CEF 模块
编辑CEF 模块
编辑这是一个通过 Syslog 接收通用事件格式 (CEF) 数据的模块。当通过 syslog 协议接收消息时，syslog 输入将解析头部并设置时间戳值。然后，应用 decode_cef 处理器来解析 CEF 编码的数据。解码后的数据被写入 cef 对象字段。最后，任何可以使用 CEF 数据填充的 Elastic Common Schema (ECS) 字段都会被填充。
请阅读快速入门，了解如何配置和运行模块。
配置模块
编辑您可以通过在 modules.d/cef.yml 文件中指定 变量设置，或在命令行中覆盖设置来进一步细化 cef 模块的行为。
您必须在模块中启用至少一个文件集。文件集默认处于禁用状态。
变量设置
编辑每个文件集都有单独的变量设置，用于配置模块的行为。如果您不指定变量设置，cef 模块将使用默认值。
对于高级用例，您还可以覆盖输入设置。请参阅覆盖输入设置。
在命令行中指定设置时，请记住在设置前加上模块名称，例如，cef.log.var.paths 而不是 log.var.paths。
log 文件集设置
编辑-
var.syslog_host - 用于监听基于 UDP 的 syslog 流量的接口。默认为
localhost。设置为0.0.0.0以绑定到所有可用的接口。 -
var.syslog_port - 用于监听 syslog 流量的 UDP 端口。默认为
9003
1024 以下的端口需要 Filebeat 以 root 身份运行。
-
var.tags - 要包含在事件中的标签列表。包括
forwarded表示事件并非源自此主机，并导致host.name不会被添加到事件中。默认为[cef, forwarded]。 -
var.timezone - 当从不包含时区的 CEF 消息中解析时间时，要使用的 IANA 时区名称（例如，
America/New_York）或固定时间偏移量（例如，+0200）。可以指定Local以使用机器的本地时区。默认为UTC。
Forcepoint NGFW 安全管理中心
编辑此模块将处理来自 Forcepoint NGFW 安全管理中心 (SMC) 的 CEF 数据。在 SMC 中，将日志配置为以 CEF 格式通过 UDP 服务转发到 var.syslog_host 中设置的地址，并在 var.syslog_port 上运行。有关配置 SMC 的说明，请参阅 KB 15002。测试是使用来自 SMC 6.6.1 版本的 CEF 日志进行的，自定义字符串映射取自 2011 年 12 月 5 日的 *CEF 连接器配置指南*。
Check Point 设备
编辑此模块将按照 日志导出器 CEF 字段映射中的说明解析来自 Check Point 设备的 CEF 数据。
Check Point CEF 扩展的映射如下所示
| CEF 扩展 | CEF 标签值 | ECS 字段 | 非 ECS 字段 | |
|---|---|---|---|---|
cp_app_risk |
- |
event.risk_score |
checkpoint.app_risk |
|
cp_severity |
- |
event.severity |
checkpoint.severity |
|
baseEventCount |
- |
- |
checkpoint.event_count |
|
deviceExternalId |
- |
observer.type |
- |
|
deviceFacility |
- |
observer.type |
- |
|
deviceInboundInterface |
- |
observer.ingress.interface.name |
- |
|
deviceOutboundInterface |
- |
observer.egress.interface.name |
- |
|
externalId |
- |
- |
checkpoint.uuid |
|
fileHash |
- |
file.hash.{md5,sha1} |
- |
|
reason |
- |
- |
checkpoint.termination_reason |
|
requestCookies |
- |
- |
checkpoint.cookie |
|
sourceNtDomain |
- |
dns.question.name |
- |
|
Signature |
- |
vulnerability.id |
- |
|
Recipient |
- |
destination.user.email |
- |
|
Sender |
- |
source.user.email |
- |
|
deviceCustomFloatingPoint1 |
更新版本 |
observer.version |
- |
|
deviceCustomIPv6Address2 |
源 IPv6 地址 |
source.ip |
- |
|
deviceCustomIPv6Address3 |
目标 IPv6 地址 |
destination.ip |
- |
|
deviceCustomNumber1 |
以秒为单位的经过时间 |
event.duration |
- |
|
电子邮件收件人数量 |
- |
checkpoint.email_recipients_num |
||
payload |
network.bytes |
- |
||
deviceCustomNumber2 |
icmp 类型 |
- |
checkpoint.icmp_type |
|
以秒为单位的持续时间 |
event.duration |
- |
||
deviceCustomNumber3 |
icmp 代码 |
- |
checkpoint.icmp_code |
|
deviceCustomString1 |
连接状态 |
- |
checkpoint.connectivity_state |
|
应用程序规则名称 |
rule.name |
- |
||
威胁防御规则名称 |
rule.name |
- |
||
voip 日志类型 |
- |
checkpoint.voip_log_type |
||
dlp 规则名称 |
rule.name |
- |
||
电子邮件 ID |
- |
checkpoint.email_id |
||
deviceCustomString2 |
类别 |
- |
checkpoint.category |
|
电子邮件主题 |
- |
checkpoint.email_subject |
||
传感器模式 |
- |
checkpoint.sensor_mode |
||
保护 ID |
- |
checkpoint.protection_id |
||
扫描调用类型 |
- |
checkpoint.integrity_av_invoke_type |
||
更新状态 |
- |
checkpoint.update_status |
||
对等网关 |
- |
checkpoint.peer_gateway |
||
类别 |
rule.category |
- |
||
deviceCustomString6 |
应用程序名称 |
network.application |
- |
|
病毒名称 |
- |
checkpoint.virus_name |
||
恶意软件名称 |
- |
checkpoint.spyware_name |
||
恶意软件家族 |
- |
checkpoint.malware_family |
||
deviceCustomString3 |
用户组 |
group.name |
- |
|
事件扩展 |
- |
checkpoint.incident_extension |
||
保护类型 |
- |
checkpoint.protection_type |
||
电子邮件临时 ID |
- |
checkpoint.email_spool_id |
||
标识类型 |
- |
checkpoint.identity_type |
||
deviceCustomString4 |
恶意软件状态 |
- |
checkpoint.spyware_status |
|
威胁防御规则 ID |
rule.id |
- |
||
扫描结果 |
- |
checkpoint.scan_result |
||
tcp 标志 |
- |
checkpoint.tcp_flags |
||
目标操作系统 |
os.name |
- |
||
保护名称 |
- |
checkpoint.protection_name |
||
电子邮件控制 |
- |
checkpoint.email_control |
||
频率 |
- |
checkpoint.frequency |
||
用户响应 |
- |
checkpoint.user_status |
||
deviceCustomString5 |
匹配的类别 |
rule.category |
- |
|
vlan id |
network.vlan.id |
- |
||
身份验证方法 |
- |
checkpoint.auth_method |
||
电子邮件会话 ID |
- |
checkpoint.email_session_id |
||
deviceCustomDate2 |
订阅过期 |
- |
checkpoint.subs_exp |
|
deviceFlexNumber1 |
置信度 |
- |
checkpoint.confidence_level |
|
deviceFlexNumber2 |
性能影响 |
- |
checkpoint.performance_impact |
|
目标电话号码 |
- |
checkpoint.dst_phone_number |
||
flexString1 |
应用程序签名 ID |
- |
checkpoint.app_sig_id |
|
flexString2 |
恶意软件操作 |
rule.description |
- |
|
攻击信息 |
event.action |
- |
||
rule_uid |
- |
rule.uuid |
- |
|
ifname |
- |
observer.ingress.interface.name |
- |
|
inzone |
- |
observer.ingress.zone |
- |
|
outzone |
- |
observer.egress.zone |
- |
|
product |
- |
observer.product |
- |
字段
编辑有关模块中每个字段的说明，请参阅导出的字段部分。