Linux-Audit-Daemon-Logs erfassen

Unterstützt in:

Google SecOps SIEM

In diesem Dokument wird beschrieben, wie Sie Linux Audit Daemon-Logs (auditd) mit Bindplane in Google Security Operations aufnehmen.

Der Linux-Audit-Daemon ist die Userspace-Komponente des Linux-Audit-Systems. Es werden sicherheitsrelevante Ereignisse im System aufgezeichnet, darunter Dateizugriff, Systemaufrufe, Authentifizierungsereignisse und SELinux-Verweigerungen. Auditd-Logs sind für Compliance-Monitoring, Einbruchserkennung und forensische Analysen auf Linux-Hosts unerlässlich.

Hinweis

Prüfen Sie, ob folgende Voraussetzungen erfüllt sind:

• Eine Google SecOps-Instanz.
• Windows Server 2016 oder höher oder Linux-Host mit systemd.
• Wenn der Agent hinter einem Proxy ausgeführt wird, müssen die Firewallports gemäß den Anforderungen für den Bindplane-Agent geöffnet sein.
• Root- oder sudo-Zugriff auf den Linux-Host, auf dem auditd ausgeführt wird.
• Das auditd-Paket ist auf dem Linux-Quellhost installiert und wird ausgeführt.
• Das Paket audispd-plugins ist auf dem Linux-Quellhost installiert (stellt das audisp-syslog-Plug-in bereit).

Google SecOps-Anmeldedaten für den Bindplane-Agenten abrufen

Wählen Sie eine der folgenden Methoden aus, um den Bindplane-Agenten bei Google SecOps zu authentifizieren:

• Neue Deployments: Verwenden Sie die Chronicle API (Option 1).
• Legacy-Bereitstellungen: Verwenden Sie die Authentifizierungsdatei für die Datenaufnahme (Option 2) weiter, bis die Ingestion API am 20. Juli 2027 eingestellt wird.

Option 1: Dienstkonto für die Chronicle API erstellen (empfohlen)

1. Melden Sie sich in der Google Cloud Console an und wählen Sie das Google Cloud -Projekt aus, das mit Ihrer Google SecOps-Instanz verknüpft ist.
2. Rufen Sie IAM & Verwaltung > Dienstkonten auf.
3. Klicken Sie auf Dienstkonto erstellen.
4. Geben Sie die folgenden Konfigurationsdetails an:
   • Name des Dienstkontos: Geben Sie einen Namen für das Konto ein, z. B. bindplane-ingest.
   • Dienstkontobeschreibung: Geben Sie eine Beschreibung ein (z. B. Bindplane agent log ingestion).
5. Klicken Sie auf Erstellen und fortfahren.
6. Klicken Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen auf Rolle auswählen und wählen Sie Chronicle-Bearbeiter aus.
7. Klicken Sie auf Weiter und dann auf Fertig.
8. Klicken Sie auf das erstellte Dienstkonto und rufen Sie dann den Tab Schlüssel auf.
9. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.
10. Wählen Sie JSON aus und klicken Sie auf Erstellen. Die Schlüsseldatei wird auf Ihren Computer heruntergeladen.
11. Speichern Sie die Schlüsseldatei als ingestion-auth.json im Bindplane-Collector-Verzeichnis (/opt/observiq-otel-collector/ingestion-auth.json unter Linux oder C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json unter Windows) oder aktualisieren Sie creds_file_path in config.yaml, sodass der Pfad mit dem Pfad übereinstimmt, unter dem Sie die Datei speichern.
12. Rufen Sie IAM und Verwaltung > Einstellungen auf und kopieren Sie die Projektnummer. Sie benötigen sie für die Exporter-Konfiguration.

Hinweis: Der JSON-Schlüssel ist ein Berechtigungsnachweis. Beschränken Sie den Zugriff auf die Datei auf dem Bindplane-Host und rotieren Sie den Schlüssel gemäß den Richtlinien Ihrer Organisation.

Option 2: Authentifizierungsdatei für die Aufnahme herunterladen (Legacy)

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Collection Agents auf.
3. Laden Sie die Authentifizierungsdatei für die Datenaufnahme herunter.
4. Speichern Sie die Datei sicher auf dem System, auf dem der Bindplane-Agent installiert werden soll.

Hinweis: Mit dieser Datei wird der Agent bei der alten Ingestion API (malachiteingestion-pa.googleapis.com) authentifiziert, die Google am 20. Juli 2027 einstellen wird. Planen Sie den Wechsel zu Option 1 vor diesem Datum.

Google SecOps-Kundennummer abrufen

1. Melden Sie sich in der Google SecOps-Konsole an.
2. Rufen Sie die SIEM-Einstellungen > Profil auf.
3. Kopieren und speichern Sie die Kundennummer aus dem Bereich Organisationsdetails.

Bindplane-Agent installieren

Installieren Sie den Bindplane-Agent auf Ihrem Windows- oder Linux-Betriebssystem gemäß der folgenden Anleitung.

Windows-Installation

1. Öffnen Sie die Eingabeaufforderung oder PowerShell als Administrator.

2. Führen Sie dazu diesen Befehl aus:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Linux-Installation

1. Öffnen Sie ein Terminal mit Root- oder sudo-Berechtigungen.

2. Führen Sie dazu diesen Befehl aus:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Zusätzliche Installationsressourcen

Weitere Installationsoptionen finden Sie im Installationsleitfaden für den Bindplane-Agent.

Hinweis: Für die Konfiguration des Chronicle API-Exporters ist Bindplane Collector v1.106.0 oder höher erforderlich. Mit den vorherigen Befehlen wird der neueste Release installiert. Wenn Sie eine vorhandene Installation aktualisieren, führen Sie ein Upgrade des Collectors durch, bevor Sie die Konfiguration ändern.

Bindplane-Agent so konfigurieren, dass Syslog-Daten aufgenommen und an Google SecOps gesendet werden

1. Greifen Sie auf die Konfigurationsdatei zu:

   • Linux: /opt/observiq-otel-collector/config.yaml
   • Windows: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

2. Bearbeiten Sie die Datei config.yamlso:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: '<your_customer_id>'
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'AUDITD'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Ersetzen Sie den Port und die IP-Adresse nach Bedarf in Ihrer Infrastruktur.
• Ersetzen Sie <LOCATION> durch die Region Ihrer Google SecOps-Instanz (z. B. us, europe oder asia-southeast1). Der Exporter stellt diesem Wert chronicle.googleapis.com voran.
• Ersetzen Sie <PROJECT_NUMBER> durch die Projektnummer aus IAM und Verwaltung > Einstellungen.
• Ersetzen Sie <your_customer_id> durch die tatsächliche Kundennummer.
• Aktualisieren Sie /path/to/ingestion-authentication-file.json auf den Dateipfad, in dem die Dienstkonto-Schlüsseldatei (Option 1) im Abschnitt Google SecOps-Anmeldedaten für den Bindplane-Agent abrufen gespeichert wurde.

Legacy-Ingestion-API-Exporter

• Wenn Sie die Authentifizierungsdatei für die Datenaufnahme aus Option 2 verwenden, ersetzen Sie den Block exporters durch Folgendes. Legen Sie für creds_file_path den Pfad zur Authentifizierungsdatei für die Datenaufnahme fest. Wenn sich Ihre Instanz außerhalb der USA befindet, ersetzen Sie malachiteingestion-pa.googleapis.com durch Ihren regionalen Endpunkt (z. B. europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: '<your_customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'AUDITD'
      raw_log_field: body
      ingestion_labels:
  

Hinweis: Dieser Exporter funktioniert nicht mehr, wenn die Ingestion API am 20. Juli 2027 eingestellt wird.

Starten Sie den Bindplane-Agent neu, um die Änderungen zu übernehmen.

So starten Sie den Bindplane-Agenten unter Linux neu:

1. Führen Sie dazu diesen Befehl aus:

   sudo systemctl restart observiq-otel-collector
   

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sudo systemctl status observiq-otel-collector
   

3. Prüfen Sie die Logs auf Fehler:

   sudo journalctl -u observiq-otel-collector -f
   

So starten Sie den Bindplane-Agent unter Windows neu:

1. Wählen Sie eine der folgenden Optionen aus:

   • Eingabeaufforderung oder PowerShell als Administrator:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Services Console:
     1. Drücken Sie Win+R, geben Sie services.msc ein und drücken Sie die Eingabetaste.
     2. Suchen Sie nach observIQ OpenTelemetry Collector.
     3. Klicken Sie mit der rechten Maustaste und wählen Sie Neu starten aus.

2. Prüfen Sie, ob der Dienst ausgeführt wird:

   sc query observiq-otel-collector
   

3. Logs auf Fehler prüfen:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

auditd so konfigurieren, dass Logs über Syslog weitergeleitet werden

Das audisp syslog-Plug-in leitet Audit-Ereignisse an syslog weiter, das sie dann an den Bindplane-Agent sendet. Dies ist die empfohlene Methode zum Weiterleiten von auditd-Logs.

Hinweis: Unter RHEL/CentOS 8+ und modernen Distributionen mit Audit 3.x ist das audisp-Plug-in-Verzeichnis /etc/audit/plugins.d/. Bei älteren Distributionen (RHEL/CentOS 7 und früher) lautet das Verzeichnis /etc/audisp/plugins.d/. In den folgenden Schritten wird der moderne Pfad verwendet. Passen Sie den Pfad an, wenn Sie eine ältere Distribution verwenden.

audisp-syslog-Plug-in installieren

1. Melden Sie sich auf dem Linux-Host, auf dem auditd ausgeführt wird, mit Root- oder sudo-Berechtigungen an.

2. Installieren Sie das Paket audispd-plugins:

   • RHEL/CentOS/Fedora:

   sudo yum install audispd-plugins
   

   • Debian/Ubuntu:

   sudo apt install audispd-plugins
   

Syslog-Plug-in konfigurieren

1. Bearbeiten Sie die Konfigurationsdatei des Syslog-Plug-ins:

   sudo nano /etc/audit/plugins.d/syslog.conf
   

   Hinweis: Unter RHEL/CentOS 7 und früheren Versionen befindet sich die Datei unter /etc/audisp/plugins.d/syslog.conf.

2. Legen Sie in der Datei die folgenden Werte fest:

   active = yes
   direction = out
   path = /sbin/audisp-syslog
   type = always
   args = LOG_LOCAL6
   format = string
   

   • active: Legen Sie yes fest, um das Plug-in zu aktivieren.
   • path: Der Pfad zur Binärdatei audisp-syslog.
   • type: Legen Sie always fest, um das Plug-in als externes Programm auszuführen.
   • args: Die zu verwendende Syslog-Einrichtung. LOG_LOCAL6 wird empfohlen, um Audit-Logs von anderen Syslog-Nachrichten zu trennen.
   • format: Legen Sie string fest, um Ereignisse in einem für syslog geeigneten Textformat zu übergeben.

Audit-Regeln konfigurieren (optional)

1. Bearbeiten Sie die Datei mit den Audit-Regeln, um festzulegen, welche Ereignisse erfasst werden sollen:

   sudo nano /etc/audit/rules.d/audit.rules
   

2. Fügen Sie Regeln basierend auf Ihren Monitoring-Anforderungen hinzu. Beispiel:

   ## Delete all existing rules
   -D
   
   ## Set buffer size (increase for high-volume systems)
   -b 8192
   
   ## Set failure mode (1 = printk, 2 = panic)
   -f 1
   
   ## Monitor authentication-related files
   -w /etc/passwd -p wa -k identity
   -w /etc/group -p wa -k identity
   -w /etc/shadow -p wa -k identity
   -w /etc/sudoers -p wa -k sudoers
   
   ## Monitor login events
   -w /var/log/faillog -p wa -k logins
   -w /var/log/lastlog -p wa -k logins
   
   ## Monitor process execution
   -a always,exit -F arch=b64 -S execve -k exec
   
   ## Monitor network configuration changes
   -a always,exit -F arch=b64 -S sethostname -S setdomainname -k network
   
   ## Make the configuration immutable (must be the last rule)
   -e 2
   

   Hinweis :Durch die -e 2-Regel wird die Audit-Konfiguration unveränderlich. Nachdem Sie diese Regel festgelegt haben, ist ein Neustart des Systems erforderlich, um die Konfiguration zu ändern.

3. Laden Sie die neuen Audit-Regeln:

   sudo augenrules --load
   

auditd neu starten

1. Starten Sie den auditd-Dienst neu, um die Änderungen am Plug-in und an den Regeln zu übernehmen:

   sudo service auditd restart
   

   Hinweis :Auf Systemen mit Audit 3.x können Sie auch sudo systemctl restart auditd verwenden. Auf älteren Systemen verwenden Sie sudo service auditd restart, da auditd seinen eigenen Dienstlebenszyklus unabhängig von systemd verwaltet.

rsyslog so konfigurieren, dass Audit-Logs an Bindplane weitergeleitet werden

1. Erstellen Sie eine neue rsyslog-Konfigurationsdatei für die Weiterleitung von Audit-Logs:

   sudo nano /etc/rsyslog.d/audit-forward.conf
   

2. Fügen Sie die folgende Zeile hinzu, um Logs über UDP an den Bindplane-Agent weiterzuleiten:

   local6.* @<BINDPLANE_IP>:514
   

   Hinweis :Verwenden Sie für die TCP-Weiterleitung @@ anstelle von @. Ersetzen Sie <BINDPLANE_IP> durch die IP-Adresse Ihres Bindplane-Agent-Hosts.

3. Starten Sie rsyslog neu, um die Änderungen zu übernehmen:

   sudo systemctl restart rsyslog
   

Logweiterleitung überprüfen

1. Generieren Sie auf dem Linux-Quellhost ein Test-Audit-Ereignis:

   sudo auditctl -w /tmp/test_audit -p wa -k test_chronicle
   

2. Lösen Sie die Überwachung aus, indem Sie die Datei berühren:

   touch /tmp/test_audit
   

3. Prüfen Sie auf dem Bindplane-Agent-Host, ob Logs empfangen werden:

   sudo journalctl -u observiq-otel-collector -f
   

UDM-Zuordnungstabelle

Logfeld	UDM-Zuordnung	Logik
acct	target.user.userid	Wert aus dem Feld acct.
addr	principal.ip	Der Wert wird aus dem Feld addr übernommen, sofern es sich um eine gültige IP-Adresse handelt.
arch	additional.fields	Wird als Schlüssel/Wert-Paar mit dem Schlüssel „arch“ hinzugefügt.
auid	principal.user.userid	Wert aus dem Feld auid. Wird als Audit-Nutzer-ID verwendet.
comm	target.process.command_line	Wert aus dem Feld comm.
cwd	additional.fields	Wird als Schlüssel/Wert-Paar mit dem Schlüssel „cwd“ hinzugefügt.
exe	target.process.file.full_path	Wert aus dem Feld exe.
exit	additional.fields	Wird als Schlüssel/Wert-Paar mit dem Schlüssel „exit“ hinzugefügt.
gid	principal.user.group_identifiers	Wert aus dem Feld gid.
hostname	principal.hostname	Wert aus dem Feld hostname.
key	security_result.detection_fields	Wird als Schlüssel/Wert-Paar mit dem Schlüssel „audit_key“ hinzugefügt.
msg	metadata.description	Aus dem Feld msg geparst. Enthält die Audit-Ereignisnachricht.
name	target.file.full_path	Wert aus dem Feld name, falls zutreffend.
node	principal.hostname	Der Wert wird aus dem Feld node übernommen, wenn hostname nicht vorhanden ist.
op	metadata.product_event_type	Wert aus dem Feld op (Vorgangstyp).
pid	principal.process.pid	Wert aus dem Feld pid.
ppid	principal.process.parent_process.pid	Wert aus dem Feld ppid.
res	security_result.action	Legen Sie „ALLOW“ fest, wenn res „success“ oder „1“ ist. Legen Sie „BLOCK“ fest, wenn res „failed“ oder „0“ ist.
ses	network.session_id	Wert aus dem Feld ses (Sitzungs-ID).
subj	principal.process.file.full_path	Wert aus dem Feld subj (SELinux-Subjektkontext).
syscall	additional.fields	Wird als Schlüssel/Wert-Paar mit dem Schlüssel „syscall“ hinzugefügt.
terminal	additional.fields	Wird als Schlüssel/Wert-Paar mit dem Schlüssel „terminal“ hinzugefügt.
type	metadata.product_event_type	Wert aus dem Feld type (Audit-Eintragstyp, z.B. SYSCALL, USER_LOGIN, EXECVE).
uid	principal.user.userid	Wert aus dem Feld uid.
	metadata.event_type	Abgeleitet vom Typ des Audit-Eintrags. Legen Sie für Anmeldeereignisse „USER_LOGIN“, für Abmeldeereignisse „USER_LOGOUT“, für Ausführungsereignisse „PROCESS_LAUNCH“ und für Datei-Ereignisse „FILE_MODIFICATION“ fest. Der Standardwert ist „GENERIC_EVENT“.
	metadata.product_name	Auf „auditd“ festgelegt.
	metadata.vendor_name	Legen Sie diesen Wert auf „Linux“ fest.
home	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
shell	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
name	event.idm.read_only_udm.target.user.userid	Aus Änderungsprotokoll zugeordnet
name	event.idm.read_only_udm.target.group.group_display_name	Aus Änderungsprotokoll zugeordnet
UID	event.idm.read_only_udm.target.user.product_object_id	Aus Änderungsprotokoll zugeordnet
GID	event.idm.read_only_udm.target.user.group_identifiers	Aus Änderungsprotokoll zugeordnet
GID	event.idm.read_only_udm.target.group.product_object_id	Aus Änderungsprotokoll zugeordnet
key_type	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
hash	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
key_fingerprint	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
user	event.idm.read_only_udm.target.user.userid	Aus Änderungsprotokoll zugeordnet
error_detail1	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
service_name	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
ssh_disconnect_code	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
labels.bp_csoc	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
labels.bp_env_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
labels.log.file.name	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
resource.labels.node_id	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
intermediary_host	event.idm.read_only_udm.intermediary.hostname	Aus Änderungsprotokoll zugeordnet
PWD	event.idm.read_only_udm.target.file.full_path	Aus Änderungsprotokoll zugeordnet
log_details	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
indicator.SUID	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.UID	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.AUID	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
type_crypto_props.msg	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
usr	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
pi	event.idm.read_only_udm.principal.process.pid	Aus Änderungsprotokoll zugeordnet
cmnd	event.idm.read_only_udm.target.process.command_line	Aus Änderungsprotokoll zugeordnet
proctitle_value	event.idm.read_only_udm.principal.process.file.full_path	Aus Änderungsprotokoll zugeordnet
filename	event.idm.read_only_udm.principal.process.file.names	Aus Änderungsprotokoll zugeordnet
filepath	event.idm.read_only_udm.target.file.full_path	Aus Änderungsprotokoll zugeordnet
uid	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
acct	event.idm.read_only_udm.principal.user.user_display_name	Aus Änderungsprotokoll zugeordnet
exe	event.idm.read_only_udm.target.process.file.full_path	Aus Änderungsprotokoll zugeordnet
pid	event.idm.read_only_udm.principal.process.pid	Aus Änderungsprotokoll zugeordnet
auid	event.idm.read_only_udm.about.user.userid	Aus Änderungsprotokoll zugeordnet
ses	event.idm.read_only_udm.network.session_id	Aus Änderungsprotokoll zugeordnet
addr	event.idm.read_only_udm.principal.ip und event.idm.read_only_udm.principal.asset.ip	Aus Änderungsprotokoll zugeordnet
subj	event.idm.read_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
res	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
op	event.idm.read_only_udm.security_result.summary	Aus Änderungsprotokoll zugeordnet
msg_value	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
grantors_value	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.msg	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.grantors	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
terminal	event.idm.read_only_udm.principal.application	Aus Änderungsprotokoll zugeordnet
sec_result	event.idm.read_only_udm.security_result	Aus Änderungsprotokoll zugeordnet
hostname	event.idm.read_only_udm.principal.hostname	Aus Änderungsprotokoll zugeordnet
indicator.mode	event.idm.read_only_udm.src.user.attribute.permissions	Aus Änderungsprotokoll zugeordnet
indicator.nametype	event.idm.read_only_udm.security_result.rule_name	Aus Änderungsprotokoll zugeordnet
indicator.cap_frootid	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.cap_fver	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.cap_fi	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.cap_fp	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.cap_fe	event.idm.read_only_udm.security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
OUID	event.idm.read_only_udm.principal.user.userid	Aus Änderungsprotokoll zugeordnet
OGID	event.idm.read_only_udm.principal.group.group_display_name	Aus Änderungsprotokoll zugeordnet
action_data	event.idm.read_only_udm.security_result.action_details	Aus Änderungsprotokoll zugeordnet
target_email	event.idm.ready_only_udm.target.user.email_addresses	Aus Änderungsprotokoll zugeordnet
target_port	event.idm.ready_only_udm.target.port	Aus Änderungsprotokoll zugeordnet
status	event.idm.ready_only_udm.security_result.action_details	Aus Änderungsprotokoll zugeordnet
to_email	event.idm.ready_only_udm.network.email.to	Aus Änderungsprotokoll zugeordnet
target_hostname	event.idm.ready_only_udm.target.hostname	Aus Änderungsprotokoll zugeordnet
"relay_data"	event.idm.ready_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
"delays_data"	event.idm.ready_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
"delay_data"	event.idm.ready_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
and "dns_data"	event.idm.ready_only_udm.additional.fields	Aus Änderungsprotokoll zugeordnet
bytes_sent	event.idm.ready_only_udm.network.sent_bytes	Aus Änderungsprotokoll zugeordnet
bytes_received	event.idm.ready_only_udm.network.received_bytes	Aus Änderungsprotokoll zugeordnet
response_code	event.idm.ready_only_udm.network.http.response_code	Aus Änderungsprotokoll zugeordnet
principal_user_name	principal.user.userid	Aus Änderungsprotokoll zugeordnet
remote	principal.ip	Aus Änderungsprotokoll zugeordnet
method	network.http.method	Aus Änderungsprotokoll zugeordnet
path	principal.file.full_path	Aus Änderungsprotokoll zugeordnet
code	additional.fields	Aus Änderungsprotokoll zugeordnet
size	principal.file.size	Aus Änderungsprotokoll zugeordnet
agent	network.http.user_agent	Aus Änderungsprotokoll zugeordnet
az	principal.location.name	Aus Änderungsprotokoll zugeordnet
ec2_instance_id	principal.asset.product_object_id	Aus Änderungsprotokoll zugeordnet
private_ip	principal.ip	Aus Änderungsprotokoll zugeordnet
ProviderName	additional.fields	Aus Änderungsprotokoll zugeordnet
Version	additional.fields	Aus Änderungsprotokoll zugeordnet
Task	additional.fields	Aus Änderungsprotokoll zugeordnet
EventRecordID	additional.fields	Aus Änderungsprotokoll zugeordnet
ThreadID	additional.fields	Aus Änderungsprotokoll zugeordnet
messageType	target.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
owner	principal.user.userid	Aus Änderungsprotokoll zugeordnet
logevent.id	metadata.product_log_id	Aus Änderungsprotokoll zugeordnet
logGroup	secu_result.about.resource.name	Aus Änderungsprotokoll zugeordnet
logStream	secu_result.about.resource.attribute.labels	Aus Änderungsprotokoll zugeordnet
ip_addr	principal.ip	Aus Änderungsprotokoll zugeordnet
gd	secu_result.description	Aus Änderungsprotokoll zugeordnet
process	target.application	Aus Änderungsprotokoll zugeordnet
pid	target.process.pid	Aus Änderungsprotokoll zugeordnet
status_code	network.http.response_code	Aus Änderungsprotokoll zugeordnet
url	network.http.referral_url	Aus Änderungsprotokoll zugeordnet
useragent	network.http.user_agent	Aus Änderungsprotokoll zugeordnet
request	additional.fields	Aus Änderungsprotokoll zugeordnet
tls_version	network.tls.version	Aus Änderungsprotokoll zugeordnet
hostname_is	principal.hostname	Aus Änderungsprotokoll zugeordnet
referrer	network.http.referral_url	Aus Änderungsprotokoll zugeordnet
metadata.event_type	USER_LOGIN	Aus Änderungsprotokoll zugeordnet
metadata.event_type	PROCESS_UNCATEGORIZED	Aus Änderungsprotokoll zugeordnet
srcIP	principal.ip	Aus Änderungsprotokoll zugeordnet
username	principal.user.user_display_name	Aus Änderungsprotokoll zugeordnet
type_syscall_props.msg	additional.fields	Aus Änderungsprotokoll zugeordnet
sw", "sw_type", and "subj	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
indicator.SYSCALL	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
exe	principal.process.file.full_path	Aus Änderungsprotokoll zugeordnet
target.user.userid	principal.user.userid	Aus Änderungsprotokoll zugeordnet
target_user_name	target.user.userid	Aus Änderungsprotokoll zugeordnet
field	field33	Aus Änderungsprotokoll zugeordnet
fp	network.tls.client.certificate.sha256	Aus Änderungsprotokoll zugeordnet
pid	principal.process.pid	Aus Änderungsprotokoll zugeordnet
syslog-tag	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
inter_ip	intermediary.ip	Aus Änderungsprotokoll zugeordnet
inter_hostname	intermediary.hostname	Aus Änderungsprotokoll zugeordnet
grp	target.group.group_display_name	Aus Änderungsprotokoll zugeordnet
id	about.user.userid	Aus Änderungsprotokoll zugeordnet
acct	target.user.user_display_name	Aus Änderungsprotokoll zugeordnet
uid	principal.user.userid	Aus Änderungsprotokoll zugeordnet
auid	about.user.userid	Aus Änderungsprotokoll zugeordnet
auid	target.user.userid	Aus Änderungsprotokoll zugeordnet
op" and "id	security_result.summary	Aus Änderungsprotokoll zugeordnet
op" and "acct	security_result.summary	Aus Änderungsprotokoll zugeordnet
labels.compute.googleapis.com/resource_name","jsonPayload._HOSTNAME" , "CollectorHostName", "HOSTNAME", and "Computer	principal.hostname	Aus Änderungsprotokoll zugeordnet
HostIP	principal.ip	Aus Änderungsprotokoll zugeordnet
ProcessID" and "jsonPayload._PID	principal.process.pid	Aus Änderungsprotokoll zugeordnet
SyslogMessage	metadata.description	Aus Änderungsprotokoll zugeordnet
TenantId", "_ItemId", "_Internal_WorkspaceResourceId", "_ResourceId", and "Facility	additional.fields	Aus Änderungsprotokoll zugeordnet
SeverityLevel	security_result.severity	Aus Änderungsprotokoll zugeordnet
SourceSystem	principal.platform	Aus Änderungsprotokoll zugeordnet
jsonPayload._COMM	principal.application	Aus Änderungsprotokoll zugeordnet
jsonPayload._EXE	target.process.file.full_path	Aus Änderungsprotokoll zugeordnet
jsonPayload._AUDIT_FIELD_FILE	target.file.full_path	Aus Änderungsprotokoll zugeordnet
jsonPayload._AUDIT_FIELD_HASH	target.file.hash	Aus Änderungsprotokoll zugeordnet
jsonPayload._AUDIT_SESSION	network.session_id	Aus Änderungsprotokoll zugeordnet
jsonPayload._PPID	principal.process.parent_process.pid	Aus Änderungsprotokoll zugeordnet
jsonPayload._AUDIT_FIELD_A0", "jsonPayload._AUDIT_FIELD_A1", "jsonPayload._AUDIT_FIELD_A2", "jsonPayload._AUDIT_FIELD_A3", "jsonPayload._BOOT_ID", and "jsonPayload._AUDIT_FIELD_EXIT	security_result.detection_fields	Aus Änderungsprotokoll zugeordnet
id	target.user.userid	Aus Änderungsprotokoll zugeordnet
ID	target.user.user_display_name	Aus Änderungsprotokoll zugeordnet
user_name	principal.user.userid	Aus Änderungsprotokoll zugeordnet
principal_user_userid	principal.user.userid	Aus Änderungsprotokoll zugeordnet
vendor_name	Linux	Aus Änderungsprotokoll zugeordnet
product_name	AuditD	Aus Änderungsprotokoll zugeordnet
ip	target.ip	Aus Änderungsprotokoll zugeordnet
success	security_result.summary	Aus Änderungsprotokoll zugeordnet
syscall", "exit", "tty", "a0", "a1", "a2", "a3	security_result.about.labels	Aus Änderungsprotokoll zugeordnet

Änderungsprotokoll

Änderungsprotokoll für diesen Parser ansehen

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten