Atlassian Confluence 로그 수집

다음에서 지원:

이 문서에서는 Atlassian Confluence 로그를 Google Security Operations에 수집하는 방법을 설명합니다. 파서는 먼저 Atlassian Confluence 로그용으로 설계된 정규 표현식 (grok 패턴)을 사용하여 원시 로그 메시지에서 필드를 추출하려고 시도합니다. grok 파싱이 실패하거나 로그가 JSON 형식인 경우 코드는 메시지를 JSON으로 파싱하려고 시도합니다. 마지막으로 추출된 필드는 Google SecOps UDM 스키마에 매핑되고 추가 컨텍스트로 보강됩니다.

시작하기 전에

다음 기본 요건이 충족되었는지 확인합니다.

  • Google SecOps 인스턴스
  • 감사 로그 액세스 권한이 있는 Atlassian Confluence Cloud 계정 또는 관리 액세스 권한이 있는 Confluence Data Center/Server
  • AWS 기반 방법: AWS (S3, IAM, Lambda, EventBridge)에 대한 액세스 권한
  • Bindplane 방법: Windows 2016 이상 또는 systemd가 설치된 Linux 호스트

통합 옵션 개요

이 가이드에서는 두 가지 통합 경로를 제공합니다.

  • 옵션 1: BindPlane + Syslog를 통한 Confluence Data Center/Server
  • 옵션 2: AWS Lambda + S3를 통한 Confluence Cloud 감사 로그 (JSON 형식)

Confluence 배포 유형 및 인프라에 가장 적합한 옵션을 선택하세요.

옵션 1: Bindplane + Syslog를 통한 Confluence 데이터 센터/서버

이 옵션은 Confluence Data Center 또는 서버가 syslog를 통해 Bindplane 에이전트에 로그를 전송하도록 구성합니다. 그러면 Bindplane 에이전트가 Google SecOps에 로그를 전달합니다.

Google SecOps 수집 인증 파일 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 수집 에이전트로 이동합니다.
  3. 수집 인증 파일을 다운로드합니다. Bindplane이 설치될 시스템에 파일을 안전하게 저장합니다.

Google SecOps 고객 ID 가져오기

  1. Google SecOps 콘솔에 로그인합니다.
  2. SIEM 설정 > 프로필로 이동합니다.
  3. 조직 세부정보 섹션에서 고객 ID를 복사하여 저장합니다.

Bindplane 에이전트 설치

다음 안내에 따라 Windows 또는 Linux 운영체제에 Bindplane 에이전트를 설치합니다.

Windows 설치

  1. 명령 프롬프트 또는 PowerShell을 관리자로 엽니다.

  2. 다음 명령어를 실행합니다.

    msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Linux 설치

  1. 루트 또는 sudo 권한으로 터미널을 엽니다.

  2. 다음 명령어를 실행합니다.

    sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

추가 설치 리소스

Syslog를 수집하여 Google SecOps로 전송하도록 Bindplane 에이전트 구성

  1. 구성 파일에 액세스합니다.

    1. config.yaml 파일을 찾습니다. 일반적으로 Linux에서는 /etc/bindplane-agent/ 디렉터리에 있고 Windows에서는 설치 디렉터리에 있습니다.
    2. 텍스트 편집기 (예: nano, vi, 메모장)를 사용하여 파일을 엽니다.

  2. 다음과 같이 config.yaml 파일을 수정합니다.

    receivers:
  udplog:
    # Replace the port and IP address as required
    listen_address: "0.0.0.0:514"

exporters:
  chronicle/chronicle_w_labels:
    compression: gzip
    # Adjust the path to the credentials file you downloaded
    creds_file_path: '/path/to/ingestion-authentication-file.json'
    # Replace with your actual customer ID
    customer_id: YOUR_CUSTOMER_ID
    endpoint: malachiteingestion-pa.googleapis.com
    log_type: 'ATLASSIAN_CONFLUENCE'
    raw_log_field: body
    ingestion_labels:

service:
  pipelines:
    logs/confluence:
      receivers:
        - udplog
      exporters:
        - chronicle/chronicle_w_labels
    • 인프라에 필요한 대로 포트와 IP 주소를 바꿉니다.
    • <YOUR_CUSTOMER_ID_HERE>를 실제 고객 ID로 바꿉니다.
    • Google SecOps 수집 인증 파일 가져오기 섹션에서 인증 파일이 저장된 경로로 /path/to/ingestion-authentication-file.json를 업데이트합니다.

Bindplane 에이전트를 다시 시작하여 변경사항 적용

  • Linux에서 Bindplane 에이전트를 다시 시작하려면 다음 명령어를 실행합니다.

    sudo systemctl restart bindplane-agent

  • Windows에서 Bindplane 에이전트를 다시 시작하려면 서비스 콘솔을 사용하거나 다음 명령어를 입력하면 됩니다.

    net stop BindPlaneAgent && net start BindPlaneAgent

Confluence Data Center/Server에서 Syslog 전달 구성

  1. SSH 또는 RDP를 통해 Confluence 서버에 로그인합니다.
  2. Log4j 구성 파일을 찾습니다.
    • Log4j2: <confluence-install>/confluence/WEB-INF/classes/log4j2.xml

  3. 구성 파일을 수정하여 SyslogAppender를 추가합니다.

    <Configuration>
  <Appenders>
    <!-- Existing appenders -->

    <Syslog name="SyslogAppender" 
            host="BINDPLANE_AGENT_IP" 
            port="514" 
            protocol="UDP"
            facility="LOCAL0"
            format="RFC5424">
      <PatternLayout pattern="%d{ISO8601} %p [%t] [%c{1}] %m%n"/>
    </Syslog>
  </Appenders>

  <Loggers>
    <Root level="info">
      <AppenderRef ref="SyslogAppender"/>
      <!-- Other appender refs -->
    </Root>

    <!-- Audit logger -->
    <Logger name="com.atlassian.confluence.event.events.security.AuditEvent" level="info" additivity="false">
      <AppenderRef ref="SyslogAppender"/>
    </Logger>
  </Loggers>
</Configuration>
    • BINDPLANE_AGENT_IP를 BindPlane 에이전트의 IP 주소로 바꿉니다.

  4. Confluence를 다시 시작하여 변경사항을 적용합니다.

    sudo systemctl restart confluence

옵션 B: 로컬 로그 파일을 전달하도록 rsyslog 구성

  1. 파일에 로그를 쓰도록 Confluence를 구성합니다 (기본 동작).

  2. rsyslog가 없는 경우 설치합니다.

    sudo apt-get install rsyslog  # Debian/Ubuntu
sudo yum install rsyslog      # RHEL/CentOS

  3. rsyslog 구성 파일 /etc/rsyslog.d/confluence.conf을 만듭니다.

    # Forward Confluence logs to BindPlane
$ModLoad imfile

# Application logs
$InputFileName /opt/atlassian/confluence/logs/atlassian-confluence.log
$InputFileTag confluence-app:
$InputFileStateFile stat-confluence-app
$InputFileSeverity info
$InputFileFacility local0
$InputRunFileMonitor

# Audit logs (JSON format in DC/Server)
$InputFileName /var/atlassian/application-data/confluence/log/audit/*.json
$InputFileTag confluence-audit:
$InputFileStateFile stat-confluence-audit
$InputFileSeverity info
$InputFileFacility local1
$InputRunFileMonitor

# Forward to BindPlane agent
*.* @@BINDPLANE_AGENT_IP:514
    • BINDPLANE_AGENT_IP를 Bindplane 에이전트의 IP 주소로 바꿉니다.
    • Confluence 설치에 따라 로그 파일 경로를 조정합니다.
      • 애플리케이션 로그는 일반적으로 <confluence-install>/logs/ 또는 <local-home>/logs/입니다.
      • 감사 로그: <confluence-home>/log/audit/*.json

  4. rsyslog를 다시 시작합니다.

    sudo systemctl restart rsyslog

옵션 2: AWS Lambda + S3를 통한 Confluence Cloud 감사 로그

Confluence Cloud API 사용자 인증 정보 수집

  1. Atlassian 계정에 로그인합니다.
  2. https://id.atlassian.com/manage-profile/security/api-tokens으로 이동합니다.
  3. API 토큰 만들기를 클릭합니다.
  4. 토큰의 라벨을 입력합니다 (예: Google Security Operations Integration).
  5. 만들기를 클릭합니다.
  6. API 토큰을 복사하여 안전하게 저장합니다.
  7. Confluence Cloud 사이트 URL (예: https://yoursite.atlassian.net)을 기록해 둡니다.
  8. Atlassian 계정 이메일 주소 (인증에 사용됨)를 확인합니다.

Google SecOps용 AWS S3 버킷 및 IAM 구성

  1. 이 사용자 가이드(버킷 만들기)에 따라 Amazon S3 버킷을 만듭니다.
  2. 나중에 참조할 수 있도록 버킷 이름과 리전을 저장합니다(예: confluence-audit-logs).
  3. 이 사용자 가이드(IAM 사용자 만들기)에 따라 사용자를 만듭니다.
  4. 생성된 사용자를 선택합니다.
  5. 보안용 사용자 인증 정보 탭을 선택합니다.
  6. 액세스 키 섹션에서 액세스 키 만들기를 클릭합니다.
  7. 사용 사례로 서드 파티 서비스를 선택합니다.
  8. 다음을 클릭합니다.
  9. 선택사항: 설명 태그를 추가합니다.
  10. 액세스 키 만들기를 클릭합니다.
  11. CSV 파일 다운로드를 클릭하여 나중에 사용할 수 있도록 액세스 키와 보안 비밀 액세스 키를 저장합니다.
  12. 완료를 클릭합니다.
  13. 권한 탭을 선택합니다.
  14. 권한 정책 섹션에서 권한 추가를 클릭합니다.
  15. 권한 추가를 선택합니다.
  16. 정책 직접 연결을 선택합니다.
  17. AmazonS3FullAccess 정책을 검색합니다.
  18. 정책을 선택합니다.
  19. 다음을 클릭합니다.
  20. 권한 추가를 클릭합니다.

S3 업로드용 IAM 정책 및 역할 구성

  1. AWS 콘솔에서 IAM > 정책 > 정책 만들기 > JSON 탭으로 이동합니다.

  2. 다음 정책을 입력합니다. 

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "AllowPutObjects",
      "Effect": "Allow",
      "Action": "s3:PutObject",
      "Resource": "arn:aws:s3:::confluence-audit-logs/*"
    },
    {
      "Sid": "AllowGetStateObject",
      "Effect": "Allow",
      "Action": "s3:GetObject",
      "Resource": "arn:aws:s3:::confluence-audit-logs/confluence-audit/state.json"
    }
  ]
}
    • 다른 버킷 이름을 입력한 경우 confluence-audit-logs을 바꿉니다.

  3. 다음 > 정책 만들기를 클릭합니다.

  4. 정책 이름을 ConfluenceAuditToS3Policy로 지정합니다.

  5. IAM > 역할 > 역할 생성 > AWS 서비스 > Lambda로 이동합니다.

  6. 새로 만든 정책 ConfluenceAuditToS3Policy을 연결합니다.

  7. 역할 이름을 ConfluenceAuditLambdaRole로 지정하고 역할 만들기를 클릭합니다.

Lambda 함수 만들기

  1. AWS 콘솔에서 Lambda > 함수로 이동합니다.
  2. 함수 만들기 > 처음부터 작성을 클릭합니다.

  3. 다음 구성 세부정보를 제공합니다.

    설정 값
    이름 ConfluenceAuditToS3
    런타임 Python 3.13
    아키텍처 x86_64
    실행 역할 ConfluenceAuditLambdaRole

  4. 함수가 생성되면 코드 탭을 열고 스텁을 삭제한 후 다음 코드를 입력합니다.

    import json
import os
import boto3
from datetime import datetime, timezone, timedelta
from urllib import request, parse, error
from base64 import b64encode

# Environment variables
S3_BUCKET = os.environ['S3_BUCKET']
S3_PREFIX = os.environ.get('S3_PREFIX', 'confluence-audit/')
STATE_KEY = os.environ.get('STATE_KEY', 'confluence-audit/state.json')
CONFLUENCE_URL = os.environ['CONFLUENCE_URL']  # e.g., https://yoursite.atlassian.net
CONFLUENCE_EMAIL = os.environ['CONFLUENCE_EMAIL']
CONFLUENCE_API_TOKEN = os.environ['CONFLUENCE_API_TOKEN']
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '1000'))

s3_client = boto3.client('s3')

def lambda_handler(event, context):
    """Fetch Confluence Cloud audit logs and write to S3."""

    # Read last execution state
    start_date = get_last_execution_time()
    end_date = datetime.now(timezone.utc)

    print(f"Fetching audit logs from {start_date} to {end_date}")

    # Fetch audit records
    records = fetch_audit_logs(start_date, end_date)

    if not records:
        print("No new audit records found.")
        save_state(end_date)
        return {'statusCode': 200, 'body': 'No new records'}

    # Write to S3
    timestamp = end_date.strftime('%Y%m%d_%H%M%S')
    object_key = f"{S3_PREFIX}audit_{timestamp}.json"

    s3_client.put_object(
        Bucket=S3_BUCKET,
        Key=object_key,
        Body='\n'.join(json.dumps(record) for record in records),
        ContentType='application/json'
    )

    print(f"Wrote {len(records)} records to s3://{S3_BUCKET}/{object_key}")

    # Update state
    save_state(end_date)

    return {
        'statusCode': 200,
        'body': f"Processed {len(records)} records"
    }

def get_last_execution_time():
    """Retrieve the last execution timestamp from S3 state file."""
    try:
        response = s3_client.get_object(Bucket=S3_BUCKET, Key=STATE_KEY)
        state = json.loads(response['Body'].read())
        return datetime.fromisoformat(state['last_execution'])
    except s3_client.exceptions.NoSuchKey:
        # First run: fetch logs from last 24 hours
        return datetime.now(timezone.utc) - timedelta(hours=24)
    except Exception as e:
        print(f"Error reading state: {e}")
        return datetime.now(timezone.utc) - timedelta(hours=24)

def save_state(execution_time):
    """Save the execution timestamp to S3 state file."""
    state = {'last_execution': execution_time.isoformat()}
    s3_client.put_object(
        Bucket=S3_BUCKET,
        Key=STATE_KEY,
        Body=json.dumps(state),
        ContentType='application/json'
    )

def fetch_audit_logs(start_date, end_date):
    """Fetch audit logs from Confluence Cloud REST API."""
    records = []
    start_param = int(start_date.timestamp() * 1000)  # milliseconds
    end_param = int(end_date.timestamp() * 1000)

    # Build authentication header
    auth_string = f"{CONFLUENCE_EMAIL}:{CONFLUENCE_API_TOKEN}"
    auth_bytes = auth_string.encode('ascii')
    auth_b64 = b64encode(auth_bytes).decode('ascii')

    headers = {
        'Authorization': f'Basic {auth_b64}',
        'Accept': 'application/json'
    }

    # Confluence Cloud Audit API endpoint
    url = f"{CONFLUENCE_URL}/wiki/rest/api/audit?startDate={start_param}&endDate={end_param}&limit=1000"

    try:
        req = request.Request(url, headers=headers)
        with request.urlopen(req) as response:
            data = json.loads(response.read())
            records = data.get('results', [])
            print(f"Retrieved {len(records)} audit records")
    except error.HTTPError as e:
        print(f"HTTP Error: {e.code} - {e.reason}")
        print(e.read().decode())
    except Exception as e:
        print(f"Error fetching audit logs: {e}")

    return records[:MAX_RECORDS]

  5. 구성 > 환경 변수로 이동합니다.

  6. 수정 > 새 환경 변수 추가를 클릭합니다.

  7. 다음 환경 변수를 입력하고 값으로 바꿉니다.

    키 예시 값
    S3_BUCKET confluence-audit-logs
    S3_PREFIX confluence-audit/
    STATE_KEY confluence-audit/state.json
    CONFLUENCE_URL https://yoursite.atlassian.net
    CONFLUENCE_EMAIL your-email@example.com
    CONFLUENCE_API_TOKEN your-api-token-here
    MAX_RECORDS 1000

  8. 구성 탭을 선택합니다.

  9. 일반 구성 패널에서 수정을 클릭합니다.

  10. 제한 시간을 5분 (300초)로 변경하고 저장을 클릭합니다.

EventBridge 일정 만들기

  1. Amazon EventBridge > 스케줄러 > 일정 만들기로 이동합니다.
  2. 다음 구성 세부정보를 제공합니다.
    • 반복 일정: 요금 (1 hour)
    • 타겟: Lambda 함수 ConfluenceAuditToS3
    • 이름: ConfluenceAuditToS3-1h.
  3. 일정 만들기를 클릭합니다.

선택사항: Google SecOps용 읽기 전용 IAM 사용자 및 키 만들기

  1. AWS 콘솔 > IAM > 사용자로 이동합니다.
  2. Add users를 클릭합니다.
  3. 다음 구성 세부정보를 제공합니다.
    • 사용자: secops-confluence-reader를 입력합니다.
    • 액세스 유형: 액세스 키 – 프로그래매틱 액세스를 선택합니다.
  4. 다음을 클릭합니다.
  5. 정책 직접 연결 > 정책 만들기를 클릭합니다.

  6. JSON 편집기에 다음 정책을 입력합니다.

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["s3:GetObject"],
      "Resource": "arn:aws:s3:::confluence-audit-logs/*"
    },
    {
      "Effect": "Allow",
      "Action": ["s3:ListBucket"],
      "Resource": "arn:aws:s3:::confluence-audit-logs"
    }
  ]
}

  7. 이름을 secops-reader-policy로 설정합니다.

  8. 정책 만들기 > 검색/선택 > 다음 > 권한 추가로 이동합니다.

  9. 보안용 사용자 인증 정보> 액세스 키> 액세스 키 만들기로 이동합니다.

  10. CSV를 다운로드합니다(이러한 값은 피드에 입력됨).

Confluence 로그를 수집하도록 Google SecOps에서 피드 구성

  1. SIEM 설정> 피드로 이동합니다.
  2. 새 피드 추가를 클릭합니다.
  3. 피드 이름 필드에 피드 이름을 입력합니다(예: Confluence Cloud Audit Logs).
  4. 소스 유형으로 Amazon S3 V2를 선택합니다.
  5. 로그 유형으로 Atlassian Confluence를 선택합니다.
  6. 다음을 클릭합니다.
  7. 다음 입력 파라미터의 값을 지정합니다.
    • S3 URI: s3://confluence-audit-logs/confluence-audit/
    • 소스 삭제 옵션: 환경설정에 따라 삭제 옵션을 선택합니다.
    • 최대 파일 기간: 지난 일수 동안 수정된 파일을 포함합니다. 기본값은 180일입니다.
    • 액세스 키 ID: S3 버킷에 대한 액세스 권한이 있는 사용자 액세스 키
    • 보안 비밀 액세스 키: S3 버킷에 액세스할 수 있는 사용자 보안 비밀 키입니다.
    • 애셋 네임스페이스: 애셋 네임스페이스입니다.
    • 수집 라벨: 이 피드의 이벤트에 적용된 라벨입니다.
  8. 다음을 클릭합니다.
  9. 확정 화면에서 새 피드 구성을 검토한 다음 제출을 클릭합니다.

UDM 매핑 테이블

로그 필드 UDM 매핑 논리
에이전트 read_only_udm.network.http.user_agent 'agent' 필드에서 가져온 값입니다.
app_protocol read_only_udm.network.application_protocol 'app_protocol' 필드에서 파생됩니다. 'app_protocol'에 'HTTPS', 'HTTP', 'SSH' 또는 'RDP'가 포함된 경우 해당 프로토콜이 사용됩니다. 그렇지 않으면 기본값은 'UNKNOWN_APPLICATION_PROTOCOL'입니다.
app_protocol read_only_udm.network.application_protocol_version 'app_protocol' 필드에서 가져온 값입니다.
auditType.action read_only_udm.security_result.action 'auditType.action' 필드에서 파생됩니다. 'auditType.action'에 'successful'이 포함된 경우 값은 'ALLOW'로 설정됩니다. '제한됨'이 포함된 경우 값은 '차단'으로 설정됩니다.
auditType.action read_only_udm.security_result.summary 'auditType'이 비어 있지 않고 'auditType_area'가 'SECURITY'인 경우 'auditType.action' 필드에서 가져온 값입니다.
auditType.actionI18nKey read_only_udm.metadata.product_event_type 'auditType'이 비어 있지 않은 경우 'auditType.actionI18nKey' 필드에서 가져온 값입니다.
auditType.area read_only_udm.security_result.detection_fields.value 'auditType.area' 필드에서 가져온 값이 'key' 필드가 'auditType area'로 설정된 감지 필드의 'value' 필드에 할당됩니다. 이 매핑은 'auditType'이 비어 있지 않은 경우에 실행됩니다.
auditType.category read_only_udm.security_result.category_details 'auditType'이 비어 있지 않은 경우 'auditType.category' 필드에서 가져온 값입니다.
auditType.categoryI18nKey read_only_udm.security_result.detection_fields.value 'auditType.categoryI18nKey' 필드에서 가져온 값으로, 'key' 필드가 'auditType categoryI18nKey'로 설정된 감지 필드의 'value' 필드에 할당됩니다. 이 매핑은 'auditType'이 비어 있지 않은 경우에 실행됩니다.
auditType.level read_only_udm.security_result.detection_fields.value 'auditType.level' 필드에서 가져온 값이 'key' 필드가 'auditType level'로 설정된 감지 필드의 'value' 필드에 할당됩니다. 이 매핑은 'auditType'이 비어 있지 않은 경우에 실행됩니다.
author.displayName read_only_udm.principal.user.user_display_name 'author.displayName' 필드에서 가져온 값입니다.
author.externalCollaborator read_only_udm.security_result.about.resource.attribute.labels.value 'author.externalCollaborator' 필드에서 가져온 값이 'key' 필드가 'externalCollaborator'로 설정된 라벨의 'value' 필드에 할당됩니다.
author.id read_only_udm.principal.user.userid 'author.type'이 'user'이고 'principal_user_present'가 'false'인 경우 'author.id' 필드에서 가져온 값입니다.
author.isExternalCollaborator read_only_udm.security_result.about.resource.attribute.labels.value 'author.isExternalCollaborator' 필드에서 가져온 값이 'key' 필드가 'isExternalCollaborator'로 설정된 라벨의 'value' 필드에 할당됩니다.
author.name read_only_udm.principal.user.user_display_name 'author.type'이 'user'이고 'principal_user_present'가 'false'인 경우 'author.name' 필드에서 가져온 값입니다.
bytes_in read_only_udm.network.received_bytes 숫자가 포함된 경우 'bytes_in' 필드에서 가져온 값입니다. 그렇지 않으면 기본값은 0입니다.
카테고리 read_only_udm.security_result.category_details 'category' 필드에서 가져온 값입니다.
changedValues read_only_udm.principal.resource.attribute.labels 'changedValues'의 각 요소를 반복하고 'changedValue[index][key]'와 같은 키와 'changedValues' 배열의 해당 값으로 라벨을 만듭니다.
생성일 read_only_udm.metadata.event_timestamp 'creationDate' 필드에서 가져온 값으로, UNIX 또는 UNIX_MS 타임스탬프로 파싱됩니다.
extraAttributes read_only_udm.principal.resource.attribute.labels 'extraAttributes'의 각 요소를 반복하고 'name' 및 'nameI18nKey' 필드와 해당 'value' 필드의 값을 기반으로 키가 있는 라벨을 만듭니다.
http_verb read_only_udm.network.http.method 'http_verb' 필드에서 가져온 값입니다.
ip read_only_udm.target.ip 'ip' 필드에서 가져온 값입니다.
principal_host read_only_udm.principal.hostname 'principal_host' 필드에서 가져온 값입니다.
referral_url read_only_udm.network.http.referral_url 'referral_url' 필드에서 가져온 값입니다.
remoteAddress read_only_udm.principal.ip 'remoteAddress' 필드에서 가져온 값으로, IP 주소로 파싱됩니다.
response_code read_only_udm.network.http.response_code 'response_code' 필드에서 가져온 값입니다.
session_duration read_only_udm.additional.fields.value.string_value 'session_duration' 필드에서 가져온 값이 'key' 필드가 'Session Duration'으로 설정된 라벨의 'string_value' 필드에 할당됩니다.
source read_only_udm.principal.ip 'source' 필드에서 가져온 값으로, IP 주소로 파싱됩니다.
src_ip read_only_udm.principal.ip 'remoteAddress'가 비어 있으면 'src_ip' 필드에서 가져온 값입니다.
요약 read_only_udm.security_result.summary 'summary' 필드에서 가져온 값입니다.
sysAdmin read_only_udm.security_result.about.resource.attribute.labels.value 'sysAdmin' 필드에서 가져온 값이 'key' 필드가 'sysAdmin'으로 설정된 라벨의 'value' 필드에 할당됩니다.
superAdmin read_only_udm.security_result.about.resource.attribute.labels.value 'superAdmin' 필드에서 가져온 값이 'key' 필드가 'superAdmin'으로 설정된 라벨의 'value' 필드에 할당됩니다.
target_url read_only_udm.target.url 'target_url' 필드에서 가져온 값입니다.
타임스탬프 read_only_udm.metadata.event_timestamp 'timestamp' 필드에서 가져온 값으로, 날짜 및 시간 문자열로 파싱됩니다.
user_id read_only_udm.principal.user.userid 'user_id' 필드에서 가져온 값입니다.
read_only_udm.metadata.event_type 이 필드의 값은 일련의 검사를 통해 결정되며 기본값은 'GENERIC_EVENT'입니다. 'principal_host', 'user_id', 'has_principal', 'author.type'과 같은 다른 필드의 존재 여부와 콘텐츠에 따라 'NETWORK_HTTP', 'USER_UNCATEGORIZED', 'STATUS_UPDATE'와 같은 특정 값으로 설정됩니다.
read_only_udm.metadata.vendor_name 'ATLASSIAN'으로 설정합니다.
read_only_udm.metadata.product_name 'CONFLUENCE'로 설정합니다.
read_only_udm.metadata.log_type 'ATLASSIAN_CONFLUENCE'로 설정합니다.
read_only_udm.principal.user.user_display_name 이 필드의 값은 컨텍스트에 따라 'author.displayName' 또는 'affectedObject.name'에서 가져올 수 있습니다.
read_only_udm.target.process.pid 이 필드의 값은 컨텍스트에 따라 'principal_host' 또는 'pid'에서 가져올 수 있습니다.
read_only_udm.principal.resource.attribute.labels 이 필드는 'affectedObjects', 'changedValues', 'extraAttributes'와 같은 필드에서 파생된 다양한 라벨로 채워집니다. 이러한 라벨의 키와 값은 이러한 필드의 특정 콘텐츠를 기반으로 동적으로 생성됩니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.