‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Netscout Arbor Sightline

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומני Netscout Arbor Sightline ב-Google Security Operations באמצעות סוכן Bindplane.

‫Netscout Arbor Sightline (לשעבר Peakflow SP) היא פלטפורמה לזיהוי DDoS ולניראות ברשת, שמספקת יכולות חזקות – החל מתכנון קיבולת ברמת הרשת ועד לזיהוי ולניהול של צמצום מתקפות DDoS ואיומים אחרים על הרשת. מערכת Sightline אוספת ומנתחת נתוני זרימה, מידע על ניתוב BGP ונתוני SNMP כדי לזהות חריגות, ליצור התראות ולתאם תגובות לצמצום ההשפעה.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

מכונה של Google SecOps
‫Windows Server 2016 ואילך, או מארח Linux עם systemd
קישוריות רשת בין סוכן Bindplane לבין מכשיר Netscout Arbor Sightline
אם אתם משתמשים בשרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
הרשאת אדמין לממשק האינטרנט של Netscout Arbor Sightline
הרשאת אדמין לממשק שורת הפקודה (CLI) של Netscout Arbor Sightline כדי להגדיר התראות מערכת

קבלת פרטי כניסה ל-Google SecOps בשביל סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות ל-Chronicle API (מומלץ)

נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
נכנסים לדף IAM & Admin > Service Accounts.
לוחצים על Create service account.
מזינים את פרטי ההגדרה הבאים:
- Service account name: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
- Service account description: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
לוחצים על Create and continue.
בקטע Grant this service account access to project, לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
לוחצים על המשך ואז על סיום.
לוחצים על חשבון השירות שיצרתם ועוברים לכרטיסייה Keys.
לוחצים על Add key > Create new key.
בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
שומרים את קובץ המפתח בתור ingestion-auth.json בספריית Bindplane collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שמרתם אותו.
עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (גרסה קודמת)

נכנסים למסוף Google SecOps.
עוברים אל הגדרות > ניהול נתונים > סוכני איסוף. אם אתם משתמשים בפלטפורמת SIEM בלבד, עוברים אל הגדרות > סוכני איסוף.
מורידים את קובץ האימות להטמעת נתונים.
שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

איך מקבלים את מספר הלקוח ב-Google SecOps

נכנסים למסוף Google SecOps.
עוברים אל הגדרות > ניהול > פרופיל. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פרופיל.
מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

הערה: מספר הלקוח נדרש כדי להגדיר את ייצוא הסוכן של Bindplane.

התקנת הסוכן של Bindplane

מתקינים את הסוכן של Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

פותחים את שורת הפקודה או את PowerShell כאדמין.

מריצים את הפקודה הבאה:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sc query observiq-otel-collector
```
השירות אמור להופיע כ-RUNNING.

התקנה ב-Linux

פותחים טרמינל עם הרשאות root או sudo.

מריצים את הפקודה הבאה:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

מחכים שההתקנה תסתיים.
כדי לוודא שההתקנה בוצעה, מריצים את הפקודה:
```
sudo systemctl status observiq-otel-collector
```
השירות אמור להופיע כפעיל (פועל).

מקורות מידע נוספים בנושא התקנה

במדריך להתקנת הסוכן של Bindplane מפורטות אפשרויות התקנה נוספות ופתרונות לבעיות.

הגדרת סוכן Bindplane כדי להטמיע את syslog ולשלוח ל-Google SecOps

מאתרים את קובץ התצורה

Linux:

sudo nano /opt/observiq-otel-collector/config.yaml

‫Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

עריכת קובץ התצורה

מחליפים את כל התוכן של config.yaml בהגדרות הבאות:

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/arbor_sightline:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/arbor_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/arbor_sightline

מחליפים את ה-placeholders הבאים:
- הגדרת המקלט:
  - המקלט מוגדר להאזין ליציאת UDP‏ 514 בכל הממשקים (0.0.0.0:514)
  - אם צריך להשתמש ביציאה אחרת (לדוגמה, 1514 להתקנות Linux ללא הרשאות root), משנים את הערך של listen_address
  - אם אתם מעדיפים TCP syslog, החליפו את udplog ב-tcplog גם בקטע receivers וגם ב-pipeline
- הגדרת הייצוא:
  - ‫<CREDS_FILE_PATH>: הנתיב המלא לקובץ המפתח של חשבון השירות בפורמט JSON (אפשרות 1):
    - Linux: /opt/observiq-otel-collector/ingestion-auth.json
    - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  - ‫<CUSTOMER_ID>: מספר הלקוח מהשלב הקודם
  - ‫location: מחליפים את <LOCATION> באזור של המכונה של Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). המייצא מוסיף את הערך הזה בתחילת chronicle.googleapis.com. לרשימה המלאה, ראו נקודות קצה אזוריות.
  - ‫project: מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
  - ‫endpoint: משאירים את הערך chronicle.googleapis.com.
  - log_type: צריך להגדיר לערך ARBOR_SIGHTLINE (נדרשת התאמה מדויקת)
  - ‫ingestion_labels: תוויות אופציונליות בפורמט YAML (אפשר לשנות לפי הצורך בסביבה שלכם)

הגדרה לדוגמה

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/arbor_sightline:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production
      source: sightline

service:
  pipelines:
    logs/arbor_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/arbor_sightline

מייצא API להטמעה מדור קודם

אם אתם משתמשים בקובץ האימות להטמעת נתונים מאפשרות 2, החליפו את הבלוק exporters בקוד הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).
```
exporters:
  chronicle/arbor_sightline:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production
```

שמירת קובץ התצורה

אחרי העריכה, שומרים את הקובץ:

Linux: לוחצים על Ctrl+O, אחר כך על Enter ואז על Ctrl+X
Windows: לוחצים על קובץ > שמירה

מפעילים מחדש את הסוכן של Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את סוכן Bindplane ב-Linux:
1. מריצים את הפקודה הבאה:
```
sudo systemctl restart observiq-otel-collector
```
2. מוודאים שהשירות פועל:
```
sudo systemctl status observiq-otel-collector
```
3. בודקים אם יש שגיאות ביומנים:
```
sudo journalctl -u observiq-otel-collector -f
```
כדי להפעיל מחדש את הסוכן של Bindplane ב-Windows:
1. בוחרים אחת מהאפשרויות האלה:
  - שורת הפקודה או PowerShell כאדמין:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
  - מסוף השירותים:
    1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
    2. מאתרים את observIQ OpenTelemetry Collector.
    3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.
2. מוודאים שהשירות פועל:
```
sc query observiq-otel-collector
```
3. בודקים אם יש שגיאות ביומנים:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

הגדרת העברת syslog ב-Netscout Arbor Sightline

כדי לשלוח יומנים אל Google SecOps, צריך להגדיר את Netscout Arbor Sightline כך שיעביר אירועי syslog לסוכן Bindplane. כדי לעשות את זה, צריך ליצור קבוצת התראות, לקבוע הגדרות התראה גלובליות ולהגדיר כללים להתראות.

יצירת קבוצת התראות

נכנסים לממשק האינטרנט של Netscout Arbor Sightline כאדמינים.
עוברים אל Administration > Notification > Groups.
לוחצים על הוספת קבוצת התראות.
מזינים את פרטי ההגדרה הבאים:
- Destinations: מזינים את כתובת ה-IP של המארח של סוכן Bindplane (לדוגמה, 192.168.1.100).
- Port: מזינים 514 (או את היציאה שהוגדרה בסוכן Bindplane, כמו 1514).
- מתקן: בוחרים מתקן syslog (לדוגמה, local0 או user).
- רמת החומרה: בוחרים באפשרות info. רמת החומרה "מידע" אוספת את כל הודעות האירועים ברמת האירוע "מידע" וברמת חומרה גבוהה יותר.
לוחצים על Save.
לוחצים על Configuration Commit כדי להחיל את השינויים בהגדרות.

הערה: קבוצת ההתראות מגדירה לאן נשלחות הודעות syslog. אפשר ליצור כמה קבוצות של התראות ליעדים שונים.

הגדרת התראות גלובליות

התראות גלובליות ב-Netscout Arbor Sightline מספקות התראות מערכת שלא משויכות לכללי התראות ספציפיים.

בממשק האינטרנט של Netscout Arbor Sightline, עוברים אל Administration > Notification > Global Settings.
בשדה Default Notification Group, בוחרים את קבוצת ההתראות שיצרתם ל-Google SecOps.
לוחצים על Save.
לוחצים על Configuration Commit כדי להחיל את השינויים בהגדרות.

הפעלת התראות מערכת

כדי להגדיר התראות מערכת, צריך להשתמש בממשק שורת הפקודה (CLI).

נכנסים לממשק שורת הפקודה של Netscout Arbor Sightline כאדמינים.
מציגים את ההגדרות הנוכחיות של ההתראות במערכת:
```
services sp alerts system_errors show
```
כדי להציג רשימה של שמות השדות של התראות המערכת שאפשר להגדיר, מריצים את הפקודה:
```
services sp alerts system_errors ?
```
הפעלת התראות מערכת. לכל סוג התראה שרוצים להפעיל, מריצים את הפקודה:
```
services sp alerts system_errors <alert_name> notifications enable
```
מחליפים את <alert_name> בשם השדה הספציפי של ההתראה מהמערכת (לדוגמה, disk_full,‏ flow_collector_down,‏ license_expiring).
שומרים את השינויים בהגדרות:
```
config write
```
הערה: התראות המערכת כוללות אירועים קריטיים כמו בעיות במקום בכונן, כשלים בשירות ואזהרות לגבי רישיונות. מפעילים התראות שרלוונטיות לדרישות המעקב שלכם.

הגדרת כללים להתראות

כללי ההתראות קובעים אילו התראות מפעילות התראות syslog ל-Google SecOps.

בממשק האינטרנט של Netscout Arbor Sightline, עוברים אל Administration > Notification > Rules.
בוחרים אחת מהאפשרויות הבאות:
- לוחצים על כלל קיים כדי לערוך אותו.
- לוחצים על הוספת כלל כדי ליצור כלל חדש להתראות.
מגדירים את הערכים הבאים:
- שם: מזינים שם תיאורי לכלל (לדוגמה, Chronicle-DDoS-Alerts).
- משאב: מזינים כתובת CIDR או בוחרים אובייקט מנוהל מרשימת המשאבים של Sightline. כדי להחיל את הכלל על כל המשאבים, משאירים את השדה הזה ריק או בוחרים באפשרות הכול.
- חשיבות: בוחרים את רמת החשיבות המינימלית של ההתראות (לדוגמה, Low,‏ Medium,‏ High או Critical). התראות ברמה הזו או ברמה גבוהה יותר יפעילו התראות.
- ‫Notification Group: בוחרים את קבוצת ההתראות שיצרתם ל-Google SecOps.
חוזרים על השלבים האלה כדי להגדיר כללים נוספים לפי הצורך למשאבים שונים או לרמות חשיבות שונות.
לוחצים על Save.
לוחצים על Configuration Commit כדי להחיל את השינויים בהגדרות.

הערה: אפשר להגדיר את הכללים של התראות לפי אובייקטים מנוהלים ספציפיים (רשתות של לקוחות, רשתות שכנות) ורמות חשיבות. אפשר ליצור כמה כללים כדי לכוונן את ההתראות שנשלחות ל-Google SecOps.

בדיקת הקישוריות של syslog

אחרי שמגדירים את קבוצת ההתראות ואת הכללים, מוודאים שהודעות syslog נשלחות לסוכן Bindplane.

ב-CLI של Netscout Arbor Sightline, בודקים את החיבור ל-syslog:
```
services sp notification test syslog group <notification_group_name>
```
מחליפים את <notification_group_name> בשם של קבוצת ההתראות שיצרתם.
הפקודה אמורה להחזיר:
```
Server returned: Success
```
בודקים את יומני הסוכן של Bindplane כדי לוודא שהודעות הבדיקה מתקבלות:

Linux:
```
sudo journalctl -u observiq-otel-collector -f
```
Windows:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```
במסוף Google SecOps, עוברים אל Search ומוודאים שהיומנים של Netscout Arbor Sightline מופיעים עם תווית ההטמעה ARBOR_SIGHTLINE.

הערה: יכול להיות שיעברו כמה דקות עד שהיומנים יופיעו ב-Google SecOps אחרי ההגדרה הראשונית. אם לא מופיעים יומנים, בודקים את הקישוריות לרשת בין Sightline, הסוכן של Bindplane ו-Google SecOps.

סוגי האירועים שמועברים אל Google SecOps

‫Netscout Arbor Sightline מעביר את קטגוריות האירועים הבאות באמצעות syslog:
- אירועים של התקפת מניעת שירות (DoS): התראות על זיהוי התקפות DDoS, כולל התקפות נפח, התקפות פרוטוקול והתקפות בשכבת האפליקציה
- אירועי אימות: כניסות מוצלחות וכניסות שנכשלו של משתמשים, ניסיונות אימות
- אירועי ניצול לרעה: ניסיונות ניצול לרעה שזוהו ודפוסי תנועה חשודים
- אירועים של פעילות חשודה: התנהגות חריגה בתנועה ואיומי אבטחה פוטנציאליים
- אירועי מערכת: תקינות המכשיר, סטטוס השירות, שינויים בהגדרות והתראות תפעוליות
- אירועי צמצום: התחלה, עצירה ועדכוני סטטוס של צמצום מתקפות DDoS
הערה: האירועים הספציפיים שמועברים תלויים בהגדרות של כללי ההתראות. כדי לקבוע אילו אירועים יישלחו ל-Google SecOps, אפשר לשנות את רמות החשיבות ואת היקפי המשאבים בכללי ההתראות.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	Logic (פונקציה לוגית)
msg1	additional.fields	ממוזג עם תוויות מכל שדה אם הוא לא ריק, באמצעות מפתחות ספציפיים כמו "message_description" עבור msg1,‏ "config_version" עבור config_version וכו'.
config_version	additional.fields
prin_user	additional.fields
old_bgp_attributes	additional.fields
new_bgp_attributes	additional.fields
reason	additional.fields
sample_rate	additional.fields
proto	additional.fields
תהליכים	additional.fields
מזהה	additional.fields
expected_bps	additional.fields
actual_bps	additional.fields
שרת	additional.fields
סטטוס	additional.fields
אחוז	additional.fields
תעריף	additional.fields
rateunit	additional.fields
דגלים	additional.fields
נתב	additional.fields
ממשק	additional.fields
ip_ver	additional.fields
protocol_id	additional.fields
router_name	additional.fields
interface_id	additional.fields
interface_name	additional.fields
עדיפות	additional.fields
log_level	additional.fields
בריכה	additional.fields
thread_id	additional.fields
פסק זמן	additional.fields
ניסיונות	additional.fields
vulns	extensions.vulns.vulnerabilities	Merged if vulns not empty
desc	metadata.description	מוגדר כ-"%{desc}: %{desc2}" אם גם desc וגם desc2 לא ריקים, אחרת desc; מוחלף על ידי message_desc אם הוא לא ריק
desc2	metadata.description
message_desc	metadata.description
event_time	metadata.event_timestamp	ההמרה בוצעה באמצעות מסנן תאריכים בפורמט MMM dd HH:mm:ss או MMM d HH:mm:ss, אזור זמן אירופה/לונדון
desc2	metadata.event_type	צריך להגדיר את הערך "SCAN_PROCESS" אם desc2 תואם ל-"(DNS Amplification
הודעה	metadata.event_type
src_ip	metadata.event_type
has_target_ip	metadata.event_type
has_network_protocol	metadata.event_type
host_name	metadata.event_type
הודעה	metadata.product_event_type	הגדרה ל "זיהוי מארח" אם ההודעה תואמת ל "זיהוי מארח"; "התחלת הפחתת TMS" אם ההודעה תואמת ל "התחלה"; "הפסקת הפחתת TMS" אם ההודעה תואמת ל "הפסקה"
metadata.product_name	metadata.product_name	צריך להגדיר את הערך "ARBOR_SIGHTLINE"
metadata.vendor_name	metadata.vendor_name	צריך להגדיר את הערך "NETSCOUT"
כיוון	network.direction	צריך להגדיר את הערך "INBOUND" אם הכיוון הוא "incoming"
proto	network.ip_protocol	הגדרה כ-"TCP" אם הפרוטוקול הוא "6"; אחרת, הגדרה כ-network_protocol באותיות רישיות אם יש התאמה ל-"‎(?i)(TCP
network_protocol	network.ip_protocol
בייטים	network.sent_bytes	הערך הועתק ישירות והומר למספר שלם לא חתום
מנות	network.sent_packets	הערך מועתק ישירות ומומר למספר שלם
משך זמן	network.session_duration.seconds	הערך מועתק ישירות אם הוא לא ריק ולא "0", ומומר למספר שלם
host_name	principal.hostname	הערך הועתק ישירות
src_ip	principal.ip	מוזג מ-src_ip ומ-nameserver_ip
nameserver_ip	principal.ip
מרחב שמות	principal.namespace	הערך הועתק ישירות
filename	principal.process.file.full_path	הערך הועתק ישירות
alert_id	principal.process.pid	הערך הועתק ישירות
prin_url	principal.url	הערך הועתק ישירות
prin_user	principal.user.userid	הערך הועתק ישירות
השפעה	security_result.detection_fields	מוזג עם המפתחות "השפעה" מ-impact, "חשיבות" מ-importance, "חתימה" מ-signature, "מנהיג" מ-leader, "parent_managed_object" מ-parent_managed_object, "מזהה התראה" מ-alert_id
חשיבות	security_result.detection_fields
חתימה	security_result.detection_fields
מוביל	security_result.detection_fields
parent_managed_object	security_result.detection_fields
alert_id	security_result.detection_fields
severity	security_result.severity	הערך מוגדר כ-"INFORMATIONAL" אם רמת החומרה היא ["10","9"], כ-"LOW" אם היא ["8","7"], כ-"MEDIUM" אם היא "6", כ-"HIGH" אם היא ["5","4"] וכ-"CRITICAL" אם היא ["3","2","1"]
desc2	security_result.threat_status	הגדרת הסטטוס ACTIVE אם התיאור תואם ל-Host Detection alert וההודעה היא start ולא stop. הגדרת הסטטוס CLEARED אם התיאור תואם ל-Host Detection alert וההודעה היא stop.
הודעה	security_result.threat_status
intem_host	target.group.product_object_id	הערך הועתק ישירות
dst_ip	target.ip	הערך הועתק ישירות
dst_port	target.port	הערך מועתק ישירות ומומר למספר שלם
file_path	target.process.file.full_path	הערך הועתק ישירות
stop_time	vulns.vulnerabilities.scan_end_time	ההמרה בוצעה באמצעות מסנן תאריכים בפורמט yyyy-MM-dd HH:mm:ss
start_time	vulns.vulnerabilities.scan_start_time	ההמרה בוצעה באמצעות מסנן תאריכים בפורמט yyyy-MM-dd HH:mm:ss או yyyy-MM-dd
`msg1`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`prin_user`	`event.idm.read_only_udm.principal.user.userid`	מופה מיומן השינויים
`config_version`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`old_bgp_attributes`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`new_bgp_attributes`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`reason`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`sample_rate`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`proto`	`event.idm.read_only_udm.network.ip_protocol`	מופה מיומן השינויים
`proto`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`bytes`	`event.idm.read_only_udm.network.sent_bytes`	מופה מיומן השינויים
`packets`	`event.idm.read_only_udm.network.sent_packets`	מופה מיומן השינויים
`flows`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`identifier`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`expected_bps`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`actual_bps`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`server`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`status`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`percent`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`rate`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`rateunit`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`flags`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`router`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`interface`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`ip_ver`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`protocol_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`router_name`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`interface_id`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`interface_name`	`event.idm.read_only_udm.additional.fields`	מופה מיומן השינויים
`network_protocol`	`event.idm.read_only_udm.network.ip_protocol`	מופה מיומן השינויים
`prin_url`	`event.idm.read_only_udm.principal.url`	מופה מיומן השינויים
`src_port`	`event.idm.read_only_udm.principal.port`	מופה מיומן השינויים
`dst_port`	`event.idm.read_only_udm.target.port`	מופה מיומן השינויים
`dst_ip`	`event.idm.read_only_udm.target.ip`	מופה מיומן השינויים
`severity`	`event.idm.read_only_udm.security_result.severity`	מופה מיומן השינויים
`Active/Cleared`	`security_result.threat_status`	מופה מיומן השינויים
`alert_id","parent_managed_object`	`security_result.detection_fields`	מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.