« Trellix Trellix ePO 云 »
Elastic 文档 ›Elastic 集成 ›Trellix

Trellix EDR 云

编辑

Trellix EDR 云

编辑

版本

1.4.0 (查看全部)

兼容的 Kibana 版本

8.13.0 或更高版本

支持的无服务器项目类型
这是什么？

安全性
可观测性

订阅级别
这是什么？

基本

支持级别
这是什么？

Elastic

此 Trellix EDR 云 集成使您检测到的威胁和可疑网络数据能够通过 Amazon S3 发送到 Elastic Security。当与 Elastic Security 集成时，可以在 Elastic 中利用这些有价值的数据进行威胁防护、检测和事件响应。

Trellix EDR 云集成可以使用两种不同的模式来收集数据

  • AWS S3 轮询模式：Trellix EDR 云将数据写入 S3，Elastic Agent 通过列出其内容并读取新文件来轮询 S3 存储桶。
  • AWS S3 SQS 模式：Trellix EDR 云将数据写入 S3，S3 向 SQS 发送新对象的通知，Elastic Agent 从 SQS 接收通知，然后读取 S3 对象。在此模式下可以使用多个代理。

兼容性

编辑

此模块已针对最新的 (2023 年 6 月 5 日) Trellix EDR 云版本进行了测试。

数据流

编辑

Trellix EDR 云集成收集以下 17 个事件的日志

事件类型

API

上下文已更改

DNS 查询

EPP

文件

映像已加载

命名管道

网络

进程

注册表项

注册表值

计划任务

脚本已执行

服务

系统信息

用户

WMI

Trellix EDR 云集成收集上述事件的日志，但我们将所有这些事件组合到一个名为 event 的数据流中。

要求

编辑
  • 必须安装 Elastic Agent。
  • 每个主机只能安装一个 Elastic Agent。
  • 需要 Elastic Agent 从 S3 存储桶流式传输数据并将数据发送到 Elastic，然后事件将在 Elastic 中通过集成的摄取管道进行处理。
安装和管理 Elastic Agent
编辑

您有几种安装和管理 Elastic Agent 的选项

安装 Fleet 管理的 Elastic Agent（推荐）
编辑

通过此方法，您安装 Elastic Agent 并使用 Kibana 中的 Fleet 在中心位置定义、配置和管理您的代理。我们建议使用 Fleet 管理，因为它使代理的管理和升级变得相当容易。

以独立模式安装 Elastic Agent（高级用户）
编辑

通过此方法，您安装 Elastic Agent 并在安装它的系统本地手动配置代理。您负责管理和升级代理。此方法仅适用于高级用户。

在容器化环境中安装 Elastic Agent
编辑

您可以使用 Fleet Server 或独立方式在容器内运行 Elastic Agent。Elastic Docker 注册表提供了所有版本的 Elastic Agent 的 Docker 映像，并且我们为在 Kubernetes 上运行提供了部署清单。

运行 Elastic Agent 有一些最低要求，有关更多信息，请参阅此链接 此处。

所需的最低 kibana.version 为 8.9.0。

设置

编辑
要从 AWS S3 存储桶收集数据，请按照以下步骤操作
编辑

  1. 假设您已经设置了 AWS S3 存储桶，要将其与 Trellix EDR 云一起配置，请按照下面提到的步骤操作

    • 登录到您的 Trellix 管理员帐户，选择 Trellix ePO。
    • 转到策略目录 → Trellix EDR。
    • 通过填写所需的详细信息创建新策略，然后单击“确定”。
    • 创建策略后，单击要编辑的策略的“编辑”。
    • 转到“跟踪”，填写跟踪扫描仪和 AWS S3 设置的详细信息，然后单击“保存”。
    • 现在转到系统树，然后单击要为其分配策略的系统。
    • 转到“操作”→“代理”→“设置策略和继承”
    • 在“策略”下选择产品为 MVISION EDR，然后选择要分配给此系统的策略，然后单击“保存”。
    • 策略已分配给系统，系统跟踪日志将发送到 AWS S3 存储桶。
  2. 字段 Bucket List Prefix 的默认值为 event/。
要从 AWS SQS 收集数据，请按照以下步骤操作
编辑
  1. 假设您已经设置了将数据推送到 AWS 存储桶的连接；如果没有，请参阅上面的部分。

  2. 要设置 SQS 队列，请按照 链接 中提到的“步骤 1：创建 Amazon SQS 队列”操作。

    • 创建访问策略时，请使用配置为在 Trellix EDR 云中创建 AWS S3 连接的存储桶名称。

  3. 为 S3 存储桶配置事件通知。请参阅此 链接。

    • 创建 事件通知时，请选择事件类型为 s3:ObjectCreated:*，目标类型为 SQS 队列，然后选择在步骤 2 中创建的队列名称。
在 Elastic 中启用集成
编辑
  1. 在 Kibana 中，转到“管理”>“集成”
  2. 在“搜索集成”搜索栏中，键入“Trellix EDR 云”
  3. 从搜索结果中单击“Trellix EDR 云”集成。
  4. 单击“添加 Trellix EDR 云集成”按钮以添加集成。

  5. 添加集成时，如果要通过 AWS S3 收集日志，则必须输入以下详细信息

    • 访问密钥 ID
    • 秘密访问密钥
    • 存储桶 ARN

    • 通过 S3 存储桶收集日志已切换为开启

      或者，如果要通过 AWS SQS 收集日志，则必须输入以下详细信息

    • 访问密钥 ID
    • 秘密访问密钥
    • 队列 URL
    • 区域
    • 通过 S3 存储桶收集日志已切换为关闭

还有其他输入组合选项可用，请查看 此处。

日志参考

编辑
事件
编辑

这是 事件 数据集。

示例

event 的示例事件如下所示

{
    "@timestamp": "2023-04-05T07:05:21.186Z",
    "destination": {
        "ip": "81.2.69.192",
        "port": 443
    },
    "device": {
        "id": "D435435b0-BB33-4625-891E-XXXXXXX"
    },
    "ecs": {
        "version": "8.11.0"
    },
    "event": {
        "action": "added",
        "category": [
            "file"
        ],
        "id": "675XXXX-054c-48e8-9549-468dbb5ae5bc",
        "kind": "event",
        "original": "{\"_ver\":2107,\"_serverId\":\"5B0539BF-0932-4BEA-BD12-EA52687E58BD\",\"_eventType\":\"File Deleted\",\"accessType\":\"connection_opened\",\"_deviceId\":\"D435435b0-BB33-4625-891E-XXXXXXX\",\"_parentEventId\":\"1XXXXX-8566-404c-87a3-a4c46017b87d\",\"_eventId\":\"675XXXX-054c-48e8-9549-468dbb5ae5bc\",\"_time\":\"2023-04-05T07:05:21.186Z\",\"name\":\"Write Process Memory\",\"authorName\":\"Example\",\"data\":\"AAA9UFgBAAA=\",\"arguments\":[\"0x220a50d0000\",\"0x1000\",\"0x2\"],\"cmdLine\":\"\\\"C:\\\\\Users\\\\\XXXX\\\\\AppData\\\\\Local\\\\\Microsoft\\\\\OneDrive\\\\\Update\\\\\setup.exe\\\"/update\",\"result\":\"2085503003216\",\"fileModificationDate\":\"2023-04-04T12:38:42.821Z\",\"fileType\":\"PE\",\"fileCreationDate\":\"2023-04-04T12:38:40.984Z\",\"fileMd5\":\"A7F7A4EEC248E6C1841EC6D5B735357B\",\"fileSha1\":\"B8F93C2963CF1415A3D1C49668BF56665E3DC334\",\"fileSha256\":\"F36CD7BAD72D6B6144234DBA8A101A529DABEDC07D48056126A1356A4EECA418\",\"filePath\":\"C:\\\\\ProgramFiles\\\\\WindowsApps\\\\\Deleted\\\\\XXX.PowerAutomateDesktop_1.0.414.0_x64__8wekyb3d8e7483ce5b-4hhh-4a05-a9d8-a3e99e12498d\\\\\kk-KZ\\\\\PPP.Console.XX.YY.dll\",\"fileSize\":5632,\"fileAttributes\":32,\"subsystem\":3,\"fileMagicBytes\":\"d0cf11e0a1b11ae1\",\"direction\":\"outbound\",\"dnsName\":\"content-autofill.example.com\",\"pipeName\":\"\\\\\\\\\\.\\\\\pipe\\\\\Sessions\\\\\3\\\\\AppContainerNamedObjects\\\\\S-1-15-2-3573721485-3817616455-324955835-1810672402-3651098853-3568380600-1295794929\",\"destAddress\":\"81.2.69.192\",\"destPort\":443,\"sourceAddress\":\"81.2.69.144\",\"sourcePort\":52376,\"protocol\":\"tcp\",\"taskName\":\"example ReportingTask-S-1-5-21-1323470238-68471550-93548180-1001\",\"taskDescription\":null,\"dnsType\":65,\"dnsClass\":1,\"targetPid\":1964,\"pid\": \"2280\",\"dnsNames\":[\"XXX.YYY.cdn.live.net\",\"ttt-XXX.YYY.net\",\"SSS.YYY.cdn.live.net.XXX.net\",\"aaa.dscd.XXX.net\"],\"action\":\"added\",\"serviceName\":\"WD FILTER\",\"serviceDescription\":\"Example Antivirus On-Access Malware Protection Mini-Filter Driver\",\"serviceLoadOrderGroup\":\"FS FilterAnti-Virus\",\"userName\":\"example user\",\"userDomain\":\"DESKTOP-66XXX\",\"userSid\":\"S-1-5-21-1323470238-68471550-93548180-1001\",\"tagId\":0,\"commands\":[\"%localappdata%\\\\\XXXXXX\\\\\OneDrive\\\\\updater.exe\"],\"httpUrl\":\"https://xxxx-win.xxx.example.com:443settings/v2.0/compat/appraiser?os=windows&osver=0.0.0.1.example.ni_release.220506-1250&appver=0.0.0.1\",\"httpRequestHeaders\":\"GETsettings/v2.0/compat/appraiser?os=windows&osver=0.0.0.1.amd64fre.ni_release.220506-1250&appver=0.0.0.2600HTTP/1.1\\r\\nUser-Agent:MSDW\\r\\n\",\"serviceType\":2,\"integrityLevel\":4,\"versionInfoFilename\":\"example.EXE\",\"versionInfoFileVersion\":\"0.0.0.1(WinBuild.160101.0800)\",\"versionInfoProductName\":\"XXXX®Windows®OperatingSystem\",\"versionInfoProductVersion\":\"0.0.0.1194\",\"versionInfoVendorName\":\"Example Corporation\",\"serviceStartType\":0,\"keyName\":\"HKLM\\\\\SYSTEM\\\\\CONTROLSET001\\\\\SERVICES\\\\\XXXX\\\\\SECURITY\",\"keyValueName\":\"SECURITY\",\"keyValueType\":\"REG_BINARY\",\"keyValue\":\"01001480CC000000D8000000140000003000000002001C000100000002801400FF010F0001010000000000010000000002009C0006000000000018009D01020001020000000000052000000021020000000014009D010200010100000000000512000000000018009D01020001020000000000052000000020020000000014009D010200010100000000000504000000000014009D01020001010000000000050600000000002800FF010F00010600000000000550000000BF5508723BE028D089794BF891896E7C4025ECF4010100000000000512000000010100000000000512000000\",\"keyOldValue\":\"01001480F400000000010000140000003000000002001C000100000002801400FF010F00010100000000000100000\",\"certs\":[[{\"type\":\"signing\",\"issuerName\":\"US,\\\"example,Inc.\\\",ZZZZZ TrustedG4CodeSigningRSAXXXXXXXA3842021CA1\",\"publicKeyHash\":\"47A58D30595525187338F85B7F8235FC919CE3FC\"},{\"type\":\"parent\",\"issuerName\":\"US,example,www.example.com,ROOTCAA\",\"publicKeyHash\":\"6837E0EBB63BF85F1186FBFE617B088865F44E42\"},{\"type\":\"parent\",\"issuerName\":\"US,DigiCertInc,www.example.com,ROOTCA\",\"publicKeyHash\":\"ECD7E382D2715D644CDF2E673FE7BA98AE1C0F4F\"},{\"type\":\"parent\",\"issuerName\":\"US,DigiCertInc,www.example.com,ROOTCA\",\"publicKeyHash\":\"45EBA2AFF492CB82312D518BA7A7219DF36DC80F\"}]]}",
        "type": [
            "deletion"
        ]
    },
    "file": {
        "created": "2023-04-04T12:38:40.984Z",
        "hash": {
            "md5": "A7F7A4EEC248E6C1841EC6D5B735357B",
            "sha1": "B8F93C2963CF1415A3D1C49668BF56665E3DC334",
            "sha256": "F36CD7BAD72D6B6144234DBA8A101A529DABEDC07D48056126A1356A4EECA418"
        },
        "mtime": "2023-04-04T12:38:42.821Z",
        "path": "C:\\ProgramFiles\\WindowsApps\\Deleted\\XXX.PowerAutomateDesktop_1.0.414.0_x64__8wekyb3d8e7483ce5b-4hhh-4a05-a9d8-a3e99e12498d\\kk-KZ\\PPP.Console.XX.YY.dll",
        "size": 5632,
        "type": "PE"
    },
    "network": {
        "direction": "outbound",
        "protocol": "tcp"
    },
    "process": {
        "command_line": [
            "\"C:\\Users\\XXXX\\AppData\\Local\\Microsoft\\OneDrive\\Update\\setup.exe\"/update",
            "%localappdata%\\XXXXXX\\OneDrive\\updater.exe"
        ],
        "pid": 2280
    },
    "registry": {
        "data": {
            "type": "REG_BINARY"
        }
    },
    "related": {
        "hash": [
            "A7F7A4EEC248E6C1841EC6D5B735357B",
            "B8F93C2963CF1415A3D1C49668BF56665E3DC334",
            "F36CD7BAD72D6B6144234DBA8A101A529DABEDC07D48056126A1356A4EECA418",
            "47A58D30595525187338F85B7F8235FC919CE3FC",
            "6837E0EBB63BF85F1186FBFE617B088865F44E42",
            "ECD7E382D2715D644CDF2E673FE7BA98AE1C0F4F",
            "45EBA2AFF492CB82312D518BA7A7219DF36DC80F"
        ],
        "ip": [
            "81.2.69.192",
            "81.2.69.144"
        ],
        "user": [
            "DESKTOP-66XXX",
            "example user",
            "S-1-5-21-1323470238-68471550-93548180-1001"
        ]
    },
    "service": {
        "name": "WD FILTER"
    },
    "source": {
        "ip": "81.2.69.144",
        "port": 52376
    },
    "tags": [
        "preserve_original_event",
        "preserve_duplicate_custom_fields"
    ],
    "trellix_edr_cloud": {
        "event": {
            "access_type": "connection_opened",
            "action": "added",
            "arguments": [
                "0x220a50d0000",
                "0x1000",
                "0x2"
            ],
            "author_name": "Example",
            "certs": [
                [
                    {
                        "issuer_name": "US,\"example,Inc.\",ZZZZZ TrustedG4CodeSigningRSAXXXXXXXA3842021CA1",
                        "public_key_hash": "47A58D30595525187338F85B7F8235FC919CE3FC",
                        "type": "signing"
                    },
                    {
                        "issuer_name": "US,example,www.example.com,ROOTCAA",
                        "public_key_hash": "6837E0EBB63BF85F1186FBFE617B088865F44E42",
                        "type": "parent"
                    },
                    {
                        "issuer_name": "US,DigiCertInc,www.example.com,ROOTCA",
                        "public_key_hash": "ECD7E382D2715D644CDF2E673FE7BA98AE1C0F4F",
                        "type": "parent"
                    },
                    {
                        "issuer_name": "US,DigiCertInc,www.example.com,ROOTCA",
                        "public_key_hash": "45EBA2AFF492CB82312D518BA7A7219DF36DC80F",
                        "type": "parent"
                    }
                ]
            ],
            "cmd_line": "\"C:\\Users\\XXXX\\AppData\\Local\\Microsoft\\OneDrive\\Update\\setup.exe\"/update",
            "commands": [
                "%localappdata%\\XXXXXX\\OneDrive\\updater.exe"
            ],
            "data": "AAA9UFgBAAA=",
            "dest": {
                "address": "81.2.69.192",
                "port": 443
            },
            "device_id": "D435435b0-BB33-4625-891E-XXXXXXX",
            "direction": "outbound",
            "dns": {
                "class": 1,
                "name": "content-autofill.example.com",
                "names": [
                    "XXX.YYY.cdn.live.net",
                    "ttt-XXX.YYY.net",
                    "SSS.YYY.cdn.live.net.XXX.net",
                    "aaa.dscd.XXX.net"
                ],
                "type": 65
            },
            "file": {
                "attributes": 32,
                "creation_date": "2023-04-04T12:38:40.984Z",
                "magic_bytes": "d0cf11e0a1b11ae1",
                "md5": "A7F7A4EEC248E6C1841EC6D5B735357B",
                "modification_date": "2023-04-04T12:38:42.821Z",
                "path": "C:\\ProgramFiles\\WindowsApps\\Deleted\\XXX.PowerAutomateDesktop_1.0.414.0_x64__8wekyb3d8e7483ce5b-4hhh-4a05-a9d8-a3e99e12498d\\kk-KZ\\PPP.Console.XX.YY.dll",
                "sha1": "B8F93C2963CF1415A3D1C49668BF56665E3DC334",
                "sha256": "F36CD7BAD72D6B6144234DBA8A101A529DABEDC07D48056126A1356A4EECA418",
                "size": 5632,
                "type": "PE"
            },
            "http": {
                "request_headers": "GETsettings/v2.0/compat/appraiser?os=windows&osver=0.0.0.1.amd64fre.ni_release.220506-1250&appver=0.0.0.2600HTTP/1.1\r\nUser-Agent:MSDW\r\n",
                "url": "https://xxxx-win.xxx.example.com:443settings/v2.0/compat/appraiser?os=windows&osver=0.0.0.1.example.ni_release.220506-1250&appver=0.0.0.1"
            },
            "id": "675XXXX-054c-48e8-9549-468dbb5ae5bc",
            "integrity_level": 4,
            "key": {
                "name": "HKLM\\SYSTEM\\CONTROLSET001\\SERVICES\\XXXX\\SECURITY",
                "old_value": "01001480F400000000010000140000003000000002001C000100000002801400FF010F00010100000000000100000",
                "val": "01001480CC000000D8000000140000003000000002001C000100000002801400FF010F0001010000000000010000000002009C0006000000000018009D01020001020000000000052000000021020000000014009D010200010100000000000512000000000018009D01020001020000000000052000000020020000000014009D010200010100000000000504000000000014009D01020001010000000000050600000000002800FF010F00010600000000000550000000BF5508723BE028D089794BF891896E7C4025ECF4010100000000000512000000010100000000000512000000"
            },
            "name": "Write Process Memory",
            "parent_event_id": "1XXXXX-8566-404c-87a3-a4c46017b87d",
            "pid": 2280,
            "pipe_name": "\\\\\.\\pipe\\Sessions\\3\\AppContainerNamedObjects\\S-1-15-2-3573721485-3817616455-324955835-1810672402-3651098853-3568380600-1295794929",
            "protocol": "tcp",
            "result": 2085503003216,
            "server_id": "5B0539BF-0932-4BEA-BD12-EA52687E58BD",
            "service": {
                "description": "Example Antivirus On-Access Malware Protection Mini-Filter Driver",
                "load_order_group": "FS FilterAnti-Virus",
                "name": "WD FILTER",
                "start_type": 0,
                "type": 2
            },
            "source": {
                "address": "81.2.69.144",
                "port": 52376
            },
            "subsystem": 3,
            "tag_id": "0",
            "target_pid": "1964",
            "task": {
                "name": "example ReportingTask-S-1-5-21-1323470238-68471550-93548180-1001"
            },
            "time": "2023-04-05T07:05:21.186Z",
            "type": "File Deleted",
            "user": {
                "domain": "DESKTOP-66XXX",
                "name": "example user",
                "sid": "S-1-5-21-1323470238-68471550-93548180-1001"
            },
            "value": {
                "name": "SECURITY",
                "type": "REG_BINARY"
            },
            "ver": "2107",
            "version_info": {
                "file": {
                    "name": "example.EXE",
                    "version": "0.0.0.1(WinBuild.160101.0800)"
                },
                "product": {
                    "name": "XXXX®Windows®OperatingSystem",
                    "version": "0.0.0.1194"
                },
                "vendor_name": "Example Corporation"
            }
        }
    },
    "url": {
        "full": "https://xxxx-win.xxx.example.com:443settings/v2.0/compat/appraiser?os=windows&osver=0.0.0.1.example.ni_release.220506-1250&appver=0.0.0.1"
    },
    "user": {
        "domain": "DESKTOP-66XXX",
        "id": "S-1-5-21-1323470238-68471550-93548180-1001",
        "name": "example user"
    }
}
导出的字段
字段 描述 类型

@timestamp

事件时间戳。

日期

aws.s3.bucket.arn

AWS S3 存储桶 ARN。

关键字

aws.s3.bucket.name

AWS S3 存储桶名称。

关键字

aws.s3.object.key

AWS S3 对象密钥。

关键字

data_stream.dataset

数据流数据集。

constant_keyword

data_stream.namespace

数据流命名空间。

constant_keyword

data_stream.type

数据流类型。

constant_keyword

event.dataset

事件数据集。

constant_keyword

event.module

事件模块。

constant_keyword

input.type

filebeat 输入的类型。

关键字

log.offset

日志偏移量。

长整型

trellix_edr_cloud.event.access_type

关键字

trellix_edr_cloud.event.action

关键字

trellix_edr_cloud.event.arguments

关键字

trellix_edr_cloud.event.author_name

关键字

trellix_edr_cloud.event.bytes_received

长整型

trellix_edr_cloud.event.certs

嵌套

trellix_edr_cloud.event.certs.issuer_name

关键字

trellix_edr_cloud.event.certs.public_key_hash

关键字

trellix_edr_cloud.event.certs.type

关键字

trellix_edr_cloud.event.cmd_line

关键字

trellix_edr_cloud.event.commands

关键字

trellix_edr_cloud.event.data

关键字

trellix_edr_cloud.event.dest.address

IP

trellix_edr_cloud.event.dest.port

长整型

trellix_edr_cloud.event.destination_address

关键字

trellix_edr_cloud.event.device_id

关键字

trellix_edr_cloud.event.direction

关键字

trellix_edr_cloud.event.dns.class

长整型

trellix_edr_cloud.event.dns.name

关键字

trellix_edr_cloud.event.dns.names

关键字

trellix_edr_cloud.event.dns.type

长整型

trellix_edr_cloud.event.evid

关键字

trellix_edr_cloud.event.file.attributes

长整型

trellix_edr_cloud.event.file.creation_date

日期

trellix_edr_cloud.event.file.magic_bytes

关键字

trellix_edr_cloud.event.file.md5

关键字

trellix_edr_cloud.event.file.modification_date

日期

trellix_edr_cloud.event.file.path

关键字

trellix_edr_cloud.event.file.sha1

关键字

trellix_edr_cloud.event.file.sha256

关键字

trellix_edr_cloud.event.file.size

长整型

trellix_edr_cloud.event.file.type

关键字

trellix_edr_cloud.event.fqdn

关键字

trellix_edr_cloud.event.http.request_headers

关键字

trellix_edr_cloud.event.http.response_headers

关键字

trellix_edr_cloud.event.http.url

关键字

trellix_edr_cloud.event.id

关键字

trellix_edr_cloud.event.integrity_level

长整型

trellix_edr_cloud.event.key.name

关键字

trellix_edr_cloud.event.key.old_value

关键字

trellix_edr_cloud.event.key.val

关键字

trellix_edr_cloud.event.module_name

关键字

trellix_edr_cloud.event.name

关键字

trellix_edr_cloud.event.operation_name

关键字

trellix_edr_cloud.event.parent_event_id

关键字

trellix_edr_cloud.event.pid

长整型

trellix_edr_cloud.event.pipe_name

关键字

trellix_edr_cloud.event.protocol

关键字

trellix_edr_cloud.event.result

长整型

trellix_edr_cloud.event.server_id

关键字

trellix_edr_cloud.event.service.description

关键字

trellix_edr_cloud.event.service.load_order_group

关键字

trellix_edr_cloud.event.service.name

关键字

trellix_edr_cloud.event.service.start_type

长整型

trellix_edr_cloud.event.service.type

长整型

trellix_edr_cloud.event.source.address

IP

trellix_edr_cloud.event.source.port

长整型

trellix_edr_cloud.event.subsystem

长整型

trellix_edr_cloud.event.tag_id

关键字

trellix_edr_cloud.event.target_pid

关键字

trellix_edr_cloud.event.task.description

关键字

trellix_edr_cloud.event.task.name

关键字

trellix_edr_cloud.event.time

日期

trellix_edr_cloud.event.type

关键字

trellix_edr_cloud.event.user.cid

关键字

trellix_edr_cloud.event.user.domain

关键字

trellix_edr_cloud.event.user.groups

关键字

trellix_edr_cloud.event.user.name

关键字

trellix_edr_cloud.event.user.names

关键字

trellix_edr_cloud.event.user.sid

关键字

trellix_edr_cloud.event.value.name

关键字

trellix_edr_cloud.event.value.type

关键字

trellix_edr_cloud.event.ver

关键字

trellix_edr_cloud.event.version_info.file.name

关键字

trellix_edr_cloud.event.version_info.file.version

关键字

trellix_edr_cloud.event.version_info.product.name

关键字

trellix_edr_cloud.event.version_info.product.version

关键字

trellix_edr_cloud.event.version_info.vendor_name

关键字

trellix_edr_cloud.event.wmi.local

布尔值

trellix_edr_cloud.event.wmi.ns

关键字

更新日志

编辑
更新日志
版本 详情 Kibana 版本

1.4.0

增强 (查看拉取请求)
在主提取管道中，不要删除 event.original。

8.13.0 或更高版本

1.3.0

增强 (查看拉取请求)
为 event.kind 设置为“pipeline_error”的文档添加“preserve_original_event”标签。

8.13.0 或更高版本

1.2.1

Bug 修复 (查看拉取请求)
修复嵌套对象子字段的定义

8.13.0 或更高版本

1.2.0

增强 (查看拉取请求)
移除了 import_mappings。更新了 kibana 约束至 ^8.13.0。修改了字段定义以移除 ecs@mappings 组件模板中已冗余的 ECS 字段。

8.13.0 或更高版本

1.1.0

增强 (查看拉取请求)
将敏感值设置为 secret。

8.12.0 或更高版本

1.0.1

增强 (查看拉取请求)
更改了所有者

8.9.0 或更高版本

1.0.0

增强 (查看拉取请求)
将软件包作为 GA 发布。

8.9.0 或更高版本

0.6.0

增强 (查看拉取请求)
ECS 版本更新至 8.11.0。

—

0.5.1

Bug 修复 (查看拉取请求)
从 beats 输入添加缺失字段

—

0.5.0

增强 (查看拉取请求)
改进了 event.original 检查，以避免在设置时出错。

—

0.4.0

增强 (查看拉取请求)
ECS 版本更新至 8.10.0。

—

0.3.0

增强 (查看拉取请求)
软件包清单中的 format_version 从 2.11.0 更改为 3.0.0。从软件包清单中移除了带点的 YAML 键。在软件包清单中添加了 owner.type: elastic。

—

0.2.0

增强 (查看拉取请求)
添加 tags.yml 文件，以便将集成的仪表板和已保存的搜索标记为“安全解决方案”，并在安全解决方案 UI 中显示。

—

0.1.0

增强 (查看拉取请求)
初始版本。

—
« Trellix Trellix ePO 云 »