|
|
Экспорт журналов в формате CEF
ID статьи: 475
Последнее обновление: 30 янв, 2024
Documentation: Product: LogAn Version: 7.0.1
Формат журнала событий
|
Тип поля
|
Название поля
|
Описание
|
Пример значения
|
|
CEF заголовок
|
CEF:Version
|
Версия CEF.
|
CEF:0
|
|
Device Vendor
|
Производитель продукта.
|
UserGate
|
|
Device Product
|
Тип продукта.
|
NGFW
|
|
Device Version
|
Версия продукта.
|
7
|
|
Source
|
Тип журнала.
|
events
|
|
Origin
|
Модуль, в котором произошло событие.
|
admin_console
|
|
Severity
|
Важность события.
|
Может принимать значения:
-
1 — информационные;
-
4 — предупреждения;
-
7 — ошибки;
-
10 — критичные.
|
|
CEF [расширение]
|
rt
|
Время, когда было получено событие: миллисекунды с 1 января 1970 года.
|
1652344423822
|
|
deviceExternalId
|
Имя, которое однозначно идентифицирует устройство, генерирующее это событие.
|
utmcore@ersthetatica
|
|
suser
|
Имя пользователя.
|
Admin
|
|
cat
|
Компонент, в котором произошло событие.
|
console_auth
|
|
act
|
Тип события.
|
login_successful
|
|
src
|
IPv4-адрес источника.
|
192.168.117.254
|
|
cs1Label
|
Поле используется для указания деталей события.
|
Attributes
|
|
cs1
|
Детали события в формате JSON.
|
{"name":"MIME_BUILTIN_COMPOSITE","module":"nlist_import"}
|
Формат журнала веб-доступа
|
Тип поля
|
Название поля
|
Описание
|
Пример значения
|
|
CEF заголовок
|
CEF:Version
|
Версия CEF.
|
CEF:0
|
|
Device Vendor
|
Производитель продукта.
|
UserGate
|
|
Device Product
|
Тип продукта.
|
NGFW
|
|
Device Version
|
Версия продукта.
|
7
|
|
Source
|
Название журнала.
|
webaccess
|
|
Name
|
Тип источника.
|
log
|
|
Threat Level
|
Уровень угрозы категории URL.
|
Может принимать значения 2, 4, 6, 8, 10 (установленный уровень угрозы, умноженный на 2); Unknown, если категория не определена.
|
|
CEF [расширение]
|
rt
|
Время, когда было получено событие: миллисекунды с 1 января 1970 года.
|
1652344423822
|
|
deviceExternalId
|
Имя, которое однозначно идентифицирует устройство, генерирующее это событие.
|
utmcore@ersthetatica
|
|
act
|
Действие, принятое устройством в соответствии с настроенными политиками.
|
captive
|
|
reason
|
Причина, по которой было создано событие, например, причина блокировки сайта.
|
{"id":39,"name":"Social Networking","threat_level":3}
|
|
suser
|
Имя пользователя.
|
user_example (Unknown, если пользователь неизвестен)
|
|
cs1Label
|
Поле используется для указания срабатывания правила.
|
Rule
|
|
cs1
|
Название правила, срабатывание которого вызвало событие.
|
Default Allow
|
|
src
|
IPv4 источника трафика.
|
10.10.10.10
|
|
spt
|
Порт источника.
|
Может принимать значения от 0 до 65535.
|
|
cs2Label
|
Поле используется для индикации зоны источника.
|
Source Zone
|
|
cs2
|
Название зоны источника.
|
Trusted
|
|
cs3Label
|
Поле используется для указания страны источника.
|
Source Country
|
|
cs3
|
Название страны источника.
|
RU (отображается двухбуквенный код страны)
|
|
dst
|
IPv4 адрес назначения трафика.
|
194.226.127.130
|
|
dpt
|
Порт назначения.
|
Может принимать значения от 0 до 65535.
|
|
cs4Label
|
Поле используется для индикации зоны назначения.
|
Destination Zone
|
|
cs4
|
Название зоны назначения.
|
Untrusted
|
|
cs5Label
|
Поле используется для указания страны назначения.
|
Destination Country
|
|
cs5
|
Название страны назначения.
|
RU (отображается двухбуквенный код страны)
|
|
cs6Label
|
Поле указывает было ли содержимое расшифровано.
|
Decrypted
|
|
cs6
|
Расшифровано или нет.
|
true, false
|
|
app
|
Протокол прикладного уровня и его версия.
|
HTTP/1.1
|
|
requestMethod
|
Метод, используемый для доступа к URL-адресу (POST, GET и т.п.).
|
GET
|
|
request
|
В случае HTTP-запроса поле содержит URL-адрес запрашиваемого ресурса с указанием используемого протокола.
|
http://www.secure.com
|
|
requestContext
|
URL источника запроса (реферер HTTP).
|
https://www.google.com/
|
|
requestClientApplication
|
Useragent пользовательского браузера.
|
Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:96.0) Gecko/20100101 Firefox/96.0
|
|
cn3Label
|
Поле указывает исходный ответ сервера.
|
Response
|
|
cn3
|
Код ответа HTTP.
|
302
|
|
flexString1Label
|
Поле указывает на тип контента.
|
Media type
|
|
flexString1
|
Тип контента.
|
text/html
|
|
flexString2Label
|
Поле указывает на категорию запрашиваемого URL-адреса.
|
URL Categories
|
|
flexString2
|
Категория URL.
|
Computers & Technology
|
|
in
|
Количество переданных входящих байтов; данные передаются в направлении источник — назначение.
|
231
|
|
out
|
Количество переданных исходящих байтов; данные передаются в направлении назначение — источник.
|
40
|
|
cn1Label
|
Поле используется для указания количества переданных пакетов в направлении источник — назначение.
|
Packets sent
|
|
cn1
|
Количество переданных пакетов в направлении источник — назначение.
|
3
|
|
cn2Label
|
Поле используется для указания количества переданных пакетов в направлении назначение — источник.
|
Packets received
|
|
cn2
|
Количество переданных пакетов в направлении назначение — источник.
|
1
|
Формат журнала трафика
|
Тип поля
|
Название поля
|
Описание
|
Пример значения
|
|
CEF заголовок
|
CEF:Version
|
Версия CEF.
|
CEF:0
|
|
Device Vendor
|
Производитель продукта.
|
UserGate
|
|
Device Product
|
Тип продукта.
|
NGFW
|
|
Device Version
|
Версия продукта.
|
7
|
|
Source
|
Тип журнала.
|
traffic
|
|
Rule Type
|
Тип правила, срабатывание которого вызвало событие.
|
firewall
|
|
Threat Level
|
Уровень угрозы приложения.
|
Может принимать значения от 1 (если приложения нет) до 10 (указанный уровень угрозы, умноженный на 2).
|
|
CEF [расширение]
|
rt
|
Время, когда было получено событие: миллисекунды с 1 января 1970 года.
|
1652344423822
|
|
deviceExternalId
|
Имя, которое однозначно идентифицирует устройство, генерирующее это событие.
|
utmcore@ersthetatica
|
|
suser
|
Имя пользователя.
|
user_example (Unknown, если пользователь неизвестен)
|
|
act
|
Действие, принятое устройством в соответствии с настроенными политиками.
|
accept
|
|
cs1Label
|
Поле используется для указания срабатывания правила.
|
Rule
|
|
cs1
|
Название правила, срабатывание которого вызвало событие.
|
Allow trusted to untrusted
|
|
src
|
IPv4 источника трафика.
|
10.10.10.10
|
|
spt
|
Порт источника.
|
Может принимать значения от 0 до 65535.
|
|
cs2Label
|
Поле используется для индикации зоны источника.
|
Source Zone
|
|
cs2
|
Название зоны источника.
|
Trusted
|
|
cs3Label
|
Поле используется для указания страны источника.
|
Source Country
|
|
cs3
|
Название страны источника.
|
RU (отображается двухбуквенный код страны)
|
|
proto
|
Используемый протокол 4-го уровня.
|
TCP или UDP
|
|
dst
|
IPv4 адрес назначения трафика.
|
194.226.127.130
|
|
dpt
|
Порт назначения.
|
Может принимать значения от 0 до 65535.
|
|
cs4Label
|
Поле используется для индикации зоны назначения.
|
Destination Zone
|
|
cs4
|
Название зоны назначения.
|
Untrusted
|
|
cs5Label
|
Поле используется для указания страны назначения.
|
Destination Country
|
|
cs5
|
Название страны назначения.
|
RU (отображается двухбуквенный код страны)
|
|
sourceTranslatedAddress
|
Адрес источника после переназначения (если настроены правила NAT).
|
192.168.174.134 (0.0.0.0 — если нет)
|
|
sourceTranslatedPort
|
Порт источника после переназначения (если настроены правила NAT).
|
Может принимать значения от 0 до 65535 (0 — если нет)
|
|
destinationTranslatedAddress
|
Адрес назначения после переназначения (если настроены правила NAT).
|
192.226.127.130 (0.0.0.0 — если нет)
|
|
destinationTranslatedPort
|
Порт назначения после переназначения (если настроены правила NAT).
|
Может принимать значения от 0 до 65535 (0 — если нет)
|
|
in
|
Количество переданных входящих байтов; данные передаются в направлении источник — назначение.
|
231
|
|
out
|
Количество переданных исходящих байтов; данные передаются в направлении назначение — источник.
|
40
|
|
cn1Label
|
Поле используется для указания количества переданных пакетов в направлении источник — назначение.
|
Packets sent
|
|
cn1
|
Количество переданных пакетов в направлении источник — назначение.
|
3
|
|
cn2Label
|
Поле используется для указания количества пакетов, переданных в направлении назначение — источник.
|
Packets received
|
|
cn2
|
Количество пакетов, переданных в направлении назначение — источник.
|
1
|
Формат журнала СОВ
|
Тип поля
|
Название поля
|
Описание
|
Пример значения
|
|
CEF заголовок
|
CEF:Version
|
Версия CEF.
|
CEF:0
|
|
Device Vendor
|
Производитель продукта.
|
UserGate
|
|
Device Product
|
Тип продукта.
|
NGFW
|
|
Device Version
|
Версия продукта.
|
7
|
|
Source
|
Тип журнала.
|
idps
|
|
Signature
|
Название сработавшей сигнатуры СОВ.
|
BlackSun Test
|
|
Threat Level
|
Уровень угрозы сигнатуры.
|
Может принимать значения от 2 до 10 (указанный уровень угрозы, умноженный на 2).
|
|
CEF [расширение]
|
rt
|
Время, когда было получено событие: миллисекунды с 1 января 1970 года.
|
1652344423822
|
|
deviceExternalId
|
Имя, которое однозначно идентифицирует устройство, генерирующее это событие.
|
utmcore@ersthetatica
|
|
suser
|
Имя пользователя.
|
user_example (Unknown, если пользователь неизвестен)
|
|
act
|
Действие, принятое устройством в соответствии с настроенными политиками.
|
accept
|
|
cs1Label
|
Поле используется для указания срабатывания правила.
|
Rule
|
|
cs1
|
Название правила, срабатывание которого вызвало событие.
|
IDPS Rule Example
|
|
msg
|
Уровень угрозы сигнатуры и её название.
|
[2] BlackSun
|
|
app
|
Протокол прикладного уровня.
|
HTTP
|
|
proto
|
Используемый протокол 4-го уровня.
|
TCP или UDP
|
|
src
|
IPv4 источника трафика.
|
10.10.10.10
|
|
spt
|
Порт источника.
|
Может принимать значения от 0 до 65535.
|
|
cs2Label
|
Поле используется для индикации зоны источника.
|
Source Zone
|
|
cs2
|
Название зоны источника.
|
Trusted
|
|
cs3Label
|
Поле используется для указания страны источника.
|
Source Country
|
|
cs3
|
Название страны источника.
|
RU (отображается двухбуквенный код страны)
|
|
dst
|
IPv4 адрес назначения трафика.
|
194.226.127.130
|
|
dpt
|
Порт назначения.
|
Может принимать значения от 0 до 65535.
|
|
cs4Label
|
Поле используется для индикации зоны назначения.
|
Destination Zone
|
|
cs4
|
Название зоны назначения.
|
Untrusted
|
|
cs5Label
|
Поле используется для указания страны назначения.
|
Destination Country
|
|
cs5
|
Название страны назначения.
|
RU (отображается двухбуквенный код страны)
|
|
in
|
Количество переданных входящих байтов; данные передаются в направлении источник — назначение.
|
231
|
|
out
|
Количество переданных исходящих байтов; данные передаются в направлении назначение — источник.
|
40
|
Формат журнала АСУ ТП
|
Тип поля
|
Название поля
|
Описание
|
Пример значения
|
|
CEF заголовок
|
CEF:Version
|
Версия CEF.
|
CEF:0
|
|
Device Vendor
|
Производитель продукта.
|
UserGate
|
|
Device Product
|
Тип продукта.
|
NGFW
|
|
Device Version
|
Версия продукта.
|
7
|
|
Source
|
Название журнала.
|
scada
|
|
Name
|
Тип источника.
|
log
|
|
PDU Severity
|
Критичность АСУ ТП.
|
Может принимать значения:
-
1 — очень низкий.
-
2 — низкий.
-
3 — средний.
-
4 — высокий.
-
5 — очень высокий.
|
|
CEF [расширение]
|
rt
|
Время, когда было получено событие: миллисекунды с 1 января 1970 года.
|
1652344423822
|
|
deviceExternalId
|
Имя, которое однозначно идентифицирует устройство, генерирующее это событие.
|
utmcore@ersthetatica
|
|
act
|
Действие, принятое устройством в соответствии с настроенными политиками.
|
accept
|
|
cs1Label
|
Поле используется для указания срабатывания правила.
|
Rule
|
|
cs1
|
Название правила, срабатывание которого вызвало событие.
|
Scada Rule Example
|
|
src
|
IPv4 источника трафика.
|
10.10.10.10
|
|
spt
|
Порт источника.
|
Может принимать значения от 0 до 65535.
|
|
cs2Label
|
Поле используется для индикации зоны источника.
|
Source Zone
|
|
cs2
|
Название зоны источника.
|
Trusted
|
|
cs3Label
|
Поле используется для указания страны источника.
|
Source Country
|
|
cs3
|
Название страны источника.
|
RU (отображается двухбуквенный код страны)
|
|
dst
|
IPv4 адрес назначения трафика.
|
194.226.127.130
|
|
dpt
|
Порт назначения.
|
Может принимать значения от 0 до 65535.
|
|
cs4Label
|
Поле используется для индикации зоны назначения.
|
Destination Zone
|
|
cs4
|
Название зоны назначения.
|
Untrusted
|
|
cs5Label
|
Поле используется для указания страны назначения.
|
Destination Country
|
|
cs5
|
Название страны назначения.
|
RU (отображается двухбуквенный код страны)
|
|
app
|
Протокол прикладного уровня.
|
Modbus
|
|
cs6Label
|
Поле указывает на информацию об устройстве.
|
PDU Details
|
|
cs6
|
Информация об устройстве в формате JSON.
|
{"protocol":"modbus","pdu_severity":0,"pdu_func":"3","pdu_address":0, "mb_value":0,"mb_quantity":0,"mb_payload":"AAIAAA==", "mb_message":"response","mb_addr":0}
|
Формат журнала инспектирования SSH
|
Тип поля
|
Название поля
|
Описание
|
Пример значения
|
|
CEF заголовок
|
CEF:Version
|
Версия CEF.
|
CEF:0
|
|
Device Vendor
|
Производитель продукта.
|
UserGate
|
|
Device Product
|
Тип продукта.
|
NGFW
|
|
Device Version
|
Версия продукта.
|
7
|
|
Source
|
Название журнала.
|
ssh
|
|
Name
|
Тип источника.
|
log
|
|
Threat Level
|
Уровень угрозы приложения.
|
Может принимать значения от 1 (если приложения нет) до 10 (указанный уровень угрозы, умноженный на 2).
|
|
CEF [расширение]
|
rt
|
Время, когда было получено событие: миллисекунды с 1 января 1970 года.
|
1652344423822
|
|
deviceExternalId
|
Имя, которое однозначно идентифицирует устройство, генерирующее это событие.
|
utmcore@ersthetatica
|
|
act
|
Действие, принятое устройством в соответствии с настроенными политиками.
|
accept
|
|
app
|
Протокол прикладного уровня.
|
SSH или SFTP
|
|
suser
|
Имя пользователя.
|
user_example (Unknown, если пользователь неизвестен)
|
|
cs1Label
|
Поле используется для указания срабатывания правила.
|
Rule
|
|
cs1
|
Название правила, срабатывание которого вызвало событие.
|
SSH inspection rule
|
|
src
|
IPv4 источника трафика.
|
10.10.10.10
|
|
spt
|
Порт источника.
|
Может принимать значения от 0 до 65535.
|
|
smac
|
MAC-адрес источника.
|
FA:16:3E:65:1C:B4
|
|
cs2Label
|
Поле используется для индикации зоны источника.
|
Source Zone
|
|
cs2
|
Название зоны источника.
|
Trusted
|
|
cs3Label
|
Поле используется для указания страны источника.
|
Source Country
|
|
cs3
|
Название страны источника.
|
RU (отображается двухбуквенный код страны)
|
|
dst
|
IPv4 адрес назначения трафика.
|
194.226.127.130
|
|
dpt
|
Порт назначения.
|
Может принимать значения от 0 до 65535.
|
|
cs4Label
|
Поле используется для индикации зоны назначения.
|
Destination Zone
|
|
cs4
|
Название зоны назначения.
|
Untrusted
|
|
cs5Label
|
Поле используется для указания страны назначения.
|
Destination Country
|
|
cs5
|
Название страны назначения.
|
RU (отображается двухбуквенный код страны)
|
|
cs6Label
|
Указание на команду, передаваемую по SSH.
|
Command
|
|
cs6
|
Команда, передаваемая по SSH, в формате JSON.
|
whoami
|
ID статьи: 475
Последнее обновление: 30 янв, 2024
Ревизия: 6
Просмотры: 5015
Комментарии: 0
Теги
|
