource.attribute.labels (CtdRdPreprocessingNg_label) Erstellt ein Label aus CtdRdPreprocessingNg und führt es zusammen.
CtdSvcMariaDb principal.resource.attribute.labels (CtdSvcMariaDb_label) Erstellt ein Label aus CtdSvcMariaDb und führt es zusammen.
CtdSvcPostgres principal.resource.attribute.labels (CtdSvcPostgres_label) Erstellt ein Label aus CtdSvcPostgres und führt es zusammen.
CtdSvcRedis principal.resource.attribute.labels (CtdSvcRedis_label) Erstellt ein Label aus CtdSvcRedis und führt es zusammen.
CtdSvcRabbitMq principal.resource.attribute.labels (CtdSvcRabbitMq_label) Erstellt ein Label aus CtdSvcRabbitMq und führt es zusammen.
CtdSvcIcsranger principal.resource.attribute.labels (CtdSvcIcsranger_label) Erstellt ein Label aus CtdSvcIcsranger und führt es zusammen.
CtdSvcWatchdog principal.resource.attribute.labels (CtdSvcWatchdog_label) Erstellt ein Label aus CtdSvcWatchdog und führt es zusammen.
CtdSvcFirewalld principal.resource.attribute.labels (CtdSvcFirewalld_label) Erstellt ein Label aus CtdSvcFirewalld und führt es zusammen.
CtdSvcNetunnel principal.resource.attribute.labels (CtdSvcNetunnel_label) Erstellt ein Label aus CtdSvcNetunnel und führt es zusammen.
CtdSvcJwthenticator principal.resource.attribute.labels (CtdSvcJwthenticator_label) Erstellt ein Label aus CtdSvcJwthenticator und führt es zusammen.
CtdSvcDocker principal.resource.attribute.labels (CtdSvcDocker_label) Erstellt ein Label aus CtdSvcDocker und führt es zusammen.
CtdExceptions principal.resource.attribute.labels (CtdExceptions_label) Erstellt ein Label aus CtdExceptions und führt es zusammen.
CtdInputPacketDrops principal.resource.attribute.labels (CtdInputPacketDrops_label) Erstellt ein Label aus CtdInputPacketDrops und führt es zusammen.
CtdOutputPacketDrops principal.resource.attribute.labels (CtdOutputPacketDrops_label) Erstellt ein Label aus CtdOutputPacketDrops und führt es zusammen.
CtdFullOutputPacketDrops principal.resource.attribute.labels (CtdFullOutputPacketDrops_label) Erstellt ein Label aus CtdFullOutputPacketDrops und führt es zusammen.
CtdDissectorNgPacketDrops principal.resource.attribute.labels (CtdDissectorNgPacketDrops_label) Erstellt ein Label aus CtdDissectorNgPacketDrops und führt es zusammen.
CtdTagArtifactsDropsPreprocessor principal.resource.attribute.labels (CtdTagArtifactsDropsPreprocessor_label) Erstellt ein Label aus CtdTagArtifactsDropsPreprocessor und führt es zusammen.
CtdTagArtifactsDropsPreprocessorSum principal.resource.attribute.labels (CtdTagArtifactsDropsPreprocessorSum_label) Erstellt ein Label aus CtdTagArtifactsDropsPreprocessorSum und führt es zusammen.
CtdTagArtifactsDropsProcessor principal.resource.attribute.labels (CtdTagArtifactsDropsProcessor_label) Erstellt ein Label aus CtdTagArtifactsDropsProcessor und führt es zusammen.
CtdTagArtifactsDropsProcessorSum principal.resource.attribute.labels (CtdTagArtifactsDropsProcessorSum_label) Erstellt ein Label aus CtdTagArtifactsDropsProcessorSum und führt es zusammen.
CtdTagArtifactsDropsSniffer principal.resource.attribute.labels (CtdTagArtifactsDropsSniffer_label) Erstellt ein Label aus CtdTagArtifactsDropsSniffer und führt es zusammen.
CtdTagArtifactsDropsSnifferSum principal.resource.attribute.labels (CtdTagArtifactsDropsSnifferSum_label) Erstellt ein Label aus CtdTagArtifactsDropsSnifferSum und führt es zusammen.
CtdTagArtifactsDropsDissectorPypy principal.resource.attribute.labels (CtdTagArtifactsDropsDissectorPypy_label) Erstellt ein Label aus CtdTagArtifactsDropsDissectorPypy und führt es zusammen.
CtdTagArtifactsDropsDissectorPypySum principal.resource.attribute.labels (CtdTagArtifactsDropsDissectorPypySum_label) Erstellt ein Label aus CtdTagArtifactsDropsDissectorPypySum und führt es zusammen.
CtdCapsaverFolderCleanup principal.resource.attribute.labels (CtdCapsaverFolderCleanup_label) Erstellt ein Label aus CtdCapsaverFolderCleanup und führt es zusammen.
CtdCapsaverUtilzationTest principal.resource.attribute.labels (CtdCapsaverUtilzationTest_label) Erstellt ein Label aus CtdCapsaverUtilzationTest und führt es zusammen.
CtdYaraScannerTest principal.resource.attribute.labels (CtdYaraScannerTest_label) Erstellt ein Label aus CtdYaraScannerTest und führt es zusammen.
CtdWrkrWorkersStop principal.resource.attribute.labels (CtdWrkrWorkersStop_label) Erstellt ein Label aus CtdWrkrWorkersStop und führt es zusammen.
CtdWrkrWorkersRestart principal.resource.attribute.labels (CtdWrkrWorkersRestart_label) Erstellt ein Label aus CtdWrkrWorkersRestart und führt es zusammen.
CtdWrkrActiveExecuter principal.resource.attribute.labels (CtdWrkrActiveExecuter_label) Erstellt ein Label aus CtdWrkrActiveExecuter und führt es zusammen.
CtdWrkrSensor principal.resource.attribute.labels (CtdWrkrSensor_label) Erstellt ein Label aus CtdWrkrSensor und führt es zusammen.
CtdWrkrAuthentication principal.resource.attribute.labels (CtdWrkrAuthentication_label) Erstellt ein Label aus CtdWrkrAuthentication und führt es zusammen.
CtdWrkrMitre principal.resource.attribute.labels (CtdWrkrMitre_label) Erstellt ein Label aus CtdWrkrMitre und führt es zusammen.
CtdWrkrNotifications principal.resource.attribute.labels (CtdWrkrNotifications_label) Erstellt ein Label aus CtdWrkrNotifications und führt es zusammen.
CtdWrkrProcessor principal.resource.attribute.labels (CtdWrkrProcessor_label) Erstellt ein Label aus CtdWrkrProcessor und führt es zusammen.
CtdWrkrCloudAgent principal.resource.attribute.labels (CtdWrkrCloudAgent_label) Erstellt ein Label aus CtdWrkrCloudAgent und führt es zusammen.
CtdWrkrCloudClient principal.resource.attribute.labels (CtdWrkrCloudClient_label) Erstellt ein Label aus CtdWrkrCloudClient und führt es zusammen.
CtdWrkrScheduler principal.resource.attribute.labels (CtdWrkrScheduler_label) Erstellt ein Label aus CtdWrkrScheduler und führt es zusammen.
CtdWrkrknownThreats principal.resource.attribute.labels (CtdWrkrknownThreats_label) Erstellt ein Label aus CtdWrkrknownThreats und führt es zusammen.
CtdWrkrCacher principal.resource.attribute.labels (CtdWrkrCacher_label) Erstellt ein Label aus CtdWrkrCacher und führt es zusammen.
CtdWrkrInsights principal.resource.attribute.labels (CtdWrkrInsights_label) Erstellt ein Label aus CtdWrkrInsights und führt es zusammen.
CtdWrkrActive principal.resource.attribute.labels (CtdWrkrActive_label) Erstellt ein Label aus CtdWrkrActive und führt es zusammen.
CtdWrkrEnricher principal.resource.attribute.labels (CtdWrkrEnricher_label) Erstellt ein Label aus CtdWrkrEnricher und führt es zusammen.
CtdWrkrIndicators principal.resource.attribute.labels (CtdWrkrIndicators_label) Erstellt ein Label aus CtdWrkrIndicators und führt es zusammen.
CtdWrkrIndicatorsApi principal.resource.attribute.labels (CtdWrkrIndicatorsApi_label) Erstellt ein Label aus CtdWrkrIndicatorsApi und führt es zusammen.
CtdWrkrConcluder principal.resource.attribute.labels (CtdWrkrConcluder_label) Erstellt ein Label aus CtdWrkrConcluder und führt es zusammen.
CtdWrkrPreprocessor principal.resource.attribute.labels (CtdWrkrPreprocessor_label) Erstellt ein Label aus CtdWrkrPreprocessor und führt es zusammen.
CtdWrkrLeecher principal.resource.attribute.labels (CtdWrkrLeecher_label) Erstellt ein Label aus CtdWrkrLeecher und führt es zusammen.
CtdWrkrSyncManager principal.resource.attribute.labels (CtdWrkrSyncManager_label) Erstellt ein Label aus CtdWrkrSyncManager und führt es zusammen.
CtdWrkrBridge principal.resource.attribute.labels (CtdWrkrBridge_label) Erstellt ein Label aus CtdWrkrBridge und führt es zusammen.
CtdWrkrWebRanger principal.resource.attribute.labels (CtdWrkrWebRanger_label) Erstellt ein Label aus CtdWrkrWebRanger und führt es zusammen.
CtdWrkrWebWs principal.resource.attribute.labels (CtdWrkrWebWs_label) Erstellt ein Label aus CtdWrkrWebWs und führt es zusammen.
CtdWrkrWebAuth principal.resource.attribute.labels (CtdWrkrWebAuth_label) Erstellt ein Label aus CtdWrkrWebAuth und führt es zusammen.
CtdWrkrWebNginx principal.resource.attribute.labels (CtdWrkrWebNginx_label) Erstellt ein Label aus CtdWrkrWebNginx und führt es zusammen.
CtdWrkrConfigurator principal.resource.attribute.labels (CtdWrkrConfigurator_label) Erstellt ein Label aus CtdWrkrConfigurator und führt es zusammen.
CtdWrkrConfiguratorNginx principal.resource.attribute.labels (CtdWrkrConfiguratorNginx_label) Erstellt ein Label aus CtdWrkrConfiguratorNginx und führt es zusammen.
CtdWrkrCapsaver principal.resource.attribute.labels (CtdWrkrCapsaver_label) Erstellt ein Label aus CtdWrkrCapsaver und führt es zusammen.
CtdWrkrBaselineTracker principal.resource.attribute.labels (CtdWrkrBaselineTracker_label) Erstellt ein Label aus CtdWrkrBaselineTracker und führt es zusammen.
CtdWrkrDissector principal.resource.attribute.labels (CtdWrkrDissector_label) Erstellt ein Label aus CtdWrkrDissector und führt es zusammen.
CtdWrkrDissectorA principal.resource.attribute.labels (CtdWrkrDissectorA_label) Erstellt ein Label aus CtdWrkrDissectorA und führt es zusammen.
CtdWrkrDissectorNg principal.resource.attribute.labels (CtdWrkrDissectorNg_label) Erstellt ein Label aus CtdWrkrDissectorNg und führt es zusammen.
CtdWrkrPreprocessing principal.resource.attribute.labels (CtdWrkrPreprocessing_label) Erstellt ein Label aus CtdWrkrPreprocessing und führt es zusammen.
CtdWrkrPreprocessingNg principal.resource.attribute.labels (CtdWrkrPreprocessingNg_label) Erstellt ein Label aus CtdWrkrPreprocessingNg und führt es zusammen.
CtdWrkrStatisticsNg principal.resource.attribute.labels (CtdWrkrStatisticsNg_label) Erstellt ein Label aus CtdWrkrStatisticsNg und führt es zusammen.
CtdWrkrSyslogAlerts principal.resource.attribute.labels (CtdWrkrSyslogAlerts_label) Erstellt ein Label aus CtdWrkrSyslogAlerts und führt es zusammen.
CtdWrkrSyslogEvents principal.resource.attribute.labels (CtdWrkrSyslogEvents_label) Erstellt ein Label aus CtdWrkrSyslogEvents und führt es zusammen.
CtdWrkrSyslogInsights principal.resource.attribute.labels (CtdWrkrSyslogInsights_label) Erstellt ein Label aus CtdWrkrSyslogInsights und führt es zusammen.
CtdWrkrRdDissector principal.resource.attribute.labels (CtdWrkrRdDissector_label) Erstellt ein Label aus CtdWrkrRdDissector und führt es zusammen.
CtdWrkrRdDissectorA principal.resource.attribute.labels (CtdWrkrRdDissectorA_label) Erstellt ein Label aus CtdWrkrRdDissectorA und führt es zusammen.
CtdSensorName principal.resource.attribute.labels (CtdSensorName_label) Erstellt ein Label aus CtdSensorName und führt es zusammen.
CtdCtrlSite principal.resource.attribute.labels (CtdCtrlSite_label) Erstellt ein Label aus CtdCtrlSite und führt es zusammen.
CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics principal.resource.attribute.labels (CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics_label) Erstellt ein Label aus CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics und führt es zusammen.
CtdDissectionCoverage principal.resource.attribute.labels (CtdDissectionCoverage_label) Erstellt ein Label aus CtdDissectionCoverage und führt es zusammen.
CtdDissectionEfficiencyModbus principal.resource.attribute.labels (CtdDissectionEfficiencyModbus_label) Erstellt ein Label aus CtdDissectionEfficiencyModbus und führt es zusammen.
CtdDissectionEfficiencySmb principal.resource.attribute.labels (CtdDissectionEfficiencySmb_label) Erstellt ein Label aus „CtdDissectionEfficiencySmb“ und führt es zusammen.
CtdDissectionEfficiencyDcerpc principal.resource.attribute.labels (CtdDissectionEfficiencyDcerpc_label) Erstellt ein Label aus CtdDissectionEfficiencyDcerpc und führt es zusammen.
CtdDissectionEfficiencyZabbix principal.resource.attribute.labels (CtdDissectionEfficiencyZabbix_label) Erstellt ein Label aus CtdDissectionEfficiencyZabbix und führt es zusammen.
CtdDissectionEfficiencyFactorytalkRna principal.resource.attribute.labels (CtdDissectionEfficiencyFactorytalkRna_label) Erstellt ein Label aus CtdDissectionEfficiencyFactorytalkRna und führt es zusammen.
CtdDissectionEfficiencySsl principal.resource.attribute.labels (CtdDissectionEfficiencySsl_label) Erstellt ein Label aus CtdDissectionEfficiencySsl und führt es zusammen.
CtdDissectionEfficiencyVrrpProtocolMatcher principal.resource.attribute.labels (CtdDissectionEfficiencyVrrpProtocolMatcher_label) Erstellt ein Label aus CtdDissectionEfficiencyVrrpProtocolMatcher und führt es zusammen.
CtdDissectionEfficiencyRdp principal.resource.attribute.labels (CtdDissectionEfficiencyRdp_label) Erstellt ein Label aus CtdDissectionEfficiencyRdp und führt es zusammen.
CtdDissectionEfficiencySsh principal.resource.attribute.labels (CtdDissectionEfficiencySsh_label) Erstellt ein Label aus CtdDissectionEfficiencySsh und führt es zusammen.
CtdDissectionEfficiencyHttp principal.resource.attribute.labels (CtdDissectionEfficiencyHttp_label) Erstellt ein Label aus CtdDissectionEfficiencyHttp und führt es zusammen.
CtdDissectionEfficiencyTcpHttp principal.resource.attribute.labels (CtdDissectionEfficiencyTcpHttp_label) Erstellt ein Label aus CtdDissectionEfficiencyTcpHttp und führt es zusammen.
CtdDissectionEfficiencyLdap principal.resource.attribute.labels (CtdDissectionEfficiencyLdap_label) Erstellt ein Label aus CtdDissectionEfficiencyLdap und führt es zusammen.
CtdDissectionEfficiencyJrmi principal.resource.attribute.labels (CtdDissectionEfficiencyJrmi_label) Erstellt ein Label aus CtdDissectionEfficiencyJrmi und führt es zusammen.
CtdDissectionEfficiencyGeIfix principal.resource.attribute.labels (CtdDissectionEfficiencyGeIfix_label) Erstellt ein Label aus CtdDissectionEfficiencyGeIfix und führt es zusammen.
CtdDissectionEfficiencyLlc principal.resource.attribute.labels (CtdDissectionEfficiencyLlc_label) Erstellt ein Label aus CtdDissectionEfficiencyLlc und führt es zusammen.
CtdDissectionEfficiencyMatrikonNopc principal.resource.attribute.labels (CtdDissectionEfficiencyMatrikonNopc_label) Erstellt ein Label aus CtdDissectionEfficiencyMatrikonNopc und führt es zusammen.
CtdDissectionEfficiencyVnc principal.resource.attribute.labels (CtdDissectionEfficiencyVnc_label) Erstellt ein Label aus CtdDissectionEfficiencyVnc und führt es zusammen.
CtdUnhandledEvents principal.resource.attribute.labels (CtdUnhandledEvents_label) Erstellt ein Label aus CtdUnhandledEvents und führt es zusammen.
CtdConcludeTime principal.resource.attribute.labels (CtdConcludeTime_label) Erstellt ein Label aus CtdConcludeTime und führt es zusammen.
CtdMysqlQuery principal.resource.attribute.labels (CtdMysqlQuery_label) Erstellt ein Label aus CtdMysqlQuery und führt es zusammen.
CtdPostgresQuery principal.resource.attribute.labels (CtdPostgresQuery_label) Erstellt ein Label aus CtdPostgresQuery und führt es zusammen.
CtdPsqlIdleSessions principal.resource.attribute.labels (CtdPsqlIdleSessions_label) Erstellt ein Label aus CtdPsqlIdleSessions und führt es zusammen.
CtdPsqlIdleInTransactionSessions principal.resource.attribute.labels (CtdPsqlIdleInTransactionSessions_label) Erstellt ein Label aus CtdPsqlIdleInTransactionSessions und führt es zusammen.
CtdSnifferStatus principal.resource.attribute.labels (CtdSnifferStatus_label) Erstellt ein Label aus CtdSnifferStatus und führt es zusammen.
CtdLoopCallDurationPollObjects principal.resource.attribute.labels (CtdLoopCallDurationPollObjects_label) Erstellt ein Label aus CtdLoopCallDurationPollObjects und führt es zusammen.
CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected principal.resource.attribute.labels (CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected_label) Erstellt ein Label aus CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected und führt es zusammen.
CtdSnifferStatusCentral principal.resource.attribute.labels (CtdSnifferStatusCentral_label) Erstellt ein Label aus CtdSnifferStatusCentral und führt es zusammen.
CtdSnifferStatusSite principal.resource.attribute.labels (CtdSnifferStatusSite_label) Erstellt ein Label aus CtdSnifferStatusSite und führt es zusammen.
CtdWrkrMailer principal.resource.attribute.labels (CtdWrkrMailer_label) Erstellt ein Label aus CtdWrkrMailer und führt es zusammen.
CtdDroppedEntities principal.resource.attribute.labels (CtdDroppedEntities_label) Erstellt ein Label aus CtdDroppedEntities und führt es zusammen.
externalId metadata.product_log_id Ordnet „externalId“ „metadata.product_log_id“ zu.
Proto protocol_number_src Wandelt „proto“ in Großbuchstaben um und weist es „protocol_number_src“ für die Suche zu.
protocol_number_src ip_protocol_out; app_protocol_out Initialisiert „ip_protocol_out“ mit UNKNOWN_IP_PROTOCOL und „app_protocol_out“ mit UNKNOWN_APPLICATION_PROTOCOL und aktualisiert dann basierend auf der Suche.
ip_protocol_out network.ip_protocol Legt network.ip_protocol aus ip_protocol_out fest.
app_protocol_out network.application_protocol Legt „network.application_protocol“ aus „app_protocol_out“ fest.
CtdExternalId metadata.product_log_id Überschreibt metadata.product_log_id mit CtdExternalId, falls angegeben.
CtdDeviceExternalId principal.resource.attribute.labels (ctd_device_label) Erstellt ein Label aus CtdDeviceExternalId (mit dem Präfix CtdDeviceExternalId) und führt es zusammen.
(if has_principal_device is true and ctdeventtype = Login) security_result.category; security_result.action Für Anmeldeereignisse wird security_result.category auf AUTH_VIOLATION und action auf BLOCK festgelegt.
(if has_principal_device is true and ctdeventtype = Memory Reset) security_result.category Legt security_result.category auf SOFTWARE_SUSPICIOUS fest.
(if target_machine_id_present is true, has_principal_device is true, and ctdeventtype in [Known Threat Alert, Known Threat Event, Man-in-the-Middle Attack, Suspicious Activity]) security_result.category Legt security_result.category auf NETWORK_MALICIOUS fest.
(if target_machine_id_present is true, has_principal_device is true, and ctdeventtype = Suspicious File Transfer) security_result.category Legt security_result.category auf NETWORK_SUSPICIOUS fest.
(if target_machine_id_present is true, has_principal_device is true, and ctdeventtype = Denial Of Service) security_result.category Legt security_result.category auf NETWORK_DENIAL_OF_SERVICE fest.
(if has_principal_device is true and ctdeventtype in [Host Scan, Port Scan]) security_result.category Legt security_result.category auf NETWORK_RECON fest.
(if target_machine_id_present is true, has_principal_device is true, and ctdeventtype in [Policy Rule Match, Policy Violation Alert, Policy Violation]) security_result.category Legt security_result.category auf POLICY_VIOLATION fest.
(Standardeinstellung, wenn „has_principal_device“ auf „true“ gesetzt ist) security_result.category Legt security_result.category standardmäßig auf NETWORK_SUSPICIOUS fest.
Abgeleitete security_result_category security_result.category Führt die abgeleitete Sicherheitskategorie in security_result.category zusammen.
Abgeleitete security_result_action security_result.action Führt die abgeleitete Sicherheitsaktion in security_result.action zusammen (falls festgelegt).
cs6 (mit cs6Label CTDlink) metadata.url_back_to_product; security_result.url_back_to_product Legt URL-Felder aus cs6 für die Rückverlinkung zu Produktdetails fest.
cs1 (mit cs1Label SourceAssetType) principal.asset.category; principal.asset.type Legt „principal.asset.category“ aus „cs1“ fest und bestimmt „principal.asset.type“ anhand des Werts.
cs2 (mit cs2Label DestAssetType) target.asset.category; target.asset.type Legt „target.asset.category“ aus „cs2“ fest und bestimmt „target.asset.type“ basierend auf dem Wert.
cfp1 (mit cfp1Label CVEScore) vulns.vulnerabilities.cvss_base_score Legt „vulns.vulnerabilities.cvss_base_score“ (in Float konvertiert) fest und markiert „vul_fields_present“ als „true“.
cs6 (mit cs6Label CVE) vulns.vulnerabilities.cve_id Legt vulns.vulnerabilities.cve_id fest und markiert vul_fields_present als „true“.
cn1 (mit cn1Label IndicatorScore) security_result.confidence_score Extrahiert den Indikatorwert aus cn1, konvertiert ihn in einen Gleitkommawert und weist ihn als Konfidenzwert zu.
filepath (Dateipfad) about.file.full_path; security_result.about.file.full_path Ordnet den Dateipfad „about.file.full_path“ und „security_result.about.file.full_path“ zu.
(if eventclass = HealthCheck and cs1Label = Site) intermediary.location.name Legt „intermediary.location.name“ aus „cs1“ fest, wenn es als Website-Kennung verwendet wird.
cn1 (mit cn1Label) additional.fields (cn1_label) Erstellt ein zusätzliches Feldlabel aus cn1 und führt es in „additional.fields“ zusammen.
cs1 (mit cs1Label) additional.fields (cs1_label) Erstellt ein zusätzliches Feldlabel aus „cs1“ und führt es in „additional.fields“ zusammen.
cs2 (mit cs2Label) additional.fields (cs2_label) Erstellt ein zusätzliches Feldlabel aus cs2 und führt es in additional.fields zusammen.
cs3 (mit cs3Label) additional.fields (cs3_label) Erstellt ein zusätzliches Feldlabel aus cs3 und führt es zusammen.
cs4 (mit cs4Label) additional.fields (cs4_label) Erstellt ein zusätzliches Feldlabel aus cs4 und führt es zusammen.
cs6 (mit cs6Label) additional.fields (cs6_label) Erstellt ein zusätzliches Feldlabel aus cs6 und führt es zusammen.
(für Statistikereignisse basierend auf event_name und vul_fields_present) event_type Leitet „event_type“ für Insight-Ereignisse ab (z.B. SCAN_VULN_HOST, STATUS_UNCATEGORIZED, STATUS_UPDATE).
(für Ereignisse/Benachrichtigungen basierend auf ctdeventtype, has_principal_device usw.) event_type; (optional target.resource.type oder auth.type) Leitet „event_type“ für Ereignisse/Benachrichtigungen wie DEVICE_CONFIG_UPDATE, DEVICE_PROGRAM_DOWNLOAD/UPLOAD, NETWORK_UNCATEGORIZED, USER_RESOURCE_CREATION, SCAN_HOST, SCAN_NETWORK, SETTING_MODIFICATION, USER_LOGIN, NETWORK_CONNECTION oder STATUS_UPDATE ab.
(wenn „event_type“ leer bleibt) event_type Legt „event_type“ basierend auf den verfügbaren Flags auf NETWORK_CONNECTION, USER_RESOURCE_ACCESS oder STATUS_UPDATE fest.
event_type (final) metadata.event_type Kopiert den endgültigen event_type in metadata.event_type. Der Standardwert ist GENERIC_EVENT, wenn das Feld leer ist.
device_vendor metadata.vendor_name Legt „metadata.vendor_name“ aus „device_vendor“ fest. Wenn „device_vendor“ fehlt, wird standardmäßig CLAROTY verwendet.
device_product metadata.product_name Legt „metadata.product_name“ aus „device_product“ fest. Wenn kein Wert angegeben ist, wird standardmäßig CTD verwendet.
device_version metadata.product_version Legt metadata.product_version aus device_version fest.
security_description (falls zutreffend für ET TROJAN …) security_result.threat_name Extrahiert „threat_name“ mithilfe des Musters ET TROJAN (?P<threat_name>\S+) aus „security_description“ und ordnet es „security_result.threat_name“ zu.
Metadaten event.idm.read_only_udm.metadata Benennt Metadaten in „event.idm.read_only_udm.metadata“ um.
Hauptkonto event.idm.read_only_udm.principal Benennt „principal“ in „event.idm.read_only_udm.principal“ um.
Ziel event.idm.read_only_udm.target Benennt „target“ in „event.idm.read_only_udm.target“ um.
Netzwerk event.idm.read_only_udm.network Benennt das Netzwerk in „event.idm.read_only_udm.network“ um.
zusätzlich event.idm.read_only_udm.additional Wird in „event.idm.read_only_udm.additional“ umbenannt.
security_result event.idm.read_only_udm.security_result Führt security_result in event.idm.read_only_udm.security_result zusammen.
about event.idm.read_only_udm.about Wird mit „event.idm.read_only_udm.about“ zusammengeführt.
Vermittler event.idm.read_only_udm.intermediary Führt „intermediary“ in „event.idm.read_only_udm.intermediary“ zusammen.
vulns.vulnerabilities event.idm.read_only_udm.extensions.vulns.vulnerabilities Führt „vulns.vulnerabilities“ in „event.idm.read_only_udm.extensions.vulns.vulnerabilities“ zusammen.
@output event Führt die vollständige UDM-Ereignisstruktur in das endgültige Feld event ein.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten