Collecter les journaux Claroty CTD

Compatible avec :

Ce document explique comment ingérer les journaux Claroty Continuous Threat Detection (CTD) dans Google Security Operations à l'aide de Bindplane.

Avant de commencer

  • Assurez-vous de disposer d'une instance Google Security Operations.
  • Assurez-vous d'utiliser Windows 2016 ou une version ultérieure, ou un hôte Linux avec systemd.
  • Si vous exécutez le programme derrière un proxy, assurez-vous que les ports du pare-feu sont ouverts.
  • Assurez-vous de disposer d'un accès privilégié à Claroty CTD.

Obtenir le fichier d'authentification d'ingestion Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres du SIEM > Agents de collecte.
  3. Téléchargez le fichier d'authentification d'ingestion. Enregistrez le fichier de manière sécurisée sur le système sur lequel Bindplane sera installé.

Obtenir l'ID client Google SecOps

  1. Connectez-vous à la console Google SecOps.
  2. Accédez à Paramètres SIEM> Profil.
  3. Copiez et enregistrez le numéro client de la section Informations sur l'organisation.

Installer l'agent Bindplane

Installation de fenêtres

  1. Ouvrez l'invite de commandes ou PowerShell en tant qu'administrateur.

  2. Exécutez la commande suivante :

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Installation de Linux

  1. Ouvrez un terminal avec les droits root ou sudo.

  2. Exécutez la commande suivante :

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Ressources d'installation supplémentaires

Configurer l'agent Bindplane pour ingérer Syslog et l'envoyer à Google SecOps

  1. Accédez au fichier de configuration :

    1. Recherchez le fichier config.yaml. En règle générale, il se trouve dans le répertoire /etc/bindplane-agent/ sous Linux ou dans le répertoire d'installation sous Windows.
    2. Ouvrez le fichier à l'aide d'un éditeur de texte (par exemple, nano, vi ou le Bloc-notes).

  2. Modifiez le fichier config.yaml comme suit :

    receivers:
    udplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: CLAROTY_CTD
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - udplog
            exporters:
                - chronicle/chronicle_w_labels

  3. Remplacez le port et l'adresse IP selon les besoins de votre infrastructure.

  4. Remplacez <customer_id> par le numéro client réel.

  5. Mettez à jour /path/to/ingestion-authentication-file.json en indiquant le chemin d'accès où le fichier d'authentification a été enregistré dans la section Obtenir le fichier d'authentification pour l'ingestion Google SecOps.

Redémarrez l'agent Bindplane pour appliquer les modifications.

  • Pour redémarrer l'agent Bindplane sous Linux, exécutez la commande suivante :

    sudo systemctl restart bindplane-agent

  • Pour redémarrer l'agent Bindplane sous Windows, vous pouvez utiliser la console Services ou saisir la commande suivante :

    net stop BindPlaneAgent && net start BindPlaneAgent

Configurer Syslog sur Claroty Continuous Threat Detection (CTD)

  1. Connectez-vous à l'interface utilisateur Web Claroty CTD.
  2. Accédez à Menu > Intégrations > Syslog.
  3. Répétez les étapes suivantes pour chaque type de contenu de message syslog :
    • Alertes
    • Événements
    • Suivi de la santé
    • Insights
    • Journaux d'activité
    • Failles
  4. Cliquez sur + pour ajouter une configuration.
  5. Dans le menu Contenu du message, sélectionnez le contenu à exporter.
  6. Fournissez les informations de configuration suivantes :
    • Catégorie : sélectionnez Tout.
    • Type : sélectionnez Tout sélectionner.
    • Format : sélectionnez CEF (Latest).
    • URL du système : ne modifiez pas l'URL/l'adresse IP du système, sauf si vous utilisez un serveur proxy.
    • Envoyer à : sélectionnez Serveur Syslog externe (systèmes SIEM, SOAR, etc.).
    • Fournisseur : sélectionnez Autre.
    • Adresse IP du serveur Syslog : saisissez l'adresse IP de l'agent Bindplane.
    • Port : saisissez le port de l'agent Bindplane (par exemple, 514).
    • Protocole : sélectionnez UDP (les autres options incluent TCP, TLS ou mTLS, selon votre configuration Bindplane).
  7. Cliquez sur Enregistrer.

Table de mappage UDM

Champ de journal Mappage UDM Logique
CtdRealTime metadata.event_timestamp Analysé à l'aide de MMM dd yyyy HH:mm:ss à partir de CtdRealTime et utilisé comme code temporel de l'événement.
CtdTimeGenerated metadata.event_timestamp Si CtdRealTime est vide, il est analysé à l'aide de MMM dd yyyy HH:mm:ss à partir de CtdTimeGenerated pour définir le code temporel de l'événement.
CtdMessage metadata.description Définit metadata.description à partir du champ CtdMessage.
CtdMessage security_result.description Définit security_result.description à partir du champ CtdMessage, le cas échéant.
Port (à partir de la clé/valeur CtdMessage) principal.port Extrait de la clé Port dans CtdMessage, converti en entier et défini comme principal.port.
Catégorie (à partir de la clé/valeur CtdMessage) security_result.detection_fields (Category_label) Extrait de CtdMessage en tant que clé Category et fusionné dans les champs de détection.
Accès (à partir du KV CtdMessage) security_result.detection_fields (Access_label) Extrait de CtdMessage en tant que clé Access et fusionné dans les champs de détection.
CtdSite principal.hostname Mappe CtdSite sur principal.hostname.
CtdSite principal.asset.hostname Mappe CtdSite à principal.asset.hostname.
CtdCpu principal.resource.attribute.labels (CtdCpu_label) Crée un libellé avec la clé CtdCpu à l'aide de la valeur de CtdCpu et le fusionne dans principal.resource.attribute.labels.
CtdMem principal.resource.attribute.labels (CtdMem_label) Crée un libellé avec la clé CtdMem à l'aide de la valeur de CtdMem et le fusionne dans principal.resource.attribute.labels.
CtdUsedOptIcsranger principal.resource.attribute.labels (CtdUsedOptIcsranger_label) Crée un libellé à partir de CtdUsedOptIcsranger et le fusionne.
CtdUsedVar principal.resource.attribute.labels (CtdUsedVar_label) Crée un libellé à partir de CtdUsedVar et le fusionne.
CtdUsedTmp principal.resource.attribute.labels (CtdUsedTmp_label) Crée un libellé à partir de CtdUsedTmp et le fusionne.
CtdUsedEtc principal.resource.attribute.labels (CtdUsedEtc_label) Crée un libellé à partir de CtdUsedEtc et le fusionne.
CtdBusyFd principal.resource.attribute.labels (CtdBusyFd_label) Crée un libellé à partir de CtdBusyFd et le fusionne.
CtdBusySda principal.resource.attribute.labels (CtdBusySda_label) Crée un libellé à partir de CtdBusySda et le fusionne.
CtdBusySdaA principal.resource.attribute.labels (CtdBusySdaA_label) Crée un libellé à partir de CtdBusySdaA et le fusionne.
CtdBusySdaB principal.resource.attribute.labels (CtdBusySdaB_label) Crée un libellé à partir de CtdBusySdaB et le fusionne.
CtdBusySr principal.resource.attribute.labels (CtdBusySr_label) Crée un libellé à partir de CtdBusySr et le fusionne.
CtdBusyDm principal.resource.attribute.labels (CtdBusyDm_label) Crée un libellé à partir de CtdBusyDm et le fusionne.
CtdBusyDmA principal.resource.attribute.labels (CtdBusyDmA_label) Crée un libellé à partir de CtdBusyDmA et le fusionne.
CtdQuPreprocessingNg principal.resource.attribute.labels (CtdQuPreprocessingNg_label) Crée un libellé à partir de CtdQuPreprocessingNg et le fusionne.
CtdQuBaselineTracker principal.resource.attribute.labels (CtdQuBaselineTracker_label) Crée un libellé à partir de CtdQuBaselineTracker et le fusionne.
CtdQuBridge principal.resource.attribute.labels (CtdQuBridge_label) Crée un libellé à partir de CtdQuBridge et le fusionne.
CtdQuCentralBridge principal.resource.attribute.labels (CtdQuCentralBridge_label) Crée un libellé à partir de CtdQuCentralBridge et le fusionne.
CtdQuConcluding principal.resource.attribute.labels (CtdQuConcluding_label) Crée un libellé à partir de CtdQuConcluding et le fusionne.
CtdQuDiodeFeeder principal.resource.attribute.labels (CtdQuDiodeFeeder_label) Crée un libellé à partir de CtdQuDiodeFeeder et le fusionne.
CtdQuDissector principal.resource.attribute.labels (CtdQuDissector_label) Crée un libellé à partir de CtdQuDissector et le fusionne.
CtdQuDissectorA principal.resource.attribute.labels (CtdQuDissectorA_label) Crée un libellé à partir de CtdQuDissectorA et le fusionne.
CtdQuDissectorNg principal.resource.attribute.labels (CtdQuDissectorNg_label) Crée un libellé à partir de CtdQuDissectorNg et le fusionne.
CtdQuIndicatorService principal.resource.attribute.labels (CtdQuIndicatorService_label) Crée un libellé à partir de CtdQuIndicatorService et le fusionne.
CtdQuLeecher principal.resource.attribute.labels (CtdQuLeecher_label) Crée un libellé à partir de CtdQuLeecher et le fusionne.
CtdQuMonitor principal.resource.attribute.labels (CtdQuMonitor_label) Crée un libellé à partir de CtdQuMonitor et le fusionne.
CtdQuNetworkStatistics principal.resource.attribute.labels (CtdQuNetworkStatistics_label) Crée un libellé à partir de CtdQuNetworkStatistics et le fusionne.
CtdQuPackets principal.resource.attribute.labels (CtdQuPackets_label) Crée un libellé à partir de CtdQuPackets et le fusionne.
CtdQuPacketsErrors principal.resource.attribute.labels (CtdQuPacketsErrors_label) Crée un libellé à partir de CtdQuPacketsErrors et le fusionne.
CtdQuPreprocessing principal.resource.attribute.labels (CtdQuPreprocessing_label) Crée un libellé à partir de CtdQuPreprocessing et le fusionne.
CtdQuPriorityProcessing principal.resource.attribute.labels (CtdQuPriorityProcessing_label) Crée un libellé à partir de CtdQuPriorityProcessing et le fusionne.
CtdQuProcessing principal.resource.attribute.labels (CtdQuProcessing_label) Crée un libellé à partir de CtdQuProcessing et le fusionne.
CtdQuProcessingHigh principal.resource.attribute.labels (CtdQuProcessingHigh_label) Crée un libellé à partir de CtdQuProcessingHigh et le fusionne.
CtdQuZordonUpdates principal.resource.attribute.labels (CtdQuZordonUpdates_label) Crée un libellé à partir de CtdQuZordonUpdates et le fusionne.
CtdQuStatisticsNg principal.resource.attribute.labels (CtdQuStatisticsNg_label) Crée un libellé à partir de CtdQuStatisticsNg et le fusionne.
CtdQueuePurge principal.resource.attribute.labels (CtdQueuePurge_label) Crée un libellé à partir de CtdQueuePurge et le fusionne.
CtdQuSyslogAlerts principal.resource.attribute.labels (CtdQuSyslogAlerts_label) Crée un libellé à partir de CtdQuSyslogAlerts et le fusionne.
CtdQuSyslogEvents principal.resource.attribute.labels (CtdQuSyslogEvents_label) Crée un libellé à partir de CtdQuSyslogEvents et le fusionne.
CtdQuSyslogInsights principal.resource.attribute.labels (CtdQuSyslogInsights_label) Crée un libellé à partir de CtdQuSyslogInsights et le fusionne.
CtdRdDissector principal.resource.attribute.labels (CtdRdDissector_label) Crée un libellé à partir de CtdRdDissector et le fusionne.
CtdRdDissectorA principal.resource.attribute.labels (CtdRdDissectorA_label) Crée un libellé à partir de CtdRdDissectorA et le fusionne.
CtdRdDissectorNg principal.resource.attribute.labels (CtdRdDissectorNg_label) Crée un libellé à partir de CtdRdDissectorNg et le fusionne.
CtdRdPreprocessing principal.resource.attribute.labels (CtdRdPreprocessing_label) Crée un libellé à partir de CtdRdPreprocessing et le fusionne.
CtdRdPreprocessingNg principal.resource.attribute.labels (CtdRdPreprocessingNg_label) Crée un libellé à partir de CtdRdPreprocessingNg et le fusionne.
CtdSvcMariaDb principal.resource.attribute.labels (CtdSvcMariaDb_label) Crée un libellé à partir de CtdSvcMariaDb et le fusionne.
CtdSvcPostgres principal.resource.attribute.labels (CtdSvcPostgres_label) Crée un libellé à partir de CtdSvcPostgres et le fusionne.
CtdSvcRedis principal.resource.attribute.labels (CtdSvcRedis_label) Crée un libellé à partir de CtdSvcRedis et le fusionne.
CtdSvcRabbitMq principal.resource.attribute.labels (CtdSvcRabbitMq_label) Crée un libellé à partir de CtdSvcRabbitMq et le fusionne.
CtdSvcIcsranger principal.resource.attribute.labels (CtdSvcIcsranger_label) Crée un libellé à partir de CtdSvcIcsranger et le fusionne.
CtdSvcWatchdog principal.resource.attribute.labels (CtdSvcWatchdog_label) Crée un libellé à partir de CtdSvcWatchdog et le fusionne.
CtdSvcFirewalld principal.resource.attribute.labels (CtdSvcFirewalld_label) Crée un libellé à partir de CtdSvcFirewalld et le fusionne.
CtdSvcNetunnel principal.resource.attribute.labels (CtdSvcNetunnel_label) Crée un libellé à partir de CtdSvcNetunnel et le fusionne.
CtdSvcJwthenticator principal.resource.attribute.labels (CtdSvcJwthenticator_label) Crée un libellé à partir de CtdSvcJwthenticator et le fusionne.
CtdSvcDocker principal.resource.attribute.labels (CtdSvcDocker_label) Crée un libellé à partir de CtdSvcDocker et le fusionne.
CtdExceptions principal.resource.attribute.labels (CtdExceptions_label) Crée un libellé à partir de CtdExceptions et le fusionne.
CtdInputPacketDrops principal.resource.attribute.labels (CtdInputPacketDrops_label) Crée un libellé à partir de CtdInputPacketDrops et le fusionne.
CtdOutputPacketDrops principal.resource.attribute.labels (CtdOutputPacketDrops_label) Crée un libellé à partir de CtdOutputPacketDrops et le fusionne.
CtdFullOutputPacketDrops principal.resource.attribute.labels (CtdFullOutputPacketDrops_label) Crée un libellé à partir de CtdFullOutputPacketDrops et le fusionne.
CtdDissectorNgPacketDrops principal.resource.attribute.labels (CtdDissectorNgPacketDrops_label) Crée un libellé à partir de CtdDissectorNgPacketDrops et le fusionne.
CtdTagArtifactsDropsPreprocessor principal.resource.attribute.labels (CtdTagArtifactsDropsPreprocessor_label) Crée un libellé à partir de CtdTagArtifactsDropsPreprocessor et le fusionne.
CtdTagArtifactsDropsPreprocessorSum principal.resource.attribute.labels (CtdTagArtifactsDropsPreprocessorSum_label) Crée un libellé à partir de CtdTagArtifactsDropsPreprocessorSum et le fusionne.
CtdTagArtifactsDropsProcessor principal.resource.attribute.labels (CtdTagArtifactsDropsProcessor_label) Crée un libellé à partir de CtdTagArtifactsDropsProcessor et le fusionne.
CtdTagArtifactsDropsProcessorSum principal.resource.attribute.labels (CtdTagArtifactsDropsProcessorSum_label) Crée un libellé à partir de CtdTagArtifactsDropsProcessorSum et le fusionne.
CtdTagArtifactsDropsSniffer principal.resource.attribute.labels (CtdTagArtifactsDropsSniffer_label) Crée un libellé à partir de CtdTagArtifactsDropsSniffer et le fusionne.
CtdTagArtifactsDropsSnifferSum principal.resource.attribute.labels (CtdTagArtifactsDropsSnifferSum_label) Crée un libellé à partir de CtdTagArtifactsDropsSnifferSum et le fusionne.
CtdTagArtifactsDropsDissectorPypy principal.resource.attribute.labels (CtdTagArtifactsDropsDissectorPypy_label) Crée un libellé à partir de CtdTagArtifactsDropsDissectorPypy et le fusionne.
CtdTagArtifactsDropsDissectorPypySum principal.resource.attribute.labels (CtdTagArtifactsDropsDissectorPypySum_label) Crée un libellé à partir de CtdTagArtifactsDropsDissectorPypySum et le fusionne.
CtdCapsaverFolderCleanup principal.resource.attribute.labels (CtdCapsaverFolderCleanup_label) Crée un libellé à partir de CtdCapsaverFolderCleanup et le fusionne.
CtdCapsaverUtilzationTest principal.resource.attribute.labels (CtdCapsaverUtilzationTest_label) Crée un libellé à partir de CtdCapsaverUtilzationTest et le fusionne.
CtdYaraScannerTest principal.resource.attribute.labels (CtdYaraScannerTest_label) Crée un libellé à partir de CtdYaraScannerTest et le fusionne.
CtdWrkrWorkersStop principal.resource.attribute.labels (CtdWrkrWorkersStop_label) Crée un libellé à partir de CtdWrkrWorkersStop et le fusionne.
CtdWrkrWorkersRestart principal.resource.attribute.labels (CtdWrkrWorkersRestart_label) Crée un libellé à partir de CtdWrkrWorkersRestart et le fusionne.
CtdWrkrActiveExecuter principal.resource.attribute.labels (CtdWrkrActiveExecuter_label) Crée un libellé à partir de CtdWrkrActiveExecuter et le fusionne.
CtdWrkrSensor principal.resource.attribute.labels (CtdWrkrSensor_label) Crée un libellé à partir de CtdWrkrSensor et le fusionne.
CtdWrkrAuthentication principal.resource.attribute.labels (CtdWrkrAuthentication_label) Crée un libellé à partir de CtdWrkrAuthentication et le fusionne.
CtdWrkrMitre principal.resource.attribute.labels (CtdWrkrMitre_label) Crée un libellé à partir de CtdWrkrMitre et le fusionne.
CtdWrkrNotifications principal.resource.attribute.labels (CtdWrkrNotifications_label) Crée un libellé à partir de CtdWrkrNotifications et le fusionne.
CtdWrkrProcessor principal.resource.attribute.labels (CtdWrkrProcessor_label) Crée un libellé à partir de CtdWrkrProcessor et le fusionne.
CtdWrkrCloudAgent principal.resource.attribute.labels (CtdWrkrCloudAgent_label) Crée un libellé à partir de CtdWrkrCloudAgent et le fusionne.
CtdWrkrCloudClient principal.resource.attribute.labels (CtdWrkrCloudClient_label) Crée un libellé à partir de CtdWrkrCloudClient et le fusionne.
CtdWrkrScheduler principal.resource.attribute.labels (CtdWrkrScheduler_label) Crée un libellé à partir de CtdWrkrScheduler et le fusionne.
CtdWrkrknownThreats principal.resource.attribute.labels (CtdWrkrknownThreats_label) Crée un libellé à partir de CtdWrkrknownThreats et le fusionne.
CtdWrkrCacher principal.resource.attribute.labels (CtdWrkrCacher_label) Crée un libellé à partir de CtdWrkrCacher et le fusionne.
CtdWrkrInsights principal.resource.attribute.labels (CtdWrkrInsights_label) Crée un libellé à partir de CtdWrkrInsights et le fusionne.
CtdWrkrActive principal.resource.attribute.labels (CtdWrkrActive_label) Crée un libellé à partir de CtdWrkrActive et le fusionne.
CtdWrkrEnricher principal.resource.attribute.labels (CtdWrkrEnricher_label) Crée un libellé à partir de CtdWrkrEnricher et le fusionne.
CtdWrkrIndicators principal.resource.attribute.labels (CtdWrkrIndicators_label) Crée un libellé à partir de CtdWrkrIndicators et le fusionne.
CtdWrkrIndicatorsApi principal.resource.attribute.labels (CtdWrkrIndicatorsApi_label) Crée un libellé à partir de CtdWrkrIndicatorsApi et le fusionne.
CtdWrkrConcluder principal.resource.attribute.labels (CtdWrkrConcluder_label) Crée un libellé à partir de CtdWrkrConcluder et le fusionne.
CtdWrkrPreprocessor principal.resource.attribute.labels (CtdWrkrPreprocessor_label) Crée un libellé à partir de CtdWrkrPreprocessor et le fusionne.
CtdWrkrLeecher principal.resource.attribute.labels (CtdWrkrLeecher_label) Crée un libellé à partir de CtdWrkrLeecher et le fusionne.
CtdWrkrSyncManager principal.resource.attribute.labels (CtdWrkrSyncManager_label) Crée un libellé à partir de CtdWrkrSyncManager et le fusionne.
CtdWrkrBridge principal.resource.attribute.labels (CtdWrkrBridge_label) Crée un libellé à partir de CtdWrkrBridge et le fusionne.
CtdWrkrWebRanger principal.resource.attribute.labels (CtdWrkrWebRanger_label) Crée un libellé à partir de CtdWrkrWebRanger et le fusionne.
CtdWrkrWebWs principal.resource.attribute.labels (CtdWrkrWebWs_label) Crée un libellé à partir de CtdWrkrWebWs et le fusionne.
CtdWrkrWebAuth principal.resource.attribute.labels (CtdWrkrWebAuth_label) Crée un libellé à partir de CtdWrkrWebAuth et le fusionne.
CtdWrkrWebNginx principal.resource.attribute.labels (CtdWrkrWebNginx_label) Crée un libellé à partir de CtdWrkrWebNginx et le fusionne.
CtdWrkrConfigurator principal.resource.attribute.labels (CtdWrkrConfigurator_label) Crée un libellé à partir de CtdWrkrConfigurator et le fusionne.
CtdWrkrConfiguratorNginx principal.resource.attribute.labels (CtdWrkrConfiguratorNginx_label) Crée un libellé à partir de CtdWrkrConfiguratorNginx et le fusionne.
CtdWrkrCapsaver principal.resource.attribute.labels (CtdWrkrCapsaver_label) Crée un libellé à partir de CtdWrkrCapsaver et le fusionne.
CtdWrkrBaselineTracker principal.resource.attribute.labels (CtdWrkrBaselineTracker_label) Crée un libellé à partir de CtdWrkrBaselineTracker et le fusionne.
CtdWrkrDissector principal.resource.attribute.labels (CtdWrkrDissector_label) Crée un libellé à partir de CtdWrkrDissector et le fusionne.
CtdWrkrDissectorA principal.resource.attribute.labels (CtdWrkrDissectorA_label) Crée un libellé à partir de CtdWrkrDissectorA et le fusionne.
CtdWrkrDissectorNg principal.resource.attribute.labels (CtdWrkrDissectorNg_label) Crée un libellé à partir de CtdWrkrDissectorNg et le fusionne.
CtdWrkrPreprocessing principal.resource.attribute.labels (CtdWrkrPreprocessing_label) Crée un libellé à partir de CtdWrkrPreprocessing et le fusionne.
CtdWrkrPreprocessingNg principal.resource.attribute.labels (CtdWrkrPreprocessingNg_label) Crée un libellé à partir de CtdWrkrPreprocessingNg et le fusionne.
CtdWrkrStatisticsNg principal.resource.attribute.labels (CtdWrkrStatisticsNg_label) Crée un libellé à partir de CtdWrkrStatisticsNg et le fusionne.
CtdWrkrSyslogAlerts principal.resource.attribute.labels (CtdWrkrSyslogAlerts_label) Crée un libellé à partir de CtdWrkrSyslogAlerts et le fusionne.
CtdWrkrSyslogEvents principal.resource.attribute.labels (CtdWrkrSyslogEvents_label) Crée un libellé à partir de CtdWrkrSyslogEvents et le fusionne.
CtdWrkrSyslogInsights principal.resource.attribute.labels (CtdWrkrSyslogInsights_label) Crée un libellé à partir de CtdWrkrSyslogInsights et le fusionne.
CtdWrkrRdDissector principal.resource.attribute.labels (CtdWrkrRdDissector_label) Crée un libellé à partir de CtdWrkrRdDissector et le fusionne.
CtdWrkrRdDissectorA principal.resource.attribute.labels (CtdWrkrRdDissectorA_label) Crée un libellé à partir de CtdWrkrRdDissectorA et le fusionne.
CtdSensorName principal.resource.attribute.labels (CtdSensorName_label) Crée un libellé à partir de CtdSensorName et le fusionne.
CtdCtrlSite principal.resource.attribute.labels (CtdCtrlSite_label) Crée un libellé à partir de CtdCtrlSite et le fusionne.
CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics principal.resource.attribute.labels (CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics_label) Crée un libellé à partir de CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics et le fusionne.
CtdDissectionCoverage principal.resource.attribute.labels (CtdDissectionCoverage_label) Crée un libellé à partir de CtdDissectionCoverage et le fusionne.
CtdDissectionEfficiencyModbus principal.resource.attribute.labels (CtdDissectionEfficiencyModbus_label) Crée un libellé à partir de CtdDissectionEfficiencyModbus et le fusionne.
CtdDissectionEfficiencySmb principal.resource.attribute.labels (CtdDissectionEfficiencySmb_label) Crée un libellé à partir de CtdDissectionEfficiencySmb et le fusionne.
CtdDissectionEfficiencyDcerpc principal.resource.attribute.labels (CtdDissectionEfficiencyDcerpc_label) Crée un libellé à partir de CtdDissectionEfficiencyDcerpc et le fusionne.
CtdDissectionEfficiencyZabbix principal.resource.attribute.labels (CtdDissectionEfficiencyZabbix_label) Crée un libellé à partir de CtdDissectionEfficiencyZabbix et le fusionne.
CtdDissectionEfficiencyFactorytalkRna principal.resource.attribute.labels (CtdDissectionEfficiencyFactorytalkRna_label) Crée un libellé à partir de CtdDissectionEfficiencyFactorytalkRna et le fusionne.
CtdDissectionEfficiencySsl principal.resource.attribute.labels (CtdDissectionEfficiencySsl_label) Crée un libellé à partir de CtdDissectionEfficiencySsl et le fusionne.
CtdDissectionEfficiencyVrrpProtocolMatcher principal.resource.attribute.labels (CtdDissectionEfficiencyVrrpProtocolMatcher_label) Crée un libellé à partir de CtdDissectionEfficiencyVrrpProtocolMatcher et le fusionne.
CtdDissectionEfficiencyRdp principal.resource.attribute.labels (CtdDissectionEfficiencyRdp_label) Crée un libellé à partir de CtdDissectionEfficiencyRdp et le fusionne.
CtdDissectionEfficiencySsh principal.resource.attribute.labels (CtdDissectionEfficiencySsh_label) Crée un libellé à partir de CtdDissectionEfficiencySsh et le fusionne.
CtdDissectionEfficiencyHttp principal.resource.attribute.labels (CtdDissectionEfficiencyHttp_label) Crée un libellé à partir de CtdDissectionEfficiencyHttp et le fusionne.
CtdDissectionEfficiencyTcpHttp principal.resource.attribute.labels (CtdDissectionEfficiencyTcpHttp_label) Crée un libellé à partir de CtdDissectionEfficiencyTcpHttp et le fusionne.
CtdDissectionEfficiencyLdap principal.resource.attribute.labels (CtdDissectionEfficiencyLdap_label) Crée un libellé à partir de CtdDissectionEfficiencyLdap et le fusionne.
CtdDissectionEfficiencyJrmi principal.resource.attribute.labels (CtdDissectionEfficiencyJrmi_label) Crée un libellé à partir de CtdDissectionEfficiencyJrmi et le fusionne.
CtdDissectionEfficiencyGeIfix principal.resource.attribute.labels (CtdDissectionEfficiencyGeIfix_label) Crée un libellé à partir de CtdDissectionEfficiencyGeIfix et le fusionne.
CtdDissectionEfficiencyLlc principal.resource.attribute.labels (CtdDissectionEfficiencyLlc_label) Crée un libellé à partir de CtdDissectionEfficiencyLlc et le fusionne.
CtdDissectionEfficiencyMatrikonNopc principal.resource.attribute.labels (CtdDissectionEfficiencyMatrikonNopc_label) Crée un libellé à partir de CtdDissectionEfficiencyMatrikonNopc et le fusionne.
CtdDissectionEfficiencyVnc principal.resource.attribute.labels (CtdDissectionEfficiencyVnc_label) Crée un libellé à partir de CtdDissectionEfficiencyVnc et le fusionne.
CtdUnhandledEvents principal.resource.attribute.labels (CtdUnhandledEvents_label) Crée un libellé à partir de CtdUnhandledEvents et le fusionne.
CtdConcludeTime principal.resource.attribute.labels (CtdConcludeTime_label) Crée un libellé à partir de CtdConcludeTime et le fusionne.
CtdMysqlQuery principal.resource.attribute.labels (CtdMysqlQuery_label) Crée un libellé à partir de CtdMysqlQuery et le fusionne.
CtdPostgresQuery principal.resource.attribute.labels (CtdPostgresQuery_label) Crée un libellé à partir de CtdPostgresQuery et le fusionne.
CtdPsqlIdleSessions principal.resource.attribute.labels (CtdPsqlIdleSessions_label) Crée un libellé à partir de CtdPsqlIdleSessions et le fusionne.
CtdPsqlIdleInTransactionSessions principal.resource.attribute.labels (CtdPsqlIdleInTransactionSessions_label) Crée un libellé à partir de CtdPsqlIdleInTransactionSessions et le fusionne.
CtdSnifferStatus principal.resource.attribute.labels (CtdSnifferStatus_label) Crée un libellé à partir de CtdSnifferStatus et le fusionne.
CtdLoopCallDurationPollObjects principal.resource.attribute.labels (CtdLoopCallDurationPollObjects_label) Crée un libellé à partir de CtdLoopCallDurationPollObjects et le fusionne.
CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected principal.resource.attribute.labels (CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected_label) Crée un libellé à partir de CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected et le fusionne.
CtdSnifferStatusCentral principal.resource.attribute.labels (CtdSnifferStatusCentral_label) Crée un libellé à partir de CtdSnifferStatusCentral et le fusionne.
CtdSnifferStatusSite principal.resource.attribute.labels (CtdSnifferStatusSite_label) Crée un libellé à partir de CtdSnifferStatusSite et le fusionne.
CtdWrkrMailer principal.resource.attribute.labels (CtdWrkrMailer_label) Crée un libellé à partir de CtdWrkrMailer et le fusionne.
CtdDroppedEntities principal.resource.attribute.labels (CtdDroppedEntities_label) Crée un libellé à partir de CtdDroppedEntities et le fusionne.
externalId metadata.product_log_id Associe externalId à metadata.product_log_id.
proto protocol_number_src Convertit le proto en majuscules et l'attribue à protocol_number_src pour la recherche.
protocol_number_src ip_protocol_out; app_protocol_out Initialise ip_protocol_out sur UNKNOWN_IP_PROTOCOL et app_protocol_out sur UNKNOWN_APPLICATION_PROTOCOL, puis met à jour en fonction de la recherche.
ip_protocol_out network.ip_protocol Définit network.ip_protocol à partir de ip_protocol_out.
app_protocol_out network.application_protocol Définit network.application_protocol à partir de app_protocol_out.
CtdExternalId metadata.product_log_id Remplace metadata.product_log_id par CtdExternalId s'il est fourni.
CtdDeviceExternalId principal.resource.attribute.labels (ctd_device_label) Crée un libellé à partir de CtdDeviceExternalId (préfixé par CtdDeviceExternalId) et le fusionne.
(if has_principal_device is true and ctdeventtype = Login) security_result.category; security_result.action Pour les événements de connexion, définit security_result.category sur AUTH_VIOLATION et l'action sur BLOCK.
(if has_principal_device is true and ctdeventtype = Memory Reset) security_result.category Définit security_result.category sur SOFTWARE_SUSPICIOUS.
(if target_machine_id_present is true, has_principal_device is true, and ctdeventtype in [Known Threat Alert, Known Threat Event, Man-in-the-Middle Attack, Suspicious Activity]) security_result.category Définit security_result.category sur NETWORK_MALICIOUS.
(if target_machine_id_present is true, has_principal_device is true, and ctdeventtype = Suspicious File Transfer) security_result.category Définit security_result.category sur NETWORK_SUSPICIOUS.
(if target_machine_id_present is true, has_principal_device is true, and ctdeventtype = Denial Of Service) security_result.category Définit security_result.category sur NETWORK_DENIAL_OF_SERVICE.
(if has_principal_device is true and ctdeventtype in [Host Scan, Port Scan]) security_result.category Définit security_result.category sur NETWORK_RECON.
(if target_machine_id_present is true, has_principal_device is true, and ctdeventtype in [Policy Rule Match, Policy Violation Alert, Policy Violation]) security_result.category Définit security_result.category sur POLICY_VIOLATION.
(par défaut si has_principal_device est défini sur "true") security_result.category Définit security_result.category sur NETWORK_SUSPICIOUS par défaut.
Catégorie security_result_category dérivée security_result.category Fusionne la catégorie de sécurité dérivée dans security_result.category.
Derived security_result_action security_result.action Fusionne l'action de sécurité dérivée dans security_result.action (si elle est définie).
cs6 (avec cs6Label CTDlink) metadata.url_back_to_product; security_result.url_back_to_product Définit les champs d'URL de cs6 pour les liens retour vers les informations sur les produits.
cs1 (avec cs1Label SourceAssetType) principal.asset.category; principal.asset.type Définit principal.asset.category à partir de cs1 et détermine principal.asset.type en fonction de sa valeur.
cs2 (avec cs2Label DestAssetType) target.asset.category; target.asset.type Définit target.asset.category à partir de cs2 et détermine target.asset.type en fonction de sa valeur.
cfp1 (avec cfp1Label CVEScore) vulns.vulnerabilities.cvss_base_score Définit vulns.vulnerabilities.cvss_base_score (converti en float) et marque vul_fields_present sur "true".
cs6 (avec cs6Label CVE) vulns.vulnerabilities.cve_id Définit vulns.vulnerabilities.cve_id et marque vul_fields_present sur "true".
cn1 (avec cn1Label IndicatorScore) security_result.confidence_score Extrait le score de l'indicateur de cn1, le convertit en float et l'attribue en tant que score de confiance.
filepath about.file.full_path; security_result.about.file.full_path Mappe le chemin d'accès au fichier sur about.file.full_path et security_result.about.file.full_path.
(if eventclass = HealthCheck and cs1Label = Site) intermediary.location.name Définit intermediary.location.name à partir de cs1 lorsqu'il est utilisé comme identifiant de site.
cn1 (avec cn1Label) additional.fields (cn1_label) Crée un libellé de champ supplémentaire à partir de cn1 et le fusionne dans additional.fields.
cs1 (avec cs1Label) additional.fields (cs1_label) Crée un libellé de champ supplémentaire à partir de cs1 et le fusionne dans additional.fields.
cs2 (avec cs2Label) additional.fields (cs2_label) Crée un libellé de champ supplémentaire à partir de cs2 et le fusionne dans additional.fields.
cs3 (avec cs3Label) additional.fields (cs3_label) Crée un libellé de champ supplémentaire à partir de cs3 et le fusionne.
cs4 (avec cs4Label) additional.fields (cs4_label) Crée un libellé de champ supplémentaire à partir de cs4 et le fusionne.
cs6 (avec cs6Label) additional.fields (cs6_label) Crée un libellé de champ supplémentaire à partir de cs6 et le fusionne.
(pour les événements Insight basés sur event_name et vul_fields_present) event_type Dérive event_type pour les événements Insight (par exemple, SCAN_VULN_HOST, STATUS_UNCATEGORIZED, STATUS_UPDATE).
(pour les événements/alertes basés sur ctdeventtype, has_principal_device, etc.) event_type ; (facultativement target.resource.type ou auth.type) Dérive event_type pour les événements/alertes tels que DEVICE_CONFIG_UPDATE, DEVICE_PROGRAM_DOWNLOAD/UPLOAD, NETWORK_UNCATEGORIZED, USER_RESOURCE_CREATION, SCAN_HOST, SCAN_NETWORK, SETTING_MODIFICATION, USER_LOGIN, NETWORK_CONNECTION ou STATUS_UPDATE.
(si event_type reste vide) event_type Définit event_type sur NETWORK_CONNECTION, USER_RESOURCE_ACCESS ou STATUS_UPDATE en fonction des indicateurs disponibles.
event_type (final) metadata.event_type Copie le final event_type dans metadata.event_type. La valeur par défaut est GENERIC_EVENT si le champ est vide.
device_vendor metadata.vendor_name Définit metadata.vendor_name à partir de device_vendor. La valeur par défaut est CLAROTY si elle est manquante.
device_product metadata.product_name Définit metadata.product_name à partir de device_product. La valeur par défaut est CTD si elle est manquante.
device_version metadata.product_version Définit metadata.product_version à partir de device_version.
security_description (si la valeur correspond à ET TROJAN …) security_result.threat_name Extrait threat_name à l'aide du modèle ET TROJAN (?P<threat_name>\S+) de security_description et le mappe à security_result.threat_name.
métadonnées event.idm.read_only_udm.metadata Renomme les métadonnées en event.idm.read_only_udm.metadata.
compte principal event.idm.read_only_udm.principal Renomme le principal en event.idm.read_only_udm.principal.
cible event.idm.read_only_udm.target Renomme la cible en event.idm.read_only_udm.target.
réseau event.idm.read_only_udm.network Renomme le réseau en event.idm.read_only_udm.network.
supplémentaire event.idm.read_only_udm.additional Renomme additional en event.idm.read_only_udm.additional.
security_result event.idm.read_only_udm.security_result Fusionne security_result dans event.idm.read_only_udm.security_result.
à propos de event.idm.read_only_udm.about Fusionne "about" dans event.idm.read_only_udm.about.
intermédiaire event.idm.read_only_udm.intermediary Fusionne "intermediary" dans event.idm.read_only_udm.intermediary.
vulns.vulnerabilities event.idm.read_only_udm.extensions.vulns.vulnerabilities Fusionne vulns.vulnerabilities dans event.idm.read_only_udm.extensions.vulns.vulnerabilities.
@output événement Fusionne la structure complète de l'événement UDM dans le champ event final.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.