Esta página foi traduzida pela API Cloud Translation.

Recolha registos do Blue Coat ProxySG

Compatível com:

Google secops SIEM

Este documento explica como carregar registos do Blue Coat ProxySG para o Google Security Operations através do Bindplane. O analisador processa registos do proxy da Web Blue Coat, suportando os formatos SYSLOG+JSON e SYSLOG+KV. Usa uma série de verificações condicionais e padrões grok para identificar o formato de registo, extrai campos relevantes e mapeia-os para o modelo de dados unificado (UDM), processando várias estruturas de registo e casos extremos.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

Instância do Google SecOps
Windows 2016 ou posterior, ou um anfitrião Linux com systemd
Se estiver a ser executado através de um proxy, as portas da firewall estão abertas
Acesso privilegiado ao Blue Coat ProxySG

Obtenha o ficheiro de autenticação de carregamento do Google SecOps

Inicie sessão na consola Google SecOps.
Aceda a Definições do SIEM > Agentes de recolha.
Transfira o ficheiro de autenticação de carregamento. Guarde o ficheiro de forma segura no sistema onde o Bindplane vai ser instalado.

Obtenha o ID de cliente do Google SecOps

Inicie sessão na consola Google SecOps.
Aceda a Definições do SIEM > Perfil.
Copie e guarde o ID do cliente da secção Detalhes da organização.

Instale o agente do Bindplane

Instalação do Windows

Abra a Linha de comandos ou o PowerShell como administrador.

Execute o seguinte comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Instalação do Linux

Abra um terminal com privilégios de raiz ou sudo.

Execute o seguinte comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Recursos de instalação adicionais

Para ver opções de instalação adicionais, consulte o guia de instalação.

Configure o agente Bindlane para carregar o Syslog e enviá-lo para o Google SecOps

Aceda ao ficheiro de configuração:
- Localize o ficheiro config.yaml. Normalmente, encontra-se no diretório /etc/bindplane-agent/ no Linux ou no diretório de instalação no Windows.
- Abra o ficheiro com um editor de texto (por exemplo, nano, vi ou Bloco de notas).

Edite o ficheiro config.yaml da seguinte forma:

receivers:
    tcplog:
        # Replace the port and IP address as required
        listen_address: "0.0.0.0:5145"

exporters:
    chronicle/chronicle_w_labels:
        compression: gzip
        # Adjust the path to the credentials file you downloaded in Step 1
        creds: '/path/to/ingestion-authentication-file.json'
        # Replace with your actual customer ID from Step 2
        customer_id: <customer_id>
        endpoint: malachiteingestion-pa.googleapis.com
        # Add optional ingestion labels for better organization
        ingestion_labels:
            log_type: 'BLUECOAT_WEBPROXY'
            raw_log_field: body

service:
    pipelines:
        logs/source0__chronicle_w_labels-0:
            receivers:
                - tcplog
            exporters:
                - chronicle/chronicle_w_labels

Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
Substitua <customer_id> pelo ID de cliente real.
Atualize /path/to/ingestion-authentication-file.json para o caminho onde o ficheiro de autenticação foi guardado na secção Obtenha o ficheiro de autenticação de carregamento do Google SecOps.

Reinicie o agente do Bindplane para aplicar as alterações

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart bindplane-agent
```
Para reiniciar o agente do Bindplane no Windows, pode usar a consola Services ou introduzir o seguinte comando:
```
net stop BindPlaneAgent && net start BindPlaneAgent
```

Configure o Syslog no Blue Coat ProxySG

Inicie sessão na consola de gestão do Blue Coat ProxySG.
Aceda a Manutenção > Registo de eventos > Syslog.
Clique em Novo.
Indique os seguintes detalhes de configuração:
- Loghost: introduza o endereço IP do agente Bindplane.
- Clique em OK.
Selecione a caixa de verificação Ativar Syslog.
Selecione Nível.
Selecione a caixa de verificação Detalhado.
Clique em Aplicar.

Configure um cliente personalizado no Blue Coat ProxySG

Aceda a Configuração > Registo de acesso > Registos > Carregar cliente.
Selecione Streaming na lista Registo.
Selecione Cliente personalizado na lista Tipo de cliente.
Clique em Definições.
Selecione para configurar o servidor personalizado principal ou alternativo na lista Definições.
Indique os seguintes detalhes de configuração:
- Anfitrião: introduza o nome de anfitrião ou o endereço IP do destino de carregamento.
- Porta: defina como 514.
- Usar ligações seguras (SSL): defina como Desativado.
- Clique em OK.
- Clique em Aplicar para voltar ao separador Carregar cliente.
Para cada formato de registo que quer usar entre main, im e streaming, conclua os seguintes passos:
- Selecione o registo.
- Atribua o cliente de carregamento para ser o cliente personalizado.
- Selecione <No Encryption> e <No Signing>.
- Guarde o ficheiro de registo como um ficheiro de texto.
- Clique em Programação de carregamento > Tipo de carregamento.
- Selecione Continuamente para Carregar o registo de acesso para transmitir os registos de acesso.
- Clique em OK.
Clique em Aplicar.

Tabela de mapeamento do UDM

Campo de registo	Mapeamento de UDM	Lógica
`@timestamp`	`metadata.event_timestamp`	A data/hora do evento, conforme registada pelo dispositivo Blue Coat. Analisado a partir dos dados JSON.
`application-name`	`target.application`	O nome da aplicação associada ao tráfego de rede. Analisado a partir dos dados JSON.
`c-ip`	`principal.asset.ip` `principal.ip`	Endereço IP do cliente. Analisado a partir dos dados JSON.
`c_ip`	`principal.ip` `principal.asset.ip`	Endereço IP do cliente. Analisados a partir de vários formatos de registos.
`c_ip_host`	`principal.hostname` `principal.asset.hostname`	Nome do anfitrião do cliente, se disponível. Analisado a partir dos dados JSON.
`cs-auth-group`	`principal_user_group_identifiers`	Grupo de autenticação do cliente. Analisado a partir dos dados JSON.
`cs-bytes`	`network.sent_bytes`	Número de bytes enviados pelo cliente. Analisado a partir dos dados JSON.
`cs-categories`	`security_result.category_details`	Categorias atribuídas ao pedido Web pelo dispositivo Blue Coat. Analisado a partir dos dados JSON.
`cs-host`	`target_hostname`	Nome do anfitrião pedido pelo cliente. Analisado a partir dos dados JSON.
`cs-icap-error-details`	`security_result.detection_fields`	Detalhes do erro ICAP do lado do cliente. Analisado a partir dos dados JSON, a chave é "cs-icap-error-details".
`cs-icap-status`	`security_result.description`	Estado do ICAP do lado do cliente. Analisado a partir dos dados JSON.
`cs-method`	`network.http.method`	Método HTTP usado no pedido. Analisado a partir dos dados JSON.
`cs-threat-risk`	`security_result.risk_score`	Pontuação de risco de ameaças atribuída pelo dispositivo Blue Coat. Analisado a partir dos dados JSON.
`cs-uri-extension`	`cs_uri_extension`	Extensão do URI pedido. Analisado a partir dos dados JSON.
`cs-uri-path`	`_uri_path`	Caminho do URI pedido. Analisado a partir dos dados JSON.
`cs-uri-port`	`cs_uri_port`	Porto do URI pedido. Analisado a partir dos dados JSON.
`cs-uri-query`	`_uri_query`	String de consulta do URI pedido. Analisado a partir dos dados JSON.
`cs-uri-scheme`	`_uri_scheme`	Esquema do URI pedido (por exemplo, http, https). Analisado a partir dos dados JSON.
`cs-userdn`	`principal_user_userid`	Nome de utilizador do cliente. Analisado a partir dos dados JSON.
`cs-version`	`cs_version`	Versão HTTP usada pelo cliente. Analisado a partir dos dados JSON.
`cs(Referer)`	`network.http.referral_url`	URL referenciador. Analisado a partir dos dados JSON.
`cs(User-Agent)`	`network.http.user_agent`	String do agente do utilizador. Analisado a partir dos dados JSON.
`cs(X-Requested-With)`	`security_result.detection_fields`	Valor do cabeçalho X-Requested-With. Analisado a partir dos dados JSON, a chave é "cs-X-Requested-With".
`cs_auth_group`	`principal_user_group_identifiers`	Grupo de autenticação do cliente. Analisados a partir de vários formatos de registos.
`cs_bytes`	`network.sent_bytes`	Número de bytes enviados pelo cliente. Analisados a partir de vários formatos de registos.
`cs_categories`	`security_result.category_details`	Categorias atribuídas ao pedido Web. Analisados a partir de vários formatos de registos.
`cs_host`	`target_hostname`	Nome do anfitrião pedido pelo cliente. Analisados a partir de vários formatos de registos.
`cs_method`	`network.http.method`	Método HTTP usado no pedido. Analisados a partir de vários formatos de registos.
`cs_referer`	`network.http.referral_url`	URL referenciador. Analisados a partir de vários formatos de registos.
`cs_threat_risk`	`security_result.risk_score`	Pontuação de risco de ameaças atribuída pelo dispositivo Blue Coat. Analisados a partir do formato de registo KV.
`cs_uri`	`target.url`	URI pedido completo. Analisados a partir do formato de registo KV.
`cs_uri_extension`	`cs_uri_extension`	Extensão do URI pedido. Analisados a partir do formato de registo KV.
`cs_uri_path`	`_uri_path`	Caminho do URI pedido. Analisados a partir de vários formatos de registos.
`cs_uri_port`	`target_port`	Porto do URI pedido. Analisados a partir de vários formatos de registos.
`cs_uri_query`	`_uri_query`	String de consulta do URI pedido. Analisados a partir de vários formatos de registos.
`cs_uri_scheme`	`_uri_scheme`	Esquema do URI pedido (por exemplo, http, https). Analisados a partir de vários formatos de registos.
`cs_user`	`principal_user_userid`	Nome de utilizador do cliente. Analisado a partir do formato de registo geral.
`cs_user_agent`	`network.http.user_agent`	String do agente do utilizador. Analisados a partir de vários formatos de registos.
`cs_username`	`principal_user_userid`	Nome de utilizador do cliente. Analisados a partir de vários formatos de registos.
`cs_x_forwarded_for`	`_intermediary.ip`	Valor do cabeçalho X-Forwarded-For. Analisado a partir do formato de registo geral.
`deviceHostname`	`_intermediary.hostname`	Nome do anfitrião do dispositivo Blue Coat. Analisados a partir do formato de registo KV.
`dst`	`ip_target`	Endereço IP de destino. Analisados a partir do formato de registo KV.
`dst_ip`	`ip_target`	Endereço IP de destino. Analisado a partir do formato de registo SSL.
`dst_user`	`target.user.userid`	ID do utilizador de destino. Analisado a partir do formato de registo do proxy inverso.
`dstport`	`target_port`	Porta de destino. Analisados a partir do formato de registo KV.
`dstport`	`target.port`	Porta de destino. Analisado a partir do formato de registo SSL.
`exception-id`	`_block_reason`	ID da exceção, que indica um pedido bloqueado. Analisados a partir do formato de registo KV.
`filter-category`	`_categories`	Categoria do filtro que acionou o evento. Analisados a partir do formato de registo KV.
`filter-result`	`_policy_action`	Resultado do filtro aplicado ao pedido. Analisados a partir do formato de registo KV.
`hostname`	`principal.hostname` `principal.asset.hostname`	O nome do anfitrião do dispositivo que gera o registo. Analisados a partir dos formatos de registos SSL e gerais.
`isolation-url`	`isolation-url`	URL relacionado com o isolamento, se aplicável. Analisado a partir dos dados JSON.
`ma-detonated`	`ma-detonated`	Estado de detonação de software malicioso. Analisado a partir dos dados JSON.
`page-views`	`page-views`	Número de visualizações de páginas. Analisado a partir dos dados JSON.
`r-ip`	`ip_target`	Endereço IP remoto. Analisado a partir dos dados JSON.
`r-supplier-country`	`r-supplier-country`	País do fornecedor remoto. Analisado a partir dos dados JSON.
`r_dns`	`target_hostname`	Nome DNS remoto. Analisado a partir dos dados JSON.
`r_ip`	`ip_target`	Endereço IP remoto. Analisados a partir de vários formatos de registos.
`r_port`	`target_port`	Porta remota. Analisado a partir dos dados JSON.
`risk-groups`	`security_result.detection_fields`	Grupos de risco associados ao evento. Analisado a partir dos dados JSON, a chave é "risk-groups".
`rs-icap-error-details`	`security_result.detection_fields`	Detalhes do erro ICAP do lado do servidor remoto. Analisado a partir dos dados JSON, a chave é "rs-icap-error-details".
`rs-icap-status`	`rs-icap-status`	Estado do ICAP do lado do servidor remoto. Analisado a partir dos dados JSON.
`rs(Content-Type)`	`target.file.mime_type`	Content-type da resposta do servidor remoto. Analisados a partir do formato de registo KV.
`rs_content_type`	`target.file.mime_type`	Content-type da resposta do servidor remoto. Analisados a partir de vários formatos de registos.
`rs_server`	`rs_server`	Informações do servidor remoto. Analisado a partir dos dados JSON.
`rs_status`	`_network.http.response_code`	Código de estado de resposta do servidor remoto. Analisado a partir dos dados JSON.
`r_supplier_country`	`intermediary.location.country_or_region`	País do fornecedor remoto. Analisado a partir do formato de registo geral.
`r_supplier_ip`	`intermediary.ip`	Endereço IP do fornecedor remoto. Analisado a partir do formato de registo geral.
`s-action`	`_metadata.product_event_type`	Ação realizada pelo proxy. Analisados a partir do formato de registo KV.
`s-ip`	`_intermediary.ip`	Endereço IP do servidor. Analisados a partir do formato de registo KV.
`s-source-ip`	`_intermediary.ip`	Endereço IP de origem do servidor. Analisado a partir dos dados JSON.
`s_action`	`_metadata.product_event_type`	Ação realizada pelo proxy. Analisados a partir de vários formatos de registos.
`s_ip`	`target.ip` `target.asset.ip`	Endereço IP do servidor. Analisados a partir de vários formatos de registos.
`s_ip_host`	`_intermediary.hostname`	Nome do anfitrião do servidor. Analisado a partir dos dados JSON.
`s-supplier-country`	`intermediary.location.country_or_region`	País do servidor do fornecedor. Analisado a partir dos dados JSON.
`s-supplier-failures`	`security_result.detection_fields`	Falhas do fornecedor. Analisado a partir dos dados JSON, a chave é "s-supplier-failures".
`s-supplier-ip`	`_intermediary.ip`	Endereço IP do servidor do fornecedor. Analisado a partir dos dados JSON.
`s_supplier_ip`	`intermediary.ip`	Endereço IP do servidor do fornecedor. Analisado a partir dos dados JSON.
`s_supplier_name`	`_intermediary.hostname`	Nome do servidor do fornecedor. Analisado a partir do formato de registo geral.
`sc-bytes`	`network.received_bytes`	Número de bytes recebidos pelo servidor. Analisados a partir do formato de registo KV.
`sc-filter-result`	`_policy_action`	Filtrar resultados do lado do servidor. Analisados a partir do formato de registo KV.
`sc-status`	`_network.http.response_code`	Código de estado devolvido pelo servidor. Analisados a partir do formato de registo KV.
`sc_bytes`	`network.received_bytes`	Número de bytes recebidos pelo servidor. Analisados a partir de vários formatos de registos.
`sc_connection`	`sc_connection`	Informações de ligação ao servidor. Analisado a partir do formato de registo geral.
`sc_filter_result`	`_policy_action`	Filtrar resultados do lado do servidor. Analisados a partir de vários formatos de registos.
`sc_status`	`_network.http.response_code`	Código de estado devolvido pelo servidor. Analisados a partir de vários formatos de registos.
`search_query`	`target.resource.attribute.labels`	Consulta de pesquisa, se estiver presente no URL. Extraído de `target_url`, a chave é "search_query".
`session_id`	`network.session_id`	ID da sessão. Analisado a partir do formato de registo do proxy inverso.
`src`	`ip_principal`	Endereço IP de origem. Analisados a partir do formato de registo KV.
`src_hostname`	`principal.hostname` `principal.asset.hostname`	Nome do anfitrião de origem. Analisado a partir do formato de registo geral.
`src_ip`	`ip_principal`	Endereço IP de origem. Analisado a partir do formato de registo SSL.
`srcport`	`principal_port`	Porta de origem. Analisados a partir do formato de registo KV.
`src_port`	`principal.port`	Porta de origem. Analisado a partir do formato de registo SSL.
`s_source_port`	`intermediary.port`	Porta de origem do servidor. Analisado a partir do formato de registo geral.
`summary`	`security_result.summary`	Resumo do resultado de segurança. Analisado a partir dos formatos de registo do proxy inverso e SSL.
`syslogtimestamp`	`syslogtimestamp`	Data/hora do Syslog. Analisados a partir do formato de registo KV.
`target_application`	`target.application`	Aplicação segmentada pelo pedido. Derivados de `x_bluecoat_application_name` ou `application-name`.
`target_hostname`	`target.hostname` `target.asset.hostname`	Nome do anfitrião de destino. Derivado de `r_dns`, `cs-host` ou outros campos, consoante o formato do registo.
`target_port`	`target.port`	Porta de destino. Derivado de `r_port`, `cs_uri_port` ou `dstport`, consoante o formato do registo.
`target_sip`	`target.ip` `target.asset.ip`	Endereço IP do servidor de destino. Analisado a partir do formato de registo geral.
`target_url`	`target.url`	URL de destino. Derivada de `target_hostname`, `_uri_path` e `_uri_query` ou `cs_uri`.
`time-taken`	`network.session_duration`	Duração da sessão ou do pedido. Analisado a partir do formato de registo KV e convertido em segundos e nanossegundos.
`time_taken`	`network.session_duration`	Duração da sessão ou do pedido. Analisado a partir de vários formatos de registo e convertido em segundos e nanosegundos.
`tls_version`	`network.tls.version`	Versão do TLS usada na ligação. Analisado a partir do formato de registo SSL.
`upload-source`	`upload-source`	Origem do carregamento. Analisado a partir dos dados JSON.
`username`	`principal_user_userid`	Nome de utilizador. Analisados a partir do formato de registo KV.
`verdict`	`security_result.detection_fields`	Veredicto da análise de segurança. Analisado a partir dos dados JSON, a chave é "verdict".
`wf-env`	`wf_env`	Ambiente do serviço de filtragem Web. Analisado a partir dos dados JSON.
`wf_id`	`security_result.detection_fields`	ID de filtragem da Web. Analisado a partir dos dados JSON, a chave é "wf_id".
`wrong_cs_host`	`principal.hostname` `principal.asset.hostname`	Nome do anfitrião do cliente analisado incorretamente, usado como nome do anfitrião principal se não for um endereço IP. Analisado a partir do formato de registo geral.
`x-bluecoat-access-type`	`x-bluecoat-access-type`	Tipo de acesso. Analisado a partir dos dados JSON.
`x-bluecoat-appliance-name`	`intermediary.application`	Nome do dispositivo Blue Coat. Analisado a partir dos dados JSON.
`x-bluecoat-application-name`	`target_application`	Nome da aplicação. Analisado a partir dos dados JSON.
`x-bluecoat-application-operation`	`x_bluecoat_application_operation`	Operação da aplicação. Analisado a partir dos dados JSON.
`x-bluecoat-location-id`	`x-bluecoat-location-id`	ID de localização. Analisado a partir dos dados JSON.
`x-bluecoat-location-name`	`x-bluecoat-location-name`	Nome da localização. Analisado a partir dos dados JSON.
`x-bluecoat-placeholder`	`security_result.detection_fields`	Informações do marcador de posição. Analisado a partir dos dados JSON, a chave é "x-bluecoat-placeholder".
`x-bluecoat-reference-id`	`security_result.detection_fields`	ID de referência. Analisado a partir dos dados JSON, a chave é "x-bluecoat-reference-id".
`x-bluecoat-request-tenant-id`	`x-bluecoat-request-tenant-id`	ID do inquilino do pedido. Analisado a partir dos dados JSON.
`x-bluecoat-transaction-uuid`	`metadata.product_log_id`	UUID da transação. Analisado a partir dos dados JSON.
`x-client-agent-sw`	`software.name`	Software de agente cliente. Analisados a partir dos dados JSON e intercalados em `principal.asset.software`.
`x-client-agent-type`	`principal.application`	Tipo de agente do cliente. Analisado a partir dos dados JSON.
`x-client-device-id`	`principal.resource.product_object_id`	ID do dispositivo cliente. Analisado a partir dos dados JSON.
`x-client-device-name`	`x-client-device-name`	Nome do dispositivo cliente. Analisado a partir dos dados JSON.
`x-client-device-type`	`x-client-device-type`	Tipo de dispositivo cliente. Analisado a partir dos dados JSON.
`x-client-os`	`principal.asset.platform_software.platform`	Sistema operativo do cliente. Analisado a partir dos dados JSON. Se contiver "Windows", define a plataforma como WINDOWS.
`x-client-security-posture-details`	`x-client-security-posture-details`	Detalhes da postura de segurança do cliente. Analisado a partir dos dados JSON.
`x-client-security-posture-risk-score`	`security_result.detection_fields`	Classificação de risco da postura de segurança do cliente. Analisado a partir dos dados JSON, a chave é "x-client-security-posture-risk-score".
`x-cloud-rs`	`security_result.detection_fields`	Informações do servidor remoto relacionadas com a nuvem. Analisado a partir dos dados JSON, a chave é "x-cloud-rs".
`x-cs-certificate-subject`	`x_cs_certificate_subject`	Assunto do certificado do lado do cliente. Analisado a partir dos dados JSON.
`x-cs-client-ip-country`	`x-cs-client-ip-country`	País do IP do cliente. Analisado a partir dos dados JSON.
`x-cs-connection-negotiated-cipher`	`network.tls.cipher`	Cifra negociada por parte do cliente. Analisado a partir dos dados JSON.
`x-cs-connection-negotiated-cipher-size`	`security_result.detection_fields`	Tamanho da cifra negociado do lado do cliente. Analisado a partir dos dados JSON, a chave é "x-cs-connection-negotiated-cipher-size".
`x-cs-connection-negotiated-ssl-version`	`network.tls.version_protocol`	Versão SSL negociada do lado do cliente. Analisado a partir dos dados JSON.
`x-cs-ocsp-error`	`security_result.detection_fields`	Erro OCSP do lado do cliente. Analisado a partir dos dados JSON, a chave é "x-cs-ocsp-error".
`x-cs(referer)-uri-categories`	`x-cs(referer)-uri-categories`	Categorias de URI de referenciador do lado do cliente. Analisado a partir dos dados JSON.
`x-data-leak-detected`	`security_result.detection_fields`	Estado da deteção de fugas de dados. Analisado a partir dos dados JSON, a chave é "x-data-leak-detected".
`x-exception-id`	`x_exception_id`	ID da exceção. Analisado a partir dos dados JSON.
`x-http-connect-host`	`x-http-connect-host`	Anfitrião de ligação HTTP. Analisado a partir dos dados JSON.
`x-http-connect-port`	`x-http-connect-port`	Porta de ligação HTTP. Analisado a partir dos dados JSON.
`x-icap-reqmod-header(x-icap-metadata)`	`x_icap_reqmod_header`	Cabeçalho de modificação de pedido ICAP que contém metadados. Analisado a partir dos dados JSON.
`x-icap-respmod-header(x-icap-metadata)`	`x_icap_respmod_header`	Cabeçalho de modificação da resposta ICAP que contém metadados. Analisado a partir dos dados JSON.
`x-rs-certificate-hostname`	`network.tls.client.server_name`	Nome de anfitrião do certificado do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-rs-certificate-hostname-categories`	`x_rs_certificate_hostname_category`	Categorias de nomes de anfitriões de certificados do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-rs-certificate-hostname-category`	`x_rs_certificate_hostname_category`	Categoria de nome de anfitrião do certificado do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-rs-certificate-hostname-threat-risk`	`security_result.detection_fields`	Risco de ameaça do nome do anfitrião do certificado do lado do servidor remoto. Analisado a partir dos dados JSON, a chave é "x-rs-certificate-hostname-threat-risk".
`x-rs-certificate-observed-errors`	`x_rs_certificate_observed_errors`	O certificado observou erros do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-rs-certificate-validate-status`	`network.tls.server.certificate.subject`	Estado da validação do certificado do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-rs-connection-negotiated-cipher`	`x_rs_connection_negotiated_cipher`	Cifra negociada do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-rs-connection-negotiated-cipher-size`	`security_result.detection_fields`	Tamanho da cifra negociado do lado do servidor remoto. Analisado a partir dos dados JSON, a chave é "x-rs-connection-negotiated-cipher-size".
`x-rs-connection-negotiated-cipher-strength`	`x_rs_connection_negotiated_cipher_strength`	Intensidade da cifra negociada do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-rs-connection-negotiated-ssl-version`	`x_rs_connection_negotiated_ssl_version`	Versão SSL negociada do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-rs-ocsp-error`	`x_rs_ocsp_error`	Erro OCSP do lado do servidor remoto. Analisado a partir dos dados JSON.
`x-sc-connection-issuer-keyring`	`security_result.detection_fields`	Conjunto de chaves do emissor da ligação. Analisado a partir dos dados JSON, a chave é "x-sc-connection-issuer-keyring".
`x-sc-connection-issuer-keyring-alias`	`x-sc-connection-issuer-keyring-alias`	Alias do conjunto de chaves do emissor da ligação. Analisado a partir dos dados JSON.
`x-sr-vpop-country`	`principal.location.country_or_region`	País do VPOP. Analisado a partir dos dados JSON.
`x-sr-vpop-country-code`	`principal.location.country_or_region`	Código do país do VPOP. Analisado a partir dos dados JSON.
`x-sr-vpop-ip`	`principal.ip` `principal.asset.ip`	Endereço IP do VPOP. Analisado a partir dos dados JSON.
`x-symc-dei-app`	`x-symc-dei-app`	Aplicação DEI da Symantec. Analisado a partir dos dados JSON.
`x-symc-dei-via`	`security_result.detection_fields`	Symantec DEI via. Analisado a partir dos dados JSON, a chave é "x-symc-dei-via".
`x-tenant-id`	`security_result.detection_fields`	ID do inquilino. Analisado a partir dos dados JSON, a chave é "x-tenant-id".
`x-timestamp-unix`	`x-timestamp-unix`	Data/hora Unix. Analisado a partir dos dados JSON.
`x_bluecoat_application_name`	`target_application`	Nome da aplicação. Analisados a partir de vários formatos de registos.
`x_bluecoat_application_operation`	`x_bluecoat_application_operation`	Operação da aplicação. Analisados a partir de vários formatos de registos.
`x_bluecoat_transaction_uuid`	`metadata.product_log_id`	UUID da transação. Analisados a partir de vários formatos de registos.
`x_cs_certificate_subject`	`x_cs_certificate_subject`	Assunto do certificado por parte do cliente. Analisado a partir do formato de registo geral.
`x_cs_client_effective_ip`	`ip_principal`	Endereço IP efetivo do cliente. Analisado a partir do formato de registo geral.
`x_cs_connection_negotiated_cipher`	`network.tls.cipher`	Cifra negociada por parte do cliente. Analisado a partir do formato de registo geral.
`x_cs_connection_negotiated_ssl_version`	`network.tls.version_protocol`	Versão SSL negociada do lado do cliente. Analisado a partir do formato de registo geral.
`x_exception_id`	`_block_reason`	ID da exceção. Analisados a partir de vários formatos de registos.
`x_icap_reqmod_header`	`x_icap_reqmod_header`	Cabeçalho de modificação do pedido ICAP. Analisado a partir do formato de registo geral.
`x_icap_respmod_header`	`x_icap_respmod_header`	Cabeçalho de modificação da resposta ICAP. Analisado a partir do formato de registo geral.
`x_rs_certificate_hostname`	`network.tls.client.server_name`	Nome de anfitrião do certificado do servidor remoto. Analisado a partir do formato de registo geral.
`x_rs_certificate_hostname_category`	`x_rs_certificate_hostname_category`	Categoria do nome de anfitrião do certificado do servidor remoto. Analisado a partir do formato de registo geral.
`x_rs_certificate_observed_errors`	`x_rs_certificate_observed_errors`	Foram observados erros no certificado do servidor remoto. Analisado a partir do formato de registo geral.
`x_rs_certificate_validate_status`	`network.tls.server.certificate.subject`	Estado da validação do certificado do servidor remoto. Analisados a partir de vários formatos de registos.
`x_rs_connection_negotiated_cipher_strength`	`x_rs_connection_negotiated_cipher_strength`	O servidor remoto negociou a intensidade da cifra. Analisado a partir do formato de registo geral.
`x_rs_connection_negotiated_ssl_version`	`x_rs_connection_negotiated_ssl_version`	O servidor remoto negociou a versão SSL. Analisado a partir do formato de registo geral.
`x_virus_id`	`security_result.detection_fields`	ID do vírus. Analisado a partir de vários formatos de registo, a chave é "x-virus-id".

Campos derivados (da lógica do analisador):

metadata.event_type: determinado com base num conjunto complexo de condições que envolvem campos como network.application_protocol, network.http.method, principal.*, target.* e dst_user.
metadata.vendor_name: valor estático: Blue Coat Systems.
metadata.product_name: valor estático: ProxySG.
metadata.log_type: valor estático: BLUECOAT_WEBPROXY.
principal.asset.platform_software.platform: definido como WINDOWS se x-client-os contiver Windows.
network.application_protocol: determinado através de uma tabela de pesquisa com base em _uri_scheme ou target.port. A predefinição é UNKNOWN_APPLICATION_PROTOCOL.
network.ip_protocol: determinado através de uma tabela de pesquisa com base em _uri_scheme. A predefinição é UNKNOWN_IP_PROTOCOL.
security_result.action: determinado com base em _policy_action (OBSERVED -> ALLOW, DENIED -> BLOCK).
security_result.about.labels: contém etiquetas derivadas de vários campos, como rs_server, communication_type e o estado do formato de registo SSL.
security_result.detection_fields: contém vários pares de chave-valor derivados de campos como x_virus_id, x_rs_certificate_observed_errors, x_rs_connection_negotiated_cipher_strength e muitos outros.
vulns.vulnerabilities: preenchido a partir do campo proxy_reverse_info, se presente, contendo informações de vulnerabilidade, como cve_id e about.labels.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.