Mengumpulkan log EDR LimaCharlie

Didukung di:

Dokumen ini menjelaskan cara menyerap log EDR LimaCharlie ke Google Security Operations menggunakan Google Cloud Storage. Parser mengekstrak peristiwa dari log berformat JSON, menormalisasi kolom ke dalam UDM, dan menangani peristiwa tingkat teratas dan bertingkat. Secara khusus, alat ini mem-parsing berbagai jenis peristiwa, termasuk permintaan DNS, pembuatan proses, modifikasi file, koneksi jaringan, dan perubahan registri, memetakan kolom yang relevan ke padanannya dalam Model Data Terpadu (UDM) dan memperkaya data dengan konteks khusus LimaCharlie.

Sebelum memulai

Pastikan Anda memenuhi prasyarat berikut:

  • Instance Google SecOps
  • Akses istimewa ke Google Cloud
  • Akses istimewa ke LimaCharlie

Membuat Google Cloud Bucket Storage

  1. Login ke konsol Google Cloud .

  2. Buka halaman Cloud Storage Buckets.

    Buka Buckets

  3. Klik Buat.

  4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:

    1. Di bagian Mulai, lakukan tindakan berikut:

      • Masukkan nama unik yang memenuhi persyaratan nama bucket (misalnya, cloudrun-logs).
      • Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja berorientasi file dan intensif data, lalu pilih Aktifkan namespace Hierarkis di bucket ini.
      • Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Label.
      • Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

    2. Di bagian Pilih lokasi untuk menyimpan data Anda, lakukan hal berikut:

      • Pilih Jenis lokasi.
      • Gunakan menu jenis lokasi untuk memilih Lokasi tempat data objek dalam bucket Anda akan disimpan secara permanen.
      • Untuk menyiapkan replikasi lintas bucket, luaskan bagian Siapkan replikasi lintas bucket.

    3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

    4. Di bagian Pilih cara mengontrol akses ke objek, pilih tidak untuk menerapkan pencegahan akses publik, dan pilih model kontrol akses untuk objek bucket Anda.

    1. Di bagian Pilih cara melindungi data objek, lakukan tindakan berikut:
      • Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket Anda.
      • Untuk memilih cara mengenkripsi data objek Anda, klik panah peluas Enkripsi data, lalu pilih Metode enkripsi data.

  5. Klik Buat.

Mengonfigurasi Ekspor Log di LimaCharlie EDR

  1. Login ke portal LimaCharlie.
  2. Pilih Output dari menu kiri.
  3. Klik Tambahkan Output.
  4. Pilih aliran output: Pilih Peristiwa.
  5. Pilih tujuan output: Pilih Google Cloud Storage.
  6. Berikan detail konfigurasi berikut:
    • Bucket: Jalur ke bucket Google Cloud Storage.
    • Secret Key: Kunci json rahasia yang mengidentifikasi akun layanan.
    • Detik per File: Jumlah detik setelah file dipotong dan diupload.
    • Kompresi: Tetapkan ke False.
    • Pengindeksan: Tetapkan ke False.
    • Dir: Awalan direktori tempat file akan di-output di host jarak jauh.
  7. Klik Simpan output.

Menyiapkan feed

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

  • Setelan SIEM > Feed
  • Hub Konten > Paket Konten

Menyiapkan feed dari Setelan SIEM > Feed

Untuk mengonfigurasi feed, ikuti langkah-langkah berikut:

  1. Buka Setelan SIEM > Feed.
  2. Klik Tambahkan Feed Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Feed name, masukkan nama untuk feed (misalnya, Limacharlie EDR Logs).
  5. Pilih Google Cloud Storage sebagai Jenis sumber.
  6. Pilih LimaCharlie sebagai Jenis log.
  7. Klik Dapatkan Akun Layanan sebagai Akun Layanan Chronicle.
  8. Klik Berikutnya.

  9. Tentukan nilai untuk parameter input berikut:

    • URI Bucket Penyimpanan: URL bucket Google Cloud Storage dalam format gs://my-bucket/<value>.
    • URI Adalah: Pilih Direktori yang menyertakan subdirektori.
    • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.
    • Namespace aset: Namespace aset.
    • Label penyerapan: Label yang diterapkan ke peristiwa dari feed ini.

  10. Klik Berikutnya.

  11. Tinjau konfigurasi feed baru Anda di layar Selesaikan, lalu klik Kirim.

Menyiapkan feed dari Hub Konten

Tentukan nilai untuk kolom berikut:

  • URI Bucket Penyimpanan: URL bucket Google Cloud Storage dalam format gs://my-bucket/<value>.
  • URI Adalah: Pilih Direktori yang menyertakan subdirektori.
  • Opsi penghapusan sumber: Pilih opsi penghapusan sesuai preferensi Anda.

Opsi lanjutan

  • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
  • Jenis Sumber: Metode yang digunakan untuk mengumpulkan log ke Google SecOps.
  • Namespace Aset: Namespace yang terkait dengan feed.
  • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
cat security_result.summary Diganti namanya dari cat. Berlaku jika detect tidak kosong.
detect.event.COMMAND_LINE principal.process.command_line Diganti namanya dari detect.event.COMMAND_LINE. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.COMMAND_LINE principal.process.command_line Diganti namanya dari detect.event.COMMAND_LINE. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.FILE_PATH principal.process.file.full_path Diganti namanya dari detect.event.FILE_PATH. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.FILE_PATH principal.process.file.full_path Diganti namanya dari detect.event.FILE_PATH. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.HASH principal.process.file.sha256 Diganti namanya dari detect.event.HASH. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.HASH principal.process.file.sha256 Diganti namanya dari detect.event.HASH. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.HASH_MD5 principal.process.file.md5 Diganti namanya dari detect.event.HASH_MD5. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.HASH_SHA1 principal.process.file.sha1 Diganti namanya dari detect.event.HASH_SHA1. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PARENT.COMMAND_LINE principal.process.command_line Diganti namanya dari detect.event.PARENT.COMMAND_LINE. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PARENT.COMMAND_LINE principal.process.parent_process.command_line Diganti namanya dari detect.event.PARENT.COMMAND_LINE. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PARENT.FILE_PATH principal.process.file.full_path Diganti namanya dari detect.event.PARENT.FILE_PATH. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PARENT.FILE_PATH principal.process.parent_process.file.full_path Diganti namanya dari detect.event.PARENT.FILE_PATH. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PARENT.HASH principal.process.file.sha256 Diganti namanya dari detect.event.PARENT.HASH. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PARENT.HASH principal.process.parent_process.file.sha256 Diganti namanya dari detect.event.PARENT.HASH. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PARENT_PROCESS_ID principal.process.pid Diganti namanya dari detect.event.PARENT_PROCESS_ID. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PARENT_PROCESS_ID principal.process.parent_process.pid Diganti namanya dari detect.event.PARENT_PROCESS_ID. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PROCESS_ID target.process.pid Diganti namanya dari detect.event.PROCESS_ID. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.PROCESS_ID principal.process.pid Diganti namanya dari detect.event.PROCESS_ID. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect.event.USER_NAME principal.user.userid Diganti namanya dari detect.event.USER_NAME. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect tidak kosong.
detect_mtd.description security_result.description Diganti namanya dari detect_mtd.description. Berlaku jika detect tidak kosong.
detect_mtd.level security_result.severity Disalin dari detect_mtd.level dan dikonversi ke huruf besar. Berlaku jika detect tidak kosong.
event.COMMAND_LINE principal.process.command_line Diganti namanya dari event.COMMAND_LINE. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.COMMAND_LINE principal.process.command_line Diganti namanya dari event.COMMAND_LINE. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.DLL target.file.full_path Disalin dari event.DLL. Berlaku jika event_type adalah SERVICE_CHANGE.
event.DOMAIN_NAME network.dns.questions.0.name, network.dns.answers.0.name Diganti namanya menjadi a.name, lalu disalin ke q.name, lalu digabungkan ke array network.dns.questions dan network.dns.answers. Berlaku jika event_type adalah DNS_REQUEST.
event.DNS_TYPE network.dns.answers.0.type Diganti namanya menjadi a.type, lalu digabungkan ke dalam array network.dns.answers. Berlaku jika event_type adalah DNS_REQUEST.
event.ERROR security_result.severity_details Disalin dari event.ERROR. Berlaku jika event.ERROR tidak kosong.
event.EXECUTABLE target.process.command_line Disalin dari event.EXECUTABLE. Berlaku jika event_type adalah SERVICE_CHANGE.
event.FILE_PATH target.file.full_path Diganti namanya dari event.FILE_PATH. Berlaku jika event_type adalah salah satu dari NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, atau FILE_READ dan detect kosong.
event.FILE_PATH principal.process.file.full_path Diganti namanya dari event.FILE_PATH. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.FILE_PATH target.process.file.full_path Diganti namanya dari event.FILE_PATH. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.HASH target.file.sha256 Diganti namanya dari event.HASH. Berlaku jika event_type adalah salah satu dari NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, atau FILE_READ dan detect kosong.
event.HASH principal.process.file.sha256 Diganti namanya dari event.HASH. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.HASH target.process.file.sha256 Diganti namanya dari event.HASH. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.HASH_MD5 principal.process.file.md5 Diganti namanya dari event.HASH_MD5. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.HASH_SHA1 principal.process.file.sha1 Diganti namanya dari event.HASH_SHA1. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.IP_ADDRESS network.dns.answers.0.data Diganti namanya menjadi a.data, lalu digabungkan ke dalam array network.dns.answers. Berlaku jika event_type adalah DNS_REQUEST dan event.IP_ADDRESS tidak kosong.
event.MESSAGE_ID network.dns.id Diganti namanya dari event.MESSAGE_ID. Berlaku jika event_type adalah DNS_REQUEST.
event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS target.ip Digabungkan dari event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS. Berlaku jika event_type adalah NETWORK_CONNECTIONS.
event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS principal.ip Digabungkan dari event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS. Berlaku jika event_type adalah NETWORK_CONNECTIONS.
event.PARENT.COMMAND_LINE principal.process.command_line Diganti namanya dari event.PARENT.COMMAND_LINE. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PARENT.COMMAND_LINE principal.process.parent_process.command_line Diganti namanya dari event.PARENT.COMMAND_LINE. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PARENT.FILE_PATH principal.process.file.full_path Diganti namanya dari event.PARENT.FILE_PATH. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PARENT.FILE_PATH principal.process.parent_process.file.full_path Diganti namanya dari event.PARENT.FILE_PATH. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PARENT.HASH principal.process.file.sha256 Diganti namanya dari event.PARENT.HASH. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PARENT.HASH principal.process.parent_process.file.sha256 Diganti namanya dari event.PARENT.HASH. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PARENT_PROCESS_ID principal.process.pid Diganti namanya dari event.PARENT_PROCESS_ID. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PARENT_PROCESS_ID principal.process.parent_process.pid Diganti namanya dari event.PARENT_PROCESS_ID. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PROCESS_ID target.process.pid Diganti namanya dari event.PROCESS_ID. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.PROCESS_ID principal.process.pid Diganti namanya dari event.PROCESS_ID. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
event.REGISTRY_KEY target.registry.registry_key Disalin dari event.REGISTRY_KEY. Berlaku jika event_type adalah REGISTRY_WRITE.
event.REGISTRY_VALUE target.registry.registry_value_data Disalin dari event.REGISTRY_VALUE. Berlaku jika event_type adalah REGISTRY_WRITE.
event.SVC_DISPLAY_NAME metadata.description Disalin dari event.SVC_DISPLAY_NAME. Berlaku jika event_type adalah SERVICE_CHANGE.
event.SVC_NAME target.application Disalin dari event.SVC_NAME. Berlaku jika event_type adalah SERVICE_CHANGE.
event.USER_NAME principal.user.userid Diganti namanya dari event.USER_NAME. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
routing.event_time metadata.event_timestamp Diuraikan sebagai stempel waktu dari routing.event_time menggunakan format UNIX_MS atau ISO8601.
routing.event_type metadata.product_event_type Disalin dari routing.event_type.
routing.ext_ip principal.ip Disalin dari routing.ext_ip. Berlaku jika routing.ext_ip tidak kosong.
routing.hostname principal.hostname Disalin dari routing.hostname. Berlaku jika routing.hostname tidak kosong.
routing.int_ip principal.ip Disalin dari routing.int_ip. Berlaku jika routing.int_ip tidak kosong.
routing.parent target.process.product_specific_process_id Diawali dengan "LC:" dari routing.parent. Berlaku jika detect tidak kosong.
routing.parent principal.process.product_specific_process_id Diawali dengan "LC:" dari routing.parent. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan routing.this kosong serta routing.parent tidak kosong.
routing.this principal.process.product_specific_process_id Diawali dengan "LC:" dari routing.this. Berlaku jika event_type adalah salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan detect kosong.
routing.this principal.process.product_specific_process_id Diawali dengan "LC:" dari routing.this. Berlaku jika event_type bukan salah satu dari NEW_PROCESS, NEW_DOCUMENT, FILE_MODIFIED, FILE_DELETE, FILE_CREATE, FILE_READ, MODULE_LOAD, TERMINATE_PROCESS, atau SENSITIVE_PROCESS_ACCESS dan routing.this tidak kosong. Ditetapkan ke true jika detect tidak kosong. Disetel ke true jika detect tidak kosong dan detect_mtd.level adalah salah satu dari high, medium, atau critical. Tetapkan ke nilai berdasarkan event_type: NETWORK_DNS untuk DNS_REQUEST, PROCESS_LAUNCH untuk NEW_PROCESS, PROCESS_UNCATEGORIZED untuk EXISTING_PROCESS, NETWORK_CONNECTION untuk CONNECTED atau NETWORK_CONNECTIONS, REGISTRY_MODIFICATION untuk REGISTRY_WRITE, SERVICE_MODIFICATION untuk SERVICE_CHANGE, FILE_UNCATEGORIZED untuk NEW_DOCUMENT, FILE_READ untuk FILE_READ, FILE_DELETION untuk FILE_DELETE, FILE_CREATION untuk FILE_CREATE, FILE_MODIFICATION untuk FILE_MODIFIED, PROCESS_MODULE_LOAD untuk MODULE_LOAD, PROCESS_TERMINATION untuk TERMINATE_PROCESS, STATUS_UNCATEGORIZED untuk CLOUD_NOTIFICATION atau RECEIPT, PROCESS_UNCATEGORIZED untuk REMOTE_PROCESS_HANDLE atau NEW_REMOTE_THREAD, atau GENERIC_EVENT jika tidak. Ditetapkan ke "LimaCharlie EDR". Tetapkan ke "LimaCharlie". Ditetapkan ke "DNS" jika event_type adalah DNS_REQUEST. Ditetapkan ke "ERROR" jika event.ERROR tidak kosong. Disalin dari event.HOST_NAME. Berlaku jika event_type adalah CONNECTED.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.