Recolha registos do Wazuh

Compatível com:

Vista geral

Este analisador do Wazuh introduz registos formatados em SYSLOG e JSON, normaliza os campos num formato comum e enriquece-os com metadados específicos do Wazuh. Em seguida, usa uma série de declarações condicionais baseadas nos campos event_type e rule_id para mapear os dados de registo não processados para o tipo de evento e os campos da UDM adequados, processando vários formatos de registo e casos extremos no ecossistema do Wazuh.

Antes de começar

Certifique-se de que tem os seguintes pré-requisitos:

  • Instância do Google SecOps.
  • Instância do Wazuh ativa.
  • Acesso privilegiado aos ficheiros de configuração do Wazuh.

Configure feeds

Para configurar um feed, siga estes passos:

  1. Aceda a Definições do SIEM > Feeds.
  2. Clique em Adicionar novo feed.
  3. Na página seguinte, clique em Configurar um único feed.
  4. No campo Nome do feed, introduza um nome para o feed; por exemplo, Registos do Wazuh.
  5. Selecione Webhook como o Tipo de origem.
  6. Selecione Wazuh como o Tipo de registo.
  7. Clicar em Seguinte.
  8. Opcional: especifique valores para os seguintes parâmetros de entrada:
    • Delimitador de divisão: o delimitador usado para separar linhas de registo, como \n.
  9. Clicar em Seguinte.
  10. Reveja a configuração do feed no ecrã Finalizar e, de seguida, clique em Enviar.
  11. Clique em Gerar chave secreta para gerar uma chave secreta para autenticar este feed.
  12. Copie e armazene a chave secreta. Não pode ver esta chave secreta novamente. Se necessário, pode regenerar uma nova chave secreta, mas esta ação torna a chave secreta anterior obsoleta.
  13. No separador Detalhes, copie o URL do ponto final do feed do campo Informações do ponto final. Tem de especificar este URL do ponto final na sua aplicação cliente.
  14. Clique em Concluído.

Crie uma chave da API para o feed de webhook

  1. Aceda a **Google Cloud console > Credenciais.

    Aceder a Credenciais

  2. Clique em Criar credenciais e, de seguida, selecione Chave de API.

  3. Restrinja o acesso da chave de API à API Google Security Operations.

Especifique o URL do ponto final

  1. Na aplicação cliente, especifique o URL do ponto final HTTPS fornecido no feed do webhook.

  2. Ative a autenticação especificando a chave da API e a chave secreta como parte do cabeçalho personalizado no seguinte formato:

    X-goog-api-key = API_KEY
X-Webhook-Access-Key = SECRET

    Recomendação: especifique a chave da API como um cabeçalho em vez de a especificar no URL. Se o seu cliente de webhook não suportar cabeçalhos personalizados, pode especificar a chave da API e a chave secreta através de parâmetros de consulta no seguinte formato:

    ENDPOINT_URL?key=API_KEY&secret=SECRET

Substitua o seguinte:

  • ENDPOINT_URL: o URL do ponto final do feed.
  • API_KEY: a chave da API para autenticar no Google Security Operations.
  • SECRET: a chave secreta que gerou para autenticar o feed.

Configure o webhook do Wazuh Cloud

Conclua os seguintes passos para configurar o webhook da nuvem do Wazuh:

  1. Inicie sessão no Wazuh Cloud.
  2. Aceda a Definições, localizado no menu do painel esquerdo em Gestão do servidor.
  3. Clique em Editar configuração.

  4. Adicione o seguinte bloco de integração na secção <integration> da configuração.

    • Se a secção não existir, copie todo o bloco com <integration> para criar um.
    • Substitua os valores dos marcadores de posição pelos detalhes reais do Google SecOps:
<integration>
  <name>google-chronicle</name>
  <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
  <alert_format>json</alert_format>
  <level>0</level>  <!-- Adjust the level as needed -->
</integration>
  • CHRONICLE_REGION: a sua região do Google SecOps (por exemplo, us, europe-west1).
  • GOOGLE_PROJECT_NUMBER: o número do seu projeto do Google Cloud.
  • LOCATION: a sua região do Google SecOps (por exemplo, us, europe-west1).
  • CUSTOMER_ID: o seu ID de cliente do Google SecOps.
  • FEED_ID: o ID do seu feed do Google SecOps.
  • API_KEY: a chave de API do Google Cloud que aloja o Google SecOps.
  • SECRET: o segredo do seu feed do Google SecOps.
  • alert_format: definido como json para compatibilidade com o Google SecOps.
  • level: especifica o nível de alerta mínimo a encaminhar. O 0 envia todos os alertas.
  1. Clique no botão Guardar.
  2. Clique em Restart wazuh-manager.

Configure o webhook no local do Wazuh

Conclua os passos seguintes para configurar o webhook local do Wazuh:

  1. Aceda ao seu gestor do Wazuh no local.
  2. Aceda ao diretório /var/ossec/etc/.
  3. Abra o ficheiro ossec.conf com um editor de texto (por exemplo, nano ou vim).

  4. Adicione o seguinte bloco de integração na secção <integration> da configuração.

    • Se a secção não existir, copie todo o bloco com <integration> para criar um.
    • Substitua os valores dos marcadores de posição pelos detalhes reais do Google SecOps:
    <integration>
   <name>google-chronicle</name>
   <hook_url>https://<CHRONICLE_REGION>-chronicle.googleapis.com/v1alpha/projects/<GOOGLE_PROJECT_NUMBER>/locations/<LOCATION>/instances/<CUSTOMER_ID>/feeds/<FEED_ID>:importPushLogs?key=<API_KEY>&secret=<SECRET></hook_url>
   <alert_format>json</alert_format>
   <level>0</level>  <!-- Adjust the level as needed -->
</integration>
    • CHRONICLE_REGION: a sua região do Google SecOps (por exemplo, us, europe-west1).
    • GOOGLE_PROJECT_NUMBER: o número do seu projeto do Google Cloud.
    • LOCATION: a sua região do Google SecOps (por exemplo, us, europe-west1).
    • CUSTOMER_ID: o seu ID de cliente do Google SecOps.
    • FEED_ID: o ID do seu feed do Google SecOps.
    • API_KEY: a chave de API do Google Cloud que aloja o Google SecOps.
    • SECRET: o segredo do seu feed do Google SecOps.
    • alert_format: definido como json para compatibilidade com o Google SecOps.
    • level: especifica o nível de alerta mínimo a encaminhar. O 0 envia todos os alertas.

  5. Reinicie o gestor do Wazuh para aplicar as alterações:

    sudo systemctl restart wazuh-manager

Tabela de mapeamento da UDM

Campo de registo Mapeamento de UDM Lógica
Acct-Authentic event.idm.read_only_udm.security_result.authentication_mechanism Mapeado diretamente a partir do campo Acct-Authentic.
Acct-Status-Type event.idm.read_only_udm.security_result.detection_fields[].value Mapeado diretamente a partir do campo Acct-Status-Type. A chave está definida como "Acct-Status-Type".
agent.id event.idm.read_only_udm.intermediary.resource.id Mapeado diretamente a partir do campo agent.id.
agent.ip event.idm.read_only_udm.intermediary.ip, event.idm.read_only_udm.intermediary.asset.ip, event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip, event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.asset.ip Mapeado diretamente a partir do campo agent.ip. Também usado para o IP principal/de destino em alguns casos com base no tipo de evento.
agent.name event.idm.read_only_udm.security_result.about.hostname Mapeado diretamente a partir do campo agent.name.
application event.idm.read_only_udm.target.application Mapeado diretamente a partir do campo application do Wazuh.
audit-session-id event.idm.read_only_udm.network.session_id Mapeado diretamente a partir do campo audit-session-id.
ClientIP event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Mapeado diretamente a partir do campo ClientIP.
ClientPort event.idm.read_only_udm.principal.port Mapeado diretamente a partir do campo ClientPort e convertido em número inteiro.
cmd event.idm.read_only_udm.target.process.command_line Mapeado diretamente a partir do campo cmd.
CommandLine event.idm.read_only_udm.target.process.command_line Mapeado diretamente a partir do campo CommandLine.
ConfigVersionId event.idm.read_only_udm.additional.fields[].value.number_value Mapeado diretamente a partir do campo ConfigVersionId. A chave está definida como "Config Version Id".
data.Account Number event.idm.read_only_udm.principal.user.userid Mapeado diretamente a partir do campo data.Account Number para IDs de regras específicos.
data.Control event.idm.read_only_udm.security_result.action_details Mapeado diretamente a partir do campo data.Control para IDs de regras específicos.
data.Message event.idm.read_only_udm.security_result.description Mapeado diretamente a partir do campo data.Message para IDs de regras específicos.
data.Profile event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente a partir do campo data.Profile para IDs de regras específicos.
data.Region event.idm.read_only_udm.principal.location.name Mapeado diretamente a partir do campo data.Region para IDs de regras específicos.
data.Status event.idm.read_only_udm.security_result.action Mapeado a partir do campo data.Status. Se o valor for "Pass" ou "AUDIT_SUCCESS", a ação é definida como "ALLOW". Se o valor for "ERROR", "AUDIT_FAILURE" ou "FAIL", a ação é definida como "BLOCK".
data.aws.awsRegion event.idm.read_only_udm.principal.location.name Mapeado diretamente a partir do campo data.aws.awsRegion para IDs de regras específicos.
data.aws.eventID event.idm.read_only_udm.target.resource.attribute.labels[].value Mapeado diretamente a partir do campo data.aws.eventID. A chave está definida como "ID do evento".
data.aws.eventName event.idm.read_only_udm.metadata.description Mapeado diretamente a partir do campo data.aws.eventName para IDs de regras específicos.
data.aws.eventSource event.idm.read_only_udm.metadata.url_back_to_product Mapeado diretamente a partir do campo data.aws.eventSource para IDs de regras específicos.
data.aws.eventType event.idm.read_only_udm.metadata.product_event_type Mapeado diretamente a partir do campo data.aws.eventType para IDs de regras específicos.
data.aws.requestID event.idm.read_only_udm.target.resource.attribute.labels[].value Mapeado diretamente a partir do campo data.aws.requestID. A chave está definida como "ID do pedido".
data.aws.requestParameters.loadBalancerName event.idm.read_only_udm.target.resource.attribute.labels[].value Mapeado diretamente a partir do campo data.aws.requestParameters.loadBalancerName. A chave está definida como "LoadBalancer Name".
data.aws.sourceIPAddress event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente a partir do campo data.aws.sourceIPAddress para IDs de regras específicos.
data.aws.source_ip_address event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Mapeado diretamente a partir do campo data.aws.source_ip_address.
data.aws.userIdentity.accountId event.idm.read_only_udm.principal.user.product_object_id Mapeado diretamente a partir do campo data.aws.userIdentity.accountId para IDs de regras específicos.
data.aws.userIdentity.principalId event.idm.read_only_udm.principal.user.userid Mapeado diretamente a partir do campo data.aws.userIdentity.principalId para IDs de regras específicos.
data.aws.userIdentity.sessionContext.sessionIssuer.arn event.idm.read_only_udm.target.resource.attribute.labels[].value Mapeado diretamente a partir do campo data.aws.userIdentity.sessionContext.sessionIssuer.arn. A chave está definida como "ARN".
data.aws.userIdentity.sessionContext.sessionIssuer.userName event.idm.read_only_udm.principal.user.user_display_name Mapeado diretamente a partir do campo data.aws.userIdentity.sessionContext.sessionIssuer.userName para IDs de regras específicos.
data.command event.idm.read_only_udm.target.file.full_path Mapeado diretamente a partir do campo data.command.
data.docker.message event.idm.read_only_udm.security_result.description Mapeado diretamente a partir do campo data.docker.message para tipos de eventos específicos.
data.dstuser event.idm.read_only_udm.target.user.userid Mapeado diretamente a partir do campo data.dstuser.
data.file event.idm.read_only_udm.target.file.full_path Mapeado diretamente a partir do campo data.file.
data.package event.idm.read_only_udm.target.asset.software[].name Mapeado diretamente a partir do campo data.package.
data.srcip event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Mapeado diretamente a partir do campo data.srcip.
data.srcuser event.idm.read_only_udm.principal.user.userid Mapeado diretamente a partir do campo data.srcuser.
data.subject.account_domain event.idm.read_only_udm.target.administrative_domain Mapeado diretamente a partir do campo data.subject.account_domain para IDs de regras específicos.
data.subject.account_name event.idm.read_only_udm.target.user.user_display_name Mapeado diretamente a partir do campo data.subject.account_name para IDs de regras específicos.
data.subject.security_id event.idm.read_only_udm.target.user.windows_sid Mapeado diretamente a partir do campo data.subject.security_id para IDs de regras específicos.
data.title event.idm.read_only_udm.target.resource.name Mapeado diretamente a partir do campo data.title.
data.version event.idm.read_only_udm.target.asset.software[].version Mapeado diretamente a partir do campo data.version.
decoder.name event.idm.read_only_udm.about.resource.name, event.idm.read_only_udm.target.application Mapeado diretamente a partir do campo decoder.name. Também é usado para a aplicação de destino em alguns casos.
decoder.parent event.idm.read_only_udm.about.resource.parent Mapeado diretamente a partir do campo decoder.parent.
Description event.idm.read_only_udm.metadata.description Mapeado diretamente a partir do campo Description.
Destination event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.asset.ip, event.idm.read_only_udm.target.port Analisado para extrair o IP e a porta de destino.
DestinationIPAddress event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.asset.ip Mapeado diretamente a partir do campo DestinationIPAddress.
DestinationPort event.idm.read_only_udm.target.port Mapeado diretamente a partir do campo DestinationPort e convertido em número inteiro.
device_ip_address event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.asset.ip Mapeado diretamente a partir do campo device_ip_address.
feature event.idm.read_only_udm.metadata.product_event_type Mapeado diretamente a partir do campo feature, por vezes, combinado com message_type.
file_path event.idm.read_only_udm.target.file.full_path Mapeado diretamente a partir do campo file_path.
Framed-IP-Address event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Mapeado diretamente a partir do campo Framed-IP-Address.
full_log event.idm.read_only_udm.principal.port, event.idm.read_only_udm.security_result.description, event.idm.read_only_udm.about.labels[].value Analisado para extrair o número da porta, a descrição do resultado de segurança e o ID de início de sessão do assunto.
Hashes event.idm.read_only_udm.target.process.file.sha256, event.idm.read_only_udm.target.process.file.md5 Analisado para extrair hashes SHA256 e MD5.
hostname event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente a partir do campo hostname.
Image event.idm.read_only_udm.target.process.file.full_path Mapeado diretamente a partir do campo Image.
IntegrityLevel event.idm.read_only_udm.additional.fields[].value.string_value Mapeado diretamente a partir do campo IntegrityLevel. A chave está definida como "Nível de integridade".
kv_data event.idm.read_only_udm.target.process.file.full_path, event.idm.read_only_udm.target.process.pid, event.idm.read_only_udm.target.process.parent_process.file.full_path, event.idm.read_only_udm.target.process.parent_process.command_line, event.idm.read_only_udm.target.process.parent_process.product_specific_process_id, event.idm.read_only_udm.target.process.product_specific_process_id, event.idm.read_only_udm.metadata.description, event.idm.read_only_udm.additional.fields[].value.string_value Analisado para extrair vários campos relacionados com a criação de processos, hashes de ficheiros e descrição.
kv_log_data event.idm.read_only_udm.security_result.severity_details Analisado para extrair o nível de alerta.
location event.idm.read_only_udm.target.file.full_path Mapeado diretamente a partir do campo location.
LogonGuid event.idm.read_only_udm.additional.fields[].value.string_value Mapeado diretamente a partir do campo LogonGuid após a remoção das chavetas. A chave está definida como "Logon Guid".
LogonId event.idm.read_only_udm.about.labels[].value, event.idm.read_only_udm.additional.fields[].value.string_value Usado para o ID de início de sessão do assunto em eventos de fim de sessão e mapeado diretamente para outros eventos. A chave está definida como "ID de início de sessão".
log_description event.idm.read_only_udm.metadata.description Mapeado diretamente a partir do campo log_description.
log_message event.idm.read_only_udm.target.file.full_path, event.idm.read_only_udm.metadata.description Analisado para extrair o caminho e a descrição do registo.
manager.name event.idm.read_only_udm.about.user.userid, event.idm.read_only_udm.principal.user.userid Mapeado diretamente a partir do campo manager.name. Também usado para o ID do utilizador principal em alguns casos.
md5 event.idm.read_only_udm.target.process.file.md5 Mapeado diretamente a partir do campo md5.
message event.idm.read_only_udm.metadata.product_event_type, event.idm.read_only_udm.metadata.description, event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip, event.idm.read_only_udm.target.process.command_line, event.idm.read_only_udm.network.http.method, event.idm.read_only_udm.network.http.response_code, event.idm.read_only_udm.principal.user.userid, event.idm.read_only_udm.principal.mac, event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.asset.ip, event.idm.read_only_udm.target.port, event.idm.read_only_udm.principal.nat_ip, event.idm.read_only_udm.principal.nat_port, event.idm.read_only_udm.security_result.severity, event.idm.read_only_udm.network.session_id, event.idm.read_only_udm.security_result.detection_fields[].value, event.idm.read_only_udm.additional.fields[].value.number_value, event.idm.read_only_udm.target.url, event.idm.read_only_udm.target.application, event.idm.read_only_udm.principal.resource.attribute.labels[].value, event.idm.read_only_udm.security_result.rule_type, event.idm.read_only_udm.security_result.description, event.idm.read_only_udm.network.http.user_agent, event.idm.read_only_udm.principal.process.pid, event.idm.read_only_udm.principal.resource.attribute.labels[].value, event.idm.read_only_udm.security_result.severity_details Analisado através do grok para extrair vários campos, consoante o formato do registo.
message_data event.idm.read_only_udm.metadata.description, event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip, event.idm.read_only_udm.principal.port, event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.asset.ip, event.idm.read_only_udm.target.port, event.idm.read_only_udm.network.sent_bytes, event.idm.read_only_udm.network.received_bytes, event.idm.read_only_udm.network.ip_protocol, event.idm.read_only_udm.metadata.event_type Analisados para extrair dados de mensagens, endereços IP, portas, bytes enviados/recebidos e tipo de evento.
message_type event.idm.read_only_udm.metadata.product_event_type, event.idm.read_only_udm.metadata.description Mapeado diretamente a partir do campo message_type, por vezes, combinado com feature. Também usado para a descrição em alguns casos.
method event.idm.read_only_udm.network.http.method Mapeado diretamente a partir do campo method.
NAS-IP-Address event.idm.read_only_udm.principal.nat_ip Mapeado diretamente a partir do campo NAS-IP-Address.
NAS-Port event.idm.read_only_udm.principal.nat_port Mapeado diretamente a partir do campo NAS-Port e convertido em número inteiro.
NAS-Port-Type event.idm.read_only_udm.principal.resource.attribute.labels[].value Mapeado diretamente a partir do campo NAS-Port-Type. A chave está definida como "nas_port_type".
NetworkDeviceName event.idm.read_only_udm.intermediary.hostname Mapeado diretamente a partir do campo NetworkDeviceName após a remoção das barras invertidas.
ParentCommandLine event.idm.read_only_udm.target.process.parent_process.command_line Mapeado diretamente a partir do campo ParentCommandLine.
ParentImage event.idm.read_only_udm.target.process.parent_process.file.full_path Mapeado diretamente a partir do campo ParentImage.
ParentProcessGuid event.idm.read_only_udm.target.process.parent_process.product_specific_process_id Mapeado diretamente a partir do campo ParentProcessGuid após a remoção das chavetas e a adição de "ID:" antes.
ParentProcessId event.idm.read_only_udm.target.process.parent_process.pid Mapeado diretamente a partir do campo ParentProcessId.
predecoder.hostname event.idm.read_only_udm.principal.hostname, event.idm.read_only_udm.principal.asset.hostname Mapeado diretamente a partir do campo predecoder.hostname.
ProcessGuid event.idm.read_only_udm.target.process.product_specific_process_id Mapeado diretamente a partir do campo ProcessGuid após a remoção das chavetas e a adição de "ID:" antes.
ProcessId event.idm.read_only_udm.target.process.pid Mapeado diretamente a partir do campo ProcessId.
product_event_type event.idm.read_only_udm.metadata.product_event_type Mapeado diretamente a partir do campo product_event_type.
response_code event.idm.read_only_udm.network.http.response_code Mapeado diretamente a partir do campo response_code e convertido em número inteiro.
rule.description event.idm.read_only_udm.metadata.event_type, event.idm.read_only_udm.security_result.summary Usado para determinar o tipo de evento e mapeado diretamente para o resumo dos resultados de segurança.
rule.id event.idm.read_only_udm.metadata.product_log_id, event.idm.read_only_udm.security_result.rule_id Mapeado diretamente a partir do campo rule.id.
rule.info event.idm.read_only_udm.target.url Mapeado diretamente a partir do campo rule.info.
rule.level event.idm.read_only_udm.security_result.severity_details Usado para definir detalhes de gravidade.
r_cat_name event.idm.read_only_udm.metadata.event_type Usado para determinar o tipo de evento.
r_msg_id event.idm.read_only_udm.metadata.product_log_id Mapeado diretamente a partir do campo r_msg_id.
security_result.severity event.idm.read_only_udm.security_result.severity Mapeado diretamente a partir do campo security_result.severity.
ServerIP event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.asset.ip Mapeado diretamente a partir do campo ServerIP.
ServerPort event.idm.read_only_udm.target.port Mapeado diretamente a partir do campo ServerPort e convertido em número inteiro.
sha256 event.idm.read_only_udm.target.process.file.sha256 Mapeado diretamente a partir do campo sha256.
Source event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip, event.idm.read_only_udm.principal.port Analisado para extrair o IP e a porta principais.
src_ip event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip Mapeado diretamente a partir do campo src_ip.
sr_description event.idm.read_only_udm.metadata.event_type, event.idm.read_only_udm.security_result.description Usado para determinar o tipo de evento e mapeado diretamente para a descrição do resultado de segurança.
syscheck.md5_after event.idm.read_only_udm.target.process.file.md5 Mapeado diretamente a partir do campo syscheck.md5_after.
syscheck.md5_before event.idm.read_only_udm.src.process.file.md5 Mapeado diretamente a partir do campo syscheck.md5_before.
syscheck.path event.idm.read_only_udm.target.file.full_path Mapeado diretamente a partir do campo syscheck.path.
syscheck.sha1_after event.idm.read_only_udm.target.process.file.sha1 Mapeado diretamente a partir do campo syscheck.sha1_after.
syscheck.sha1_before event.idm.read_only_udm.src.process.file.sha1 Mapeado diretamente a partir do campo syscheck.sha1_before.
syscheck.sha256_after event.idm.read_only_udm.target.process.file.sha256 Mapeado diretamente a partir do campo syscheck.sha256_after.
syscheck.sha256_before event.idm.read_only_udm.src.process.file.sha256 Mapeado diretamente a partir do campo syscheck.sha256_before.
syscheck.size_after event.idm.read_only_udm.target.process.file.size Mapeado diretamente a partir do campo syscheck.size_after e convertido em número inteiro não assinado.
syscheck.size_before event.idm.read_only_udm.src.process.file.size Mapeado diretamente a partir do campo syscheck.size_before e convertido em número inteiro não assinado.
syscheck.uname_after event.idm.read_only_udm.principal.user.user_display_name Mapeado diretamente a partir do campo syscheck.uname_after.
target_url event.idm.read_only_udm.target.url Mapeado diretamente a partir do campo target_url.
timestamp event.idm.read_only_udm.metadata.event_timestamp Mapeado diretamente a partir do campo timestamp.
Total_bytes_recv event.idm.read_only_udm.network.received_bytes Mapeado diretamente a partir do campo Total_bytes_recv e convertido em número inteiro não assinado.
Total_bytes_send event.idm.read_only_udm.network.sent_bytes Mapeado diretamente a partir do campo Total_bytes_send e convertido em número inteiro não assinado.
User-Name event.idm.read_only_udm.principal.user.userid, event.idm.read_only_udm.principal.mac Mapeado diretamente a partir do campo User-Name, se não for um endereço MAC. Caso contrário, é analisado como um endereço MAC.
user_agent event.idm.read_only_udm.network.http.user_agent Mapeado diretamente a partir do campo user_agent.
user_id event.idm.read_only_udm.principal.user.userid Mapeado diretamente a partir do campo user_id.
UserName event.idm.read_only_udm.principal.user.userid, event.idm.read_only_udm.principal.mac Mapeado diretamente a partir do campo UserName, se não for um endereço MAC. Caso contrário, é analisado como um endereço MAC.
VserverServiceIP event.idm.read_only_udm.target.ip, event.idm.read_only_udm.target.asset.ip Mapeado diretamente a partir do campo VserverServiceIP.
VserverServicePort event.idm.read_only_udm.target.port Mapeado diretamente a partir do campo VserverServicePort e convertido em número inteiro.
win.system.channel event.idm.read_only_udm.security_result.detection_fields[].value Mapeado diretamente a partir do campo win.system.channel. A chave está definida como "channel".
win.system.computer event.idm.read_only_udm.principal.resource.attribute.labels[].value Mapeado diretamente a partir do campo win.system.computer. A chave está definida como "computador".
win.system.eventID event.idm.read_only_udm.metadata.product_log_id Mapeado diretamente a partir do campo win.system.eventID.
win.system.message_description event.idm.read_only_udm.metadata.description Mapeado diretamente a partir do campo win.system.message_description.
win.system.processID event.idm.read_only_udm.principal.process.pid Mapeado diretamente a partir do campo win.system.processID.
win.system.providerGuid event.idm.read_only_udm.principal.resource.attribute.labels[].value Mapeado diretamente a partir do campo win.system.providerGuid. A chave está definida como "providerGuid".
win.system.providerName event.idm.read_only_udm.principal.resource.attribute.labels[].value Mapeado diretamente a partir do campo win.system.providerName. A chave está definida como "providerName".
win.system.severityValue event.idm.read_only_udm.security_result.severity, event.idm.read_only_udm.security_result.severity_details Mapeado diretamente a partir do campo win.system.severityValue se for um valor de gravidade válido.
win.system.systemTime event.idm.read_only_udm.security_result.detection_fields[].value Mapeado diretamente a partir do campo win.system.systemTime. A chave está definida como "systemTime".
win.system.threadID event.idm.read_only_udm.security_result.detection_fields[].value Mapeado diretamente a partir do campo win.system.threadID. A chave está definida como "threadID".
N/A event.idm.read_only_udm.metadata.event_type Definido como "GENERIC_EVENT" como valor predefinido, substituído por uma lógica específica para diferentes tipos de eventos.
N/A event.idm.read_only_udm.extensions.auth.mechanism Definido como "REMOTE" para eventos de início de sessão.
N/A event.idm.read_only_udm.extensions.auth.type Definido como "PASSWORD" para eventos de início/fim de sessão, substituído por "MACHINE" para alguns eventos.
N/A event.idm.read_only_udm.network.ip_protocol Definido como "TCP" para ligações de rede TCP.
N/A event.idm.read_only_udm.security_result.action Definido como "ALLOW" para eventos de início de sessão e bem-sucedidos, e "BLOCK" para eventos falhados.
N/A event.idm.read_only_udm.metadata.log_type Definido como "WAZUH".
N/A event.idm.read_only_udm.metadata.product_name Definido como "Wazuh".

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais da Google SecOps.