O Google usa tecnologia de IA na tradução de conteúdos para seu idioma de preferência. As traduções com IA podem ter erros.

Coletar registros do F5 AFM

Versão do analisador: 23.0

Compatível com:

Google SecOps SIEM

Neste documento, explicamos como ingerir registros do F5 Advanced Firewall Management (AFM) no Google Security Operations usando o agente do Bindplane.

O F5 BIG-IP AFM é um módulo de firewall de rede que gera mensagens de syslog para ações de regras de firewall (aceitar, descartar, rejeitar), Eventos do Intelligence de IP e erros de TCP. O analisador extrai campos de registros formatados em CSV ou syslog e os mapeia para o modelo de dados unificado (UDM).

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

Uma instância do Google SecOps
Windows Server 2016 ou mais recente ou host Linux com systemd
Conectividade de rede entre o agente do BindPlane e o dispositivo F5 BIG-IP
Se estiver executando por trás de um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
Acesso privilegiado ao F5 BIG-IP e ao F5 Advanced Firewall Management

Receber credenciais do Google SecOps para o agente do Bindplane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

Novas implantações: use a API Chronicle (opção 1).
Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja desativada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
Acesse IAM e administrador > Contas de serviço.
Clique em Criar conta de serviço.
Informe os seguintes detalhes de configuração:
- Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
- Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
Clique em Criar e continuar.
Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
Clique em Continuar e depois em Concluído.
Clique na conta de serviço que você criou e acesse a guia Chaves.
Clique em Adicionar chave > Criar nova chave.
Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
Acesse IAM e administrador > Configurações e copie o Número do projeto. Você vai precisar dele para configurar o exportador.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

Faça login no console do Google SecOps.
Acesse Configurações > Gerenciamento de dados > Agentes de coleta. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Agentes de coleta.
Faça o download do arquivo de autenticação de ingestão.
Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Receber o ID de cliente do Google SecOps

Faça login no console do Google SecOps.
Acesse Configurações > Administração > Perfil. Se você estiver em uma plataforma somente SIEM, acesse Configurações > Perfil.
Copie e salve o ID de cliente na seção Detalhes da organização.

Observação: o ID de cliente é necessário para configurar o exportador do agente do BindPlane.

Instalar o agente do BindPlane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

Abra o Prompt de comando ou o PowerShell como administrador.

Execute este comando:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sc query observiq-otel-collector
```
O serviço precisa aparecer como RUNNING.

Instalação do Linux

Abra um terminal com privilégios de raiz ou sudo.

Execute este comando:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Aguarde a conclusão da instalação.
Execute o seguinte comando para confirmar a instalação:
```
sudo systemctl status observiq-otel-collector
```
O serviço precisa aparecer como active (running).

Outros recursos de instalação

Para mais opções de instalação e solução de problemas, consulte o guia de instalação do agente do Bindplane.

Configurar o agente do Bindplane para ingerir o syslog e enviar ao Google SecOps

Localize o arquivo de configuração.

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Editar o arquivo de configuração

Substitua todo o conteúdo de config.yaml pela seguinte configuração:

receivers:
  tcplog:
    listen_address: "0.0.0.0:5145"

exporters:
  chronicle/f5_afm:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: chronicle.googleapis.com
    log_type: F5_AFM
    raw_log_field: body

service:
  pipelines:
    logs/f5_afm_to_chronicle:
      receivers:
        - tcplog
      exporters:
        - chronicle/f5_afm

Parâmetros de configuração

Substitua os seguintes marcadores de posição:

Configuração do receptor:
- listen_address: endereço IP e porta a serem detectados:
  - 0.0.0.0 para ouvir em todas as interfaces (recomendado)
  - A porta 5145 é usada para a geração de registros de alta velocidade do F5 AFM (ajuste para corresponder à sua configuração do F5)
Configuração do exportador:
- creds_file_path: caminho completo para o arquivo de chave JSON da conta de serviço (opção 1):
  - Linux: /opt/observiq-otel-collector/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID de cliente copiado do console do Google SecOps
- location: substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor. Consulte Endpoints regionais para ver a lista completa.
- project: substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
- endpoint: mantenha definido como chronicle.googleapis.com.

Exportador da API de ingestão legada

Se você usar o arquivo de autenticação de ingestão da Opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/f5_afm:
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: '<customer_id>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: F5_AFM
    raw_log_field: body
```

Salve o arquivo de configuração.

Depois de editar, salve o arquivo:
- Linux: pressione Ctrl+O, depois Enter e, em seguida, Ctrl+X.
- Windows: clique em Arquivo > Salvar.

Reinicie o agente do BindPlane para aplicar as mudanças:

Para reiniciar o agente do Bindplane no Linux, execute o seguinte comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifique se o serviço está em execução:
```
sudo systemctl status observiq-otel-collector
```
2. Verifique se há erros nos registros:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar o agente do Bindplane no Windows, escolha uma das seguintes opções:
- Prompt de comando ou PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Console de serviços:
  1. Pressione Win+R, digite services.msc e pressione Enter.
  2. Localize o coletor do OpenTelemetry da observIQ.
  3. Clique com o botão direito do mouse e selecione Reiniciar.
  4. Verifique se o serviço está em execução:
```
sc query observiq-otel-collector
```
  5. Verifique se há erros nos registros:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Ativar o F5 BIG-IP Advanced Firewall Manager

Faça login no console de gerenciamento do dispositivo BIG-IP.
Acesse Sistema > Licença.
Verifique se o Advanced Firewall Manager está licenciado e ativado.
Para ativar o Advanced Firewall Manager, acesse System > Resource > Provisioning.
Marque a caixa de seleção na coluna Provisionamento e selecione Nominal na lista.
Clique em Enviar.

Configurar o pool de geração de registros no F5 AFM

Acesse Tráfego local > Pools.
Clique em Criar.
Informe os seguintes detalhes de configuração:
- Nome: insira um nome para o pool de geração de registros (por exemplo, logging_pool).
- Monitor de integridade: na lista Disponível, selecione TCP e clique em <<.
Na guia Recurso, selecione o Pool de geração de registros que você criou anteriormente na lista Nome do nó.
No campo Endereço, insira o endereço IP do agente do BindPlane.
No campo Porta de serviço, insira 5145 ou outra porta, conforme definido no agente do BindPlane.
Clique em Adicionar.
Clique em Concluir.

Configurar o destino do registro formatado no F5 AFM

Acesse Sistema > Registros > Configuração > Destinos de registro.
Clique em Criar.
Informe os seguintes detalhes de configuração:
- Nome: insira um nome para o destino do formato de registro (por exemplo, Logging_Format_Destination).
- Descrição: digite uma descrição.
- Tipo: selecione Syslog remoto.
- Formato do Syslog: selecione Syslog.
- Destino de registro de alta velocidade: selecione o destino de registro de alta velocidade (por exemplo, Logging_HSL_Destination).
Clique em Concluído.

Configurar o editor de registros no F5 AFM

Acesse Sistema > Registros > Configuração > Publicadores de registros.
Clique em Criar.
Informe os seguintes detalhes de configuração:
- Nome: insira um nome para o editor (por exemplo, Log_Publisher).
- Descrição: digite uma descrição.
- Destinos: selecione o nome do destino do registro que você criou na etapa Configurar o pool de geração de registros no F5 AFM e clique em << para adicionar itens à lista Selecionados.

Configurar o perfil de geração de registros no F5 AFM

Acesse Segurança > Registros de eventos > Perfil de registro.
Clique em Criar.
Informe os seguintes detalhes de configuração:
- Nome: insira um nome para o perfil de registro (por exemplo, Logging_Profile).
- Firewall de rede: marque a caixa de seleção Ativado.
- Editor: selecione o editor de registros que você configurou anteriormente (por exemplo, Log_Publisher).
- Correspondências de regras de registro: marque as caixas de seleção Aceitar, Descartar e Rejeitar.
- Registrar erros de IP: marque a caixa de seleção Ativado.
- Registrar erros de TCP: marque a caixa de seleção Ativado.
- Registrar eventos TCP: marque a caixa de seleção Ativado.
- Formato de armazenamento: selecione Lista de campos.
- Delimitador: insira , (vírgula) como o delimitador para eventos.
- Opções de armazenamento: selecione todas as opções na lista Itens disponíveis e clique em <<.
- Na guia Inteligência de IP, selecione o editor de registros que você configurou (por exemplo, Log_Publisher).
Clique em Concluído.

Configurar a associação de perfil de servidor virtual no F5 AFM

Acesse Tráfego local > Servidores virtuais.
Selecione o servidor virtual que você quer modificar.
Acesse a guia Segurança > Políticas.
Na lista Perfil de registro, selecione Ativado.
No campo Perfil, selecione Logging_Profile e clique em <<.
Clique em Atualizar.

Tabela de mapeamento de UDM

Campo de registro	mapeamento de UDM	Lógica
acl_policy_name	security_result.detection_fields.acl_policy_name	Valor da coluna 22 se o formato do registro for SYSLOG, caso contrário, valor da coluna 13
acl_policy_type	security_result.detection_fields.acl_policy_type	Valor de column21 se o formato do registro for SYSLOG, caso contrário, valor de column18
acl_rule_name	security_result.rule_name	Valor da coluna 23 se o formato do registro for SYSLOG, caso contrário, valor da coluna 11
acl_rule_uuid	security_result.rule_id	Valor do campo acl_rule_uuid do padrão grok
ação	security_result.action	Se o valor da coluna 25 for `Drop`, `Reject` ou `Block`, então BLOQUEAR. Se o valor da coluna 25 for `Accept`, `Accept decisively`, `Established` ou `Allow`, então PERMITIR.
attackID	security_result.detection_fields.attackID	Valor da coluna 12 se o formato do registro for CSV sem src_ip
bigip_hostname	intermediary.hostname	Valor da coluna 2 se o formato do registro for SYSLOG, caso contrário, valor da coluna 3
bigip_ip	intermediary.ip	Valor da coluna 2 se o formato do registro for SYSLOG, caso contrário, valor da coluna 1
context_name	additional.fields.context_name.string_value	Valor da coluna 4 se o formato do registro for SYSLOG, caso contrário, valor da coluna 10 se houver src_ip, caso contrário, valor da coluna 5
context_type	additional.fields.context_type.string_value	Valor de column3 se o formato do registro for SYSLOG, caso contrário, valor de column4 se houver src_ip, caso contrário, valor de column4
dest_fqdn	additional.fields.dest_fqdn.string_value	Valor da coluna 7 se o formato do registro for SYSLOG, caso contrário, valor da coluna 13
dest_geo	additional.fields.dest_geo.string_value	Valor da coluna 14
dest_ip	target.asset.ip, target.ip	Valor de column8 se o formato do registro for SYSLOG, caso contrário, valor de column6 se houver src_ip, caso contrário, valor de column6
dest_port	target.port	Valor de column10 se o formato de registro for SYSLOG, caso contrário, valor de column8 se houver src_ip, caso contrário, valor de column8
drop_reason	security_result.summary	Valor da coluna 26 se o formato do registro for SYSLOG, caso contrário, valor da coluna 19
eventId	additional.fields.eventId.string_value	Valor capturado no padrão grok
flow_id	additional.fields.flow_id.string_value	Valor da coluna 29 se o formato do registro for SYSLOG, caso contrário, valor da coluna 17
loglevel	security_result.severity	Se o valor do campo loglevel do padrão grok for `warning`, `debug` ou `notice`, então MEDIUM. Se o valor for `info` ou `informational`, então INFORMATIONAL. Se o valor for `err` ou `error`, então HIGH. Se o valor for `alert`, `crit` ou `emer`, então CRITICAL.
packetsReceived	network.received_packets	Valor da coluna 15 se o formato do registro for CSV sem src_ip
difusão reversa que restaura	target.application	Valor do campo de processo do padrão grok
protocol_number_src	network.ip_protocol	Valor da coluna 12 se o formato do registro for SYSLOG. Caso contrário, o valor extraído da variável ip_protocol_out
route_domain	additional.fields.route_domain.string_value	Valor da coluna 13 se o formato do registro for SYSLOG, caso contrário, valor da coluna 9
source_fqdn	additional.fields.source_fqdn.string_value	Valor da coluna 5 se o formato do registro for SYSLOG, caso contrário, valor da coluna 7
src_geo	additional.fields.src_geo.string_value	Valor da coluna 8
src_ip	principal.asset.ip, principal.ip	Valor da coluna 6 se o formato do registro for SYSLOG, valor da coluna 9 se o formato do registro for CSV sem src_ip, caso contrário, valor da coluna 5
src_port	principal.port	Valor da coluna 9 se o formato do registro for SYSLOG, valor da coluna 7 se o formato do registro for CSV sem src_ip, caso contrário, valor da coluna 7
ts	metadata.event_timestamp	Valor do campo ts do padrão grok
vlan	additional.fields.vlan.string_value	Valor da coluna 11 se o formato do registro for SYSLOG, caso contrário, valor da coluna 21
	metadata.event_type	Se src_ip e dest_ip existirem, NETWORK_CONNECTION. Se apenas src_ip existir, STATUS_UPDATE. Caso contrário, GENERIC_EVENT.
	metadata.log_type	F5_AFM
	metadata.product_name	Gerenciamento avançado de firewall
	metadata.vendor_name	F5
`partition`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`level`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`tty`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`attempts`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`start`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`end`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`prin_ip`	`event.idm.read_only_udm.principal.ip` e `event.idm.read_only_udm.principal.asset.ip`	Mapeado do registro de alterações
`internal_tag`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`src_zone`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`dest_zone`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`translated_dest_ip`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`translated_dest_port`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`translated_source_ip`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`translated_source_port`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`syslog_reporter_host`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`sa_translation_pool`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`sa_translation_type`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`translated_route_domain`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`send_to_vs`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`src_zone`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Mapeado do registro de alterações
`dest_zone`	`event.idm.read_only_udm.target.resource.attribute.labels`	Mapeado do registro de alterações
`acl_policy_name`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`acl_policy_type`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`chronicle_log_type`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`chronicle_namespace`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`flow_id`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`vlan`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`route_domain`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`partition_name`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`source_ipint_categories`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Mapeado do registro de alterações
`src_geo`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Mapeado do registro de alterações
`source_fqdn`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Mapeado do registro de alterações
`dest_ipint_categories`	`event.idm.read_only_udm.target.resource.attribute.labels`	Mapeado do registro de alterações
`dst_geo`	`event.idm.read_only_udm.target.resource.attribute.labels`	Mapeado do registro de alterações
`dest_fqdn`	`event.idm.read_only_udm.target.resource.attribute.labels`	Mapeado do registro de alterações
`acl_rule_name`	`event.idm.read_only_udm.security_result.rule_name`	Mapeado do registro de alterações
`acl_rule_id`	`event.idm.read_only_udm.security_result.rule_id`	Mapeado do registro de alterações
`action`	`event.idm.read_only_udm.security_result.action`	Mapeado do registro de alterações
`bigip_mgmt_ip`	`event.idm.read_only_udm.intermediary.ip`	Mapeado do registro de alterações
`context_name`	`event.idm.read_only_udm.target.resource.name`	Mapeado do registro de alterações
`context_type`	`event.idm.read_only_udm.target.resource.type`	Mapeado do registro de alterações
`date_time`	`event.idm.read_only_udm.metadata.event_timestamp`	Mapeado do registro de alterações
`dest_ip`	`event.idm.read_only_udm.target.ip` e `event.idm.read_only_udm.target.asset.ip`	Mapeado do registro de alterações
`net.peer.ip`	`event.idm.read_only_udm.target.ip` e `event.idm.read_only_udm.target.asset.ip`	Mapeado do registro de alterações
`dest_port`	`event.idm.read_only_udm.target.port`	Mapeado do registro de alterações
`net.peer.port`	`event.idm.read_only_udm.target.port`	Mapeado do registro de alterações
`device_version`	`event.idm.read_only_udm.metadata.product_version`	Mapeado do registro de alterações
`drop_reason`	`event.idm.read_only_udm.security_result.summary`	Mapeado do registro de alterações
`hostname`	`event.idm.read_only_udm.principal.hostname` e `event.idm.read_only_udm.principal.asset.hostname`	Mapeado do registro de alterações
`ip_protocol`	`event.idm.read_only_udm.network.ip_protocol`	Mapeado do registro de alterações
`source_ip`	`event.idm.read_only_udm.principal.ip` e `event.idm.read_only_udm.principal.asset.ip`	Mapeado do registro de alterações
`net.host.ip`	`event.idm.read_only_udm.principal.ip` e `event.idm.read_only_udm.principal.asset.ip`	Mapeado do registro de alterações
`source_port`	`event.idm.read_only_udm.principal.port`	Mapeado do registro de alterações
`net.host.port`	`event.idm.read_only_udm.principal.port`	Mapeado do registro de alterações
`errdefs_msg_name`	`event.idm.read_only_udm.metadata.product_event_type`	Mapeado do registro de alterações
`errdefs_msgno`	`event.idm.read_only_udm.metadata.product_log_id`	Mapeado do registro de alterações
`source_user`	`event.idm.read_only_udm.principal.user.userid`	Mapeado do registro de alterações
`source_user_group`	`event.idm.read_only_udm.principal.user.group_identifiers`	Mapeado do registro de alterações
`severity`	`event.idm.read_only_udm.security_result.severity_details`	Mapeado do registro de alterações
`dvchost`	`event.idm.read_only_udm.intermediary.hostname` e `event.idm.read_only_udm.intermediary.asset.hostname`	Mapeado do registro de alterações
`dvc`	`event.idm.read_only_udm.intermediary.ip` e `event.idm.read_only_udm.intermediary.asset.ip`	Mapeado do registro de alterações
`c6a2`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Mapeado do registro de alterações
`F5SrcZone`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Mapeado do registro de alterações
`F5SrcFqdn`	`event.idm.read_only_udm.principal.resource.attribute.labels`	Mapeado do registro de alterações
`F5SrcUser`	`event.idm.read_only_udm.principal.user.attribute.labels`	Mapeado do registro de alterações
`c6a3`	`event.idm.read_only_udm.target.resource.attribute.labels`	Mapeado do registro de alterações
`F5DstZone`	`event.idm.read_only_udm.target.resource.attribute.labels`	Mapeado do registro de alterações
`F5DstVlan`	`event.idm.read_only_udm.target.resource.attribute.labels`	Mapeado do registro de alterações
`F5DstFqdn`	`event.idm.read_only_udm.target.resource.attribute.labels`	Mapeado do registro de alterações
`F5SendToVs`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`F5SrcIpiCategories`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`F5DstIpiCategories`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`module`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`tid`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`cpu`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`cmd_line`	`event.idm.read_only_udm.target.process.command_line`	Mapeado do registro de alterações
`msg_data`	`event.idm.read_only_udm.security_result.summary`	Mapeado do registro de alterações
`pid`	`event.idm.read_only_udm.principal.process.pid`	Mapeado do registro de alterações
`user`	`event.idm.read_only_udm.principal.user.userid`	Mapeado do registro de alterações
`folder_path`	`event.idm.read_only_udm.principal.file.full_path`	Mapeado do registro de alterações
`status`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`cmd_data`	`event.idm.read_only_udm.additional.fields`	Mapeado do registro de alterações
`target_ip`	`event.idm.read_only_udm.target.ip` e `event.idm.read_only_udm.target.asset.ip`	Mapeado do registro de alterações
`desc`	`metadata.description`	Mapeado do registro de alterações
`prin_port`	`principal.port`	Mapeado do registro de alterações
`target_port`	`target.port`	Mapeado do registro de alterações
`ts2`	`metadata.event_timestamp`	Mapeado do registro de alterações
`tls_ver`	`network.tls.version`	Mapeado do registro de alterações
`cipher`	`network.tls.cipher`	Mapeado do registro de alterações
`prod_event_type`	`metadata.product_event_type`	Mapeado do registro de alterações
`path`	`target.url`	Mapeado do registro de alterações
`response_size`	`network.sent_bytes`	Mapeado do registro de alterações
`received_size`	`network.received_bytes`	Mapeado do registro de alterações
`usr`	`principal.user.userid`	Mapeado do registro de alterações
`schema_version`	`target.resource.attribute.labels`	Mapeado do registro de alterações
`severity_info`	`security_result.severity_details`	Mapeado do registro de alterações
`target_pid`	`target.process.pid`	Mapeado do registro de alterações
`additional1`	`additional.fields`	Mapeado do registro de alterações
`dvc`	`intermediary.hostname`	Mapeado do registro de alterações
`metadata.event_type`	`USER_UNCATEGORIZED`	Mapeado do registro de alterações
`prin_ip`	`principal.ip`	Mapeado do registro de alterações
`F5FlowID`	`additional.fields`	Mapeado do registro de alterações
`F5TranslatedVlan`	`additional.fields`	Mapeado do registro de alterações
`F5SrcTranslationType`	`additional.fields`	Mapeado do registro de alterações
`F5SrcTranslationPool`	`additional.fields`	Mapeado do registro de alterações
`F5SrcGeo`	`additional.fields`	Mapeado do registro de alterações
`F5DstGeo`	`additional.fields`	Mapeado do registro de alterações
`F5RouteDomain`	`additional.fields`	Mapeado do registro de alterações
`Column12`	`security_result.detection_fields`	Mapeado do registro de alterações
`Column14`	`security_result.action`	Mapeado do registro de alterações

Registro de alterações

Confira o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.