Fortinet FortiAnalyzer 로그 수집
다음에서 지원:
Google SecOps
SIEM
이 문서에서는 Bindplane을 사용하여 Fortinet FortiAnalyzer 로그를 수집하고 Google Security Operations로 처리하는 방법을 설명합니다. 파서는 로그를 UDM 형식으로 변환합니다. CEF 및 키-값 형식 메시지를 모두 처리하고, 필드를 추출하고, 데이터 변환 (예: 타임스탬프 변환, IP 프로토콜 보강)을 실행하고, 이벤트 유형 및 하위유형에 따라 적절한 UDM 필드에 매핑합니다. 또한 파서에는 네트워크 연결, DNS 쿼리, HTTP 요청, 다양한 보안 이벤트를 처리하기 위한 특정 로직이 포함되어 있어 애플리케이션 프로토콜, 사용자 정보, 보안 결과와 같은 세부정보로 UDM을 보강합니다.
시작하기 전에
- Google Security Operations 인스턴스가 있는지 확인합니다.
- Windows 2016 이상을 사용 중이거나
systemd와 함께 Linux 호스트를 사용하고 있는지 확인합니다. - 프록시 뒤에서 실행하는 경우 방화벽 포트가 열려 있는지 확인합니다.
- Fortinet FortiAnalyzer에 대한 권한이 있는지 확인합니다.
Google SecOps 처리 인증 파일 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 수집 에이전트로 이동합니다.
- 처리 인증 파일을 다운로드합니다. Bindplane가 설치될 시스템에 파일을 안전하게 저장합니다.
Google SecOps 고객 ID 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 프로필로 이동합니다.
- 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.
Bindplane 에이전트 설치
Windows 설치
- 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.
다음 명령어를 실행합니다.
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 설치
- 루트 또는 sudo 권한으로 터미널을 엽니다.
다음 명령어를 실행합니다.
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
추가 설치 리소스
- 추가 설치 옵션은 이 설치 가이드를 참고하세요.
Syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성
구성 파일에 액세스합니다.
config.yaml파일을 찾습니다. 일반적으로 Linux의/etc/bindplane-agent/디렉터리 또는 Windows의 설치 디렉터리에 있습니다.- 텍스트 편집기 (예:
nano,vi, 메모장)를 사용하여 파일을 엽니다.
다음과 같이
config.yaml파일을 수정합니다.receivers: udplog: # Replace the port and IP address as required listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip # Adjust the path to the credentials file you downloaded in Step 1 creds: '/path/to/ingestion-authentication-file.json' # Replace with your actual customer ID from Step 2 customer_id: <customer_id> endpoint: malachiteingestion-pa.googleapis.com # Add optional ingestion labels for better organization ingestion_labels: log_type: FORTINET_FORTIANALYZER raw_log_field: body service: pipelines: logs/source0__chronicle_w_labels-0: receivers: - udplog exporters: - chronicle/chronicle_w_labels인프라에서 필요에 따라 포트와 IP 주소를 바꿉니다.
<customer_id>를 실제 고객 ID로 바꿉니다.Google SecOps 처리 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로
/path/to/ingestion-authentication-file.json를 업데이트합니다.
Bindplane 에이전트를 다시 시작하여 변경사항 적용
Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.
sudo systemctl restart bindplane-agentWindows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.
net stop BindPlaneAgent && net start BindPlaneAgent
Fortinet FortiAnalyzer에서 Syslog 구성
- FortiAnalyzer에 로그인합니다.
- CLI 모드를 활성화합니다.
다음 명령어를 실행합니다.
config system syslog edit NAME set ip IP_ADDRESS set port PORT set reliable enable or disable next end다음 필드를 업데이트합니다.
NAME: syslog 서버의 이름입니다.IP_ADDRESS: Bindplane 에이전트의 IPv4 주소를 입력합니다.PORT: Bindplane 에이전트의 포트 번호를 입력합니다(예:514).enable or disable: reliable 값을 enable로 설정하면 TCP로 전송되고, disable로 설정하면 UDP로 전송됩니다.
UDM 매핑 표
| 로그 필드 | UDM 매핑 | 논리 |
|---|---|---|
act |
security_result.action_details |
로그가 CEF 형식인 경우 act 필드의 값입니다. |
action |
security_result.action_details |
로그가 CEF 형식이 아닌 경우 action 필드의 값입니다. security_result.action 및 security_result.description을 파생하는 데 사용됩니다. |
action |
security_result.action |
파생됨 action이 accept, passthrough, pass, permit, detected, login이면 ALLOW입니다. deny, dropped, blocked 또는 close인 경우 BLOCK입니다. timeout이면 FAIL입니다. 그 외의 경우 UNKNOWN_ACTION를 사용합니다. |
action |
security_result.description |
파생됨 Action: + 파생된 security_result.action로 설정합니다. |
ad.app |
target.application |
로그가 CEF 형식인 경우 ad.app 필드의 값입니다. 값이 HTTPS, HTTP, DNS, DHCP 또는 SMB인 경우 network.application_protocol에 매핑됩니다. |
ad.appact |
additional.fields |
로그가 CEF 형식일 때 ad.appact 필드의 값으로, appact 키와 함께 키-값 쌍으로 추가됩니다. |
ad.appcat |
additional.fields |
로그가 CEF 형식일 때 ad.appcat 필드의 값으로, appcat 키와 함께 키-값 쌍으로 추가됩니다. |
ad.appid |
additional.fields |
로그가 CEF 형식일 때 ad.appid 필드의 값으로, appid 키와 함께 키-값 쌍으로 추가됩니다. |
ad.applist |
additional.fields |
로그가 CEF 형식일 때 ad.applist 필드의 값으로, applist 키와 함께 키-값 쌍으로 추가됩니다. |
ad.apprisk |
additional.fields |
로그가 CEF 형식일 때 ad.apprisk 필드의 값으로, apprisk 키와 함께 키-값 쌍으로 추가됩니다. |
ad.cipher_suite |
network.tls.cipher |
로그가 CEF 형식인 경우 ad.cipher_suite 필드의 값입니다. |
ad.countapp |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.countweb |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.dstcity |
target.location.city |
로그가 CEF 형식인 경우 ad.dstcity 필드의 값입니다. |
ad.dstcountry |
target.location.country_or_region |
로그가 CEF 형식인 경우 ad.dstcountry 필드의 값입니다. |
ad.dstintf |
security_result.detection_fields |
로그가 CEF 형식일 때 ad.dstintf 필드의 값으로, dstintf 키와 함께 키-값 쌍으로 추가됩니다. |
ad.dstintfrole |
security_result.detection_fields |
로그가 CEF 형식일 때 ad.dstintfrole 필드의 값으로, dstintfrole 키와 함께 키-값 쌍으로 추가됩니다. |
ad.dstregion |
target.location.state |
로그가 CEF 형식인 경우 ad.dstregion 필드의 값입니다. |
ad.duration |
network.session_duration.seconds |
로그가 CEF 형식인 경우 ad.duration 필드의 값입니다. |
ad.eventtime |
metadata.event_timestamp |
로그가 CEF 형식인 경우 ad.eventtime 필드의 값입니다. |
ad.http_agent |
network.http.parsed_user_agent |
로그가 CEF 형식인 경우 ad.http_agent 필드의 값입니다. |
ad.http_method |
network.http.method |
로그가 CEF 형식인 경우 ad.http_method 필드의 값입니다. |
ad.http_refer |
network.http.referral_url |
로그가 CEF 형식인 경우 ad.http_refer 필드의 값입니다. |
ad.http_request_bytes |
network.sent_bytes |
로그가 CEF 형식인 경우 ad.http_request_bytes 필드의 값입니다. |
ad.http_response_bytes |
network.received_bytes |
로그가 CEF 형식인 경우 ad.http_response_bytes 필드의 값입니다. |
ad.http_retcode |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.http_url |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.lanin |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.lanout |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.logid |
metadata.product_log_id |
로그가 CEF 형식인 경우 ad.logid 필드의 값입니다. |
ad.mastersrcmac |
principal.mac |
로그가 CEF 형식인 경우 ad.mastersrcmac 필드의 값입니다. |
ad.original_src |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.original_srccountry |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.poluuid |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.policyid |
security_result.rule_id |
로그가 CEF 형식인 경우 ad.policyid 필드의 값입니다. |
ad.policyname |
security_result.rule_name |
로그가 CEF 형식인 경우 ad.policyname 필드의 값입니다. |
ad.policytype |
security_result.rule_type |
로그가 CEF 형식인 경우 ad.policytype 필드의 값입니다. |
ad.profile |
target.resource.name |
로그가 CEF 형식인 경우 ad.profile 필드의 값입니다. 또한 target.resource.resource_type를 ACCESS_POLICY로 설정합니다. |
ad.proto |
network.ip_protocol |
로그가 CEF 형식인 경우 ad.proto 필드의 값입니다. parse_ip_protocol.include 파일을 사용하여 파싱됩니다. |
ad.qclass |
network.dns.questions.class |
로그가 CEF 형식인 경우 ad.qclass 필드의 값입니다. dns_query_class_mapping.include 파일을 사용하여 매핑됩니다. |
ad.qname |
network.dns.questions.name |
로그가 CEF 형식인 경우 ad.qname 필드의 값입니다. |
ad.qtype |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.qtypeval |
network.dns.questions.type |
로그가 CEF 형식인 경우 ad.qtypeval 필드의 값입니다. |
ad.rcvddelta |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.rcvdpkt |
additional.fields |
로그가 CEF 형식일 때 ad.rcvdpkt 필드의 값으로, receivedPackets 키와 함께 키-값 쌍으로 추가됩니다. |
ad.sentdelta |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.sentpkt |
additional.fields |
로그가 CEF 형식일 때 ad.sentpkt 필드의 값으로, sentPackets 키와 함께 키-값 쌍으로 추가됩니다. |
ad.server_pool_name |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.sourceTranslatedAddress |
principal.nat_ip |
로그가 CEF 형식인 경우 ad.sourceTranslatedAddress 필드의 값입니다. |
ad.sourceTranslatedPort |
principal.nat_port |
로그가 CEF 형식인 경우 ad.sourceTranslatedPort 필드의 값입니다. |
ad.src |
principal.ip |
로그가 CEF 형식인 경우 ad.src 필드의 값입니다. |
ad.srccountry |
principal.location.country_or_region |
로그가 CEF 형식인 경우 ad.srccountry 필드의 값입니다. |
ad.srcintf |
security_result.detection_fields |
로그가 CEF 형식일 때 ad.srcintf 필드의 값으로, srcintf 키와 함께 키-값 쌍으로 추가됩니다. |
ad.srcintfrole |
security_result.detection_fields |
로그가 CEF 형식일 때 ad.srcintfrole 필드의 값으로, srcintfrole 키와 함께 키-값 쌍으로 추가됩니다. |
ad.srcmac |
principal.mac |
로그가 CEF 형식인 경우 ad.srcmac 필드의 값입니다. |
ad.srcserver |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.spt |
principal.port |
로그가 CEF 형식인 경우 ad.spt 필드의 값입니다. |
ad.status |
security_result.summary |
로그가 CEF 형식인 경우 ad.status 필드의 값입니다. |
ad.subtype |
metadata.product_event_type |
로그가 CEF 형식일 때 ad.logid와 함께 사용하여 metadata.product_event_type를 만듭니다. metadata.event_type를 파생하고 DNS 및 HTTP 이벤트의 특정 필드를 매핑하는 데도 사용됩니다. |
ad.trandisp |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.tz |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.utmaction |
security_result.action |
로그가 CEF 형식인 경우 ad.utmaction 필드의 값입니다. security_result.action 및 security_result.description을 파생하는 데 사용됩니다. |
ad.user_name |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.vd |
principal.administrative_domain |
로그가 CEF 형식인 경우 ad.vd 필드의 값입니다. |
ad.vwlid |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.wanin |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.wanout |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.xid |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ad.x509_cert_subject |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
agent |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
appid |
additional.fields |
로그가 CEF 형식이 아닌 경우 appid 필드의 값으로, appid 키와 함께 키-값 쌍으로 추가됩니다. |
app |
target.application |
로그가 CEF 형식이 아닌 경우 app 필드의 값입니다. 값이 HTTPS, HTTP, DNS, DHCP 또는 SMB인 경우 network.application_protocol에 매핑됩니다. |
appact |
additional.fields |
로그가 CEF 형식이 아닌 경우 appact 필드의 값으로, appact 키와 함께 키-값 쌍으로 추가됩니다. |
appcat |
additional.fields |
로그가 CEF 형식이 아닌 경우 appcat 필드의 값으로, appcat 키와 함께 키-값 쌍으로 추가됩니다. |
applist |
additional.fields |
로그가 CEF 형식이 아닌 경우 applist 필드의 값으로, applist 키와 함께 키-값 쌍으로 추가됩니다. |
apprisk |
additional.fields |
로그가 CEF 형식이 아닌 경우 apprisk 필드의 값으로, apprisk 키와 함께 키-값 쌍으로 추가됩니다. |
cat |
security_result1.rule_id |
로그가 CEF 형식이 아닌 경우 cat 필드의 값입니다. |
catdesc |
security_result.description |
로그가 CEF 형식이 아닌 경우 catdesc 필드의 값입니다. catdesc가 비어 있지 않은 경우에만 사용됩니다. |
centralnatid |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
cipher_suite |
network.tls.cipher |
로그가 CEF 형식이 아닌 경우 cipher_suite 필드의 값입니다. |
countssl |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
crlevel |
security_result.severity |
로그가 CEF 형식이 아닌 경우 crlevel 필드의 값입니다. security_result.severity를 파생하는 데 사용됩니다. CRITICAL이면 is_alert 및 is_significant를 true로 설정합니다. |
craction |
security_result.about.labels |
로그가 CEF 형식이 아닌 경우 craction 필드의 값으로, craction 키와 함께 키-값 쌍으로 추가됩니다. |
create_time |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
data |
(매핑되지 않음) | 원시 로그 데이터입니다. UDM에 직접 매핑되지 않습니다. |
date |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
devname |
principal.hostname, principal.asset.hostname |
로그가 CEF 형식이 아닌 경우 devname 필드의 값입니다. |
devid |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
devtype |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
direction |
network.direction |
로그가 CEF 형식이 아닌 경우 direction 필드의 값입니다. incoming 또는 inbound이면 INBOUND입니다. outgoing 또는 outbound이면 OUTBOUND입니다. |
dpt |
target.port |
로그가 CEF 형식인 경우 dpt 필드의 값입니다. |
dstip |
target.ip, target.asset.ip |
로그가 CEF 형식이 아닌 경우 dstip 필드의 값입니다. |
dstintf |
security_result.detection_fields |
로그가 CEF 형식이 아닌 경우 dstintf 필드의 값으로, dstintf 키와 함께 키-값 쌍으로 추가됩니다. |
dstintfrole |
security_result.detection_fields |
로그가 CEF 형식이 아닌 경우 dstintfrole 필드의 값으로, dstintfrole 키와 함께 키-값 쌍으로 추가됩니다. |
dstport |
target.port |
로그가 CEF 형식이 아닌 경우 dstport 필드의 값입니다. |
dstregion |
target.location.state |
로그가 CEF 형식이 아닌 경우 dstregion 필드의 값입니다. |
dstuuid |
target.user.product_object_id |
로그가 CEF 형식이 아닌 경우 dstuuid 필드의 값입니다. |
duration |
network.session_duration.seconds |
로그가 CEF 형식이 아닌 경우 duration 필드의 값입니다. |
dstcity |
target.location.city |
로그가 CEF 형식이 아닌 경우 dstcity 필드의 값입니다. |
dstcountry |
target.location.country_or_region |
로그가 CEF 형식이 아닌 경우 dstcountry 필드의 값입니다. |
dstmac |
target.mac |
로그가 CEF 형식이 아닌 경우 dstmac 필드의 값입니다. |
eventtime |
metadata.event_timestamp |
로그가 CEF 형식이 아닌 경우 eventtime 필드의 값입니다. 값이 마이크로초에서 초로 줄어듭니다. |
eventtype |
security_result2.rule_type |
로그가 CEF 형식이 아닌 경우 eventtype 필드의 값입니다. |
externalID |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
group |
principal.user.group_identifiers |
로그가 CEF 형식이 아닌 경우 group 필드의 값입니다. |
hostname |
target.hostname, target.asset.hostname |
로그가 CEF 형식이 아닌 경우 hostname 필드의 값입니다. |
http_agent |
network.http.parsed_user_agent |
로그가 CEF 형식이 아닌 경우 http_agent 필드의 값입니다. 파싱된 사용자 에이전트 객체로 변환됩니다. |
http_method |
network.http.method |
로그가 CEF 형식이 아닌 경우 http_method 필드의 값입니다. |
http_refer |
network.http.referral_url |
로그가 CEF 형식이 아닌 경우 http_refer 필드의 값입니다. |
http_request_bytes |
network.sent_bytes |
로그가 CEF 형식이 아닌 경우 http_request_bytes 필드의 값입니다. |
http_response_bytes |
network.received_bytes |
로그가 CEF 형식이 아닌 경우 http_response_bytes 필드의 값입니다. |
httpmethod |
network.http.method |
로그가 CEF 형식이 아닌 경우 httpmethod 필드의 값입니다. |
in |
network.received_bytes |
로그가 CEF 형식인 경우 in 필드의 값입니다. |
incidentserialno |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
lanin |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
lanout |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
level |
security_result.severity, security_result.severity_details |
로그가 CEF 형식이 아닌 경우 level 필드의 값입니다. security_result.severity를 파생하는 데 사용됩니다. error 또는 warning이면 HIGH입니다. notice이면 MEDIUM입니다. information 또는 info이면 LOW입니다. 또한 security_result.severity_details를 level: + level로 설정합니다. crlevel이 CRITICAL이거나 level이 alert이면 is_alert 및 is_significant를 true로 설정합니다. |
locip |
principal.ip, principal.asset.ip |
로그가 CEF 형식이 아닌 경우 locip 필드의 값입니다. |
logdesc |
metadata.description |
로그가 CEF 형식이 아닌 경우 logdesc 필드의 값입니다. |
logid |
metadata.product_log_id |
로그가 CEF 형식이 아닌 경우 logid 필드의 값입니다. |
logver |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
mastersrcmac |
principal.mac |
로그가 CEF 형식이 아닌 경우 mastersrcmac 필드의 값입니다. |
method |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
msg |
metadata.description |
로그가 CEF 형식이 아닌 경우 msg 필드의 값입니다. catdesc가 비어 있는 경우 security_result.description에도 사용됩니다. |
out |
network.sent_bytes |
로그가 CEF 형식인 경우 out 필드의 값입니다. |
outintf |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
policyid |
security_result.rule_id |
로그가 CEF 형식이 아닌 경우 policyid 필드의 값입니다. |
policyname |
security_result.rule_name |
로그가 CEF 형식이 아닌 경우 policyname 필드의 값입니다. |
policytype |
security_result.rule_type |
로그가 CEF 형식이 아닌 경우 policytype 필드의 값입니다. |
poluuid |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
profile |
target.resource.name |
로그가 CEF 형식이 아닌 경우 profile 필드의 값입니다. 또한 target.resource.resource_type를 ACCESS_POLICY로 설정합니다. |
proto |
network.ip_protocol |
로그가 CEF 형식이 아닌 경우 proto 필드의 값입니다. parse_ip_protocol.include 파일을 사용하여 파싱됩니다. |
qclass |
network.dns.questions.class |
로그가 CEF 형식이 아닌 경우 qclass 필드의 값입니다. dns_query_class_mapping.include 파일을 사용하여 매핑됩니다. |
qname |
network.dns.questions.name |
로그가 CEF 형식이 아닌 경우 qname 필드의 값입니다. |
reason |
security_result.description |
로그가 CEF 형식이 아닌 경우 reason 필드의 값입니다. reason이 N/A이 아니고 비어 있지 않은 경우에만 사용됩니다. |
rcvdbyte |
network.received_bytes |
로그가 CEF 형식이 아닌 경우 rcvdbyte 필드의 값입니다. |
rcvdpkt |
additional.fields |
로그가 CEF 형식이 아닌 경우 rcvdpkt 필드의 값으로, receivedPackets 키와 함께 키-값 쌍으로 추가됩니다. |
remip |
target.ip, target.asset.ip |
로그가 CEF 형식이 아닌 경우 remip 필드의 값입니다. |
remport |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
reqtype |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
sentbyte |
network.sent_bytes |
로그가 CEF 형식이 아닌 경우 sentbyte 필드의 값입니다. |
sentpkt |
additional.fields |
로그가 CEF 형식이 아닌 경우 sentpkt 필드의 값으로, sentPackets 키와 함께 키-값 쌍으로 추가됩니다. |
service |
network.application_protocol, target.application |
로그가 CEF 형식이 아닌 경우 service 필드의 값입니다. parse_app_protocol.include 파일을 사용하여 파싱됩니다. 파서의 출력이 비어 있지 않으면 network.application_protocol에 매핑됩니다. 그 외의 경우에는 원래 값이 target.application에 매핑됩니다. |
sessionid |
network.session_id |
로그가 CEF 형식이 아닌 경우 sessionid 필드의 값입니다. |
sn |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
sourceTranslatedAddress |
principal.nat_ip |
로그가 CEF 형식인 경우 sourceTranslatedAddress 필드의 값입니다. |
sourceTranslatedPort |
principal.nat_port |
로그가 CEF 형식인 경우 sourceTranslatedPort 필드의 값입니다. |
spt |
principal.port |
로그가 CEF 형식인 경우 spt 필드의 값입니다. |
src |
principal.ip |
로그가 CEF 형식인 경우 src 필드의 값입니다. |
srcip |
principal.ip, principal.asset.ip |
로그가 CEF 형식이 아닌 경우 srcip 필드의 값입니다. |
srcintf |
security_result.detection_fields |
로그가 CEF 형식이 아닌 경우 srcintf 필드의 값으로, srcintf 키와 함께 키-값 쌍으로 추가됩니다. |
srcintfrole |
security_result.detection_fields |
로그가 CEF 형식이 아닌 경우 srcintfrole 필드의 값으로, srcintfrole 키와 함께 키-값 쌍으로 추가됩니다. |
srcmac |
principal.mac |
로그가 CEF 형식이 아닌 경우 srcmac 필드의 값입니다. 하이픈은 콜론으로 대체됩니다. |
srcport |
principal.port |
로그가 CEF 형식이 아닌 경우 srcport 필드의 값입니다. |
srccountry |
principal.location.country_or_region |
로그가 CEF 형식이 아닌 경우 srccountry 필드의 값입니다. Reserved가 아니고 비어 있지 않은 경우에만 매핑됩니다. |
srcuuid |
principal.user.product_object_id |
로그가 CEF 형식이 아닌 경우 srcuuid 필드의 값입니다. |
srcserver |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
start |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
status |
security_result.summary |
로그가 CEF 형식이 아닌 경우 status 필드의 값입니다. |
subtype |
metadata.product_event_type |
로그가 CEF 형식이 아닌 경우 type와 함께 사용하여 metadata.product_event_type를 만듭니다. metadata.event_type를 파생하고 DNS 및 HTTP 이벤트의 특정 필드를 매핑하는 데도 사용됩니다. |
time |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
timestamp |
metadata.event_timestamp |
timestamp 필드의 값입니다. |
trandisp |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
transip |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
transport |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
type |
metadata.product_event_type |
로그가 CEF 형식이 아닌 경우 subtype와 함께 사용하여 metadata.product_event_type를 만듭니다. metadata.event_type를 파생하는 데도 사용됩니다. |
tz |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
ui |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
url |
target.url |
로그가 CEF 형식이 아닌 경우 url 필드의 값입니다. |
user |
principal.user.userid |
로그가 CEF 형식이 아닌 경우 user 필드의 값입니다. N/A가 아니고 비어 있지 않은 경우에만 매핑됩니다. |
utmaction |
security_result.action, security_result2.action_details |
로그가 CEF 형식이 아닌 경우 utmaction 필드의 값입니다. security_result.action 및 security_result.description을 파생하는 데 사용됩니다. |
utmaction |
security_result.action |
파생됨 utmaction이 accept, allow, passthrough, pass, permit, detected이면 ALLOW입니다. deny, dropped, blocked 또는 block인 경우 BLOCK입니다. 그 외의 경우 UNKNOWN_ACTION를 사용합니다. |
utmaction |
security_result.description |
파생됨 action1가 비어 있으면 UTMAction: + 파생된 security_result.action로 설정합니다. |
utmevent |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
vd |
principal.administrative_domain |
로그가 CEF 형식이 아닌 경우 vd 필드의 값입니다. |
vpntunnel |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
wanin |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
wanout |
(매핑되지 않음) | IDM 객체에 매핑되지 않았습니다. |
| 해당 사항 없음 (파서 로직) | about.asset.asset_id |
파생됨 로그가 CEF 형식인 경우 Fortinet. + product_name + : + deviceExternalId로 설정합니다. |
| 해당 사항 없음 (파서 로직) | about.hostname |
파생됨 로그가 CEF 형식인 경우 auth0로 설정합니다. |
| 해당 사항 없음 (파서 로직) | extensions.auth |
파생됨 metadata.event_type가 USER_LOGIN이면 빈 객체가 생성됩니다. |
| 해당 사항 없음 (파서 로직) | extensions.auth.type |
파생됨 metadata.event_type가 USER_LOGIN이면 AUTHTYPE_UNSPECIFIED로 설정합니다. |
| 해당 사항 없음 (파서 로직) | is_alert, is_significant |
파생됨 crlevel이 CRITICAL이거나 level이 alert이면 true로 설정합니다. |
| 해당 사항 없음 (파서 로직) | metadata.event_type |
파서 내의 다양한 로그 필드와 로직을 기반으로 파생됩니다. NETWORK_CONNECTION, STATUS_UPDATE, GENERIC_EVENT, NETWORK_DNS, NETWORK_HTTP, USER_LOGIN, USER_LOGOUT, NETWORK_UNCATEGORIZED일 수 있습니다. |
| 해당 사항 없음 (파서 로직) | metadata.log_type |
파생됨 FORTINET_FORTIANALYZER로 설정합니다. |
| 해당 사항 없음 (파서 로직) | metadata.product_event_type |
파생됨 type + - + subtype로 설정합니다. |
| 해당 사항 없음 (파서 로직) | metadata.product_name |
파생됨 Fortianalyzer로 설정되거나 CEF 메시지에서 추출됩니다. |
| 해당 사항 없음 (파서 로직) | metadata.product_version |
CEF 메시지에서 추출됩니다. |
| 해당 사항 없음 (파서 로직) | metadata.vendor_name |
파생됨 Fortinet로 설정합니다. |
| 해당 사항 없음 (파서 로직) | network.application_protocol |
parse_app_protocol.include 파일을 사용하여 service 또는 app 필드에서 파생되거나 DNS 이벤트의 경우 DNS로 설정됩니다. ad.app가 HTTPS, HTTP, DNS, DHCP 또는 SMB 중 하나인 경우에도 ad.app를 기반으로 설정합니다. |
| 해당 사항 없음 (파서 로직) | network.dns.questions |
파생됨 DNS 이벤트에 대해 채워진 name, type, class 필드가 각각 있는 질문 객체의 배열입니다. |
| 해당 사항 없음 (파서 로직) | network.http.parsed_user_agent |
http_agent 필드를 파싱된 사용자 에이전트 객체로 변환하여 파생됩니다. |
| 해당 사항 없음 (파서 로직) | network.ip_protocol |
parse_ip_protocol.include 파일을 사용하여 proto 필드에서 파생됩니다. |
| 해당 사항 없음 (파서 로직) | principal.administrative_domain |
vd 필드의 값입니다. |
| 해당 사항 없음 (파서 로직) | principal.asset.ip |
principal.ip에서 복사되었습니다. |
| 해당 사항 없음 (파서 로직) | principal.asset.hostname |
principal.hostname에서 복사되었습니다. |
| 해당 사항 없음 (파서 로직) | security_result.about.labels |
키-값 쌍 배열로, 있는 경우 craction로 채워집니다. |
| 해당 사항 없음 (파서 로직) | security_result.action |
action 또는 utmaction에서 파생됩니다. |
| 해당 사항 없음 (파서 로직) | security_result.description |
사용 가능한 필드 및 로그 형식에 따라 action, utmaction, msg, catdesc 또는 reason에서 파생됩니다. |
| 해당 사항 없음 (파서 로직) | security_result.severity |
crlevel 또는 level에서 파생됩니다. |
| 해당 사항 없음 (파서 로직) | security_result.severity_details |
파생됨 level: + level로 설정합니다. |
| 해당 사항 없음 (파서 로직) | security_result.detection_fields |
키-값 쌍 배열로, srcintf, srcintfrole, dstintf, dstintfrole로 채워집니다(있는 경우). |
| 해당 사항 없음 (파서 로직) | target.asset.ip |
target.ip에서 복사되었습니다. |
| 해당 사항 없음 (파서 로직) | target.asset.hostname |
target.hostname에서 복사되었습니다. |
| 해당 사항 없음 (파서 로직) | target.resource.resource_type |
파생됨 profile 필드가 있는 경우 ACCESS_POLICY로 설정합니다. |
변경사항
2025-01-31
개선사항:
catdesc를security_result.rule_name에 매핑했습니다.crscore를security_result.detection_fields에 매핑했습니다.method를network.http.method에 매핑했습니다.cat를security_result.rule_id에 매핑했습니다.
2025-01-02
개선사항:
action이login이고status이success이면ALLOW를security_result.action에 매핑했습니다.action이login이고status이failure이면BLOCK를security_result.action에 매핑했습니다.
2024-11-28
개선사항:
filename를target.file.full_path에 매핑했습니다.
2024-11-19
개선사항:
dstuser를target.user.userid에 매핑했습니다.
2024-11-13
개선사항:
fsaverdict를additional.fields에 매핑했습니다.
2024-10-28
개선사항:
srcinf,dstinf,srcintfrole,dstintfrole매핑을security_result.detection_fields에서additional.fields로 변경했습니다.
2024-10-16
개선사항:
type,subtype,level를metadata.ingestion_labels에 매핑했습니다.
2024-10-01
개선사항:
logdesc를metadata.description에 매핑했습니다.
2024-10-01
개선사항:
logdesc를metadata.description에 매핑했습니다.
2024-09-23
개선사항:
devname를principal.resource.attribute.labels로 매핑을 수정했습니다.srcname를principal.hostname및principal.asset.hostname에 매핑했습니다.
2024-09-12
개선사항:
reason값이sslvpn_login_permission_denied인 경우BLOCK값을security_result.actionUDM 필드에 매핑하는 조건부 검사를 추가했습니다.
2024-07-22
개선사항:
- 파싱되지 않은 로그를 처리하는
gusb를 추가했습니다.
2024-07-04
개선사항:
msg에login이 포함된 경우event_type를USER_LOGIN로 설정합니다.
2024-04-25
개선사항:
httpmethod를network.http.method에 매핑했습니다.action이login인 경우ALLOW를security_result.action에 매핑합니다.msg에logged in successfully이 포함된 경우event_type를USER_LOGIN로 설정합니다.msg에login failed이 포함된 경우event_type를USER_LOGOUT로 설정합니다.
2023-07-19
버그 수정:
- 실패 로그를 파싱하기 위해
\n를 삭제하는 gsub를 추가했습니다.
2023-05-05
- CEF 형식의 로그 지원이 추가되었습니다.
2022-09-19
- 파서를 새로 만들었습니다.
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가의 답변을 받아 보세요.