« Azure 模块 Check Point 模块 »
Elastic 文档 ›Filebeat 参考 [8.16] ›模块

CEF 模块

编辑

CEF 模块

编辑

更倾向于为此用例使用 Elastic Agent？

请参考 Elastic 集成文档。

了解更多

Elastic Agent 是一种单一、统一的方式，用于将日志、指标和其他类型数据的监控添加到主机。它还可以保护主机免受安全威胁，查询操作系统数据，转发来自远程服务或硬件的数据等等。请参考文档以了解 Beats 和 Elastic Agent 的详细比较。

这是一个用于通过 Syslog 接收通用事件格式 (CEF) 数据的模块。当通过 syslog 协议接收消息时，syslog 输入将解析标头并设置时间戳值。然后应用 decode_cef 处理器来解析 CEF 编码的数据。解码后的数据将写入 cef 对象字段。最后，将使用 CEF 数据填充任何可以填充的 Elastic 通用架构 (ECS) 字段。

阅读 快速入门，了解如何配置和运行模块。

配置模块

编辑

您可以通过在 modules.d/cef.yml 文件中指定 变量设置 或在命令行中覆盖设置来进一步优化 cef 模块的行为。

您必须在模块中启用至少一个文件集。文件集默认情况下处于禁用状态。

变量设置

编辑

每个文件集都有单独的变量设置，用于配置模块的行为。如果您未指定变量设置，则 cef 模块将使用默认值。

对于高级用例，您还可以覆盖输入设置。请参见 覆盖输入设置。

在命令行中指定设置时，请记住在设置前加上模块名称前缀，例如 cef.log.var.paths 而不是 log.var.paths。

log 文件集设置

编辑
var.syslog_host
用于监听基于 UDP 的 syslog 流量的接口。默认为 localhost。设置为 0.0.0.0 以绑定到所有可用接口。
var.syslog_port
用于监听 syslog 流量的 UDP 端口。默认为 9003

小于 1024 的端口需要 Filebeat 以 root 身份运行。

var.tags
要在事件中包含的标签列表。包含 forwarded 表示事件并非源自此主机，并且不会将 host.name 添加到事件中。默认为 [cef, forwarded]。
var.timezone
IANA 时区名称（例如 America/New_York）或固定时间偏移量（例如 +0200），用于解析不包含时区的 CEF 消息中的时间。Local 可用于使用机器的本地时区。默认为 UTC。

Forcepoint NGFW 安全管理中心

编辑

此模块将处理来自 Forcepoint NGFW 安全管理中心 (SMC) 的 CEF 数据。在 SMC 中，将日志配置为转发到 var.syslog_host 中设置的地址，格式为 CEF，并在 var.syslog_port 上使用 UDP 服务。有关配置 SMC 的说明，请参见 KB 15002。测试使用的是来自 SMC 版本 6.6.1 的 CEF 日志，自定义字符串映射来自 2011 年 12 月 5 日的《CEF 连接器配置指南》。

Check Point 设备

编辑

此模块将解析来自 Check Point 设备的 CEF 数据，如 日志导出器 CEF 字段映射 中所述。

Check Point CEF 扩展映射如下：

CEF 扩展 CEF 标签值 ECS 字段 非 ECS 字段

cp_app_risk

-

event.risk_score

checkpoint.app_risk

cp_severity

-

event.severity

checkpoint.severity

baseEventCount

-

-

checkpoint.event_count

deviceExternalId

-

observer.type

-

deviceFacility

-

observer.type

-

deviceInboundInterface

-

observer.ingress.interface.name

-

deviceOutboundInterface

-

observer.egress.interface.name

-

externalId

-

-

checkpoint.uuid

fileHash

-

file.hash.{md5,sha1}

-

reason

-

-

checkpoint.termination_reason

requestCookies

-

-

checkpoint.cookie

sourceNtDomain

-

dns.question.name

-

Signature

-

vulnerability.id

-

Recipient

-

destination.user.email

-

Sender

-

source.user.email

-

deviceCustomFloatingPoint1

update version

observer.version

-

deviceCustomIPv6Address2

source ipv6 address

source.ip

-

deviceCustomIPv6Address3

destination ipv6 address

destination.ip

-

deviceCustomNumber1

elapsed time in seconds

event.duration

-

email recipients number

-

checkpoint.email_recipients_num

payload

network.bytes

-

deviceCustomNumber2

icmp type

-

checkpoint.icmp_type

duration in seconds

event.duration

-

deviceCustomNumber3

icmp code

-

checkpoint.icmp_code

deviceCustomString1

connectivity state

-

checkpoint.connectivity_state

application rule name

rule.name

-

threat prevention rule name

rule.name

-

voip log type

-

checkpoint.voip_log_type

dlp rule name

rule.name

-

email id

-

checkpoint.email_id

deviceCustomString2

category

-

checkpoint.category

email subject

-

checkpoint.email_subject

sensor mode

-

checkpoint.sensor_mode

protection id

-

checkpoint.protection_id

scan invoke type

-

checkpoint.integrity_av_invoke_type

update status

-

checkpoint.update_status

peer gateway

-

checkpoint.peer_gateway

categories

rule.category

-

deviceCustomString6

application name

network.application

-

virus name

-

checkpoint.virus_name

malware name

-

checkpoint.spyware_name

malware family

-

checkpoint.malware_family

deviceCustomString3

user group

group.name

-

incident extension

-

checkpoint.incident_extension

protection type

-

checkpoint.protection_type

email spool id

-

checkpoint.email_spool_id

identity type

-

checkpoint.identity_type

deviceCustomString4

malware status

-

checkpoint.spyware_status

threat prevention rule id

rule.id

-

scan result

-

checkpoint.scan_result

tcp flags

-

checkpoint.tcp_flags

destination os

os.name

-

protection name

-

checkpoint.protection_name

email control

-

checkpoint.email_control

frequency

-

checkpoint.frequency

user response

-

checkpoint.user_status

deviceCustomString5

matched category

rule.category

-

vlan id

network.vlan.id

-

authentication method

-

checkpoint.auth_method

email session id

-

checkpoint.email_session_id

deviceCustomDate2

subscription expiration

-

checkpoint.subs_exp

deviceFlexNumber1

confidence

-

checkpoint.confidence_level

deviceFlexNumber2

performance impact

-

checkpoint.performance_impact

destination phone number

-

checkpoint.dst_phone_number

flexString1

application signature id

-

checkpoint.app_sig_id

flexString2

malware action

rule.description

-

attack information

event.action

-

rule_uid

-

rule.uuid

-

ifname

-

observer.ingress.interface.name

-

inzone

-

observer.ingress.zone

-

outzone

-

observer.egress.zone

-

product

-

observer.product

-

字段

编辑

有关模块中每个字段的描述，请参见 导出字段 部分。

« Azure 模块 Check Point 模块 »