收集 LimaCharlie EDR 記錄
本文說明如何使用 Google Cloud Storage,將 LimaCharlie EDR 記錄檔擷取至 Google Security Operations。剖析器會從 JSON 格式的記錄中擷取事件,將欄位正規化為 UDM,並處理頂層和巢狀事件。具體來說,這項功能會剖析各種事件類型,包括 DNS 要求、程序建立、檔案修改、網路連線和登錄檔變更,將相關欄位對應至統一資料模型 (UDM) 的對等項目,並使用 LimaCharlie 特定的情境資訊擴充資料。
事前準備
請確認您已完成下列事前準備事項:
- Google SecOps 執行個體
- Google Cloud的特殊存取權
- LimaCharlie 的特殊存取權
建立 Google Cloud 儲存空間 bucket
- 登入 Google Cloud 主控台。
前往「Cloud Storage Buckets」(Cloud Storage bucket) 頁面。
點選「建立」。
在「建立 bucket」頁面中,輸入 bucket 資訊。完成下列每個步驟後,請按一下「繼續」前往下一個步驟:
在「開始使用」部分執行下列操作:
- 輸入符合值區名稱規定的專屬名稱 (例如 cloudrun-logs)。
- 如要啟用階層命名空間,請按一下展開箭頭,展開「為檔案導向和資料密集型工作負載提供最理想的儲存空間」部分,然後選取「為這個值區啟用階層結構式命名空間」。
- 如要新增值區標籤,請按一下展開箭頭,展開「標籤」部分。
- 按一下「新增標籤」,然後指定標籤的鍵和值。
在「Choose where to store your data」(選擇資料的儲存位置) 專區中執行下列操作:
- 選取「位置類型」。
- 使用位置類型選單選取位置,永久儲存 bucket 中的物件資料。
- 如要設定跨 bucket 複製作業,請展開「設定跨 bucket 複製作業」部分。
在「為資料選擇儲存空間級別」部分,選取值區的預設儲存空間級別,或選取「Autoclass」,讓系統自動管理值區資料的儲存空間級別。
在「選取如何控制物件的存取權」部分,選取「否」以強制禁止公開存取,並為值區物件選取存取權控管模型。
- 在「選擇保護物件資料的方式」部分中,執行下列操作:
- 選取「資料保護」下要為值區設定的任何選項。
- 如要選擇物件資料的加密方式,請按一下「資料加密」展開箭頭,然後選取「資料加密方法」。
點選「建立」。
在 LimaCharlie EDR 中設定記錄匯出功能
- 登入 LimaCharlie 入口網站。
- 選取左選單中的「輸出」。
- 按一下「新增輸出」。
- 選擇輸出串流:選取「事件」。
- 選擇輸出目的地:選取「Google Cloud Storage」。
- 提供下列設定詳細資料:
- 值區:Google Cloud Storage 值區的路徑。
- 私密金鑰:用於識別服務帳戶的私密 JSON 金鑰。
- 每個檔案的秒數:檔案在幾秒後會剪輯並上傳。
- 壓縮:設為 False。
- 索引:設為 False。
- Dir:要在遠端主機上輸出檔案的目錄前置字元。
- 按一下「儲存輸出內容」。
設定動態饋給
在 Google SecOps 平台中,有兩種不同的進入點可設定動態饋給:
- 「SIEM 設定」>「動態消息」
- 內容中心 > 內容包
依序前往「SIEM 設定」>「動態饋給」,設定動態饋給
如要設定動態消息,請按照下列步驟操作:
- 依序前往「SIEM 設定」>「動態消息」。
- 按一下「新增動態消息」。
- 在下一個頁面中,按一下「設定單一動態饋給」。
- 在「動態饋給名稱」欄位中,輸入動態饋給的名稱 (例如「Limacharlie EDR Logs」)。
- 選取「Google Cloud Storage」做為「來源類型」。
- 選取「LimaCharlie」做為「記錄類型」。
- 按一下「Chronicle 服務帳戶」的「取得服務帳戶」。
- 點選「下一步」。
指定下列輸入參數的值:
- 儲存空間值區 URI:Google Cloud Storage 值區網址,格式為
gs://my-bucket/<value>
。 - 「URI Is A」(URI 為):選取「Directory which includes subdirectories」(包含子目錄的目錄)。
- 來源刪除選項:根據偏好設定選取刪除選項。
- 資產命名空間:資產命名空間。
- 擷取標籤:套用至這個動態饋給事件的標籤。
- 儲存空間值區 URI:Google Cloud Storage 值區網址,格式為
點選「下一步」。
在「Finalize」畫面上檢查新的動態饋給設定,然後按一下「Submit」。
從內容中心設定動態饋給
為下列欄位指定值:
- 儲存空間值區 URI:Google Cloud Storage 值區網址,格式為
gs://my-bucket/<value>
。 - 「URI Is A」(URI 為):選取「Directory which includes subdirectories」(包含子目錄的目錄)。
- 來源刪除選項:根據偏好設定選取刪除選項。
進階選項
- 動態饋給名稱:系統預先填入的值,用於識別動態饋給。
- 來源類型:將記錄收集到 Google SecOps 的方法。
- 資產命名空間:與動態饋給相關聯的命名空間。
- 擷取標籤:套用至這個動態饋給所有事件的標籤。
UDM 對應表
記錄欄位 | UDM 對應 | 邏輯 |
---|---|---|
cat |
security_result.summary |
已從「cat 」重新命名。如果 detect 不為空白,則會套用。 |
detect.event.COMMAND_LINE |
principal.process.command_line |
已從「detect.event.COMMAND_LINE 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白時,即適用此規則。 |
detect.event.COMMAND_LINE |
principal.process.command_line |
已從「detect.event.COMMAND_LINE 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.FILE_PATH |
principal.process.file.full_path |
已從「detect.event.FILE_PATH 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白時,即適用此規則。 |
detect.event.FILE_PATH |
principal.process.file.full_path |
已從「detect.event.FILE_PATH 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.HASH |
principal.process.file.sha256 |
已從「detect.event.HASH 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白時,即適用此規則。 |
detect.event.HASH |
principal.process.file.sha256 |
已從「detect.event.HASH 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.HASH_MD5 |
principal.process.file.md5 |
已從「detect.event.HASH_MD5 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.HASH_SHA1 |
principal.process.file.sha1 |
已從「detect.event.HASH_SHA1 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.PARENT.COMMAND_LINE |
principal.process.command_line |
已從「detect.event.PARENT.COMMAND_LINE 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白時,即適用此規則。 |
detect.event.PARENT.COMMAND_LINE |
principal.process.parent_process.command_line |
已從「detect.event.PARENT.COMMAND_LINE 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.PARENT.FILE_PATH |
principal.process.file.full_path |
已從「detect.event.PARENT.FILE_PATH 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白時,即適用此規則。 |
detect.event.PARENT.FILE_PATH |
principal.process.parent_process.file.full_path |
已從「detect.event.PARENT.FILE_PATH 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.PARENT.HASH |
principal.process.file.sha256 |
已從「detect.event.PARENT.HASH 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白時,即適用此規則。 |
detect.event.PARENT.HASH |
principal.process.parent_process.file.sha256 |
已從「detect.event.PARENT.HASH 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.PARENT_PROCESS_ID |
principal.process.pid |
已從「detect.event.PARENT_PROCESS_ID 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白時,即適用此規則。 |
detect.event.PARENT_PROCESS_ID |
principal.process.parent_process.pid |
已從「detect.event.PARENT_PROCESS_ID 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.PROCESS_ID |
target.process.pid |
已從「detect.event.PROCESS_ID 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白時,即適用此規則。 |
detect.event.PROCESS_ID |
principal.process.pid |
已從「detect.event.PROCESS_ID 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect.event.USER_NAME |
principal.user.userid |
已從「detect.event.USER_NAME 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 不為空白,則適用這項規則。 |
detect_mtd.description |
security_result.description |
已從「detect_mtd.description 」重新命名。如果 detect 不為空白,則會套用。 |
detect_mtd.level |
security_result.severity |
從 detect_mtd.level 複製並轉換為大寫。如果 detect 不為空白,則會套用。 |
event.COMMAND_LINE |
principal.process.command_line |
已從「event.COMMAND_LINE 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空時,適用這項規則。 |
event.COMMAND_LINE |
principal.process.command_line |
已從「event.COMMAND_LINE 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.DLL |
target.file.full_path |
從「event.DLL 」複製的項目。適用於 event_type 為 SERVICE_CHANGE 的情況。 |
event.DOMAIN_NAME |
network.dns.questions.0.name 、network.dns.answers.0.name |
重新命名為 a.name ,然後複製到 q.name ,再合併到 network.dns.questions 和 network.dns.answers 陣列。適用於 event_type 為 DNS_REQUEST 的情況。 |
event.DNS_TYPE |
network.dns.answers.0.type |
重新命名為 a.type ,然後合併至 network.dns.answers 陣列。適用於 event_type 為 DNS_REQUEST 的情況。 |
event.ERROR |
security_result.severity_details |
從「event.ERROR 」複製的項目。如果 event.ERROR 不為空白,則會套用。 |
event.EXECUTABLE |
target.process.command_line |
從「event.EXECUTABLE 」複製的項目。適用於 event_type 為 SERVICE_CHANGE 的情況。 |
event.FILE_PATH |
target.file.full_path |
已從「event.FILE_PATH 」重新命名。如果 event_type 是 NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 或 FILE_READ ,且 detect 為空白,則適用這項規定。 |
event.FILE_PATH |
principal.process.file.full_path |
已從「event.FILE_PATH 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.FILE_PATH |
target.process.file.full_path |
已從「event.FILE_PATH 」重新命名。如果 event_type 為 NEW_PROCESS 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規定。 |
event.HASH |
target.file.sha256 |
已從「event.HASH 」重新命名。如果 event_type 是 NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 或 FILE_READ ,且 detect 為空白,則適用這項規定。 |
event.HASH |
principal.process.file.sha256 |
已從「event.HASH 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.HASH |
target.process.file.sha256 |
已從「event.HASH 」重新命名。如果 event_type 為 NEW_PROCESS 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規定。 |
event.HASH_MD5 |
principal.process.file.md5 |
已從「event.HASH_MD5 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.HASH_SHA1 |
principal.process.file.sha1 |
已從「event.HASH_SHA1 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.IP_ADDRESS |
network.dns.answers.0.data |
重新命名為 a.data ,然後合併至 network.dns.answers 陣列。如果 event_type 為 DNS_REQUEST 且 event.IP_ADDRESS 不為空值,則適用這項規定。 |
event.MESSAGE_ID |
network.dns.id |
已從「event.MESSAGE_ID 」重新命名。適用於 event_type 為 DNS_REQUEST 的情況。 |
event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS |
target.ip |
從「event.NETWORK_ACTIVITY[].DESTINATION.IP_ADDRESS 」合併。適用於 event_type 為 NETWORK_CONNECTIONS 的情況。 |
event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS |
principal.ip |
從「event.NETWORK_ACTIVITY[].SOURCE.IP_ADDRESS 」合併。適用於 event_type 為 NETWORK_CONNECTIONS 的情況。 |
event.PARENT.COMMAND_LINE |
principal.process.command_line |
已從「event.PARENT.COMMAND_LINE 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空時,適用這項規則。 |
event.PARENT.COMMAND_LINE |
principal.process.parent_process.command_line |
已從「event.PARENT.COMMAND_LINE 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.PARENT.FILE_PATH |
principal.process.file.full_path |
已從「event.PARENT.FILE_PATH 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空時,適用這項規則。 |
event.PARENT.FILE_PATH |
principal.process.parent_process.file.full_path |
已從「event.PARENT.FILE_PATH 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.PARENT.HASH |
principal.process.file.sha256 |
已從「event.PARENT.HASH 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空時,適用這項規則。 |
event.PARENT.HASH |
principal.process.parent_process.file.sha256 |
已從「event.PARENT.HASH 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.PARENT_PROCESS_ID |
principal.process.pid |
已從「event.PARENT_PROCESS_ID 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空時,適用這項規則。 |
event.PARENT_PROCESS_ID |
principal.process.parent_process.pid |
已從「event.PARENT_PROCESS_ID 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.PROCESS_ID |
target.process.pid |
已從「event.PROCESS_ID 」重新命名。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空時,適用這項規則。 |
event.PROCESS_ID |
principal.process.pid |
已從「event.PROCESS_ID 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
event.REGISTRY_KEY |
target.registry.registry_key |
從「event.REGISTRY_KEY 」複製的項目。適用於 event_type 為 REGISTRY_WRITE 的情況。 |
event.REGISTRY_VALUE |
target.registry.registry_value_data |
從「event.REGISTRY_VALUE 」複製的項目。適用於 event_type 為 REGISTRY_WRITE 的情況。 |
event.SVC_DISPLAY_NAME |
metadata.description |
從「event.SVC_DISPLAY_NAME 」複製的項目。適用於 event_type 為 SERVICE_CHANGE 的情況。 |
event.SVC_NAME |
target.application |
從「event.SVC_NAME 」複製的項目。適用於 event_type 為 SERVICE_CHANGE 的情況。 |
event.USER_NAME |
principal.user.userid |
已從「event.USER_NAME 」重新命名。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空白,則適用這項規則。 |
routing.event_time |
metadata.event_timestamp |
從 routing.event_time 剖析為時間戳記,可使用 UNIX_MS 或 ISO8601 格式。 |
routing.event_type |
metadata.product_event_type |
從「routing.event_type 」複製的項目。 |
routing.ext_ip |
principal.ip |
從「routing.ext_ip 」複製的項目。如果 routing.ext_ip 不為空白,則會套用。 |
routing.hostname |
principal.hostname |
從「routing.hostname 」複製的項目。如果 routing.hostname 不為空白,則會套用。 |
routing.int_ip |
principal.ip |
從「routing.int_ip 」複製的項目。如果 routing.int_ip 不為空白,則會套用。 |
routing.parent |
target.process.product_specific_process_id |
並在開頭加上「LC:」,如 routing.parent 所示。如果 detect 不為空白,則會套用。 |
routing.parent |
principal.process.product_specific_process_id |
並在開頭加上「LC:」,如 routing.parent 所示。當 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 routing.this 為空白,但 routing.parent 不為空白時,適用這項規則。 |
routing.this |
principal.process.product_specific_process_id |
並在開頭加上「LC:」,如 routing.this 所示。當 event_type 為 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 detect 為空時,適用這項規則。 |
routing.this |
principal.process.product_specific_process_id |
並在開頭加上「LC:」,如 routing.this 所示。如果 event_type 不是 NEW_PROCESS 、NEW_DOCUMENT 、FILE_MODIFIED 、FILE_DELETE 、FILE_CREATE 、FILE_READ 、MODULE_LOAD 、TERMINATE_PROCESS 或 SENSITIVE_PROCESS_ACCESS ,且 routing.this 不為空白,則適用這項規則。如果 detect 不為空白,請設為 true 。如果 detect 不為空白,且 detect_mtd.level 為 high 、medium 或 critical ,請設為 true 。根據 event_type 設定值:DNS_REQUEST 為 NETWORK_DNS 、NEW_PROCESS 為 PROCESS_LAUNCH 、EXISTING_PROCESS 為 PROCESS_UNCATEGORIZED 、CONNECTED 或 NETWORK_CONNECTIONS 為 NETWORK_CONNECTION 、REGISTRY_WRITE 為 REGISTRY_MODIFICATION 、SERVICE_CHANGE 為 SERVICE_MODIFICATION 、NEW_DOCUMENT 為 FILE_UNCATEGORIZED 、FILE_READ 為 FILE_READ 、FILE_DELETE 為 FILE_DELETION 、FILE_CREATE 為 FILE_CREATION 、FILE_MODIFIED 為 FILE_MODIFICATION 、MODULE_LOAD 為 PROCESS_MODULE_LOAD 、TERMINATE_PROCESS 為 PROCESS_TERMINATION 、CLOUD_NOTIFICATION 或 RECEIPT 為 STATUS_UNCATEGORIZED 、REMOTE_PROCESS_HANDLE 或 NEW_REMOTE_THREAD 為 PROCESS_UNCATEGORIZED ,否則為 GENERIC_EVENT 。設為「LimaCharlie EDR」。設為「LimaCharlie」。如果 event_type 為 DNS_REQUEST ,請設為「DNS」。如果 event.ERROR 不為空白,請設為「ERROR」。從「event.HOST_NAME 」複製的項目。適用於 event_type 為 CONNECTED 的情況。 |
還有其他問題嗎?向社群成員和 Google SecOps 專業人員尋求答案。