Collecter les journaux AWS GuardDuty

Compatible avec:

Ce document explique comment collecter les journaux AWS GuardDuty en configurant un flux Google Security Operations.

Pour en savoir plus, consultez Ingestion de données dans Google Security Operations.

Un libellé d'ingestion identifie l'analyseur qui normalise les données de journal brutes au format UDM structuré. Les informations de ce document s'appliquent à l'analyseur avec le libellé d'ingestion GUARDDUTY.

Avant de commencer

  • Assurez-vous qu'un bucket AWS S3 est créé. Pour créer le bucket AWS S3, consultez la page Créer votre premier bucket S3.
  • Assurez-vous qu'une clé KMS est créée. Pour créer la clé KMS, consultez la section Créer des clés KMS asymétriques.
  • Assurez-vous qu'AWS GuardDuty est autorisé à accéder à la clé KMS. Pour accorder l'accès à la clé KMS, consultez Exporter les résultats. GuardDuty chiffre les données des résultats dans votre bucket à l'aide d'une clé AWS KMS.

Configurer AWS GuardDuty

Pour configurer AWS GuardDuty, procédez comme suit:

  1. Connectez-vous à la console AWS.
  2. Recherchez GuardDuty.
  3. Sélectionnez Paramètres.

  4. Dans la section Trouver une option d'exportation, procédez comme suit:

    1. Dans la liste Fréquence de mise à jour des résultats, sélectionnez Mettre à jour les CWE et les S3 toutes les 15 minutes. La fréquence sélectionnée s'applique aux résultats mis à jour. Les nouveaux résultats sont exportés cinq minutes après leur création.
    2. Dans la section Bucket S3, sélectionnez le bucket S3 dans lequel vous souhaitez exporter les résultats de GuardDuty.
    3. Dans la section Préfixe du fichier journal, indiquez le préfixe du fichier journal.
    4. Dans la section Chiffrement KMS, sélectionnez le chiffrement KMS.
    5. Dans la liste Alias de clé, sélectionnez la clé.
    6. Cliquez sur Enregistrer.

  5. Une fois les fichiers journaux stockés dans le bucket S3, créez une file d'attente SQS et associez-la au bucket S3.

Exemple de règle KMS

Voici un exemple de stratégie KMS:

{
            "Sid": "Allow GuardDuty to encrypt findings",
            "Effect": "Allow",
            "Principal": {
                "Service": "guardduty.AWS_REGION.amazonaws.com"
            },
            "Action": [
                "kms:Encrypt",
                "kms:GenerateDataKey"
            ],
            "Resource": "KEY_ARN"
        }

Remplacez les éléments suivants :

  • AWS_REGION: région choisie.
  • KEY_ARN: nom de ressource Amazon (ARN) de la clé KMS.

Vérifiez les stratégies de clé IAM et de clé KMS requises pour S3, SQS et KMS.

En fonction du service et de la région, identifiez les points de terminaison de connectivité en vous reportant à la documentation AWS suivante:

Configurer un flux dans Google Security Operations pour ingérer les journaux AWS GuardDuty

  1. Sélectionnez Paramètres du SIEM > Flux.
  2. Cliquez sur Ajouter.
  3. Saisissez un nom unique pour le nom du flux.
  4. Sélectionnez Amazon S3 ou Amazon SQS comme Type de source.
  5. Sélectionnez AWS GuardDuty comme Type de journal.
  6. Cliquez sur Suivant, puis sur Envoyer.
  7. Google Security Operations prend en charge la collecte de journaux à l'aide d'un ID de clé d'accès et d'une méthode secrète. Pour créer l'ID de clé d'accès et le secret, consultez Configurer l'authentification de l'outil avec AWS.

  8. En fonction de la configuration AWS GuardDuty que vous avez créée, spécifiez des valeurs pour les champs suivants.

    1. Si vous utilisez Amazon S3
      • Région
      • URI S3
      • Un URI est un
      • Option de suppression de la source

    2. Si vous utilisez Amazon SQS
      • Région
      • Nom de la file d'attente
      • Numéro de compte
      • ID de clé d'accès de la file d'attente
      • Clé d'accès secrète mise en file d'attente
      • Option de suppression de la source

  9. Cliquez sur Suivant, puis sur Envoyer.

Pour en savoir plus sur les flux Google Security Operations, consultez la documentation sur les flux Google Security Operations. Pour en savoir plus sur les exigences de chaque type de flux, consultez la section Configuration des flux par type. Si vous rencontrez des problèmes lors de la création de flux, contactez l'assistance Google Security Operations.

Référence du mappage de champs

Ce code d'analyseur traite les résultats AWS GuardDuty au format JSON, en extrayant les champs pertinents et en les mappant sur un modèle de données unifié (UDM). Il effectue des transformations de données, y compris des remplacements de chaînes, la fusion de tableaux et la conversion de types de données, afin de créer une représentation structurée de l'événement de sécurité à des fins d'analyse et de corrélation.

Tableau de mappage UDM

Champ de journal Mappage UDM Logique
accountId principal.group.product_object_id ID du compte AWS associé à l'anomalie.
additionalInfo.portsScannedSample event.idm.read_only_udm.about.port Liste des ports analysés lors d'un balayage de ports.
additionalInfo.sample security_result.about.labels.value Indique si la conclusion est un exemple.
additionalInfo.threatListName security_result.threat_feed_name Nom de la liste de menaces ayant déclenché la détection.
additionalInfo.threatName security_result.threat_name Nom de la menace ayant déclenché la détection.
additionalInfo.userAgent
.fullUserAgent		 network.http.user_agent Chaîne user-agent complète associée à la découverte.
additionalInfo.userAgent
.userAgentCategory		 security_result.detection_fields.value Catégorie de l'user-agent associé à la découverte.
arn target.asset.attribute
.cloud.project.product_object_id		 Nom de ressource Amazon (ARN) de l'anomalie.
detail.accountId principal.group.product_object_id ID du compte AWS associé à l'anomalie.
detail.description security_result.description Description détaillée du résultat
detail.id target.asset.attribute.cloud.project.id Identifiant unique du résultat.
detail.resource.accessKeyDetails principal.user Informations sur la clé d'accès AWS impliquée dans le résultat.
detail.resource.accessKeyDetails
.accessKeyId		 principal.user.userid ID de la clé d'accès AWS impliquée dans la découverte.
detail.resource.accessKeyDetails
.principalId		 principal.user.userid ID du principal de la clé d'accès AWS impliquée dans la découverte.
detail.resource.accessKeyDetails
.userType		 principal.user.attribute.roles.name Type d'utilisateur associé à la clé d'accès AWS impliquée dans l'anomalie.
detail.resource.accessKeyDetails
.userName		 principal.user.user_display_name Nom de l'utilisateur associé à la clé d'accès AWS impliquée dans l'anomalie.
detail.resource.s3BucketDetails
.0.arn		 target.resource.name ARN du bucket S3 impliqué dans le résultat.
detail.resource.s3BucketDetails
.0.defaultServerSideEncryption.encryptionType		 network.tls.client.supported_ciphers Type de chiffrement côté serveur utilisé pour le bucket S3 concerné par la découverte.
detail.resource.s3BucketDetails
.0.name		 target.resource.name Nom du bucket S3 impliqué dans le résultat.
detail.resource.s3BucketDetails
.0.owner.id		 target.resource.attribute.labels.value ID du propriétaire du bucket S3 impliqué dans le résultat.
detail.resource.s3BucketDetails
.0.publicAccess.effectivePermission		 target.resource.attribute.labels.value Autorisation effective du bucket S3 impliqué dans la découverte.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages de l'accès public sont activés pour le compte.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages de l'accès public sont activés pour le compte.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages de l'accès public sont activés pour le compte.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages de l'accès public sont activés pour le compte.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si la liste de contrôle des accès (LCA) autorise l'accès en lecture public.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si la liste de contrôle des accès (LCA) autorise l'accès en écriture public.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages d'accès public sont activés pour le bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages d'accès public sont activés pour le bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages d'accès public sont activés pour le bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages d'accès public sont activés pour le bucket.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si la stratégie du bucket autorise l'accès en lecture public.
detail.resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si la stratégie de bucket autorise l'accès en écriture public.
detail.resource.s3BucketDetails
.0.type		 target.resource.attribute.labels.value Type de bucket S3 impliqué dans le résultat.
detail.service.action
.actionType		 principal.group.attribute.labels.value Type d'action associé à la découverte.
detail.service.action
.awsApiCallAction.api		 principal.application Nom de l'appel d'API AWS impliqué dans la recherche.
detail.service.action
.awsApiCallAction.callerType		 principal.group.attribute.labels.value Type d'appelant ayant effectué l'appel d'API AWS impliqué dans la découverte.
detail.service.action
.awsApiCallAction.domainDetails.domain		 network.dns.questions.name Nom de domaine associé à l'appel d'API AWS impliqué dans la recherche.
detail.service.action.awsApiCallAction
.remoteIpDetails.country.countryName		 target.location.country_or_region Nom du pays associé à l'adresse IP distante qui a effectué l'appel d'API AWS impliqué dans la recherche.
detail.service.action.awsApiCallAction
.remoteIpDetails.geoLocation.lat		 target.location.region_latitude Latitude de l'adresse IP distante à partir de laquelle l'appel d'API AWS a été effectué pour la recherche.
detail.service.action.awsApiCallAction
.remoteIpDetails.geoLocation.lon		 target.location.region_longitude Longitude de l'adresse IP distante à partir de laquelle l'appel d'API AWS a été effectué.
detail.service.action
.awsApiCallAction.remoteIpDetails.ipAddressV4		 target.ip Adresse IP à partir de laquelle l'appel d'API AWS impliqué dans la recherche a été effectué.
detail.service.action
.awsApiCallAction.serviceName		 metadata.description Nom du service AWS impliqué dans l'anomalie.
detail.service.action
.dnsRequestAction.blocked		 security_result.action Indique si la requête DNS a été bloquée.
detail.service.action
.dnsRequestAction.domain		 principal.administrative_domain Nom de domaine associé à la requête DNS impliquée dans la découverte.
detail.service.action
.dnsRequestAction.protocol		 network.ip_protocol Protocole utilisé pour la requête DNS impliquée dans la recherche.
detail.service.action
.networkConnectionAction.blocked		 security_result.action Indique si la connexion réseau a été bloquée.
detail.service.action
.networkConnectionAction.connectionDirection		 network.direction Sens de la connexion réseau impliquée dans la découverte.
detail.service.action
.networkConnectionAction.localIpDetails
.ipAddressV4		 principal.ip Adresse IP locale impliquée dans la connexion réseau.
detail.service.action
.networkConnectionAction.localPortDetails
.port		 principal.port Port local impliqué dans la connexion réseau.
detail.service.action
.networkConnectionAction.localPortDetails
.portName		 principal.application Nom du port local impliqué dans la connexion réseau.
detail.service.action
.networkConnectionAction.protocol		 network.ip_protocol Protocole utilisé pour la connexion réseau impliquée dans la découverte.
detail.service.action
.networkConnectionAction.remoteIpDetails
.city.cityName		 target.location.city Nom de la ville associée à l'adresse IP distante impliquée dans la connexion réseau.
detail.service.action
.networkConnectionAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Nom du pays associé à l'adresse IP distante impliquée dans la connexion réseau.
detail.service.action
.networkConnectionAction.remoteIpDetails
.ipAddressV4		 target.ip Adresse IP distante impliquée dans la connexion réseau.
detail.service.action
.networkConnectionAction.remotePortDetails
.port		 target.port Port distant impliqué dans la connexion réseau.
detail.service.action
.networkConnectionAction.remotePortDetails
.portName		 target.application Nom du port distant impliqué dans la connexion réseau.
detail.service.action
.portProbeAction.blocked		 security_result.action Indique si la vérification du port a été bloquée.
detail.service.action
.portProbeAction.portProbeDetails
.0.localPortDetails.port		 target.port Port local qui a été analysé.
detail.service.action
.portProbeAction.portProbeDetails
.0.localPortDetails.portName		 principal.application Nom du port local qui a été analysé.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.city.cityName		 target.location.city Nom de la ville associée à l'adresse IP distante qui a effectué la vérification de port.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.country.countryName		 target.location.country_or_region Nom du pays associé à l'adresse IP distante qui a effectué la vérification de port.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.geoLocation.lat		 target.location.region_latitude Latitude de l'adresse IP distante qui a effectué la vérification de port.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.geoLocation.lon		 target.location.region_longitude Longitude de l'adresse IP distante qui a effectué la vérification de port.
detail.service.action
.portProbeAction.portProbeDetails
.0.remoteIpDetails.ipAddressV4		 target.ip Adresse IP distante ayant effectué la vérification de port.
detail.service.additionalInfo
.threatListName		 security_result.threat_feed_name Nom de la liste de menaces ayant déclenché la détection.
detail.service.additionalInfo
.threatName		 security_result.threat_name Nom de la menace ayant déclenché la détection.
detail.service.additionalInfo
.userAgent.fullUserAgent		 network.http.user_agent Chaîne user-agent complète associée à la découverte.
detail.service.additionalInfo
.userAgent.userAgentCategory		 security_result.detection_fields.value Catégorie de l'user-agent associé à la découverte.
detail.service.additionalInfo
.value		 security_result.about
.resource.attribute.labels.value		 Informations supplémentaires sur la non-conformité.
detail.title security_result.summary Titre court de la constatation.
detail.type metadata.product_event_type Type de résultat.
detail.updatedAt metadata.event_timestamp Heure de la dernière mise à jour du résultat.
detail-type event.idm.read_only_udm
.additional.fields.value.string_value		 Type d'événement ayant déclenché la détection.
partition target.asset.attribute
.cloud.project.type		 Partition AWS dans laquelle le résultat s'est produit.
resource.accessKeyDetails principal.user Informations sur la clé d'accès AWS impliquée dans le résultat.
resource.accessKeyDetails.accessKeyId principal.user.userid ID de la clé d'accès AWS impliquée dans la découverte.
resource.accessKeyDetails.principalId principal.user.userid ID du principal de la clé d'accès AWS impliquée dans la découverte.
resource.accessKeyDetails.userType principal.user.attribute.roles.name Type d'utilisateur associé à la clé d'accès AWS impliquée dans l'anomalie.
resource.accessKeyDetails.userName principal.user.user_display_name Nom de l'utilisateur associé à la clé d'accès AWS impliquée dans l'anomalie.
resource.instanceDetails.availabilityZone target.asset.attribute.cloud.availability_zone Zone de disponibilité de l'instance EC2 impliquée dans la découverte.
resource.instanceDetails.imageDescription event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Description de l'AMI utilisée pour lancer l'instance EC2 concernée par la découverte.
resource.instanceDetails.imageId event.idm.read_only_udm
.additional.fields.value.string_value		 ID de l'AMI utilisé pour lancer l'instance EC2 concernée par la découverte.
resource.instanceDetails
.iamInstanceProfile.arn		 target.resource.attribute.labels.value ARN du profil d'instance IAM associé à l'instance EC2 impliquée dans le résultat.
resource.instanceDetails
.iamInstanceProfile.id		 target.resource.attribute.labels.value ID du profil d'instance IAM associé à l'instance EC2 impliquée dans le résultat.
resource.instanceDetails.instanceId target.resource.product_object_id ID de l'instance EC2 impliquée dans l'anomalie.
resource.instanceDetails.instanceState target.resource.attribute.labels.value État de l'instance EC2 impliquée dans l'anomalie.
resource.instanceDetails.instanceType target.resource.attribute.labels.value Type de l'instance EC2 impliquée dans le résultat.
resource.instanceDetails
.launchTime		 target.resource.attribute.creation_time Heure à laquelle l'instance EC2 impliquée dans le résultat a été lancée.
resource.instanceDetails
.networkInterfaces.0.networkInterfaceId		 target.resource.attribute.labels.value ID de l'interface réseau associée à l'instance EC2 impliquée dans le résultat.
resource.instanceDetails
.networkInterfaces.0.privateDnsName		 target.resource.attribute.labels.value Nom DNS privé de l'interface réseau associée à l'instance EC2 concernée par l'anomalie.
resource.instanceDetails
.networkInterfaces.0.publicDnsName		 target.resource.attribute.labels.value Nom DNS public de l'interface réseau associée à l'instance EC2 concernée par l'anomalie.
resource.instanceDetails
.networkInterfaces.0.publicIp		 principal.ip Adresse IP publique de l'interface réseau associée à l'instance EC2 concernée par le résultat.
resource.instanceDetails
.networkInterfaces.0.privateIpAddress		 principal.ip Adresse IP privée de l'interface réseau associée à l'instance EC2 impliquée dans la recherche.
resource.instanceDetails
.networkInterfaces.0.securityGroups
.0.groupId		 target.user.group_identifiers ID du groupe de sécurité associé à l'interface réseau de l'instance EC2 impliquée dans le résultat.
resource.instanceDetails
.networkInterfaces.0.securityGroups
.0.groupName		 target.user.group_identifiers Nom du groupe de sécurité associé à l'interface réseau de l'instance EC2 impliquée dans la découverte.
resource.instanceDetails
.networkInterfaces.0.subnetId		 target.resource.attribute.labels.value ID du sous-réseau associé à l'interface réseau de l'instance EC2 impliquée dans l'anomalie.
resource.instanceDetails
.networkInterfaces.0.vpcId		 target.asset.attribute.cloud.vpc.id ID du VPC associé à l'interface réseau de l'instance EC2 impliquée dans la découverte.
resource.instanceDetails.outpostArn target.resource.attribute.labels.value ARN de l'avant-poste associé à l'instance EC2 impliquée dans le résultat.
resource.instanceDetails.platform target.asset.platform_software.platform_version Plate-forme de l'instance EC2 impliquée dans la découverte.
resource.instanceDetails
.productCodes.0.productCodeType		 target.resource.type Type de code produit associé à l'instance EC2 impliquée dans le résultat.
resource.instanceDetails.tags target.asset.attribute.labels Les balises associées à l'instance EC2 impliquée dans le résultat.
resource.kubernetesDetails
.kubernetesUserDetails.username		 principal.user.userid Nom d'utilisateur de l'utilisateur Kubernetes impliqué dans la découverte.
resource.rdsDbInstanceDetails
.dbClusterIdentifier		 event.idm.read_only_udm
.target.resource_ancestors.product_object_id		 Identifiant du cluster de base de données RDS impliqué dans le résultat.
resource.rdsDbInstanceDetails
.dbInstanceArn		 target.resource.name ARN de l'instance de base de données RDS impliquée dans la découverte.
resource.rdsDbInstanceDetails
.dbInstanceIdentifier		 target.resource.product_object_id Identifiant de l'instance de base de données RDS impliquée dans le résultat.
resource.rdsDbUserDetails.user principal.user.userid Nom d'utilisateur de l'utilisateur de la base de données RDS impliqué dans la découverte.
resource.resourceType target.resource.resource_subtype Type de ressource impliqué dans le résultat.
resource.s3BucketDetails principal.resource.attribute.labels Informations sur le compartiment S3 impliqué dans le résultat.
resource.s3BucketDetails.0.arn target.resource.name ARN du bucket S3 impliqué dans le résultat.
resource.s3BucketDetails.0.createdAt event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Heure de création du bucket S3 impliqué dans le résultat.
resource.s3BucketDetails.0
.defaultServerSideEncryption.encryptionType		 network.tls.client.supported_ciphers Type de chiffrement côté serveur utilisé pour le bucket S3 concerné par la découverte.
resource.s3BucketDetails.0.name target.resource.name Nom du bucket S3 impliqué dans le résultat.
resource.s3BucketDetails.0.owner.id target.resource.attribute.labels.value ID du propriétaire du bucket S3 impliqué dans le résultat.
resource.s3BucketDetails
.0.publicAccess.effectivePermission		 target.resource.attribute.labels.value Autorisation effective du bucket S3 impliqué dans la découverte.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages de l'accès public sont activés pour le compte.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages de l'accès public sont activés pour le compte.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages de l'accès public sont activés pour le compte.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.accountLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages de l'accès public sont activés pour le compte.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si la liste de contrôle des accès (LCA) autorise l'accès en lecture public.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.accessControlList
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si la liste de contrôle des accès (LCA) autorise l'accès en écriture public.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages d'accès public sont activés pour le bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.blockPublicPolicy		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages d'accès public sont activés pour le bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.ignorePublicAcls		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages d'accès public sont activés pour le bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.blockPublicAccess
.restrictPublicBuckets		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si les blocages d'accès public sont activés pour le bucket.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicReadAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si la stratégie du bucket autorise l'accès en lecture public.
resource.s3BucketDetails
.0.publicAccess.permissionConfiguration
.bucketLevelPermissions.bucketPolicy
.allowsPublicWriteAccess		 event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si la stratégie de bucket autorise l'accès en écriture public.
resource.s3BucketDetails.0.tags event.idm.read_only_udm
.principal.resource.attribute.labels		 Les balises associées au bucket S3 impliqué dans la découverte.
resource.s3BucketDetails.0.type target.resource.attribute.labels.value Type de bucket S3 impliqué dans le résultat.
service.action
.actionType		 principal.group.attribute.labels.value Type d'action associé à la découverte.
service.action
.awsApiCallAction.affectedResources
.AWS_CloudTrail_Trail		 event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Nom de la piste AWS CloudTrail impliquée dans la découverte.
service.action
.awsApiCallAction.affectedResources
.AWS_S3_Bucket		 event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Nom du bucket S3 impliqué dans le résultat.
service.action
.awsApiCallAction.api		 principal.application Nom de l'appel d'API AWS impliqué dans la recherche.
service.action
.awsApiCallAction.callerType		 principal.group.attribute.labels.value Type d'appelant ayant effectué l'appel d'API AWS impliqué dans la découverte.
service.action
.awsApiCallAction.domainDetails.domain		 network.dns.questions.name Nom de domaine associé à l'appel d'API AWS impliqué dans la recherche.
service.action
.awsApiCallAction.errorCode		 security_result.rule_type Code d'erreur associé à l'appel d'API AWS impliqué dans la découverte.
service.action
.awsApiCallAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Nom du pays associé à l'adresse IP distante qui a effectué l'appel d'API AWS impliqué dans la recherche.
service.action
.awsApiCallAction.remoteIpDetails
.geoLocation.lat		 target.location.region_latitude Latitude de l'adresse IP distante à partir de laquelle l'appel d'API AWS a été effectué pour la recherche.
service.action
.awsApiCallAction.remoteIpDetails
.geoLocation.lon		 target.location.region_longitude Longitude de l'adresse IP distante à partir de laquelle l'appel d'API AWS a été effectué.
service.action
.awsApiCallAction.remoteIpDetails
.ipAddressV4		 target.ip Adresse IP à partir de laquelle l'appel d'API AWS impliqué dans la recherche a été effectué.
service.action
.awsApiCallAction.remoteIpDetails
.organization.asn		 event.idm.read_only_udm
.additional.fields.value.string_value		 Numéro ASN (Autonomous System Number) de l'organisation associée à l'adresse IP distante qui a effectué l'appel d'API AWS impliqué dans la découverte.
service.action
.awsApiCallAction.remoteIpDetails
.organization.asnOrg		 event.idm.read_only_udm
.additional.fields.value.string_value		 Nom de l'organisation associée à l'adresse IP distante qui a effectué l'appel d'API AWS impliqué dans la découverte.
service.action
.awsApiCallAction.remoteIpDetails
.organization.isp		 event.idm.read_only_udm
.additional.fields.value.string_value		 Nom du fournisseur d'accès à Internet (FAI) associé à l'adresse IP distante qui a effectué l'appel d'API AWS impliqué dans la recherche.
service.action
.awsApiCallAction.remoteIpDetails
.organization.org		 event.idm.read_only_udm
.additional.fields.value.string_value		 Nom de l'organisation associée à l'adresse IP distante qui a effectué l'appel d'API AWS impliqué dans la découverte.
service.action
.awsApiCallAction.serviceName		 metadata.description Nom du service AWS impliqué dans l'anomalie.
service.action
.dnsRequestAction.blocked		 security_result.action Indique si la requête DNS a été bloquée.
service.action
.dnsRequestAction.domain		 principal.administrative_domain Nom de domaine associé à la requête DNS impliquée dans la découverte.
service.action
.dnsRequestAction.protocol		 network.ip_protocol Protocole utilisé pour la requête DNS impliquée dans la recherche.
service.action
.kubernetesApiCallAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Nom du pays associé à l'adresse IP distante à l'origine de l'appel d'API Kubernetes impliqué dans l'anomalie.
service.action
.kubernetesApiCallAction.remoteIpDetails
.geoLocation.lat		 target.location.region_latitude Latitude de l'adresse IP distante qui a effectué l'appel d'API Kubernetes impliqué dans la découverte.
service.action
.kubernetesApiCallAction.remoteIpDetails
.geoLocation.lon		 target.location.region_longitude Longitude de l'adresse IP distante qui a effectué l'appel d'API Kubernetes impliqué dans la recherche.
service.action
.kubernetesApiCallAction.remoteIpDetails
.ipAddressV4		 target.ip Adresse IP ayant effectué l'appel d'API Kubernetes impliqué dans la découverte.
service.action
.networkConnectionAction.blocked		 security_result.action Indique si la connexion réseau a été bloquée.
service.action
.networkConnectionAction.connectionDirection		 network.direction Sens de la connexion réseau impliquée dans la découverte.
service.action
.networkConnectionAction.localIpDetails
.ipAddressV4		 principal.ip Adresse IP locale impliquée dans la connexion réseau.
service.action
.networkConnectionAction.localPortDetails
.port		 principal.port Port local impliqué dans la connexion réseau.
service.action
.networkConnectionAction.localPortDetails
.portName		 principal.application Nom du port local impliqué dans la connexion réseau.
service.action
.networkConnectionAction.protocol		 network.ip_protocol Protocole utilisé pour la connexion réseau impliquée dans la découverte.
service.action
.networkConnectionAction.remoteIpDetails
.city.cityName		 target.location.city Nom de la ville associée à l'adresse IP distante impliquée dans la connexion réseau.
service.action
.networkConnectionAction.remoteIpDetails
.country.countryName		 target.location.country_or_region Nom du pays associé à l'adresse IP distante impliquée dans la connexion réseau.
service.action
.networkConnectionAction.remoteIpDetails
.ipAddressV4		 target.ip Adresse IP distante impliquée dans la connexion réseau.
service.action
.networkConnectionAction.remotePortDetails
.port		 target.port Port distant impliqué dans la connexion réseau.
service.action
.networkConnectionAction.remotePortDetails
.portName		 target.application Nom du port distant impliqué dans la connexion réseau.
service.action
.portProbeAction.blocked		 security_result.action Indique si la vérification du port a été bloquée.
service.action.portProbeAction
.portProbeDetails
.0.localPortDetails.port		 target.port Port local qui a été analysé.
service.action.portProbeAction
.portProbeDetails
.0.localPortDetails.portName		 principal.application Nom du port local qui a été analysé.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.city
.cityName		 target.location.city Nom de la ville associée à l'adresse IP distante qui a effectué la vérification de port.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.country
.countryName		 target.location.country_or_region Nom du pays associé à l'adresse IP distante qui a effectué la vérification de port.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.geoLocation
.lat		 target.location.region_latitude Latitude de l'adresse IP distante qui a effectué la vérification de port.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.geoLocation
.lon		 target.location.region_longitude Longitude de l'adresse IP distante qui a effectué la vérification de port.
service.action.portProbeAction
.portProbeDetails
.0.remoteIpDetails.ipAddressV4		 target.ip Adresse IP distante qui a effectué la vérification de port.
service.additionalInfo
.portsScannedSample		 event.idm.read_only_udm.about.port Exemple de ports analysés.
service.additionalInfo
.recentCredentials		 event.idm.read_only_udm.intermediary Liste des identifiants récents utilisés.
service.additionalInfo.sample security_result.about
.labels.value		 Indique si la conclusion est un exemple.
service.additionalInfo.threatListName security_result.threat_feed_name Nom de la liste de menaces ayant déclenché la détection.
service.additionalInfo.threatName security_result.threat_name Nom de la menace ayant déclenché la détection.
service.additionalInfo
.userAgent.fullUserAgent		 network.http.user_agent Chaîne user-agent complète associée à la découverte.
service.additionalInfo
.userAgent.userAgentCategory		 security_result.detection_fields
.value		 Catégorie de l'user-agent associé à l'anomalie.
service.additionalInfo.value security_result.about
.resource.attribute.labels.value		 Informations supplémentaires sur la non-conformité.
service.archived event.idm.read_only_udm
.additional.fields.value.bool_value		 Indique si le résultat est archivé.
service.count event.idm.read_only_udm
.principal.resource.attribute.labels.value		 Nombre de fois où l'événement s'est produit.
service.detectorId event.idm.read_only_udm
.additional.fields.value.string_value		 ID du détecteur GuardDuty ayant généré le résultat.
service.ebsVolumeScanDetails
.scanDetections
.threatDetectedByName.itemCount		 Nombre total de menaces détectées lors de l'analyse du volume EBS.

Modifications

2024-03-11

  • Mappage de "service.action.awsApiCallAction.domainDetails.domain" sur "network.dns.questions.name".

2024-03-05

  • "service.additionalInfo.value" a été mappé sur "security_result.about.labels".
  • "service.additionalInfo.value" a été mappé sur "security_result.about.resource.attribute.labels".
  • Mappage de "service.action.awsApiCallAction.affectedResources.AWS_CloudTrail_Trail" sur "principal.resource.attribute.labels".

2024-02-26

  • Correction de bug:
  • Mappage de "resource.eksClusterDetails.createdAt" sur "target.resource.attribute.labels".
  • Mappage de "resource.s3BucketDetails.createdAt" sur "principal.resource.attribute.labels".
  • "resource.eksClusterDetails.tags" a été mappé sur "target.resource.attribute.labels".
  • Mappage de "resource.s3BucketDetails.tags" sur "principal.resource.attribute.labels".
  • Si "type" est semblable à ":Kubernetes" ou ":S3", mappez "resource.accessKeyDetails.accessKeyId" sur "target.resource.product_object_id".
  • Si "service.action.actionType" est semblable à "AWS_API_CALL" ou "KUBERNETES_API_CALL", mappez "resource.accessKeyDetails.accessKeyId" sur "target.resource.product_object_id".
  • Si "service.action.actionType" est semblable à "DNS_REQUEST", mappez "resource.instanceDetails.instanceId" sur "target.resource.product_object_id".

2023-08-18

  • Champs mappés "security_result.attack_details.tactics", "security_result.attack_details.techniques" en fonction du champ "type".
  • Mappage de "metadata.event_type" sur des types d'événements plus spécifiques dans la mesure du possible au lieu de GENERIC_EVENT.
  • Champs mappés "target.resource.resource_subtype", "target.resource.resource_type" en fonction du champ "type".
  • Pour tous les journaux dont la valeur de type est ":EC2" :
  • Mappage de "resource.instanceDetails.instanceId" sur "target.resource.product_object_id".
  • Mappage de "resource.instanceDetails.instanceType" sur "target.resource.attribute.labels".
  • Mappage de "resource.instanceDetails.launchTime" sur "target.resource.attribute.creation_time".
  • Pour tous les journaux dont la valeur de type est ':RDSV' :
  • Mappage de "resource.rdsDbInstanceDetails.dbInstanceIdentifier" sur "target.resource.product_object_id".
  • Mappage de "resource.rdsDbInstanceDetails.dbInstanceArn" sur "target.resource.name".
  • Mappage de "resource.rdsDbInstanceDetails.dbClusterIdentifier" sur "target.resource_ancestors.product_object_id".
  • Mappage de "resource.rdsDbUserDetails.user" sur "principal.user.userid".
  • Pour tous les journaux dont la valeur de type est ":Kubernetes" :
  • Mappage de "resource.eksClusterDetails.arn" sur "target.resource.name".
  • Pour tous les journaux dont la valeur de type est ":Runtime" :
  • Mappage de "resource.eksClusterDetails.arn" sur "target.resource_ancestors.name".
  • Mappage de "resource.instanceDetails.instanceId" sur "target.resource.product_object_id".
  • Mappage de "resource.instanceDetails.instanceType" sur "target.resource.attribute.labels".
  • Mappage de "resource.instanceDetails.launchTime" sur "target.resource.attribute.creation_time".
  • Pour tous les journaux dont la valeur de type est ':IAMUser' :
  • Mappage de "resource.accessKeyDetails.accessKeyId" sur "target.resource.product_object_id".
  • Mappage de "resource.instanceDetails.instanceId" sur "target.resource_ancestors.product_object_id".
  • Pour tous les journaux dont la valeur de type est ":S3" :
  • "resource.s3BucketDetails.arn" ou "resource.s3BucketDetails.name" mappé sur "target.resource.name".

2023-08-02

  • Si "resource.instanceDetails.networkInterfaces" est vide, la valeur "metadata.event_type" est mappée sur "GENERIC_EVENT".
  • Si "detail.resource.accessKeyDetails.principalId" ou "resource.accessKeyDetails.principalId" sont vides, mappez "metadata.event_type" sur "USER_RESOURCE_ACCESS".

2023-06-19

  • Ajout de "security_result.attack_details" en fonction de "type".

2023-02-07

  • Amélioration :
  • Mappage de "threatdetails.threatListName" sur "security_result.threat_feed_name".
  • "service.additionalInfo.threatName" a été mappé sur "security_result.threat_name".
  • Si "product_event_type" est dans ["Backdoor:EC2/C&CActivity.B", "Backdoor:EC2/C&CActivity.B!DNS", "Trojan:EC2/BlackholeTraffic", "Trojan:EC2/BlackholeTraffic!DNS"], mappez "T1071" sur "technique_label.value".
  • Si "product_event_type" est dans ["PenTest:IAMUser/KaliLinux", "PenTest:IAMUser/ParrotLinux", "PenTest:IAMUser/PentooLinux", "PenTest:S3/KaliLinux", "PenTest:S3/ParrotLinux", "PenTest:S3/PentooLinux", "Policy:IAMUser/RootCredentialUsage", "UnauthorizedAccess:EC2/MaliciousIPCaller.Custom", "UnauthorizedAccess:EC2/TorClient"], mappez "T1078" sur "technique_label.value".
  • Si "product_event_type" est "Discovery:IAMUser/AnomalousBehavior", mappez "T1087" sur "technique_label.value".
  • Si "product_event_type" est "Persistence:IAMUser/AnomalousBehavior", mappez "T1098" sur "technique_label.value".
  • Si "product_event_type" est dans ["UnauthorizedAccess:EC2/RDPBruteForce", "UnauthorizedAccess:EC2/SSHBruteForce"], mappez "T1110" sur "technique_label.value".
  • Si "product_event_type" est dans ["InitialAccess:IAMUser/AnomalousBehavior", "UnauthorizedAccess:IAMUser/MaliciousIPCaller", "UnauthorizedAccess:IAMUser/MaliciousIPCaller.Custom", "UnauthorizedAccess:IAMUser/TorIPCaller", "UnauthorizedAccess:S3/MaliciousIPCaller.Custom", "UnauthorizedAccess:S3/TorIPCaller"], mappez "T1133" sur "technique_label.value".
  • Si "product_event_type" est "Trojan:EC2/DriveBySourceTraffic!DNS", mappez "T1189" sur "technique_label.value".
  • Si "product_event_type" est "PrivilegeEscalation:IAMUser/AnomalousBehavior", mappez "T1484" sur "technique_label.value".
  • Si "product_event_type" est dans ["Backdoor:EC2/Spambot", "CryptoCurrency:EC2/BitcoinTool.B", "CryptoCurrency:EC2/BitcoinTool.B!DNS", "Impact:EC2/AbusedDomainRequest.Reputation", "Impact:EC2/BitcoinDomainRequest.Reputation", "Impact:EC2/MaliciousDomainRequest.Reputation", "Impact:EC2/PortSweep", "Impact:EC2/SuspiciousDomainRequest.Reputation", "Impact:EC2/WinRMBruteForce", "UnauthorizedAccess:EC2/TorRelay"], mappez "T1496" sur "technique_label.value".
  • Si "product_event_type" est dans ["Backdoor:EC2/DenialOfService.Dns", "Backdoor:EC2/DenialOfService.Tcp", "Backdoor:EC2/DenialOfService.Udp", "Backdoor:EC2/DenialOfService.UdpOnTcpPorts", "Backdoor:EC2/DenialOfService.UnusualProtocol"], mappez "T1498" sur "technique_label.value".
  • Si "product_event_type" est dans ["Discovery:S3/MaliciousIPCaller", "Discovery:S3/MaliciousIPCaller.Custom", "Discovery:S3/TorIPCaller"], mappez "T1526" sur "technique_label.value".
  • Si "product_event_type" est "UnauthorizedAccess:IAMUser/ConsoleLoginSuccess.B", mappez "T1538" sur "technique_label.value".
  • Si "product_event_type" est "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration", mappez "T1552" sur "technique_label.value".
  • Si "product_event_type" est "CredentialAccess:IAMUser/AnomalousBehavior", mappez "T1555" sur "technique_label.value".
  • Si "product_event_type" est dans ["DefenseEvasion:IAMUser/AnomalousBehavior", "Policy:S3/AccountBlockPublicAccessDisabled", "Policy:S3/BucketAnonymousAccessGranted", "Policy:S3/BucketBlockPublicAccessDisabled", "Policy:S3/BucketPublicAccessGranted", "Stealth:IAMUser/CloudTrailLoggingDisabled", "Stealth:IAMUser/PasswordPolicyChange", "Stealth:S3/ServerAccessLoggingDisabled"], mappez "T1562" sur "technique_label.value".
  • Si "product_event_type" est dans ["Impact:IAMUser/AnomalousBehavior", "Impact:S3/MaliciousIPCaller"], mappez "T1565" sur "technique_label.value".
  • Si "product_event_type" est "Trojan:EC2/PhishingDomainRequest!DNS", mappez "T1566" sur "technique_label.value".
  • Si "product_event_type" est dans ["Exfiltration:IAMUser/AnomalousBehavior", "Exfiltration:S3/MaliciousIPCaller", "Exfiltration:S3/ObjectRead.Unusual", "Trojan:EC2/DNSDataExfiltration", "Trojan:EC2/DropPoint", "Trojan:EC2/DropPoint!DNS"], mappez "T1567" sur "technique_label.value".
  • Si "product_event_type" est dans ["Trojan:EC2/DGADomainRequest.C!DNS", "Trojan:EC2/DGADomainRequest.B"], mappez "T1568" sur "technique_label.value".
  • Si "product_event_type" == "UnauthorizedAccess:EC2/MetadataDNSRebind", mappez "T1580" sur "technique_label".
  • Si "product_event_type" est dans ["Recon:IAMUser/MaliciousIPCaller", "Recon:IAMUser/MaliciousIPCaller.Custom", "Recon:IAMUser/TorIPCaller"], mappez "T1589" sur "technique_label.value".
  • Si "product_event_type" est dans ["Recon:EC2/PortProbeEMRUnprotectedPort", "Recon:EC2/PortProbeUnprotectedPort", "Recon:EC2/Portscan"], mappez "T1595" sur "technique_label.value".
  • Si [technique_label][value] in ["T1595", "T1592", "T1589", "T1590", "T1591", "T1598", "T1597", "T1596", "T1593", "T1594] a mappé "Reconnaissance" sur "tatic_label.value".
  • Si [technique_label][value] in ["T1583", "T1586", "T1584", "T1587", "T1585", "T1588"] a mappé "ResourceDevelopment" sur "tatic_label.value".
  • Si [technique_label][value] in ["T1189", "T1190", "T1133", "T1200", "T1566", "T1091", "T1195", "T1199", "T1078"] alors mappé "InitialAccess" à "tatic_label.value".
  • Si [technique_label][value] in ["T1059", "T1203", "T1559", "T1106", "T1053", "T1129", "T1072", "T1569", "T1204", "T1047"] alors mappé "Exécution" à "tatic_label.value".
  • Si [technique_label][value] in ["T1098", "T1197", "T1547", "T1037", "T1176", "T1554", "T1136", "T1543", "T1546", "T1133", "T1574", "T1525", "T1137", "T1542", "T1053", "T1505", "T1205", "T1078"] alors mappé "Persistance" sur "tatic_label.value".
  • Si [technique_label][value] in ["T1548", "T1134", "T1547", "T1037", "T1543", "T1484", "T1546", "T1068", "T1574", "T1055", "T1053", "T1078"] alors mappé "PrivilegeEscalation" à "tatic_label.value".
  • Si [technique_label][value] in ["T1548", "T1134", "T1197", "T1140", "T1006", "T1484", "T1480", "T1211", "T1222", "T1564", "T1574", "T1562", "T1070", "T1202", "T1036", "T1556", "T1578", "T1112", "T1601", "T1599", "T1027", "T1542", "T1055", "T1207", "T1014", "T1218", "T1216", "T1553", "T1221", "T1205", "T1127", "T1535", "T1550", "T1078", "T1497", "T1600", "T1220"] alors mappé "DefenseEvasion" sur "tatic_label.value".
  • Si [technique_label][value] in ["T1110", "T1555", "T1212", "T1187", "T1606", "T1056", "T1557", "T1556", "T1040", "T1003", "T1528", "T1558", "T1539", "T1111", "T1552"] alors mappé "CredentialAccess" à "tatic_label.value".
  • Si [technique_label][value] in ["T1087", "T1010", "T1217", "T1580", "T1538", "T1526", "T1482", "T1083", "T1046", "T1135", "T1040", "T1201", "T1120", "T1069", "T1057", "T1012", "T1018", "T1518", "T1082", "T1016", "T1049", "T1033", "T1007", "T1124", "T1497"] alors mappé "Découverte" à "tatic_label.value".
  • Si [technique_label][value] in ["T1210", "T1534", "T1570", "T1563", "T1021", "T1091", "T1072", "T1080", "T1550"] alors mappé "LateralMovement" à "tatic_label.value".
  • Si [technique_label][value] in ["T1560", "T1123", "T1119", "T1115", "T1530", "T1602", "T1213", "T1005", "T1039", "T1025", "T1074", "T1114", "T1056", "T1185", "T1557", "T1113", "T1125"] alors mappé "Collection" à "tatic_label.value".
  • Si [technique_label][value] in ["T1071", "T1092", "T1132", "T1001", "T1568", "T1573", "T1008", "T1105", "T1104", "T1095", "T1571", "T1572", "T1090", "T1219", "T1205", "T1102"] alors mappé "CommandAndControl" à "tatic_label.value".
  • Si [technique_label][value] in ["T1020", "T1030", "T1048", "T1041", "T1011", "T1052", "T1567", "T1029", "T1537"] alors mappé "Exfiltration" à "tatic_label.value".
  • Si [technique_label][value] in ["T1531", "T1485", "T1486", "T1565", "T1491", "T1561", "T1499", "T1495", "T1490", "T1498", "T1496", "T1489", "T1529"] alors mappé "Impact" sur "tatic_label.value".

2022-11-10

  • Amélioration
  • "service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.hash" a été mappé sur "principal.file.sha256".
  • "service.ebsVolumeScanDetails.scanDetections.threatDetectedByName.threatNames.filePaths.filePath" a été mappé sur "principal.file.full_path".
  • "service.action.dnsRequestAction.domain" a été mappé sur "network.dns.questions.name".
  • Mappage de "resource.kubernetesDetails.kubernetesUserDetails.username" sur "principal.user.userid".

2022-09-12

  • Demande de fonctionnalité:
  • Mappage de "security_result.category", "metadata.event_type", "resource_type" et "resource_subtype" de manière appropriée pour les types de journaux : "IAM", "S3", "KUBERNETES", "MALWARE" et "EC2".

2022-08-11

  • Demande de fonctionnalité:
  • Le type d'événement "GENERIC_EVENT" a été remplacé par "STATUS_UPDATE" ou "USER_RESOURCE_ACCESS".

2022-07-20

  • Modification du mappage de "service.resourceRole" de "additional.resource_role" à "principal.resource.attribute.roles.name".
  • Modification de la mise en correspondance de "service.count" de "additional.fields" à "principal.resource.attribute.label"
  • Modification de la mise en correspondance de "resource.instanceDetails.imageDescription" de "additional.fields" à "principal.resource.attribute.label"
  • if "type" value in "Discovery:S3/MaliciousIPCaller", "Policy:S3/BucketPublicAccessGranted", "UnauthorizedAccess:S3/TorIPCaller", "Policy:S3/BucketAnonymousAccessGranted", "UnauthorizedAccess:EC2/TorRelay":
  • mappé "resource.instanceDetails.instanceId" sur "target.resource.product_object_id"
  • mappé "resource.instanceDetails.instanceType" sur "target.resource.name"

2022-07-08

  • Modification du mappage de "network_interface.securityGroups.0.groupId" de "target.user.groupid" à "target.user.group_identifiers".

2022-05-26

  • Amélioration : mises à jour des mappages pour les champs suivants
  • Modification de la mise en correspondance du champ "region" de "target.location.country_or_region" à "target.location.name"
  • Modification de la mise en correspondance du champ "resource.instanceDetails.tags[n]" de "additional.fields[n]" à "target.asset.attribute.labels[n]"
  • "service.action.networkConnectionAction.remoteIpDetails.country.countryName" mappé sur "target.location.country_or_region"

2022-05-27

  • Amélioration : la valeur stockée dans metadata.product_name a été modifiée pour indiquer "AWS GuardDuty" et metadata.vendor_name pour indiquer "AMAZON".

2022-03-25

  • Amélioration : le champ "Port udm" n'est pas un champ répété. Il n'est donc pas adapté à la capture de nombreux ports à partir d'un journal. Cette modification utilise instead about.port.

2022-03-31

  • Amélioration
  • Si la valeur "Inconnu" n'est pas mappée sur principal.application pour service.action.networkConnectionAction.localPortDetails.portName.
  • La liste entière du champ "tags" mappée sur des champs clé-valeur.
  • "service.action.networkConnectionAction.protocol" mappé sur network.ip_protocol
  • "service.action.networkConnectionAction.blocked" mappé sur security_result.action
  • "severity" mappé sur security_result.severity_details
  • Si service.action.actionType est AWS_API_CALL, "accessKeyId" est mappé sur target.resource.id.
  • Dans s3BucketDetails:
  • "arn" mappé sur target.asset.attribute.cloud.project.product_object_id.
  • "name" mappé sur target.resource.name.
  • "encryptionType" mappé sur network.tls.supported_ciphers.
  • "owner.id mappé sur target.resource.attribute.labels.
  • Sous resource.s3BucketDetails.0.publicAccess.permissionConfiguration.bucketLevelPermissions.accessControlList:
  • mappé "allowsPublicReadAccess" à l'attribut additional.fields.
  • mappé "allowsPublicWriteAccess" à l'attribut additional.fields. - --
  • Sous resource.s3BucketDetails.0.publicAccess.permissionConfiguration.bucketLevelPermissions.bucketPolicy:
  • mappé "allowsPublicReadAccess" à l'attribut additional.fields.
  • mappé "allowsPublicWriteAccess" à l'attribut additional.fields. - --
  • Sous resource.s3BucketDetails.0.publicAccess.permissionConfiguration.bucketLevelPermissions.blockPublicAccess:
  • mappé "ignorePublicAcls" à l'attribut additional.fields.
  • mappé "restrictPublicBuckets" à l'attribut additional.fields.
  • mappé "blockPublicAcls" à l'attribut additional.fields.
  • a mappé "blockPublicPolicy" à l'attribut additional.fields. - --
  • Sous resource.s3BucketDetails.0.publicAccess.permissionConfiguration.accountLevelPermissions.blockPublicAccess
  • mappé ignorePublicAcls à l'attribut additional.fields.
  • "restrictPublicBuckets" à l'attribut additional.fields.
  • "blockPublicAcls" à l'attribut additional.fields.
  • "blockPublicPolicy" à l'attribut additional.fields.
  • Sous service.action.awsApiCallAction.remoteIpDetails.organization:
  • "asn" mappé sur l'attribut additional.fields.
  • "asnOrg" mappé sur l'attribut additional.fields.
  • "isp" mappé sur l'attribut additional.fields.
  • "org" mappé sur l'attribut additional.fields.
  • Sous service.action.awsApiCallAction.affectedResources, mappage de l'attribut additional.fields "AWS::S3::Bucket".
  • Si service.action.actionType est DNS_REQUEST, "accessKeyId" est mappé sur target.resource.id.
  • resource.instanceDetails.instanceId mappé sur target.resource.id
  • resource.instanceDetails.instanceType mappé sur target.resource.name
  • resource.instanceDetails.networkInterfaces.0.vpcId mappé sur target.asset.attribute.cloud.vpc.id
  • Les valeurs sous resource.instanceDetails.tags ont mappé les champs suivants:
  • target.user.userid si la clé est "ApplicationOwner".
  • target.application si la clé est "Application".
  • user.email_addresses si la clé est "Contact".
  • additional.fields si la clé est "Name", "DAM_Project", "Project" ou "ehc:C3Schedule".
  • service.action.dnsRequestAction.protocol mappé network.ip_protocol si la valeur n'est pas égale à 0.
  • service.action.networkConnectionAction.blocked mappé sur security_result.action.
  • "severity" mappé sur security_result.severity_details.