AppOmni 로그 수집

파서 버전: 6.0

다음에서 지원:

Google SecOps SIEM

이 문서에서는 웹훅을 사용하여 로그를 Google Security Operations로 푸시하도록 AppOmni를 구성하는 방법을 설명합니다.

AppOmni는 Salesforce, Microsoft 365, ServiceNow, Workday, Google Workspace, Box, Zoom을 비롯한 엔터프라이즈 SaaS 애플리케이션 전반에서 지속적인 상태 관리, 위협 감지, 데이터 노출 모니터링을 제공하는 SaaS 보안 플랫폼입니다. AppOmni는 모니터링되는 SaaS 애플리케이션에서 수백 가지 이벤트 유형을 정규화하고 이벤트 스트리밍 기능을 사용하여 알림, 이벤트, 상태 결과를 외부 SIEM 대상으로 스트리밍할 수 있습니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

• Google SecOps 인스턴스
• 관리자 권한이 있는 AppOmni 계정
• Google Cloud 콘솔 액세스 권한 (API 키 생성용)
• 인스턴스에서 AppOmni Threat Detection 모듈이 사용 설정됨
• AppOmni에서 하나 이상의 모니터링되는 SaaS 애플리케이션이 연결되고 이벤트를 수집함

Google SecOps에서 웹훅 피드 만들기

피드 만들기

1. SIEM 설정 > 피드로 이동합니다.
2. 새 피드 추가를 클릭합니다.
3. 다음 페이지에서 단일 피드 구성을 클릭합니다.
4. 피드 이름 필드에 피드 이름을 입력합니다(예: AppOmni Events).
5. 소스 유형으로 웹훅을 선택합니다.
6. 로그 유형으로 AppOmni를 선택합니다.
7. 다음을 클릭합니다.
8. 다음 입력 파라미터의 값을 지정합니다.
   • 분할 구분 기호: \n (NDJSON 페이로드의 줄바꿈 구분 기호)를 입력합니다.
   • 애셋 네임스페이스: 애셋 네임스페이스
   • 수집 라벨: 이 피드의 이벤트에 적용할 라벨
9. 다음을 클릭합니다.
10. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

보안 비밀 키 생성 및 저장

피드를 만든 후 인증을 위한 보안 비밀 키를 생성해야 합니다.

1. 피드 세부정보 페이지에서 보안 비밀 키 생성을 클릭합니다.
2. 대화상자에 보안 비밀 키가 표시됩니다.
3. 보안 비밀 키를 안전하게 복사하여 저장합니다.

중요: 보안 비밀 키는 한 번만 표시되며 나중에 검색할 수 없습니다. 분실할 경우 새 보안 비밀 키를 생성해야 합니다.

피드 엔드포인트 URL 가져오기

1. 피드의 세부정보 탭으로 이동합니다.
2. 엔드포인트 정보 섹션에서 피드 엔드포인트 URL을 복사합니다.

3. URL 형식은 다음과 같습니다.

   https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import
   

   여기서 {region}는 Google SecOps 인스턴스의 리전 (예: us, europe, asia-southeast1)이고 {parent}은 projects/<PROJECT_ID>/locations/<LOCATION>/instances/<INSTANCE_ID>/logTypes/<LOG_TYPE> 형식의 리소스 경로입니다.

4. 다음 단계를 위해 이 URL을 저장합니다.

5. 완료를 클릭합니다.

Google Cloud API 키 만들기

Google SecOps에는 인증을 위한 API 키가 필요합니다. Google Cloud 콘솔에서 제한된 API 키를 만듭니다.

API 키 만들기

1. Google Cloud 콘솔 사용자 인증 정보 페이지로 이동합니다.
2. 프로젝트 (Google SecOps 인스턴스와 연결된 프로젝트)를 선택합니다.
3. 사용자 인증 정보 만들기 > API 키를 클릭합니다.
4. API 키가 생성되어 대화상자에 표시됩니다.
5. API 키 수정을 클릭하여 키를 제한합니다.

API 키 제한

1. API 키 설정 페이지에서 다음을 수행합니다.
   • 이름: 설명이 포함된 이름 (예: Chronicle Webhook API Key)을 입력합니다.
2. API 제한사항에서 다음을 실행합니다.
   1. 키 제한을 선택합니다.
   2. API 선택 드롭다운에서 Google SecOps API (또는 Chronicle API)를 검색하고 선택합니다.
3. 저장을 클릭합니다.
4. 페이지 상단의 API 키 필드에서 API 키 값을 복사합니다.

5. API 키를 안전하게 저장합니다.

   참고: API 키를 제한하면 Google SecOps API에서만 사용할 수 있으므로 키가 손상될 경우 보안 위험이 줄어듭니다.

AppOmni 이벤트 스트리밍 대상 구성

웹훅 URL 구성

• Google SecOps 엔드포인트 URL, API 키, 비밀 키를 결합합니다.

  <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
  

• 예:

  https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...
  

AppOmni에서 커스텀 웹훅 대상 만들기

1. https://<your-organization>.appomni.com에서 AppOmni 인스턴스에 로그인합니다.
2. thought 위협 감지 > 대상으로 이동합니다.
3. 새 배송지 추가를 클릭합니다.
4. 커스텀 웹훅 카드를 클릭합니다.
5. 다음 구성 세부정보를 제공합니다.
   • 이름: 설명이 포함된 이름 (예: Chronicle SIEM Webhook)을 입력합니다.
   • 설명 (선택사항): 설명을 입력합니다 (예: Stream AppOmni events to SIEM via webhook).

6. 다음 전송 설정을 구성합니다.

   • URL: API 키와 보안 비밀 키가 쿼리 매개변수로 추가된 전체 웹훅 URL을 붙여넣습니다.

     https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY
     

   • SSL 확인: 이 체크박스를 선택합니다 (권장).

   • 원본 필드 해시 (선택사항): 모니터링되는 SaaS 애플리케이션의 원본 이벤트 필드를 SHA256 해시로 대체하여 이벤트 크기를 줄이려면 이 체크박스를 선택합니다.

   • 최대 이벤트 크기 (선택사항): 기본 설정으로 두거나 맞춤 값을 설정합니다.

   • 최대 페이로드 크기 (선택사항): 기본 설정으로 두거나 커스텀 값을 설정합니다.

     참고: Google SecOps 웹훅 피드는 최대 요청 크기 4MB를 허용합니다. 최대 페이로드 크기가 이 한도를 초과하지 않도록 하세요.

7. Google SecOps로 스트리밍할 데이터 유형을 선택합니다.

   • 알림: AppOmni 규칙에 의해 생성된 위협 감지 알림 (권장)
   • 이벤트: 모니터링된 애플리케이션에서 수집된 정규화된 SaaS 활동 이벤트 (권장)
   • 정책: 구성 규정 준수를 위한 상황 관리 발견 항목
   참고: 포괄적인 보안 모니터링을 위해 사용 가능한 모든 데이터 유형을 선택하세요. 위협 알림만 필요한 경우 알림을 선택합니다. SIEM에서 상관관계를 파악하기 위해 원시 SaaS 활동 로그가 필요한 경우 이벤트를 선택합니다.

8. 저장을 클릭합니다.

대상 확인

1. AppOmni에서 위협 감지 > 대상으로 이동합니다.
2. 만든 대상을 찾습니다.
3. 대상 상태가 활성으로 표시되는지 확인합니다.
4. AppOmni가 모니터링되는 SaaS 애플리케이션을 기반으로 이벤트를 생성하고 스트리밍할 때까지 기다립니다.

5. Google SecOps에서 이벤트를 확인합니다.

   1. SIEM 설정 > 피드로 이동합니다.
   2. AppOmni 피드를 클릭합니다.
   3. 상태 탭으로 이동합니다.
   4. 이벤트가 수신되고 있는지 확인합니다.
   참고: 모니터링되는 SaaS 애플리케이션의 활동량에 따라 이벤트가 표시되는 데 몇 분 정도 걸릴 수 있습니다.

AppOmni 이벤트 유형

AppOmni는 Elastic Common Schema (ECS)를 기반으로 하는 AppOmni Common Event Schema (ACES)를 사용하여 SaaS 이벤트를 정규화합니다. 일반적으로 다음과 같은 이벤트 카테고리가 스트리밍됩니다.

카테고리	설명	예시
인증	사용자 인증 이벤트	로그인, 로그아웃, MFA 확인, SSO 이벤트
구성	애플리케이션 구성 변경사항	권한 변경, 정책 업데이트, 역할 수정
데이터 액세스	데이터 액세스 및 공유 이벤트	파일 다운로드, 레코드 조회, 공유 변경사항
관리	관리 작업	사용자 생성, 그룹 변경, 앱 설치
위협 감지	AppOmni에서 생성된 알림	이상 행동, 권한 에스컬레이션, 데이터 무단 반출 지표

인증 방법 참조

Google SecOps 웹훅 피드는 여러 인증 방법을 지원합니다. 공급업체에서 지원하는 방법을 선택합니다.

방법 1: 쿼리 매개변수 (AppOmni에 권장)

AppOmni 맞춤 웹훅 대상은 URL 기반 인증을 지원합니다. 웹훅 URL에 사용자 인증 정보를 추가합니다.

• URL 형식:

    <ENDPOINT_URL>?key=<API_KEY>&secret=<SECRET_KEY>
  

• 예:

    https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=AIzaSyD...&secret=abcd1234...
  

방법 2: 커스텀 헤더

AppOmni 버전이 웹훅 대상의 맞춤 HTTP 헤더를 지원하는 경우 헤더 기반 인증을 사용하여 보안을 강화할 수 있습니다.

• 헤더:

    x-goog-chronicle-auth: <API_KEY>
    x-chronicle-auth: <SECRET_KEY>
  

장점:

• API 키 및 보안 비밀이 URL에 표시되지 않음
• 더 안전함 (헤더가 웹 서버 액세스 로그에 기록되지 않음)

웹훅 한도 및 권장사항

요청 한도

한도	값
최대 요청 크기	4MB
최대 QPS (초당 쿼리 수)	15,000
요청 제한 시간	30초
재시도 동작	지수 백오프를 사용한 자동 재시도

권장사항

• 이벤트 볼륨과 수집 비용을 줄이려면 필요한 데이터 유형만 선택하세요.
• SSL 확인을 사용 설정하여 안전한 데이터 전송을 보장하세요.
• AppOmni에서 도착 페이지 상태를 정기적으로 모니터링하여 게재 실패를 확인합니다.
• 이벤트 페이로드가 큰 경우 '원본 필드 해싱' 옵션을 사용 설정하는 것이 좋습니다.
• SIEM에서 포괄적인 SaaS 감사 로그 범위를 확보하려면 이벤트 데이터 유형을 사용하세요.
• 즉각적인 분류가 필요한 우선순위가 높은 위협 감지 이벤트에는 알림 데이터 유형을 사용합니다.

문제 해결

Google SecOps에 이벤트가 표시되지 않음

원인: 이벤트가 전송되고 있지만 수집되지 않음

해결책:

1. Google SecOps에서 SIEM 설정 > 피드로 이동합니다.
2. AppOmni 피드를 클릭합니다.
3. 상태 탭으로 이동합니다.
4. 인제스트 오류를 확인합니다.
5. 로그 유형이 AppOmni로 설정되어 있는지 확인합니다.
6. 웹훅 URL의 보안 비밀 키가 피드 생성 중에 생성된 키와 일치하는지 확인합니다.

AppOmni에 대상 오류가 표시됨

원인: Google SecOps 엔드포인트에 연결할 수 없거나 2xx 이외의 상태를 반환함

해결책:

1. Google SecOps 엔드포인트 URL이 올바른지 확인합니다.
2. API 키가 유효하고 Google SecOps API 액세스 권한이 있는지 확인합니다.

3. 엔드포인트를 수동으로 테스트합니다.

   curl -X POST "https://{region}-chronicle.googleapis.com/v1/{parent}/logs:import?key=YOUR_API_KEY&secret=YOUR_SECRET_KEY" \
       -H "Content-Type: application/json" \
       -d '{"test": "event"}'
   

4. 테스트에 성공하면 AppOmni 대상 구성에 오타나 잘못된 URL 형식이 있는지 확인합니다.

페이로드가 최대 크기를 초과함

원인: AppOmni에서 4MB보다 큰 페이로드를 전송함

해결책:

1. AppOmni에서 위협 감지 > 대상으로 이동합니다.
2. 목적지를 클릭합니다.
3. 최대 페이로드 크기를 4MB 미만의 값으로 줄입니다.
4. 원본 필드 해시를 사용 설정하여 개별 이벤트 크기를 줄입니다.
5. 저장을 클릭합니다.

UDM 매핑 테이블

로그 필드	UDM 매핑	로직
additional_normalstatedata	additional.fields	병합됨
additional_normalstatedatacounts	additional.fields	병합됨
additional_normalstatedataresults	additional.fields	병합됨
additional_normalstatedomaincounts	additional.fields	병합됨
additional_normalstatedomainresults	additional.fields	병합됨
additional_normalstatenameresults	additional.fields	병합됨
additional_rarestatedata	additional.fields	병합됨
additional_rarestatedatacounts	additional.fields	병합됨
additional_rarestatedataresults	additional.fields	병합됨
additional_rarestatedomaincounts	additional.fields	병합됨
additional_rarestatedomainresults	additional.fields	병합됨
additional_rarestatenameresults	additional.fields	병합됨
anomalous_domain	additional.fields	병합됨
anomalous_fields_source_as_ip_label	additional.fields	병합됨
anomalous_fields_source_as_number_label	additional.fields	병합됨
appomni_service_slug_label	additional.fields	병합됨
changes_user_indicator_label	additional.fields	병합됨
configuration_name_label	additional.fields	병합됨
configuration_old_value_label	additional.fields	병합됨
configuration_value_label	additional.fields	병합됨
destination_as_service_label	additional.fields	병합됨
destination_as_type_label	additional.fields	병합됨
destination_indicators_label	additional.fields	병합됨
destination_user_indicators_label	additional.fields	병합됨
enrichments_value_label	additional.fields	병합됨
event_duration	additional.fields	병합됨
file_directory_label	additional.fields	병합됨
has_normal_state_authentication_name_counts	additional.fields	매핑됨: true → additional_normalstatedatacounts
has_normal_state_authentication_name_results	additional.fields	매핑됨: true → additional_normalstatenameresults
has_normal_state_authentication_raw_method_count	additional.fields	매핑됨: true → additional_normalstatedata
has_normal_state_authentication_raw_method_results	additional.fields	매핑됨: true → additional_normalstatedataresults
has_normal_state_domain_counts	additional.fields	매핑됨: true → additional_normalstatedomaincounts
has_normal_state_domain_results	additional.fields	매핑됨: true → additional_normalstatedomainresults
has_rare_state_authentication_name_counts	additional.fields	매핑됨: true → additional_rarestatedatacounts
has_rare_state_authentication_name_results	additional.fields	매핑됨: true → additional_rarestatenameresults
has_rare_state_authentication_raw_method_count	additional.fields	매핑됨: true → additional_rarestatedata
has_rare_state_authentication_raw_method_results	additional.fields	매핑됨: true → additional_rarestatedataresults
has_rare_state_domain_counts	additional.fields	매핑됨: true → additional_rarestatedomaincounts
has_rare_state_domain_results	additional.fields	매핑됨: true → additional_rarestatedomainresults
indicator_list	additional.fields	병합됨
labels_some_key_label	additional.fields	병합됨
normal_state_source_as_ip_label	additional.fields	병합됨
normal_state_source_as_number_label	additional.fields	병합됨
policy_category_label	additional.fields	병합됨
policy_description_label	additional.fields	병합됨
policy_id_label	additional.fields	병합됨
policy_name_label	additional.fields	병합됨
policy_outcome_label	additional.fields	병합됨
rare_state_source_as_ip_label	additional.fields	병합됨
rare_state_source_as_number_label	additional.fields	병합됨
related_services_id_label	additional.fields	병합됨
related_services_id_name_label	additional.fields	병합됨
related_services_type_label	additional.fields	병합됨
resource_count_label	additional.fields	병합됨
resource_owner_indicator_label	additional.fields	병합됨
resource_parent_count_label	additional.fields	병합됨
resource_parent_owner_domain_label	additional.fields	병합됨
resource_parent_owner_email_label	additional.fields	병합됨
resource_parent_owner_full_name_label	additional.fields	병합됨
resource_parent_owner_hash_label	additional.fields	병합됨
resource_parent_owner_id_label	additional.fields	병합됨
resource_parent_owner_indicator_label	additional.fields	병합됨
resource_parent_owner_name_label	additional.fields	병합됨
resource_parent_owner_role_label	additional.fields	병합됨
rule_vendor_id_label	additional.fields	병합됨
source_as_domain_label	additional.fields	병합됨
source_as_service_label	additional.fields	병합됨
source_as_type_label	additional.fields	병합됨
source_user_indicator_label	additional.fields	병합됨
tactic_reference_label	additional.fields	병합됨
technique_reference_label	additional.fields	병합됨
token_appomni_alert_channel	additional.fields	병합됨
token_appomni_event_ingestion_time	additional.fields	병합됨
token_appomni_event_parent_id	additional.fields	병합됨
token_appomni_event_sortable_event_id	additional.fields	병합됨
token_appomni_event_sortable_ingest_id	additional.fields	병합됨
token_appomni_organization_id	additional.fields	병합됨
token_authentication_raw_method	additional.fields	병합됨
token_error_id	additional.fields	병합됨
token_error_message	additional.fields	병합됨
token_error_type	additional.fields	병합됨
token_event_category	additional.fields	병합됨
token_event_code	additional.fields	병합됨
token_event_created	additional.fields	병합됨
token_event_end	additional.fields	병합됨
token_event_id	additional.fields	병합됨
token_event_kind	additional.fields	병합됨
token_event_original	additional.fields	병합됨
token_event_provider	additional.fields	병합됨
token_event_sequence	additional.fields	병합됨
token_event_start	additional.fields	병합됨
token_event_type	additional.fields	병합됨
token_labels	additional.fields	병합됨
token_rel_event	additional.fields	병합됨
token_rel_hash	additional.fields	병합됨
token_rel_host	additional.fields	병합됨
token_rel_idnt	additional.fields	병합됨
token_rel_res	additional.fields	병합됨
token_rel_user	additional.fields	병합됨
token_related_ip	additional.fields	병합됨
token_service_id	additional.fields	병합됨
token_service_name	additional.fields	병합됨
token_service_type	additional.fields	병합됨
token_session_kind	additional.fields	병합됨
token_source_user_hash	additional.fields	병합됨
token_space_category	additional.fields	병합됨
token_space_id	additional.fields	병합됨
token_space_name	additional.fields	병합됨
token_tag	additional.fields	병합됨
token_user_agent_os_kernel	additional.fields	병합됨
token_user_agent_os_platform	additional.fields	병합됨
token_user_identity_admin	additional.fields	병합됨
token_user_identity_elevated	additional.fields	병합됨
token_version	additional.fields	병합됨
user_effective_indicator_label	additional.fields	병합됨
user_indicator_label	additional.fields	병합됨
user_target_indicator_label	additional.fields	병합됨
authentication.provider	extensions.auth.auth_details	직접 매핑됨
auth_mechanism	extensions.auth.mechanism	병합됨
message	metadata.description	직접 매핑됨
appomni.event.collected_time	metadata.event_timestamp	RFC 3339(으)로 파싱됨
file.created	metadata.event_timestamp	RFC 3339(으)로 파싱됨
raw_event.ingested	metadata.event_timestamp	RFC 3339(으)로 파싱됨
raw_timestamp	metadata.event_timestamp	RFC 3339로 파싱됨
principal_machineid_present	metadata.event_type	매핑됨: true → NETWORK_CONNECTION, true → NETWORK_UNCATEGORIZED, true → `STATUS_HE…
principal_userid_present	metadata.event_type	매핑된 값 (총 13개, 예: true → GROUP_CREATION, true → GROUP_DELETION, true →…
raw_event.dataset	metadata.log_type	직접 매핑됨
raw_event.action	metadata.product_event_type	직접 매핑됨
appomni.event.id	metadata.product_log_id	직접 매핑됨
raw_event.reference	metadata.url_back_to_product	직접 매핑됨
session.id	network.session_id	직접 매핑됨
source.user.domain	principal.administrative_domain	직접 매핑됨
raw_event.module	principal.application	직접 매핑됨
source.host.id	principal.asset.asset_id	직접 매핑됨
source.host.hostname	principal.asset.hostname	직접 매핑됨
source.host.name	principal.asset.hostname	직접 매핑됨
src_host_mac	principal.asset.mac	병합됨
usr_agt_os_type	principal.asset.platform_software.platform	매핑됨: mac → MAC, linux → LINUX, windows → WINDOWS, chrome → CHROME_OS
appomni.source.id	principal.asset.product_object_id	직접 매핑됨
asset_soft	principal.asset.software	병합됨
source_host_type	principal.asset.type	Mapped: "workstation" , "desktop" → WORKSTATION, server → SERVER, laptop → `LAPTOP…
source.as.domain	principal.domain.name	직접 매핑됨
user.group.name	principal.group.group_display_name	직접 매핑됨
user.group.id	principal.group.product_object_id	직접 매핑됨
source.address	principal.ip	병합됨
source.ip	principal.ip	병합됨
token_appomni_service_type	principal.labels	병합됨
token_own_role	principal.labels	병합됨
token_service_id	principal.labels	병합됨
token_service_name	principal.labels	병합됨
token_source_geo_continent_code	principal.labels	병합됨
token_source_geo_continent_name	principal.labels	병합됨
token_source_geo_country_iso_code	principal.labels	병합됨
token_source_geo_postal_code	principal.labels	병합됨
token_source_geo_region_iso_code	principal.labels	병합됨
token_source_geo_timezone	principal.labels	병합됨
token_user_identity_full_name	principal.labels	병합됨
token_user_identity_id	principal.labels	병합됨
source.geo.city_name	principal.location.city	직접 매핑됨
source.as.country	principal.location.country_or_region	직접 매핑됨
source.geo.country_name	principal.location.country_or_region	직접 매핑됨
source.geo.name	principal.location.name	직접 매핑됨
source.geo.location.lat	principal.location.region_coordinates.latitude	이름이 변경됨/매핑됨
source.geo.location.lon	principal.location.region_coordinates.longitude	이름 변경/매핑됨
source.geo.region_name	principal.location.state	직접 매핑됨
src_mac	principal.mac	병합됨
source.as.number	principal.network.asn	직접 매핑됨
source.domain	principal.network.dns_domain	직접 매핑됨
user_agent.original	principal.network.http.user_agent	직접 매핑됨
raw_event.ueba.anomalous_fields.source.as.organization.name	principal.network.organization_name	직접 매핑됨
source.as.organization.name	principal.network.organization_name	직접 매핑됨
user_agent_os_name	principal.platform	매핑된 값 (총 6개, 예: macos → MAC, linux → LINUX, windows → WINDOWS)
source.port	principal.port	이름이 변경됨/매핑됨
service_name	principal.resource.name	직접 매핑됨
service_id	principal.resource.product_object_id	직접 매핑됨
service_type	principal.resource.resource_subtype	직접 매핑됨
pri_res_ans	principal.resource_ancestors	병합됨
princ_res_ans	principal.resource_ancestors	병합됨
token_source_user_identity_admin	principal.user.attribute.labels	병합됨
token_source_user_identity_elevated	principal.user.attribute.labels	병합됨
token_source_user_identity_email	principal.user.attribute.labels	병합됨
token_source_user_identity_full_name	principal.user.attribute.labels	병합됨
token_source_user_identity_id	principal.user.attribute.labels	병합됨
token_user_domain	principal.user.attribute.labels	병합됨
token_user_hash	principal.user.attribute.labels	병합됨
token_role	principal.user.attribute.roles	병합됨
src_user_mail	principal.user.email_addresses	병합됨
user_mail	principal.user.email_addresses	병합됨
source.user.id	principal.user.product_object_id	직접 매핑됨
user.id	principal.user.product_object_id	직접 매핑됨
source.user.full_name	principal.user.user_display_name	직접 매핑됨
user.full_name	principal.user.user_display_name	직접 매핑됨
source.user.name	principal.user.userid	직접 매핑됨
user.name	principal.user.userid	직접 매핑됨
appomni.event.dataset	security_result.action_details	직접 매핑됨
tactics	security_result.attack_details.tactics	병합됨
technique	security_result.attack_details.techniques	병합됨
rule.threat.framework	security_result.attack_details.version	직접 매핑됨
appomni.source.id	src.user.product_object_id	직접 매핑됨
destination.as.domain	target.administrative_domain	직접 매핑됨
destination.host.id	target.asset.asset_id	직접 매핑됨
token_destination_host_name	target.asset.attribute.labels	병합됨
token_destination_host_type	target.asset.attribute.labels	병합됨
dst_mac	target.asset.mac	병합됨
destination.domain	target.domain.name	직접 매핑됨
file_extension	target.file.file_type	매핑됨: "EPUB", "FB2", "MOBI" → FILE_TYPE_EBOOK
file.path	target.file.full_path	직접 매핑됨
file.hash	target.file.md5	직접 매핑됨
file.name	target.file.names	병합됨
file.size	target.file.size	이름 변경/매핑됨
destination.host.hostname	target.hostname	직접 매핑됨
destination.ip	target.ip	병합됨
token_destination_geo_continent_code	target.labels	병합됨
token_destination_geo_continent_name	target.labels	병합됨
token_destination_geo_country_iso_code	target.labels	병합됨
token_destination_geo_postal_code	target.labels	병합됨
token_destination_geo_region_iso_code	target.labels	병합됨
token_destination_geo_timezone	target.labels	병합됨
token_file_id	target.labels	병합됨
destination.geo.city_name	target.location.city	직접 매핑됨
destination.as.country	target.location.country_or_region	직접 매핑됨
destination.geo.country_name	target.location.country_or_region	직접 매핑됨
destination.geo.region_name	target.location.country_or_region	직접 매핑됨
destination.geo.name	target.location.name	직접 매핑됨
destination.geo.location.lat	target.location.region_coordinates.latitude	이름이 변경됨/매핑됨
destination.geo.location.lon	target.location.region_coordinates.longitude	이름이 변경됨/매핑됨
dst_mac	target.mac	병합됨
destination.as.number	target.network.asn	직접 매핑됨
destination.as.organization.name	target.network.organization_name	직접 매핑됨
destination.port	target.port	이름 변경/매핑됨
token_resource_owner_domain	target.resource.attribute.labels	병합됨
token_resource_owner_email	target.resource.attribute.labels	병합됨
token_resource_owner_full_name	target.resource.attribute.labels	병합됨
token_resource_owner_hash	target.resource.attribute.labels	병합됨
token_resource_owner_id	target.resource.attribute.labels	병합됨
token_resource_owner_identity_admin	target.resource.attribute.labels	병합됨
token_resource_owner_identity_elevated	target.resource.attribute.labels	병합됨
token_resource_owner_identity_email	target.resource.attribute.labels	병합됨
token_resource_owner_identity_full_name	target.resource.attribute.labels	병합됨
token_resource_owner_identity_id	target.resource.attribute.labels	병합됨
token_resource_owner_name	target.resource.attribute.labels	병합됨
resource.name	target.resource.name	직접 매핑됨
resource.id	target.resource.product_object_id	직접 매핑됨
resource.type	target.resource.resource_subtype	직접 매핑됨
tar_res_ans	target.resource_ancestors	병합됨
raw_event.url	target.url	직접 매핑됨
token_destination_user_domain	target.user.attribute.labels	병합됨
token_destination_user_hash	target.user.attribute.labels	병합됨
token_destination_user_identity_admin	target.user.attribute.labels	병합됨
token_destination_user_identity_elevated	target.user.attribute.labels	병합됨
token_destination_user_identity_email	target.user.attribute.labels	병합됨
token_destination_user_identity_full_name	target.user.attribute.labels	병합됨
token_destination_user_identity_id	target.user.attribute.labels	병합됨
token_user_target_domain	target.user.attribute.labels	병합됨
token_user_target_hash	target.user.attribute.labels	병합됨
token_user_target_identity_admin	target.user.attribute.labels	병합됨
token_user_target_identity_elevated	target.user.attribute.labels	병합됨
token_user_target_identity_email	target.user.attribute.labels	병합됨
token_user_target_identity_full_name	target.user.attribute.labels	병합됨
token_user_target_identity_id	target.user.attribute.labels	병합됨
token_role	target.user.attribute.roles	병합됨
dst_user_mail	target.user.email_addresses	병합됨
user_tar_mail	target.user.email_addresses	병합됨
user.target.id	target.user.product_object_id	직접 매핑됨
destination.user.full_name	target.user.user_display_name	직접 매핑됨
user.target.full_name	target.user.user_display_name	직접 매핑됨
destination.user.id	target.user.userid	직접 매핑됨
destination.user.name	target.user.userid	직접 매핑됨
user.target.name	target.user.userid	직접 매핑됨
해당 사항 없음	metadata.event_type	상수: GENERIC_EVENT
해당 사항 없음	metadata.product_name	상수: APPOMNI
해당 사항 없음	metadata.vendor_name	상수: APPOMNI
해당 사항 없음	principal.asset.platform_software.platform	상수: MAC
해당 사항 없음	principal.asset.type	상수: WORKSTATION
해당 사항 없음	principal.platform	상수: MAC
해당 사항 없음	principal.resource.resource_type	상수: BACKEND_SERVICE
해당 사항 없음	target.asset.type	상수: WORKSTATION
해당 사항 없음	target.file.file_type	상수: FILE_TYPE_EBOOK
해당 사항 없음	target.resource.resource_type	상수: CLOUD_PROJECT
source.as.domain	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.anomalous_fields.source.as.domain	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.normal_state.source.as.domain.results	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.normal_state.source.as.domain.counts	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.rare_state.source.as.domain.results	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.rare_state.source.as.domain.counts	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.dataset	event.idm.read_only_udm.metadata.log_type	변경 로그에서 매핑됨
raw_event.duration	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
appomni.event.dataset	event.idm.read_only_udm.security_result.action_details	변경 로그에서 매핑됨
raw_event.kind	event.idm.read_only_udm.security_result.alert_state	변경 로그에서 매핑됨
raw_event.url	event.idm.read_only_udm.target.url	변경 로그에서 매핑됨
source.host.name	event.idm.read_only_udm.principal.asset.hostname	변경 로그에서 매핑됨
source.host.type	event.idm.read_only_udm.principal.asset.type	변경 로그에서 매핑됨
source.address	event.idm.read_only_udm.principal.ip 및 event.idm.read_only_udm.principal.asset.ip	변경 로그에서 매핑됨
source.domain	event.idm.read_only_udm.principal.network.dns_domain	변경 로그에서 매핑됨
user_agent.os.name	event.idm.read_only_udm.principal.platform	변경 로그에서 매핑됨
user_agent.os.kernel	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
user_agent.os.platform	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
destination.host.hostname	event.idm.read_only_udm.target.hostname	변경 로그에서 매핑됨
destination.domain	event.idm.read_only_udm.target.domain.name	변경 로그에서 매핑됨
destination.as.country	event.idm.read_only_udm.target.location.country_or_region	변경 로그에서 매핑됨
destination.user.id	event.idm.read_only_udm.target.user.userid	변경 로그에서 매핑됨
user.identity.admin	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
user.identity.elevated	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
user.identity.email	event.idm.read_only_udm.intermediary.email	변경 로그에서 매핑됨
source.user.domain	event.idm.read_only_udm.principal.administrative_domain	변경 로그에서 매핑됨
source.user.hash	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
appomni.service.slug	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
source.as.type	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
rule.threat.tactic.reference	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
rule.threat.technique.reference	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
related.services.id	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
related.services.name	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
related.services.type	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
policy.category	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
policy.id	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
policy.name	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
appomni.event.enrichments	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
configuration.name	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
configuration.old_value	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
configuration.value	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
destination.as.service	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
destination.as.type	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
destination.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
destination.user.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.anomalous_fields.source.as.number	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.anomalous_fields.source.ip	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.normal_state.source.as.number	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.normal_state.source.ip	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.rare_state.source.as.number	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
raw_event.ueba.rare_state.source.ip	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
file.directory	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
labels.some_key	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
policy.description	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
policy.outcome	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.count	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.owner.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.count	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.owner.domain	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.owner.email	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.owner.full_name	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.owner.hash	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.owner.id	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.owner.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.owner.name	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
resource.parent.owner.roles	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
rule.vendor_id	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
source.as.service	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
source.user.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
user.changes.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
user.effective.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
user.target.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
user.indicators	event.idm.read_only_udm.additional.fields	변경 로그에서 매핑됨
appomni.source.id	event.idm.read_only_udm.principal.asset.product_object_id	변경 로그에서 매핑됨
source.as.country	event.idm.read_only_udm.principal.location.country_or_region	변경 로그에서 매핑됨
source.as.domain	event.idm.read_only_udm.principal.domain.name	변경 로그에서 매핑됨
rule.threat.framework	event.idm.read_only_udm.security_result.attack_details.version	변경 로그에서 매핑됨
rule.threat.tactic.id	event.idm.read_only_udm.security_result.attack_details.tactics.id	변경 로그에서 매핑됨
rule.threat.tactic.name	event.idm.read_only_udm.security_result.attack_details.tactics.name	변경 로그에서 매핑됨
rule.threat.technique.id	event.idm.read_only_udm.security_result.attack_details.techniques.id	변경 로그에서 매핑됨
rule.threat.technique.name	event.idm.read_only_udm.security_result.attack_details.techniques.name	변경 로그에서 매핑됨
appomni.source.id	event.idm.read_only_udm.src.user.product_object_id	변경 로그에서 매핑됨
file.hash	event.idm.read_only_udm.target.file.md5	변경 로그에서 매핑됨
user.identity.full_name	event.idm.read_only_udm.intermediary.user.user_display_name	변경 로그에서 매핑됨
user.identity.id	event.idm.read_only_udm.intermediary.user.userid	변경 로그에서 매핑됨
destination.as.domain	event.idm.read_only_udm.target.administrative_domain	변경 로그에서 매핑됨
event.ueba.normal_state.authentication.raw_method.counts", "event.ueba.normal_state.authentication.raw_method.results", "event.ueba.normal_state.source.as.organization.name.results", "event.ueba.normal_state.source.as.organization.name.counts", "event.ueba.rare_state.authentication.raw_method.counts", "event.ueba.rare_state.authentication.raw_method.results", "event.ueba.rare_state.source.as.organization.name.results", and "event.ueba.rare_state.source.as.organization.name.counts	additional.fields	변경 로그에서 매핑됨
resource.metadata.application	target.application	변경 로그에서 매핑됨
resource.metadata.entities	target.resource.attribute.labels	변경 로그에서 매핑됨
resource.metadata.query	target.process.command_line	변경 로그에서 매핑됨
resource.metadata.row_count	target.resource.attribute.labels	변경 로그에서 매핑됨
resource.metadata.type	target.resource.attribute.labels	변경 로그에서 매핑됨
resource.metadata.action_message	security_results.action_details	변경 로그에서 매핑됨
resource.metadata.language	security_results.about.label	변경 로그에서 매핑됨
labels.user_location	principal.asset.location.name	변경 로그에서 매핑됨
labels.login_key	principal.resource.attribute.labels	변경 로그에서 매핑됨
user.hash	principal.resource.attribute.labels	변경 로그에서 매핑됨
user.roles	principal.resource.attribute.labels	변경 로그에서 매핑됨
host.os.name	target.asset.platform_software.platform	변경 로그에서 매핑됨
host.os.version	target.asset.platform_software.platform_version	변경 로그에서 매핑됨
http.request.method	network.http.method	변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.