收集 Cisco Secure Firewall Management Center 日志

解析器版本：7.0

支持：

本文档介绍了如何使用 Bindplane 代理将 Cisco Secure Firewall Management Center（以前称为 FireSIGHT/Firepower Management Center）日志注入到 Google Security Operations。

Cisco Secure Firewall Management Center (FMC) 是一个集中式管理控制台，可为 Cisco Secure Firewall Threat Defense 设备提供全面的政策管理、事件分析和报告功能。FMC 可以通过 syslog 将连接事件、安全情报事件、入侵事件、文件事件和恶意软件事件发送到外部 SIEM 系统。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • Bindplane 代理与 Cisco Secure Firewall Management Center 之间的网络连接
  • 如果在代理后面运行，请确保按照 Bindplane 代理要求打开防火墙端口
  • 对 Cisco Secure Firewall 管理中心网页界面的特权访问权限
  • FMC 中的管理员或安全分析师用户角色

获取 Bindplane 代理的 Google SecOps 凭据

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

  • 新部署：使用 Chronicle API（选项 1）。
  • 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。
  1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
  2. 前往 IAM 和管理 > 服务账号。
  3. 点击创建服务账号。
  4. 提供以下配置详细信息：
    • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
    • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
  5. 点击创建并继续。
  6. 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
  7. 点击继续，然后点击完成。
  8. 点击您创建的服务账号，然后前往密钥标签页。
  9. 依次点击添加密钥> 创建新密钥。
  10. 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
  11. 将密钥文件另存为 Bindplane 收集器目录（Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以匹配您保存该文件的路径。
  12. 前往 IAM 和管理 > 设置，然后复制项目编号。您需要此信息才能配置导出器。

方法 2：下载数据注入身份验证文件（旧版）

  1. 登录 Google SecOps 控制台。
  2. 前往 SIEM 设置> 收集代理。
  3. 下载数据注入身份验证文件。
  4. 将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。

  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为 RUNNING。

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

    该服务应显示为 active (running)。

其他安装资源

如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/cisco_fmc:
        protocol: https
        # Region of your instance, for example us, europe, asia-southeast1
        location: <LOCATION>
        # Project number of the Google Cloud project linked to the instance
        project: '<PROJECT_NUMBER>'
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: chronicle.googleapis.com
        log_type: CISCO_FIRESIGHT
        raw_log_field: body
        ingestion_labels:
            env: production
            source: fmc

service:
    pipelines:
        logs/fmc_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/cisco_fmc

配置参数

替换以下占位符：

  • 接收器配置：

    • listen_address：设置为 0.0.0.0:514，以在 UDP 端口 514 上监听所有接口。如果端口 514 在 Linux 上需要 root 权限，请改用端口 1514，并将 FMC 配置为向该端口发送数据。

  • 导出器配置：

    • creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：
      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • YOUR_CUSTOMER_ID：替换为在上一部分中复制的客户 ID
    • location：将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会在此值前面加上 chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。
    • project：将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
    • endpoint：保持设置为 chronicle.googleapis.com。
    • log_type：设置为 CISCO_FIRESIGHT（必须完全匹配）
    • ingestion_labels：用于过滤和组织的可选标签

旧版提取 API

  • 如果您使用选项 2 中的数据注入身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

    exporters:
    chronicle/cisco_fmc:
        compression: gzip
        creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
        customer_id: 'YOUR_CUSTOMER_ID'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CISCO_FIRESIGHT
        raw_log_field: body
        ingestion_labels:
            env: production
            source: fmc

保存配置文件

  • 修改后，保存文件：
    • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

    1. 验证服务是否正在运行：

      sudo systemctl status observiq-otel-collector

    2. 检查日志中的错误：

      sudo journalctl -u observiq-otel-collector -f

  • 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

    • 以管理员身份运行命令提示符或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • 服务控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重启。

      4. 验证服务是否正在运行：

        sc query observiq-otel-collector

      5. 检查日志中的错误：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

配置 Cisco Secure Firewall Management Center syslog 转发

本部分介绍如何配置 FMC，以将安全防火墙威胁防御设备的安全事件 Syslog 消息（连接、安全情报、入侵、文件和恶意软件事件）从安全防火墙威胁防御设备发送到 Bindplane 代理。

创建 syslog 提醒响应

  1. 登录 Cisco Secure Firewall 管理中心网页界面。
  2. 依次前往系统> 集成 > Syslog。
  3. 点击创建 Syslog 提醒。
  4. 提供以下配置详细信息：
    • 名称：输入一个描述性名称（例如 Chronicle-Bindplane）。
    • 主机：输入 Bindplane 代理主机（例如 192.168.1.100）的 IP 地址。
    • 端口：输入 514（如果您已将 Bindplane 配置为监听非特权端口，则输入 1514）。
    • 设备：从下拉菜单中选择一个设备（例如 SYSLOG）。
    • 严重程度：从下拉菜单中选择严重程度（例如 INFO）。

  5. 点击保存。

为 Secure Firewall Threat Defense 设备配置 syslog 设置

  1. 在 Cisco Secure Firewall Management Center 网页界面中，依次前往设备 > 平台设置。
  2. 修改与安全防火墙威胁防御设备关联的平台设置政策，或创建新政策。
  3. 在左侧导航窗格中，点击 Syslog。
  4. 点击 Syslog Servers（Syslog 服务器），然后点击 Add（添加）以配置新的 Syslog 服务器。
  5. 提供以下配置详细信息：
    • IP 地址：输入 Bindplane 代理主机的 IP 地址（例如 192.168.1.100）。
    • 协议：选择 UDP。
    • 端口：输入 514（如果您已将 Bindplane 配置为监听非特权端口，则输入 1514）。
    • 接口：选择管理界面或可访问 Bindplane 代理的界面。
  6. 点击 OK（确定）以保存 syslog 服务器配置。
  7. 点击 Syslog Settings（Syslog 设置），并配置以下设置：
    • 勾选在系统日志消息中启用时间戳。
    • 时间戳格式：选择 ISO 8601（推荐用于 Google SecOps）。
    • 勾选启用 Syslog 设备 ID，并视需要输入自定义设备标识符。
  8. 点击日志记录设置。
  9. 选择是否以 EMBLEM 格式发送系统日志。对于 Google SecOps 提取，支持这两种格式。
  10. 点击保存以保存平台设置政策。

配置访问权限控制政策日志记录设置

  1. 在 Cisco Secure Firewall Management Center 网页界面中，前往政策 > 访问权限控制。
  2. 修改适用的访问权限控制政策。
  3. 点击日志记录标签页。
  4. 选择使用在设备上部署的威胁防御平台设置政策中配置的 syslog 设置。
  5. （可选）选择 Syslog 严重级别（例如信息或提醒）。
  6. 如果您要发送文件和恶意软件事件，请选中 Send Syslog messages for File and Malware events（发送文件和恶意软件事件的 Syslog 消息）。
  7. 点击保存。

为安全智能事件启用日志记录

  1. 在同一访问权限控制政策中，点击 Security Intelligence（安全情报）标签页。
  2. 在以下每个位置，点击日志记录并启用日志记录：
    • 在 DNS 政策旁边：点击日志记录，启用在连接开始时记录日志和在连接结束时记录日志，然后启用 Syslog 服务器。
    • 在网络的屏蔽列表框中：点击日志记录，启用在连接开始时记录和在连接结束时记录，并启用 Syslog 服务器。
    • 在网址的屏蔽名单框中：点击日志记录，启用在连接开始时记录日志和在连接结束时记录日志，然后启用 Syslog 服务器。
  3. 点击保存。

为访问权限控制规则启用 syslog 日志记录

  1. 在同一访问权限控制政策中，点击规则标签页。
  2. 点击要修改的规则。
  3. 点击规则中的日志记录标签页。
  4. 选择是记录连接的开始、结束还是同时记录两者：
    • 勾选在连接开始时记录（会生成大量日志）。
    • 选中在连接结束时记录（建议用于大多数用例）。
  5. 如果您要记录文件事件，请选中日志文件。
  6. 勾选 Syslog 服务器。
  7. 验证该规则是否在访问权限控制日志记录中使用默认 syslog 配置。不配置替换。
  8. 点击添加以保存此规则。
  9. 针对您要记录的政策中的每条规则，重复第 2-8 步。

配置入侵政策 syslog 设置

  1. 依次前往 Policies>Intrusion。
  2. 修改与访问权限控制政策关联的入侵政策。
  3. 依次点击高级设置 > Syslog 提醒。
  4. 将 Syslog Alerting（Syslog 提醒）设置为 Enabled（已启用）。
  5. 点击 Syslog 提醒旁边的修改。
  6. 配置以下设置：
    • Logging Host（日志记录主机）：将此字段留空，以使用在 Threat Defense Platform Settings（威胁防御平台设置）中配置的 syslog 设置。如果您在此处指定了日志记录主机，还必须配置 Facility 和 Severity。
    • 设施：仅在您指定日志记录主机时适用。选择一个设施（例如 AUTH 或 LOCAL0）。
    • 严重程度：仅在您指定日志记录主机时适用。选择严重级别（例如信息或提醒）。
  7. 点击返回。
  8. 点击左侧导航窗格中的政策信息。
  9. 点击 Commit Changes（提交更改）。

部署配置更改

  1. 配置完所有 syslog 设置后，将更改部署到受管理设备。
  2. 在 Cisco Secure Firewall Management Center 网页界面中，点击右上角的部署。
  3. 选择要将配置部署到的设备。

  4. 点击部署以应用更改。

验证 Syslog 转发

  1. 在 Secure Firewall Threat Defense 设备上生成测试流量或安全性事件。

  2. 检查 Bindplane 代理日志，验证是否正在接收 syslog 消息：

    • Linux：

      sudo journalctl -u observiq-otel-collector -f

    • Windows：

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  3. 登录 Google SecOps 控制台，并验证事件是否显示在事件查看器中。

支持的事件类型

Cisco Secure Firewall Management Center 可以通过 syslog 将以下事件类型发送到 Google SecOps：

事件类型 说明
连接事件 受监控主机与所有其他主机之间的网络连接数据
安全智能事件 与安全情报屏蔽清单（IP、网址、DNS）相关的事件
入侵事件 受管设备生成的入侵检测和防御事件
文件事件 文件分析事件
恶意软件事件 恶意软件检测事件

Syslog 消息格式

Cisco Secure Firewall Management Center 会按以下格式发送 syslog 消息：

  • 连接事件示例：

    <134>1 2024-01-15T10:15:45.123Z fmc-hostname %FTD-6-430003: EventPriority: Low, DeviceUUID: abc123, InstanceID: 1, FirstPacketSecond: 1705318545, ConnectionID: 12345, AccessControlRuleAction: Allow, SrcIP: 10.0.0.5, DstIP: 8.8.8.8, SrcPort: 54321, DstPort: 53, Protocol: udp, IngressInterface: inside, EgressInterface: outside, IngressZone: inside-zone, EgressZone: outside-zone, ACPolicy: Default-Policy, AccessControlRuleName: Allow-DNS, User: user@example.com, ApplicationProtocol: DNS, InitiatorBytes: 64, ResponderBytes: 128

  • 入侵事件示例：

    <134>1 2024-01-15T10:16:30.456Z fmc-hostname %FTD-4-430001: EventPriority: High, DeviceUUID: abc123, InstanceID: 1, SrcIP: 192.168.1.100, DstIP: 10.0.0.50, SrcPort: 12345, DstPort: 80, Protocol: tcp, IngressInterface: outside, EgressInterface: inside, IngressZone: outside-zone, EgressZone: inside-zone, IntrusionPolicy: Security-Over-Connectivity, SignatureID: 1:2024123:1, SignatureGeneratorID: 1, Classification: web-application-attack, Priority: 1, Message: SQL injection attempt detected

syslog 消息包含以英文逗号分隔的键值对，因此适合由 Google SecOps 进行解析。

限制

  • 事件从 FMC 发送后，最长可能需要 15 分钟才会显示在 Google SecOps 中。
  • 追溯性恶意软件事件无法通过 syslog 获取。
  • Cisco Secure Endpoint 生成的事件无法通过 syslog 获取。
  • 通过 eStreamer API 提供的一些元数据未包含在 syslog 消息中（例如来自 LDAP 的详细用户信息、扩展应用元数据、地理定位数据）。
  • 如果您在配置对象名称（政策名称、规则名称）时使用了英文逗号等特殊字符，这些字符可能会干扰 syslog 解析。避免在对象名称中使用特殊字符。

UDM 映射表

日志字段 UDM 映射 逻辑
WebApplication、URLReputation、EgressInterface、IngressInterface、ACPolicy、NAPPolicy、ConnectionID、ssl_ticket_id、qoa_applied_interface、sinkhole_uuid、security_context、sec_zone_egress、sec_zone_ingress additional.fields 如果非空，则从各个标签字段合并
eventType extensions.auth.type 如果 eventType 为“USER_LOGIN_INFORMATION”，则设置为“VPN”
漏洞 extensions.vulns.vulnerabilities 如果非空，则从漏洞合并
flowStatistics.httpReferrer http.referral_url 直接复制值
flowStatistics.httpResponse http.response_code 已转换为整数
flowStatistics.userAgent http.user_agent 直接复制的值
_intermediary 中介 如果非空，则从 _intermediary 合并
recordTypeDescription, entry.message metadata.description 如果 recordTypeDescription 不为空，则为 recordTypeDescription 中的值，否则为 entry.message 中的值
event_second、connection_timestamp、_serverTimestamp metadata.event_timestamp 从 event_second（如果不为空）解析的日期，否则为 connection_timestamp，否则为 _serverTimestamp
event_type metadata.event_type 直接复制的值
prod_event_type、eventId、recordTypeCategory、app、_recordTypeName、eventType metadata.product_event_type 如果 prod_event_type 不为空，则为 prod_event_type 中的值；否则为 eventId；否则为 recordTypeCategory；否则为 app；否则为 _recordTypeName；否则为 eventType
DeviceUUID metadata.product_log_id 直接复制值
flowStatistics.clientAppVersion, client_version metadata.product_version 如果 flowStatistics.clientAppVersion 不为空，则取该值；否则取 client_version
flowStatistics.clientAppURL metadata.url_back_to_product 直接复制值
ApplicationProtocol network.application_protocol 如果匹配 (?i)ldap，则设置为“LDAP”；如果匹配 (?i)https，则设置为“HTTPS”；如果匹配 (?i)http，则设置为“HTTP”
答案 network.dns.answers 从回答中合并
flowStatistics.dnsQuery network.dns.answers.name 直接复制的值
flowStatistics.dnsTTL network.dns.answers.ttl 已转换为无符号整数
flowStatistics.dnsRecordType network.dns.answers.type 已转换为无符号整数
flowStatistics.dnsResponseType network.dns.response_code 已转换为无符号整数
user_agent network.http.parsed_user_agent 已转换为 parseduseragent
user_agent network.http.user_agent 直接复制值
proto、Protocol、inputType、proto_type、protocol、ip_v4_protocol、protocol_number_src network.ip_protocol 根据具有协议映射和用例的各种字段进行设置
ResponderBytes, flowStatistics.bytesReceived network.received_bytes ResponderBytes 中的值（如果不为空），否则为 flowStatistics.bytesReceived，转换为 uinteger
ResponderPackets network.received_packets 已转换为整数
InitiatorBytes, flowStatistics.bytesSent network.sent_bytes InitiatorBytes 中的值（如果不为空），否则为 flowStatistics.bytesSent，转换为 uinteger
InitiatorPackets、packet_data network.sent_packets InitiatorPackets 中的值（如果不为空），否则为 packet_data，转换为整数
ssl_session_id network.session_id 直接复制值
ssl_cipher_suite network.tls.cipher 直接复制值
agent_type, agent_version observer.application 如果两者都不为空，则串联为 agent_type agent_version
entry.host.hostname observer.hostname 直接复制值
entry.host.ip observer.ip 从 entry.host.ip 合并
entry.host.mac observer.mac 已从 entry.host.mac 合并
clientApplication、hold.app_string principal.application clientApplication 中的值（如果不为空），否则为 hold.app_string
prin_host、DeviceAddress、principal_hostname principal.asset.hostname prin_host 中的值（如果不为空），否则为 DeviceAddress（如果 sourceAddress 为空），否则为 principal_hostname
SrcIP、principal_ip、source_address_IPv4v6 principal.asset.ip 从 SrcIP（经过 grok 验证）、principal_ip、source_address_IPv4v6（经过 grok 验证）合并
file_sha_hash、sha_hash principal.file.sha256 file_sha_hash 中的值（如果不为空），否则为 sha_hash
prin_host、DeviceAddress、principal_hostname principal.hostname prin_host 中的值（如果不为空），否则为 DeviceAddress（如果 sourceAddress 为空），否则为 principal_hostname
SrcIP、principal_ip、source_address_IPv4v6 principal.ip 从 SrcIP（已通过 Grok 验证）、principal_ip、source_address_IPv4v6（已通过 Grok 验证）合并
flowStatistics.initiatorCountry.geolocation.countryName, src_ip_country principal.location.country_or_region 如果 flowStatistics.initiatorCountry.geolocation.countryName 不为空，则为该值；否则为 src_ip_country
entry.macAddress principal.mac 从 entry.macAddress 合并
host_os_platform principal.platform 如果为 centos，则设置为 LINUX，否则设置为大写的 entry.host.os.platform
entry.host.os.kernel principal.platform_patch_level 直接复制的值
identityData.fingerprintUUID.osName, osFingerprint.fingerprintUUID.osName principal.platform_version 如果 identityData 不为空，则为串联的 osName osVersion，否则为 osFingerprint
SrcPort、entry.sourcePort、entry.sourcePortOrIcmpType、source_port、flowStatistics.initiatorPort、source_port_or_icmp_code principal.port 如果 SrcPort 不为空，则使用 SrcPort 中的值；否则使用 entry.sourcePort；否则使用 entry.sourcePortOrIcmpType；否则使用 source_port；否则使用 flowStatistics.initiatorPort；否则使用 source_port_or_icmp_code；转换为整数
isecurityZoneName principal.resource.attribute.labels 已从 isecurityZoneName 合并
DeviceType principal.resource.name 直接复制值
principal.resource.resource_type 设置为“DEVICE”
entry.computed.user principal.user.user_display_name 已转换为字符串
entry.userId、user_id、flowStatistics.user.userId、entry.computed.user、userLoginInformation.userName principal.user.userid 如果 entry.userId 不为空，则取其值；否则取 user_id 的值；否则取 flowStatistics.user.userId 的值；否则取 entry.computed.user 的值；否则取 userLoginInformation.userName 的值
connectionID_label、FirstPacketSecond_label sec_result.about.resource.attribute.labels 如果 connectionID_label 和 FirstPacketSecond_label 不为空，则由两者合并而成
sec_result_action sec_result.action 从 sec_result_action 合并
flowStatistics.securityIntelligenceList1.securityIntelligenceListName sec_result.category 如果 rule_name 为 Malware，则设置为 NETWORK_MALICIOUS；如果为 Anomali_IP，则设置为 NETWORK_SUSPICIOUS
classification.description, userLoginInformation.description, sec_desc sec_result.description classification.description 的值（如果不为空），否则为 userLoginInformation.description，否则为 sec_desc
entry.computed.priority sec_result.priority 大写 entry.computed.priority _PRIORITY
entry.ruleId, rule_ruleId sec_result.rule_id entry.ruleId 中的值（如果不为空），否则为 rule_ruleId
AccessControlRuleName、rule_message、fw_rule、flowStatistics.securityIntelligenceList1.securityIntelligenceListName sec_result.rule_name AccessControlRuleName 的值（如果不为空），否则为 rule_message，否则为 fw_rule，否则为 flowStatistics.securityIntelligenceList1.securityIntelligenceListName
EventPriority、sec_severity、severity_code、priority_name sec_result.severity 如果 EventPriority 为 Low，则设置为 LOW；如果为 High，则设置为 HIGH；如果为 Medium，则设置为 MEDIUM；否则，根据 sec_severity 映射进行设置；否则，根据 severity_code 映射进行设置；否则，设置为 priority_name 的大写形式
用户 sec_result.summary 直接复制值
threat_name sec_result.threat_name 直接复制值
security_result security_result 从 security_result 合并
firewallRuleAction, hold.action, AccessControlRuleAction, sec_result_action, vendor_blocked security_result.action 如果不是 no_action，则为 firewallRuleAction 的值（大写），否则为 hold.action，否则为 AccessControlRuleAction 的值（区分大小写），否则为 sec_result_action，否则为 vendor_blocked 的值（0 为 ALLOW，否则为 BLOCK）
disposition security_result.action_details 如果处置结果为 3，则设置为“已感染”，否则设置为“未知”
eventDescription security_result.description 直接复制值
firewallRule security_result.rule_name 直接复制的值
threat_name security_result.threat_name 直接复制值
hostService.webApplication.webApplication0.applicationId.webApplicationName target.application 直接复制的值
DstIP、entry.destinationIpAddress、dest_ip、flowStatistics.responderIPAddress、destination_address_IPv4v6 target.asset.ip 合并自 DstIP (grok)、entry.destinationIpAddress、dest_ip、flowStatistics.responderIPAddress、destination_address_IPv4v6 (grok)
InstanceID、flowStatistics.clientAppId target.asset_id InstanceID 中的值（如果不为空），否则为“Client_app_id:”+ flowStatistics.clientAppId
文件 target.file 已从文件重命名
DstIP、entry.destinationIpAddress、dest_ip、flowStatistics.responderIPAddress、destination_address_IPv4v6 target.ip 合并自 DstIP (grok)、entry.destinationIpAddress、dest_ip、flowStatistics.responderIPAddress、destination_address_IPv4v6 (grok)
flowStatistics.responderCountry.geolocation.countryName, dest_ip_country, entry.country.data target.location.country_or_region flowStatistics.responderCountry.geolocation.countryName 中的值（如果不为空），否则为 dest_ip_country，否则为 entry.country.data
MACAddress target.mac 小写 MACAddress（如果不是 00:00:00:00:00:00）
DstPort、entry.destinationPort、entry.destinationPortOrIcmpType、dest_port、flowStatistics.responderPort、destination_port_or_icmp_code target.port DstPort 的值（如果不为空），否则为 entry.destinationPort，否则为 entry.destinationPortOrIcmpType，否则为 dest_port，否则为 flowStatistics.responderPort，否则为 destination_port_or_icmp_code，转换为整数
securityZoneName, det_engine, file_num, file_pos, rec_length target.resource.attribute.labels 如果 securityZoneName、det_engine、file_num、file_pos、rec_length 不为空，则从这些字段合并
网址 target.url 直接复制的值
entry.user.username.data target.user.userid 直接复制值
descript vulnerabilities.description 直接复制值
severity_detail vulnerabilities.severity_details 直接复制值
产品 vulnerabilities.vendor 直接复制值
metadata.product_name 设置为“CISCO_FIRESIGHT”
metadata.vendor_name 设置为“CISCO MANAGEMENT CENTER”
syslog_priority event.idm.read_only_udm.additional.fields 从更新日志映射
IngressZone event.idm.read_only_udm.additional.fields 从更新日志映射
EgressZone event.idm.read_only_udm.additional.fields 从更新日志映射
IngressVRF event.idm.read_only_udm.additional.fields 从更新日志映射
EgressVRF event.idm.read_only_udm.additional.fields 从更新日志映射
ClientAppDetector event.idm.read_only_udm.additional.fields 从更新日志映射
Prefilter Policy event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
Tunnel or Prefilter Rule event.idm.read_only_udm.security_result.detection_fields 从更新日志映射
inter intermediary.hostname 从更新日志映射
ConnectionID security_result.about.resource.attribute.labels 从更新日志映射
FirstPacketSecond security_result.about.resource.attribute.labels 从更新日志映射
EventPriority security_result.severity 从更新日志映射
WebApplication", "URLReputation", "EgressInterface", "IngressInterface", "ACPolicy", and "NAPPolicy additional.fields 从更新日志映射
service_type", "syslog_facility_code", "syslog_priority additional.fields 从更新日志映射
entry_msg metadata.description 从更新日志映射

更新日志

查看相应解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。