收集 Radware 網頁應用程式防火牆記錄
支援的服務：
Google SecOps
SIEM
本文說明如何使用 Bindplane 代理程式，將 Radware 網頁應用程式防火牆記錄擷取至 Google Security Operations。
Radware 網頁應用程式防火牆 (AppWall) 是應用程式安全防護解決方案，可產生 Syslog 訊息，用於偵測網頁攻擊、違反政策、機器人防護事件和存取控管決策。剖析器會使用 grok 模式，從 syslog 格式的記錄中擷取欄位，並對應至統合式資料模型 (UDM)。
事前準備
請確認您符合下列必要條件：
- Google SecOps 執行個體
- Windows Server 2016 以上版本，或搭載
systemd的 Linux 主機 - Bindplane 代理程式與 Radware AppWall 或 Vision Reporter 之間的網路連線
- 如果是在 Proxy 後方執行，請確認防火牆通訊埠已按照 Bindplane 代理程式規定開啟
- Radware AppWall 或 Vision Reporter 管理控制台的管理員權限
取得 Bindplane 代理程式的 Google SecOps 憑證
如要向 Google SecOps 驗證 Bindplane 代理程式，請選擇下列其中一種方法：
- 新部署作業：使用 Chronicle API (選項 1)。
- 舊版部署作業：繼續使用擷取驗證檔案 (選項 2)，直到 Ingestion API 於 2027 年 7 月 20 日停用。
方法 1：為 Chronicle API 建立服務帳戶 (建議)
- 登入 Google Cloud 控制台，選取連結至 Google SecOps 執行個體的 Google Cloud 專案。
- 依序前往 「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
- 按一下「建立服務帳戶」。
- 提供下列設定詳細資料：
- 服務帳戶名稱：輸入帳戶名稱 (例如
bindplane-ingest)。 - 「服務帳戶說明」：輸入說明 (例如
Bindplane agent log ingestion)。
- 服務帳戶名稱：輸入帳戶名稱 (例如
- 點按「Create and continue」(建立並繼續)。
- 在「將專案存取權授予這個服務帳戶」部分，按一下「選取角色」，然後選取「Chronicle 編輯者」。
- 依序點選「繼續」和「完成」。
- 按一下您建立的服務帳戶，然後前往「金鑰」分頁。
- 依序點選「新增金鑰」>「建立新的金鑰」。
- 選取「JSON」，然後按一下「建立」。金鑰檔案會下載到電腦。
- 將金鑰檔案儲存為 Bindplane 收集器目錄中的
ingestion-auth.json(Linux 上的/opt/observiq-otel-collector/ingestion-auth.json或 Windows 上的C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)，或更新config.yaml中的creds_file_path，使其與儲存路徑相符。 - 依序前往「IAM & Admin」(IAM 與管理) >「Settings」(設定)，然後複製「Project number」(專案編號)。匯出工具設定時會用到。
方法 2：下載擷取驗證檔案 (舊版)
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「收集代理程式」。
- 下載擷取驗證檔案。
- 將檔案安全地儲存在要安裝 Bindplane 代理程式的系統上。
取得 Google SecOps 客戶 ID
- 登入 Google SecOps 控制台。
- 依序前往「SIEM 設定」>「設定檔」。
複製並儲存「機構詳細資料」專區中的「客戶 ID」。
安裝 Bindplane 代理程式
請按照下列操作說明，在 Windows 或 Linux 作業系統上安裝 Bindplane 代理程式。
Windows 安裝
- 以管理員身分開啟命令提示字元或 PowerShell。
執行下列指令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安裝完成。
執行下列指令，確認安裝成功：
sc query observiq-otel-collector服務應顯示為「RUNNING」。
安裝 Linux
- 開啟具有 root 或 sudo 權限的終端機。
執行下列指令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安裝完成。
執行下列指令，確認安裝成功：
sudo systemctl status observiq-otel-collector服務應顯示為「active (running)」。
其他安裝資源
如需其他安裝選項和疑難排解資訊，請參閱 Bindplane 代理程式安裝指南。
設定 Bindplane 代理程式，擷取系統記錄並傳送至 Google SecOps
找出設定檔
Linux：
sudo nano /opt/observiq-otel-collector/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
編輯設定檔
將
config.yaml的全部內容替換為下列設定：receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/radware_firewall: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: chronicle.googleapis.com log_type: RADWARE_FIREWALL raw_log_field: body service: pipelines: logs/radware_firewall_to_chronicle: receivers: - udplog exporters: - chronicle/radware_firewall
設定參數
替換下列預留位置：
接收器設定：
listen_address：要監聽的 IP 位址和通訊埠：0.0.0.0：在所有介面上監聽 (建議)- 通訊埠
514是標準的系統記錄通訊埠 (在 Linux 上需要根層級權限；如果沒有根層級權限，請使用1514)
Exporter 設定：
creds_file_path：服務帳戶 JSON 金鑰檔案的完整路徑 (選項 1)：- Linux：
/opt/observiq-otel-collector/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：從 Google SecOps 控制台複製的客戶 IDlocation：將<LOCATION>替換為 Google SecOps 執行個體的區域 (例如us、europe或asia-southeast1)。匯出工具會以這個值做為chronicle.googleapis.com的前置字元。如需完整清單，請參閱「區域性端點」。project：依序前往「IAM 與管理」>「設定」，然後將<PROJECT_NUMBER>替換為專案編號。endpoint：請將此值設為chronicle.googleapis.com。
舊版擷取 API 匯出工具
如果您使用方式 2 的擷取驗證檔案，請將
exporters區塊替換成下列內容。將creds_file_path設為擷取驗證檔案的路徑。如果執行個體位於美國境外，請將malachiteingestion-pa.googleapis.com替換為區域端點 (例如europe-malachiteingestion-pa.googleapis.com)。exporters: chronicle/radware_firewall: compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: RADWARE_FIREWALL raw_log_field: body
儲存設定檔
- 編輯完畢後，請儲存檔案：
- Linux：依序按下
Ctrl+O、Enter和Ctrl+X - Windows：依序點選「檔案」 > 「儲存」
- Linux：依序按下
重新啟動 Bindplane 代理程式，套用變更
如要在 Linux 中重新啟動 Bindplane 代理程式，請執行下列指令：
sudo systemctl restart observiq-otel-collector確認服務正在執行：
sudo systemctl status observiq-otel-collector檢查記錄是否有錯誤：
sudo journalctl -u observiq-otel-collector -f
如要在 Windows 中重新啟動 Bindplane 代理程式，請選擇下列任一選項：
以管理員身分開啟命令提示字元或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector服務控制台：
- 按下
Win+R，輸入services.msc，然後按下 Enter 鍵。 - 找出「observIQ OpenTelemetry Collector」。
- 按一下滑鼠右鍵，然後選取「重新啟動」。
確認服務是否正在執行：
sc query observiq-otel-collector查看記錄檔是否有錯誤：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
- 按下
設定 Radware AppWall，將記錄轉送至 Bindplane
您可以設定從 AppWall 獨立裝置、Alteon 整合式 AppWall 或 Vision Reporter 轉送系統記錄檔。
選項 1：使用 Vision Reporter 獨立部署 AppWall
- 登入 AppWall 管理控制台。
- 依序前往「設定」>「服務」>「Vision 支援」>「Vision 報告器」。
- 啟用「將事件傳送至 Vision Reporter」。
- 將「Server IP」(伺服器 IP) 設為 Vision Reporter IP 位址。
- 設定「通訊埠」(例如
514)。 - 將「Protocol」(通訊協定) 設為「UDP」。
- 選用：啟用「傳送回覆」，轉送回覆資料。
- 按一下 [儲存]。
選項 2：在 Alteon 中整合 AppWall
- 登入 Alteon 管理控制台。
- 依序前往「Configuration」 >「Security」 >「Web Security」 >「Vision Reporter」。
- 啟用 Vision Reporter 整合功能。
- 將「Server IP」設為 Vision Reporter IP 位址。
- 設定「通訊埠」(例如
514)。 - 將「通訊協定」設為「UDP」。
- 按一下 [儲存]。
選項 3：Vision Reporter 轉送至 Bindplane
- 登入 Vision Reporter 管理控制台。
- 依序前往「設定」> SIEM 和外部記錄。
- 按一下「+ 新增 SIEM 目的地」。
- 提供下列設定詳細資料：
- 名稱：輸入名稱 (例如
Google SecOps Forwarder)。 - 記錄匯出類型：選取「Syslog RFC 5424」。
- 遠端 Syslog 伺服器：輸入 Bindplane 代理程式 IP 位址。
- 「Port」(通訊埠)：輸入
514。 - 「通訊協定」：選取「UDP」。
- 名稱：輸入名稱 (例如
- 按一下 [儲存]。
UDM 對應表
| 記錄欄位 | UDM 對應 | 邏輯 |
|---|---|---|
action |
event.idm.read_only_udm.security_result.action |
如果 action 為「drop」，請設為「BLOCK」。 |
attack_desc |
event.idm.read_only_udm.security_result.description |
直接對應。 |
attack_type |
event.idm.read_only_udm.security_result.threat_name |
直接對應。 |
command |
event.idm.read_only_udm.principal.process.command_line |
直接對應。 |
description |
event.idm.read_only_udm.security_result.description |
如果 attack_desc 為空白，則直接對應。 |
dst_ip |
event.idm.read_only_udm.target.ip |
直接對應。 |
dst_port |
event.idm.read_only_udm.target.port |
直接對應，並轉換為整數。如果存在 username 但不存在 command，請設為「MACHINE」。複製自原始記錄的 collection_time 欄位。預設為「NETWORK_CONNECTION」。如果缺少 src_ip 或 dst_ip，請設為「GENERIC_EVENT」。如果 username 存在，但 command 不存在，請設為「USER_LOGIN」。可由以 attack_id 為基礎的邏輯覆寫。設為「RADWARE_FIREWALL」。從「product」欄位對應。設為「Radware」。 |
intermediary_ip |
event.idm.read_only_udm.intermediary.ip |
直接對應。 |
obv_ip |
event.idm.read_only_udm.observer.ip |
直接對應。 |
product |
event.idm.read_only_udm.metadata.product_name |
直接對應。 |
protocol_number_src |
event.idm.read_only_udm.network.ip_protocol |
使用 parse_ip_protocol.include 邏輯剖析。 |
rule_id |
event.idm.read_only_udm.security_result.rule_id |
直接對應。根據 attack_id 的值衍生。值包括「ACL_VIOLATION」、「NETWORK_DENIAL_OF_SERVICE」、「NETWORK_SUSPICIOUS」、「NETWORK_RECON」。 |
src_ip |
event.idm.read_only_udm.principal.ip |
直接對應。 |
src_port |
event.idm.read_only_udm.principal.port |
直接對應，並轉換為整數。 |
ts |
event.idm.read_only_udm.metadata.event_timestamp |
剖析並轉換為時間戳記。 |
username |
event.idm.read_only_udm.target.user.userid |
如果沒有 command，則直接對應。 |
username |
event.idm.read_only_udm.principal.user.userid |
如果 command 存在，則直接對應。 |
component |
event.idm.read_only_udm.metadata.product_name |
從變更記錄對應 |
device_module |
event.idm.read_only_udm.metadata.product_name |
從變更記錄對應 |
SVC |
event.idm.read_only_udm.network.ip_protocol |
從變更記錄對應 |
webappname |
event.idm.read_only_udm.target.application |
從變更記錄對應 |
tunnel |
event.idm.read_only_udm.target.resource.name |
從變更記錄對應 |
proto |
event.idm.read_only_udm.network.application_protocol |
從變更記錄對應 |
sport |
event.idm.read_only_udm.principal.port |
從變更記錄對應 |
threatcategory |
event.idm.read_only_udm.security_result.category_details |
從變更記錄對應 |
sev |
event.idm.read_only_udm.security_result.severity |
從變更記錄對應 |
component |
event.idm.read_only_udm.intermediary.application |
從變更記錄對應 |
id |
event.idm.read_only_udm.observer.asset.asset_id |
從變更記錄對應 |
attackname |
event.idm.read_only_udm.security_result.summary |
從變更記錄對應 |
method |
event.idm.read_only_udm.network.http.method |
從變更記錄對應 |
protocol |
event.idm.read_only_udm.network.application_protocol |
從變更記錄對應 |
dhost |
event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname |
從變更記錄對應 |
referer |
event.idm.read_only_udm.network.http.referral_url |
從變更記錄對應 |
apath |
event.idm.read_only_udm.principal.url |
從變更記錄對應 |
version |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
refinecrc_field |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
refine_field |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
Hosts |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
connection |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
access |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
Origin |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
sec_fetch |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
fetch_site |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
fetch_dest |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
Referer |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
accept_encoding |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
req |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
directory |
event.idm.read_only_udm.target.file.full_path |
從變更記錄對應 |
request_header |
event.idm.read_only_udm.principal.resource.attribute.labels |
從變更記錄對應 |
record_name |
event.idm.read_only_udm.security_result.summary |
從變更記錄對應 |
record_violation_reason |
event.idm.read_only_udm.security_result.summary |
從變更記錄對應 |
record_category |
event.idm.read_only_udm.security_result.category_details |
從變更記錄對應 |
record_bot_category |
event.idm.read_only_udm.security_result.category_details |
從變更記錄對應 |
record_totalVolume |
event.idm.read_only_udm.network.sent_bytes |
從變更記錄對應 |
record_totalPackets |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
record_session_cookie |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
record_headers |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
country_Code |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
record_ID |
event.idm.read_only_udm.metadata.product_log_id |
從變更記錄對應 |
record_tid |
event.idm.read_only_udm.metadata.product_log_id |
從變更記錄對應 |
record_status |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
record_signature_pattern |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
record_site |
event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname |
從變更記錄對應 |
record_url |
event.idm.read_only_udm.target.url |
從變更記錄對應 |
record_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
record_sourceIP |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
record_ua |
event.idm.read_only_udm.principal.resource.attribute.labels |
從變更記錄對應 |
record_policy_id |
event.idm.read_only_udm.security_result.rule_id |
從變更記錄對應 |
record_destinationIP |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
record.time |
event.idm.read_only_udm.metadata.event_timestamp |
從變更記錄對應 |
app_protocol_output |
event.idm.read_only_udm.network.application_protocol |
從變更記錄對應 |
app_protocol_src |
event.idm.read_only_udm.network.ip_protocol |
從變更記錄對應 |
community |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
login_result |
event.idm.read_only_udm.security_result.category_details |
從變更記錄對應 |
enrichmentContainer_geoLocation_countryCode |
event.idm.read_only_udm.principal.location.country_or_region |
從變更記錄對應 |
contractId |
event.idm.read_only_udm.target.labels |
從變更記錄對應 |
applicationId |
event.idm.read_only_udm.target.resource.attribute.labels |
從變更記錄對應 |
record.enrichmentContainer.owaspCategory2021 |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
module |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
refinecrcvalue |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
host |
event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname |
從變更記錄對應 |
msg_host |
event.idm.read_only_udm.target.hostname 和 event.idm.read_only_udm.target.asset.hostname |
從變更記錄對應 |
externalIp |
event.idm.read_only_udm.observer.ip |
從變更記錄對應 |
http_version |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
tenant |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
role |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
targetModule |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
security |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
title |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
violationCategory |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
violationType |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
webApp |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
cookie |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
lport |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
pragma |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
cache_control |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
accept_charset |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
accept_language |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
accept_header |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
milli |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
devtype |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
act |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
dir |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
attackrisk |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
SVC |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
msg_title |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
min |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
policy |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
protection |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
useraction |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
user |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
severity_code |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
tmodule |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
uriii |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
vhosts |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
msg_parameter |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
msg_module |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
msg_error_number |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
device_module |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
vhost |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
vhost_field |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
request_uri |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
authenticated_role_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
authenticated_role_id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
user_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
user_authentication |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
sourceIp |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
lip_IP |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
extip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
dip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
sourcePort |
event.idm.read_only_udm.principal.port |
從變更記錄對應 |
violationDetails |
event.idm.read_only_udm.metadata.description |
從變更記錄對應 |
subj |
event.idm.read_only_udm.metadata.description |
從變更記錄對應 |
transId |
event.idm.read_only_udm.metadata.product_log_id |
從變更記錄對應 |
evtid |
event.idm.read_only_udm.metadata.product_log_id |
從變更記錄對應 |
applicationName |
event.idm.read_only_udm.target.application |
從變更記錄對應 |
receivedTimeStamp |
event.idm.read_only_udm.metadata.event_timestamp |
從變更記錄對應 |
apath |
event.idm.read_only_udm.target.url |
從變更記錄對應 |
req |
event.idm.read_only_udm.network.http.method |
從變更記錄對應 |
engineversion |
event.idm.read_only_udm.metadata.product_version |
從變更記錄對應 |
user_agent |
event.idm.read_only_udm.network.http.user_agent |
從變更記錄對應 |
et |
event.idm.read_only_udm.metadata.product_event_type |
從變更記錄對應 |
hostname |
event.idm.read_only_udm.principal.hostname 和 event.idm.read_only_udm.principal.asset.hostname |
從變更記錄對應 |
host_ip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
sip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
lip |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
dhost |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
cmip |
event.idm.read_only_udm.intermediary.ip |
從變更記錄對應 |
sourceIp |
event.idm.read_only_udm.intermediary.ip |
從變更記錄對應 |
lport |
event.idm.read_only_udm.target.port |
從變更記錄對應 |
dport |
event.idm.read_only_udm.target.port |
從變更記錄對應 |
msg_description |
event.idm.read_only_udm.security_result.description |
從變更記錄對應 |
msg_referer |
event.idm.read_only_udm.network.http.referral_url |
從變更記錄對應 |
msg_suggestion |
event.idm.read_only_udm.security_result.summary |
從變更記錄對應 |
msg_authenticated_as |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
severity |
event.idm.read_only_udm.security_result.severity |
從變更記錄對應 |
user_agent_val |
event.idm.read_only_udm.network.http.user_agent |
從變更記錄對應 |
log_level |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
radware_field_1 |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
radware_field_2 |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
radware_field_3 |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
radware_field_4 |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
radware_field_5 |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
type |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
uuid |
event.idm.read_only_udm.target.resource.product_object_id |
從變更記錄對應 |
Type |
event.idm.read_only_udm.metadata.product_event_type |
從變更記錄對應 |
SourceIP |
event.idm.read_only_udm.principal.ip |
從變更記錄對應 |
SourcePort |
event.idm.read_only_udm.principal.port |
從變更記錄對應 |
Host |
event.idm.read_only_udm.principal.hostname |
從變更記錄對應 |
WebUser |
event.idm.read_only_udm.principal.user.userid |
從變更記錄對應 |
Role |
event.idm.read_only_udm.principal.user.role_name |
從變更記錄對應 |
WebApp, |
event.idm.read_only_udm.target.application |
從變更記錄對應 |
URI |
event.idm.read_only_udm.target.file.full_path |
從變更記錄對應 |
TransID |
event.idm.read_only_udm.network.session_id |
從變更記錄對應 |
http_method |
event.idm.read_only_udm.network.http.method |
從變更記錄對應 |
ref_url |
event.idm.read_only_udm.network.http.referral_url |
從變更記錄對應 |
AppPath, |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
Object, |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
ParamName, |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
ParamType |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
syslog_ip |
event.idm.read_only_udm.intermediary.ip |
從變更記錄對應 |
ServerName, |
event.idm.read_only_udm.intermediary.hostname |
從變更記錄對應 |
Description |
event.idm.read_only_udm.security_result.description |
從變更記錄對應 |
Title |
event.idm.read_only_udm.security_result.summary |
從變更記錄對應 |
Attackname |
event.idm.read_only_udm.security_result.rule_name |
從變更記錄對應 |
RuleID |
event.idm.read_only_udm.security_result.rule_id |
從變更記錄對應 |
Threatcategory |
event.idm.read_only_udm.security_result.category_details |
從變更記錄對應 |
Priority |
event.idm.read_only_udm.security_result.severity |
從變更記錄對應 |
IsPassive |
event.idm.read_only_udm.security_result.action |
從變更記錄對應 |
x_forwarded_for_ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
apikey |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
canary |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
client-version |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
content-type |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
client-request-id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
X-RDWR-APP-ID |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
X-RDWR-IP |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
X-RDWR-PORT |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
X-RDWR-PORT-MM |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
X-RDWR-PORT-MM-ORIG-FE-PORT |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
hpgrequestid |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
accept-language |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
purpose |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
upload-time |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
site |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
headers |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
client-request-id |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
client-id |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
category |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
policy_id |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
signature_pattern |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
status |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
violation_reason |
event.idm.read_only_udm.security_result.detection_fields |
從變更記錄對應 |
user-agent |
event.idm.read_only_udm.network.http.user_agent 和 event.idm.read_only_udm.network.http.parsed_user_agent |
從變更記錄對應 |
User-Agent |
event.idm.read_only_udm.network.http.user_agent 和 event.idm.read_only_udm.network.http.parsed_user_agent |
從變更記錄對應 |
ID |
event.idm.read_only_udm.metadata.product_log_id |
從變更記錄對應 |
destinationIP |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
sourceIP |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
country_code |
event.idm.read_only_udm.principal.location.country_or_region |
從變更記錄對應 |
application_name |
event.idm.read_only_udm.principal.application |
從變更記錄對應 |
ip |
event.idm.read_only_udm.principal.ip 和 event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
session_cookie |
event.idm.read_only_udm.network.session_id |
從變更記錄對應 |
tid |
event.idm.read_only_udm.metadata.product_log_id |
從變更記錄對應 |
url |
event.idm.read_only_udm.network.http.referral_url |
從變更記錄對應 |
ua |
event.idm.read_only_udm.network.http.user_agent 和 event.idm.read_only_udm.network.http.parsed_user_agent |
從變更記錄對應 |
sec_action |
event.idm.read_only_udm.security_result.action |
從變更記錄對應 |
bot_category |
event.idm.read_only_udm.security_result.category_details |
從變更記錄對應 |
externalIp |
event.idm.read_only_udm.target.ip 和 event.idm.read_only_udm.target.asset.ip |
從變更記錄對應 |
Referer |
event.idm.read_only_udm.network.http.referral_url |
從變更記錄對應 |
referrer |
event.idm.read_only_udm.network.http.referral_url |
從變更記錄對應 |
date |
event.idm.read_only_udm.metadata.event_timestamp |
從變更記錄對應 |
hostname |
event.idm.read_only_udm.principal.hostname |
從變更記錄對應 |
hostname |
event.idm.read_only_udm.principal.asset.hostname |
從變更記錄對應 |
hostip |
event.idm.read_only_udm.principal.ip |
從變更記錄對應 |
hostip |
event.idm.read_only_udm.principal.asset.ip |
從變更記錄對應 |
host |
event.idm.read_only_udm.target.hostname |
從變更記錄對應 |
host |
event.idm.read_only_udm.target.asset.hostname |
從變更記錄對應 |
time |
event.idm.read_only_udm.network.session_duration.seconds |
從變更記錄對應 |
et |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
total_bytes |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
blocked_bytes |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
passive_bytes |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
clean_bytes |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
tunnel_name |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
tunnel_id |
event.idm.read_only_udm.additional.fields |
從變更記錄對應 |
message_severity |
event.idm.read_only_udm.security_result.severity_details |
從變更記錄對應 |
sent_bytes |
event.idm.read_only_udm.network.sent_bytes |
從變更記錄對應 |
rule_id |
event.idm.read_only_udm.metadata.description |
從變更記錄對應 |
product |
event.idm.read_only_udm.metadata.product_event_type |
從變更記錄對應 |
action |
event.idm.read_only_udm.metadata.action_details |
從變更記錄對應 |
action |
subevent.idm.read_only_udm.sec_result.action |
從變更記錄對應 |
application_id |
subevent.idm.read_only_udm.additional.fields |
從變更記錄對應 |
accept_language |
subevent.idm.read_only_udm.additional.fields |
從變更記錄對應 |
cookie |
subevent.idm.read_only_udm.additional.fields |
從變更記錄對應 |
request |
subevent.idm.read_only_udm.additional.fields |
從變更記錄對應 |
received_timestamp |
subevent.idm.read_only_udm.additional.fields |
從變更記錄對應 |
tenant_name |
subevent.idm.read_only_udm.additional.fields |
從變更記錄對應 |
x-forwarded-for |
subevent.idm.read_only_udm.additional.fields |
從變更記錄對應 |
application_name |
subevent.idm.read_only_udm.principal.application |
從變更記錄對應 |
country_code |
subevent.idm.read_only_udm.principal.location.country_or_region |
從變更記錄對應 |
destination_port |
subevent.idm.read_only_udm.target.port |
從變更記錄對應 |
directory |
subevent.idm.read_only_udm.principal.process.file.full_path |
從變更記錄對應 |
http_bytes_in |
subevent.idm.read_only_udm.network.sent_bytes |
從變更記錄對應 |
http_bytes_out |
subevent.idm.read_only_udm.network.received_bytes |
從變更記錄對應 |
http_method |
subevent.idm.read_only_udm.network.http.method |
從變更記錄對應 |
protocol |
subevent.idm.read_only_udm.network.application_protocol |
從變更記錄對應 |
response_code |
subevent.idm.read_only_udm.network.http.response_code |
從變更記錄對應 |
source_port |
subevent.idm.read_only_udm.principal.port |
從變更記錄對應 |
user_agent |
subevent.idm.read_only_udm.network.http.user_agent |
從變更記錄對應 |
applicationName |
principal.application |
從變更記錄對應 |
action |
security_result.action_details |
從變更記錄對應 |
appPath |
principal.file.full_path |
從變更記錄對應 |
destinationIp |
target.ip |
從變更記錄對應 |
destinationPort |
target.port |
從變更記錄對應 |
directory |
principal.process.file.full_path |
從變更記錄對應 |
enrichmentContainer.geoLocation.countryCode |
principal.location.country_or_region |
從變更記錄對應 |
enrichmentContainer.contractId |
additional.fields |
從變更記錄對應 |
applicationId |
additional.fields |
從變更記錄對應 |
tenant |
additional.fields |
從變更記錄對應 |
owaspCategory2021 |
additional.fields |
從變更記錄對應 |
externalIp |
intermediary.ip |
從變更記錄對應 |
host |
principal.hostname |
從變更記錄對應 |
method |
network.http.method |
從變更記錄對應 |
passive |
additional.fields |
從變更記錄對應 |
protocol |
network.application_protocol |
從變更記錄對應 |
request |
additional.fields |
從變更記錄對應 |
role |
principal.user.role_name |
從變更記錄對應 |
security |
additional.fields |
從變更記錄對應 |
sourceIp |
`` | 從變更記錄對應 |
sourcePort |
principal.port |
從變更記錄對應 |
targetModule |
additional.fields |
從變更記錄對應 |
title |
metadata.description |
從變更記錄對應 |
transId |
additional.fields |
從變更記錄對應 |
URI |
target.file.full_path |
從變更記錄對應 |
user |
principal.user.role_description |
從變更記錄對應 |
vhost |
security_result.detection_fields |
從變更記錄對應 |
violationCategory |
additional.fields |
從變更記錄對應 |
violationDetails |
security_result.summary |
從變更記錄對應 |
violationType |
security_result.description |
從變更記錄對應 |
webApp |
additional.fields |
從變更記錄對應 |
severity |
security_result.severity |
從變更記錄對應 |
paramName |
additional.fields |
從變更記錄對應 |
paramValue |
additional.fields |
從變更記錄對應 |
paramType |
additional.fields |
從變更記錄對應 |
receivedTimeStamp |
metadata.event_timestamp |
從變更記錄對應 |
變更記錄
還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。