AppOmni ログを収集する

パーサーのバージョン: 6.0

以下でサポートされています。

このドキュメントでは、Webhook を使用してログを Google Security Operations に push するように AppOmni を構成する方法について説明します。

AppOmni は、Salesforce、Microsoft 365、ServiceNow、Workday、Google Workspace、Box、Zoom などのエンタープライズ SaaS アプリケーション全体で、継続的なポスチャー管理、脅威検出、データ漏洩モニタリングを提供する SaaS セキュリティ プラットフォームです。AppOmni は、モニタリング対象の SaaS アプリケーションから数百のイベントタイプを正規化し、イベント ストリーミング機能を使用して、アラート、イベント、ポスチャーの検出結果を外部の SIEM 宛先にストリーミングできます。

始める前に

次の前提条件を満たしていることを確認してください。

  • Google SecOps インスタンス
  • 管理者権限を持つ AppOmni アカウント
  • Google Cloud コンソールへのアクセス（API キーの作成用）
  • インスタンスで AppOmni Threat Detection モジュールが有効になっている
  • AppOmni に接続され、イベントを取り込んでいる、モニタリング対象の SaaS アプリケーションが 1 つ以上ある

Google SecOps で Webhook フィードを作成する

フィードを作成する

  1. [SIEM 設定] > [フィード] に移動します。
  2. [Add New Feed] をクリックします。
  3. 次のページで、[単一のフィードを設定] をクリックします。
  4. [フィード名] フィールドに、フィードの名前を入力します（例: AppOmni Events）。
  5. [Source type] として [Webhook] を選択します。
  6. [ログタイプ] として [AppOmni] を選択します。
  7. [次へ] をクリックします。
  8. 次の入力パラメータの値を指定します。
    • Split delimiter: \n（NDJSON ペイロードの改行区切り文字）を入力します。
    • Asset namespace: アセットの名前空間。
    • Ingestion labels: このフィードのイベントに適用されるラベル
  9. [次へ] をクリックします。
  10. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

秘密鍵を生成して保存する

フィードを作成したら、認証用のシークレット キーを生成する必要があります。

  1. フィードの詳細ページで、[秘密鍵を生成] をクリックします。
  2. ダイアログに秘密鍵が表示されます。
  3. 秘密鍵をコピーして安全に保存します。

フィード エンドポイントの URL を取得する

  1. フィードの [詳細] タブに移動します。
  2. [エンドポイント情報] セクションで、[フィード エンドポイント URL] をコピーします。

  3. URL の形式は次のとおりです。

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import

    ここで、{region} は Google SecOps インスタンスのリージョン（us、europe、asia-southeast1 など）で、{parent} は projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE> 形式のリソースパスです。

  4. 次の手順で使用するために、この URL を保存します。

  5. [完了] をクリックします。

Google Cloud API キーを作成する

Google SecOps では、認証に API キーが必要です。Google Cloud コンソールで制限付き API キーを作成します。

API キーを作成する

  1. Google Cloud コンソールの [認証情報] ページに移動します。
  2. プロジェクト（Google SecOps インスタンスに関連付けられているプロジェクト）を選択します。
  3. [認証情報を作成] > [API キー] をクリックします。
  4. API キーが作成され、ダイアログに表示されます。
  5. [API キーを編集] をクリックして、キーを制限します。

API キーを制限する

  1. [API キー] の設定ページで、次の操作を行います。
    • 名前: わかりやすい名前を入力します（例: Chronicle Webhook API Key）。
  2. [API の制限] で次の操作を行います。
    1. [キーを制限] を選択します。
    2. [API を選択] プルダウンで、[Google SecOps API]（または [Chronicle API]）を検索して選択します。
  3. [保存] をクリックします。
  4. ページ上部の [API キー] フィールドから API キーの値をコピーします。

  5. API キーを安全に保存します。

AppOmni イベント ストリーミングの宛先を構成する

Webhook URL を作成する

  • Google SecOps エンドポイント URL、API キー、秘密鍵を組み合わせます。

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

  • 例:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

AppOmni でカスタム Webhook の宛先を作成する

  1. https://<your-organization>.appomni.com で AppOmni インスタンスにログインします。
  2. [脅威検出] > [宛先] に移動します。
  3. [Add New Destination] をクリックします。
  4. [カスタム Webhook] カードをクリックします。
  5. 次の構成情報を指定します。
    • 名前: わかりやすい名前を入力します（例: Chronicle SIEM Webhook）。
    • 説明（省略可）: 説明を入力します（例: Stream AppOmni events to SIEM via webhook）。

  6. 次の配信設定を構成します。

    • URL: API キーとシークレット キーをクエリ パラメータとして追加した完全な Webhook URL を貼り付けます。

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY

    • SSL Verification: このチェックボックスをオンにします（推奨）。

    • 元のフィールドをハッシュ化（省略可）: このチェックボックスをオンにすると、モニタリング対象の SaaS アプリケーションの元のイベント フィールドが SHA256 ハッシュに置き換えられ、イベントサイズが小さくなります。

    • Max Event Size（省略可）: デフォルト設定のままにするか、カスタム値を設定します。

    • Max Payload Size（省略可）: デフォルト設定のままにするか、カスタム値を設定します。

  7. Google SecOps にストリーミングするデータ型を選択します。

    • アラート: AppOmni ルールによって生成された脅威検出アラート（推奨）
    • イベント: モニタリング対象のアプリケーションから収集された正規化された SaaS アクティビティ イベント（推奨）
    • ポリシー: 構成コンプライアンスに関するポスチャー管理の検出結果

  8. [保存] をクリックします。

移行先を確認する

  1. AppOmni で、[Threat Detection] > [Destinations] に移動します。
  2. 作成した宛先を見つけます。
  3. 宛先のステータスがアクティブと表示されていることを確認します。
  4. AppOmni が、モニタリング対象の SaaS アプリケーションに基づいてイベントを生成してストリーミングするのを待ちます。

  5. Google SecOps でイベントを確認します。

    1. [SIEM 設定] > [フィード] に移動します。
    2. AppOmni フィードをクリックします。
    3. [ステータス] タブに移動します。
    4. イベントが受信されていることを確認します。

AppOmni イベントタイプ

AppOmni は、Elastic Common Schema（ECS）に基づく AppOmni Common Event Schema（ACES）を使用して SaaS イベントを正規化します。一般的にストリーミングされるイベント カテゴリは次のとおりです。

カテゴリ 説明 例
認証 ユーザー認証イベント ログイン、ログアウト、MFA チャレンジ、SSO イベント
構成 アプリケーション構成の変更 権限の変更、ポリシーの更新、ロールの変更
データアクセス データ アクセスと共有のイベント ファイルのダウンロード、レコードの表示、共有の変更
管理 管理操作 ユーザーの作成、グループの変更、アプリのインストール
脅威の検出 AppOmni によって生成されたアラート 異常な動作、権限昇格、データ引き出しの指標

認証方法のリファレンス

Google SecOps ウェブフック フィードは、複数の認証方法をサポートしています。ベンダーがサポートしている方法を選択します。

AppOmni カスタム Webhook の宛先は、URL ベースの認証をサポートしています。Webhook URL に認証情報を追加します。

  • URL 形式:

      <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>

  • 例:

      https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...

方法 2: カスタム ヘッダー

お使いの AppOmni のバージョンが Webhook の宛先に対するカスタム HTTP ヘッダーをサポートしている場合は、ヘッダーベースの認証を使用してセキュリティを強化できます。

  • ヘッダー:

      x-goog-chronicle-auth: <API_KEY>
  x-chronicle-auth: <SECRET_KEY>

メリット:

  • API キーとシークレットが URL に表示されない
  • より安全（ヘッダーがウェブサーバーのアクセスログに記録されない）

Webhook の制限とベスト プラクティス

リクエストに関する上限

上限 値
最大リクエスト サイズ 4 MB
最大 QPS（秒間クエリ数） 15,000
リクエストのタイムアウト 30 秒
再試行の動作 指数バックオフによる自動

ベスト プラクティス

  • 必要なデータ型のみを選択して、イベント量と取り込み費用を削減します。
  • SSL 検証を有効にして、安全なデータ転送を確保します。
  • AppOmni で宛先のステータスを定期的にモニタリングして、配信エラーを確認します。
  • イベント ペイロードが大きい場合は、[Hash Original Field] オプションを有効にすることを検討してください。
  • SIEM で SaaS 監査ログを包括的にカバーするには、イベントデータ タイプを使用します。
  • 即時のトリアージが必要な優先度の高い脅威検出イベントには、アラート データタイプを使用します。

トラブルシューティング

Google SecOps にイベントが表示されない

原因: イベントは送信されているが、取り込まれていない

ソリューション:

  1. Google SecOps で [SIEM 設定] > [フィード] に移動します。
  2. AppOmni フィードをクリックします。
  3. [ステータス] タブに移動します。
  4. 取り込みエラーを確認します。
  5. ログタイプが [AppOmni] に設定されていることを確認します。
  6. Webhook URL のシークレット キーが、フィードの作成時に生成されたキーと一致していることを確認します。

AppOmni で宛先エラーが表示される

原因: Google SecOps エンドポイントに到達できないか、2xx 以外のステータスが返されます。

ソリューション:

  1. Google SecOps エンドポイントの URL が正しいことを確認します。
  2. API キーが有効で、Google SecOps API にアクセスできることを確認します。

  3. エンドポイントを手動でテストします。

    curl -X POST "https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY" \
    -H "Content-Type: application/json" \
    -d '{"test": "event"}'

  4. テストが成功した場合は、AppOmni の宛先構成に誤字脱字や URL 形式の誤りがないか確認します。

ペイロードが最大サイズを超えている

原因: AppOmni が 4 MB を超えるペイロードを送信している

ソリューション:

  1. AppOmni で、[Threat Detection] > [Destinations] に移動します。
  2. リンク先をクリックします。
  3. [最大ペイロード サイズ] を 4 MB 未満の値に減らします。
  4. [Hash Original Field] を有効にして、個々のイベントサイズを縮小します。
  5. [保存] をクリックします。

UDM マッピング テーブル

ログフィールド UDM マッピング ロジック
additional_normalstatedata additional.fields 統合済み
additional_normalstatedatacounts additional.fields 統合済み
additional_normalstatedataresults additional.fields 統合済み
additional_normalstatedomaincounts additional.fields 統合済み
additional_normalstatedomainresults additional.fields 統合済み
additional_normalstatenameresults additional.fields 統合済み
additional_rarestatedata additional.fields 統合済み
additional_rarestatedatacounts additional.fields 統合済み
additional_rarestatedataresults additional.fields 統合済み
additional_rarestatedomaincounts additional.fields 統合済み
additional_rarestatedomainresults additional.fields 統合済み
additional_rarestatenameresults additional.fields 統合済み
anomalous_domain additional.fields 統合済み
anomalous_fields_source_as_ip_label additional.fields 統合済み
anomalous_fields_source_as_number_label additional.fields 統合済み
appomni_service_slug_label additional.fields 統合済み
changes_user_indicator_label additional.fields 統合済み
configuration_name_label additional.fields 統合済み
configuration_old_value_label additional.fields 統合済み
configuration_value_label additional.fields 統合済み
destination_as_service_label additional.fields 統合済み
destination_as_type_label additional.fields 統合済み
destination_indicators_label additional.fields 統合済み
destination_user_indicators_label additional.fields 統合済み
enrichments_value_label additional.fields 統合済み
event_duration additional.fields 統合済み
file_directory_label additional.fields 統合済み
has_normal_state_authentication_name_counts additional.fields マッピング: true → additional_normalstatedatacounts
has_normal_state_authentication_name_results additional.fields マッピング: true → additional_normalstatenameresults
has_normal_state_authentication_raw_method_count additional.fields マッピング: true → additional_normalstatedata
has_normal_state_authentication_raw_method_results additional.fields マッピング済み: true → additional_normalstatedataresults
has_normal_state_domain_counts additional.fields マッピング済み: true → additional_normalstatedomaincounts
has_normal_state_domain_results additional.fields マッピング済み: true → additional_normalstatedomainresults
has_rare_state_authentication_name_counts additional.fields マッピング済み: true → additional_rarestatedatacounts
has_rare_state_authentication_name_results additional.fields マッピング: true → additional_rarestatenameresults
has_rare_state_authentication_raw_method_count additional.fields マッピング済み: true → additional_rarestatedata
has_rare_state_authentication_raw_method_results additional.fields マッピング済み: true → additional_rarestatedataresults
has_rare_state_domain_counts additional.fields マッピング済み: true → additional_rarestatedomaincounts
has_rare_state_domain_results additional.fields マッピング: true → additional_rarestatedomainresults
indicator_list additional.fields 統合済み
labels_some_key_label additional.fields 統合済み
normal_state_source_as_ip_label additional.fields 統合済み
normal_state_source_as_number_label additional.fields 統合済み
policy_category_label additional.fields 統合済み
policy_description_label additional.fields 統合済み
policy_id_label additional.fields 統合済み
policy_name_label additional.fields 統合済み
policy_outcome_label additional.fields 統合済み
rare_state_source_as_ip_label additional.fields 統合済み
rare_state_source_as_number_label additional.fields 統合済み
related_services_id_label additional.fields 統合済み
related_services_id_name_label additional.fields 統合済み
related_services_type_label additional.fields 統合済み
resource_count_label additional.fields 統合済み
resource_owner_indicator_label additional.fields 統合済み
resource_parent_count_label additional.fields 統合済み
resource_parent_owner_domain_label additional.fields 統合済み
resource_parent_owner_email_label additional.fields 統合済み
resource_parent_owner_full_name_label additional.fields 統合済み
resource_parent_owner_hash_label additional.fields 統合済み
resource_parent_owner_id_label additional.fields 統合済み
resource_parent_owner_indicator_label additional.fields 統合済み
resource_parent_owner_name_label additional.fields 統合済み
resource_parent_owner_role_label additional.fields 統合済み
rule_vendor_id_label additional.fields 統合済み
source_as_domain_label additional.fields 統合済み
source_as_service_label additional.fields 統合済み
source_as_type_label additional.fields 統合済み
source_user_indicator_label additional.fields 統合済み
tactic_reference_label additional.fields 統合済み
technique_reference_label additional.fields 統合済み
token_appomni_alert_channel additional.fields 統合済み
token_appomni_event_ingestion_time additional.fields 統合済み
token_appomni_event_parent_id additional.fields 統合済み
token_appomni_event_sortable_event_id additional.fields 統合済み
token_appomni_event_sortable_ingest_id additional.fields 統合済み
token_appomni_organization_id additional.fields 統合済み
token_authentication_raw_method additional.fields 統合済み
token_error_id additional.fields 統合済み
token_error_message additional.fields 統合済み
token_error_type additional.fields 統合済み
token_event_category additional.fields 統合済み
token_event_code additional.fields 統合済み
token_event_created additional.fields 統合済み
token_event_end additional.fields 統合済み
token_event_id additional.fields 統合済み
token_event_kind additional.fields 統合済み
token_event_original additional.fields 統合済み
token_event_provider additional.fields 統合済み
token_event_sequence additional.fields 統合済み
token_event_start additional.fields 統合済み
token_event_type additional.fields 統合済み
token_labels additional.fields 統合済み
token_rel_event additional.fields 統合済み
token_rel_hash additional.fields 統合済み
token_rel_host additional.fields 統合済み
token_rel_idnt additional.fields 統合済み
token_rel_res additional.fields 統合済み
token_rel_user additional.fields 統合済み
token_related_ip additional.fields 統合済み
token_service_id additional.fields 統合済み
token_service_name additional.fields 統合済み
token_service_type additional.fields 統合済み
token_session_kind additional.fields 統合済み
token_source_user_hash additional.fields 統合済み
token_space_category additional.fields 統合済み
token_space_id additional.fields 統合済み
token_space_name additional.fields 統合済み
token_tag additional.fields 統合済み
token_user_agent_os_kernel additional.fields 統合済み
token_user_agent_os_platform additional.fields 統合済み
token_user_identity_admin additional.fields 統合済み
token_user_identity_elevated additional.fields 統合済み
token_version additional.fields 統合済み
user_effective_indicator_label additional.fields 統合済み
user_indicator_label additional.fields 統合済み
user_target_indicator_label additional.fields 統合済み
authentication.provider extensions.auth.auth_details 直接マッピングされます。
auth_mechanism extensions.auth.mechanism 統合済み
message metadata.description 直接マッピングされます。
appomni.event.collected_time metadata.event_timestamp RFC 3339 として解析
file.created metadata.event_timestamp RFC 3339 として解析
raw_event.ingested metadata.event_timestamp RFC 3339 として解析
raw_timestamp metadata.event_timestamp RFC 3339 として解析済み
principal_machineid_present metadata.event_type マッピング済み: true → NETWORK_CONNECTION、true → NETWORK_UNCATEGORIZED、true → `STATUS_HE...
principal_userid_present metadata.event_type マッピングされた値（合計 13 個、例: true → GROUP_CREATION、true → GROUP_DELETION、true →...
raw_event.dataset metadata.log_type 直接マッピングされます。
raw_event.action metadata.product_event_type 直接マッピングされます。
appomni.event.id metadata.product_log_id 直接マッピングされます。
raw_event.reference metadata.url_back_to_product 直接マッピングされます。
session.id network.session_id 直接マッピングされます。
source.user.domain principal.administrative_domain 直接マッピングされます。
raw_event.module principal.application 直接マッピングされます。
source.host.id principal.asset.asset_id 直接マッピングされます。
source.host.hostname principal.asset.hostname 直接マッピングされます。
source.host.name principal.asset.hostname 直接マッピングされます。
src_host_mac principal.asset.mac 統合済み
usr_agt_os_type principal.asset.platform_software.platform マッピング済み: mac → MAC、linux → LINUX、windows → WINDOWS、chrome → CHROME_OS
appomni.source.id principal.asset.product_object_id 直接マッピングされます。
asset_soft principal.asset.software 統合済み
source_host_type principal.asset.type マッピング: "workstation" , "desktop" → WORKSTATION、server → SERVER、laptop → `LAPTOP...
source.as.domain principal.domain.name 直接マッピングされます。
user.group.name principal.group.group_display_name 直接マッピングされます。
user.group.id principal.group.product_object_id 直接マッピングされます。
source.address principal.ip 統合済み
source.ip principal.ip 統合済み
token_appomni_service_type principal.labels 統合済み
token_own_role principal.labels 統合済み
token_service_id principal.labels 統合済み
token_service_name principal.labels 統合済み
token_source_geo_continent_code principal.labels 統合済み
token_source_geo_continent_name principal.labels 統合済み
token_source_geo_country_iso_code principal.labels 統合済み
token_source_geo_postal_code principal.labels 統合済み
token_source_geo_region_iso_code principal.labels 統合済み
token_source_geo_timezone principal.labels 統合済み
token_user_identity_full_name principal.labels 統合済み
token_user_identity_id principal.labels 統合済み
source.geo.city_name principal.location.city 直接マッピングされます。
source.as.country principal.location.country_or_region 直接マッピングされます。
source.geo.country_name principal.location.country_or_region 直接マッピングされます。
source.geo.name principal.location.name 直接マッピングされます。
source.geo.location.lat principal.location.region_coordinates.latitude 名前変更済み/マッピング済み
source.geo.location.lon principal.location.region_coordinates.longitude 名前変更/マッピング
source.geo.region_name principal.location.state 直接マッピングされます。
src_mac principal.mac 統合済み
source.as.number principal.network.asn 直接マッピングされます。
source.domain principal.network.dns_domain 直接マッピングされます。
user_agent.original principal.network.http.user_agent 直接マッピングされます。
raw_event.ueba.anomalous_fields.source.as.organization.name principal.network.organization_name 直接マッピングされます。
source.as.organization.name principal.network.organization_name 直接マッピングされます。
user_agent_os_name principal.platform マッピングされた値（合計 6 個、例: macos → MAC、linux → LINUX、windows → WINDOWS）
source.port principal.port 名前変更/マッピング
service_name principal.resource.name 直接マッピングされます。
service_id principal.resource.product_object_id 直接マッピングされます。
service_type principal.resource.resource_subtype 直接マッピングされます。
pri_res_ans principal.resource_ancestors 統合済み
princ_res_ans principal.resource_ancestors 統合済み
token_source_user_identity_admin principal.user.attribute.labels 統合済み
token_source_user_identity_elevated principal.user.attribute.labels 統合済み
token_source_user_identity_email principal.user.attribute.labels 統合済み
token_source_user_identity_full_name principal.user.attribute.labels 統合済み
token_source_user_identity_id principal.user.attribute.labels 統合済み
token_user_domain principal.user.attribute.labels 統合済み
token_user_hash principal.user.attribute.labels 統合済み
token_role principal.user.attribute.roles 統合済み
src_user_mail principal.user.email_addresses 統合済み
user_mail principal.user.email_addresses 統合済み
source.user.id principal.user.product_object_id 直接マッピングされます。
user.id principal.user.product_object_id 直接マッピングされます。
source.user.full_name principal.user.user_display_name 直接マッピングされます。
user.full_name principal.user.user_display_name 直接マッピングされます。
source.user.name principal.user.userid 直接マッピングされます。
user.name principal.user.userid 直接マッピングされます。
appomni.event.dataset security_result.action_details 直接マッピングされます。
tactics security_result.attack_details.tactics 統合済み
technique security_result.attack_details.techniques 統合済み
rule.threat.framework security_result.attack_details.version 直接マッピングされます。
appomni.source.id src.user.product_object_id 直接マッピングされます。
destination.as.domain target.administrative_domain 直接マッピングされます。
destination.host.id target.asset.asset_id 直接マッピングされます。
token_destination_host_name target.asset.attribute.labels 統合済み
token_destination_host_type target.asset.attribute.labels 統合済み
dst_mac target.asset.mac 統合済み
destination.domain target.domain.name 直接マッピングされます。
file_extension target.file.file_type マッピング: "EPUB", "FB2", "MOBI" → FILE_TYPE_EBOOK
file.path target.file.full_path 直接マッピングされます。
file.hash target.file.md5 直接マッピングされます。
file.name target.file.names 統合済み
file.size target.file.size 名前変更/マッピング
destination.host.hostname target.hostname 直接マッピングされます。
destination.ip target.ip 統合済み
token_destination_geo_continent_code target.labels 統合済み
token_destination_geo_continent_name target.labels 統合済み
token_destination_geo_country_iso_code target.labels 統合済み
token_destination_geo_postal_code target.labels 統合済み
token_destination_geo_region_iso_code target.labels 統合済み
token_destination_geo_timezone target.labels 統合済み
token_file_id target.labels 統合済み
destination.geo.city_name target.location.city 直接マッピングされます。
destination.as.country target.location.country_or_region 直接マッピングされます。
destination.geo.country_name target.location.country_or_region 直接マッピングされます。
destination.geo.region_name target.location.country_or_region 直接マッピングされます。
destination.geo.name target.location.name 直接マッピングされます。
destination.geo.location.lat target.location.region_coordinates.latitude 名前変更済み/マッピング済み
destination.geo.location.lon target.location.region_coordinates.longitude 名前変更済み/マッピング済み
dst_mac target.mac 統合済み
destination.as.number target.network.asn 直接マッピングされます。
destination.as.organization.name target.network.organization_name 直接マッピングされます。
destination.port target.port 名前変更済み/マッピング済み
token_resource_owner_domain target.resource.attribute.labels 統合済み
token_resource_owner_email target.resource.attribute.labels 統合済み
token_resource_owner_full_name target.resource.attribute.labels 統合済み
token_resource_owner_hash target.resource.attribute.labels 統合済み
token_resource_owner_id target.resource.attribute.labels 統合済み
token_resource_owner_identity_admin target.resource.attribute.labels 統合済み
token_resource_owner_identity_elevated target.resource.attribute.labels 統合済み
token_resource_owner_identity_email target.resource.attribute.labels 統合済み
token_resource_owner_identity_full_name target.resource.attribute.labels 統合済み
token_resource_owner_identity_id target.resource.attribute.labels 統合済み
token_resource_owner_name target.resource.attribute.labels 統合済み
resource.name target.resource.name 直接マッピングされます。
resource.id target.resource.product_object_id 直接マッピングされます。
resource.type target.resource.resource_subtype 直接マッピングされます。
tar_res_ans target.resource_ancestors 統合済み
raw_event.url target.url 直接マッピングされます。
token_destination_user_domain target.user.attribute.labels 統合済み
token_destination_user_hash target.user.attribute.labels 統合済み
token_destination_user_identity_admin target.user.attribute.labels 統合済み
token_destination_user_identity_elevated target.user.attribute.labels 統合済み
token_destination_user_identity_email target.user.attribute.labels 統合済み
token_destination_user_identity_full_name target.user.attribute.labels 統合済み
token_destination_user_identity_id target.user.attribute.labels 統合済み
token_user_target_domain target.user.attribute.labels 統合済み
token_user_target_hash target.user.attribute.labels 統合済み
token_user_target_identity_admin target.user.attribute.labels 統合済み
token_user_target_identity_elevated target.user.attribute.labels 統合済み
token_user_target_identity_email target.user.attribute.labels 統合済み
token_user_target_identity_full_name target.user.attribute.labels 統合済み
token_user_target_identity_id target.user.attribute.labels 統合済み
token_role target.user.attribute.roles 統合済み
dst_user_mail target.user.email_addresses 統合済み
user_tar_mail target.user.email_addresses 統合済み
user.target.id target.user.product_object_id 直接マッピングされます。
destination.user.full_name target.user.user_display_name 直接マッピングされます。
user.target.full_name target.user.user_display_name 直接マッピングされます。
destination.user.id target.user.userid 直接マッピングされます。
destination.user.name target.user.userid 直接マッピングされます。
user.target.name target.user.userid 直接マッピングされます。
なし metadata.event_type 定数: GENERIC_EVENT
なし metadata.product_name 定数: APPOMNI
なし metadata.vendor_name 定数: APPOMNI
なし principal.asset.platform_software.platform 定数: MAC
なし principal.asset.type 定数: WORKSTATION
なし principal.platform 定数: MAC
なし principal.resource.resource_type 定数: BACKEND_SERVICE
なし target.asset.type 定数: WORKSTATION
なし target.file.file_type 定数: FILE_TYPE_EBOOK
なし target.resource.resource_type 定数: CLOUD_PROJECT
source.as.domain event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.anomalous_fields.source.as.domain event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.normal_state.source.as.domain.results event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.normal_state.source.as.domain.counts event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.rare_state.source.as.domain.results event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.rare_state.source.as.domain.counts event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.dataset event.idm.read_only_udm.metadata.log_type 変更履歴からマッピング
raw_event.duration event.idm.read_only_udm.additional.fields 変更履歴からマッピング
appomni.event.dataset event.idm.read_only_udm.security_result.action_details 変更履歴からマッピング
raw_event.kind event.idm.read_only_udm.security_result.alert_state 変更履歴からマッピング
raw_event.url event.idm.read_only_udm.target.url 変更履歴からマッピング
source.host.name event.idm.read_only_udm.principal.asset.hostname 変更履歴からマッピング
source.host.type event.idm.read_only_udm.principal.asset.type 変更履歴からマッピング
source.address event.idm.read_only_udm.principal.ip と event.idm.read_only_udm.principal.asset.ip 変更履歴からマッピング
source.domain event.idm.read_only_udm.principal.network.dns_domain 変更履歴からマッピング
user_agent.os.name event.idm.read_only_udm.principal.platform 変更履歴からマッピング
user_agent.os.kernel event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user_agent.os.platform event.idm.read_only_udm.additional.fields 変更履歴からマッピング
destination.host.hostname event.idm.read_only_udm.target.hostname 変更履歴からマッピング
destination.domain event.idm.read_only_udm.target.domain.name 変更履歴からマッピング
destination.as.country event.idm.read_only_udm.target.location.country_or_region 変更履歴からマッピング
destination.user.id event.idm.read_only_udm.target.user.userid 変更履歴からマッピング
user.identity.admin event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user.identity.elevated event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user.identity.email event.idm.read_only_udm.intermediary.email 変更履歴からマッピング
source.user.domain event.idm.read_only_udm.principal.administrative_domain 変更履歴からマッピング
source.user.hash event.idm.read_only_udm.additional.fields 変更履歴からマッピング
appomni.service.slug event.idm.read_only_udm.additional.fields 変更履歴からマッピング
source.as.type event.idm.read_only_udm.additional.fields 変更履歴からマッピング
rule.threat.tactic.reference event.idm.read_only_udm.additional.fields 変更履歴からマッピング
rule.threat.technique.reference event.idm.read_only_udm.additional.fields 変更履歴からマッピング
related.services.id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
related.services.name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
related.services.type event.idm.read_only_udm.additional.fields 変更履歴からマッピング
policy.category event.idm.read_only_udm.additional.fields 変更履歴からマッピング
policy.id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
policy.name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
appomni.event.enrichments event.idm.read_only_udm.additional.fields 変更履歴からマッピング
configuration.name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
configuration.old_value event.idm.read_only_udm.additional.fields 変更履歴からマッピング
configuration.value event.idm.read_only_udm.additional.fields 変更履歴からマッピング
destination.as.service event.idm.read_only_udm.additional.fields 変更履歴からマッピング
destination.as.type event.idm.read_only_udm.additional.fields 変更履歴からマッピング
destination.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
destination.user.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.anomalous_fields.source.as.number event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.anomalous_fields.source.ip event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.normal_state.source.as.number event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.normal_state.source.ip event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.rare_state.source.as.number event.idm.read_only_udm.additional.fields 変更履歴からマッピング
raw_event.ueba.rare_state.source.ip event.idm.read_only_udm.additional.fields 変更履歴からマッピング
file.directory event.idm.read_only_udm.additional.fields 変更履歴からマッピング
labels.some_key event.idm.read_only_udm.additional.fields 変更履歴からマッピング
policy.description event.idm.read_only_udm.additional.fields 変更履歴からマッピング
policy.outcome event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.count event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.owner.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.count event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.owner.domain event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.owner.email event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.owner.full_name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.owner.hash event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.owner.id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.owner.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.owner.name event.idm.read_only_udm.additional.fields 変更履歴からマッピング
resource.parent.owner.roles event.idm.read_only_udm.additional.fields 変更履歴からマッピング
rule.vendor_id event.idm.read_only_udm.additional.fields 変更履歴からマッピング
source.as.service event.idm.read_only_udm.additional.fields 変更履歴からマッピング
source.user.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user.changes.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user.effective.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user.target.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
user.indicators event.idm.read_only_udm.additional.fields 変更履歴からマッピング
appomni.source.id event.idm.read_only_udm.principal.asset.product_object_id 変更履歴からマッピング
source.as.country event.idm.read_only_udm.principal.location.country_or_region 変更履歴からマッピング
source.as.domain event.idm.read_only_udm.principal.domain.name 変更履歴からマッピング
rule.threat.framework event.idm.read_only_udm.security_result.attack_details.version 変更履歴からマッピング
rule.threat.tactic.id event.idm.read_only_udm.security_result.attack_details.tactics.id 変更履歴からマッピング
rule.threat.tactic.name event.idm.read_only_udm.security_result.attack_details.tactics.name 変更履歴からマッピング
rule.threat.technique.id event.idm.read_only_udm.security_result.attack_details.techniques.id 変更履歴からマッピング
rule.threat.technique.name event.idm.read_only_udm.security_result.attack_details.techniques.name 変更履歴からマッピング
appomni.source.id event.idm.read_only_udm.src.user.product_object_id 変更履歴からマッピング
file.hash event.idm.read_only_udm.target.file.md5 変更履歴からマッピング
user.identity.full_name event.idm.read_only_udm.intermediary.user.user_display_name 変更履歴からマッピング
user.identity.id event.idm.read_only_udm.intermediary.user.userid 変更履歴からマッピング
destination.as.domain event.idm.read_only_udm.target.administrative_domain 変更履歴からマッピング
event.ueba.normal_state.authentication.raw_method.counts", "event.ueba.normal_state.authentication.raw_method.results", "event.ueba.normal_state.source.as.organization.name.results", "event.ueba.normal_state.source.as.organization.name.counts", "event.ueba.rare_state.authentication.raw_method.counts", "event.ueba.rare_state.authentication.raw_method.results", "event.ueba.rare_state.source.as.organization.name.results", and "event.ueba.rare_state.source.as.organization.name.counts additional.fields 変更履歴からマッピング
resource.metadata.application target.application 変更履歴からマッピング
resource.metadata.entities target.resource.attribute.labels 変更履歴からマッピング
resource.metadata.query target.process.command_line 変更履歴からマッピング
resource.metadata.row_count target.resource.attribute.labels 変更履歴からマッピング
resource.metadata.type target.resource.attribute.labels 変更履歴からマッピング
resource.metadata.action_message security_results.action_details 変更履歴からマッピング
resource.metadata.language security_results.about.label 変更履歴からマッピング
labels.user_location principal.asset.location.name 変更履歴からマッピング
labels.login_key principal.resource.attribute.labels 変更履歴からマッピング
user.hash principal.resource.attribute.labels 変更履歴からマッピング
user.roles principal.resource.attribute.labels 変更履歴からマッピング
host.os.name target.asset.platform_software.platform 変更履歴からマッピング
host.os.version target.asset.platform_software.platform_version 変更履歴からマッピング
http.request.method network.http.method 変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。