Collecter les journaux Fluentd

Ce document explique comment collecter des journaux Fluentd en configurant Fluentd et un redirecteur Chronicle. Ce document répertorie également les types de journaux compatibles et la version de Fluentd compatible.

Pour en savoir plus, consultez Ingestion de données vers Chronicle.

Présentation

Le schéma d'architecture de déploiement suivant montre comment Fluentd est installé sur le serveur de transfert et sur le serveur d'agrégation pour envoyer des journaux à Chronicle. Chaque déploiement de client peut être différent de cette représentation et peut être plus complexe.

Le schéma de l'architecture présente les composants suivants:

• Système Linux : Système Linux à surveiller. Le système Linux se compose des fichiers à surveiller et du serveur de transfert Fluentd.

• système Microsoft Windows. Système Microsoft Windows à surveiller dans lequel le serveur de transfert Fluentd est installé.

• Redirectionur Fluentd. Le redirecteur Fluentd collecte des informations à partir du système Microsoft Windows ou Linux et les transmet à l'agrégateur Fluentd.

• Agrégateur Fluentd. L'agrégateur Fluentd reçoit les journaux du redirecteur Fluentd et les transmet au système Chronicle.

• Redirection des chroniques. Le redirecteur Chronicle est un composant logiciel léger, déployé dans le réseau du client et compatible avec syslog. Le redirecteur Chronicle transmet les journaux à Chronicle.

• Chronicle Chronicle conserve et analyse les journaux de l'agrégateur Fluentd.

Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journal brutes au format UDM structuré. Les informations contenues dans ce document s'appliquent à l'analyseur associé au libellé d'ingestion FLUENTD.

Avant de commencer

• Assurez-vous que le redirecteur Fluentd est installé sur les systèmes Microsoft Windows ou Linux que vous prévoyez de surveiller. Pour en savoir plus sur l'installation du redirecteur Fluentd, consultez la section Installer Fluentd.

• Utilisez une version de Fluentd compatible avec l'analyseur Chronicle. L'analyseur Chronicle est compatible avec Fluentd version 1.0.

• Assurez-vous que l'agrégateur Fluentd est installé et configuré sur le serveur Linux central.

• Assurez-vous que tous les systèmes de l'architecture de déploiement sont configurés dans le fuseau horaire UTC.

• Vérifiez les types de journaux compatibles avec l'analyseur Chronicle. Le tableau suivant répertorie les produits et chemins de fichiers journaux compatibles avec l'analyseur Chronicle:

  Système d'exploitation	Produit	Chemin d'accès au fichier journal
  Microsoft Windows	Microsoft Windows	Journaux des événements
  Linux	Linux	/var/log/audit/audit.log
  Linux	Linux	/var/log/syslog
  Linux	apache2	/var/log/apache2/access.log
  Linux	apache2	/var/log/apache2/error.log
  Linux	apache2	/var/log/apache2/other_vhosts_access.log
  Linux	apache2	/var/log/apache2/novnc-server-access.log
  Linux	Open VPN	/var/log/openvpnas.log
  Linux	Nginx	/var/log/nginx/access.log
  Linux	Nginx	/var/log/nginx/error.log
  Linux	Rkhunter	/var/log/rkhunter.log
  Linux	Linux	/var/log/auth.log
  Linux	Linux	/var/log/kern.log
  Linux	Rundeck	/var/log/rundeck/service.log
  Linux	Samba	/var/log/samba/log.winbindd
  Linux	Linux	/var/log/mail.log

Configurer le redirecteur et l'agrégateur Fluentd, ainsi que le redirecteur Chronicle

1. Pour surveiller les journaux générés par les systèmes Linux, créez un fichier td-agent.conf afin de spécifier la configuration de la surveillance des journaux pour le redirecteur Fluentd. Voici un exemple de fichier de configuration pour le redirecteur Fluentd sur le système Linux:

   <source>
   @type tail
   path /var/log/nginx/access.log
   pos_file /var/log/td-agent/nginx-access.log.pos
   tag mytag.nginx.access
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/nginx/error.log
   pos_file /var/log/td-agent/nginx-error.log.pos
   tag mytag.nginx.error
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/apache2/access.log
   pos_file /var/log/td-agent/apache-access.log.pos
   tag mytag.apache.access
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/apache2/error.log
   pos_file /var/log/td-agent/apache-error.log.pos
   tag mytag.apache.error
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/audit/audit.log
   pos_file /var/log/td-agent/audit.log.pos
   tag mytag.audit
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/syslog/syslog.log
   pos_file /var/log/td-agent/syslog.log.pos
   tag mytag.syslog
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path  /var/log/apache2/other_vhosts_access.log
   pos_file /var/log/td-agent/vhost.log.pos
   tag mytag.apache.other_vhosts_access
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path  /var/log/apache2/novnc-server-access.log
   pos_file /var/log/td-agent/novnc.log.pos
   tag mytag.apache.novnc-server-access
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/openvpnas.log
   pos_file /var/log/td-agent/openvpnas.log.pos
   tag mytag.openvpnas
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/auth.log
   pos_file /var/log/td-agent/auth.log.pos
   tag mytag.auth
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/kern.log
   pos_file /var/log/td-agent/kern.log.pos
   tag mytag.kern
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/rundeck/service.log
   pos_file /var/log/td-agent/rundeck.log.pos
   tag mytag.rundeck
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/mail.log
   pos_file /var/log/td-agent/mail.log.pos
   tag mytag.mail
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   path /var/log/rkhunter.log
   pos_file /var/log/td-agent/rkhunter.log.pos
   tag mytag.rkhunter
   <parse>
   @type none
   </parse>
   </source>
   
   <source>
   @type tail
   Path /var/log/samba/log.winbindd
   pos_file /var/log/td-agent/winbindd.log.pos
   tag mytag.winbindd
   <parse>
   @type none
   </parse>
   </source>
   
   <filter  mytag.**>
   @type record_transformer
   <record>
   forwarder_hostname "#{Socket.gethostname}"
   </record>
   </filter>
   
   <filter  mytag.nginx.access.**>
   @type record_transformer
   <record>
   path "/var/log/nginx/access.log"
   </record>
   </filter>
   
   <filter  mytag.nginx.error.**>
   @type record_transformer
   <record>
   path "/var/log/nginx/error.log"
   </record>
   </filter>
   
   <filter  mytag.apache.access.**>
   @type record_transformer
   <record>
   path "/var/log/apache2/access.log"
   </record>
   </filter>
   
   <filter  mytag.apache.error.**>
   @type record_transformer
   <record>
   path "/var/log/apache2/error.log"
   </record>
   </filter>
   
   <filter  mytag.audit.**>
   @type record_transformer
   <record>
   path "/var/log/audit/audit.log"
   </record>
   </filter>
   
   <filter  mytag.syslog.**>
   @type record_transformer
   <record>
   path "/var/log/syslog/syslog.log"
   </record>
   </filter>
   
   <filter  mytag.apache.other_vhosts_access.**>
   @type record_transformer
   <record>
   path "/var/log/apache2/other_vhosts_access.log"
   </record>
   </filter>
   
   <filter  mytag.apache.novnc-server-access.**>
   @type record_transformer
   <record>
   path "/var/log/apache2/novnc-server-access.log"
   </record>
   </filter>
   
   <filter mytag.openvpnas.**>
   @type record_transformer
   <record>
   path "/var/log/openvpnas.log"
   </record>
   </filter>
   
   <filter mytag.auth.**>
   @type record_transformer
   <record>
   path "/var/log/auth.log"
   </record>
   </filter>
   
   <filter mytag.kern.**>
   @type record_transformer
   <record>
   path "/var/log/kern.log"
   </record>
   </filter>
   
   <filter mytag.rundeck.**>
   @type record_transformer
   <record>
   path "/var/log/rundeck/service.log"
   </record>
   </filter>
   
   <filter mytag.mail.**>
   @type record_transformer
   <record>
   path "/var/log/mail.log"
   </record>
   </filter>
   
   <filter mytag.rkhunter.**>
   @type record_transformer
   <record>
   path "/var/log/rkhunter.log"
   </record>
   </filter>
   
   <filter mytag.winbindd.**>
   @type record_transformer
   <record>
   path "/var/log/samba/log.winbindd"
   </record>
   </filter>
   
   <match mytag.**>
   @type forward
   # primary host
   <server>
   host <AGGREGATOR_HOSTNAME>
   port <AGGREGATOR_PORT>
   </server>
   </match>
   

2. Pour surveiller les journaux générés par les systèmes Microsoft Windows, créez un fichier td-agent.conf afin de spécifier la configuration de la surveillance des journaux pour le redirecteur Fluentd. Voici un exemple de fichier de configuration pour le redirecteur Fluentd sur le système Microsoft Windows:

   <source>
   @type windows_eventlog
   @id windows_eventlog
   channels application,security,system
   read_existing_events true
   read_interval 2
   tag windows.raw
   render_as_xml true
   <storage>
   @type local
   persistent true
   path E:\windows.pos
   </storage>
   </source>
   <match windowslog>
   @type forward
   <server>
   host <AGGREGATOR_HOSTNAME>
   port <AGGREGATOR_PORT>
   username <AGGREGATOR_USERNAME>
   password <AGGREGATOR_PASSWORD>
   </server>
   </match>
   
   

3. Pour transférer les journaux de l'agrégateur Fluentd vers le redirecteur Chronicle, créez un fichier de configuration au format suivant:

   <source>
   @type forward
   port <AGGREGATOR_PORT>
   </source>
   
   ## Forwarding
   <match mytag.**>
   @id output_system_forward
   @type forward
   # IP and port of the forwarder
   <server>
    host <CHRONICLE_FORWARDER_HOSTNAME>
    port <CHRONICLE_FORWARDER_PORT>
   </server>
   </match>
   

4. Configurez le redirecteur Chronicle pour envoyer des journaux à Chronicle. Pour en savoir plus, consultez Installer et configurer le redirecteur sous Linux. Voici un exemple de configuration de redirecteur Chronicle:

   common:
     enabled: true
     data_type: FLUENTD
     batch_n_seconds: 10
     batch_n_bytes: 1048576
   tcp_address: 0.0.0.0:10514
   connection_timeout_sec: 60
   

Documentation de référence sur le mappage de champs

Cette section explique comment l'analyseur applique des modèles grok pour les systèmes Linux et Microsoft Windows, et comment il mappe les champs de journaux Fluentd aux champs Chronicle Unified Data Model (UDM) pour chaque type de journal.

Pour savoir comment mapper des références aux champs courants, consultez Champs communs

Pour obtenir des informations de référence sur les chemins de journaux, les modèles grok pour les exemples de journaux, les types d'événements et les champs UDM sur les systèmes Linux, consultez les sections suivantes:

• Linux
• Audit
• Type d'événement du journal d'audit
• Messagerie
• Type d'événement du journal des e-mails

Pour en savoir plus sur les événements Microsoft Windows compatibles et les champs UDM correspondants, consultez la section Données des événements Microsoft Windows.

Champs courants

Le tableau suivant répertorie les champs de journal courants et les champs UDM correspondants.

Champ de journal commun	Champ UDM
temps_collecté	metadata.collected_timestamp
inner_message.message	message_interne
inner_message.forwarder_hostname	target.hostname ou principal.hostname
inner_Message.Path	source_événement

Système Linux

Le tableau suivant répertorie les chemins d'accès aux journaux pour le système Linux, le modèle grok pour les exemples de journaux, le type d'événement et les mappages UDM:

Chemin d'accès au journal	Exemple de journal	Motif grok	Type d'événement	Mappage UDM
/var/log/apache2/error.log	[Jeu 28 avr. 16:13:01.283342 2022] [core:notice] [pid 18394:tid 140188660751296] [client 1.200.32.47:59840] sans connexion	[{timestamp}][{log_module}:{log_level}][pid{pid}(<optional_field>:tid{tid}|)](<optional_field> [client {client_ip}:{client_port}]|) (?<error_message>.*)	NETWORK_UNCATEGORIZED (Réseau non agrégé)	La valeur timestamp est mappée sur metadata.event_timestamp log_module est mappé sur target.resource.name log_level est mappé à security_result.severity "pid" est mappé à "target.process.parent_process.pid", tid est mappé sur target.process.pid. client_ip est mappé sur principal.ip client_port est mappé sur principal.port error_message est mappé à security_result.description network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
/var/log/apache2/error.log	[Jeu 28 avr. 16:13:01.283342 2022] [core:notice] [pid 18394:tid 140188660751296] ne parvient pas à établir la connexion	[{timestamp}][{log_module} :{severity}][pid{pid}(<optional_field>:tid{tid}|)]{error_message:	NETWORK_UNCATEGORIZED (Réseau non agrégé)	La valeur timestamp est mappée sur metadata.event_timestamp log_module est mappé sur target.resource.name log_level est mappé à security_result.severity "pid" est mappé à "target.process.parent_process.pid", tid est mappé sur target.process.pid. error_message est mappé à security_result.description network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
/var/log/apache2/error.log	[Jeu 28 avr. 16:13:01.283342 2022] [core:notice] [pid 18394:tid 140188660751296] AH00094: Ligne de commande : //usr/sbin/apache2	[{timestamp}][{log_module}:{log_level}][pid{pid}(<optional_field>:tid{tid}|)](<optional_field> [client {client_ip}:{client_port}]|) ?	NETWORK_UNCATEGORIZED (Réseau non agrégé)	metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server" La valeur timestamp est mappée sur metadata.event_timestamp log_module est mappé sur target.resource.name log_level est mappé à security_result.severity "pid" est mappé à "target.process.parent_process.pid", tid est mappé sur target.process.pid. client_ip est mappé sur principal.ip client_port est mappé sur principal.port error_message est mappé à security_result.description target.platform est défini sur "LINUX" référe_url est mappé sur network.http.referral_url
/var/log/apache2/error.log	[Dim 30 janv. 15:14:47.260309 2022] [proxy_http:error] [pid 12515:tid 140035781285632] [client 1.200.32.47:59840] AH011114: HTTP: to:.	[{timestamp}] [{log_module}:{log_level}] [pid {pid}(:tid{tid}|)] [client {client_ip}:{client_port}]( HTTP: )?{error_message}:( {target_ip})(,referer{referer_url})?"	NETWORK_HTTP	La valeur timestamp est mappée sur metadata.event_timestamp log_module est mappé sur target.resource.name log_level est mappé à security_result.severity "pid" est mappé à "target.process.parent_process.pid", tid est mappé sur target.process.pid. client_ip est mappé sur principal.ip client_port est mappé sur principal.port error_message est mappé à security_result.description target_ip est mappée sur target.ip référe_url est mappé sur network.http.referral_url network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
/var/log/apache2/error.log	[Sam 02 févr. 00:30:55 2019] Nouvelle connexion : [connection gTxkX8Z6tjk] [client 192.0.2.1:50786]	[{timestamp}]<message_texte>connexion:[connexion:{identifiant_connexion}][client_adresse_IP}:{port_client}:	NETWORK_UNCATEGORIZED (Réseau non agrégé)	La valeur timestamp est mappée sur metadata.event_timestamp client_ip est mappé sur principal.ip client_port est mappé sur principal.port connection_id est mappé à network.session_id network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
/var/log/apache2/error.log	[Sam 02 fév 00:30:55 2019] Nouvelle demande: [connection: j8BjX4Z5tjk] [request: ACtkX1Z5tjk] [pid 8] [client 192.0.2.1:50784]	[{timestamp}]<message_text>request:[connection:{connection_id}][request:{request_id}][pid{pid}][client{client_ip}:{client_port}.	NETWORK_UNCATEGORIZED (Réseau non agrégé)	La valeur timestamp est mappée sur metadata.event_timestamp request_id est mappé à security_result.detection_fields.(key/value) client_ip est mappé sur principal.ip client_port est mappé sur principal.port "pid" est mappé à "target.process.parent_process.pid", connection_id est mappé à network.session_id network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
/var/log/apache2/error.log	[Sam Fév 02 00:30:55 2019] [info] [C: j8BjX4Z5tjk] [R: p7pjX4Z5tjk] [pid 8] core.c(4739) [client 192.0.2.1:50784] AH/0/h:r.	[{timestamp}] [{log_level}]	NETWORK_UNCATEGORIZED (Réseau non agrégé)	La valeur timestamp est mappée sur metadata.event_timestamp log_level est mappé à security_result.severity request_id est mappé à security_result.detection_fields.(key/value) client_ip est mappé sur principal.ip client_port est mappé sur principal.port "pid" est mappé à "target.process.parent_process.pid", connection_id est mappé à network.session_id error_message est mappé à security_result.description file_path est mappé avec target.file.full_path network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
/var/log/apache2/access.log	192.0.2.1 - - [28/Avr./2022:17:35:52 +0530] "GET / HTTP/1.1" 200 3476 "-" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.3.26 (HTML6)	({client_ip})?<message_text>{userid}[{timestamp}](<facultatif_champ>{method}/(<facultatif_champ>{ressource}?) {client_protocol}?){result_status}{object_size}(<champ_facultatif>(<champ_facultatif>{referer_url}?)(<champ_facultatif>{user_agent}?) ?	NETWORK_HTTP	client_ip est mappé sur principal.ip "userid" est mappé avec "principal.user.userid" hôte est mappé sur principal.hostname La valeur timestamp est mappée sur metadata.event_timestamp est mappée sur network.http.method. ressource associée à principal.resource.name client_protocol est mappé à network.application_protocol result_status est mappé sur network.http.response_code object_size est mappé sur network.sent_bytes référe_url est mappé sur network.http.referral_url user_agent est mappé à network.http.user_agent network.ip_protocol est défini sur "TCP" network.direction est défini sur "OUTBOUND" network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
var/log/apache2/other_vhosts_access.log	wintest.abc.com:80 ::1 - - [14/Jan/2022:14:08:16 -0700] \"GET /server-status?auto HTTP/1.1\" 200 1415 \"-\" \"Python-urllib/2.7\"	{target_host}:{NUMBER:target_port} {client_ip} - (<champ_facultatif>{host}?) [{timestamp}](<champ_facultatif>{method}/(<champ_facultatif>{ressource}?}{client_protocol}?){result_status}{object_size}(<facultatif_champ>{referer_url}?)(<facultatif_champ>{user_agent}?)	NETWORK_HTTP	target_host est mappé à target.hostname target_port est mappé à target.port client_ip est mappé sur principal.ip "userid" est mappé avec "principal.user.userid" hôte est mappé sur principal.hostname La valeur timestamp est mappée sur metadata.event_timestamp est mappée sur network.http.method. ressource associée à principal.resource.name result_status est mappé sur network.http.response_code object_size est mappé sur network.sent_bytes référe_url est mappé sur network.http.referral_url user_agent est mappé à network.http.user_agent network.ip_protocol est défini sur "TCP" network.direction est défini sur "OUTBOUND" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server" network.application_protocol est défini sur "HTTP"
var/log/apache2/novnc-server-access.log	wintest.abc.com:80 ::1 - - [14/Jan/2022:14:08:16 -0700] \"GET /server-status?auto HTTP/1.1\" 200 1415 \"-\" \"http://\"	{target_host}:{NUMBER:target_port} {client_ip} - (<champ_facultatif>{host}?) [{timestamp}](<champ_facultatif>{method}/(<champ_facultatif>{ressource}?}{client_protocol}?){result_status}{object_size}(<facultatif_champ>{referer_url}?)(<facultatif_champ>{user_agent}?)	NETWORK_HTTP	client_ip est mappé sur principal.ip "userid" est mappé avec "principal.user.userid" est mappée sur network.http.method. le chemin d'accès est mappé à target.url result_status est mappé sur network.http.response_code object_size est mappé sur network.sent_bytes référe_url est mappé sur network.http.referral_url user_agent est mappé à network.http.user_agent network.ip_protocol est défini sur "TCP" network.direction est défini sur "OUTBOUND" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server" network.application_protocol est défini sur "HTTP"
/var/log/apache2/access.log	"http://192.0.2.1/test/first.html" -> /google.fr	(<champ_facultatif>{referer_url}?)->(<champ_facultatif>{chemin}?)	GENERIC_EVENT	le chemin d'accès est mappé à target.url référe_url est mappé sur network.http.referral_url network.direction est défini sur "OUTBOUND" target.platform est défini sur "LINUX" network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
/var/log/apache2/access.log	Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Code/1.67.0 Chrome/98.0.4758.141 Electron/17.4.1 Safari/537.36	(<champ_facultatif>{user_agent})	GENERIC_EVENT	user_agent est mappé à network.http.user_agent network.direction est défini sur "OUTBOUND" target.platform est défini sur "LINUX" network.application_protocol est défini sur "HTTP" target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "Apache" metadata.product_name est défini sur "Apache HTTP Server"
var/log/nginx/access.log	192.0.2 :	{principal_ip} - (<champ_facultatif>{principal_user_userid}?) [{timestamp}] {http_method} /(<champ_facultatif>{resource_name}?|) {protocol}(<message_text>){response_code} {received_bytes}(<facultatif_champ>{referer_url}) ({user_agent}|{user_agent}) ?	NETWORK_HTTP	L'heure est mappée sur metadata.timestamp IP est mappée sur target.ip principal_ip est mappé avec principal.ip principal_user_userid est mappé sur principal.user.userid metadata_timestamp est mappé sur horodatage http_method est mappé sur network.http.method resource_name est mappé sur nom.ressource.nom. Protocole mappé à network.application_protocol = (HTTP) response_code est mappé à network.http.response_code received_bytes est mis en correspondance avec network.sent_bytes référe_url est mappé sur network.http.referral_url user_agent est mappé à network.http.user_agent target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "NGINX" metadata.product_name est défini sur "NGINX" network.ip_protocol est défini sur "TCP" network.direction est défini sur "OUTBOUND"
var/log/nginx/error.log	2022/01/29 13:51:48 [error] 593#593: *62432 open() \"/usr/share/nginx/html/nginx_status\": Échec :	"{year}\/{month}\/{day}{time}[{severity}]{pid}#{thread_id}:{inner_message2}" inner_message2 est mappé sur "{security_result_description_2},client:{principal_ip},server:(<champ_facultatif>{target_hostname}?),request:"{http_method} /(<champ_facultatif>{resource_name}?) ? {protocol}/1.1",host:"({cible_cible}:{port_cible}?" "bind() to ({target_ip}|[{target_ip}]):{fail_port}: Échec ({security_description})", "\*{cid}{security_description}", "{security_description}"	NETWORK_HTTP	thread_id est mappé sur principal.process.pid. La gravité est mappée sur security_result.severity (débogage à UNKNOWN_SEVERITY, informations à INFORMATION, avis à LOW, avertissement à MEDIUM, erreur à ERROR, critère à CRITICAL, alerte à HIGH) target_file_full_path est mappé sur target.file.full_path principal_ip est mappé avec principal.ip target_hostname est mappé avec target.hostname http_method est mappé sur network.http.method resource_name est mappé sur nom.ressource.nom. Protocole mappé avec "TCP" target_ip est mappée sur target.ip target_port est mappé à target.port security_description + security_result_description_2 est mappé sur security_result.description pid est mappé sur principal.process.parent_process.pid network.application_protocol est défini sur "HTTP" timestamp est mappé avec {year}/{day}/{month} {time} target.platform est défini sur "LINUX" metadata.vendor_name est défini sur "NGINX" metadata.product_name est défini sur "NGINX" network.ip_protocol est défini sur "TCP" network.direction est défini sur "OUTBOUND"
var/log/rkhunter.log	[14:10:40] Échec de la vérification des commandes obligatoires	[<message_text>]{security_description}	MISE À JOUR SUR L'ÉTAT	L'heure est mappée sur metadata.timestamp security_description est mappé avec security_result.description principal.platform est défini sur "LINUX" metadata.vendor_name est défini sur "RootKit Hunter" metadata.product_name est défini sur "RootKit Hunter"
var/log/rkhunter.log	[14:09:52] Vérification du fichier /dev/.oz/.nap/rkit/terror [Page introuvable ]	[<message_text>] {security_description} {file_path}[\{metadata_description}]	FILE_UNCATEGORIZED (Fichier non agrégé)	metadata_description est mappée sur metadata.description file_path est mappé avec target.file.full_path security_description est mappé avec security_result.description principal.platform est défini sur "LINUX" metadata.vendor_name est défini sur "RootKit Hunter" metadata.product_name est défini sur "RootKit Hunter"
var/log/rkhunter.log	fluentd: réduction de la taille du fichier (inode restant) : '/var/log/rkhunter.log'.	(<facultatif_champ><message_text>) :{metadata_description}':{file_path}'	FILE_UNCATEGORIZED (Fichier non agrégé)	L'heure est mappée sur metadata.timestamp metadata_description est mappée sur metadata.description file_path est mappé avec target.file.full_path principal.platform est défini sur "LINUX" metadata.vendor_name est défini sur "RootKit Hunter" metadata.product_name est défini sur "RootKit Hunter"
/var/log/kern.log	28 avr. 12:41:35 localhost noyau: [ 5079.912215] ctnetlink v0.93: register with nfnetlink.	{timestamp}{principal_hostname}{metadata_product_event_type} :[<message_text>]{metadata_description:	MISE À JOUR SUR L'ÉTAT	La valeur timestamp est mappée sur "metadata.event_timestamp" principal_hostname est mappé sur "principal.hostname" metadata_product_event_type est mappé sur "metadata.product_event_type" metadata_description est mappée sur "metadata.description" metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD" principal.platform est défini sur "LINUX"
/var/log/kern.log	6 juillet 11:17:01 Noyau Ubuntu18: [ 0.030139] smpboot: CPU0: Intel(R) Xeon(R) Gold 5220R CPU @ 2.20GHz (family: 0x6, model: 0x55, stepping: 0x7)	{timestamp}{principal_hostname}{metadata_product_event_type}:([<message_text>]) <message_text> :\CPU0:{principal_asset_hardware_cpu_model}({metadata_description})	STATUS_UPDATE	La valeur timestamp est mappée sur "metadata.event_timestamp" principal_hostname est mappé sur "principal.hostname" metadata_product_event_type est mappé sur "metadata.product_event_type" principal_asset_hardware_cpu_model est mappé sur "principal.asset.hardware.cpu_model" metadata_description est mappée sur "metadata.description" metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD" principal.platform est défini sur "LINUX" cpu_model est mappé sur principal.asset.hardware.cpu_model
/var/log/syslog.log	24 mai 10:30:42 Ubuntu18 systemd[1]: session 112 de l'utilisateur Kajal	{collected_timestamp}{hostname}{command_line}(<champ_facultatif>[{pid}]):{message}	STATUS_UPDATE	collect_time est mappé avec metadata.event_timestamp hostname est mappé sur principal.hostname pid est mappé sur principal.process.pid message est mappé avec metadata.description metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD" principal.platform est défini sur "LINUX" command_line est mappée sur principal.process.command_line
/var/log/syslog.log	06 juil. 10:14:37 Ubuntusyslog rsyslogd: identifiant utilisateur rsyslogd remplacé par 102	{collected_timestamp}{hostname}{command_line}:{message}to{user_id}	STATUS_UPDATE	collect_time est mappé avec metadata.collected_timestamp hostname est mappé sur principal.hostname message est mappé avec metadata.description user_id est mappé à principal.user.userid command_line est mappée sur principal.process.command_line metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD" principal.platform est défini sur "LINUX"
/var/log/syslog.log	06 juil. 10:36:48 Ubuntu18 systemd[1]: Démarrage du service de journalisation système...	{collected_timestamp}{hostname}{command_line}(<champ_facultatif>|[{pid}]:{message}	STATUS_UPDATE	collect_time est mappé avec metadata.event_timestamp hostname est mappé sur principal.hostname pid est mappé sur principal.process.pid message est mappé avec metadata.description metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD" principal.platform est défini sur "LINUX" command_line est mappée sur principal.process.command_line
var/log/openvpnas.log	2022-04-29T10:51:22+0530 [Stdout#info] [OVPN 4] OUT : 2022-04-29 05:21:22 mohit_AUTOLOGIN/198.51.100.1:1080000 par an: 09: 2 Ajout de 0:	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:(<champ_facultatif>'|")<message_text>-<message_texte>{user}\/{ip}:{port}MULTI:Learn:{local_ip}->{target_hostname}?{target_ip}:{port}(<facultatif_champ>'|)	NETWORK_HTTP	La valeur timestamp est mappée sur metadata.timestamp log_level est mappé à security_result.severity local_ip est mappé avec principal.ip target_ip est mappée sur target.ip target_hostname est mappé avec principal.hostname port mappé sur target.port utilisateur est mappé avec principal.user.user_display_name metadata.vendor_name est défini sur "OpenVPN" metadata.product_name est défini sur "OpenVPN Access Server" principal.platform est défini sur "LINUX"
var/log/openvpnas.log	2022-04-28T16:14:13+0530 [stdout#info] [OVPN 6] SORTIE : 2022-04-28 16:14:13 versions de la bibliothèque: OpenSSL 1.1.1 11 sept. 2018, LZO 2.08	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:(<champ_facultatif>'|")<message_texte>{msg}(<champ_facultatif>'|)	MISE À JOUR SUR L'ÉTAT	La valeur timestamp est mappée sur metadata.timestamp log_level est mappé à security_result.severity Le message est mappé sur security_result.description metadata.vendor_name est défini sur "OpenVPN" metadata.product_name est défini sur "OpenVPN Access Server" principal.platform est défini sur "LINUX"
var/log/openvpnas.log	2022-04-28T16:14:13+0530 [stdout#info] [OVPN 6] OUT: 2022-04-28 16:14:13 net_addr_v4_add: 198.51.100.1/23 dev as0t6	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:<champ_facultatif>'|"<message_text>-<message_texte>-<texte_message><message_text>{message}<champ_facultatif>'|" message avec (net_addr_v4_add|net_route_v4_best_gw):{target_ip}/{target_port}	MISE À JOUR SUR L'ÉTAT	principal.platform est défini sur "LINUX" target_ip est mappée sur target.ip target_port est mappé à target.port La gravité est mappée sur security_result.severity La valeur timestamp est mappée sur metadata.timestamp metadata.vendor_name est défini sur OpenVPN metadata.product_name est défini sur OpenVPN Access Server
var/log/openvpnas.log	2022-04-29T10:51:22+0530 [stdout#info] [OVPN 4] OUT: '2022-04-29 05:21:22 198.51.100.1:16245 [mohit_AUTOLOGIN] Peer Connection Initiated with [AF_INET]192.0.2.1:16245 (via [AF_INET]198.51.100.1%ens160)'	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:(<champ_facultatif>'|")<message_texte>{message}(<champ_facultatif>'|) message est mappé avec <message_text>avec[<message_text>]<message_text>:{port}<message_text>	MISE À JOUR SUR L'ÉTAT	La valeur timestamp est mappée sur metadata.timestamp log_level est mappé à security_result.severity metadata.vendor_name est défini sur OpenVPN metadata.product_name est défini sur OpenVPN Access Server principal.platform est défini sur Linux target_ip est mappée sur target.ip target_port est mappé à target.port target_hostname est mappé avec target.hostname intermediary_ip est mappé vers intermediary.ip
var/log/openvpnas.log	2022-04-29T10:51:22+0530 [stdout#info] [OVPN 4] OUT: \"2022-04-29 05:21:22 mohit_AUTOLOGIN/198.51.100.1:16245 SENT CONTROL [mohit_AUTOLOGIN]: 'PUSH_REPLY,explicit-exit-notify,topology subnet,route-delay 5 30,dhcp-pre-release,dhcp-renew,dhcp-release,route-metric 101,ping 12,ping-restart 50,redirect-gateway def1,redirect-gateway bypass-dhcp,redirect-gateway autolocal,route-gateway 198.51.100.1,dhcp-option DNS 192.0.2.1,dhcp-option DNS 192.0.2.1,register-dns,block-ipv6,ifconfig 198.51.100.1 203.0.113.1,peer-id 0,auth-tokenSESS_ID,cipher AES-256-GCM,key-derivation tls-ekm' (status=1)\"	{timestamp}[stdout#{log_level}][OVPN <message_text>]OUT:(<champ_facultatif>'|")<message_text>{user}\/{ip}:{message}(<champ_facultatif>'|)	MISE À JOUR SUR L'ÉTAT	La valeur timestamp est mappée sur metadata.timestamp log_level est mappé à security_result.severity message est mappé avec metadata.description l'utilisateur est mappé à target.hostname IP est mappée sur target.ip port est mappé à taregt.port metadata.vendor_name est défini sur OpenVPN metadata.product_name est défini sur OpenVPN Access Server principal.platform est défini sur Linux
var/log/openvpnas.log	2022-04-29T10:51:22+0530 [stdout#info] AUTH SUCCESS {'status': 0, 'user': 'mohit', 'reason': 'AuthAutoLogin: autologin certificate auth succeeded', 'proplist': {'prop_autogenerate': 'true', 'prop_autologin': 'true', 'pvt_password_digest': '[redacted]', 'type': 'user_connect'}, 'common_name': 'mohit_AUTOLOGIN', 'serial': '3', 'serial_list': []} cli='win'/'3.git::d3f8b18b'/'OCWindows_3.3.6-2752'	{timestamp}[stdout#{log_level}]{summary}{'<message_text>':({status})?'<message_text>':({user})?'<message_text>':({reason})?<message_text>}, 'nom_commun':'{user_name}'<message_text>}cli='{cli}'	MISE À JOUR SUR L'ÉTAT	La valeur timestamp est mappée sur metadata.timestamp log_level est mappé à security_result.severity message est mappé avec security_result.description Le résumé est mappé sur security_result.summary user_name est mappé vers principal.user.user_display_name Clim est mappé sur principal.process.command_line état est mappé avec principal.user.user_authentication_status metadata.vendor_name est défini sur "OpenVPN" metadata.product_name est défini sur "OpenVPN Access Server" principal.platform est défini sur "LINUX"
/var/log/rundeck/service.log	[2022-05-04T17:03:11,166] WARN config.NavigableMap - Accéder à la clé de configuration '[filterNames]' via la notation par points est obsolète et sera supprimé dans une prochaine version. Utilisez plutôt "config.getProperty(key, targetClass)".	[{timestamp}]{severity}{summary}\-{security_description} , à l'emplacement {command_line}\({file_path}:<text_message>\)	MISE À JOUR SUR L'ÉTAT	command_line est mappée sur "target.process.command_line" file_path est mappé sur "target.process.file.full_path" La valeur timestamp est mappée sur "metadata.event_timestamp" severity est mappé avec "security_result.severity" le résumé est mappé sur "security_result.summary" security_description est mappé sur "security_result.description" metadata.product_name est défini sur "FLUENTD" metadata.vendor_name est défini sur "FLUENTD"
/var/log/auth.log	4 juillet 19:26:19 Ubuntu18 systemd-logind[982]: session 153 supprimée.	{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}]:{security_description}{network_session_id}?(de l'utilisateur {principal_user_userid}) ?	LOG_USER	timestamp est mappé avec "metadata.timestamp" principal_hostname est mappé sur target.hostname si la valeur est "USER_LOGOUT", sinon il est mappé sur principal.hostname. principal_application est mappé sur target.application si la valeur est "USER_LOGOUT", sinon il est mappé sur "principal.application". "pid" est mappé à "target.process.pid", si la valeur est "USER_LOGOUT", sinon il est mis en correspondance avec "principal.process.pid". security_description est mappé sur "security_result.description" network_session_id est mappé sur "network.session_id" principal_user_userid est mappé à principal.user.userid si la valeur est "USER_LOGOUT", sinon il est mappé à target.user.userid. "principal.platform" est défini sur "LINUX" Si la valeur security_description de l'événement est "Removed" (Session supprimée), le champ "event_type" est défini sur USER_LOGOUT. extensions.auth.type défini sur AUTHTYPE_UNSPECIFIED metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/auth.log	27 juin 11:07:17 Ubuntu18 systemd-logind[804]: nouvelle session 564 de racine de l'utilisateur	{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}]:{security_description}{network_session_id}?(de l'utilisateur {principal_user_userid}) ?	CONNEXION_USER	timestamp est mappé avec "metadata.timestamp" principal_hostname est mappé sur target.hostname si la valeur est "USER_LOGOUT", sinon il est mappé sur principal.hostname. principal_application est mappé sur target.application si la valeur est "USER_LOGOUT", sinon il est mappé sur "principal.application". "pid" est mappé à "target.process.pid", si la valeur est "USER_LOGOUT", sinon il est mis en correspondance avec "principal.process.pid". security_description est mappé sur "security_result.description" network_session_id est mappé sur "network.session_id" principal_user_userid est mappé à principal.user.userid si la valeur est "USER_LOGOUT", sinon il est mappé à target.user.userid. "principal.platform" est défini sur "LINUX" "network.application_protocol" est mappé sur "SSH" if(new_session) event_type est défini sur USER_LOGIN extensions.auth.type défini sur AUTHTYPE_UNSPECIFIED metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/auth.log	27 juin 11:07:17 Ubuntu18 sshd[9349]: Mot de passe accepté pour la racine depuis 198.51.100.1 (port 57619) ssh2	{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}])<optional_field> {security_description} pour (invalid user )?{principal_user_userid} depuis {principal_ip} port {principal_port} ssh2(:{security_result_detection_fields_ssh_kv}SHA256:{security_result_detection_fields_k}?	CONNEXION_USER	timestamp est mappé avec "metadata.timestamp" principal_hostname est mappé sur target.hostname si la valeur est "USER_LOGOUT", sinon il est mappé sur principal.hostname. principal_application est mappé sur target.application si la valeur est "USER_LOGOUT", sinon il est mappé sur "principal.application". "pid" est mappé à "target.process.pid", si la valeur est "USER_LOGOUT", sinon il est mis en correspondance avec "principal.process.pid". security_description est mappé sur "security_result.description" principal_user_userid est mappé à principal.user.userid si la valeur est "USER_LOGOUT", sinon il est mappé à target.user.userid. principal_ip est mappé sur "principal.ip". compte_port est mappé sur "principal.port". security_result_detection_fields_ssh_kv est mappé sur "security_result.detection_fields.key/value" security_result_detection_fields_kv est mappé sur "security_result.detection_fields.key/value" "principal.platform" est défini sur "LINUX" "network.application_protocol" est défini sur "SSH" metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/auth.log	28 avr. 11:51:13 Ubuntu18 sudo[24149]: root : TTY=pts/5 ; PWD=/ ; USER=root ; COMMAND=/bin/ls	{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}])<optional_field> {principal_user_userid} :( {security_description} ;)? TTY=<message_text> ; PWD={principal_process_command_line_1} ; USER={principal_user_attribute_labels_uid_kv} ; COMMAND={principal_process_command}.	MISE À JOUR SUR L'ÉTAT	La valeur timestamp est mappée sur metadata.timestamp nom_hôte_principal est mappé sur nom_hôte_principal. principal_application est mappé vers principal.application pid est mappé sur principal.process.pid principal_user_userid est mappé à target.user.userid security_description est mappé sur "security_result.description" principal_process_command_line_1 est mappé sur "principal.process.command_line". principal_process_command_line_2 est mappé sur "principal.process.command_line". principal_user_attribute_labels_uid_kv est mappé sur "principal.user.attribute.labels.key/value" "principal.platform" est défini sur "LINUX"
/var/log/auth.log	4 juillet 19:39:01 CRON Ubuntu18[17217]: pam_unix(cron:session): session ouverte à la racine par (uid=0)	{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}])<optional_field> {security_description} pour (invalid user|user)?{principal_user_userid}(by (uid={principal_user_attribute_labels_uid_kv})??)	CONNEXION_USER	La valeur timestamp est mappée sur metadata.timestamp principal_hostname est mappé sur target.hostname si la valeur est "USER_LOGOUT", sinon il est mappé sur principal.hostname. principal_application est mappé sur target.application si la valeur est "USER_LOGOUT", sinon il est mappé sur "principal.application". "pid" est mappé à "target.process.pid", si la valeur est "USER_LOGOUT", sinon il est mis en correspondance avec "principal.process.pid". security_description est mappé sur "security_result.description" principal_user_userid est mappé à principal.user.userid si la valeur est "USER_LOGOUT", sinon il est mappé à target.user.userid. principal_user_attribute_labels_uid_kv est mappé sur "principal.user.attribute.labels.key/value" "principal.platform" est défini sur "LINUX" "network.application_protocol" est défini sur "SSH" metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/auth.log	4 juillet 19:24:43 Ubuntu18 sshd[14731]: pam_unix(sshd:session): session fermée pour l'utilisateur racine	{timestamp} {principal_hostname}{principal_application}<optional_filed>[{pid}] : {security_description} pour (invalid user|user){principal_user_userid}	LOG_USER	La valeur timestamp est mappée sur metadata.timestamp principal_hostname est mappé sur target.hostname si la valeur est "USER_LOGOUT", sinon il est mappé sur principal.hostname. principal_application est mappé sur target.application si la valeur est "USER_LOGOUT", sinon il est mappé sur "principal.application". "pid" est mappé à "target.process.pid", si la valeur est "USER_LOGOUT", sinon il est mis en correspondance avec "principal.process.pid". security_description est mappé sur "security_result.description" principal_user_userid est mappé à principal.user.userid si la valeur est "USER_LOGOUT", sinon il est mappé à target.user.userid. principal_user_attribute_labels_uid_kv est mappé sur principal.user.attribute.labels.key/value "principal.platform" est défini sur "LINUX" metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/auth.log	30 juin 11:32:26 Ubuntu18 sshd[29425]: réinitialisation de la connexion en authentifiant l'utilisateur à partir de la racine 198.51.100.1 (port 52518) [preauth]	{timestamp} {principal_hostname}{principal_application}(<optional_field>[{pid}]:{security_description}(from|{principal_user_userid}}{target_ip}port{target_port}<optional_field>[preauth]|:<text_message>{security_summary}|) :	LOG_USER	La valeur timestamp est mappée sur metadata.timestamp principal_hostname est mappé sur target.hostname si la valeur est "USER_LOGOUT", sinon il est mappé sur principal.hostname. principal_application est mappé sur target.application si la valeur est "USER_LOGOUT", sinon il est mappé sur "principal.application". "pid" est mappé à "target.process.pid", si la valeur est "USER_LOGOUT", sinon il est mis en correspondance avec "principal.process.pid". security_description est mappé avec security_result.description security_summary est mappé avec security_result.summary principal_user_userid est mappé à principal.user.userid si la valeur est "USER_LOGOUT", sinon il est mappé à target.user.userid. target_ip est mappée sur target.ip target_port est mappé à target.port" principal.platform" est défini sur "LINUX" metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
var/log/samba/log.winbindd	[05/05/2022 13:51:22.212484, 0] ../source3/winbindd/winbindd_cache.c:3170(initialize_winbindd_cache)initialize_winbindd_cache: effacement du cache et recréation avec la version 2	{timestamp},{severity}(<champ_facultatif>,pid={pid},effectif({principal_user_attribute_labels_kv},{principal_group_attribute_labels_kv}),real({principal_user_userid},{principal_group_product_object_id}))?]<message_texte>:{security_description}	MISE À JOUR SUR L'ÉTAT	timestamp est mappé avec "metadata.timestamp" pid est mappé sur "principal.process.pid". principal_user_attribute_labels_kv est mappé sur "principal.user.attribute.labels". principal_group_attribute_labels_kv est mappé sur "principal.group.attribute.labels". principal_user_userid est mappé sur "principal.user.userid" principal_group_product_object_id est mappé sur "principal.group.product_object_id" security_description est mappé sur "security_result.description" metadata_description est mappée sur "metadata.description" metadata.product_name" est défini sur "FLUENTD" metadata.vendor_name" est défini sur "FLUENTD"
var/log/samba/log.winbindd	message_dgm_init: échec de la liaison: espace insuffisant sur l'appareil.	{user_id}: {desc}	MISE À JOUR SUR L'ÉTAT	metadata.product_name" est défini sur "FLUENTD" metadata.vendor_name" est défini sur "FLUENTD" user_id est mappé à principal.user.userid desc est mappé sur metadata.description
/var/log/mail.log	16 juillet 11:40:56 Ubuntu18 sendmail[9341]: 22G6AtwH009341: from=<fluentd@Ubuntu18>, size=377, class=0, nrcpts=1, metadata_descriptionid=<202203160610.22G6AtwH009OSA	{timestamp} {target_hostname} {application}[{pid}]: <message_text>:{KV}	MISE À JOUR SUR L'ÉTAT	target_hostname est mappé avec target.hostname application est mappée sur target.application pid est mappé à target.process.pid. metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/mail.log	7 juillet 13:44:01 prod postfix/pickup[22580]: AE4271627DB: uid=0 from=<root>	{timestamp} {target_hostname} {application}[{pid}]: <message_text>{KV}	E-MAIL_NON_CATÉGORISÉ	target_hostname est mappé avec target.hostname application est mappée sur target.application pid est mappé à target.process.pid. metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/mail.log	7 juillet 13:44:01 prod postfix/cleanup[23434]: AE4271627DB: message-id=<[e-mail].01>	{timestamp} {target_hostname} {application}[{pid}]: <message_text> message-id=<{resource_name}>	MISE À JOUR SUR L'ÉTAT	target_hostname est mappé avec target.hostname application est mappée sur target.application pid est mappé à target.process.pid. resource_name est mappé à target.resource.name metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/mail.log	7 juillet 13:44:01 prod postfix/qmgr[3539]: AE4271627DB: from=<[e-mail].01>, size=565, nrcpt=1 (file d'attente active)	{timestamp} {target_hostname} {application}[{pid}]: <message_text>{KV}	E-MAIL_NON_CATÉGORISÉ	target_hostname est mappé avec target.hostname application est mappée sur target.application pid est mappé à target.process.pid. metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/mail.log	7 juillet 13:44:01 prod postfix/smtp[23436]: connexion à gmail-smtp-in.l.abc.com[2607:xxxx:xxxx:xxx::xx]:25: réseau inaccessible	{timestamp} {target_hostname} {application}[{pid}]: <message_text>{KV}	MISE À JOUR SUR L'ÉTAT	target_hostname est mappé avec target.hostname application est mappée sur target.application pid est mappé à target.process.pid. metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"
/var/log/mail.log	7 juillet 13:44:02 prod postfix/local[23439]: E62521627DC: to=<[e-mail].01>, relay=local, delay=0.01, delay=0/0.01/0/0, dsn=2.0.0, status=sent (envoyé à la boîte aux lettres)	{timestamp} {target_hostname} {application}[{pid}]: <message_text>{KV}	E-MAIL_NON_CATÉGORISÉ	target_hostname est mappé avec target.hostname application est mappée sur target.application pid est mappé à target.process.pid. metadata.vendor_name est défini sur "FLUENTD" metadata.product_name est défini sur "FLUENTD"

Audit

Champs de journal d'audit vers les champs UDM

Le tableau suivant répertorie les champs de journal du type de journal d'audit et les champs UDM correspondants.

Champ du journal	Champ UDM
compte	target.user.user_display_name
additionneur	compte.ip
arch	about.labels.clé/valeur
Auid	target.user.userid
cgroup	principal.process.file.full_path
cmd	target.process.command_line
comm	application.cible
cwd	target.file.full_path
données ou y ayant accédé.	about.labels.clé/valeur
Devmajor	about.labels.clé/valeur
Devminor	about.labels.clé/valeur
Egid	target.group.product_object_id
Euid	target.user.userid
exe	target.process.file.full_path
exit	target.labels.key/value
famille	network.ip_protocol est défini sur "IP6IN4" si "ip_protocol" == 2, il est défini sur "UNKNOWN_IP_PROTOCOL"
typede fichier	target.file.mime_type
fsgid	target.group.product_object_id
Fsuid	target.user.userid
gid	target.group.product_object_id
hostname	target.hostname
ICMP	network.ip_protocol est défini sur "ICMP"
id	Si [audit_log_type] == "ADD_USER", target.user.userid est défini sur "%{id}" Si [audit_log_type] == "ADD_GROUP", target.group.product_object_id est défini sur "%{id}" else target.user.attribute.labels.key/value est défini sur id
inode	target.resource.product_object_id
clé	security_result.detection_fields.key/value
list	security_result.about.labels.key/valeur
mode	target.resource.attribute.permissions.name target.resource.attribute.permissions.type
name	target.file.full_path
nouveau-disque	target.resource.name
nouvelle maman	target.resource.attribute.labels.key/value
nouveau-vCPU	target.resource.attribute.labels.key/value
nouveau-net	pincipal.mac
nouveau_gid	target.group.product_object_id
Oauid	target.user.userid
Ocomm	target.process.command_line
opid	target.process.pid
Eoses	id_session_réseau
Ouid	target.user.userid
obj_gid	target.group.product_object_id
rôle_obj	target.user.attribute.role.name
obj_uid	target.user.userid
utilisateur_obj	target.user.user_display_name
Ogid	target.group.product_object_id
Ouid	target.user.userid
chemin d'accès	target.file.full_path
permanente	target.asset.attribute.permissions.name
pid	target.process.pid
ppid	target.parent_process.pid
proto	Si [ip_protocol] == 2, network.ip_protocol est défini sur "IP6IN4". else network.ip_protocol est défini sur "UNKNOWN_IP_PROTOCOL"
résolution	security_result.summary
résultat	security_result.summary
tristesse	security_result.detection_fields.key/value
Sauid	target.user.attribute.labels.key/value
ses	id_session_réseau
Sgid	target.group.product_object_id
Sig	security_result.detection_fields.key/value
utilisateur_jj	target.user.user_display_name
success	Si success=='yes', security_result.summary est défini sur 'system call was successfully'.else security_result.summary est défini sur 'systemcall was failed'
Suid	target.user.userid
appel système	about.labels.clé/valeur
terminal	target.labels.key/value
ATS	target.labels.key/value
uid	Si [audit_log_type] dans [SYSCALL, SERVICE_START, ADD_GROUP, ADD_USER, MAC_IPSEC_EVENT, MAC_UNLBL_STCADD, OBJ_PID, CONFIG_CHANGE, SECCOMP, USER_CHAUTHTOK, USYS_CONFIG, DEL_GROUP, DEL_USER, USER_CMD est USER_CMD, USER_CM Sinon, l'uid est défini sur target.user.userid
vm	target.resource.name

Types de journaux d'audit vers le type d'événement UDM

Le tableau suivant répertorie les types de journaux d'audit et les types d'événements UDM correspondants.

Type de journal d'audit	Type d'événement UDM	Description
ADD_GROUP	CRÉATION_GROUPE	Déclenché lorsqu'un groupe d'espaces utilisateur est ajouté.
ADD_USER	CRÉATION_UTILISATEUR	Déclenchement lorsqu'un compte utilisateur d'espace utilisateur est ajouté.
ANOM_ABEND	GENERIC_EVENT / PROCESS_TERMINATION	Déclenchement lorsqu'un processus se termine de manière anormale (avec un signal pouvant entraîner un vidage de mémoire interne, s'il est activé).
AVC	GENERIC_EVENT	Déclenché pour enregistrer une vérification des autorisations SELinux.
CONFIG_MODIFIER	USER_RESOURCE_UPDATE_CONTENT	Déclenché lorsque la configuration du système d'audit est modifiée.
CRED_ACQ	CONNEXION_USER	Déclenchement lorsqu'un utilisateur acquiert des identifiants d'espace utilisateur.
CRED_DISP	LOG_USER	Déclenchement lorsqu'un utilisateur supprime les identifiants de l'espace utilisateur.
CRED_REFR	CONNEXION_USER	Déclenchement lorsqu'un utilisateur actualise ses identifiants d'espace utilisateur.
CRYPTO_KEY_USER	RESSOURCES_USER_ACCESS	Déclenché pour enregistrer l'identifiant de clé cryptographique utilisé à des fins cryptographiques.
CRYPTO_SESSION	TERMINATION DU PROCESSUS	Déclenché pour enregistrer les paramètres définis lors d'une session TLS.
CWD	SYSTEM_AUDIT_LOG_UNCATEGORIZED	Déclenché pour enregistrer le répertoire de travail actuel.
DAEMON_ABORT	TERMINATION DU PROCESSUS	Déclenché lorsqu'un daemon est arrêté en raison d'une erreur.
DAEMON_END	TERMINATION DU PROCESSUS	Déclenché lorsqu'un daemon est arrêté.
DAEMON_RESUME	PROCÉDURE_NON_CATÉGORÉE	Déclenché lorsque le daemon audité reprend la journalisation.
DAEMON_ROTATE	PROCÉDURE_NON_CATÉGORÉE	Déclenché lorsque le daemon auditd alterne les fichiers journaux d'audit.
DAEMON_START	LANCEMENT DE PROCESSUS	Déclenché lors du démarrage du daemon audité.
DEL_GROUP	SUPPRESSION DU GROUPE	Déclenché lorsqu'un groupe d'espaces utilisateur est supprimé
En attente	SUPPRESSION_USER	Déclenché lorsqu'un utilisateur de l'espace utilisateur est supprimé
EXECVE	LANCEMENT DE PROCESSUS	Déclenché pour enregistrer les arguments de l'appel système execve(2).
MAC_CONFIG_CHANGE	GENERIC_EVENT	Déclenché lorsqu'une valeur booléenne SELinux est modifiée.
MAC_IPSEC_EVENT	SYSTEM_AUDIT_LOG_UNCATEGORIZED	Déclenché pour enregistrer des informations sur un événement IPSec, lorsqu'un événement est détecté ou lorsque la configuration IPSec change.
MAC_POLICY_LOAD	GENERIC_EVENT	Déclenché lorsqu'un fichier de règles SELinux est chargé.
MAC_STATUS	GENERIC_EVENT	Déclenché lorsque le mode SELinux (application forcée, permissive, désactivé) est modifié.
MAC_UNLBL_STCADD	SYSTEM_AUDIT_LOG_UNCATEGORIZED	Déclenché lorsqu'une étiquette statique est ajoutée lorsque vous utilisez les fonctionnalités d'étiquetage de paquets du noyau fournies par NetLabel.
NETFILTER_CFG	GENERIC_EVENT	Déclenché lorsque des modifications de la chaîne Netfilter sont détectées.
OBJ_PID	SYSTEM_AUDIT_LOG_UNCATEGORIZED	Déclenchement permettant d'enregistrer des informations sur un processus auquel un signal est envoyé.
CHEMIN	FILE_OPEN/GENERIC_EVENT	Déclenché pour enregistrer les informations de chemin d'accès du nom de fichier.
SELINUX_ERR (SELINUX_ERR)	GENERIC_EVENT	Déclenché lorsqu'une erreur SELinux interne est détectée.
SERVICE_START	SERVICE_START	Déclenché lorsqu'un service est démarré.
SERVICE_STOP (ARRÊT DE SERVICE)	SERVICE_STOP (ARRÊT DE SERVICE)	Déclenché lorsqu'un service est arrêté.
SYSCALL	GENERIC_EVENT	Déclenché pour enregistrer un appel système au noyau.
SYSTÈME	STATUS_STARTUP	Déclenché lors du démarrage du système.
SYSTEM_RUNLEVEL	STATUS_UPDATE	Déclenché lorsque le niveau d'exécution du système est modifié.
SYSTÈME_ARRÊT	STATUS_SHUTDOWN	Déclenché lorsque le système est arrêté.
ACC_USER	SETTING_MODIFICATION	Déclenché lorsqu'un compte utilisateur de l'espace utilisateur est modifié.
USER_AUTH	CONNEXION_USER	Déclenché lorsqu'une tentative d'authentification de l'espace utilisateur est détectée.
CAR	USER_UNCATEGORIZED (USER_NON_CATÉGORISÉ)	Déclenché lorsqu'un message AVC d'espace utilisateur est généré.
USER_CHAUTHTOK	USER_RESOURCE_UPDATE_CONTENT	Déclenché lorsqu'un attribut de compte utilisateur est modifié.
CMD_USER	COMMUNICATION_USER_INTERUNICATION	Déclenché lorsqu'une commande shell d'espace utilisateur est exécutée.
USER_END	LOG_USER	Déclenché lorsqu'une session d'espace utilisateur est interrompue.
USER_ERR	USER_UNCATEGORIZED (USER_NON_CATÉGORISÉ)	Déclenché lorsqu'une erreur d'état de compte utilisateur est détectée.
CONNEXION_USER	CONNEXION_USER	Déclenchement lorsqu'un utilisateur se connecte.
LOG_USER	LOG_USER	Déclenchement lorsqu'un utilisateur se déconnecte.
USER_MAC_POLICY_LOAD	RESSOURCE_LECTURE	Déclenché lorsqu'un daemon d'espace utilisateur charge une règle SELinux.
MUSER_GMT	USER_UNCATEGORIZED (USER_NON_CATÉGORISÉ)	Déclenché pour enregistrer les données de gestion de l'espace utilisateur.
USER_ROLE_CHANGE	AUTORISATIONS_UTILISATEUR	Déclenché lorsque le rôle SELinux d'un utilisateur est modifié.
USER_START	CONNEXION_USER	Déclenché lorsqu'une session d'espace utilisateur est démarrée.
CONFIG_USYS	USER_RESOURCE_UPDATE_CONTENT	Déclenché lorsqu'une modification de la configuration du système d'espace utilisateur est détectée.
VIRTUEL_CONTRÔLE	STATUS_UPDATE	Déclenchement lorsqu'une machine virtuelle est démarrée, mise en pause ou arrêtée.
ID_MACHINE_VIRTEUR	RESSOURCES_USER_ACCESS	Déclenché pour enregistrer la liaison d'un libellé à une machine virtuelle.
VIRT_RESOURCE	RESSOURCES_USER_ACCESS	Déclenché pour enregistrer l'attribution de ressources d'une machine virtuelle.

Messagerie

Champs de journal de messagerie dans les champs UDM

Le tableau suivant répertorie les champs de journal du type de journal de messagerie et les champs UDM correspondants.

Champ du journal	Champ UDM
Classe	about.labels.clé/valeur
Télécommande	nom.utilisateur.utilisateur_à_afficher
De	Adresse e-mail du réseau
Msgid	network.email.mail_id
Proto	Protocole d'application
Relais	intermediary.hostname intermediary.ip
Taille	network.received_bytes
Statistiques	security_result.summary
à une	network.email.to

Types de journaux de messagerie envoyés au type d'événement UDM

Le tableau suivant répertorie les types de journaux de messagerie et les types d'événements UDM correspondants.

Type de journal des e-mails	Type d'événement UDM
envoyer un message	MISE À JOUR SUR L'ÉTAT
pickup	E-MAIL_NON_CATÉGORISÉ
cleanup	MISE À JOUR SUR L'ÉTAT
qmgr	E-MAIL_NON_CATÉGORISÉ
smtp	MISE À JOUR SUR L'ÉTAT
local	E-MAIL_NON_CATÉGORISÉ

Étapes suivantes

• Ingestion de données vers Chronicle