ADVA Fiber Service Platform 로그 수집
다음에서 지원:
Google secops
SIEM
이 문서에서는 Bindplane을 사용하여 ADVA Fiber Service Platform (ADVA FSP) 로그를 Google Security Operations로 수집하는 방법을 설명합니다. 파서는 스위치 및 라우터 syslog 메시지에서 필드를 추출하여 키-값 쌍으로 변환합니다. 그런 다음 추출된 필드와 값을 Chronicle UDM 스키마 내의 해당 필드에 매핑하여 보안 분석을 위한 데이터를 보강합니다.
시작하기 전에
다음 기본 요건이 충족되었는지 확인합니다.
- Google SecOps 인스턴스
systemd가 설치된 Windows 2012 SP2 이상 또는 Linux 호스트- 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
- ADVA FSP 기기 관리 콘솔에 대한 권한 액세스
Google SecOps 수집 인증 파일 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 수집 에이전트로 이동합니다.
- 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.
Google SecOps 고객 ID 가져오기
- Google SecOps 콘솔에 로그인합니다.
- SIEM 설정 > 프로필로 이동합니다.
- 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.
Bindplane 에이전트 설치
다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.
Windows 설치
- 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.
다음 명령어를 실행합니다.
msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
Linux 설치
- 루트 또는 sudo 권한으로 터미널을 엽니다.
다음 명령어를 실행합니다.
sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
추가 설치 리소스
- 추가 설치 옵션은 이 설치 가이드를 참고하세요.
Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성
구성 파일에 액세스합니다.
config.yaml파일을 찾습니다. 일반적으로 Linux에서는/etc/bindplane-agent/디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.- 텍스트 편집기 (예:
nano,vi, 메모장)를 사용하여 파일을 엽니다.
config.yaml파일을 수정합니다. 다음은 두 가지 작동하는 수신기 옵션입니다. 기기에서 로그를 전송하는 방식과 일치하는 옵션을 선택하세요.- 옵션 A - UDP 로그 수신기 (간단한 UDP)
receivers: udplog: listen_address: "0.0.0.0:514" exporters: chronicle/chronicle_w_labels: compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: <CUSTOMER_ID> endpoint: malachiteingestion-pa.googleapis.com log_type: 'ADVA_FSP' raw_log_field: body ingestion_labels: service: pipelines: logs/adva-fsp: receivers: - udplog exporters: - chronicle/chronicle_w_labels- 옵션 B - Syslog 수신기 (엄격한 syslog 프레이밍에 권장)
receivers: syslog: tcp: listen_address: "0.0.0.0:514" protocol: rfc5424 # or rfc3164 if your device uses BSD syslog exporters: chronicle/chronicle_w_labels: compression: gzip creds_file_path: '/path/to/ingestion-authentication-file.json' customer_id: <CUSTOMER_ID> endpoint: malachiteingestion-pa.googleapis.com log_type: 'ADVA_FSP' raw_log_field: body ingestion_labels: source: 'adva-fsp' env: 'production' service: pipelines: logs/adva-fsp: receivers: - syslog exporters: - chronicle/chronicle_w_labels- 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.
<CUSTOMER_ID>를 실제 고객 ID로 바꿉니다.- Google SecOps 수집 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로
/path/to/ingestion-authentication-file.json를 업데이트합니다.
Bindplane 에이전트를 다시 시작하여 변경사항 적용
Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.
sudo systemctl restart bindplane-agentWindows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.
net stop BindPlaneAgent && net start BindPlaneAgentADVA FSP에서 Syslog 전달 구성
- ADVA FSP 관리 콘솔에 로그인합니다.
- 노드 > 일반 > 제어로 이동합니다.
- 원격 이벤트 수신자 (SysLog) 섹션에서 추가를 클릭합니다.
- 다음 구성 세부정보를 제공합니다.
- IPv4/v6 주소: Bindplane 에이전트 IP 주소를 입력합니다.
- 포트: Bindplane 에이전트 포트 번호를 입력합니다 (예:
514). - 프로토콜: 실제 Bindplane 에이전트 구성에 따라 UDP 또는 TCP를 선택합니다.
- 메시지 확장 프로그램: 선택사항: 사용자 라벨 추가를 클릭하여 메시지에 식별자를 추가합니다.
- 저장을 클릭하여 구성을 활성화합니다.
UDM 매핑 테이블
| 로그 필드 | UDM 매핑 | 논리 |
|---|---|---|
| ACCESSORDER | additional.fields.value.string_value | 값은 원시 로그의 ACCESSORDER 필드에서 가져옵니다. |
| ADDRESS | principal.ip | 이 값은 원시 로그의 ADDRESS 필드에서 가져와 IP 주소로 파싱됩니다. |
| ADMINSTATE | additional.fields.value.string_value | 이 값은 원시 로그의 ADMINSTATE 필드에서 가져옵니다. |
| AISCLIENTMDLEVEL | additional.fields.value.string_value | 이 값은 원시 로그의 AISCLIENTMDLEVEL 필드에서 가져옵니다. |
| AISGENENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 AISGENENABLED 필드에서 가져옵니다. |
| AISPRIORITY | additional.fields.value.string_value | 값은 원시 로그의 AISPRIORITY 필드에서 가져옵니다. |
| AISTXPERIOD | additional.fields.value.string_value | 값은 원시 로그의 AISTXPERIOD 필드에서 가져옵니다. |
| AISTRIGGERTYPES | additional.fields.value.string_value | 값은 원시 로그의 AISTRIGGERTYPES 필드에서 가져옵니다. |
| BUFFERSIZE | additional.fields.value.string_value | 값은 원시 로그의 BUFFERSIZE 필드에서 가져옵니다. |
| CCIENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 CCIENABLED 필드에서 가져옵니다. |
| CCMINTERFACESTATUSTLVCONTROL | additional.fields.value.string_value | 값은 원시 로그의 CCMINTERFACESTATUSTLVCONTROL 필드에서 가져옵니다. |
| CCMLTMPRIORITY | additional.fields.value.string_value | 이 값은 원시 로그의 CCMLTMPRIORITY 필드에서 가져옵니다. |
| CFMTAGETHERTYPE | additional.fields.value.string_value | 이 값은 원시 로그의 CFMTAGETHERTYPE 필드에서 가져옵니다. |
| CIR | additional.fields.value.string_value | 이 값은 원시 로그의 CIR 필드에서 가져옵니다. |
| COS | additional.fields.value.string_value | 값은 원시 로그의 COS 필드에서 가져옵니다. |
| CT | metadata.description | 값은 원시 로그의 CT 필드에서 가져옵니다. |
| DESTBMAC | target.mac | 이 값은 원시 로그의 DESTBMAC 필드에서 가져와 MAC 주소로 파싱됩니다. |
| DHCPCIDENABLED | additional.fields.value.string_value | 값은 원시 로그의 DHCPCIDENABLED 필드에서 가져옵니다. |
| DHCPENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 DHCPENABLED 필드에서 가져옵니다. |
| DHCPHOSTNAME | network.dhcp.client_hostname | 값은 원시 로그의 DHCPHOSTNAME 필드에서 가져옵니다. |
| DHCPHOSTNAMEENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 DHCPHOSTNAMEENABLED 필드에서 가져옵니다. |
| DHCPHOSTNAMETYPE | additional.fields.value.string_value | 값은 원시 로그의 DHCPHOSTNAMETYPE 필드에서 가져옵니다. |
| DHCPLOGSERVERENABLED | additional.fields.value.string_value | 값은 원시 로그의 DHCPLOGSERVERENABLED 필드에서 가져옵니다. |
| DHCPNTPSERVERENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 DHCPNTPSERVERENABLED 필드에서 가져옵니다. |
| DHCPV6CIDENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 DHCPV6CIDENABLED 필드에서 가져옵니다. |
| DHCPV6ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 DHCPV6ENABLED 필드에서 가져옵니다. |
| DHCPV6ROLE | additional.fields.value.string_value | 값은 원시 로그의 DHCPV6ROLE 필드에서 가져옵니다. |
| DHCPVENDORINFOTYPE | additional.fields.value.string_value | 값은 원시 로그의 DHCPVENDORINFOTYPE 필드에서 가져옵니다. |
| DIR | additional.fields.value.string_value | 값은 원시 로그의 DIR 필드에서 가져옵니다. |
| 안내(DIRECTION) | network.direction | 원시 로그의 DIRECTION 필드가 'UP' (대소문자 구분 안 함)이면 값은 'OUTBOUND'로 설정되고, 'DOWN'이면 'INBOUND'로 설정되며, 그렇지 않으면 비워 둡니다. |
| ENCAPSULATIONTYPE | additional.fields.value.string_value | 이 값은 원시 로그의 ENCAPSULATIONTYPE 필드에서 가져옵니다. |
| GUARANTEEDA2NBW | additional.fields.value.string_value | 값은 원시 로그의 GUARANTEEDA2NBW 필드에서 가져옵니다. |
| HCOSMGMTENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 HCOSMGMTENABLED 필드에서 가져옵니다. |
| INT | additional.fields.value.string_value | 값은 원시 로그의 INT 필드에서 가져옵니다. |
| IPMODE | additional.fields.value.string_value | 값은 원시 로그의 IPMODE 필드에서 가져옵니다. |
| IPV6ADDR | principal.ip | 이 값은 원시 로그의 IPV6ADDR 필드에서 가져와 IP 주소로 파싱됩니다. |
| IPV6ADDRPREFIXLENGTH | additional.fields.value.string_value | 값은 원시 로그의 IPV6ADDRPREFIXLENGTH 필드에서 가져옵니다. |
| IPV6MTU | additional.fields.value.string_value | 값은 원시 로그의 IPV6MTU 필드에서 가져옵니다. |
| ITAG | additional.fields.value.string_value | 값은 원시 로그의 ITAG 필드에서 가져옵니다. |
| ITAGENABLED | additional.fields.value.string_value | 값은 원시 로그의 ITAGENABLED 필드에서 가져옵니다. |
| LBMTXDESTTYPE | additional.fields.value.string_value | 값은 원시 로그의 LBMTXDESTTYPE 필드에서 가져옵니다. |
| LBMTXNUMMSGS | additional.fields.value.string_value | 값은 원시 로그의 LBMTXNUMMSGS 필드에서 가져옵니다. |
| LBMTXVLANDROPENABLE | additional.fields.value.string_value | 이 값은 원시 로그의 LBMTXVLANDROPENABLE 필드에서 가져옵니다. |
| LBMTXVLANPRIORITY | additional.fields.value.string_value | 이 값은 원시 로그의 LBMTXVLANPRIORITY 필드에서 가져옵니다. |
| LLRESPONDERENABLED | additional.fields.value.string_value | 값은 원시 로그의 LLRESPONDERENABLED 필드에서 가져옵니다. |
| LLVIDLIST | additional.fields.value.string_value | 값은 원시 로그의 LLVIDLIST 필드에서 가져옵니다. |
| LMDUALENDEDCOUNTALLPRIOS | additional.fields.value.string_value | 이 값은 원시 로그의 LMDUALENDEDCOUNTALLPRIOS 필드에서 가져옵니다. |
| LMINPROFILEONLY | additional.fields.value.string_value | 이 값은 원시 로그의 LMINPROFILEONLY 필드에서 가져옵니다. |
| LMRXCOUNTALLPRIOS | additional.fields.value.string_value | 이 값은 원시 로그의 LMRXCOUNTALLPRIOS 필드에서 가져옵니다. |
| LMTXCOUNTALLPRIOS | additional.fields.value.string_value | 이 값은 원시 로그의 LMTXCOUNTALLPRIOS 필드에서 가져옵니다. |
| LOC | additional.fields.value.string_value | 값은 원시 로그의 LOC 필드에서 가져옵니다. |
| LOCN | additional.fields.value.string_value | 값은 원시 로그의 LOCN 필드에서 가져옵니다. |
| LOGINTIMEOUT | additional.fields.value.string_value | 값은 원시 로그의 LOGINTIMEOUT 필드에서 가져옵니다. |
| LOOPBACKBLOCKINGENABLED | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKBLOCKINGENABLED 필드에서 가져옵니다. |
| LOOPBACKCONFIG | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKCONFIG 필드에서 가져옵니다. |
| LOOPBACKDESTMAC | target.mac | 이 값은 원시 로그의 LOOPBACKDESTMAC 필드에서 가져와 MAC 주소로 파싱됩니다. |
| LOOPBACKDESTMACCONTROL | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKDESTMACCONTROL 필드에서 가져옵니다. |
| LOOPBACKINNERVLAN1 | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKINNERVLAN1 필드에서 가져옵니다. |
| LOOPBACKINNERVLAN1ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKINNERVLAN1ENABLED 필드에서 가져옵니다. |
| LOOPBACKINNERVLAN2 | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKINNERVLAN2 필드에서 가져옵니다. |
| LOOPBACKINNERVLAN2ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKINNERVLAN2ENABLED 필드에서 가져옵니다. |
| LOOPBACKINNERVLAN3 | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKINNERVLAN3 필드에서 가져옵니다. |
| LOOPBACKINNERVLAN3ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKINNERVLAN3ENABLED 필드에서 가져옵니다. |
| LOOPBACKOUTERITAG1 | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERITAG1 필드에서 가져옵니다. |
| LOOPBACKOUTERITAG1ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERITAG1ENABLED 필드에서 가져옵니다. |
| LOOPBACKOUTERITAG2 | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERITAG2 필드에서 가져옵니다. |
| LOOPBACKOUTERITAG2ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERITAG2ENABLED 필드에서 가져옵니다. |
| LOOPBACKOUTERITAG3 | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERITAG3 필드에서 가져옵니다. |
| LOOPBACKOUTERITAG3ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERITAG3ENABLED 필드에서 가져옵니다. |
| LOOPBACKOUTERVLAN1 | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKOUTERVLAN1 필드에서 가져옵니다. |
| LOOPBACKOUTERVLAN1ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERVLAN1ENABLED 필드에서 가져옵니다. |
| LOOPBACKOUTERVLAN2 | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERVLAN2 필드에서 가져옵니다. |
| LOOPBACKOUTERVLAN2ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERVLAN2ENABLED 필드에서 가져옵니다. |
| LOOPBACKOUTERVLAN3 | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKOUTERVLAN3 필드에서 가져옵니다. |
| LOOPBACKOUTERVLAN3ENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKOUTERVLAN3ENABLED 필드에서 가져옵니다. |
| LOOPBACKSOURCEMAC | principal.mac | 값은 원시 로그의 LOOPBACKSOURCEMAC 필드에서 가져와 MAC 주소로 파싱됩니다. |
| LOOPBACKSWAPSADA | additional.fields.value.string_value | 값은 원시 로그의 LOOPBACKSWAPSADA 필드에서 가져옵니다. |
| LOOPBACKTIMER | additional.fields.value.string_value | 이 값은 원시 로그의 LOOPBACKTIMER 필드에서 가져옵니다. |
| LOWESTPRIODEFECT | additional.fields.value.string_value | 이 값은 원시 로그의 LOWESTPRIODEFECT 필드에서 가져옵니다. |
| LTMTXDESTTYPE | additional.fields.value.string_value | 값은 원시 로그의 LTMTXDESTTYPE 필드에서 가져옵니다. |
| LTMTXEGRESSID | metadata.product_log_id | 이 값은 원시 로그의 LTMTXEGRESSID 필드에서 가져옵니다. |
| LTMTXFLAGS | additional.fields.value.string_value | 이 값은 원시 로그의 LTMTXFLAGS 필드에서 가져옵니다. |
| LTMTXTTL | additional.fields.value.string_value | 값은 원시 로그의 LTMTXTTL 필드에서 가져옵니다. |
| MT | additional.fields.value.string_value | 이 값은 원시 로그의 MT 필드에서 가져옵니다. |
| MAXIMUMA2NBW | additional.fields.value.string_value | 이 값은 원시 로그의 MAXIMUMA2NBW 필드에서 가져옵니다. |
| MVAL | additional.fields.value.string_value | 값은 원시 로그의 MVAL 필드에서 가져옵니다. |
| 이름 | additional.fields.value.string_value | 값은 원시 로그의 NAME 필드에서 가져옵니다. |
| NC | additional.fields.value.string_value | 이 값은 원시 로그의 NC 필드에서 가져옵니다. |
| PORTEID | additional.fields.value.string_value | 값은 원시 로그의 PORTEID 필드에서 가져옵니다. |
| PORTLLENABLED | additional.fields.value.string_value | 값은 원시 로그의 PORTLLENABLED 필드에서 가져옵니다. |
| PRIMARYSERVER | target.ip | 이 값은 원시 로그의 PRIMARYSERVER 필드에서 가져와 IP 주소로 파싱됩니다. |
| PRIMARYVID | additional.fields.value.string_value | 이 값은 원시 로그의 PRIMARYVID 필드에서 가져옵니다. |
| QUEUEPROFILEID | additional.fields.value.string_value | 이 값은 원시 로그의 QUEUEPROFILEID 필드에서 가져옵니다. |
| RXSHAPEREID | additional.fields.value.string_value | 값은 원시 로그의 RXSHAPEREID 필드에서 가져옵니다. |
| SATRESPONDENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 SATRESPONDENABLED 필드에서 가져옵니다. |
| SE | additional.fields.value.string_value | 값은 원시 로그의 SE 필드에서 가져옵니다. |
| SHAREDVIM | additional.fields.value.string_value | 값은 원시 로그의 SHAREDVIM 필드에서 가져옵니다. |
| SVLANENABLED | additional.fields.value.string_value | 이 값은 원시 로그의 SVLANENABLED 필드에서 가져옵니다. |
| SVLANID | additional.fields.value.string_value | 값은 원시 로그의 SVLANID 필드에서 가져옵니다. |
| SYSLOCATION | principal.location.country_or_region | 값은 원시 로그의 SYSLOCATION 필드에서 가져옵니다. |
| THVAL | additional.fields.value.string_value | 값은 원시 로그의 THVAL 필드에서 가져옵니다. |
| 유형 | additional.fields.value.string_value | 값은 원시 로그의 TYPE 필드에서 가져옵니다. |
| USERACCESSTYPE | additional.fields.value.string_value | 값은 원시 로그의 USERACCESSTYPE 필드에서 가져옵니다. |
| USERAUTHKEY | additional.fields.value.string_value | 값은 원시 로그의 USERAUTHKEY 필드에서 가져옵니다. |
| USERAUTHKEYLOCAL | additional.fields.value.string_value | 값은 원시 로그의 USERAUTHKEYLOCAL 필드에서 가져옵니다. |
| USERAUTHPROTOCOL | additional.fields.value.string_value | 값은 원시 로그의 USERAUTHPROTOCOL 필드에서 가져옵니다. |
| USERENGINEID | additional.fields.value.string_value | 이 값은 원시 로그의 USERENGINEID 필드에서 가져옵니다. |
| USERKEYSLOCAL | additional.fields.value.string_value | 값은 원시 로그의 USERKEYSLOCAL 필드에서 가져옵니다. |
| USERNAME | principal.user.userid | 값은 원시 로그의 USERNAME 필드에서 가져옵니다. |
| USERPRIVKEY | additional.fields.value.string_value | 값은 원시 로그의 USERPRIVKEY 필드에서 가져옵니다. |
| USERPRIVKEYLOCAL | additional.fields.value.string_value | 값은 원시 로그의 USERPRIVKEYLOCAL 필드에서 가져옵니다. |
| USERPRIVPROTOCOL | additional.fields.value.string_value | 값은 원시 로그의 USERPRIVPROTOCOL 필드에서 가져옵니다. |
| USERSECURITYLEVEL | additional.fields.value.string_value | 값은 원시 로그의 USERSECURITYLEVEL 필드에서 가져옵니다. |
| USERSECURITYNAME | principal.user.user_display_name | 이 값은 원시 로그의 USERSECURITYNAME 필드에서 가져옵니다. |
| 애플리케이션 | principal.application | 값은 grok 파서로 추출된 애플리케이션 필드에서 가져옵니다. |
| 설명 | security_result.description | 값은 grok 파서로 추출된 설명 필드에서 가져옵니다. |
| metadata.description | 원시 로그의 CT 필드가 'Backup NTP Server Failed'인 경우 값은 'Backup NTP Server Failed'로 설정됩니다. | |
| metadata.event_timestamp.seconds | 값은 grok 파서로 추출된 타임스탬프 필드에서 가져와 에포크 초로 변환됩니다. | |
| metadata.event_type | 값은 다음 논리에 따라 설정됩니다. - network_dhcp_present가 true이고 principal_present 또는 target_present가 true인 경우 NETWORK_DHCP - target_present 및 principal_present가 모두 true인 경우 NETWORK_CONNECTION - user_present가 true인 경우 USER_RESOURCE_ACCESS - principal_present가 true인 경우 STATUS_UPDATE - 그렇지 않으면 GENERIC_EVENT |
|
| metadata.product_log_id | 이 값은 원시 로그의 LTMTXEGRESSID 필드에서 가져옵니다. | |
| metadata.product_name | 값은 'ADVA_FSP'로 설정됩니다. | |
| metadata.vendor_name | 값은 'ADVA_FSP'로 설정됩니다. | |
| network.application_protocol | network_dhcp_present가 true이고 principal_present 또는 target_present가 true이면 값이 'DHCP'로 설정됩니다. | |
| principal.hostname | 이 값은 Grok 파서에 의해 추출된 principal_hostname 필드에서 가져오며, 밑줄이 삭제됩니다. | |
| principal.ip | 이 값은 원시 로그의 IPADDR 필드에서 가져와 IP 주소로 파싱됩니다. | |
| timestamp.seconds | 값은 grok 파서로 추출된 타임스탬프 필드에서 가져와 에포크 초로 변환됩니다. |
도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.