收集 Claroty CTD 日志

解析器版本：9.0

支持：

本文档介绍了如何使用 Bindplane 代理将 Claroty 持续威胁检测 (CTD) 日志注入到 Google Security Operations。

Claroty CTD 会针对提醒、事件、健康状况监控、数据分析、活动日志和漏洞生成 CEF 格式的系统日志消息。解析器会提取 CEF 字段并将其映射到统一数据模型 (UDM)。

准备工作

请确保满足以下前提条件：

  • Google SecOps 实例
  • Windows Server 2016 或更高版本，或者具有 systemd 的 Linux 主机
  • Bindplane 代理与 Claroty CTD 系统之间的网络连接
  • 如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态
  • 对 Claroty CTD Web 界面的特权访问权限

获取 Bindplane 代理的 Google SecOps 凭证

如需向 Google SecOps 验证 Bindplane 代理的身份，请选择以下方法之一：

  • 新部署：使用 Chronicle API（选项 1）。
  • 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。
  1. 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
  2. 前往 IAM 和管理 > 服务账号。
  3. 点击创建服务账号。
  4. 提供以下配置详细信息：
    • 服务账号名称：输入账号的名称（例如 bindplane-ingest）。
    • 服务账号说明：输入说明（例如 Bindplane agent log ingestion）。
  5. 点击创建并继续。
  6. 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
  7. 点击继续，然后点击完成。
  8. 点击您创建的服务账号，然后前往密钥标签页。
  9. 依次点击添加密钥> 创建新密钥。
  10. 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
  11. 将密钥文件另存为 Bindplane 收集器目录（在 Linux 上为 /opt/observiq-otel-collector/ingestion-auth.json，在 Windows 上为 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的 ingestion-auth.json，或更新 config.yaml 中的 creds_file_path 以与您保存密钥文件的路径相匹配。
  12. 前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。

方法 2：下载数据注入身份验证文件（旧版）

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 收集代理。
  3. 下载数据注入身份验证文件。
  4. 将文件安全地保存在将安装 Bindplane 代理的系统上。

获取 Google SecOps 客户 ID

  1. 登录 Google SecOps 控制台。
  2. 依次前往 SIEM 设置 > 配置文件。

  3. 复制并保存组织详细信息部分中的客户 ID。

安装 Bindplane 代理

按照以下说明在 Windows 或 Linux 操作系统上安装 Bindplane 代理。

Windows 安装

  1. 以管理员身份打开命令提示符或 PowerShell。

  2. 运行以下命令：

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sc query observiq-otel-collector

    该服务应显示为正在运行。

Linux 安装

  1. 打开具有 root 或 sudo 权限的终端。

  2. 运行以下命令：

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 等待安装完成。

  4. 运行以下命令，验证安装是否成功：

    sudo systemctl status observiq-otel-collector

    该服务应显示为有效（正在运行）。

其他安装资源

如需了解其他安装选项和问题排查，请参阅 Bindplane 代理安装指南。

配置 Bindplane 代理以注入 syslog 并将其发送到 Google SecOps

找到配置文件

  • Linux：

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows：

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

修改配置文件

  • 将 config.yaml 的全部内容替换为以下配置：

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/claroty_ctd:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: CLAROTY_CTD
    raw_log_field: body

service:
  pipelines:
    logs/claroty_ctd_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/claroty_ctd

配置参数

替换以下占位符：

  • 接收器配置：

    • listen_address：要监听的 IP 地址和端口：
      • 0.0.0.0 在所有接口上监听（推荐）
      • 端口 514 是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用 1514）

  • 导出器配置：

    • creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：
      • Linux：/opt/observiq-otel-collector/ingestion-auth.json
      • Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
    • customer_id：从 Google SecOps 控制台复制的客户 ID
    • location：将 <LOCATION> 替换为 Google SecOps 实例所在的区域（例如 us、europe 或 asia-southeast1）。导出工具会在此值前面加上 chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。
    • project：将 <PROJECT_NUMBER> 替换为 IAM 和管理 > 设置中的项目编号。
    • endpoint：保持设置为 chronicle.googleapis.com。

旧版提取 API 导出工具

  • 如果您使用选项 2 中的提取身份验证文件，请将 exporters 代码块替换为以下内容。将 creds_file_path 设置为数据注入身份验证文件的路径，如果您的实例位于美国境外，请将 malachiteingestion-pa.googleapis.com 替换为您的区域端点（例如 europe-malachiteingestion-pa.googleapis.com）。

    exporters:
  chronicle/claroty_ctd:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: CLAROTY_CTD
    raw_log_field: body

保存配置文件

  • 修改后，保存文件：
    • Linux：依次按 Ctrl+O、Enter 和 Ctrl+X
    • Windows：依次点击文件 > 保存

重启 Bindplane 代理以应用更改

  • 如需在 Linux 中重启 Bindplane 代理，请运行以下命令：

    sudo systemctl restart observiq-otel-collector

    1. 验证服务是否正在运行：

      ```bash
sudo systemctl status observiq-otel-collector
```

    2. 检查日志中是否存在错误：

      ```bash
sudo journalctl -u observiq-otel-collector -f
```

  • 如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：

    • 以管理员身份运行命令提示符或 PowerShell：

      net stop observiq-otel-collector && net start observiq-otel-collector

    • “服务”控制台：

      1. 按 Win+R，输入 services.msc，然后按 Enter 键。
      2. 找到 observIQ OpenTelemetry 收集器。
      3. 右键点击并选择重启。

      4. 验证服务是否正在运行：

        sc query observiq-otel-collector

      5. 检查日志中是否存在错误：

        type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

在 Claroty 持续威胁检测 (CTD) 上配置 syslog

  1. 登录 Claroty CTD 网页界面。
  2. 依次点击菜单 > 集成 > Syslog。
  3. 对每种 syslog 消息内容类型重复以下步骤：
    • 提醒
    • 事件
    • 健康监测
    • 数据分析
    • 活动日志
    • 漏洞
  4. 点击 + 添加新配置。
  5. 在消息内容菜单中，选择要导出的所需内容。
  6. 提供以下配置详细信息：
    • 类别：选择全部。
    • 类型：选择全选类型。
    • 格式：选择 CEF（最新）。
    • 系统网址：除非您位于代理服务器后面，否则请勿更新系统网址/IP。
    • 发送到：选择外部 Syslog 服务器（例如 SIEM、SOAR 系统）。
    • 供应商：选择其他。
    • Syslog 服务器 IP：输入 Bindplane 代理 IP 地址。
    • 端口：输入 Bindplane 代理端口（例如 514）。
    • 协议：选择 UDP（其他选项包括 TCP、TLS 或 mTLS，具体取决于您的 Bindplane 配置）。
  7. 点击保存。

UDM 映射表

日志字段 UDM 映射 逻辑
CtdRealTime metadata.event_timestamp 使用 MMM dd yyyy HH:mm:ss 从 CtdRealTime 进行解析，并用作事件时间戳。
CtdTimeGenerated metadata.event_timestamp 如果 CtdRealTime 为空，则使用 MMM dd yyyy HH:mm:ss 从 CtdTimeGenerated 进行解析，以设置事件时间戳。
CtdMessage metadata.description 根据 CtdMessage 字段设置 metadata.description。
CtdMessage security_result.description 在适用情况下，根据 CtdMessage 字段设置 security_result.description。
端口（来自 CtdMessage KV） principal.port 从 CtdMessage 中的键 Port 提取；转换为整数并设置为 principal.port。
类别（来自 CtdMessage KV） security_result.detection_fields (Category_label) 从 CtdMessage 中提取为键 Category，并合并到检测字段中。
访问权限（来自 CtdMessage KV） security_result.detection_fields（访问标签） 从 CtdMessage 中提取为键 Access 并合并到检测字段中。
CtdSite principal.hostname 将 CtdSite 映射到 principal.hostname。
CtdSite principal.asset.hostname 将 CtdSite 映射到 principal.asset.hostname。
CtdCpu principal.resource.attribute.labels (CtdCpu_label) 使用 CtdCpu 的值创建键为 CtdCpu 的标签，并将其合并到 principal.resource.attribute.labels 中。
CtdMem principal.resource.attribute.labels (CtdMem_label) 使用 CtdMem 的值创建键为 CtdMem 的标签，并将其合并到 principal.resource.attribute.labels 中。
CtdUsedOptIcsranger principal.resource.attribute.labels (CtdUsedOptIcsranger_label) 根据 CtdUsedOptIcsranger 创建标签并合并。
CtdUsedVar principal.resource.attribute.labels (CtdUsedVar_label) 从 CtdUsedVar 创建标签并将其合并。
CtdUsedTmp principal.resource.attribute.labels (CtdUsedTmp_label) 从 CtdUsedTmp 创建标签并合并。
CtdUsedEtc principal.resource.attribute.labels (CtdUsedEtc_label) 根据 CtdUsedEtc 创建标签并将其合并。
CtdBusyFd principal.resource.attribute.labels (CtdBusyFd_label) 从 CtdBusyFd 创建标签并将其合并。
CtdBusySda principal.resource.attribute.labels (CtdBusySda_label) 从 CtdBusySda 创建标签并将其合并。
CtdBusySdaA principal.resource.attribute.labels (CtdBusySdaA_label) 从 CtdBusySdaA 创建标签并将其合并。
CtdBusySdaB principal.resource.attribute.labels (CtdBusySdaB_label) 通过 CtdBusySdaB 创建标签并将其合并。
CtdBusySr principal.resource.attribute.labels (CtdBusySr_label) 从 CtdBusySr 创建标签并合并。
CtdBusyDm principal.resource.attribute.labels (CtdBusyDm_label) 通过 CtdBusyDm 创建标签并将其合并。
CtdBusyDmA principal.resource.attribute.labels (CtdBusyDmA_label) 根据 CtdBusyDmA 创建标签并合并。
CtdQuPreprocessingNg principal.resource.attribute.labels (CtdQuPreprocessingNg_label) 从 CtdQuPreprocessingNg 创建标签并将其合并。
CtdQuBaselineTracker principal.resource.attribute.labels (CtdQuBaselineTracker_label) 根据 CtdQuBaselineTracker 创建标签并合并。
CtdQuBridge principal.resource.attribute.labels (CtdQuBridge_label) 从 CtdQuBridge 创建标签并合并。
CtdQuCentralBridge principal.resource.attribute.labels (CtdQuCentralBridge_label) 从 CtdQuCentralBridge 创建标签并将其合并。
CtdQuConcluding principal.resource.attribute.labels (CtdQuConcluding_label) 根据 CtdQuConcluding 创建标签并将其合并。
CtdQuDiodeFeeder principal.resource.attribute.labels (CtdQuDiodeFeeder_label) 从 CtdQuDiodeFeeder 创建标签并将其合并。
CtdQuDissector principal.resource.attribute.labels (CtdQuDissector_label) 从 CtdQuDissector 创建标签并合并。
CtdQuDissectorA principal.resource.attribute.labels (CtdQuDissectorA_label) 通过 CtdQuDissectorA 创建标签并将其合并。
CtdQuDissectorNg principal.resource.attribute.labels (CtdQuDissectorNg_label) 从 CtdQuDissectorNg 创建标签并将其合并。
CtdQuIndicatorService principal.resource.attribute.labels (CtdQuIndicatorService_label) 从 CtdQuIndicatorService 创建标签并将其合并。
CtdQuLeecher principal.resource.attribute.labels (CtdQuLeecher_label) 从 CtdQuLeecher 创建标签并合并。
CtdQuMonitor principal.resource.attribute.labels (CtdQuMonitor_label) 从 CtdQuMonitor 创建标签并将其合并。
CtdQuNetworkStatistics principal.resource.attribute.labels (CtdQuNetworkStatistics_label) 根据 CtdQuNetworkStatistics 创建标签并将其合并。
CtdQuPackets principal.resource.attribute.labels (CtdQuPackets_label) 从 CtdQuPackets 创建标签并将其合并。
CtdQuPacketsErrors principal.resource.attribute.labels (CtdQuPacketsErrors_label) 根据 CtdQuPacketsErrors 创建标签并将其合并。
CtdQuPreprocessing principal.resource.attribute.labels (CtdQuPreprocessing_label) 从 CtdQuPreprocessing 创建标签并合并。
CtdQuPriorityProcessing principal.resource.attribute.labels (CtdQuPriorityProcessing_label) 从 CtdQuPriorityProcessing 创建标签并合并。
CtdQuProcessing principal.resource.attribute.labels (CtdQuProcessing_label) 从 CtdQuProcessing 创建标签并将其合并。
CtdQuProcessingHigh principal.resource.attribute.labels (CtdQuProcessingHigh_label) 从 CtdQuProcessingHigh 创建标签并将其合并。
CtdQuZordonUpdates principal.resource.attribute.labels (CtdQuZordonUpdates_label) 从 CtdQuZordonUpdates 创建标签并将其合并。
CtdQuStatisticsNg principal.resource.attribute.labels (CtdQuStatisticsNg_label) 根据 CtdQuStatisticsNg 创建标签并合并。
CtdQueuePurge principal.resource.attribute.labels (CtdQueuePurge_label) 从 CtdQueuePurge 创建标签并将其合并。
CtdQuSyslogAlerts principal.resource.attribute.labels (CtdQuSyslogAlerts_label) 从 CtdQuSyslogAlerts 创建标签并将其合并。
CtdQuSyslogEvents principal.resource.attribute.labels (CtdQuSyslogEvents_label) 从 CtdQuSyslogEvents 创建标签并将其合并。
CtdQuSyslogInsights principal.resource.attribute.labels (CtdQuSyslogInsights_label) 根据 CtdQuSyslogInsights 创建标签并合并。
CtdRdDissector principal.resource.attribute.labels (CtdRdDissector_label) 通过 CtdRdDissector 创建标签并将其合并。
CtdRdDissectorA principal.resource.attribute.labels (CtdRdDissectorA_label) 从 CtdRdDissectorA 创建标签并将其合并。
CtdRdDissectorNg principal.resource.attribute.labels (CtdRdDissectorNg_label) 通过 CtdRdDissectorNg 创建标签并将其合并。
CtdRdPreprocessing principal.resource.attribute.labels (CtdRdPreprocessing_label) 从 CtdRdPreprocessing 创建标签并将其合并。
CtdRdPreprocessingNg principal.resource.attribute.labels (CtdRdPreprocessingNg_label) 从 CtdRdPreprocessingNg 创建标签并将其合并。
CtdSvcMariaDb principal.resource.attribute.labels (CtdSvcMariaDb_label) 从 CtdSvcMariaDb 创建标签并将其合并。
CtdSvcPostgres principal.resource.attribute.labels (CtdSvcPostgres_label) 从 CtdSvcPostgres 创建标签并将其合并。
CtdSvcRedis principal.resource.attribute.labels (CtdSvcRedis_label) 从 CtdSvcRedis 创建标签并将其合并。
CtdSvcRabbitMq principal.resource.attribute.labels (CtdSvcRabbitMq_label) 从 CtdSvcRabbitMq 创建标签并合并。
CtdSvcIcsranger principal.resource.attribute.labels (CtdSvcIcsranger_label) 从 CtdSvcIcsranger 创建标签并合并。
CtdSvcWatchdog principal.resource.attribute.labels (CtdSvcWatchdog_label) 从 CtdSvcWatchdog 创建标签并将其合并。
CtdSvcFirewalld principal.resource.attribute.labels (CtdSvcFirewalld_label) 从 CtdSvcFirewalld 创建标签并合并。
CtdSvcNetunnel principal.resource.attribute.labels (CtdSvcNetunnel_label) 从 CtdSvcNetunnel 创建标签并将其合并。
CtdSvcJwthenticator principal.resource.attribute.labels (CtdSvcJwthenticator_label) 通过 CtdSvcJwthenticator 创建标签并将其合并。
CtdSvcDocker principal.resource.attribute.labels (CtdSvcDocker_label) 从 CtdSvcDocker 创建标签并将其合并。
CtdExceptions principal.resource.attribute.labels (CtdExceptions_label) 根据 CtdExceptions 创建标签并将其合并。
CtdInputPacketDrops principal.resource.attribute.labels (CtdInputPacketDrops_label) 根据 CtdInputPacketDrops 创建标签并合并。
CtdOutputPacketDrops principal.resource.attribute.labels (CtdOutputPacketDrops_label) 根据 CtdOutputPacketDrops 创建标签并合并。
CtdFullOutputPacketDrops principal.resource.attribute.labels (CtdFullOutputPacketDrops_label) 根据 CtdFullOutputPacketDrops 创建标签并将其合并。
CtdDissectorNgPacketDrops principal.resource.attribute.labels (CtdDissectorNgPacketDrops_label) 通过 CtdDissectorNgPacketDrops 创建标签并将其合并。
CtdTagArtifactsDropsPreprocessor principal.resource.attribute.labels (CtdTagArtifactsDropsPreprocessor_label) 通过 CtdTagArtifactsDropsPreprocessor 创建标签并将其合并。
CtdTagArtifactsDropsPreprocessorSum principal.resource.attribute.labels (CtdTagArtifactsDropsPreprocessorSum_label) 从 CtdTagArtifactsDropsPreprocessorSum 创建标签并将其合并。
CtdTagArtifactsDropsProcessor principal.resource.attribute.labels (CtdTagArtifactsDropsProcessor_label) 通过 CtdTagArtifactsDropsProcessor 创建标签并将其合并。
CtdTagArtifactsDropsProcessorSum principal.resource.attribute.labels (CtdTagArtifactsDropsProcessorSum_label) 从 CtdTagArtifactsDropsProcessorSum 创建标签并将其合并。
CtdTagArtifactsDropsSniffer principal.resource.attribute.labels (CtdTagArtifactsDropsSniffer_label) 从 CtdTagArtifactsDropsSniffer 创建标签并合并。
CtdTagArtifactsDropsSnifferSum principal.resource.attribute.labels (CtdTagArtifactsDropsSnifferSum_label) 从 CtdTagArtifactsDropsSnifferSum 创建标签并将其合并。
CtdTagArtifactsDropsDissectorPypy principal.resource.attribute.labels (CtdTagArtifactsDropsDissectorPypy_label) 通过 CtdTagArtifactsDropsDissectorPypy 创建标签并将其合并。
CtdTagArtifactsDropsDissectorPypySum principal.resource.attribute.labels (CtdTagArtifactsDropsDissectorPypySum_label) 通过 CtdTagArtifactsDropsDissectorPypySum 创建标签并将其合并。
CtdCapsaverFolderCleanup principal.resource.attribute.labels (CtdCapsaverFolderCleanup_label) 从 CtdCapsaverFolderCleanup 创建标签并将其合并。
CtdCapsaverUtilzationTest principal.resource.attribute.labels (CtdCapsaverUtilzationTest_label) 从 CtdCapsaverUtilzationTest 创建标签并将其合并。
CtdYaraScannerTest principal.resource.attribute.labels (CtdYaraScannerTest_label) 从 CtdYaraScannerTest 创建标签并将其合并。
CtdWrkrWorkersStop principal.resource.attribute.labels (CtdWrkrWorkersStop_label) 根据 CtdWrkrWorkersStop 创建标签并将其合并。
CtdWrkrWorkersRestart principal.resource.attribute.labels (CtdWrkrWorkersRestart_label) 从 CtdWrkrWorkersRestart 创建标签并合并。
CtdWrkrActiveExecuter principal.resource.attribute.labels (CtdWrkrActiveExecuter_label) 从 CtdWrkrActiveExecuter 创建标签并将其合并。
CtdWrkrSensor principal.resource.attribute.labels (CtdWrkrSensor_label) 从 CtdWrkrSensor 创建标签并合并。
CtdWrkrAuthentication principal.resource.attribute.labels (CtdWrkrAuthentication_label) 从 CtdWrkrAuthentication 创建标签并将其合并。
CtdWrkrMitre principal.resource.attribute.labels (CtdWrkrMitre_label) 从 CtdWrkrMitre 创建标签并将其合并。
CtdWrkrNotifications principal.resource.attribute.labels (CtdWrkrNotifications_label) 通过 CtdWrkrNotifications 创建标签并将其合并。
CtdWrkrProcessor principal.resource.attribute.labels (CtdWrkrProcessor_label) 通过 CtdWrkrProcessor 创建标签并将其合并。
CtdWrkrCloudAgent principal.resource.attribute.labels (CtdWrkrCloudAgent_label) 从 CtdWrkrCloudAgent 创建标签并将其合并。
CtdWrkrCloudClient principal.resource.attribute.labels (CtdWrkrCloudClient_label) 从 CtdWrkrCloudClient 创建标签并将其合并。
CtdWrkrScheduler principal.resource.attribute.labels (CtdWrkrScheduler_label) 从 CtdWrkrScheduler 创建标签并将其合并。
CtdWrkrknownThreats principal.resource.attribute.labels (CtdWrkrknownThreats_label) 从 CtdWrkrknownThreats 创建标签并将其合并。
CtdWrkrCacher principal.resource.attribute.labels (CtdWrkrCacher_label) 从 CtdWrkrCacher 创建标签并将其合并。
CtdWrkrInsights principal.resource.attribute.labels (CtdWrkrInsights_label) 从 CtdWrkrInsights 创建标签并将其合并。
CtdWrkrActive principal.resource.attribute.labels (CtdWrkrActive_label) 从 CtdWrkrActive 创建标签并将其合并。
CtdWrkrEnricher principal.resource.attribute.labels (CtdWrkrEnricher_label) 通过 CtdWrkrEnricher 创建标签并将其合并。
CtdWrkrIndicators principal.resource.attribute.labels (CtdWrkrIndicators_label) 根据 CtdWrkrIndicators 创建标签并合并。
CtdWrkrIndicatorsApi principal.resource.attribute.labels (CtdWrkrIndicatorsApi_label) 从 CtdWrkrIndicatorsApi 创建标签并合并。
CtdWrkrConcluder principal.resource.attribute.labels (CtdWrkrConcluder_label) 通过 CtdWrkrConcluder 创建标签并将其合并。
CtdWrkrPreprocessor principal.resource.attribute.labels (CtdWrkrPreprocessor_label) 从 CtdWrkrPreprocessor 创建标签并合并。
CtdWrkrLeecher principal.resource.attribute.labels (CtdWrkrLeecher_label) 从 CtdWrkrLeecher 创建标签并合并。
CtdWrkrSyncManager principal.resource.attribute.labels (CtdWrkrSyncManager_label) 从 CtdWrkrSyncManager 创建标签并合并。
CtdWrkrBridge principal.resource.attribute.labels (CtdWrkrBridge_label) 从 CtdWrkrBridge 创建标签并合并。
CtdWrkrWebRanger principal.resource.attribute.labels (CtdWrkrWebRanger_label) 从 CtdWrkrWebRanger 创建标签并将其合并。
CtdWrkrWebWs principal.resource.attribute.labels (CtdWrkrWebWs_label) 从 CtdWrkrWebWs 创建标签并合并。
CtdWrkrWebAuth principal.resource.attribute.labels (CtdWrkrWebAuth_label) 从 CtdWrkrWebAuth 创建标签并将其合并。
CtdWrkrWebNginx principal.resource.attribute.labels (CtdWrkrWebNginx_label) 从 CtdWrkrWebNginx 创建标签并将其合并。
CtdWrkrConfigurator principal.resource.attribute.labels (CtdWrkrConfigurator_label) 通过 CtdWrkrConfigurator 创建标签并将其合并。
CtdWrkrConfiguratorNginx principal.resource.attribute.labels (CtdWrkrConfiguratorNginx_label) 从 CtdWrkrConfiguratorNginx 创建标签并将其合并。
CtdWrkrCapsaver principal.resource.attribute.labels (CtdWrkrCapsaver_label) 从 CtdWrkrCapsaver 创建标签并将其合并。
CtdWrkrBaselineTracker principal.resource.attribute.labels (CtdWrkrBaselineTracker_label) 根据 CtdWrkrBaselineTracker 创建标签并合并。
CtdWrkrDissector principal.resource.attribute.labels (CtdWrkrDissector_label) 从 CtdWrkrDissector 创建标签并合并。
CtdWrkrDissectorA principal.resource.attribute.labels (CtdWrkrDissectorA_label) 从 CtdWrkrDissectorA 创建标签并将其合并。
CtdWrkrDissectorNg principal.resource.attribute.labels (CtdWrkrDissectorNg_label) 从 CtdWrkrDissectorNg 创建标签并合并。
CtdWrkrPreprocessing principal.resource.attribute.labels (CtdWrkrPreprocessing_label) 从 CtdWrkrPreprocessing 创建标签并合并。
CtdWrkrPreprocessingNg principal.resource.attribute.labels (CtdWrkrPreprocessingNg_label) 从 CtdWrkrPreprocessingNg 创建标签并合并。
CtdWrkrStatisticsNg principal.resource.attribute.labels (CtdWrkrStatisticsNg_label) 从 CtdWrkrStatisticsNg 创建标签并将其合并。
CtdWrkrSyslogAlerts principal.resource.attribute.labels (CtdWrkrSyslogAlerts_label) 从 CtdWrkrSyslogAlerts 创建标签并合并。
CtdWrkrSyslogEvents principal.resource.attribute.labels (CtdWrkrSyslogEvents_label) 根据 CtdWrkrSyslogEvents 创建标签并将其合并。
CtdWrkrSyslogInsights principal.resource.attribute.labels (CtdWrkrSyslogInsights_label) 从 CtdWrkrSyslogInsights 创建标签并将其合并。
CtdWrkrRdDissector principal.resource.attribute.labels (CtdWrkrRdDissector_label) 通过 CtdWrkrRdDissector 创建标签并将其合并。
CtdWrkrRdDissectorA principal.resource.attribute.labels (CtdWrkrRdDissectorA_label) 从 CtdWrkrRdDissectorA 创建标签并将其合并。
CtdSensorName principal.resource.attribute.labels (CtdSensorName_label) 根据 CtdSensorName 创建标签并将其合并。
CtdCtrlSite principal.resource.attribute.labels (CtdCtrlSite_label) 从 CtdCtrlSite 创建标签并将其合并。
CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics principal.resource.attribute.labels (CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics_label) 根据 CtdLoopCallDurationBaselineTrackerWrkerHandleNetworkStatistics 创建标签并将其合并。
CtdDissectionCoverage principal.resource.attribute.labels (CtdDissectionCoverage_label) 根据 CtdDissectionCoverage 创建标签并合并。
CtdDissectionEfficiencyModbus principal.resource.attribute.labels (CtdDissectionEfficiencyModbus_label) 从 CtdDissectionEfficiencyModbus 创建标签并将其合并。
CtdDissectionEfficiencySmb principal.resource.attribute.labels (CtdDissectionEfficiencySmb_label) 根据 CtdDissectionEfficiencySmb 创建标签并合并。
CtdDissectionEfficiencyDcerpc principal.resource.attribute.labels (CtdDissectionEfficiencyDcerpc_label) 通过 CtdDissectionEfficiencyDcerpc 创建标签并将其合并。
CtdDissectionEfficiencyZabbix principal.resource.attribute.labels (CtdDissectionEfficiencyZabbix_label) 从 CtdDissectionEfficiencyZabbix 创建标签并将其合并。
CtdDissectionEfficiencyFactorytalkRna principal.resource.attribute.labels (CtdDissectionEfficiencyFactorytalkRna_label) 从 CtdDissectionEfficiencyFactorytalkRna 创建标签并将其合并。
CtdDissectionEfficiencySsl principal.resource.attribute.labels (CtdDissectionEfficiencySsl_label) 从 CtdDissectionEfficiencySsl 创建标签并将其合并。
CtdDissectionEfficiencyVrrpProtocolMatcher principal.resource.attribute.labels (CtdDissectionEfficiencyVrrpProtocolMatcher_label) 通过 CtdDissectionEfficiencyVrrpProtocolMatcher 创建标签并将其合并。
CtdDissectionEfficiencyRdp principal.resource.attribute.labels (CtdDissectionEfficiencyRdp_label) 通过 CtdDissectionEfficiencyRdp 创建标签并将其合并。
CtdDissectionEfficiencySsh principal.resource.attribute.labels (CtdDissectionEfficiencySsh_label) 通过 CtdDissectionEfficiencySsh 创建标签并将其合并。
CtdDissectionEfficiencyHttp principal.resource.attribute.labels (CtdDissectionEfficiencyHttp_label) 从 CtdDissectionEfficiencyHttp 创建标签并将其合并。
CtdDissectionEfficiencyTcpHttp principal.resource.attribute.labels (CtdDissectionEfficiencyTcpHttp_label) 通过 CtdDissectionEfficiencyTcpHttp 创建标签并将其合并。
CtdDissectionEfficiencyLdap principal.resource.attribute.labels (CtdDissectionEfficiencyLdap_label) 通过 CtdDissectionEfficiencyLdap 创建标签并将其合并。
CtdDissectionEfficiencyJrmi principal.resource.attribute.labels (CtdDissectionEfficiencyJrmi_label) 从 CtdDissectionEfficiencyJrmi 创建标签并将其合并。
CtdDissectionEfficiencyGeIfix principal.resource.attribute.labels (CtdDissectionEfficiencyGeIfix_label) 通过 CtdDissectionEfficiencyGeIfix 创建标签并将其合并。
CtdDissectionEfficiencyLlc principal.resource.attribute.labels (CtdDissectionEfficiencyLlc_label) 从 CtdDissectionEfficiencyLlc 创建标签并合并。
CtdDissectionEfficiencyMatrikonNopc principal.resource.attribute.labels (CtdDissectionEfficiencyMatrikonNopc_label) 从 CtdDissectionEfficiencyMatrikonNopc 创建标签并将其合并。
CtdDissectionEfficiencyVnc principal.resource.attribute.labels (CtdDissectionEfficiencyVnc_label) 根据 CtdDissectionEfficiencyVnc 创建标签并合并。
CtdUnhandledEvents principal.resource.attribute.labels (CtdUnhandledEvents_label) 从 CtdUnhandledEvents 创建标签并将其合并。
CtdConcludeTime principal.resource.attribute.labels (CtdConcludeTime_label) 根据 CtdConcludeTime 创建标签并合并。
CtdMysqlQuery principal.resource.attribute.labels (CtdMysqlQuery_label) 从 CtdMysqlQuery 创建标签并合并。
CtdPostgresQuery principal.resource.attribute.labels (CtdPostgresQuery_label) 根据 CtdPostgresQuery 创建标签并合并。
CtdPsqlIdleSessions principal.resource.attribute.labels (CtdPsqlIdleSessions_label) 从 CtdPsqlIdleSessions 创建标签并将其合并。
CtdPsqlIdleInTransactionSessions principal.resource.attribute.labels (CtdPsqlIdleInTransactionSessions_label) 通过 CtdPsqlIdleInTransactionSessions 创建标签并将其合并。
CtdSnifferStatus principal.resource.attribute.labels (CtdSnifferStatus_label) 根据 CtdSnifferStatus 创建标签并合并。
CtdLoopCallDurationPollObjects principal.resource.attribute.labels (CtdLoopCallDurationPollObjects_label) 根据 CtdLoopCallDurationPollObjects 创建标签并合并。
CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected principal.resource.attribute.labels (CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected_label) 从 CtdLoopCallDurationCloudClientWrkrBaseRunCloudConnected 创建标签并将其合并。
CtdSnifferStatusCentral principal.resource.attribute.labels (CtdSnifferStatusCentral_label) 从 CtdSnifferStatusCentral 创建标签并将其合并。
CtdSnifferStatusSite principal.resource.attribute.labels (CtdSnifferStatusSite_label) 从 CtdSnifferStatusSite 创建标签并合并。
CtdWrkrMailer principal.resource.attribute.labels (CtdWrkrMailer_label) 从 CtdWrkrMailer 创建标签并将其合并。
CtdDroppedEntities principal.resource.attribute.labels (CtdDroppedEntities_label) 根据 CtdDroppedEntities 创建标签并将其合并。
externalId metadata.product_log_id 将 externalId 映射到 metadata.product_log_id。
proto protocol_number_src 将 proto 转换为大写，并将其分配给 protocol_number_src 以供查找。
protocol_number_src ip_protocol_out; app_protocol_out 将 ip_protocol_out 初始化为 UNKNOWN_IP_PROTOCOL，将 app_protocol_out 初始化为 UNKNOWN_APPLICATION_PROTOCOL，然后根据查找结果进行更新。
ip_protocol_out network.ip_protocol 根据 ip_protocol_out 设置 network.ip_protocol。
app_protocol_out network.application_protocol 根据 app_protocol_out 设置 network.application_protocol。
CtdExternalId metadata.product_log_id 如果提供了 CtdExternalId，则会使用该 ID 覆盖 metadata.product_log_id。
CtdDeviceExternalId principal.resource.attribute.labels (ctd_device_label) 根据 CtdDeviceExternalId（带有 CtdDeviceExternalId 前缀）创建标签并将其合并。
（如果 has_principal_device 为 true 且 ctdeventtype = Login） security_result.category; security_result.action 对于登录事件，将 security_result.category 设置为 AUTH_VIOLATION，并将 action 设置为 BLOCK。
（如果 has_principal_device 为 true 且 ctdeventtype = Memory Reset） security_result.category 将 security_result.category 设置为 SOFTWARE_SUSPICIOUS。
（如果 target_machine_id_present 为 true，has_principal_device 为 true，且 ctdeventtype 属于 [Known Threat Alert, Known Threat Event, Man-in-the-Middle Attack, Suspicious Activity]） security_result.category 将 security_result.category 设置为 NETWORK_MALICIOUS。
（如果 target_machine_id_present 为 true、has_principal_device 为 true 且 ctdeventtype = Suspicious File Transfer） security_result.category 将 security_result.category 设置为 NETWORK_SUSPICIOUS。
（如果 target_machine_id_present 为 true，has_principal_device 为 true，且 ctdeventtype = Denial Of Service） security_result.category 将 security_result.category 设置为 NETWORK_DENIAL_OF_SERVICE。
（如果 has_principal_device 为 true 且 ctdeventtype 为 [Host Scan, Port Scan]） security_result.category 将 security_result.category 设置为 NETWORK_RECON。
（如果 target_machine_id_present 为 true、has_principal_device 为 true，且 ctdeventtype 为 [Policy Rule Match、Policy Violation Alert、Policy Violation]） security_result.category 将 security_result.category 设置为 POLICY_VIOLATION。
（如果 has_principal_device 为 true，则为默认值） security_result.category 默认情况下，将 security_result.category 设置为 NETWORK_SUSPICIOUS。
派生的 security_result_category security_result.category 将派生的安全类别合并到 security_result.category 中。
派生的 security_result_action security_result.action 将派生的安全操作合并到 security_result.action（如果已设置）中。
cs6（cs6Label 为 CTDlink） metadata.url_back_to_product；security_result.url_back_to_product 从 cs6 设置网址字段，以反向链接到商品详情。
cs1（cs1Label 为 SourceAssetType） principal.asset.category; principal.asset.type 从 cs1 设置 principal.asset.category，并根据其值确定 principal.asset.type。
cs2（cs2Label 为 DestAssetType） target.asset.category; target.asset.type 根据 cs2 设置 target.asset.category，并根据其值确定 target.asset.type。
cfp1（带有 cfp1Label CVEScore） vulns.vulnerabilities.cvss_base_score 设置 vulns.vulnerabilities.cvss_base_score（转换为浮点数），并将 vul_fields_present 标记为 true。
cs6（带有 cs6Label CVE） vulns.vulnerabilities.cve_id 设置 vulns.vulnerabilities.cve_id 并将 vul_fields_present 标记为 true。
cn1（cn1Label 为 IndicatorScore） security_result.confidence_score 从 cn1 中提取指标得分，将其转换为浮点数，并将其指定为置信度得分。
filepath about.file.full_path; security_result.about.file.full_path 将 filepath 映射到 about.file.full_path 和 security_result.about.file.full_path。
（如果 eventclass = HealthCheck 且 cs1Label = Site） intermediary.location.name 当用作网站标识符时，从 cs1 设置 intermediary.location.name。
cn1（带有 cn1Label） additional.fields (cn1_label) 根据 cn1 创建一个额外的字段标签，并将其合并到 additional.fields 中。
cs1（带有 cs1Label） additional.fields (cs1_label) 根据 cs1 创建一个额外的字段标签，并将其合并到 additional.fields 中。
cs2（带有 cs2Label） additional.fields (cs2_label) 根据 cs2 创建一个额外的字段标签，并将其合并到 additional.fields 中。
cs3（带有 cs3Label） additional.fields (cs3_label) 从 cs3 创建一个额外的字段标签并将其合并。
cs4（带有 cs4Label） additional.fields (cs4_label) 根据 cs4 创建一个额外的字段标签并将其合并。
cs6（带有 cs6Label） additional.fields (cs6_label) 根据 cs6 创建一个额外的字段标签并将其合并。
（对于基于事件名称和 vul_fields_present 的 Insight 事件） event_type 派生 Insight 事件的 event_type（例如 SCAN_VULN_HOST、STATUS_UNCATEGORIZED、STATUS_UPDATE）。
（对于基于 ctdeventtype、has_principal_device 等的事件/提醒事件） event_type；（可选）target.resource.type 或 auth.type 派生事件/提醒事件的 event_type，例如 DEVICE_CONFIG_UPDATE、DEVICE_PROGRAM_DOWNLOAD/UPLOAD、NETWORK_UNCATEGORIZED、USER_RESOURCE_CREATION、SCAN_HOST、SCAN_NETWORK、SETTING_MODIFICATION、USER_LOGIN、NETWORK_CONNECTION 或 STATUS_UPDATE。
（如果 event_type 留空） event_type 根据可用的标志将 event_type 设置为 NETWORK_CONNECTION、USER_RESOURCE_ACCESS 或 STATUS_UPDATE。
event_type（最终） metadata.event_type 将最终的 event_type 复制到 metadata.event_type 中；如果为空，则默认为 GENERIC_EVENT。
device_vendor metadata.vendor_name 根据 device_vendor 设置 metadata.vendor_name；如果缺失，则默认为 CLAROTY。
device_product metadata.product_name 根据 device_product 设置 metadata.product_name；如果缺失，则默认为 CTD。
device_version metadata.product_version 根据 device_version 设置 metadata.product_version。
security_description（如果匹配 ET TROJAN …） security_result.threat_name 使用模式 ET TROJAN (?P<threat_name>\S+) 从 security_description 中提取 threat_name，并将其映射到 security_result.threat_name。
元数据 event.idm.read_only_udm.metadata 将 metadata 重命名为 event.idm.read_only_udm.metadata。
主体 event.idm.read_only_udm.principal 将 principal 重命名为 event.idm.read_only_udm.principal。
目标 event.idm.read_only_udm.target 将目标重命名为 event.idm.read_only_udm.target。
网络 event.idm.read_only_udm.network 将 network 重命名为 event.idm.read_only_udm.network。
其他 event.idm.read_only_udm.additional 将 additional 重命名为 event.idm.read_only_udm.additional。
security_result event.idm.read_only_udm.security_result 将 security_result 合并到 event.idm.read_only_udm.security_result 中。
关于 event.idm.read_only_udm.about 将 about 合并到 event.idm.read_only_udm.about 中。
中介 event.idm.read_only_udm.intermediary 将中介合并到 event.idm.read_only_udm.intermediary 中。
vulns.vulnerabilities event.idm.read_only_udm.extensions.vulns.vulnerabilities 将 vulns.vulnerabilities 合并到 event.idm.read_only_udm.extensions.vulns.vulnerabilities 中。
@output 事件 将完整的 UDM 事件结构合并到最终的 event 字段中。
CtdAlertsAreCreated event.idm.read_only_udm.principal.resource.attribute.labels 从更新日志映射
CtdScheduledBackups event.idm.read_only_udm.principal.resource.attribute.labels 从更新日志映射
CtdLicense event.idm.read_only_udm.principal.resource.attribute.labels 从更新日志映射
CtdCriticalServices event.idm.read_only_udm.principal.resource.attribute.labels 从更新日志映射
CtdInterfacesBitRate event.idm.read_only_udm.principal.resource.attribute.labels 从更新日志映射
cn2 event.idm.read_only_udm.additional.fields 从更新日志映射
cn2Label event.idm.read_only_udm.additional.fields 从更新日志映射

更新日志

查看此解析器的更新日志

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。