איסוף יומנים של SentinelOne Deep Visibility

נתמך ב:

במאמר הזה מוסבר איך לייצא יומנים של SentinelOne Deep Visibility אל Google Security Operations באמצעות Cloud Funnel לייצוא יומנים אל Google Cloud Storage. הכלי לניתוח הנתונים הופך יומנים של אירועי אבטחה בפורמט JSON גולמי לפורמט מובנה שתואם ל-UDM. הוא קודם מאתחל קבוצה של משתנים, ואז מחלץ את סוג האירוע ומנתח את מטען ה-JSON, ממפה שדות רלוונטיים לסכימת ה-UDM תוך טיפול בנפרד ביומני האירועים של Windows.

לפני שמתחילים

ודאו שדרישות הסף הבאות מתקיימות:

  • מופע של Google SecOps
  • גישה עם הרשאות ל- Google Cloud
  • הגדרת SentinelOne Deep Visibility בסביבה שלכם
  • גישת הרשאות מיוחדות ל-SentinelOne

יצירת קטגוריה של Google Cloud Storage

  1. נכנסים לGoogle Cloud מסוף.

  2. נכנסים לדף Cloud Storage Buckets.

    כניסה לדף Buckets

  3. לוחצים על Create.

  4. ממלאים את פרטי הקטגוריה בדף Create a bucket. אחרי כל אחד מהשלבים הבאים, לוחצים על המשך כדי לעבור לשלב הבא:

    1. בקטע Get started (תחילת העבודה), מבצעים את הפעולות הבאות:

      1. מזינים שם ייחודי שעומד בדרישות לשמות של קטגוריות, לדוגמה, sentinelone-deepvisibility.

      2. כדי להפעיל את מרחב השמות ההיררכי, לוחצים על החץ להרחבה כדי להרחיב את הקטע Optimize for file oriented and data-intensive workloads (אופטימיזציה לעומסי עבודה שמתמקדים בקבצים ובנתונים), ואז בוחרים באפשרות Enable Hierarchical namespace on this bucket (הפעלת מרחב שמות היררכי בדלי הזה).

      3. כדי להוסיף תווית של מאגר, לוחצים על החץ להרחבה כדי להרחיב את הקטע תוויות.

      4. לוחצים על הוספת תווית ומציינים מפתח וערך לתווית.

    2. בקטע Choose where to store your data, מבצעים את הפעולות הבאות:

      1. בוחרים סוג מיקום.

      2. בתפריט של סוג המיקום, בוחרים מיקום שבו נתוני האובייקטים בקטגוריה יאוחסנו באופן קבוע.

      3. כדי להגדיר שכפול בין מאגרי מידע, מרחיבים את הקטע הגדרת שכפול בין מאגרי מידע.

    3. בקטע Choose a storage class for your data, בוחרים default storage class לקטגוריה, או בוחרים ב-Autoclass לניהול אוטומטי של סוג האחסון (storage class) של נתוני הקטגוריה.

    4. בקטע Choose how to control access to objects, בוחרים באפשרות not כדי לא לאכוף public access prevention, ובוחרים access control model לאובייקטים של הקטגוריה.

    5. בקטע Choose how to protect object data:

      1. בוחרים באחת מהאפשרויות בקטע Data protection (הגנה על נתונים) שרוצים להגדיר לקטגוריה.
      2. כדי לבחור איך להצפין את נתוני האובייקט, לוחצים על החץ להרחבה של Data encryption ובוחרים Data encryption method.

  5. לוחצים על יצירה.

יצירת חשבון שירות ב-Google Cloud

  1. נכנסים אל IAM & Admin > Service Accounts (ניהול הרשאות גישה (IAM) & אדמין > חשבונות שירות).
  2. יוצרים חשבון שירות חדש.
  3. נותנים לו שם תיאורי, לדוגמה, sentinelone-dv-logs.
  4. מקצים לחשבון השירות את התפקיד יצירת אובייקטים של אחסון בקטגוריה של Cloud Storage שיצרתם בשלב הקודם.
  5. יוצרים מפתח SSH לחשבון השירות.
  6. מורידים קובץ מפתח JSON לחשבון השירות. חשוב לשמור על הקובץ הזה מאובטח.

איך מגדירים את Cloud Funnel ב-SentinelOne DeepVisibility

  1. נכנסים אל SentinelOne DeepVisibility.
  2. לוחצים על הגדרה > מדיניות והגדרות.
  3. בקטע Singularity Data Lake, לוחצים על Cloud Funnel.
  4. מספקים את פרטי ההגדרה הבאים:
    • ספק שירותי ענן: בוחרים באפשרות Google Cloud.
    • שם הקטגוריה של Cloud Storage: מזינים את השם של הקטגוריה של Cloud Storage שיצרתם להעברה של יומני DeepVisibility אל SentinelOne.
    • ‫Telemetry Streaming: בוחרים באפשרות Enable (הפעלה).
    • מסנני שאילתות: יוצרים שאילתה שכוללת את הסוכנים שצריכים לשלוח נתונים לקטגוריה של Cloud Storage.
    • לוחצים על אימות.
    • שדות שצריך לכלול: בוחרים את כל השדות.
  5. לוחצים על Save.

הגדרת פידים

יש שתי נקודות כניסה שונות להגדרת פידים בפלטפורמת Google SecOps:

  • הגדרות SIEM > פידים > הוספת פיד חדש
  • מרכז התוכן > חבילות תוכן > להתחלה

איך מגדירים את הפיד SentinelOne Deep Visibility

  1. לוחצים על חבילת SentinelOne.
  2. בסוג היומן SentinelOne Deep Visibility, מציינים את הערכים בשדות הבאים:
    • סוג המקור: Google Cloud Storage V2.
    • ‫URI של קטגוריית אחסון: ה-URI של קטגוריית המקור ב-Google Cloud Storage.
    • אפשרות למחיקת המקור: האם למחוק קבצים או ספריות אחרי ההעברה. בוחרים באפשרות מחיקת קבצים שהועברו באפשרות מחיקה של מקור.
    • הגיל המקסימלי של הקובץ: כולל קבצים שעברו שינוי במספר הימים האחרונים. ברירת המחדל היא 180 ימים.
    • ‫Chronicle Service Account: מעתיקים את חשבון השירות. תצטרכו אותו כדי להוסיף הרשאות לקטגוריה עבור חשבון השירות הזה, כדי לאפשר ל-Google SecOps לקרוא או למחוק נתונים בקטגוריה.

אפשרויות מתקדמות

  • שם הפיד: ערך שמאכלס מראש את השדה ומזהה את הפיד.
  • מרחב שמות של נכס: מרחב השמות שמשויך לפיד.
  • תוויות להעברה: תוויות שמוחלות על כל האירועים מהפיד הזה.
  • לוחצים על יצירת פיד.

למידע נוסף על הגדרת כמה פידים לסוגים שונים של יומנים בתוך משפחת המוצרים הזו, אפשר לעיין במאמר בנושא הגדרת פידים לפי מוצר.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
AdapterName security_result.about.resource.attribute.labels.value הערך נלקח מהשדה AdapterName ביומן הגולמי.
AdapterSuffixName security_result.about.resource.attribute.labels.value הערך נלקח מהשדה AdapterSuffixName ביומן הגולמי.
agent_version read_only_udm.metadata.product_version הערך נלקח מהשדה meta.agent_version ביומן הגולמי.
ערוץ security_result.about.resource.attribute.labels.value הערך נלקח מהשדה 'ערוץ' ביומן הגולמי.
commandLine read_only_udm.principal.process.command_line הערך נלקח מהשדה event.Event...commandLine ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל את פרטי התהליך (למשל, process, ‏ source, ‏ parent).
computer_name read_only_udm.principal.hostname הערך נלקח מהשדה meta.computer_name ביומן הגולמי.
destinationAddress.address read_only_udm.target.ip הערך נלקח מהשדה 'event.Event.Tcpv4.destinationAddress.address' ביומן הגולמי.
destinationAddress.port read_only_udm.target.port הערך נלקח מהשדה 'event.Event.Tcpv4.destinationAddress.port' ביומן הגולמי.
DnsServerList read_only_udm.principal.ip הערך נלקח מהשדה 'DnsServerList' ביומן הגולמי.
ErrorCode_new security_result.detection_fields.value הערך נלקח מהשדה 'ErrorCode_new' ביומן הגולמי.
EventID security_result.about.resource.attribute.labels.value הערך נלקח מהשדה EventID ביומן הגולמי.
event.Event.Dns.query read_only_udm.network.dns.questions.name הערך נלקח מהשדה 'event.Event.Dns.query' ביומן הגולמי.
event.Event.Dns.results read_only_udm.network.dns.answers.data הערך נלקח מהשדה 'event.Event.Dns.results' ביומן הגולמי.
event.Event.Dns.source.fullPid.pid read_only_udm.principal.process.pid הערך נלקח מהשדה 'event.Event.Dns.source.fullPid.pid' ביומן הגולמי.
event.Event.Dns.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.Dns.source.user.name' ביומן הגולמי.
event.Event.FileCreation.source.fullPid.pid read_only_udm.principal.process.pid הערך נלקח מהשדה 'event.Event.FileCreation.source.fullPid.pid' ביומן הגולמי.
event.Event.FileCreation.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.FileCreation.source.user.name' ביומן הגולמי.
event.Event.FileCreation.targetFile.path read_only_udm.target.file.full_path הערך נלקח מהשדה 'event.Event.FileCreation.targetFile.path' ביומן הגולמי.
event.Event.FileDeletion.source.fullPid.pid read_only_udm.principal.process.pid הערך נלקח מהשדה 'event.Event.FileDeletion.source.fullPid.pid' ביומן הגולמי.
event.Event.FileDeletion.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.FileDeletion.source.user.name' ביומן הגולמי.
event.Event.FileDeletion.targetFile.path read_only_udm.target.file.full_path הערך נלקח מהשדה 'event.Event.FileDeletion.targetFile.path' ביומן הגולמי.
event.Event.FileModification.file.path read_only_udm.target.file.full_path הערך נלקח מהשדה 'event.Event.FileModification.file.path' ביומן הגולמי.
event.Event.FileModification.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.FileModification.source.user.name' ביומן הגולמי.
event.Event.FileModification.targetFile.path read_only_udm.target.file.full_path הערך נלקח מהשדה 'event.Event.FileModification.targetFile.path' ביומן הגולמי.
event.Event.Http.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.Http.source.user.name' ביומן הגולמי.
event.Event.Http.url read_only_udm.target.url הערך נלקח מהשדה 'event.Event.Http.url' ביומן הגולמי.
event.Event.ProcessCreation.process.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.ProcessCreation.process.user.name' ביומן הגולמי.
event.Event.ProcessCreation.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.ProcessCreation.source.user.name' ביומן הגולמי.
event.Event.ProcessExit.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.ProcessExit.source.user.name' ביומן הגולמי.
event.Event.ProcessTermination.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.ProcessTermination.source.user.name' ביומן הגולמי.
event.Event.RegKeyCreate.source.fullPid.pid read_only_udm.principal.process.pid הערך נלקח מהשדה 'event.Event.RegKeyCreate.source.fullPid.pid' ביומן הגולמי.
event.Event.RegKeyCreate.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.RegKeyCreate.source.user.name' ביומן הגולמי.
event.Event.RegKeyDelete.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.RegKeyDelete.source.user.name' ביומן הגולמי.
event.Event.RegValueModified.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.RegValueModified.source.user.name' ביומן הגולמי.
event.Event.SchedTaskDelete.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.SchedTaskDelete.source.user.name' ביומן הגולמי.
event.Event.SchedTaskRegister.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.SchedTaskRegister.source.user.name' ביומן הגולמי.
event.Event.SchedTaskStart.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.SchedTaskStart.source.user.name' ביומן הגולמי.
event.Event.SchedTaskTrigger.source.fullPid.pid read_only_udm.principal.process.pid הערך נלקח מהשדה 'event.Event.SchedTaskTrigger.source.fullPid.pid' ביומן הגולמי.
event.Event.SchedTaskTrigger.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.SchedTaskTrigger.source.user.name' ביומן הגולמי.
event.Event.Tcpv4.source.fullPid.pid read_only_udm.principal.process.pid הערך נלקח מהשדה 'event.Event.Tcpv4.source.fullPid.pid' ביומן הגולמי.
event.Event.Tcpv4.source.user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event.Tcpv4.source.user.name' ביומן הגולמי.
event.Event.Tcpv4Listen.local.address read_only_udm.principal.ip הערך נלקח מהשדה 'event.Event.Tcpv4Listen.local.address' ביומן הגולמי.
event.timestamp.millisecondsSinceEpoch read_only_udm.metadata.event_timestamp.seconds הערך נלקח מהשדה 'event.timestamp.millisecondsSinceEpoch' ביומן הגולמי, והוא מומר לשניות.
event.timestamp.millisecondsSinceEpoch read_only_udm.metadata.event_timestamp.nanos הערך נלקח מהשדה 'event.timestamp.millisecondsSinceEpoch' ביומן הגולמי, והוא מומר לננו-שניות.
event.timestamp.millisecondsSinceEpoch security_result.about.resource.attribute.labels.value הערך נלקח מהשדה 'event.timestamp.millisecondsSinceEpoch' ביומן הגולמי ומשמש כערך של תווית במערך security_result.about.resource.attribute.labels.
event_type read_only_udm.metadata.product_event_type הערך מחולץ מהשדה 'message' ביומן הגולמי באמצעות תבנית grok.
executable.hashes.md5 read_only_udm.principal.process.file.md5 הערך נלקח מהשדה event.Event...executable.hashes.md5 ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל מידע על התהליך (למשל, process, ‏ source, ‏ parent).
executable.hashes.sha1 read_only_udm.principal.process.file.sha1 הערך נלקח מהשדה 'event.Event...executable.hashes.sha1' ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל מידע על התהליך (למשל, process, ‏ source, ‏ parent).
executable.hashes.sha256 read_only_udm.principal.process.file.sha256 הערך נלקח מהשדה 'event.Event...executable.hashes.sha256' ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל מידע על התהליך (למשל, process, ‏ source, ‏ parent).
executable.path read_only_udm.principal.process.file.full_path הערך נלקח מהשדה 'event.Event...executable.path' ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל את פרטי התהליך (למשל, process, ‏ source, ‏ parent).
executable.sizeBytes read_only_udm.principal.process.file.size הערך נלקח מהשדה event.Event...executable.sizeBytes ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל מידע על התהליך (למשל, process, ‏ source, ‏ parent).
fullPid.pid read_only_udm.principal.process.pid הערך נלקח מהשדה event.Event...fullPid.pid ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל מידע על התהליך (למשל, process, ‏ source, ‏ parent).
hashes.md5 read_only_udm.target.file.md5 הערך נלקח מהשדה 'event.Event.ProcessCreation.hashes.md5' ביומן הגולמי.
hashes.sha1 read_only_udm.target.file.sha1 הערך נלקח מהשדה 'event.Event.ProcessCreation.hashes.sha1' ביומן הגולמי.
hashes.sha256 read_only_udm.target.file.sha256 הערך נלקח מהשדה 'event.Event.ProcessCreation.hashes.sha256' ביומן הגולמי.
IpAddress read_only_udm.target.ip הערך נלקח מהשדה IpAddress ביומן הגולמי.
local.address read_only_udm.principal.ip הערך נלקח מהשדה 'event.Event.Tcpv4Listen.local.address' ביומן הגולמי.
local.port read_only_udm.principal.port הערך נלקח מהשדה 'event.Event.Tcpv4Listen.local.port' ביומן הגולמי.
log_type read_only_udm.metadata.log_type הערך נלקח מהשדה 'log_type' ביומן הגולמי.
meta.agent_version read_only_udm.metadata.product_version הערך נלקח מהשדה meta.agent_version ביומן הגולמי.
meta.computer_name read_only_udm.principal.hostname הערך נלקח מהשדה meta.computer_name ביומן הגולמי.
meta.os_family read_only_udm.principal.platform הערך נלקח מהשדה meta.os_family ביומן הגולמי וממופה לפלטפורמה המתאימה (למשל, windows ל-WINDOWS, ‏ osx ל-MAC, ‏ linux ל-LINUX).
meta.os_name read_only_udm.principal.platform_version הערך נלקח מהשדה meta.os_name ביומן הגולמי.
meta.os_revision read_only_udm.principal.platform_patch_level הערך נלקח מהשדה meta.os_revision ביומן הגולמי.
meta.uuid read_only_udm.principal.asset_id הערך נלקח מהשדה meta.uuid ביומן הגולמי, ולפניו מופיע SENTINELONE:.
name read_only_udm.principal.application הערך נלקח מהשדה 'event.Event...name' ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל את פרטי התהליך (למשל, process, ‏ source, ‏ parent).
parent.executable.hashes.md5 read_only_udm.target.process.parent_process.file.md5 הערך נלקח מהשדה event.Event..parent.executable.hashes.md5 ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit).
parent.executable.hashes.sha1 read_only_udm.target.process.parent_process.file.sha1 הערך נלקח מהשדה event.Event..parent.executable.hashes.sha1 ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit).
parent.executable.hashes.sha256 read_only_udm.target.process.parent_process.file.sha256 הערך נלקח מהשדה event.Event..parent.executable.hashes.sha256 ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit).
parent.executable.path read_only_udm.target.process.parent_process.file.full_path הערך נלקח מהשדה event.Event..parent.executable.path ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit).
parent.fullPid.pid read_only_udm.target.process.parent_process.pid הערך נלקח מהשדה 'event.Event..parent.fullPid.pid' ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit).
נתיב read_only_udm.principal.process.file.full_path הערך נלקח מהשדה event.Event...path ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל את פרטי התהליך (למשל, process, ‏ source, ‏ parent).
process.commandLine read_only_udm.target.process.command_line הערך נלקח מהשדה 'event.Event.ProcessCreation.process.commandLine' ביומן הגולמי.
process.fullPid.pid read_only_udm.target.process.pid הערך נלקח מהשדה 'event.Event.ProcessCreation.process.fullPid.pid' ביומן הגולמי.
process.parent.fullPid.pid read_only_udm.target.process.parent_process.pid הערך נלקח מהשדה 'event.Event.ProcessCreation.process.parent.fullPid.pid' ביומן הגולמי.
ProviderGuid security_result.about.resource.attribute.labels.value הערך נלקח מהשדה ProviderGuid ביומן הגולמי, אחרי שמסירים את הסוגריים המסולסלים.
שאילתה read_only_udm.network.dns.questions.name הערך נלקח מהשדה 'event.Event.Dns.query' ביומן הגולמי.
RecordNumber security_result.about.resource.attribute.labels.value הערך נלקח מהשדה RecordNumber ביומן הגולמי.
regKey.path read_only_udm.target.registry.registry_key הערך נלקח מהשדה 'event.Event.RegKeyCreate.regKey.path' או מהשדה 'event.Event.RegKeyDelete.regKey.path' ביומן הגולמי.
regValue.path read_only_udm.target.registry.registry_key הערך נלקח מהשדה 'event.Event.RegValueDelete.regValue.path' או מהשדה 'event.Event.RegValueModified.regValue.path' ביומן הגולמי.
תוצאות read_only_udm.network.dns.answers.data הערך נלקח מהשדה 'event.Event.Dns.results' ביומן הגולמי.
Sent UpdateServer intermediary.hostname הערך נלקח מהשדה 'Sent UpdateServer' ביומן הגולמי.
seq_id השדה הזה לא ממופה ישירות ל-UDM.
signature.Status.Signed.identity השדה הזה לא ממופה ישירות ל-UDM.
sizeBytes read_only_udm.principal.process.file.size הערך נלקח מהשדה event.Event...sizeBytes ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל את פרטי התהליך (למשל, process, ‏ source, ‏ parent).
sourceAddress.address read_only_udm.principal.ip הערך נלקח מהשדה 'event.Event.Tcpv4.sourceAddress.address' ביומן הגולמי.
sourceAddress.port read_only_udm.principal.port הערך נלקח מהשדה 'event.Event.Tcpv4.sourceAddress.port' ביומן הגולמי.
SourceName security_result.about.resource.attribute.labels.value הערך נלקח מהשדה SourceName ביומן הגולמי.
סטטוס השדה הזה לא ממופה ישירות ל-UDM.
taskName read_only_udm.target.resource.name הערך נלקח מהשדה 'event.Event.SchedTaskStart.taskName',‏ 'event.Event.SchedTaskTrigger.taskName' או 'event.Event.SchedTaskDelete.taskName' ביומן הגולמי.
targetFile.hashes.md5 read_only_udm.target.file.md5 הערך נלקח מהשדה 'event.Event.FileDeletion.targetFile.hashes.md5' או מהשדה 'event.Event.SchedTaskStart.targetFile.hashes.md5' ביומן הגולמי.
targetFile.hashes.sha1 read_only_udm.target.file.sha1 הערך נלקח מהשדה 'event.Event.FileDeletion.targetFile.hashes.sha1' או מהשדה 'event.Event.SchedTaskStart.targetFile.hashes.sha1' ביומן הגולמי.
targetFile.hashes.sha256 read_only_udm.target.file.sha256 הערך נלקח מהשדה 'event.Event.FileDeletion.targetFile.hashes.sha256' או מהשדה 'event.Event.SchedTaskStart.targetFile.hashes.sha256' ביומן הגולמי.
targetFile.path read_only_udm.target.file.full_path הערך נלקח מהשדה 'event.Event.FileDeletion.targetFile.path' או 'event.Event.SchedTaskStart.targetFile.path' ביומן הגולמי.
משימה security_result.about.resource.attribute.labels.value הערך נלקח מהשדה 'משימה' ביומן הגולמי.
timestamp.millisecondsSinceEpoch read_only_udm.metadata.event_timestamp.seconds הערך נלקח מהשדה 'event.timestamp.millisecondsSinceEpoch' ביומן הגולמי, והוא מומר לשניות.
timestamp.millisecondsSinceEpoch read_only_udm.metadata.event_timestamp.nanos הערך נלקח מהשדה 'event.timestamp.millisecondsSinceEpoch' ביומן הגולמי, והוא מומר לננו-שניות.
trace_id השדה הזה לא ממופה ישירות ל-UDM.
triggerType השדה הזה לא ממופה ישירות ל-UDM.
trueContext השדה הזה לא ממופה ישירות ל-UDM.
trueContext.key השדה הזה לא ממופה ישירות ל-UDM.
trueContext.key.value השדה הזה לא ממופה ישירות ל-UDM.
סוג read_only_udm.network.dns.answers.type הערך נלקח מהשדה 'event.Event.Dns.results' ביומן הגולמי ומחולץ באמצעות ביטוי רגולרי.
url read_only_udm.target.url הערך נלקח מהשדה 'event.Event.Http.url' ביומן הגולמי.
user.name read_only_udm.principal.user.userid הערך נלקח מהשדה 'event.Event...user.name' ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל מידע על התהליך (למשל, process, ‏ source, ‏ parent).
user.sid read_only_udm.principal.user.windows_sid הערך נלקח מהשדה event.Event...user.sid ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל את פרטי התהליך (למשל, process, ‏ source, ‏ parent).
UserID read_only_udm.target.user.windows_sid הערך נלקח מהשדה UserID ביומן הגולמי, רק אם הוא תואם לדפוס ה-SID של Windows.
UserSid read_only_udm.target.user.windows_sid הערך נלקח מהשדה UserSid ביומן הגולמי, רק אם הוא תואם לדפוס ה-SID של Windows.
valueType השדה הזה לא ממופה ישירות ל-UDM.
winEventLog.channel security_result.about.resource.attribute.labels.value הערך נלקח מהשדה 'winEventLog.channel' ביומן הגולמי.
winEventLog.description השדה הזה לא ממופה ישירות ל-UDM.
winEventLog.id security_result.about.resource.attribute.labels.value הערך נלקח מהשדה 'winEventLog.id' ביומן הגולמי.
winEventLog.level security_result.severity הערך נלקח מהשדה winEventLog.level ביומן הגולמי וממופה לרמת החומרה המתאימה (למשל, Warning ל-MEDIUM).
winEventLog.providerName security_result.about.resource.attribute.labels.value הערך נלקח מהשדה 'winEventLog.providerName' ביומן הגולמי.
winEventLog.xml השדה הזה לא ממופה ישירות ל-UDM.
read_only_udm.metadata.event_type הערך נקבע על סמך השדה event_type (סוג האירוע) וממופה לסוג האירוע המתאים ב-UDM.
read_only_udm.metadata.vendor_name הערך הוא SentinelOne.
read_only_udm.metadata.product_name הערך הוא Deep Visibility.
read_only_udm.metadata.product_log_id הערך נלקח מהשדה trace.id ביומן הגולמי, רק לאירועים שבהם meta.event.name שווה ל-PROCESSCREATION.
read_only_udm.metadata.product_deployment_id הערך נלקח מהשדה account.id ביומן הגולמי, רק עבור אירועים שבהם meta.event.name שווה ל-PROCESSCREATION.
read_only_udm.metadata.url_back_to_product הערך נלקח מהשדה 'mgmt.url' ביומן הגולמי, רק לאירועים שבהם הערך של 'meta.event.name' שווה ל-PROCESSCREATION.
read_only_udm.metadata.ingestion_labels.key הערך הוא Process eUserUid או Process lUserUid לאירועים שבהם 'meta.event.name' שווה ל-PROCESSCREATION.
read_only_udm.metadata.ingestion_labels.value הערך נלקח מהשדה 'src.process.eUserUid' או 'src.process.lUserUid' ביומן הגולמי, רק עבור אירועים עם 'meta.event.name' ששווה ל-PROCESSCREATION.
read_only_udm.principal.administrative_domain החלק של הדומיין בשדה event.Event...user.name ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit) ו- הוא השדה שמכיל מידע על התהליך (למשל, process, ‏ source, ‏ parent).
read_only_udm.target.process.parent_process.command_line הערך נלקח מהשדה 'event.Event..parent.commandLine' ביומן הגולמי, כאשר הוא סוג האירוע הספציפי (למשל, ProcessCreation, ‏ ProcessExit).
read_only_udm.target.file אם הערך של event_type הוא לא FileCreation, ‏ FileDeletion, ‏ FileModification, ‏ SchedTaskStart או ProcessCreation, נוצר אובייקט ריק.
read_only_udm.network.ip_protocol הערך מוגדר כ-TCP לאירועים עם event_type ששווה ל-Tcpv4, ל-Tcpv4Listen או ל-Http.
read_only_udm.network.application_protocol הערך הוא DNS לאירועים עם event_type ששווה ל-Dns.
read_only_udm.target.resource.type הערך הוא TASK לאירועים שבהם 'event_type' שווה ל-SchedTaskStart,‏ SchedTaskTrigger או SchedTaskDelete.
read_only_udm.target.resource.resource_type הערך הוא TASK לאירועים עם event_type ששווה ל-SchedTaskStart,‏ SchedTaskTrigger או SchedTaskDelete.
read_only_udm.principal.process.product_specific_process_id הערך הוא ExecutionThreadID:<ExecutionThreadID> אם השדה 'ExecutionThreadID' מופיע ביומן הגולמי.
read_only_udm.principal.asset.asset_id הערך מוגדר כ-Device ID:<agent.uuid> אם השדה agent.uuid קיים ביומן הגולמי.
read_only_udm.principal.namespace הערך נלקח מהשדה 'site.id' ביומן הגולמי, רק עבור אירועים עם 'meta.event.name' ששווה ל-PROCESSCREATION.
read_only_udm.principal.location.name הערך נלקח מהשדה 'site.name' ביומן הגולמי, רק עבור אירועים שבהם הערך של 'meta.event.name' שווה ל-PROCESSCREATION.
read_only_udm.principal.resource.attribute.labels.key הערך הוא src.process.displayName,‏ src.process.uid,‏ isRedirectCmdProcessor,‏ isNative64Bit,‏ isStorylineRoot,‏ signedStatus,‏ src process subsystem,‏ src process integrityLevel או childProcCount לאירועים שבהם הערך של meta.event.name שווה ל-PROCESSCREATION.
read_only_udm.principal.resource.attribute.labels.value הערך נלקח מהשדה המתאים ביומן הגולמי, רק לאירועים שבהם meta.event.name שווה ל-PROCESSCREATION.
read_only_udm.target.user.userid הערך נלקח מהשדה tgt.process.uid ביומן הגולמי, רק עבור אירועים שבהם meta.event.name שווה ל-PROCESSCREATION.
read_only_udm.target.user.user_display_name הערך נלקח מהשדה 'tgt.process.displayName' ביומן הגולמי, רק עבור אירועים עם 'meta.event.name' ששווה ל-PROCESSCREATION.
read_only_udm.target.resource.attribute.labels.key הערך הוא isRedirectCmdProcessor,‏ isNative64Bit,‏ isStorylineRoot,‏ signedStatus,‏ file_isSigned,‏ tgt process subsystem או tgt process integrityLevel לאירועים שבהם 'meta.event.name' שווה ל-PROCESSCREATION.
read_only_udm.target.resource.attribute.labels.value הערך נלקח מהשדה המתאים ביומן הגולמי, רק לאירועים שבהם meta.event.name שווה ל-PROCESSCREATION.
read_only_udm.security_result.about.resource.attribute.labels.key הערך הוא tgt.process.storyline.id, endpoint_type, packet_id, src.process.storyline.id או src.process.parent.storyline.id לאירועים שבהם 'meta.event.name' שווה ל-PROCESSCREATION.
read_only_udm.security_result.about.resource.attribute.labels.value הערך נלקח מהשדה המתאים ביומן הגולמי, ומוסף לו ID: עבור מזהי קו עלילה, רק לאירועים שבהם הערך של meta.event.name שווה ל-PROCESSCREATION.
read_only_udm.security_result.category_details הערך הוא security לאירועים שבהם 'meta.event.name' שווה ל-PROCESSCREATION.
read_only_udm.target.asset.product_object_id הערך נלקח מהשדה AdapterName ביומן הגולמי, רק לאירועים שבהם meta.event.name שווה ל-EVENTLOG.
security_result.about.resource.attribute.labels.key הערך הוא TimeCreated SystemTime,‏ EventID,‏ Task,‏ Channel,‏ ProviderGuid,‏ RecordNumber,‏ SourceName,‏ endpoint_type או packet_id לאירועים שבהם הערך של meta.event.name שווה ל-EVENTLOG.
security_result.detection_fields.key הערך הוא Activity ID לאירועים שבהם 'meta.event.name' שווה ל-EVENTLOG והשדה 'ActivityID' לא ריק.
security_result.detection_fields.value הערך נלקח מהשדה ActivityID ביומן הגולמי, רק לאירועים שבהם meta.event.name שווה ל-EVENTLOG והשדה ActivityID לא ריק.

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.