Mengumpulkan log AppOmni

Versi Parser: 6.0

Didukung di:

Dokumen ini menjelaskan cara mengonfigurasi AppOmni untuk mengirim log ke Google Security Operations menggunakan webhook.

AppOmni adalah platform keamanan SaaS yang menyediakan pengelolaan postur, deteksi ancaman, dan pemantauan eksposur data berkelanjutan di seluruh aplikasi SaaS perusahaan, termasuk Salesforce, Microsoft 365, ServiceNow, Workday, Google Workspace, Box, dan Zoom. AppOmni menormalisasi ratusan jenis peristiwa dari aplikasi SaaS yang dipantau dan dapat melakukan streaming pemberitahuan, peristiwa, dan temuan postur ke tujuan SIEM eksternal menggunakan fitur Streaming Peristiwa.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Akun AppOmni dengan izin administrator
  • Akses ke Konsol Google Cloud (untuk pembuatan kunci API)
  • Modul AppOmni Threat Detection diaktifkan di instance Anda
  • Setidaknya satu aplikasi SaaS yang dipantau terhubung dan menyerap peristiwa di AppOmni

Membuat feed webhook di Google SecOps

Membuat feed

  1. Buka SIEM Settings > Feeds.
  2. Klik Tambahkan Feed Berita Baru.
  3. Di halaman berikutnya, klik Konfigurasi satu feed.
  4. Di kolom Nama feed, masukkan nama untuk feed (misalnya, AppOmni Events).
  5. Pilih Webhook sebagai Jenis sumber.
  6. Pilih AppOmni sebagai Jenis log.
  7. Klik Berikutnya.
  8. Tentukan nilai untuk parameter input berikut:
    • Pemisah pemisahan: Masukkan \n (pemisah baris baru untuk payload NDJSON)
    • Namespace aset: Namespace aset
    • Label penyerapan: Label yang akan diterapkan ke peristiwa dari feed ini
  9. Klik Berikutnya.
  10. Tinjau konfigurasi feed berita baru Anda di layar Selesaikan, lalu klik Kirim.

Membuat dan menyimpan kunci rahasia

Setelah membuat feed, Anda harus membuat kunci rahasia untuk autentikasi:

  1. Di halaman detail feed, klik Buat Kunci Rahasia.
  2. Dialog akan menampilkan kunci rahasia.
  3. Salin dan simpan kunci rahasia dengan aman.

Mendapatkan URL endpoint feed

  1. Buka tab Detail untuk feed tersebut.
  2. Di bagian Endpoint Information, salin Feed endpoint URL.

  3. Format URL-nya adalah:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    Dengan {region} adalah region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1), dan {parent} adalah jalur resource dalam format projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE>.

  4. Simpan URL ini untuk langkah berikutnya.

  5. Klik Done.

Membuat kunci Google Cloud API

Google SecOps memerlukan kunci API untuk autentikasi. Buat kunci API yang dibatasi di Konsol Google Cloud.

Membuat kunci API

  1. Buka halaman Credentials Konsol Google Cloud.
  2. Pilih project Anda (project yang terkait dengan instance Google SecOps Anda).
  3. Klik Create credentials > kunci API.
  4. Kunci API akan dibuat dan ditampilkan dalam dialog.
  5. Klik Edit API key untuk membatasi kunci.

Membatasi kunci API

  1. Di halaman setelan kunci API:
    • Nama: Masukkan nama deskriptif (misalnya, Chronicle Webhook API Key)
  2. Di bagian API restrictions:
    1. Pilih Restrict key.
    2. Di dropdown Select APIs, telusuri dan pilih Google SecOps API (atau Chronicle API).
  3. Klik Simpan.
  4. Salin nilai kunci API dari kolom API key di bagian atas halaman.

  5. Simpan kunci API dengan aman.

Mengonfigurasi tujuan Streaming Peristiwa AppOmni

Membuat URL webhook

  • Gabungkan URL endpoint, kunci API, dan kunci rahasia Google SecOps:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

  • Contoh:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

Membuat tujuan Webhook Kustom di AppOmni

  1. Login ke instance AppOmni Anda di https://<your-organization>.appomni.com.
  2. Buka Deteksi Ancaman > Tujuan.
  3. Klik Tambahkan Tujuan Baru.
  4. Klik kartu Webhook Kustom.
  5. Berikan detail konfigurasi berikut:
    • Name: Masukkan nama deskriptif (misalnya, Chronicle SIEM Webhook)
    • Description (opsional): Masukkan deskripsi (misalnya, Stream AppOmni events to SIEM via webhook)

  6. Konfigurasikan setelan pengiriman berikut:

    • URL: Tempelkan URL webhook lengkap dengan kunci API dan kunci rahasia yang ditambahkan sebagai parameter kueri:

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY

    • SSL Verification: Pilih kotak centang ini (direkomendasikan)

    • Hash Original Field (opsional): Centang kotak ini untuk mengganti kolom peristiwa asli dari aplikasi SaaS yang dipantau dengan hash SHA256, sehingga mengurangi ukuran peristiwa

    • Ukuran Peristiwa Maksimum (opsional): Biarkan pada setelan default atau tetapkan nilai kustom

    • Ukuran Payload Maksimum (opsional): Biarkan pada setelan default atau tetapkan nilai kustom

  7. Pilih Jenis Data yang ingin Anda streaming ke Google SecOps:

    • Pemberitahuan: Pemberitahuan deteksi ancaman yang dihasilkan oleh aturan AppOmni (direkomendasikan)
    • Peristiwa: Peristiwa aktivitas SaaS yang dinormalisasi yang dikumpulkan dari aplikasi yang dipantau (direkomendasikan)
    • Kebijakan: Temuan pengelolaan postur untuk kepatuhan konfigurasi

  8. Klik Simpan.

Memverifikasi tujuan

  1. Di AppOmni, buka Deteksi Ancaman > Tujuan.
  2. Temukan tujuan yang Anda buat.
  3. Pastikan status tujuan ditampilkan sebagai aktif.
  4. Tunggu AppOmni membuat dan menstreaming peristiwa berdasarkan aplikasi SaaS yang Anda pantau.

  5. Verifikasi peristiwa di Google SecOps:

    1. Buka SIEM Settings > Feeds.
    2. Klik feed AppOmni Anda.
    3. Buka tab Status.
    4. Pastikan peristiwa diterima.

Jenis peristiwa AppOmni

AppOmni menormalisasi peristiwa SaaS menggunakan Skema Peristiwa Umum AppOmni (ACES), yang didasarkan pada Skema Umum Elastic (ECS). Kategori peristiwa berikut biasanya di-streaming:

Kategori Deskripsi Contoh
Autentikasi Peristiwa autentikasi pengguna Login, logout, verifikasi MFA, peristiwa SSO
Konfigurasi Perubahan konfigurasi aplikasi Perubahan izin, pembaruan kebijakan, modifikasi peran
Akses data Peristiwa akses dan berbagi data Download file, tampilan data, perubahan berbagi
Administratif Tindakan administratif Pembuatan pengguna, perubahan grup, penginstalan aplikasi
Deteksi ancaman Notifikasi yang dibuat AppOmni Perilaku anomali, eskalasi hak istimewa, indikator pemindahan data yang tidak sah

Referensi metode autentikasi

Feed webhook Google SecOps mendukung beberapa metode autentikasi. Pilih metode yang didukung oleh vendor Anda.

Tujuan Webhook Kustom AppOmni mendukung autentikasi berbasis URL. Tambahkan kredensial ke URL webhook.

  • Format URL:

      <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

  • Contoh:

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

Metode 2: Header kustom

Jika versi AppOmni Anda mendukung header HTTP kustom untuk tujuan webhook, Anda dapat menggunakan autentikasi berbasis header untuk meningkatkan keamanan.

  • Header:

      x-goog-chronicle-auth: <API_KEY>
  x-chronicle-auth: <SECRET_KEY>

Kelebihan:

  • Kunci API dan secret tidak terlihat di URL
  • Lebih aman (header tidak dicatat dalam log akses server web)

Batasan dan praktik terbaik webhook

Batas permintaan

Batas Nilai
Ukuran permintaan maksimum 4 MB
QPS Maks (kueri per detik) 15.000
Waktu tunggu permintaan 30 seconds
Perilaku percobaan ulang Otomatis dengan backoff eksponensial

Praktik terbaik

  • Pilih hanya jenis data yang Anda perlukan untuk mengurangi volume peristiwa dan biaya penyerapan.
  • Aktifkan Verifikasi SSL untuk memastikan transmisi data yang aman.
  • Pantau status tujuan di AppOmni secara rutin untuk mengetahui kegagalan pengiriman.
  • Pertimbangkan untuk mengaktifkan opsi Hash Original Field jika payload peristiwa berukuran besar.
  • Gunakan jenis data Peristiwa untuk cakupan log audit SaaS yang komprehensif di SIEM Anda.
  • Gunakan jenis data Pemberitahuan untuk peristiwa deteksi ancaman prioritas tinggi yang memerlukan triase segera.

Pemecahan masalah

Peristiwa tidak muncul di Google SecOps

Penyebab: Peristiwa dikirim, tetapi tidak diserap

Solusi:

  1. Buka SIEM Settings > Feeds di Google SecOps.
  2. Klik feed AppOmni Anda.
  3. Buka tab Status.
  4. Periksa apakah ada error penyerapan.
  5. Pastikan jenis log disetel ke AppOmni.
  6. Pastikan kunci rahasia di URL webhook cocok dengan kunci rahasia yang dibuat selama pembuatan feed.

Tujuan menampilkan error di AppOmni

Penyebab: Endpoint Google SecOps tidak dapat dijangkau atau menampilkan status non-2xx

Solusi:

  1. Pastikan URL endpoint Google SecOps sudah benar.
  2. Pastikan kunci API valid dan memiliki akses Google SecOps API.

  3. Uji endpoint secara manual:

    curl -X POST "https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY" \
    -H "Content-Type: application/json" \
    -d '{"test": "event"}'

  4. Jika pengujian berhasil, periksa konfigurasi tujuan AppOmni untuk menemukan kesalahan ketik atau format URL yang salah.

Payload melebihi ukuran maksimum

Penyebab: AppOmni mengirim payload yang lebih besar dari 4 MB

Solusi:

  1. Di AppOmni, buka Threat Detection > Destinations.
  2. Klik tujuan.
  3. Kurangi Ukuran Payload Maksimum ke nilai di bawah 4 MB.
  4. Aktifkan Hash Kolom Asli untuk mengurangi ukuran setiap peristiwa.
  5. Klik Simpan.

Tabel pemetaan UDM

Kolom Log Pemetaan UDM Logika
additional_normalstatedata additional.fields Digabung
additional_normalstatedatacounts additional.fields Digabung
additional_normalstatedataresults additional.fields Digabung
additional_normalstatedomaincounts additional.fields Digabung
additional_normalstatedomainresults additional.fields Digabung
additional_normalstatenameresults additional.fields Digabung
additional_rarestatedata additional.fields Digabung
additional_rarestatedatacounts additional.fields Digabung
additional_rarestatedataresults additional.fields Digabung
additional_rarestatedomaincounts additional.fields Digabung
additional_rarestatedomainresults additional.fields Digabung
additional_rarestatenameresults additional.fields Digabung
anomalous_domain additional.fields Digabung
anomalous_fields_source_as_ip_label additional.fields Digabung
anomalous_fields_source_as_number_label additional.fields Digabung
appomni_service_slug_label additional.fields Digabung
changes_user_indicator_label additional.fields Digabung
configuration_name_label additional.fields Digabung
configuration_old_value_label additional.fields Digabung
configuration_value_label additional.fields Digabung
destination_as_service_label additional.fields Digabung
destination_as_type_label additional.fields Digabung
destination_indicators_label additional.fields Digabung
destination_user_indicators_label additional.fields Digabung
enrichments_value_label additional.fields Digabung
event_duration additional.fields Digabung
file_directory_label additional.fields Digabung
has_normal_state_authentication_name_counts additional.fields Dipetakan: true → additional_normalstatedatacounts
has_normal_state_authentication_name_results additional.fields Dipetakan: true → additional_normalstatenameresults
has_normal_state_authentication_raw_method_count additional.fields Dipetakan: true → additional_normalstatedata
has_normal_state_authentication_raw_method_results additional.fields Dipetakan: true → additional_normalstatedataresults
has_normal_state_domain_counts additional.fields Dipetakan: true → additional_normalstatedomaincounts
has_normal_state_domain_results additional.fields Dipetakan: true → additional_normalstatedomainresults
has_rare_state_authentication_name_counts additional.fields Dipetakan: true → additional_rarestatedatacounts
has_rare_state_authentication_name_results additional.fields Dipetakan: true → additional_rarestatenameresults
has_rare_state_authentication_raw_method_count additional.fields Dipetakan: true → additional_rarestatedata
has_rare_state_authentication_raw_method_results additional.fields Dipetakan: true → additional_rarestatedataresults
has_rare_state_domain_counts additional.fields Dipetakan: true → additional_rarestatedomaincounts
has_rare_state_domain_results additional.fields Dipetakan: true → additional_rarestatedomainresults
indicator_list additional.fields Digabung
labels_some_key_label additional.fields Digabung
normal_state_source_as_ip_label additional.fields Digabung
normal_state_source_as_number_label additional.fields Digabung
policy_category_label additional.fields Digabung
policy_description_label additional.fields Digabung
policy_id_label additional.fields Digabung
policy_name_label additional.fields Digabung
policy_outcome_label additional.fields Digabung
rare_state_source_as_ip_label additional.fields Digabung
rare_state_source_as_number_label additional.fields Digabung
related_services_id_label additional.fields Digabung
related_services_id_name_label additional.fields Digabung
related_services_type_label additional.fields Digabung
resource_count_label additional.fields Digabung
resource_owner_indicator_label additional.fields Digabung
resource_parent_count_label additional.fields Digabung
resource_parent_owner_domain_label additional.fields Digabung
resource_parent_owner_email_label additional.fields Digabung
resource_parent_owner_full_name_label additional.fields Digabung
resource_parent_owner_hash_label additional.fields Digabung
resource_parent_owner_id_label additional.fields Digabung
resource_parent_owner_indicator_label additional.fields Digabung
resource_parent_owner_name_label additional.fields Digabung
resource_parent_owner_role_label additional.fields Digabung
rule_vendor_id_label additional.fields Digabung
source_as_domain_label additional.fields Digabung
source_as_service_label additional.fields Digabung
source_as_type_label additional.fields Digabung
source_user_indicator_label additional.fields Digabung
tactic_reference_label additional.fields Digabung
technique_reference_label additional.fields Digabung
token_appomni_alert_channel additional.fields Digabung
token_appomni_event_ingestion_time additional.fields Digabung
token_appomni_event_parent_id additional.fields Digabung
token_appomni_event_sortable_event_id additional.fields Digabung
token_appomni_event_sortable_ingest_id additional.fields Digabung
token_appomni_organization_id additional.fields Digabung
token_authentication_raw_method additional.fields Digabung
token_error_id additional.fields Digabung
token_error_message additional.fields Digabung
token_error_type additional.fields Digabung
token_event_category additional.fields Digabung
token_event_code additional.fields Digabung
token_event_created additional.fields Digabung
token_event_end additional.fields Digabung
token_event_id additional.fields Digabung
token_event_kind additional.fields Digabung
token_event_original additional.fields Digabung
token_event_provider additional.fields Digabung
token_event_sequence additional.fields Digabung
token_event_start additional.fields Digabung
token_event_type additional.fields Digabung
token_labels additional.fields Digabung
token_rel_event additional.fields Digabung
token_rel_hash additional.fields Digabung
token_rel_host additional.fields Digabung
token_rel_idnt additional.fields Digabung
token_rel_res additional.fields Digabung
token_rel_user additional.fields Digabung
token_related_ip additional.fields Digabung
token_service_id additional.fields Digabung
token_service_name additional.fields Digabung
token_service_type additional.fields Digabung
token_session_kind additional.fields Digabung
token_source_user_hash additional.fields Digabung
token_space_category additional.fields Digabung
token_space_id additional.fields Digabung
token_space_name additional.fields Digabung
token_tag additional.fields Digabung
token_user_agent_os_kernel additional.fields Digabung
token_user_agent_os_platform additional.fields Digabung
token_user_identity_admin additional.fields Digabung
token_user_identity_elevated additional.fields Digabung
token_version additional.fields Digabung
user_effective_indicator_label additional.fields Digabung
user_indicator_label additional.fields Digabung
user_target_indicator_label additional.fields Digabung
authentication.provider extensions.auth.auth_details Dipetakan secara langsung
auth_mechanism extensions.auth.mechanism Digabung
message metadata.description Dipetakan secara langsung
appomni.event.collected_time metadata.event_timestamp Diurai sebagai RFC 3339
file.created metadata.event_timestamp Diurai sebagai RFC 3339
raw_event.ingested metadata.event_timestamp Diurai sebagai RFC 3339
raw_timestamp metadata.event_timestamp Diuraikan sebagai RFC 3339
principal_machineid_present metadata.event_type Dipetakan: true → NETWORK_CONNECTION, true → NETWORK_UNCATEGORIZED, true → `STATUS_HE...
principal_userid_present metadata.event_type Nilai yang dipetakan (total 13, misalnya true → GROUP_CREATION, true → GROUP_DELETION, true →...
raw_event.dataset metadata.log_type Dipetakan secara langsung
raw_event.action metadata.product_event_type Dipetakan secara langsung
appomni.event.id metadata.product_log_id Dipetakan secara langsung
raw_event.reference metadata.url_back_to_product Dipetakan secara langsung
session.id network.session_id Dipetakan secara langsung
source.user.domain principal.administrative_domain Dipetakan secara langsung
raw_event.module principal.application Dipetakan secara langsung
source.host.id principal.asset.asset_id Dipetakan secara langsung
source.host.hostname principal.asset.hostname Dipetakan secara langsung
source.host.name principal.asset.hostname Dipetakan secara langsung
src_host_mac principal.asset.mac Digabung
usr_agt_os_type principal.asset.platform_software.platform Dipetakan: mac → MAC, linux → LINUX, windows → WINDOWS, chrome → CHROME_OS
appomni.source.id principal.asset.product_object_id Dipetakan secara langsung
asset_soft principal.asset.software Digabung
source_host_type principal.asset.type Dipetakan: "workstation" , "desktop" → WORKSTATION, server → SERVER, laptop → `LAPTOP...
source.as.domain principal.domain.name Dipetakan secara langsung
user.group.name principal.group.group_display_name Dipetakan secara langsung
user.group.id principal.group.product_object_id Dipetakan secara langsung
source.address principal.ip Digabung
source.ip principal.ip Digabung
token_appomni_service_type principal.labels Digabung
token_own_role principal.labels Digabung
token_service_id principal.labels Digabung
token_service_name principal.labels Digabung
token_source_geo_continent_code principal.labels Digabung
token_source_geo_continent_name principal.labels Digabung
token_source_geo_country_iso_code principal.labels Digabung
token_source_geo_postal_code principal.labels Digabung
token_source_geo_region_iso_code principal.labels Digabung
token_source_geo_timezone principal.labels Digabung
token_user_identity_full_name principal.labels Digabung
token_user_identity_id principal.labels Digabung
source.geo.city_name principal.location.city Dipetakan secara langsung
source.as.country principal.location.country_or_region Dipetakan secara langsung
source.geo.country_name principal.location.country_or_region Dipetakan secara langsung
source.geo.name principal.location.name Dipetakan secara langsung
source.geo.location.lat principal.location.region_coordinates.latitude Diganti nama/dipetakan
source.geo.location.lon principal.location.region_coordinates.longitude Diganti namanya/dipetakan
source.geo.region_name principal.location.state Dipetakan secara langsung
src_mac principal.mac Digabung
source.as.number principal.network.asn Dipetakan secara langsung
source.domain principal.network.dns_domain Dipetakan secara langsung
user_agent.original principal.network.http.user_agent Dipetakan secara langsung
raw_event.ueba.anomalous_fields.source.as.organization.name principal.network.organization_name Dipetakan secara langsung
source.as.organization.name principal.network.organization_name Dipetakan secara langsung
user_agent_os_name principal.platform Nilai yang dipetakan (total 6, misalnya macos → MAC, linux → LINUX, windows → WINDOWS)
source.port principal.port Diganti namanya/dipetakan
service_name principal.resource.name Dipetakan secara langsung
service_id principal.resource.product_object_id Dipetakan secara langsung
service_type principal.resource.resource_subtype Dipetakan secara langsung
pri_res_ans principal.resource_ancestors Digabung
princ_res_ans principal.resource_ancestors Digabung
token_source_user_identity_admin principal.user.attribute.labels Digabung
token_source_user_identity_elevated principal.user.attribute.labels Digabung
token_source_user_identity_email principal.user.attribute.labels Digabung
token_source_user_identity_full_name principal.user.attribute.labels Digabung
token_source_user_identity_id principal.user.attribute.labels Digabung
token_user_domain principal.user.attribute.labels Digabung
token_user_hash principal.user.attribute.labels Digabung
token_role principal.user.attribute.roles Digabung
src_user_mail principal.user.email_addresses Digabung
user_mail principal.user.email_addresses Digabung
source.user.id principal.user.product_object_id Dipetakan secara langsung
user.id principal.user.product_object_id Dipetakan secara langsung
source.user.full_name principal.user.user_display_name Dipetakan secara langsung
user.full_name principal.user.user_display_name Dipetakan secara langsung
source.user.name principal.user.userid Dipetakan secara langsung
user.name principal.user.userid Dipetakan secara langsung
appomni.event.dataset security_result.action_details Dipetakan secara langsung
tactics security_result.attack_details.tactics Digabung
technique security_result.attack_details.techniques Digabung
rule.threat.framework security_result.attack_details.version Dipetakan secara langsung
appomni.source.id src.user.product_object_id Dipetakan secara langsung
destination.as.domain target.administrative_domain Dipetakan secara langsung
destination.host.id target.asset.asset_id Dipetakan secara langsung
token_destination_host_name target.asset.attribute.labels Digabung
token_destination_host_type target.asset.attribute.labels Digabung
dst_mac target.asset.mac Digabung
destination.domain target.domain.name Dipetakan secara langsung
file_extension target.file.file_type Dipetakan: "EPUB", "FB2", "MOBI" → FILE_TYPE_EBOOK
file.path target.file.full_path Dipetakan secara langsung
file.hash target.file.md5 Dipetakan secara langsung
file.name target.file.names Digabung
file.size target.file.size Diganti namanya/dipetakan
destination.host.hostname target.hostname Dipetakan secara langsung
destination.ip target.ip Digabung
token_destination_geo_continent_code target.labels Digabung
token_destination_geo_continent_name target.labels Digabung
token_destination_geo_country_iso_code target.labels Digabung
token_destination_geo_postal_code target.labels Digabung
token_destination_geo_region_iso_code target.labels Digabung
token_destination_geo_timezone target.labels Digabung
token_file_id target.labels Digabung
destination.geo.city_name target.location.city Dipetakan secara langsung
destination.as.country target.location.country_or_region Dipetakan secara langsung
destination.geo.country_name target.location.country_or_region Dipetakan secara langsung
destination.geo.region_name target.location.country_or_region Dipetakan secara langsung
destination.geo.name target.location.name Dipetakan secara langsung
destination.geo.location.lat target.location.region_coordinates.latitude Diganti nama/dipetakan
destination.geo.location.lon target.location.region_coordinates.longitude Diganti namanya/dipetakan
dst_mac target.mac Digabung
destination.as.number target.network.asn Dipetakan secara langsung
destination.as.organization.name target.network.organization_name Dipetakan secara langsung
destination.port target.port Diganti nama/dipetakan
token_resource_owner_domain target.resource.attribute.labels Digabung
token_resource_owner_email target.resource.attribute.labels Digabung
token_resource_owner_full_name target.resource.attribute.labels Digabung
token_resource_owner_hash target.resource.attribute.labels Digabung
token_resource_owner_id target.resource.attribute.labels Digabung
token_resource_owner_identity_admin target.resource.attribute.labels Digabung
token_resource_owner_identity_elevated target.resource.attribute.labels Digabung
token_resource_owner_identity_email target.resource.attribute.labels Digabung
token_resource_owner_identity_full_name target.resource.attribute.labels Digabung
token_resource_owner_identity_id target.resource.attribute.labels Digabung
token_resource_owner_name target.resource.attribute.labels Digabung
resource.name target.resource.name Dipetakan secara langsung
resource.id target.resource.product_object_id Dipetakan secara langsung
resource.type target.resource.resource_subtype Dipetakan secara langsung
tar_res_ans target.resource_ancestors Digabung
raw_event.url target.url Dipetakan secara langsung
token_destination_user_domain target.user.attribute.labels Digabung
token_destination_user_hash target.user.attribute.labels Digabung
token_destination_user_identity_admin target.user.attribute.labels Digabung
token_destination_user_identity_elevated target.user.attribute.labels Digabung
token_destination_user_identity_email target.user.attribute.labels Digabung
token_destination_user_identity_full_name target.user.attribute.labels Digabung
token_destination_user_identity_id target.user.attribute.labels Digabung
token_user_target_domain target.user.attribute.labels Digabung
token_user_target_hash target.user.attribute.labels Digabung
token_user_target_identity_admin target.user.attribute.labels Digabung
token_user_target_identity_elevated target.user.attribute.labels Digabung
token_user_target_identity_email target.user.attribute.labels Digabung
token_user_target_identity_full_name target.user.attribute.labels Digabung
token_user_target_identity_id target.user.attribute.labels Digabung
token_role target.user.attribute.roles Digabung
dst_user_mail target.user.email_addresses Digabung
user_tar_mail target.user.email_addresses Digabung
user.target.id target.user.product_object_id Dipetakan secara langsung
destination.user.full_name target.user.user_display_name Dipetakan secara langsung
user.target.full_name target.user.user_display_name Dipetakan secara langsung
destination.user.id target.user.userid Dipetakan secara langsung
destination.user.name target.user.userid Dipetakan secara langsung
user.target.name target.user.userid Dipetakan secara langsung
T/A metadata.event_type Konstanta: GENERIC_EVENT
T/A metadata.product_name Konstanta: APPOMNI
T/A metadata.vendor_name Konstanta: APPOMNI
T/A principal.asset.platform_software.platform Konstanta: MAC
T/A principal.asset.type Konstanta: WORKSTATION
T/A principal.platform Konstanta: MAC
T/A principal.resource.resource_type Konstanta: BACKEND_SERVICE
T/A target.asset.type Konstanta: WORKSTATION
T/A target.file.file_type Konstanta: FILE_TYPE_EBOOK
T/A target.resource.resource_type Konstanta: CLOUD_PROJECT
source.as.domain event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.anomalous_fields.source.as.domain event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.normal_state.source.as.domain.results event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.normal_state.source.as.domain.counts event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.rare_state.source.as.domain.results event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.rare_state.source.as.domain.counts event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.dataset event.idm.read_only_udm.metadata.log_type Dipetakan dari log perubahan
raw_event.duration event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
appomni.event.dataset event.idm.read_only_udm.security_result.action_details Dipetakan dari log perubahan
raw_event.kind event.idm.read_only_udm.security_result.alert_state Dipetakan dari log perubahan
raw_event.url event.idm.read_only_udm.target.url Dipetakan dari log perubahan
source.host.name event.idm.read_only_udm.principal.asset.hostname Dipetakan dari log perubahan
source.host.type event.idm.read_only_udm.principal.asset.type Dipetakan dari log perubahan
source.address event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip Dipetakan dari log perubahan
source.domain event.idm.read_only_udm.principal.network.dns_domain Dipetakan dari log perubahan
user_agent.os.name event.idm.read_only_udm.principal.platform Dipetakan dari log perubahan
user_agent.os.kernel event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
user_agent.os.platform event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
destination.host.hostname event.idm.read_only_udm.target.hostname Dipetakan dari log perubahan
destination.domain event.idm.read_only_udm.target.domain.name Dipetakan dari log perubahan
destination.as.country event.idm.read_only_udm.target.location.country_or_region Dipetakan dari log perubahan
destination.user.id event.idm.read_only_udm.target.user.userid Dipetakan dari log perubahan
user.identity.admin event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
user.identity.elevated event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
user.identity.email event.idm.read_only_udm.intermediary.email Dipetakan dari log perubahan
source.user.domain event.idm.read_only_udm.principal.administrative_domain Dipetakan dari log perubahan
source.user.hash event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
appomni.service.slug event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
source.as.type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
rule.threat.tactic.reference event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
rule.threat.technique.reference event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
related.services.id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
related.services.name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
related.services.type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
policy.category event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
policy.id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
policy.name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
appomni.event.enrichments event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
configuration.name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
configuration.old_value event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
configuration.value event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
destination.as.service event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
destination.as.type event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
destination.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
destination.user.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.anomalous_fields.source.as.number event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.anomalous_fields.source.ip event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.normal_state.source.as.number event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.normal_state.source.ip event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.rare_state.source.as.number event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
raw_event.ueba.rare_state.source.ip event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
file.directory event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
labels.some_key event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
policy.description event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
policy.outcome event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.count event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.owner.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.count event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.owner.domain event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.owner.email event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.owner.full_name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.owner.hash event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.owner.id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.owner.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.owner.name event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
resource.parent.owner.roles event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
rule.vendor_id event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
source.as.service event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
source.user.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
user.changes.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
user.effective.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
user.target.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
user.indicators event.idm.read_only_udm.additional.fields Dipetakan dari log perubahan
appomni.source.id event.idm.read_only_udm.principal.asset.product_object_id Dipetakan dari log perubahan
source.as.country event.idm.read_only_udm.principal.location.country_or_region Dipetakan dari log perubahan
source.as.domain event.idm.read_only_udm.principal.domain.name Dipetakan dari log perubahan
rule.threat.framework event.idm.read_only_udm.security_result.attack_details.version Dipetakan dari log perubahan
rule.threat.tactic.id event.idm.read_only_udm.security_result.attack_details.tactics.id Dipetakan dari log perubahan
rule.threat.tactic.name event.idm.read_only_udm.security_result.attack_details.tactics.name Dipetakan dari log perubahan
rule.threat.technique.id event.idm.read_only_udm.security_result.attack_details.techniques.id Dipetakan dari log perubahan
rule.threat.technique.name event.idm.read_only_udm.security_result.attack_details.techniques.name Dipetakan dari log perubahan
appomni.source.id event.idm.read_only_udm.src.user.product_object_id Dipetakan dari log perubahan
file.hash event.idm.read_only_udm.target.file.md5 Dipetakan dari log perubahan
user.identity.full_name event.idm.read_only_udm.intermediary.user.user_display_name Dipetakan dari log perubahan
user.identity.id event.idm.read_only_udm.intermediary.user.userid Dipetakan dari log perubahan
destination.as.domain event.idm.read_only_udm.target.administrative_domain Dipetakan dari log perubahan
event.ueba.normal_state.authentication.raw_method.counts", "event.ueba.normal_state.authentication.raw_method.results", "event.ueba.normal_state.source.as.organization.name.results", "event.ueba.normal_state.source.as.organization.name.counts", "event.ueba.rare_state.authentication.raw_method.counts", "event.ueba.rare_state.authentication.raw_method.results", "event.ueba.rare_state.source.as.organization.name.results", and "event.ueba.rare_state.source.as.organization.name.counts additional.fields Dipetakan dari log perubahan
resource.metadata.application target.application Dipetakan dari log perubahan
resource.metadata.entities target.resource.attribute.labels Dipetakan dari log perubahan
resource.metadata.query target.process.command_line Dipetakan dari log perubahan
resource.metadata.row_count target.resource.attribute.labels Dipetakan dari log perubahan
resource.metadata.type target.resource.attribute.labels Dipetakan dari log perubahan
resource.metadata.action_message security_results.action_details Dipetakan dari log perubahan
resource.metadata.language security_results.about.label Dipetakan dari log perubahan
labels.user_location principal.asset.location.name Dipetakan dari log perubahan
labels.login_key principal.resource.attribute.labels Dipetakan dari log perubahan
user.hash principal.resource.attribute.labels Dipetakan dari log perubahan
user.roles principal.resource.attribute.labels Dipetakan dari log perubahan
host.os.name target.asset.platform_software.platform Dipetakan dari log perubahan
host.os.version target.asset.platform_software.platform_version Dipetakan dari log perubahan
http.request.method network.http.method Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.