Netscout Arbor Sightline 로그 수집

다음에서 지원:

이 문서에서는 Bindplane 에이전트를 사용하여 Netscout Arbor Sightline 로그를 Google Security Operations로 수집하는 방법을 설명합니다.

Netscout Arbor Sightline (이전 명칭: Peakflow SP)은 DDoS 감지 및 네트워크 가시성 플랫폼으로, 네트워크 전체 용량 계획부터 DDoS 및 기타 네트워크 위협의 완화 식별 및 관리까지 강력한 기능을 제공합니다. Sightline은 흐름 데이터, BGP 라우팅 정보, SNMP 데이터를 수집하고 분석하여 이상을 감지하고, 알림을 생성하고, 완화 대응을 조정합니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • Windows Server 2016 이상 또는 systemd가 설치된 Linux 호스트
  • Bindplane 에이전트와 Netscout Arbor Sightline 어플라이언스 간의 네트워크 연결
  • 프록시 뒤에서 실행하는 경우 Bindplane 에이전트 요구사항에 따라 방화벽 포트가 열려 있는지 확인합니다.
  • Netscout Arbor Sightline 웹 인터페이스에 대한 관리 액세스
  • 시스템 알림 구성을 위한 Netscout Arbor Sightline 명령줄 인터페이스 (CLI)에 대한 관리 액세스 권한

Bindplane 에이전트의 Google SecOps 사용자 인증 정보 가져오기

Google SecOps에 Bindplane 에이전트를 인증하려면 다음 방법 중 하나를 선택합니다.

  • 신규 배포: Chronicle API (옵션 1)를 사용합니다.
  • 기존 배포: 2027년 7월 20일에 Ingestion API가 중단될 때까지 데이터 수집 인증 파일 (옵션 2)을 계속 사용합니다.
  1. Google Cloud 콘솔에 로그인하고 Google SecOps 인스턴스에 연결된 Google Cloud 프로젝트를 선택합니다.
  2. IAM 및 관리자 > 서비스 계정으로 이동합니다.
  3. 서비스 계정 만들기를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 서비스 계정 이름: 계정 이름을 입력합니다 (예: bindplane-ingest).
    • 서비스 계정 설명: 설명을 입력합니다 (예: Bindplane agent log ingestion).
  5. 만들고 계속하기를 클릭합니다.
  6. 이 서비스 계정에 프로젝트에 대한 액세스 권한 부여 섹션에서 역할 선택을 클릭하고 Chronicle 편집자를 선택합니다.
  7. 계속을 클릭한 다음 완료를 클릭합니다.
  8. 생성한 서비스 계정을 클릭한 다음 키 탭으로 이동합니다.
  9. 키 추가 > 새 키 만들기를 클릭합니다.
  10. JSON을 선택하고 만들기를 클릭합니다. 키 파일이 컴퓨터에 다운로드됩니다.
  11. 키 파일을 Bindplane 수집기 디렉터리 (Linux의 경우 /opt/observiq-otel-collector/ingestion-auth.json, Windows의 경우 C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json)에 ingestion-auth.json로 저장하거나 config.yaml의 creds_file_path을 저장된 경로와 일치하도록 업데이트합니다.
  12. IAM 및 관리자 > 설정으로 이동하여 프로젝트 번호를 복사합니다. 내보내기 도구 구성에 필요합니다.

옵션 2: 데이터 수집 인증 파일 다운로드 (기존)

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트로 이동합니다.
  3. 데이터 수집 인증 파일을 다운로드합니다.
  4. Bindplane 에이전트가 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필로 이동합니다.

  3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 관리자 권한으로 명령 프롬프트 또는 PowerShell을 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sc query observiq-otel-collector

    서비스가 실행 중으로 표시되어야 합니다.

Linux 설치

  1. 루트 또는 sudo 권한이 있는 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

  3. 설치가 완료될 때까지 기다립니다.

  4. 다음을 실행하여 설치를 확인합니다.

    sudo systemctl status observiq-otel-collector

    서비스가 active (running)으로 표시됩니다.

추가 설치 리소스

추가 설치 옵션 및 문제 해결은 Bindplane 에이전트 설치 가이드를 참고하세요.

syslog를 수집하고 Google SecOps로 전송하도록 Bindplane 에이전트 구성

구성 파일 찾기

  • Linux:

    sudo nano /opt/observiq-otel-collector/config.yaml

  • Windows:

    notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

구성 파일 설정

  1. config.yaml의 전체 콘텐츠를 다음 구성으로 바꿉니다.

    receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/arbor_sightline:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: chronicle.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production

service:
  pipelines:
    logs/arbor_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/arbor_sightline

  2. 다음 자리표시자를 바꿉니다.

    • 수신자 구성:

      • 수신자는 모든 인터페이스 (0.0.0.0:514)에서 UDP 포트 514를 리슨하도록 구성됩니다.
      • 다른 포트를 사용해야 하는 경우 (예: 루트가 아닌 Linux 설치의 경우 1514) listen_address 값을 수정합니다.
      • TCP syslog를 선호하는 경우 수신자 섹션과 파이프라인 모두에서 udplog를 tcplog로 바꿉니다.

    • 내보내기 도구 구성:

      • <CREDS_FILE_PATH>: 서비스 계정 JSON 키 파일의 전체 경로 (옵션 1):

        • Linux: /opt/observiq-otel-collector/ingestion-auth.json
        • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json

      • <CUSTOMER_ID>: 이전 단계의 고객 ID

      • location: <LOCATION>을 Google SecOps 인스턴스의 리전으로 바꿉니다 (예: us, europe 또는 asia-southeast1). 내보내기 도구는 이 값으로 chronicle.googleapis.com에 프리픽스를 추가합니다. 전체 목록은 리전 엔드포인트를 참조하세요.

      • project: <PROJECT_NUMBER>을 IAM 및 관리자 > 설정의 프로젝트 번호로 바꿉니다.

      • endpoint: chronicle.googleapis.com로 설정된 상태를 유지합니다.

      • log_type: ARBOR_SIGHTLINE로 설정 (일치검색 필요)

      • ingestion_labels: YAML 형식의 선택적 라벨 (환경에 맞게 수정)

구성 예시

receivers:
  udplog:
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/arbor_sightline:
    protocol: https
    # Region of your instance, for example us, europe, asia-southeast1
    location: <LOCATION>
    # Project number of the Google Cloud project linked to the instance
    project: '<PROJECT_NUMBER>'
    compression: gzip
    creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
    customer_id: 'a1b2c3d4-e5f6-g7h8-i9j0-k1l2m3n4o5p6'
    endpoint: chronicle.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production
      source: sightline

service:
  pipelines:
    logs/arbor_to_chronicle:
      receivers:
        - udplog
      exporters:
        - chronicle/arbor_sightline

기존 수집 API 내보내기

  • 옵션 2의 데이터 수집 인증 파일을 사용하는 경우 exporters 블록을 다음으로 바꿉니다. creds_file_path을 수집 인증 파일의 경로로 설정하고 인스턴스가 미국 외부에 있는 경우 malachiteingestion-pa.googleapis.com을 리전 엔드포인트 (예: europe-malachiteingestion-pa.googleapis.com)로 바꿉니다.

    exporters:
  chronicle/arbor_sightline:
    compression: gzip
    creds_file_path: '<CREDS_FILE_PATH>'
    customer_id: '<CUSTOMER_ID>'
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: ARBOR_SIGHTLINE
    raw_log_field: body
    ingestion_labels:
      env: production

구성 파일 저장

수정 후 파일을 저장합니다.

  • Linux: Ctrl+O, Enter, Ctrl+X 순으로 누릅니다.
  • Windows: 파일 > 저장을 클릭합니다.

Bindplane 에이전트를 다시 시작하여 변경사항을 적용합니다.

  • Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 안내를 따르세요.

    1. 다음 명령어를 실행합니다.

      sudo systemctl restart observiq-otel-collector

    2. 서비스가 실행 중인지 확인합니다.

      sudo systemctl status observiq-otel-collector

    3. 로그에서 오류를 확인합니다.

      sudo journalctl -u observiq-otel-collector -f

  • Windows에서 Bindplane 에이전트를 다시 시작하려면 다음 단계를 따르세요.

    1. 다음 옵션 중 하나를 선택합니다.

      • 관리자 권한으로 명령 프롬프트 또는 PowerShell:

        net stop observiq-otel-collector && net start observiq-otel-collector

      • 서비스 콘솔:

        1. Win+R를 누르고 services.msc를 입력한 다음 Enter 키를 누릅니다.
        2. observIQ OpenTelemetry Collector를 찾습니다.
        3. 마우스 오른쪽 버튼으로 클릭하고 다시 시작을 선택합니다.

    2. 서비스가 실행 중인지 확인합니다.

      sc query observiq-otel-collector

    3. 로그에서 오류를 확인합니다.

      type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

Netscout Arbor Sightline syslog 전달 구성

Google SecOps에 로그를 전송하려면 syslog 이벤트를 Bindplane 에이전트에 전달하도록 Netscout Arbor Sightline을 구성해야 합니다. 여기에는 알림 그룹 만들기, 전역 알림 설정 구성, 알림 규칙 설정이 포함됩니다.

알림 그룹 만들기

  1. 관리자로 Netscout Arbor Sightline 웹 인터페이스에 로그인합니다.
  2. 관리 > 알림 > 그룹으로 이동합니다.
  3. 알림 그룹 추가를 클릭합니다.
  4. 다음 구성 세부정보를 제공합니다.
    • 대상: Bindplane 에이전트 호스트의 IP 주소를 입력합니다 (예: 192.168.1.100).
    • 포트: 514 (또는 Bindplane 에이전트에 구성된 포트, 예: 1514)를 입력합니다.
    • 시설: syslog 시설을 선택합니다 (예: local0 또는 user).
    • 심각도: info를 선택합니다. 정보 심각도는 정보 이벤트 수준 이상의 심각도에서 모든 이벤트 메시지를 수집합니다.
  5. 저장을 클릭합니다.

  6. Configuration Commit을 클릭하여 구성 변경사항을 적용합니다.

전역 알림 설정 구성

Netscout Arbor Sightline의 전역 알림은 특정 알림 규칙과 연결되지 않은 시스템 알림을 제공합니다.

  1. Netscout Arbor Sightline 웹 인터페이스에서 관리 > 알림 > 전역 설정으로 이동합니다.
  2. 기본 알림 그룹 필드에서 Google SecOps용으로 만든 알림 그룹을 선택합니다.
  3. 저장을 클릭합니다.
  4. Configuration Commit(구성 커밋)을 클릭하여 구성 변경사항을 적용합니다.

시스템 알림 사용 설정

시스템 알림을 사용하려면 명령줄 인터페이스 (CLI)를 통해 추가 구성이 필요합니다.

  1. Netscout Arbor Sightline 명령줄 인터페이스에 관리자로 로그인합니다.

  2. 현재 시스템 알림 구성을 나열합니다.

    services sp alerts system_errors show

  3. 구성할 수 있는 사용 가능한 시스템 알림 필드 이름을 나열하려면 다음을 실행합니다.

    services sp alerts system_errors ?

  4. 시스템 알림에 대한 알림을 사용 설정합니다. 사용 설정하려는 각 알림 유형에 대해 다음을 실행합니다.

    services sp alerts system_errors <alert_name> notifications enable

    <alert_name>을 특정 시스템 알림 필드 이름 (예: disk_full, flow_collector_down, license_expiring)으로 바꿉니다.

  5. 구성 변경사항을 커밋합니다.

    config write

알림 규칙 구성

알림 규칙은 Google SecOps에 대한 syslog 알림을 트리거하는 알림을 결정합니다.

  1. Netscout Arbor Sightline 웹 인터페이스에서 관리 > 알림 > 규칙으로 이동합니다.
  2. 다음 옵션 중 하나를 선택합니다.
    • 기존 규칙을 클릭하여 수정합니다.
    • 규칙 추가를 클릭하여 새 알림 규칙을 만듭니다.
  3. 다음 값을 구성합니다.
    • 이름: 규칙을 설명하는 이름을 입력합니다 (예: Chronicle-DDoS-Alerts).
    • 리소스: CIDR 주소를 입력하거나 Sightline 리소스 목록에서 관리 객체를 선택합니다. 모든 리소스에 규칙을 적용하려면 이 필드를 비워 두거나 모두를 선택합니다.
    • 중요도: 알림의 최소 중요도 수준을 선택합니다 (예: Low, Medium, High, Critical). 이 수준 이상의 알림이 발생하면 알림이 트리거됩니다.
    • 알림 그룹: Google SecOps용으로 만든 알림 그룹을 선택합니다.
  4. 필요에 따라 이 단계를 반복하여 다양한 리소스 또는 중요도 수준에 대한 추가 규칙을 구성합니다.
  5. 저장을 클릭합니다.

  6. Configuration Commit(구성 커밋)을 클릭하여 구성 변경사항을 적용합니다.

syslog 연결 테스트

알림 그룹과 규칙을 구성한 후 syslog 메시지가 Bindplane 에이전트로 전송되는지 확인합니다.

  1. Netscout Arbor Sightline CLI에서 syslog 연결을 테스트합니다.

    services sp notification test syslog group <notification_group_name>

    <notification_group_name>을 생성한 알림 그룹의 이름으로 바꿉니다.

  2. 명령어는 다음을 반환해야 합니다.

    Server returned: Success

  3. Bindplane 에이전트 로그를 확인하여 테스트 메시지가 수신되는지 확인합니다.

    Linux:

    sudo journalctl -u observiq-otel-collector -f

    Windows:

    type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"

  4. Google SecOps 콘솔에서 검색으로 이동하여 Netscout Arbor Sightline 로그가 수집 라벨 ARBOR_SIGHTLINE과 함께 표시되는지 확인합니다.

Google SecOps로 전달되는 이벤트 유형

  • Netscout Arbor Sightline은 syslog를 통해 다음 이벤트 카테고리를 전달합니다.

    • 서비스 거부 (DoS) 이벤트: 볼륨 공격, 프로토콜 공격, 애플리케이션 계층 공격을 포함한 DDoS 공격 감지 알림
    • 인증 이벤트: 사용자 로그인 성공 및 실패, 인증 시도
    • 악용 이벤트: 감지된 악용 시도 및 의심스러운 트래픽 패턴
    • 의심스러운 활동 이벤트: 비정상적인 트래픽 동작 및 잠재적인 보안 위협
    • 시스템 이벤트: 어플라이언스 상태, 서비스 상태, 구성 변경, 운영 알림
    • 완화 이벤트: DDoS 공격의 완화 시작, 중지, 상태 업데이트

UDM 매핑 테이블

로그 필드 UDM 매핑 로직
msg1 additional.fields 비어 있지 않은 경우 각 필드의 라벨과 병합되며, msg1의 경우 'message_description', config_version의 경우 'config_version'과 같은 특정 키를 사용합니다.
config_version additional.fields
prin_user additional.fields
old_bgp_attributes additional.fields
new_bgp_attributes additional.fields
reason additional.fields
sample_rate additional.fields
proto additional.fields
지원 additional.fields
identifier additional.fields
expected_bps additional.fields
actual_bps additional.fields
서버 additional.fields
상태 additional.fields
퍼센트 additional.fields
요율 additional.fields
rateunit additional.fields
flags additional.fields
라우터 additional.fields
인터페이스 additional.fields
ip_ver additional.fields
protocol_id additional.fields
router_name additional.fields
interface_id additional.fields
interface_name additional.fields
우선순위 additional.fields
log_level additional.fields
수영장 additional.fields
thread_id additional.fields
제한 시간 additional.fields
시도 additional.fields
vulns extensions.vulns.vulnerabilities 취약점이 비어 있지 않으면 병합됨
내림차순 metadata.description desc와 desc2가 모두 비어 있지 않으면 '%{desc}: %{desc2}"로 설정되고, 그렇지 않으면 desc로 설정됩니다. 비어 있지 않으면 message_desc로 덮어씁니다.
desc2 metadata.description
message_desc metadata.description
event_time metadata.event_timestamp MMM dd HH:mm:ss 또는 MMM d HH:mm:ss 형식의 날짜 필터를 사용하여 변환됨, 시간대 Europe/London
desc2 metadata.event_type desc2가 '(DNS Amplification
메시지 metadata.event_type
src_ip metadata.event_type
has_target_ip metadata.event_type
has_network_protocol metadata.event_type
host_name metadata.event_type
메시지 metadata.product_event_type 메시지가 'Host Detection'과 일치하면 'Host Detection'으로 설정, 메시지가 ' started'와 일치하면 'TMS Mitigation started'로 설정, 메시지가 ' stopped'와 일치하면 'TMS Mitigation stopped'로 설정
metadata.product_name metadata.product_name 'ARBOR_SIGHTLINE'으로 설정
metadata.vendor_name metadata.vendor_name 'NETSCOUT'으로 설정됩니다.
direction network.direction 방향이 '수신'인 경우 'INBOUND'로 설정합니다.
proto network.ip_protocol proto가 '6'이면 'TCP'로 설정하고, '(?i)(TCP
network_protocol network.ip_protocol
바이트 network.sent_bytes 값이 직접 복사되고 uinteger로 변환됨
packets network.sent_packets 값이 직접 복사되어 정수로 변환됨
기간 network.session_duration.seconds 비어 있지 않고 '0'이 아닌 경우 직접 복사된 값, 정수로 변환됨
host_name principal.hostname 값이 직접 복사됨
src_ip principal.ip src_ip 및 nameserver_ip에서 병합됨
nameserver_ip principal.ip
네임스페이스 principal.namespace 값이 직접 복사됨
filename principal.process.file.full_path 값이 직접 복사됨
alert_id principal.process.pid 값이 직접 복사됨
prin_url principal.url 값이 직접 복사됨
prin_user principal.user.userid 값이 직접 복사됨
영향 security_result.detection_fields impact의 '영향', importance의 '중요도', signature의 '서명', leader의 '리더', parent_managed_object의 'parent_managed_object', alert_id의 '알림 ID' 키와 병합됨
중요도 security_result.detection_fields
signature security_result.detection_fields
리더 security_result.detection_fields
parent_managed_object security_result.detection_fields
alert_id security_result.detection_fields
줄이는 것을 security_result.severity 심각도가 ["10","9"]인 경우 'INFORMATIONAL', ["8","7"]인 경우 'LOW', '6'인 경우 'MEDIUM', ["5","4"]인 경우 'HIGH', ["3","2","1"]인 경우 'CRITICAL'로 설정됩니다.
desc2 security_result.threat_status 설명이 '호스트 감지 알림'과 일치하고 메시지가 '시작'이고 '중지'가 아닌 경우 'ACTIVE'로 설정합니다. 설명이 '호스트 감지 알림'과 일치하고 메시지가 '중지'인 경우 'CLEARED'로 설정합니다.
메시지 security_result.threat_status
intem_host target.group.product_object_id 값이 직접 복사됨
dst_ip target.ip 값이 직접 복사됨
dst_port target.port 값이 직접 복사되어 정수로 변환됨
file_path target.process.file.full_path 값이 직접 복사됨
stop_time vulns.vulnerabilities.scan_end_time yyyy-MM-dd HH:mm:ss 형식의 날짜 필터를 사용하여 변환됨
start_time vulns.vulnerabilities.scan_start_time yyyy-MM-dd HH:mm:ss 또는 yyyy-MM-dd 형식의 날짜 필터를 사용하여 변환됨
msg1 event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
prin_user event.idm.read_only_udm.principal.user.userid 변경 로그에서 매핑됨
config_version event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
old_bgp_attributes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
new_bgp_attributes event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
reason event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
sample_rate event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
proto event.idm.read_only_udm.network.ip_protocol 변경 로그에서 매핑됨
proto event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
bytes event.idm.read_only_udm.network.sent_bytes 변경 로그에서 매핑됨
packets event.idm.read_only_udm.network.sent_packets 변경 로그에서 매핑됨
flows event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
identifier event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
expected_bps event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
actual_bps event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
server event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
status event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
percent event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
rate event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
rateunit event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
flags event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
router event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
interface event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
ip_ver event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
protocol_id event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
router_name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
interface_id event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
interface_name event.idm.read_only_udm.additional.fields 변경 로그에서 매핑됨
network_protocol event.idm.read_only_udm.network.ip_protocol 변경 로그에서 매핑됨
prin_url event.idm.read_only_udm.principal.url 변경 로그에서 매핑됨
src_port event.idm.read_only_udm.principal.port 변경 로그에서 매핑됨
dst_port event.idm.read_only_udm.target.port 변경 로그에서 매핑됨
dst_ip event.idm.read_only_udm.target.ip 변경 로그에서 매핑됨
severity event.idm.read_only_udm.security_result.severity 변경 로그에서 매핑됨
Active/Cleared security_result.threat_status 변경 로그에서 매핑됨
alert_id","parent_managed_object security_result.detection_fields 변경 로그에서 매핑됨

변경 로그

이 파서의 변경 로그 보기

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.