Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

收集 Fidelis Network 記錄

剖析器版本：8.0

支援：

Google SecOps SIEM

本文說明如何使用 Bindplane，將 Fidelis Network 記錄檔擷取至 Google Security Operations。

Fidelis Network 是一種網路偵測與回應 (NDR) 解決方案，可提供深入的內容檢查、工作階段層級分析，以及自動威脅回應。這項服務會即時監控網路流量，偵測所有通訊埠和通訊協定中的進階威脅、資料竊取行為和政策違規情形。剖析器會使用 KV 和 JSON 模式，從 Fidelis Network syslog 格式的記錄中擷取欄位。然後將這些值對應至統合式資料模型 (UDM)。並設定事件來源和類型的預設中繼資料值。

事前準備

請確認您已完成下列事前準備事項：

Google SecOps 執行個體
Windows Server 2016 以上版本，或搭載 systemd 的 Linux 主機
如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
Fidelis Network CommandPost 網頁介面的特殊存取權

取得 Bindplane 代理程式的 Google SecOps 憑證

如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：

新部署作業：使用 Chronicle API (選項 1)。
舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。

方法 1：為 Chronicle API 建立服務帳戶 (建議)

登入 Google Cloud 控制台，然後選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
按一下「建立服務帳戶」。
請提供下列設定詳細資料：
- 「Service account name」(服務帳戶名稱)：輸入帳戶名稱 (例如 bindplane-ingest)。
- 「服務帳戶說明」：輸入說明 (例如 Bindplane agent log ingestion)。
點按「Create and continue」(建立並繼續)。
在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
依序點選「繼續」和「完成」。
按一下您建立的服務帳戶，然後前往「金鑰」分頁。
依序點選「新增金鑰」>「建立新的金鑰」。
選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
將金鑰檔案儲存為 Bindplane 收集器目錄中的 ingestion-auth.json (Linux 上的 /opt/observiq-otel-collector/ingestion-auth.json 或 Windows 上的 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新 config.yaml 中的 creds_file_path，使其與儲存路徑相符。
依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。設定匯出工具時會用到。

方法 2：下載擷取驗證檔案 (舊版)

登入 Google SecOps 控制台。
依序前往「SIEM Settings」 > 「Collection Agents」。
下載擷取驗證檔案。
將檔案安全地儲存在要安裝 Bindplane 代理程式的系統中。

取得 Google SecOps 客戶 ID

登入 Google SecOps 控制台。
依序前往「SIEM 設定」 > 「設定檔」。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。

注意： 設定 Bindplane 代理程式匯出工具時，必須提供客戶 ID。

安裝 Bindplane 代理程式

請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。

Windows 安裝

以管理員身分開啟命令提示字元或 PowerShell。

執行下列指令：

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

等待安裝完成。
執行下列指令，確認安裝成功：
```
sc query observiq-otel-collector
```

服務應顯示為「RUNNING」。

安裝 Linux

開啟具有 root 或 sudo 權限的終端機。

執行下列指令：

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

等待安裝完成。

執行下列指令，確認安裝成功：

sudo systemctl status observiq-otel-collector

服務應顯示為「active (running)」。

其他安裝資源

如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。

設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps

找出設定檔

Linux：

sudo nano /opt/observiq-otel-collector/config.yaml

Windows：

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

編輯設定檔

將 config.yaml 的全部內容替換為下列設定：

receivers:
  tcplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: chronicle.googleapis.com
    log_type: 'FIDELIS_NETWORK'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/source0__chronicle_w_labels-0:
      receivers:
        - tcplog
      exporters:
        - chronicle/chronicle_w_labels

設定參數

替換下列預留位置：

接收器設定：
- tcplog：如果是 UDP syslog，請使用 udplog；如果是 TCP syslog，請使用 tcplog
- 0.0.0.0：要接聽的 IP 位址 (0.0.0.0 可接聽所有介面)
- 514：要監聽的通訊埠號碼 (標準系統記錄通訊埠)
匯出工具設定：
- creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：
  - Linux：/opt/observiq-otel-collector/ingestion-auth.json
  - Windows：C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- YOUR_CUSTOMER_ID：取得客戶 ID 一節中的客戶 ID
- location：將 <LOCATION> 替換為 Google SecOps 執行個體的區域 (例如 us、europe 或 asia-southeast1)。匯出工具會在這個值前面加上 chronicle.googleapis.com。如需完整清單，請參閱「區域性端點」。
- project：將 <PROJECT_NUMBER> 替換為「IAM 與管理」>「設定」中的專案編號。
- endpoint：維持設為 chronicle.googleapis.com。
- log_type：記錄類型，與 Chronicle 中顯示的完全相同 (FIDELIS_NETWORK)

舊版 Ingestion API 匯出工具

如果您使用選項 2 的擷取驗證檔案，請將 exporters 區塊替換為下列內容。將 creds_file_path 設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將 malachiteingestion-pa.googleapis.com 替換為區域端點 (例如 europe-malachiteingestion-pa.googleapis.com)。

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    customer_id: 'YOUR_CUSTOMER_ID'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'FIDELIS_NETWORK'
    raw_log_field: body
    ingestion_labels:

儲存設定檔

編輯完成後，請儲存檔案：
- Linux：依序按下 Ctrl+O、Enter 和 Ctrl+X
- Windows：依序點選「檔案」 > 「儲存」

重新啟動 Bindplane 代理程式，套用變更

如要在 Linux 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

執行下列指令：

sudo systemctl restart observiq-otel-collector

確認服務正在執行：

sudo systemctl status observiq-otel-collector

查看記錄檔是否有錯誤：

sudo journalctl -u observiq-otel-collector -f

如要在 Windows 中重新啟動 Bindplane 代理程式，請按照下列步驟操作：

您可以選擇下列其中一個選項：
- 以管理員身分開啟命令提示字元或 PowerShell：
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- 服務控制台：
  1. 按下 Win+R 鍵，輸入 services.msc，然後按下 Enter 鍵。
  2. 找出「observIQ OpenTelemetry Collector」。
  3. 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務是否正在執行：
```
sc query observiq-otel-collector
```

查看記錄檔是否有錯誤：

type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

設定 Fidelis Network syslog 轉送

登入 Fidelis Network CommandPost 網頁介面。
依序前往「System」>「Export」>「Syslog」。
按一下「Add Syslog Server」。
請提供下列設定詳細資料：
- 名稱：輸入描述性名稱 (例如 Google-SecOps-Bindplane)。
- IP 位址/主機名稱：輸入 Bindplane 代理程式主機的 IP 位址。
- 通訊埠：輸入 514。
- 通訊協定：選取「TCP」。
- 格式：根據剖析需求，選取「CEF」 (通用事件格式) 或「Syslog」。
- 設施：選取「LOCAL0」 (或偏好的設施)。
- 嚴重程度：選取「資訊」 (或偏好的嚴重程度)。
在「Alert Types」(快訊類型) 部分，選取要轉寄的事件：
- 快訊事件
- 惡意軟體事件
- 資料遺失防護事件
- DNS 事件
- 工作階段事件
按一下 [儲存]。
檢查 Bindplane 代理程式記錄，確認系統記錄訊息是否已傳送。

UDM 對應表

記錄欄位	UDM 對應	邏輯
aaction	event.idm.read_only_udm.security_result.action_details	如果不是「none」或空字串，則直接對應。
alert_threat_score	event.idm.read_only_udm.security_result.detection_fields[].key: "alert_threat_score", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_threat_score	直接對應為偵測欄位。
alert_type	event.idm.read_only_udm.security_result.detection_fields[].key: "alert_type", event.idm.read_only_udm.security_result.detection_fields[].value: value of alert_type	直接對應為偵測欄位。
答案	event.idm.read_only_udm.network.dns.answers[].data	直接對應 DNS 事件。
application_user	event.idm.read_only_udm.principal.user.userid	直接對應。
asset_os	event.idm.read_only_udm.target.platform	正規化為 WINDOWS、LINUX、MAC 或 UNKNOWN_PLATFORM。
certificate.end_date	event.idm.read_only_udm.network.tls.client.certificate.not_after	剖析並轉換為時間戳記。
certificate.extended_key_usage	event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.extended_key_usage	對應為額外欄位。
certificate.issuer_name	event.idm.read_only_udm.network.tls.server.certificate.issuer	直接對應。
certificate.key_length	event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_length	對應為額外欄位。
certificate.key_usage	event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.key_usage	對應為額外欄位。
certificate.start_date	event.idm.read_only_udm.network.tls.client.certificate.not_before	剖析並轉換為時間戳記。
certificate.subject_altname	event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: value of certificate.subject_altname	對應為額外欄位。
certificate.subject_name	event.idm.read_only_udm.network.tls.server.certificate.subject	直接對應。
certificate.type	event.idm.read_only_udm.additional.fields[].key: "Certificate_Type", event.idm.read_only_udm.additional.fields[].value.string_value: certificate.type 的值	對應為額外欄位。
密碼	event.idm.read_only_udm.network.tls.cipher	直接對應。
client_asset_name	event.idm.read_only_udm.principal.application	直接對應。
client_asset_subnet	event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: client_asset_subnet 的值	對應為額外欄位。
client_ip	event.idm.read_only_udm.principal.ip	直接對應。
client_port	event.idm.read_only_udm.principal.port	直接對應並轉換為整數。
ClientIP	event.idm.read_only_udm.principal.ip	直接對應。
ClientPort	event.idm.read_only_udm.principal.port	直接對應並轉換為整數。
ClientCountry	event.idm.read_only_udm.principal.location.country_or_region	如果不是「UNKNOWN」或空字串，則直接對應。
ClientAssetID	event.idm.read_only_udm.principal.asset_id	如果不是「0」或空字串，則會加上「Asset:」前置字元。
ClientAssetName	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetName", event.idm.read_only_udm.principal.resource.attribute.labels[].value: ClientAssetName 的值	對應為主體資源標籤。
ClientAssetRole	event.idm.read_only_udm.principal.asset.attribute.roles[].name	直接對應。
ClientAssetServices	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "ClientAssetServices", event.idm.read_only_udm.principal.resource.attribute.labels[].value: ClientAssetServices 的值	對應為主體資源標籤。
客戶	event.idm.read_only_udm.principal.resource.attribute.labels[].key: "Client", event.idm.read_only_udm.principal.resource.attribute.labels[].value: value of Client	對應為主體資源標籤。
收集器	event.idm.read_only_udm.security_result.detection_fields[].key: "Collector", event.idm.read_only_udm.security_result.detection_fields[].value: Collector 的值	對應為偵測欄位。
指令	event.idm.read_only_udm.network.http.method	直接對應 HTTP 事件。
指令	event.idm.read_only_udm.security_result.detection_fields[].key: "Command", event.idm.read_only_udm.security_result.detection_fields[].value: Command 的值	對應為偵測欄位。
連線	event.idm.read_only_udm.security_result.detection_fields[].key: "Connection", event.idm.read_only_udm.security_result.detection_fields[].value: Connection 的值	對應為偵測欄位。
DecodingPath	event.idm.read_only_udm.security_result.detection_fields[].key: "DecodingPath", event.idm.read_only_udm.security_result.detection_fields[].value: DecodingPath 的值	對應為偵測欄位。
dest_country	event.idm.read_only_udm.target.location.country_or_region	直接對應。
dest_domain	event.idm.read_only_udm.target.hostname	直接對應。
dest_ip	event.idm.read_only_udm.target.ip	直接對應。
dest_port	event.idm.read_only_udm.target.port	直接對應並轉換為整數。
方向	event.idm.read_only_udm.security_result.detection_fields[].key: "Direction", event.idm.read_only_udm.security_result.detection_fields[].value: value of Direction	對應為偵測欄位。
dns.host	event.idm.read_only_udm.network.dns.questions[].name	直接對應 DNS 事件。
DomainName	event.idm.read_only_udm.target.administrative_domain	直接對應。
DomainAlexaRank	event.idm.read_only_udm.security_result.detection_fields[].key: "DomainAlexaRank", event.idm.read_only_udm.security_result.detection_fields[].value: DomainAlexaRank 的值	對應為偵測欄位。
dport	event.idm.read_only_udm.target.port	直接對應並轉換為整數。
dnsresolution.server_fqdn	event.idm.read_only_udm.target.hostname	直接對應。
持續時間	event.idm.read_only_udm.security_result.detection_fields[].key: "Duration", event.idm.read_only_udm.security_result.detection_fields[].value: Duration 的值	對應為偵測欄位。
已加密	event.idm.read_only_udm.security_result.detection_fields[].key: "Encrypted", event.idm.read_only_udm.security_result.detection_fields[].value: value of Encrypted	對應為偵測欄位。
Entropy	event.idm.read_only_udm.security_result.detection_fields[].key: "Entropy", event.idm.read_only_udm.security_result.detection_fields[].value: Entropy 的值	對應為偵測欄位。
event.idm.read_only_udm.additional.fields	event.idm.read_only_udm.additional.fields	包含根據剖析器邏輯的各種額外欄位。
event.idm.read_only_udm.metadata.description	event.idm.read_only_udm.metadata.description	直接從摘要欄位對應。
event.idm.read_only_udm.metadata.event_type	event.idm.read_only_udm.metadata.event_type	根據各種記錄欄位和剖析器邏輯決定。可以是 GENERIC_EVENT、NETWORK_CONNECTION、NETWORK_HTTP、NETWORK_SMTP、NETWORK_DNS、STATUS_UPDATE、NETWORK_FLOW。
event.idm.read_only_udm.metadata.log_type	event.idm.read_only_udm.metadata.log_type	設為「FIDELIS_NETWORK」。
event.idm.read_only_udm.metadata.product_name	event.idm.read_only_udm.metadata.product_name	設為「FIDELIS_NETWORK」。
event.idm.read_only_udm.metadata.vendor_name	event.idm.read_only_udm.metadata.vendor_name	設為「FIDELIS_NETWORK」。
event.idm.read_only_udm.network.application_protocol	event.idm.read_only_udm.network.application_protocol	依據 server_port 或通訊協定欄位決定。可以是 HTTP、HTTPS、SMTP、SSH、RPC、DNS、NFS、AOLMAIL。
event.idm.read_only_udm.network.direction	event.idm.read_only_udm.network.direction	根據摘要中的方向欄位或關鍵字判斷。可以是 INBOUND 或 OUTBOUND。
event.idm.read_only_udm.network.dns.answers	event.idm.read_only_udm.network.dns.answers	系統會針對 DNS 事件填入資料。
event.idm.read_only_udm.network.dns.id	event.idm.read_only_udm.network.dns.id	從 DNS 事件的數字欄位對應。
event.idm.read_only_udm.network.dns.questions	event.idm.read_only_udm.network.dns.questions	系統會針對 DNS 事件填入資料。
event.idm.read_only_udm.network.email.from	event.idm.read_only_udm.network.email.from	如果「寄件者」是有效的電子郵件地址，則直接從「寄件者」對應。
event.idm.read_only_udm.network.email.subject	event.idm.read_only_udm.network.email.subject	直接從 Subject 對應。
event.idm.read_only_udm.network.email.to	event.idm.read_only_udm.network.email.to	直接從「收件者」對應。
event.idm.read_only_udm.network.ftp.command	event.idm.read_only_udm.network.ftp.command	直接從 ftp.command 對應。
event.idm.read_only_udm.network.http.method	event.idm.read_only_udm.network.http.method	直接從 http.command 或 Command 對應。
event.idm.read_only_udm.network.http.referral_url	event.idm.read_only_udm.network.http.referral_url	直接從參照網址對應。
event.idm.read_only_udm.network.http.response_code	event.idm.read_only_udm.network.http.response_code	直接從 http.status_code 或 StatusCode 對應，並轉換為整數。
event.idm.read_only_udm.network.http.user_agent	event.idm.read_only_udm.network.http.user_agent	直接從 http.useragent 或 UserAgent 對應。
event.idm.read_only_udm.network.ip_protocol	event.idm.read_only_udm.network.ip_protocol	如果是 TCP 或 UDP，則直接從 tproto 對應。
event.idm.read_only_udm.network.received_bytes	event.idm.read_only_udm.network.received_bytes	從 event1.server_packet_count 重新命名，並轉換為無正負號整數。
event.idm.read_only_udm.network.sent_bytes	event.idm.read_only_udm.network.sent_bytes	從 event1.client_packet_count 重新命名，並轉換為無正負號整數。
event.idm.read_only_udm.network.session_duration.seconds	event.idm.read_only_udm.network.session_duration.seconds	從 event1.session_size 重新命名，並轉換為整數。
event.idm.read_only_udm.network.session_id	event.idm.read_only_udm.network.session_id	直接從 event1.rel_sesid 或 UserSessionID 對應。
event.idm.read_only_udm.network.tls.client.certificate.issuer	event.idm.read_only_udm.network.tls.client.certificate.issuer	直接從 event1.certificate_issuer_name 對應。
event.idm.read_only_udm.network.tls.client.certificate.not_after	event.idm.read_only_udm.network.tls.client.certificate.not_after	從 event1.certificate_end_date 剖析並轉換為時間戳記。
event.idm.read_only_udm.network.tls.client.certificate.not_before	event.idm.read_only_udm.network.tls.client.certificate.not_before	從 event1.certificate_start_date 剖析並轉換為時間戳記。
event.idm.read_only_udm.network.tls.client.certificate.subject	event.idm.read_only_udm.network.tls.client.certificate.subject	直接從 event1.certificate_subject_name 對應。
event.idm.read_only_udm.network.tls.client.ja3	event.idm.read_only_udm.network.tls.client.ja3	直接從 event1.ja3digest 對應，並轉換為字串。
event.idm.read_only_udm.network.tls.cipher	event.idm.read_only_udm.network.tls.cipher	直接從 event1.cipher、CipherSuite、cipher 或 event1.tls_ciphersuite 對應。
event.idm.read_only_udm.network.tls.server.certificate.issuer	event.idm.read_only_udm.network.tls.server.certificate.issuer	直接從 certificate_issuer_name 對應。
event.idm.read_only_udm.network.tls.server.certificate.subject	event.idm.read_only_udm.network.tls.server.certificate.subject	直接從 certificate_subject_name 對應。
event.idm.read_only_udm.network.tls.server.ja3s	event.idm.read_only_udm.network.tls.server.ja3s	直接從 event1.ja3sdigest 對應，並轉換為字串。
event.idm.read_only_udm.network.tls.version	event.idm.read_only_udm.network.tls.version	直接從 event1.version 對應。
event.idm.read_only_udm.principal.application	event.idm.read_only_udm.principal.application	直接從 event1.client_asset_name 對應。
event.idm.read_only_udm.principal.asset.attribute.roles[].name	event.idm.read_only_udm.principal.asset.attribute.roles[].name	直接從 ClientAssetRole 對應。
event.idm.read_only_udm.principal.asset_id	event.idm.read_only_udm.principal.asset_id	直接從 ClientAssetID 或 ServerAssetID 對應 (前置字串為「Asset:」)。
event.idm.read_only_udm.principal.hostname	event.idm.read_only_udm.principal.hostname	直接從 event1.sld 或 src_domain 對應。
event.idm.read_only_udm.principal.ip	event.idm.read_only_udm.principal.ip	直接從 event1.src_ip6、client_ip 或 ClientIP 對應。
event.idm.read_only_udm.principal.location.country_or_region	event.idm.read_only_udm.principal.location.country_or_region	如果不是「UNKNOWN」或空字串，則直接從 ClientCountry 或 src_country 對應。
event.idm.read_only_udm.principal.port	event.idm.read_only_udm.principal.port	直接從 event1.sport 或 client_port 對應，並轉換為整數。
event.idm.read_only_udm.principal.resource.attribute.labels	event.idm.read_only_udm.principal.resource.attribute.labels	包含根據剖析器邏輯產生的各種標籤。
event.idm.read_only_udm.principal.user.userid	event.idm.read_only_udm.principal.user.userid	直接從 ftp.user 或 AppUser 對應。
event.idm.read_only_udm.security_result.action	event.idm.read_only_udm.security_result.action	依嚴重程度而定。可以是 ALLOW、BLOCK 或 UNKNOWN_ACTION。
event.idm.read_only_udm.security_result.action_details	event.idm.read_only_udm.security_result.action_details	如果不是「none」或空字串，則直接從動作對應。
event.idm.read_only_udm.security_result.category	event.idm.read_only_udm.security_result.category	如果存在 malware_type，請設為 NETWORK_SUSPICIOUS。
event.idm.read_only_udm.security_result.detection_fields	event.idm.read_only_udm.security_result.detection_fields	包含根據剖析器邏輯而定的各種偵測欄位。
event.idm.read_only_udm.security_result.rule_name	event.idm.read_only_udm.security_result.rule_name	直接從 rule_name 對應。
event.idm.read_only_udm.security_result.severity	event.idm.read_only_udm.security_result.severity	依嚴重程度而定。可以是 INFORMATIONAL、MEDIUM、ERROR 或 CRITICAL。
event.idm.read_only_udm.security_result.summary	event.idm.read_only_udm.security_result.summary	直接從標籤對應。
event.idm.read_only_udm.security_result.threat_name	event.idm.read_only_udm.security_result.threat_name	直接從 malware_type 對應，或從摘要剖析 (如果包含「CVE-」)。
event.idm.read_only_udm.target.administrative_domain	event.idm.read_only_udm.target.administrative_domain	直接從 DomainName 對應。
event.idm.read_only_udm.target.asset.attribute.roles[].name	event.idm.read_only_udm.target.asset.attribute.roles[].name	直接從 ServerAssetRole 對應。
event.idm.read_only_udm.target.file.full_path	event.idm.read_only_udm.target.file.full_path	直接從 ftp.filename 或 Filename 對應。
event.idm.read_only_udm.target.file.md5	event.idm.read_only_udm.target.file.md5	直接從 event1.md5 或 md5 對應。
event.idm.read_only_udm.target.file.mime_type	event.idm.read_only_udm.target.file.mime_type	直接從 event1.filetype 對應。
event.idm.read_only_udm.target.file.sha1	event.idm.read_only_udm.target.file.sha1	直接從 event1.srvcerthash 對應。
event.idm.read_only_udm.target.file.sha256	event.idm.read_only_udm.target.file.sha256	直接從 event1.sha256 或 sha256 對應。
event.idm.read_only_udm.target.file.size	event.idm.read_only_udm.target.file.size	從 event1.filesize 重新命名，如果不是 0，則轉換為不帶正負號的整數。
event.idm.read_only_udm.target.hostname	event.idm.read_only_udm.target.hostname	直接從 event1.sni、dest_domain 或 Host 對應。
event.idm.read_only_udm.target.ip	event.idm.read_only_udm.target.ip	直接從 event1.dst_ip6、server_ip 或 ServerIP 對應。
event.idm.read_only_udm.target.location.country_or_region	event.idm.read_only_udm.target.location.country_or_region	直接從 dest_country 或 ServerCountry 對應。
event.idm.read_only_udm.target.platform	event.idm.read_only_udm.target.platform	正規化後從 asset_os 對應。
event.idm.read_only_udm.target.platform_version	event.idm.read_only_udm.target.platform_version	直接從 os_version 對應。
event.idm.read_only_udm.target.port	event.idm.read_only_udm.target.port	直接從 event1.dport 或 server_port 對應，並轉換為整數。
event.idm.read_only_udm.target.resource.attribute.labels	event.idm.read_only_udm.target.resource.attribute.labels	包含根據剖析器邏輯產生的各種標籤。
event.idm.read_only_udm.target.url	event.idm.read_only_udm.target.url	直接從網址或網址對應。
event.idm.read_only_udm.target.user.product_object_id	event.idm.read_only_udm.target.user.product_object_id	直接從 uuid 對應。
event1.certificate_end_date	event.idm.read_only_udm.network.tls.client.certificate.not_after	剖析並轉換為時間戳記。
event1.certificate_extended_key_usage	event.idm.read_only_udm.additional.fields[].key: "Extended Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_extended_key_usage 的值	對應為額外欄位。
event1.certificate_issuer_name	event.idm.read_only_udm.network.tls.client.certificate.issuer	直接對應。
event1.certificate_key_length	event.idm.read_only_udm.additional.fields[].key: "Key Length", event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_key_length 的值	對應為額外欄位。
event1.certificate_key_usage	event.idm.read_only_udm.additional.fields[].key: "Key Usage", event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_key_usage 的值	對應為額外欄位。
event1.certificate_start_date	event.idm.read_only_udm.network.tls.client.certificate.not_before	剖析並轉換為時間戳記。
event1.certificate_subject_altname	event.idm.read_only_udm.additional.fields[].key: "Certificate Alternate Name", event.idm.read_only_udm.additional.fields[].value.string_value: event1.certificate_subject_altname 的值	對應為額外欄位。
event1.certificate_subject_name	event.idm.read_only_udm.network.tls.client.certificate.subject	直接對應。
event1.client_asset_name	event.idm.read_only_udm.principal.application	直接對應。
event1.client_asset_subnet	event.idm.read_only_udm.additional.fields[].key: "client_asset_subnet", event.idm.read_only_udm.additional.fields[].value.string_value: event1.client_asset_subnet 的值	對應為額外欄位。
event1.client_packet_count	event.idm.read_only_udm.network.sent_bytes	已轉換為不帶正負號的整數，並重新命名。
event1.cipher	event.idm.read_only_udm.network.tls.cipher	直接對應。
event1.direction	event.idm.read_only_udm.network.direction	如果為「s2c」，則對應至 INBOUND；如果為「c2s」，則對應至 OUTBOUND。
event1.dport	event.idm.read_only_udm.target.port	原始記錄中的 `event1.dport` 值會轉換為整數，並對應至 `target.port` 欄位。
event1.dst_ip6	event.idm.read_only_udm.target.ip	原始記錄中的 `event1.dst_ip6` 值會對應至 `target.ip` 欄位。
event1.filetype	event.idm.read_only_udm.target.file.mime_type	原始記錄中的 `event1.filetype` 值會對應至 `target.file.mime_type` 欄位。
event1.filesize	event.idm.read_only_udm.target.file.size	如果原始記錄中的 `event1.filesize` 值不是 0，系統會將該值轉換為不帶正負號的整數，並對應至 `target.file.size` 欄位。
event1.ja3digest	event.idm.read_only_udm.network.tls.client.ja3	原始記錄中的 `event1.ja3digest` 值會轉換為字串，並對應至 `network.tls.client.ja3` 欄位。
event1.ja3sdigest	event.idm.read_only_udm.network.tls.server.ja3s	原始記錄中的 `event1.ja3sdigest` 值會轉換為字串，並對應至 `network.tls.server.ja3s` 欄位。
event1.md5	event.idm.read_only_udm.target.file.md5	原始記錄中的 `event1.md5` 值會對應至 `target.file.md5` 欄位。
event1.rel_sesid	event.idm.read_only_udm.network.session_id	原始記錄中的 `event1.rel_sesid` 值會對應至 `network.session_id` 欄位。
event1.server_packet_count	event.idm.read_only_udm.network.received_bytes	原始記錄中的 `event1.server_packet_count` 值會轉換為不帶正負號的整數，並對應至 `network.received_bytes` 欄位。
event1.session_size	event.idm.read_only_udm.network.session_duration.seconds	原始記錄中的 `event1.session_size` 值會轉換為整數，並對應至 `network.session_duration.seconds` 欄位。
event1.sha256	event.idm.read_only_udm.target.file.sha256	原始記錄中的 `event1.sha256` 值會對應至 `target.file.sha256` 欄位。
event1.sld	event.idm.read_only_udm.principal.hostname	原始記錄中的 `event1.sld` 值會對應至 `principal.hostname` 欄位。
event1.sni	event.idm.read_only_udm.target.hostname	原始記錄中的 `event1.sni` 值會對應至 `target.hostname` 欄位。
event1.sport	event.idm.read_only_udm.principal.port	原始記錄中的 `event1.sport` 值會轉換為整數，並對應至 `principal.port` 欄位。
event1.src_ip6	event.idm.read_only_udm.principal.ip	原始記錄中的 `event1.src_ip6` 值會對應至 `principal.ip` 欄位。
event1.srvcerthash	event.idm.read_only_udm.target.file.sha1	原始記錄中的 `event1.srvcerthash` 值會對應至 `target.file.sha1` 欄位。
event1.tls_ciphersuite	event.idm.read_only_udm.network.tls.cipher	原始記錄中的 `event1.tls_ciphersuite` 值會對應至 `network.tls.cipher` 欄位。
event1.version	event.idm.read_only_udm.network.tls.version	原始記錄中的 `event1.version` 值會對應至 `network.tls.version` 欄位。
檔案名稱	event.idm.read_only_udm.target.file.full_path	原始記錄中的 `Filename` 值會對應至 `target.file.full_path` 欄位。
寄件者	event.idm.read_only_udm.network.email.from	如果原始記錄中的 `From` 值是有效的電子郵件地址，就會對應至 `network.email.from` 欄位。
ftp.command	event.idm.read_only_udm.network.ftp.command	原始記錄中的 `ftp.command` 值會對應至 `network.ftp.command` 欄位。
ftp.filename	event.idm.read_only_udm.target.file.full_path	原始記錄中的 `ftp.filename` 值會對應至 `target.file.full_path` 欄位。
ftp.user	event.idm.read_only_udm.principal.user.userid	原始記錄中的 `ftp.user` 值會對應至 `principal.user.userid` 欄位。
主機	event.idm.read_only_udm.target.hostname	原始記錄中的 `Host` 值會對應至 `target.hostname` 欄位。
http.command	event.idm.read_only_udm.network.http.method	原始記錄中的 `http.command` 值會對應至 `network.http.method` 欄位。
http.status_code	event.idm.read_only_udm.network.http.response_code	原始記錄中的 `http.status_code` 值會轉換為整數，並對應至 `network.http.response_code` 欄位。
http.useragent	event.idm.read_only_udm.network.http.user_agent	原始記錄中的 `http.useragent` 值會對應至 `network.http.user_agent` 欄位。
標籤	event.idm.read_only_udm.security_result.summary	原始記錄中的 `label` 值會對應至 `security_result.summary` 欄位。
malware_type	event.idm.read_only_udm.security_result.threat_name	原始記錄中的 `malware_type` 值會對應至 `security_result.threat_name` 欄位。
md5	event.idm.read_only_udm.target.file.md5	原始記錄中的 `md5` 值會對應至 `target.file.md5` 欄位。
數字	event.idm.read_only_udm.network.dns.id	原始記錄中的 `number` 值會對應至 DNS 事件的 `network.dns.id` 欄位。
os_version	event.idm.read_only_udm.target.platform_version	原始記錄中的 `os_version` 值會對應至 `target.platform_version` 欄位。
參照網址	event.idm.read_only_udm.network.http.referral_url	原始記錄中的 `Referer` 值會對應至 `network.http.referral_url` 欄位。
rule_name	event.idm.read_only_udm.security_result.rule_name	原始記錄中的 `rule_name` 值會對應至 `security_result.rule_name` 欄位。
server_ip	event.idm.read_only_udm.target.ip	原始記錄中的 `server_ip` 值會對應至 `target.ip` 欄位。
server_port	event.idm.read_only_udm.target.port	原始記錄中的 `server_port` 值會轉換為整數，並對應至 `target.port` 欄位。
ServerAssetID	event.idm.read_only_udm.principal.asset_id	如果原始記錄中的 `ServerAssetID` 值不是「0」或空白，系統會在該值前面加上「Asset:」，並對應至 `principal.asset_id` 欄位。
ServerAssetRole	event.idm.read_only_udm.target.asset.attribute.roles[].name	原始記錄中的 `ServerAssetRole` 值會對應至 `target.asset.attribute.roles[].name` 欄位。
ServerCountry	event.idm.read_only_udm.target.location.country_or_region	原始記錄中的 `ServerCountry` 值會對應至 `target.location.country_or_region` 欄位。
ServerIP	event.idm.read_only_udm.target.ip	原始記錄中的 `ServerIP` 值會對應至 `target.ip` 欄位。
sha256	event.idm.read_only_udm.target.file.sha256	原始記錄中的 `sha256` 值會對應至 `target.file.sha256` 欄位。
src_country	event.idm.read_only_udm.principal.location.country_or_region	如果原始記錄中的 `src_country` 值不是「UNKNOWN」或空白，就會對應至 `principal.location.country_or_region` 欄位。
src_domain	event.idm.read_only_udm.principal.hostname	原始記錄中的 `src_domain` 值會對應至 `principal.hostname` 欄位。
StatusCode	event.idm.read_only_udm.network.http.response_code	原始記錄中的 `StatusCode` 值會轉換為整數，並對應至 `network.http.response_code` 欄位。
主旨	event.idm.read_only_udm.network.email.subject	原始記錄中的 `Subject` 值會對應至 `network.email.subject` 欄位。
摘要	event.idm.read_only_udm.metadata.description	原始記錄中的 `summary` 值會對應至 `metadata.description` 欄位。
收件者	event.idm.read_only_udm.network.email.to	原始記錄中的 `To` 值會對應至 `network.email.to` 欄位。
tproto	event.idm.read_only_udm.network.ip_protocol	如果原始記錄中的 `tproto` 值為 TCP 或 UDP，系統會將該值對應至 `network.ip_protocol` 欄位。
網址	event.idm.read_only_udm.target.url	原始記錄中的 `url` 值會對應至 `target.url` 欄位。
網址	event.idm.read_only_udm.target.url	原始記錄中的 `URL` 值會對應至 `target.url` 欄位。
UserAgent	event.idm.read_only_udm.network.http.user_agent	原始記錄中的 `UserAgent` 值會對應至 `network.http.user_agent` 欄位。
UserSessionID	event.idm.read_only_udm.network.session_id	原始記錄中的 `UserSessionID` 值會對應至 `network.session_id` 欄位。
uuid	event.idm.read_only_udm.target.user.product_object_id	原始記錄中的 `uuid` 值會對應至 `target.user.product_object_id` 欄位。
不適用	event.idm.read_only_udm.metadata.log_type	設為「FIDELIS_NETWORK」。
不適用	event.idm.read_only_udm.metadata.product_name	設為「FIDELIS_NETWORK」。
不適用	event.idm.read_only_udm.metadata.vendor_name	設為「FIDELIS_NETWORK」。
`msg`	`event.idm.read_only_udm.metadata.description`	從變更記錄對應
`suser`	`event.idm.read_only_udm.principal.user.userid`	從變更記錄對應
`event1.tproto`	`network.ip_protocol`	從變更記錄對應
`event1.server_asset_subnet`	`read_only_udm.additional.fields`	從變更記錄對應
`event1.sha1hash`	`read_only_udm.additional.fields`	從變更記錄對應
`event1.type`	`read_only_udm.additional.fields`	從變更記錄對應
`event1.histbuf`	`read_only_udm.additional.fields`	從變更記錄對應
`event1.sen_name`	`read_only_udm.additional.fields`	從變更記錄對應
`exe_richsignaturehash", "exe_richsignaturepvhash", "alert_threat_score`	`security_result.detection_fields`	從變更記錄對應

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。