收集 Cisco Firepower NGFW 記錄
剖析器版本：31.0
支援的服務：
Google SecOps
SIEM
本文說明如何使用 Bindplane 代理程式，將 Cisco Firepower NGFW 記錄擷取至 Google Security Operations。
Cisco Firepower Next-Generation Firewall 會產生網路連線、入侵事件、檔案和惡意軟體事件，以及安全情報的記錄。剖析器會使用 grok 模式擷取欄位，並對應至統合式資料模型 (UDM)。
事前準備
請確認您符合下列必要條件：
- Google SecOps 執行個體
- Windows Server 2016 以上版本，或搭載
systemd的 Linux 主機 - Bindplane 代理程式與 Cisco Firepower 裝置之間的網路連線
- 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
- Cisco Firepower 裝置的特殊權限存取權
取得 Bindplane 代理程式的 Google SecOps 憑證
如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：
- 新部署作業：使用 Chronicle API (選項 1)。
- 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。
方法 1：為 Chronicle API 建立服務帳戶 (建議)
- 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
- 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
- 按一下「建立服務帳戶」。
- 提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如
bindplane-ingest)。 - 服務帳戶說明：輸入說明 (例如
Bindplane agent log ingestion)。
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如
- 點按「Create and continue」(建立並繼續)。
- 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
- 依序點選「繼續」和「完成」。
- 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
- 依序點選「新增金鑰」>「建立新的金鑰」。
- 選取「JSON」，然後點選「建立」。金鑰檔案會下載到電腦。
- 將金鑰檔案儲存為 Bindplane 收集器目錄中的
ingestion-auth.json(Linux 為/opt/observiq-otel-collector/ingestion-auth.json，Windows 為C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新config.yaml中的creds_file_path，使其與儲存檔案的路徑相符。 - 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。設定匯出工具時會用到。
方法 2：下載擷取驗證檔案 (舊版)
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「收集代理程式」。
- 下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。
取得 Google SecOps 客戶 ID
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。
安裝 Bindplane 代理程式
請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。
Windows 安裝
- 以管理員身分開啟命令提示字元或 PowerShell。
執行下列指令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安裝完成。
執行下列指令，確認安裝成功：
sc query observiq-otel-collector服務應顯示為「RUNNING」。
安裝 Linux
- 開啟具有 root 或 sudo 權限的終端機。
執行下列指令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安裝完成。
執行下列指令，確認安裝成功：
sudo systemctl status observiq-otel-collector服務應顯示為「active (running)」。
其他安裝資源
如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。
設定 Bindplane 代理程式，擷取系統記錄檔並傳送至 Google SecOps
找出設定檔
Linux：
sudo nano /opt/observiq-otel-collector/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
編輯設定檔
將
config.yaml的全部內容替換為下列設定：receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/cisco_firepower_firewall: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: chronicle.googleapis.com log_type: CISCO_FIREPOWER_FIREWALL raw_log_field: body service: pipelines: logs/cisco_firepower_firewall_to_chronicle: receivers: - udplog exporters: - chronicle/cisco_firepower_firewall
設定參數
替換下列預留位置：
接收器設定：
listen_address：要監聽的 IP 位址和通訊埠：0.0.0.0在所有介面接聽電話 (建議)- 通訊埠
514是標準 syslog 通訊埠 (在 Linux 上需要根目錄；非根目錄請使用1514)
Exporter 設定：
creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：- Linux：
/opt/observiq-otel-collector/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：從 Google SecOps 控制台複製的客戶 IDlocation：將<LOCATION>替換為 Google SecOps 執行個體的區域 (例如us、europe或asia-southeast1)。匯出工具會在這個值前面加上chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。project：依序前往「IAM 與管理」>「設定」，然後將<PROJECT_NUMBER>替換為專案編號。endpoint：請將此值設為chronicle.googleapis.com。
舊版擷取 API 匯出工具
如果您使用方式 2 的擷取驗證檔案，請將
exporters區塊替換成下列內容。將creds_file_path設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將malachiteingestion-pa.googleapis.com替換為區域端點 (例如europe-malachiteingestion-pa.googleapis.com)。exporters: chronicle/cisco_firepower_firewall: compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: CISCO_FIREPOWER_FIREWALL raw_log_field: body
儲存設定檔
- 編輯完成後，請儲存檔案：
- Linux：依序按下
Ctrl+O、Enter和Ctrl+X - Windows：依序點選「檔案」>「儲存」
- Linux：依序按下
重新啟動 Bindplane 代理程式，套用變更
如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
sudo systemctl restart observiq-otel-collector確認服務正在執行：
sudo systemctl status observiq-otel-collector檢查記錄是否有錯誤：
sudo journalctl -u observiq-otel-collector -f
如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一選項：
以管理員身分開啟命令提示字元或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector服務控制台：
- 按下
Win+R鍵，輸入services.msc，然後按下 Enter 鍵。 - 找出「observIQ OpenTelemetry Collector」。
- 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務正在執行：
sc query observiq-otel-collector查看記錄檔是否有錯誤：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
- 按下
在 Cisco Firepower 裝置上設定系統記錄
- 登入 Firepower Device Manager 網頁版使用者介面。
- 依序前往「System Settings」 > 「Logging Settings」。
- 將「資料記錄」切換鈕設為「啟用」。
- 按一下「Syslog 伺服器」下方的「+」圖示。
- 按一下「Create new Syslog Server」(建立新的 Syslog 伺服器) (或者，您也可以依序前往「Objects」(物件)>「Syslog Servers」(Syslog 伺服器) 建立 Syslog 伺服器)。
- 請提供下列設定詳細資料：
- IP 位址：輸入 Bindplane 代理程式 IP 位址。
- 「Protocol Type」(通訊協定類型)：選取「UDP」。
- 通訊埠編號：輸入 Bindplane 代理程式通訊埠編號。
- 選取「資料介面」或「管理介面」。
- 按一下 [確定]。
- 從清單中選取新建立的「Syslog server」，然後按一下「OK」。
- 按一下「Severity level for filtering all events」，然後從清單中選取「Informational」記錄層級。
- 按一下 [儲存]。
- 依序點選「部署新設定」圖示 >「立即部署」。
- 按一下畫面頂端的「政策」。
- 將游標懸停在 ACP 規則側邊，然後按一下「編輯」。
- 前往「Logging」分頁。
- 選取「連線結束時」。
- 開啟「Select a Syslog Alert Configuration」清單。
- 選取 Bindplane Syslog 伺服器。
- 按一下 [確定]。
- 依序點選「Deploy New Settings」圖示 >「Deploy Now」。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
target_user |
event.idm.read_only_udm.target.userid |
從變更記錄對應 |
device_ids |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
src_ip |
event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
tar_ip |
event.idm.read_only_udm.target.ip |
從變更記錄對應 |
tar_ip |
event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
src_nat_ip |
event.idm.read_only_udm.principal.nat_ip |
從變更記錄對應 |
src_nat_port |
event.idm.read_only_udm.principal.nat_port |
從變更記錄對應 |
dst_nat_ip |
event.idm.read_only_udm.target.nat_ip |
從變更記錄對應 |
dst_nat_port |
event.idm.read_only_udm.target.nat_port |
從變更記錄對應 |
interface |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
dest_interface |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
session_id |
event.idm.read_only_udm.network.session_id |
從變更記錄對應 |
protocol |
event.idm.read_only_udm.network.ip_protocol |
從變更記錄對應 |
int_IP1 |
event.idm.read_only_udm.target.ip |
從變更記錄對應 |
int_IP2 |
event.idm.read_only_udm.principal.ip |
從變更記錄對應 |
int_IP3 |
event.idm.read_only_udm.target.nat_ip |
從變更記錄對應 |
crypto_map |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
int_IP1 |
event.idm.read_only_udm.target.nat_ip |
從變更記錄對應 |
int_IP3 |
event.idm.read_only_udm.target.ip |
從變更記錄對應 |
hostname |
event.idm.read_only_udm.principal.hostname |
從變更記錄對應 |
hostname |
event.idm.read_only_udm.principal.asset.hostname |
從變更記錄對應 |
appname |
event.idm.read_only_udm.principal.application |
從變更記錄對應 |
facility |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
proc_id |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
message |
event.idm.read_only_udm.security_result.description |
從變更記錄對應 |
priority |
event.idm.read_only_udm.security_result.priority_details |
從變更記錄對應 |
process_name |
event.idm.read_only_udm.principal.process.file.names |
從變更記錄對應 |
process_id |
event.idm.read_only_udm.principal.process.pid |
從變更記錄對應 |
AccessControlRuleReason |
event.idm.read_only_udm.security_result.description |
從變更記錄對應 |
Client |
event.idm.read_only_udm.network.http.user_agent |
從變更記錄對應 |
IPSCount |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
ConnectionDuration |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
ReferencedHost |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
UserAgent |
event.idm.read_only_udm.network.http.user_agent |
從變更記錄對應 |
UserAgent |
event.idm.read_only_udm.network.http.parsed_user_agent |
從變更記錄對應 |
event_id |
additional.fields |
從變更記錄對應 |
path |
principal.process.file.full_path |
從變更記錄對應 |
event_name |
metadata.product_event_type |
從變更記錄對應 |
description |
metadata.description |
從變更記錄對應 |
host |
principal.hostname |
從變更記錄對應 |
srcuser |
principal.user.userid |
從變更記錄對應 |
src_ip |
principal.ip |
從變更記錄對應 |
src_port |
principal.port |
從變更記錄對應 |
username2 |
target.user.userid |
從變更記錄對應 |
pwd |
target.file.full_path |
從變更記錄對應 |
command |
target.process.command_line |
從變更記錄對應 |
username |
principal.user.userid |
從變更記錄對應 |
action |
metadata.ingestion_labels |
從變更記錄對應 |
bytes_transferred |
network.sent_bytes |
從變更記錄對應 |
HTTP_Hostname |
target.resource.attribute.labels |
從變更記錄對應 |
HTTP_URI |
target.resource.attribute.labels |
從變更記錄對應 |
InlineResult |
security_result.action_details |
從變更記錄對應 |
user_id_field |
principal.user.userid |
從變更記錄對應 |
http_method |
network.http.method |
從變更記錄對應 |
HTTPReferer |
network.http.referral_url |
從變更記錄對應 |
HTTPResponse |
network.http.response_code |
從變更記錄對應 |
event_description |
metadata.description |
從變更記錄對應 |
event_summary |
security_result.summary |
從變更記錄對應 |
userId |
principal.user.userid |
從變更記錄對應 |
sourceIpAddress |
principal.ip |
從變更記錄對應 |
sourcePortOrIcmpType |
principal.port |
從變更記錄對應 |
@computed.sensor |
principal.hostname |
從變更記錄對應 |
@computed.user |
principal.user.user_display_name |
從變更記錄對應 |
@computed.clientApplication |
principal.application |
從變更記錄對應 |
@computed.ingressInterface |
principal.asset.attribute.labels |
從變更記錄對應 |
@computed.sourceIpCountry |
principal.location.country_or_region |
從變更記錄對應 |
destinationIpAddress |
target.ip |
從變更記錄對應 |
destinationPortOrIcmpType |
target.port |
從變更記錄對應 |
@computed.destinationIpCountry |
target.location.country_or_region |
從變更記錄對應 |
ipProtocolId |
network.ip_protocol |
從變更記錄對應 |
httpResponse |
network.http.response_code |
從變更記錄對應 |
@computed.applicationProtocol |
network.application_protocol |
從變更記錄對應 |
ruleId |
security_result.rule_id |
從變更記錄對應 |
priorityId |
security_result.priority_details |
從變更記錄對應 |
@computed.priority |
security_result.priority |
從變更記錄對應 |
@computed.firewallPolicy |
security_result.rule_name |
從變更記錄對應 |
@computed.message |
security_result.threat_name |
從變更記錄對應 |
iocNumber |
security_result.detection_fields |
從變更記錄對應 |
recordLength |
security_result.detection_fields |
從變更記錄對應 |
@computed.recordTypeDescription |
metadata.description |
從變更記錄對應 |
@computed.recordTypeCategory |
metadata.product_event_type |
從變更記錄對應 |
user_name |
principal.user.email_addresses |
從變更記錄對應 |
src_interface_name","dst_interface_name |
metadata.ingestion_labels |
從變更記錄對應 |
category |
security_result.threat_name |
從變更記錄對應 |
Classification |
security_result.threat_name |
從變更記錄對應 |
DeviceUUID |
principal.resource.id |
從變更記錄對應 |
| 記錄欄位 | UDM 對應 | 備註 |
|---|---|---|
act |
security_result.action_details |
活動 ID 313001 和 746014。 |
Addr |
principal.ip principal.asset.ip |
事件 ID 734001。 |
address |
principal.ip principal.asset.ip |
事件 ID 746014。 |
action |
metadata.ingestion_labels |
事件 ID：313001、746014。 |
ap |
metadata.ingestion_labels |
|
api |
metadata.ingestion_labels |
|
Assigned Ip |
principal.ip principal.asset.ip |
事件 ID 109201、109210、109207。 |
assigned_ip |
principal.ip principal.asset.ip |
事件 ID 109201、109210、109207。 |
bytes |
network.received_bytes |
|
centry_addr |
metadata.ingestion_labels |
|
Client |
network.http.parsed_user_agent |
|
client_ip |
principal.ip principal.asset.ip |
|
COMMAND |
principal.process.command_line |
useradd 記錄類型，事件 ID 為 199017。 |
command_line |
principal.process.command_line |
|
connection_type |
metadata.ingestion_labels |
事件 ID：734001。 |
ConnectionID |
network.session_id |
|
ConnectType |
metadata.ingestion_labels |
|
cribl_pipe |
additional.fields |
|
DE |
metadata.ingestion_labels |
|
desc |
metadata.description |
事件 ID 109201、109210、109207。 |
desc1 |
metadata.description |
|
desc_data |
metadata.description |
|
description |
metadata.description |
|
dest_addr |
target.ip target.asset.ip |
事件 ID：602101。 |
device_uuid |
metadata.product_log_id |
從 JSON 記錄擷取，指出產品 ID 詳細資料。 |
DeviceUUID |
principal.resource.product_object_id |
從 syslog 擷取，其中包含資源 ID。 |
direction |
network.direction |
事件 ID 302020。 |
DNSResponseType |
network.dns.response_code |
|
DNSSICategory |
security_result.category_details |
|
dpt |
target.port |
|
dst management IP |
target.ip target.asset.ip |
事件 ID 418001。 |
dst management Port |
target.port |
事件 ID 418001。 |
DstIP |
target.ip |
事件 ID：713906。 |
dst_ip_range |
target.network.ip_subnet_range |
事件 ID 為 418001。750001、750003、751002、750014。 |
DstPort |
target.port |
事件 ID：713906。 |
duration |
network.session_duration.seconds |
幾秒內即可存取。 |
euid |
metadata.ingestion_labels |
|
event_name |
metadata.product_event_type |
|
eventId |
metadata.ingestion_labelsmetadata.product_event_type |
|
exe |
principal.process.command_line |
|
exitcode |
metadata.ingestion_labels |
|
faddr |
target.ip (外送)principal.ip (內送) |
事件 ID：302020。 |
fdqn |
principal.hostname |
事件 ID 746014。 |
firewall |
principal.ipprincipal.asset.ip |
|
flag |
metadata.ingestion_labels |
事件 ID 500003。 |
fport |
target.port (外送)principal.port (內送) |
事件 ID：302020。 |
from |
network.email.from |
適用於 useradd 記錄類型，也就是事件 ID 199017。 |
fromIP |
principal.ipprincipal.asset.ip |
事件 ID：500003。 |
fromPort |
principal.port |
事件 ID 500003。 |
gaddr |
target.nat_port (外送)principal.nat_port (內送) |
事件 ID：302020。 |
GID |
target.group.product_object_id |
適用於 useradd 記錄類型，也就是事件 ID 199017。 |
group_id |
target.group.group_display_name |
|
hdrlen |
metadata.ingestion_labels |
事件 ID 500003。 |
home |
metadata.ingestion_labels |
適用於 useradd 記錄類型，也就是事件 ID 199017。 |
host |
principal.ip/hostnameprincipal.hostnameprincipal.asset.hostname |
|
host_name |
principal.hostname |
|
HTTP_Hostname |
target.resource.attribute.labels |
|
HTTP_URI |
target.resource.attribute.labels |
|
icmp_code |
metadata.ingestion_labels |
事件 ID：313001。 |
icmp_type |
metadata.ingestion_labels |
事件 ID 313001。 |
interface |
metadata.ingestion_labels |
事件 ID：313004。 |
interface_name |
metadata.ingestion_labels |
活動 ID 313001 和 500003。 |
intermediary_host |
intermed.hostnameintermed.asset.hostname |
|
intermediary_ip |
intermediary.ip |
事件 ID 713906。 |
ipp |
principal.ip |
|
IPReputationSICategory |
security_result.category_details |
|
kernel_value |
additional.fields |
|
laddr |
principal.ip (外送)target.ip (內送) |
事件 ID 302020，並根據方向 (傳入或傳出) 對應。 |
laddr |
principal.ipprincipal.asset.ip |
事件 ID 313004。 |
Local |
principal.ipprincipal.asset.ip |
適用於事件 ID 750001、750003、751002、750014。 |
Local_port |
principal.port |
適用於事件 ID 750001、750003、751002、750014。 |
mailsize |
network.sent_bytes |
|
msgid |
metadata.ingestion_labels |
|
mtu_size |
metadata.ingestion_labels |
事件 ID：602101。 |
name |
target.user.user_display_name |
useradd 記錄類型，事件 ID 為 199017。 |
NETWORK_SUSPICIOUS |
SecCategory (security_result.category) |
事件 ID：430001。 |
os |
principal.platform_version |
|
osuser |
principal.user.user_display_name |
|
packet_size |
metadata.ingestion_labels |
事件 ID：602101。 |
path |
principal.process.file.full_path |
|
pid |
principal.process.pid |
|
pktlen |
metadata.ingestion_labels |
事件 ID：500003。 |
Policy |
security_result.rule_labels |
|
prin_ip |
principal.ipprincipal.asset.ip |
從「desc_data」擷取 (使用以下邏輯："desc_data" => "(?P<desc>.* %{IP:prin_ip}.*)")。 |
prin_user |
principal.user.userid |
|
product |
security_result.summary |
事件 ID：430002、430003。 |
prot |
network.ip_protocol |
事件 ID：602101。 |
Protocol |
network.ip_protocol |
事件 ID 302020、313001、313004、418001 |
protocol |
network.app_protocol |
事件 ID：713906。 |
protocol |
network.ip_protocolnetwork.application_protocol |
記錄欄位值為應用程式或 IP 通訊協定時。 |
PWD |
principal.process.file.full_path |
適用於 useradd 記錄類型，也就是事件 ID 199017。 |
reason |
security_result.detection_fields |
|
recipients |
network.email.to |
|
Remote |
target.iptarget.asset.ip |
適用於事件 ID 750001、750003、751002、750014。 |
Remote_port |
target.port |
適用於事件 ID 750001、750003、751002、750014。 |
Revision |
security_result.detection_fields |
|
sec_desc |
security_result.description |
|
SecIntMatchingIP |
metadata.ingestion_labels |
|
SecRuleName |
security_result.rule_name |
事件 ID 734001。 |
seq_num |
security_result.detection_fields |
|
Session |
network.session_id |
事件 ID 109201、109210、109207。 |
session_id |
network.session_id |
|
severity |
security_result.summary |
活動 ID 430002 和 430003。 |
shell |
metadata.ingestion_labels |
useradd 記錄類型，事件 ID 為 199017。 |
Sinkhole |
metadata.ingestion_labels |
|
smtpmsg |
network.smtp.server_response |
|
smtpstatus |
network.http.response_code |
|
sourceIpAddress |
principal.ip |
事件 ID：713906。 |
source_ip |
principal.ipprincipal.asset.ip |
|
spt |
principal.port |
|
src management IP |
principal.ipprincipal.asset.ip |
事件 ID 418001。 |
src management Port |
principal.port |
事件 ID 418001。 |
src_addr |
principal.ipprincipal.asset.ip |
事件 ID：602101。 |
src_app |
principal.application |
|
src_fwuser |
principal.hostname |
src_fwuser 採用 host 格式時。 |
src_fwuser |
principal.administrative_domainprincipal.hostname |
src_fwuser 採用 domain 或 host 格式時。 |
src_host |
principal.hostnameprincipal.asset.hostname |
|
src_interface_name |
metadata.ingestion_labels |
|
SrcIP |
principal.ip |
事件 ID 713906。 |
src_ip |
principal.ipprincipal.asset.ip |
|
src_ip_range |
principal.network.ip_subnet_range |
事件 ID：750001、750003、751002、750014。 |
src_port |
principal.port |
|
SrcPort |
principal.port |
事件 ID 713906。 |
srcuser |
principal.user.useridprincipal.user.user_display_name metadata.event_type |
metadata.event_type 的值為 USER_UNCATEGORIZED。 |
sshd |
principal.application |
|
syslog_msg_id |
事件 ID 716001。 |
|
syslog_msg_text |
security_result.description |
|
tag |
security_result.detection_fields |
|
tar_ip |
target.ip target.asset.ip |
|
tar_port |
target.port |
|
TCPFlags |
metadata.ingestion_labels |
|
thread |
metadata.ingestion_labels |
|
timezoneadjustment |
metadata.ingestion_labels |
|
tls |
network.smtp.is_tls |
|
to |
target.ip target.asset.ip |
事件 ID 313004。 |
toIP |
target.ip target.asset.ip |
事件 ID：500003。 |
TRUE |
is_significant |
事件 ID：430001。 |
toPort |
target.port |
事件 ID：500003。 |
ts |
metadate.event_timestamp |
|
ts_year |
metadate.event_timestamp |
事件 ID：430001。 |
tty |
metadata.ingestion_labels |
|
TTY |
metadata.ingestion_labels |
適用於 useradd 記錄類型，也就是事件 ID 199017。 |
uid |
metadata.ingestion_labels |
|
UID |
target.user.userid |
useradd 記錄類型，事件 ID 為 199017。 |
URLSICategory |
security_result.category_details |
|
USER |
target.user.userid |
適用於 useradd 記錄類型，也就是事件 ID 199017。 |
USER |
principal.user.userid |
適用於 useradd 以外的所有記錄類型。 |
User |
target.user.userid |
事件 ID：109201、109210、109207、734001。 |
user |
principal.user.userid |
|
user_name |
principal.user.email_addresses |
|
UserAgent |
network.http.user_agentnetwork.http.parsed_user_agent |
|
Username |
principal.user.userid |
適用於事件 ID 750001、750003、751002、750014。 |
username |
target.user.userid |
|
username_Id |
target.user.userid |
|
version |
metadata.ingestion_labels |
UDM 對應差異參考資料
Google SecOps 已於 2025 年 11 月 6 日發布新版 Cisco Firepower NGFW 剖析器，其中包含 Cisco Firepower NGFW 記錄欄位對應至 UDM 欄位的重大變更，以及事件類型對應的變更。
記錄欄位對應差異
下表列出 Cisco Firepower NGFW 記錄對應至 UDM 欄位的差異，分別為 2025 年 11 月 6 日前和之後 (分別列於「舊對應」和「目前對應」欄)。
| 記錄欄位 | 舊對應 | 目前的對應 |
|---|---|---|
act |
security_result.description |
security_result.action_details |
action |
product_event_type |
metadata.ingestion_labels |
DeviceUUID |
principal.resource.id |
principal.resource.product_object_id |
dpt |
security_result.detection_fields |
target.port |
flag |
about.labels |
metadata.ingestion_labels |
pid |
principal.port |
principal.process.pid |
Revision |
security_result.about.labels |
security_result.detection_fields |
spt |
security_result.detection_fields |
principal.port |
username |
principal.user.userid |
target.user.userid |
事件類型對應差異
先前分類為一般事件的多個事件，現在會正確分類為有意義的事件類型。
下表列出 2025 年 11 月 6 日前後，Cisco Firepower NGFW 事件類型的處理方式差異 (分別列於「舊 event_type」和「目前 event-type」欄)。
| 記錄中的事件 ID | 舊 event_type | 目前的 event_type |
|---|---|---|
113003 |
GENERIC_EVENT |
USER_UNCATEGORIZED |
113009 |
GENERIC_EVENT |
STATUS_UPDATE |
113010 |
GENERIC_EVENT |
USER_LOGIN |
113039 |
GENERIC_EVENT |
USER_LOGIN |
302020 |
STATUS_UPDATE |
NETWORK_CONNECTION |
313001 |
GENERIC_EVENT |
STATUS_UPDATE |
313004 |
GENERIC_EVENT |
NETWORK_CONNECTION |
430002 |
NETWORK_CONNECTION |
NETWORK_DNS |
430003 |
NETWORK_CONNECTION |
NETWORK_DNS |
500003 |
GENERIC_EVENT |
NETWORK_CONNECTION |
602101 |
STATUS_UPDATE |
NETWORK_CONNECTION |
713906 |
STATUS_UPDATE |
NETWORK_CONNECTION |
722051 |
GENERIC_EVENT |
STATUS_UPDATE |
750003 |
STATUS_UPDATE |
NETWORK_CONNECTION |
msmtp |
STATUS_UPDATE |
EMAIL_TRANSACTION |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。