收集 Bitdefender 日志
解析器版本：29.0
支持的语言：
Google SecOps
SIEM
本文档介绍了如何使用 Bindplane 代理将 Bitdefender 日志注入到 Google Security Operations。
此解析器会提取 CEF 或 CSV 格式的 Bitdefender GravityZone 日志，将字段标准化为 UDM，并根据事件类型执行特定操作。它负责处理文件操作、网络连接、进程创建和注册表修改，并将相关信息映射到相应的 UDM 字段。
准备工作
请确保满足以下前提条件：
- Google SecOps 实例
- Windows Server 2016 或更高版本，或者具有
systemd的 Linux 主机 - Bindplane 代理与 Bitdefender GravityZone 设备之间的网络连接
- 如果通过代理运行，请确保防火墙端口根据 Bindplane 代理要求处于开放状态
- 对 Bitdefender GravityZone 的特权访问权限
获取 Bindplane 代理的 Google SecOps 凭证
如需向 Google SecOps 验证 Bindplane 代理，请选择以下方法之一：
- 新部署：使用 Chronicle API（选项 1）。
- 旧版部署：继续使用数据注入身份验证文件（方法 2），直到 Ingestion API 于 2027 年 7 月 20 日停用。
方法 1：为 Chronicle API 创建服务账号（推荐）
- 登录 Google Cloud 控制台，然后选择与您的 Google SecOps 实例关联的 Google Cloud 项目。
- 前往 IAM 和管理 > 服务账号。
- 点击创建服务账号。
- 提供以下配置详细信息：
- 服务账号名称：输入账号的名称（例如
bindplane-ingest）。 - 服务账号说明：输入说明（例如
Bindplane agent log ingestion）。
- 服务账号名称：输入账号的名称（例如
- 点击创建并继续。
- 在向此服务账号授予对项目的访问权限部分，点击选择角色，然后选择 Chronicle Editor。
- 点击继续，然后点击完成。
- 点击您创建的服务账号，然后前往密钥标签页。
- 依次点击添加密钥 > 创建新密钥。
- 选择 JSON，然后点击创建。密钥文件会下载到您的计算机上。
- 将密钥文件另存为 Bindplane 收集器目录（Linux 上的
/opt/observiq-otel-collector/ingestion-auth.json或 Windows 上的C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json）中的ingestion-auth.json，或更新config.yaml中的creds_file_path以匹配您保存该文件的路径。 - 前往 IAM 和管理 > 设置，然后复制项目编号。您在配置导出器时需要用到该名称。
方法 2：下载数据注入身份验证文件（旧版）
- 登录 Google SecOps 控制台。
- 前往 SIEM 设置> 收集代理。
- 下载数据注入身份验证文件。
- 将文件安全地保存在将安装 Bindplane 代理的系统上。
获取 Google SecOps 客户 ID
- 登录 Google SecOps 控制台。
- 依次前往 SIEM 设置 > 配置文件。
复制并保存组织详细信息部分中的客户 ID。
安装 Bindplane 代理
根据以下说明，在 Windows 或 Linux 操作系统上安装 Bindplane 代理。
Windows 安装
- 以管理员身份打开命令提示符或 PowerShell。
运行以下命令：
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet等待安装完成。
运行以下命令，验证安装是否成功：
sc query observiq-otel-collector该服务应显示为正在运行。
Linux 安装
- 打开具有 root 或 sudo 权限的终端。
运行以下命令：
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh等待安装完成。
运行以下命令，验证安装是否成功：
sudo systemctl status observiq-otel-collector该服务应显示为有效（正在运行）。
其他安装资源
如需了解其他安装选项和问题排查信息，请参阅 Bindplane 代理安装指南。
配置 Bindplane 代理以注入 Syslog 并发送到 Google SecOps
找到配置文件
Linux：
sudo nano /opt/observiq-otel-collector/config.yamlWindows：
notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
修改配置文件
将
config.yaml的全部内容替换为以下配置：receivers: tcplog: listen_address: "0.0.0.0:514" exporters: chronicle/bitdefender: protocol: https # Region of your instance, for example us, europe, asia-southeast1 location: <LOCATION> # Project number of the Google Cloud project linked to the instance project: '<PROJECT_NUMBER>' compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: chronicle.googleapis.com log_type: BITDEFENDER raw_log_field: body service: pipelines: logs/bitdefender_to_chronicle: receivers: - tcplog exporters: - chronicle/bitdefender
配置参数
替换以下占位符：
接收器配置：
listen_address：要监听的 IP 地址和端口：0.0.0.0，以监听所有接口（推荐）- 端口
514是标准 syslog 端口（在 Linux 上需要 root 权限；对于非 root 用户，请使用1514）
导出器配置：
creds_file_path：服务账号 JSON 密钥文件的完整路径（选项 1）：- Linux：
/opt/observiq-otel-collector/ingestion-auth.json - Windows：
C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- Linux：
customer_id：从 Google SecOps 控制台复制的客户 IDlocation：将<LOCATION>替换为 Google SecOps 实例所在的区域（例如us、europe或asia-southeast1）。导出工具会在此值前面加上chronicle.googleapis.com。如需查看完整列表，请参阅区域级端点。project：将<PROJECT_NUMBER>替换为“IAM 和管理”>“设置”中的项目编号。endpoint：保持设置为chronicle.googleapis.com。
旧版提取 API
如果您使用选项 2 中的提取身份验证文件，请将
exporters代码块替换为以下内容。将creds_file_path设置为提取身份验证文件的路径，如果您的实例位于美国境外，请将malachiteingestion-pa.googleapis.com替换为您的区域端点（例如europe-malachiteingestion-pa.googleapis.com）。exporters: chronicle/bitdefender: compression: gzip creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json' customer_id: '<customer_id>' endpoint: malachiteingestion-pa.googleapis.com log_type: BITDEFENDER raw_log_field: body
保存配置文件
- 修改后，保存文件：
- Linux：依次按
Ctrl+O、Enter和Ctrl+X - Windows：依次点击文件 > 保存
- Linux：依次按
重启 Bindplane 代理以应用更改
如需在 Linux 中重启 Bindplane 代理，请运行以下命令：
sudo systemctl restart observiq-otel-collector验证服务是否正在运行：
```bash sudo systemctl status observiq-otel-collector ```检查日志中的错误：
```bash sudo journalctl -u observiq-otel-collector -f ```
如需在 Windows 中重启 Bindplane 代理，请选择以下选项之一：
以管理员身份运行命令提示符或 PowerShell：
net stop observiq-otel-collector && net start observiq-otel-collector“服务”控制台：
- 按
Win+R，输入services.msc，然后按 Enter 键。 - 找到 observIQ OpenTelemetry 收集器。
- 右键点击，然后选择重新启动。
验证服务是否正在运行：
sc query observiq-otel-collector检查日志中是否存在错误：
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
- 按
在 Bitdefender GravityZone 中配置 syslog 流式传输
- 登录 GravityZone 控制中心。
- 前往配置 > 集成 > Syslog。
- 点击 Add Syslog Server。
- 提供所需的详细信息：
- 名称：为 syslog 服务器提供一个唯一名称（例如 CentralSyslog）。
- IP 地址/主机名：输入 Bindplane 服务器的 IP 地址或主机名。
- 协议：选择要使用的协议：TCP 或 UDP。
- 端口：指定 Bindplane 服务器的端口号。
- 选择要流式传输的日志类型（例如反恶意软件事件、网络攻击防御 (NAD) 事件、Web 控制事件、防火墙事件或政策变更）。
- 可选：配置过滤条件，以包含或排除特定事件类型。
- 点击保存。
UDM 映射表
| 日志字段 | UDM 映射 | 逻辑 |
|---|---|---|
BitdefenderGZAttackEntry |
security_result.detection_fields.value |
原始日志中的 BitdefenderGZAttackEntry 值会作为值分配给 security_result.detection_fields 对象，其中键为“attack_entry”。 |
BitdefenderGZAttackTypes |
security_result.category_details |
原始日志中的 BitdefenderGZAttackTypes 值会分配给 security_result.category_details。然后，该值会被拆分为多个单独的字符串，每个字符串都会作为值添加到 security_result.category_details 数组中。 |
BitdefenderGZAttCkId |
security_result.detection_fields.value |
原始日志中的 BitdefenderGZAttCkId 值会作为值分配给 security_result.detection_fields 对象，其中键为“BitdefenderGZAttCkId”。 |
BitdefenderGZCompanyId |
target.user.company_name |
原始日志中的 BitdefenderGZCompanyId 值会分配给 target.user.company_name。 |
BitdefenderGZComputerFQDN |
principal.asset.network_domain |
原始日志中的 BitdefenderGZComputerFQDN 值会分配给 principal.asset.network_domain。 |
BitdefenderGZDetectionName |
security_result.threat_name |
原始日志中的 BitdefenderGZDetectionName 值会分配给 security_result.threat_name。 |
BitdefenderGZEndpointId |
security_result.detection_fields.value |
原始日志中 BitdefenderGZEndpointId 的值会作为值分配给 security_result.detection_fields 对象，其中键为“BitdefenderGZEndpointId”。 |
BitdefenderGZIncidentId |
metadata.product_log_id |
原始日志中的 BitdefenderGZIncidentId 值会分配给 metadata.product_log_id。 |
BitdefenderGZMainAction |
security_result.action_details |
原始日志中的 BitdefenderGZMainAction 值会分配给 security_result.action_details。系统会根据此值设置 security_result.action 字段（例如，“blocked”映射到“BLOCK”）。security_result.description 字段也会填充“main_action: ”，后跟 BitdefenderGZMainAction 的值。 |
BitdefenderGZMalwareHash |
principal.process.file.sha256 |
原始日志中的 BitdefenderGZMalwareHash 值会分配给 principal.process.file.sha256。 |
BitdefenderGZMalwareName |
security_result.threat_name |
原始日志中的 BitdefenderGZMalwareName 值会分配给 security_result.threat_name。 |
BitdefenderGZMalwareType |
security_result.detection_fields.value |
原始日志中 BitdefenderGZMalwareType 的值会作为值分配给 security_result.detection_fields 对象，其中键为“malware_type”。 |
BitdefenderGZModule |
metadata.product_event_type |
原始日志中的 BitdefenderGZModule 值会分配给 metadata.product_event_type。 |
BitdefenderGZSeverityScore |
security_result.severity_details |
原始日志中的 BitdefenderGZSeverityScore 值会分配给 security_result.severity_details。 |
BitdefenderGZHwId |
target.resource.id |
原始日志中的 BitdefenderGZHwId 值会分配给 target.resource.id。 |
act |
security_result.action_details |
原始日志中的 act 值会分配给 security_result.action_details。 |
actionTaken |
security_result.action_details |
原始日志中的 actionTaken 值会分配给 security_result.action_details。系统会根据此值设置 security_result.action 字段（例如，“block”会映射到“BLOCK”）。security_result.description 字段也会填充“actionTaken: ”，后跟 actionTaken 的值。 |
additional.fields |
additional.fields |
解析器逻辑会为“product_installed”创建键值对，并将其添加到 additional.fields 对象中。 |
categories |
principal.asset.category |
原始日志中的 categories 值会分配给 principal.asset.category。 |
cmd_line |
target.process.command_line |
原始日志中的 cmd_line 值会分配给 target.process.command_line。 |
companyId |
target.user.company_name |
原始日志中的 companyId 值会分配给 target.user.company_name。 |
computer_fqdn |
principal.asset.network_domain |
原始日志中的 computer_fqdn 值会分配给 principal.asset.network_domain。 |
computer_id |
principal.asset.asset_id |
在原始日志中，computer_id 的值在前面加上“ComputerId:”后，会分配给 principal.asset.asset_id。 |
computer_ip |
principal.asset.ip |
系统会解析原始日志中的 computer_ip 值，按逗号进行拆分，并将每个生成的 IP 地址添加到 principal.asset.ip 数组中。 |
computer_name |
principal.resource.attribute.labels.value |
原始日志中 computer_name 的值会作为值分配给 principal.resource.attribute.labels 对象，其中键为“computer_name”。它还会作为值添加到键为“computer_name”的 security_result.detection_fields 对象中。 |
column1 |
metadata.product_log_id |
原始日志中的 column1 值会分配给 metadata.product_log_id。 |
column3 |
observer.ip |
原始日志中的 column3 值会分配给 observer.ip。 |
command_line |
target.process.command_line |
原始日志中的 command_line 值会分配给 target.process.command_line。 |
data |
target.registry.registry_value_data |
原始日志中的 data 值会分配给 target.registry.registry_value_data。 |
detection_attackTechnique |
security_result.detection_fields.value |
原始日志中的 detection_attackTechnique 值会作为值分配给 security_result.detection_fields 对象，其中键为“detection attackTechnique”。 |
detection_name |
security_result.threat_name |
原始日志中的 detection_name 值会分配给 security_result.threat_name。 |
destination_ip |
target.ip |
原始日志中的 destination_ip 值会分配给 target.ip。 |
destination_port |
target.port |
原始日志中的 destination_port 值会分配给 target.port。 |
direction |
network.direction |
原始日志中的 direction 值会转换为大写形式，并分配给 network.direction。 |
dvc |
principal.ip |
系统会解析原始日志中的 dvc 值，按英文逗号拆分，并将生成的每个 IP 地址添加到 principal.ip 数组中。 |
dvchost |
about.hostname |
原始日志中的 dvchost 值会分配给 about.hostname。 |
event_description |
metadata.description |
原始日志中的 event_description 值会分配给 metadata.description。 |
event_name |
metadata.product_event_type |
原始日志中的 event_name 值会分配给 metadata.product_event_type。如果值为“Antiphishing”，则将 security_result.category 设置为“PHISHING”。如果值为“AntiMalware”，则 security_result.category 设置为“SOFTWARE_MALICIOUS”。metadata.event_type 字段是使用解析器中的一系列条件语句从 event_name 派生的。 |
ev |
metadata.product_event_type |
原始日志中的 ev 值会分配给 metadata.product_event_type。 |
extra_info.command_line |
target.process.command_line |
原始日志中的 extra_info.command_line 值会分配给 target.process.command_line。 |
extra_info.parent_pid |
principal.process.pid |
原始日志中的 extra_info.parent_pid 值会分配给 principal.process.pid。 |
extra_info.parent_process_cmdline |
principal.process.command_line |
原始日志中的 extra_info.parent_process_cmdline 值会分配给 principal.process.command_line。 |
extra_info.parent_process_path |
principal.process.file.full_path |
原始日志中的 extra_info.parent_process_path 值会分配给 principal.process.file.full_path。 |
extra_info.pid |
target.process.pid |
原始日志中的 extra_info.pid 值会分配给 target.process.pid。 |
extra_info.process_path |
target.process.file.full_path |
原始日志中的 extra_info.process_path 值会分配给 target.process.file.full_path。 |
extra_info.user |
target.user.userid |
原始日志中的 extra_info.user 值会分配给 target.user.userid。 |
filePath |
principal.process.file.full_path |
原始日志中的 filePath 值会分配给 principal.process.file.full_path。 |
file_path |
principal.process.file.full_path |
原始日志中的 file_path 值会分配给 principal.process.file.full_path。 |
final_status |
security_result.action_details |
原始日志中的 final_status 值会分配给 security_result.action_details。系统会根据此值设置 security_result.action 字段（例如，“已删除”映射到“BLOCK”，“已忽略”映射到“ALLOW”）。security_result.description 字段也会填充“final_status: ”，后跟 final_status 的值。如果值为“deleted”或“blocked”，则 metadata.event_type 会设置为“SCAN_NETWORK”。 |
hash |
principal.process.file.sha256 |
原始日志中的 hash 值会分配给 principal.process.file.sha256。 |
host |
principal.hostname |
原始日志中的 host 值会分配给 principal.hostname。 |
hostname |
principal.hostname |
如果 event_name 不是“log_on”或“log_out”，则原始日志中的 hostname 值会分配给 principal.hostname。否则，系统会将其分配给 target.hostname。 |
host_name |
principal.hostname |
原始日志中的 host_name 值会分配给 principal.hostname。 |
hwid |
principal.resource.id |
如果原始日志中的 hwid 值不为空，则会将其分配给 principal.resource.id。如果该字段为空，且事件不是“log_on”或“log_out”，则 source_hwid 的值会分配给 principal.resource.id。如果事件为“log_on”或“log_out”，则分配给 target.resource.id。 |
incident_id |
metadata.product_log_id |
原始日志中的 incident_id 值会分配给 metadata.product_log_id。 |
ip_dest |
target.ip |
原始日志中的 ip_dest 值会分配给 target.ip。 |
ip_source |
principal.ip |
原始日志中的 ip_source 值会分配给 principal.ip。 |
key_path |
target.registry.registry_key |
原始日志中的 key_path 值会分配给 target.registry.registry_key。 |
local_port |
principal.port |
原始日志中的 local_port 值会转换为整数并分配给 principal.port。 |
logon_type |
extensions.auth.mechanism |
原始日志中的 logon_type 值用于确定 extensions.auth.mechanism 的值。logon_type 的不同数值会映射到不同的身份验证机制（例如，2 映射到“LOCAL”，3 映射到“NETWORK”）。如果未找到匹配的 logon_type，则将机制设置为“MECHANISM_UNSPECIFIED”。 |
lurker_id |
intermediary.resource.id |
原始日志中的 lurker_id 值会分配给 intermediary.resource.id。 |
main_action |
security_result.action_details |
原始日志中的 main_action 值会分配给 security_result.action_details。系统会根据此值设置 security_result.action 字段（例如，“已屏蔽”会映射到“BLOCK”，“无操作”会映射到“ALLOW”）。security_result.description 字段也会填充“main_action: ”，后跟 main_action 的值。 |
malware_name |
security_result.threat_name |
原始日志中的 malware_name 值会分配给 security_result.threat_name。 |
malware_type |
security_result.detection_fields.value |
原始日志中的 malware_type 值会作为值分配给 security_result.detection_fields 对象，其中键为“malware_type”。 |
metadata.description |
metadata.description |
解析器会根据 event_name 字段设置 metadata.description 字段。 |
metadata.event_type |
metadata.event_type |
解析器会根据 event_name 字段设置 metadata.event_type 字段。 |
metadata.product_event_type |
metadata.product_event_type |
解析器会根据 event_name 或 module 字段设置 metadata.product_event_type 字段。 |
metadata.product_log_id |
metadata.product_log_id |
解析器会根据 msg_id 或 incident_id 字段设置 metadata.product_log_id 字段。 |
metadata.product_name |
metadata.product_name |
解析器将 metadata.product_name 设置为“BitDefender EDR”。 |
metadata.product_version |
metadata.product_version |
解析器会将 product_version 字段重命名为 metadata.product_version。 |
metadata.vendor_name |
metadata.vendor_name |
解析器会将 metadata.vendor_name 设置为“BitDefender”。 |
module |
metadata.product_event_type |
原始日志中的 module 值会分配给 metadata.product_event_type。如果值为“new-incident”且 target_process_file_full_path 不为空，则 metadata.event_type 会设置为“PROCESS_UNCATEGORIZED”。如果值为“task-status”，则将 metadata.event_type 设置为“STATUS_UPDATE”。如果值为“network-monitor”或“fw”，则 metadata.event_type 设置为“SCAN_NETWORK”。 |
msg_id |
metadata.product_log_id |
原始日志中的 msg_id 值会分配给 metadata.product_log_id。 |
network.application_protocol |
network.application_protocol |
原始日志中 uc_type 的值会转换为大写，并分配给 network.application_protocol。 |
network.direction |
network.direction |
解析器会根据 direction 字段设置 network.direction 字段。 |
network.ip_protocol |
network.ip_protocol |
如果 protocol_id 为“6”，解析器会将 network.ip_protocol 设置为“TCP”。 |
new_path |
target.file.full_path |
原始日志中的 new_path 值会分配给 target.file.full_path。 |
old_path |
src.file.full_path |
原始日志中的 old_path 值会分配给 src.file.full_path。 |
origin_ip |
intermediary.ip |
原始日志中的 origin_ip 值会分配给 intermediary.ip。 |
os |
principal.platform_version |
原始日志中的 os 值会分配给 principal.platform_version。principal.platform 字段派生自 os（例如，“Win”映射到“WINDOWS”）。如果事件为“log_on”或“log_out”，则 principal.platform 和 principal.platform_version 字段会分别重命名为 target.platform 和 target.platform_version。 |
os_type |
principal.platform |
原始日志中的 os_type 值用于确定 principal.platform 的值（例如，“Win”映射到“WINDOWS”）。 |
parent_pid |
principal.process.pid |
原始日志中的 parent_pid 值会分配给 principal.process.pid。 |
parent_process_path |
principal.process.file.full_path |
原始日志中的 parent_process_path 值会分配给 principal.process.file.full_path。 |
parent_process_pid |
principal.process.pid |
原始日志中的 parent_process_pid 值会分配给 principal.process.pid。 |
path |
target.file.full_path |
原始日志中的 path 值会分配给 target.file.full_path。 |
pid |
principal.process.pid 或 target.process.pid |
如果 event_name 以“file”或“reg”开头，或者为“process_signal”“network_connection”或“connection_connect”之一，则原始日志中的 pid 值会分配给 principal.process.pid。否则，系统会将其分配给 target.process.pid。 |
pid_path |
principal.process.file.full_path |
原始日志中的 pid_path 值会分配给 principal.process.file.full_path。 |
port_dest |
target.port |
原始日志中的 port_dest 值会转换为整数，并分配给 target.port。 |
port_source |
principal.port |
原始日志中的 port_source 值会转换为整数并分配给 principal.port。 |
ppid |
principal.process.pid |
原始日志中的 ppid 值会分配给 principal.process.pid。 |
principal.ip |
principal.ip |
解析器会根据 ip_source 或 dvc 字段设置 principal.ip 字段。 |
principal.platform |
principal.platform |
解析器会根据 os 或 os_type 字段设置 principal.platform 字段。 |
principal.platform_version |
principal.platform_version |
解析器会根据 os 或 osi_version 字段设置 principal.platform_version 字段。 |
principal.process.command_line |
principal.process.command_line |
解析器会根据 parent_process_cmdline 字段设置 principal.process.command_line 字段。 |
principal.process.file.full_path |
principal.process.file.full_path |
解析器会根据 pid_path、file_path、parent_process_path 或 process_path 字段设置 principal.process.file.full_path 字段。 |
principal.process.file.md5 |
principal.process.file.md5 |
解析器将 file_hash_md5 字段重命名为 principal.process.file.md5。 |
principal.process.file.sha256 |
principal.process.file.sha256 |
解析器会根据 hash、BitdefenderGZMalwareHash 或 file_hash_sha256 字段设置 principal.process.file.sha256 字段。 |
principal.process.parent_process.pid |
principal.process.parent_process.pid |
解析器将 ppid 字段重命名为 principal.process.parent_process.pid。 |
principal.process.pid |
principal.process.pid |
解析器会根据 pid、parent_pid、ppid 或 parent_process_pid 字段设置 principal.process.pid 字段。 |
principal.resource.id |
principal.resource.id |
解析器会根据 hwid 或 source_hwid 字段设置 principal.resource.id 字段。 |
principal.url |
principal.url |
解析器会根据 url 字段设置 principal.url 字段。 |
process_command_line |
target.process.command_line |
原始日志中的 process_command_line 值会分配给 target.process.command_line。 |
process_path |
principal.process.file.full_path 或 target.process.file.full_path |
如果 event_name 为“network_connection”或“connection_connect”，则原始日志中的 process_path 值会分配给 principal.process.file.full_path。否则，系统会将其分配给 target.process.file.full_path。 |
product_installed |
additional.fields.value.string_value |
原始日志中的 product_installed 值会作为值分配给 additional.fields 对象，其中键为“product_installed”。 |
product_version |
metadata.product_version |
原始日志中的 product_version 值会分配给 metadata.product_version。 |
protocol_id |
network.ip_protocol |
如果 protocol_id 为“6”，解析器会将 network.ip_protocol 设置为“TCP”。 |
request |
target.url |
原始日志中的 request 值会分配给 target.url。 |
security_result.action |
security_result.action |
解析器会根据 main_action、actionTaken、status 或 final_status 字段设置 security_result.action 字段。如果这些字段均未提供有效操作，则默认值为“UNKNOWN_ACTION”。 |
security_result.action_details |
security_result.action_details |
解析器会根据 main_action、actionTaken、status 或 final_status 字段设置 security_result.action_details 字段。 |
security_result.category |
security_result.category |
如果 event_name 为“Antiphishing”，解析器会将 security_result.category 字段设置为“PHISHING”；如果 event_name 为“AntiMalware”，解析器会将 字段设置为“SOFTWARE_MALICIOUS”；或者解析器会合并 sec_category 字段中的值。 |
security_result.category_details |
security_result.category_details |
解析器会根据 block_type 或 attack_types 字段设置 security_result.category_details 字段。 |
security_result.detection_fields |
security_result.detection_fields |
解析器会为各种字段创建 security_result.detection_fields 对象，包括“malware_type”“attack_entry”“BitdefenderGZAttCkId”“BitdefenderGZEndpointId”“final_status”“detection attackTechnique”和“computer_name”。 |
security_result.description |
security_result.description |
解析器会根据 main_action、actionTaken 或 final_status 字段设置 security_result.description 字段。 |
security_result.severity |
security_result.severity |
如果 字段不为空且 module 为“new-incident”，解析器会根据 severity 字段的大写值设置 security_result.severity 字段。 |
security_result.severity_details |
security_result.severity_details |
解析器会根据 severity_score 字段设置 security_result.severity_details 字段。 |
security_result.threat_name |
security_result.threat_name |
解析器会根据 malware_name 或 detection_name 字段设置 security_result.threat_name 字段。 |
severity |
security_result.severity |
如果原始日志中的 severity 值不为空，且 module 为“new-incident”，则该值会转换为大写并分配给 security_result.severity。 |
severity_score |
security_result.severity_details |
原始日志中的 severity_score 值会转换为字符串并分配给 security_result.severity_details。 |
source_host |
observer.ip |
原始日志中的 source_host 值会分配给 observer.ip。 |
source_hwid |
principal.resource.id |
原始日志中的 source_hwid 值会分配给 principal.resource.id。 |
source_ip |
src.ip |
原始日志中的 source_ip 值会分配给 src.ip。 |
source_port |
principal.port |
原始日志中的 source_port 值会转换为整数并分配给 principal.port。 |
spt |
principal.port |
原始日志中的 spt 值会分配给 principal.port。 |
sproc |
principal.process.command_line |
原始日志中的 sproc 值会分配给 principal.process.command_line。 |
src |
principal.ip |
原始日志中的 src 值会分配给 principal.ip。 |
src.ip |
src.ip |
解析器会根据 source_ip 字段设置 src.ip 字段。 |
src.file.full_path |
src.file.full_path |
解析器会根据 old_path 字段设置 src.file.full_path 字段。 |
status |
security_result.action_details |
原始日志中的 status 值会分配给 security_result.action_details。系统会根据此值设置 security_result.action 字段（例如，“portscan_blocked”和“uc_site_blocked”会映射到“BLOCK”）。security_result.description 字段也会填充“status: ”，后跟 status 的值。 |
suid |
principal.user.userid |
原始日志中的 suid 值会分配给 principal.user.userid。 |
suser |
principal.user.user_display_name |
原始日志中的 suser 值会分配给 principal.user.user_display_name。 |
target.file.full_path |
target.file.full_path |
解析器会根据 path 或 new_path 字段设置 target.file.full_path 字段。 |
target.hostname |
target.hostname |
解析器会根据 hostname 字段设置 target.hostname 字段。 |
target.ip |
target.ip |
解析器会根据 ip_dest 或 destination_ip 字段设置 target.ip 字段。 |
target.platform |
target.platform |
解析器会根据 principal.platform 字段设置 target.platform 字段。 |
target.platform_version |
target.platform_version |
解析器会根据 principal.platform_version 字段设置 target.platform_version 字段。 |
target.port |
target.port |
解析器会根据 port_dest 或 destination_port 字段设置 target.port 字段。 |
target.process.command_line |
target.process.command_line |
解析器会根据 command_line、process_command_line 或 cmd_line 字段设置 target.process.command_line 字段。 |
target.process.file.full_path |
target.process.file.full_path |
解析器会根据 process_path 字段设置 target.process.file.full_path 字段。 |
target.process.pid |
target.process.pid |
解析器会根据 pid 字段设置 target.process.pid 字段。 |
target.registry.registry_key |
target.registry.registry_key |
解析器会根据 key_path 字段设置 target.registry.registry_key 字段。 |
target.registry.registry_value_data |
target.registry.registry_value_data |
解析器会根据 data 字段设置 target.registry.registry_value_data 字段。 |
target.registry.registry_value_name |
target.registry.registry_value_name |
解析器会根据 value 字段设置 target.registry.registry_value_name 字段。 |
target.resource.id |
target.resource.id |
解析器会根据 hwid 或 BitdefenderGZHwId 字段设置 target.resource.id 字段。 |
target.url |
target.url |
解析器会根据 request 字段设置 target.url 字段。 |
target.user.company_name |
target.user.company_name |
解析器会根据 companyId 字段设置 target.user.company_name 字段。 |
target.user.user_display_name |
target.user.user_display_name |
解析器会根据 user.name 或 user.userName 字段设置 target.user.user_display_name 字段。 |
target.user.userid |
target.user.userid |
解析器会根据 user_name、user、user.id 或 extra_info.user 字段设置 target.user.userid 字段。 |
target_pid |
target.process.pid |
原始日志中的 target_pid 值会分配给 target.process.pid。 |
timestamp |
metadata.event_timestamp |
系统会解析原始日志中的 timestamp 值，并将其分配给 metadata.event_timestamp。 |
uc_type |
network.application_protocol |
原始日志中 uc_type 的值会转换为大写，并分配给 network.application_protocol。如果 target_user_userid 不为空，则将 metadata.event_type 设置为“USER_UNCATEGORIZED”。否则，该值将设置为“STATUS_UPDATE”。 |
url |
principal.url |
如果原始日志中的 url 值不为空或“0.0.0.0”，则该值会分配给 principal.url。 |
user |
target.user.userid |
原始日志中的 user 值会分配给 target.user.userid。 |
user.id |
target.user.userid |
原始日志中的 user.id 值会分配给 target.user.userid。 |
user.name |
target.user.user_display_name |
原始日志中的 user.name 值会分配给 target.user.user_display_name。 |
user.userName |
target.user.user_display_name |
原始日志中的 user.userName 值会分配给 target.user.user_display_name。 |
user.userSid |
principal.user.windows_sid |
原始日志中的 user.userSid 值会分配给 principal.user.windows_sid。 |
user_name |
target.user.userid |
原始日志中的 user_name 值会分配给 target.user.userid。 |
value |
target.registry.registry_value_data 或 target.registry.registry_value_name |
如果 event_name 为“reg_delete_value”，则将原始日志中的 value 值分配给 target.registry.registry_value_data。否则，系统会将其分配给 target.registry.registry_value_name。 |
machine_name |
event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 |
从更新日志映射 |
os_family |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
os_version |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
os_platform |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
container_id |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
user_sid |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
integrity |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
integrity_sz |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
elevation |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
elevation_sz |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
parent_integrity |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
parent_integrity_sz |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
parent_elevation |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
parent_elevation_sz |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
ring |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
event_version |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
company_id |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
ctc_version |
event.idm.read_only_udm.additional.fields |
从更新日志映射 |
hardware_id |
event.idm.read_only_udm.principal.asset.product_object_id |
从更新日志映射 |
parent_pid |
event.idm.read_only_udm.principal.process.pid |
从更新日志映射 |
parent_cmdline |
event.idm.read_only_udm.principal.process.command_line |
从更新日志映射 |
parent_user_name |
event.idm.read_only_udm.principal.user.userid |
从更新日志映射 |
cmdline |
event.idm.read_only_udm.target.process.command_line |
从更新日志映射 |
user_name |
event.idm.read_only_udm.target.user.userid |
从更新日志映射 |
process_sha |
event.idm.read_only_udm.target.process.file.sha256 |
从更新日志映射 |
process_md5 |
event.idm.read_only_udm.target.process.file.md5 |
从更新日志映射 |
mitre_ids |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
dvc |
event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 |
从更新日志映射 |
fileHash |
event.idm.read_only_udm.target.file.md5 |
从更新日志映射 |
BitdefenderGZFileHashSha256 |
event.idm.read_only_udm.target.file.sha256 |
从更新日志映射 |
fname |
event.idm.read_only_udm.target.file.names |
从更新日志映射 |
BitdefenderGZAttackTypes |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZOldHwid |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZNewHwid |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZIncidentId |
event.idm.read_only_udm.security_result.rule_id |
从更新日志映射 |
start |
event.idm.read_only_udm.security_result.first_discovered_time |
从更新日志映射 |
BitdefenderGZAttackType |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZDetectionLevel |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZFilelessAttack |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
severity |
event.idm.read_only_udm.security_result.severity_details |
从更新日志映射 |
BitdefenderGZEventSourceIP |
event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 |
从更新日志映射 |
BitdefenderGZFwProtocolId |
event.idm.read_only_udm.network.ip_protocol |
从更新日志映射 |
cnt |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZMalwareHash |
event.idm.read_only_udm.target.file.sha256 |
从更新日志映射 |
BitdefenderGZMalwareType |
event.idm.read_only_udm.security_result.threat_name |
从更新日志映射 |
BitdefenderGZMalwareName |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZParentPid |
event.idm.read_only_udm.target.process.parent_process.pid |
从更新日志映射 |
BitdefenderGZParentPath |
event.idm.read_only_udm.target.process.parent_process.file.full_path |
从更新日志映射 |
suser |
event.idm.read_only_udm.principal.user.userid |
从更新日志映射 |
suid |
event.idm.read_only_udm.principal.user.windows_sid |
从更新日志映射 |
BitdefenderGZDetectionName |
event.idm.read_only_udm.security_result.threat_name |
从更新日志映射 |
BitdefenderGZProcessCommandLine |
event.idm.read_only_udm.target.process.command_line |
从更新日志映射 |
BitdefenderGZDetectionAttackTechnique |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZDetectionAttackerIp |
event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 |
从更新日志映射 |
BitdefenderGZDetectionVictimIp |
event.idm.read_only_udm.target.ip和event.idm.read_only_udm.target.asset.ip之间 |
从更新日志映射 |
BitdefenderGZDetectionLocalPort |
event.idm.read_only_udm.target.port |
从更新日志映射 |
BitdefenderGZEmailSender |
event.idm.read_only_udm.principal.user.email_addresses |
从更新日志映射 |
duser |
event.idm.read_only_udm.target.user.userid |
从更新日志映射 |
BitdefenderGZEmailSubject |
event.idm.read_only_udm.network.email.subject |
从更新日志映射 |
BitdefenderGZEventType |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZDetectionTechnique |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZDriverPath |
event.idm.read_only_udm.target.file.full_path |
从更新日志映射 |
BitdefenderGZParentProcess |
event.idm.read_only_udm.target.process.parent_process.pid |
从更新日志映射 |
BitdefenderGZParentProcessPath |
event.idm.read_only_udm.target.process.parent_process.file.full_path |
从更新日志映射 |
BitdefenderGZDetectionCommandLine |
event.idm.read_only_udm.target.process.command_line |
从更新日志映射 |
BitdefenderGZDetectionTime |
event.idm.read_only_udm.security_result.first_seen_timestamp |
从更新日志映射 |
BitdefenderGZSignaturesNumber |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZTaskScanType |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZScanEngineType |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZCleanedMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZBlockedMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZDeletedMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZQuarantinedMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZIgnoredMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZPresentMalwareCnt |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZModule |
event.idm.read_only_udm.metadata.product_event_type |
从更新日志映射 |
BitdefenderGZCompanyId |
event.idm.read_only_udm.target.user.company_name |
从更新日志映射 |
dvchost |
event.idm.read_only_udm.about.hostname |
从更新日志映射 |
BitdefenderGZMalwareName |
event.idm.read_only_udm.security_result.threat_name |
从更新日志映射 |
BitdefenderGZComputerFQDN |
event.idm.read_only_udm.principal.asset.network_domain |
从更新日志映射 |
BitdefenderGZMalwareHash |
event.idm.read_only_udm.principal.process.file.sha256 |
从更新日志映射 |
BitdefenderGZHwId |
event.idm.read_only_udm.target.resource.id |
从更新日志映射 |
event_name |
event.idm.read_only_udm.security_result.category |
从更新日志映射 |
reason |
event.idm.read_only_udm.security_result.summary |
从更新日志映射 |
dvc |
event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 |
从更新日志映射 |
dvc |
event.idm.read_only_udm.about.ip |
从更新日志映射 |
src |
event.idm.read_only_udm.principal.ip和event.idm.read_only_udm.principal.asset.ip之间 |
从更新日志映射 |
deviceExternalId |
event.idm.read_only_udm.about.asset.asset_id |
从更新日志映射 |
request |
event.idm.read_only_udm.target.url |
从更新日志映射 |
BitdefenderGZSeverityScore |
event.idm.read_only_udm.security_result.severity_details |
从更新日志映射 |
BitdefenderGZMalwareType |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZAttCkId |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
BitdefenderGZEndpointId |
event.idm.read_only_udm.security_result.detection_fields |
从更新日志映射 |
sproc |
event.idm.read_only_udm.principal.process.command_line |
从更新日志映射 |
suid |
event.idm.read_only_udm.principal.user.userid |
从更新日志映射 |
severity |
event.idm.read_only_udm.security_result.severity |
从更新日志映射 |
BitdefenderGZMainAction |
event.idm.read_only_udm.security_result.action |
从更新日志映射 |
BitdefenderGZMainAction |
event.idm.read_only_udm.security_result.action_details |
从更新日志映射 |
BitdefenderGZMainAction |
event.idm.read_only_udm.security_result.description |
从更新日志映射 |
actionTaken |
event.idm.read_only_udm.security_result.action |
从更新日志映射 |
actionTaken |
event.idm.read_only_udm.security_result.action_details |
从更新日志映射 |
actionTaken |
event.idm.read_only_udm.security_result.description |
从更新日志映射 |
final_status |
event.idm.read_only_udm.security_result.action |
从更新日志映射 |
final_status |
event.idm.read_only_udm.security_result.action_details |
从更新日志映射 |
final_status |
event.idm.read_only_udm.security_result.description |
从更新日志映射 |
status |
event.idm.read_only_udm.security_result.action |
从更新日志映射 |
status |
event.idm.read_only_udm.security_result.action_details |
从更新日志映射 |
status |
event.idm.read_only_udm.security_result.description |
从更新日志映射 |
dhost |
event.idm.read_only_udm.target.hostname和event.idm.read_only_udm.target.asset.hostname之间 |
从更新日志映射 |
suser |
event.idm.read_only_udm.principal.user.user_display_name |
从更新日志映射 |
act |
event.idm.read_only_udm.security_result.action_details |
从更新日志映射 |
msg |
event.idm.read_only_udm.metadata.description |
从更新日志映射 |
start |
event.idm.read_only_udm.metadata.event_timestamp |
从更新日志映射 |
filePath |
event.idm.read_only_udm.about.file.full_path |
从更新日志映射 |
device_version |
event.idm.read_only_udm.metadata.product_version |
从更新日志映射 |
security_result.action |
QUARANTINE |
从更新日志映射 |
security_result.action |
ALLOW_WITH_MODIFICATION |
从更新日志映射 |