syslog-Spezifikation

syslog ist ein Standard für die Meldungsprotokollierung. Er trennt die Software, die Meldungen erzeugt, das System, das sie speichert, und die Software, die sie meldet und analysiert. cognitix Threat Defender unterstützt syslog unter Report Channels.

Diese Spezifikation definiert alle syslog-Meldungen mit ihren Informationselementen, die in cognitix-spezifischen Ereignissen verwendet werden.

Setup

Die pw-core-Anwendung erzeugt Reporting-Meldungen im syslog-Format, die im Menü Logging der Benutzeroberfläche von cognitix Threat Defender angezeigt werden. Diese Meldungen können dann nach Bedarf an externe syslog-Empfänger exportiert werden.

syslog-Meldungen im Allgemeinen

Jede von pw-core erzeugte syslog-Meldung trägt als APP-NAME “pw-core” und kann dadurch von anderen durch cognitix Threat Defender erzeugten syslog-Meldungen unterschieden werden.

Alle syslog-Datensätze werden als durch = getrennte Schlüssel-Wert-Paare bereitgestellt, wobei nie der Schlüssel, sondern immer der Wert genannt wird.

So weit wie möglich folgen die syslog-Datensätze von pw-core dem CIM (Common Information Model). Allerdings verwendet pw-core auch eigene Datensatzdefinitionen, wo die bestehenden nicht passen.

Meldungstypen

Die folgenden Ereignisse werden erzeugt. Der Name eines Ereignisses ist gleichzeitig der Wert des Felds event_type.

Die Nachverfolgung der Datenströme generiert Folgendes:

• flow-update in regelmäßigen Abständen mit aktualisierten Informationen über einen Datenstrom.

• flow-deleted wenn ein Datenstrom zerstört wird.

Bedrohungen werden wie folgt gemeldet:

• mit ips-hit, wenn eine IPS-Regel trifft.

• mit ioc-hit, wenn ein IoC-Treffer gefunden wird.

• mit policy-hit, wenn eine Regel mit Policy-Hit-Flag in der Log-Aktion ausgelöst wird.

Die Policy Engine gibt außerdem Ereignisse des folgenden Typs aus:

• mit policy-rule-log für getroffene Policy-Regeln mit aktiviertem Logging.

syslog-Felder

Die folgenden Felder werden von pw-core verwendet:

Feldname	Herkunft des Felds	Datentyp	Beschreibung
action	Splunk CIM	string	Vom Netzwerkgerät durchgeführte Aktion, die von einem Regeltreffer ausgelöst wurde. Gültige Werte sind „allowed“, „blocked“ und „teardown“.
app	Splunk CIM	string	Anwendung und Protokoll des Datenverkehrs, meldet die Klassifizierungsergebnisse der Anwendung und des Protokolls auf Schicht 7 als Kurznamen, z. B.: „reddit:ssl“.
asset_id	cognitix	string	Die ID eines Assets im Format asset-uuid.
asset_name	cognitix	string	Der Name eines Assets.
dest_asset_name	cognitix	string	Die ID des Assets, das dem Ziel-Host entspricht, im Format asset-uuid.
dest_bytes_tx	cognitix	numerisch	Vom Ziel zur Quelle übertragene Bytes.
dest_country_code	cognitix	string	Das Zielland eines Datenstroms, gemäß ISO 3165-1 alpha-2 kodiert, z. B. „FR“, „DE“ oder „ZZ“ für unbekannte Länder.
dest_host	Splunk CIM	string	Der vom Webserver oder Proxy übermittelte Hostname im Format punycodeIDNA-encoded-domain.
dest_interface	Splunk CIM	string	Die Schnittstelle, die remote lauscht oder lokal Pakete empfängt; kann auch als „Ausgangsschnittstelle“ bezeichnet werden.
dest_interface_name	cognitix	string	Der Name der Ausgangsschnittstelle.
dest_ip	Splunk CIM	string	Die IP-Adresse des Ziels, im Format ipv4-or-ipv6.
dest_location	cognitix	string	Der Standort des Ziel-Hosts, bestimmt durch Abgleich der Netzwerkobjekte. Kann nur „internal“ oder „external“ sein.
dest_mac	Splunk CIM	string	Die Ziel-MAC-Adresse (TCP/IP Schicht 1) des Paketziels, z. B. 06:10:9f:eb:8f:14. Hat das Format macAddress. Hinweis: In diesem Feld immer Kleinschreibung erzwingen. Immer Doppelpunkte statt Bindestrichen, Leerzeichen oder keinem Trennzeichen verwenden.
dest_packets_tx	cognitix	numerisch	Vom Ziel zur Quelle übertragene Pakete.
dest_port	Splunk CIM	numerisch	Zielport des Netzwerkverkehrs.
dpi_classification	cognitix	numerisch	Anwendung und Protokoll des Datenverkehrs, meldet die Klassifizierungsergebnisse der Anwendung und des Protokolls auf Schicht 7 als Zahl.
event_type	Splunk CIM	string	Typ des Berichtsereignisses.
flow_id	Splunk CIM	numerisch	Ein eindeutiger numerischer Bezeichner für den Datenstrom (uint64).
ioc_tags	cognitix	string	Eine durch Kommas getrennte Liste von IoC-Tags, die mit einem IoC-Wert verbunden sind.
ioc_value	cognitix	string	Der IoC, der zuletzt für einen Datenstrom zutraf, z. B. , e.g. „9.20.11.3“, „www.example.com“, „www.badurl.nz/kiwi“.
ioc_value_type	cognitix	string	Der IoC-Indikatortyp. Gültige Werte sind „ipv3“, „domain“ und „url“.
ips_rule_id	cognitix	numerisch	Die ID einer IPS-Regel.
ips_rule_description	cognitix	string	Die Beschreibung einer IPS-Regel.
policy_id	cognitix	string	Die ID eines Policy-Szenarios, definiert in der Policy-Konfiguration.
policy_name	cognitix	string	Der Name eines Policy-Szenarios, definiert in der Policy-Konfiguration.
product	Splunk CIM	string	Der Produktname; ist immer „td“.
protocol	Splunk CIM	string	Das Protokoll auf OSI-Schicht 2 des beobachteten Datenverkehrs in Kleinbuchstaben. Zum Beispiel: ip, appletalk, ipx.
protocol_version	Splunk CIM	string	Version des OSI-Schicht-3-Protokolls.
rule	cognitix	string	Der Name einer Policy-Regel, definiert in der Policy-Konfiguration, die festlegt welche Aktion im Netzwerkereignis durchgeführt wurde.
rule_id	cognitix	string	Die ID einer Policy-Regel, definiert in der Policy-Konfiguration, die festlegt welche Aktion im Netzwerkereignis durchgeführt wurde.
severity	Splunk CIM	string	Der Schweregrad der Log-Aktion gemäß CIM-Namensschema. Gültige Werte sind „informational“, „low“, „medium“ und „high“.
src_asset_name	cognitix	string	Die ID des Assets, das dem Quell-Host entspricht, im Format asset-uuid.
src_bytes_tx	cognitix	numerisch	Von der Quelle zum Ziel übertragene Bytes.
src_country_code	cognitix	string	Das Ausgangsland eines Datenstroms, gemäß ISO 3165-1 alpha-2 kodiert, z. B. „FR“, „DE“ oder „ZZ“ für unbekannte Länder.
src_interface	Splunk CIM	string	Die Schnittstelle, die remote lauscht oder lokal Pakete sendet. Kann auch als „Eingangsschnittstelle“ bezeichnet werden.
src_interface_name	cognitix	string	Der Name der Eingangsschnittstelle.
src_ip	Splunk CIM	string	Die IP-Adresse der Quelle, im Format ipv4-or-ipv6.
src_location	cognitix	string	Der Standort des Quell-Hosts, bestimmt durch Abgleich der Netzwerkobjekte. Kann nur „internal“ oder „external“ sein.
src_mac	Splunk CIM	string	Die Quell-MAC-Adresse (TCP/IP Schicht 1) des Paketziels, z. B. 06:10:9f:eb:8f:14. Hat das Format macAddress. Hinweis: In diesem Feld immer Kleinschreibung erzwingen. Immer Doppelpunkte statt Bindestrichen, Leerzeichen oder keinem Trennzeichen verwenden.
src_packets_tx	cognitix	numerisch	Von der Quelle zum Ziel übertragene Pakete.
src_port	Splunk CIM	numerisch	Quellport des Netzwerkverkehrs.
timestamp	cognitix	numerisch	Der Zeitstempel als die Meldung gesendet wurde, im Format ISO 8601 mit Millisekundenauflösung.
host	Splunk CIM	string	Der Hostname der Instanz von cognitix Threat Defender, die das Ereignis meldet.
uri_path	Splunk CIM	string	Der Pfad der Ressource, die vom Webserver oder Proxy bereitgestellt wird.
user_id	cognitix	string	ID des Benutzers, der für die Existenz des Datenstroms verantwortlich ist.
vendor	Splunk CIM	string	Der Herstellername; wird immer auf „cognitix“ gesetzt.
vendor_severity	Splunk CIM	string	Der Schweregrad der Log-Aktion gemäß dem cognitix-Namensschema. Gültige Werte sind „notice“, „low“, „medium“ und „high“.
vlan_id	cognitix	numerisch	Das äußerste VLAN-Tag.

syslog-Meldungsarten in cognitix Threat Defender

Felder

Jede syslog-Meldung enthält folgende Felder:

• vendor

• product

• host

• event_type

Abhängig vom Wert des Felds event_type, werden die folgenden Datensätze an eine syslog-Meldung angehängt.

Derzeit enthalten alle Ereignistypen Datenstrominformationen. Sie bestehen aus:

• src_interface

• src_interface_name

• dest_interface (optional)

• dest_interface_name (optional)

• src_mac

• dest_mac

• protocol

• protocol_version

• src_ip

• dest_ip

• transport

• src_port

• dest_port

• Timestamp

• src_location

• dest_location

• src_country_code (optional)

• dest_country_code (optional)

• flow_id

• app

• dpi_classification

• src_packets_tx

• dest_packets_tx

• src_bytes_tx

• dest_bytes_tx

• vlan_id (optional)

• src_asset_id (optional)

• src_asset_name (optional)

• dest_asset_id (optional)

• dest_asset_name (optional)

• user_id (optional)

• user_name (optional)

Ereignisse der Typen policy-hit und policy-rule-log enthalten zusätzlich:

• severity

• vendor_severity

• policy_id

• policy_name

• rule_id

• rule

• action (optional)

Ereignisse des Typs ips-hit enthalten zusätzlich:

• ips_rule_id

• ips_rule_description

• dest_host (optional)

• uri_path (optional)

Ereignisse des Typs ioc-hit enthalten zusätzlich:

• ioc_tags

• ioc_value

• ioc_value_type

• dest_host (optional)

• uri_path (optional)