Recopila registros del daemon de auditoría de Linux

Compatible con:

Google SecOps SIEM

En este documento, se explica cómo transferir registros del daemon de auditoría de Linux (auditd) a Google Security Operations con Bindplane.

El daemon de auditoría de Linux es el componente del espacio de usuario del sistema de auditoría de Linux. Registra eventos relevantes para la seguridad en el sistema, incluidos el acceso a archivos, las llamadas al sistema, los eventos de autenticación y las denegaciones de SELinux. Los registros de auditd son esenciales para la supervisión del cumplimiento, la detección de intrusiones y el análisis forense en hosts de Linux.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

• Es una instancia de Google SecOps.
• Windows Server 2016 o posterior, o un host de Linux con systemd.
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos según los requisitos del agente de Bindplane.
• Acceso raíz o sudo en el host de Linux que ejecuta auditd
• El paquete auditd instalado y en ejecución en el host de Linux de origen
• El paquete audispd-plugins instalado en el host de Linux de origen (proporciona el complemento audisp-syslog).

Obtén credenciales de Google SecOps para el agente de Bindplane

Para autenticar el agente de Bindplane en Google SecOps, elige uno de los siguientes métodos:

• Implementaciones nuevas: Usa la API de Chronicle (opción 1).
• Implementaciones heredadas: Sigue usando el archivo de autenticación de la API de Ingestion (opción 2) hasta que se descontinúe la API de Ingestion el 20 de julio de 2027.

Opción 1: Crea una cuenta de servicio para la API de Chronicle (recomendado)

1. Accede a la consola deGoogle Cloud y selecciona el proyecto de Google Cloud que está vinculado a tu instancia de Google SecOps.
2. Ve a IAM y administración > Cuentas de servicio.
3. Haga clic en Crear cuenta de servicio.
4. Proporciona los siguientes detalles de configuración:
   • Nombre de la cuenta de servicio: Ingresa un nombre para la cuenta (por ejemplo, bindplane-ingest).
   • Descripción de la cuenta de servicio: Ingresa una descripción (por ejemplo, Bindplane agent log ingestion).
5. Haz clic en Crear y continuar.
6. En la sección Otorga a esta cuenta de servicio acceso al proyecto, haz clic en Seleccionar un rol y elige Editor de Chronicle.
7. Haz clic en Continuar y, luego, en Listo.
8. Haz clic en la cuenta de servicio que creaste y, luego, ve a la pestaña Claves.
9. Haz clic en Agregar clave > Crear clave nueva.
10. Selecciona JSON y haz clic en Crear. El archivo de claves se descargará en tu computadora.
11. Guarda el archivo de claves como ingestion-auth.json en el directorio del recopilador de Bindplane (/opt/observiq-otel-collector/ingestion-auth.json en Linux o C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json en Windows) o actualiza creds_file_path en config.yaml para que coincida con la ruta de acceso en la que lo guardas.
12. Ve a IAM y administración > Configuración y copia el Número de proyecto. Lo necesitarás para la configuración del exportador.

Nota: La clave JSON es una credencial. Restringe el acceso al archivo en el host de Bindplane y rota la clave según la política de tu organización.

Opción 2: Descarga el archivo de autenticación de transferencia (heredado)

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia.
4. Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo autentica al agente en la API de Ingestion heredada (malachiteingestion-pa.googleapis.com), que Google programó para que finalice el 20 de julio de 2027. Planifica cambiar a la opción 1 antes de esa fecha.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el comando siguiente:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación en Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el comando siguiente:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

Para obtener más opciones de instalación, consulta la guía de instalación del agente de Bindplane.

Nota: La configuración del exportador de la API de Chronicle requiere el recopilador de Bindplane v1.106.0 o posterior. Los comandos anteriores instalan la versión más reciente. Si vas a actualizar una instalación existente, actualiza el recopilador antes de cambiar la configuración.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   • Linux: /opt/observiq-otel-collector/config.yaml
   • Windows: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: '<your_customer_id>'
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'AUDITD'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.
• Reemplaza <LOCATION> por la región de tu instancia de Google SecOps (por ejemplo, us, europe o asia-southeast1). El exportador antepone chronicle.googleapis.com con este valor.
• Reemplaza <PROJECT_NUMBER> por el número de proyecto de IAM y administración > Configuración.
• Reemplaza <your_customer_id> por el ID de cliente real.
• Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso del archivo en la que se guardó el archivo de claves de la cuenta de servicio (opción 1) en la sección Obtén credenciales de Google SecOps para el agente de Bindplane.

Exportador de la API de transferencia heredada

• Si usas el archivo de autenticación de transferencia de la opción 2, reemplaza el bloque exporters por el siguiente. Establece creds_file_path en la ruta de acceso al archivo de autenticación de transferencia y, si tu instancia está fuera de EE.UU., reemplaza malachiteingestion-pa.googleapis.com por tu extremo regional (por ejemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: '<your_customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'AUDITD'
      raw_log_field: body
      ingestion_labels:
  

Nota: Este exportador dejará de funcionar cuando se descontinúe la API de Ingestion el 20 de julio de 2027.

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, haz lo siguiente:

1. Ejecuta el comando siguiente:

   sudo systemctl restart observiq-otel-collector
   

2. Verifica que el servicio esté en ejecución:

   sudo systemctl status observiq-otel-collector
   

3. Revisa los registros en busca de errores:

   sudo journalctl -u observiq-otel-collector -f
   

Para reiniciar el agente de Bindplane en Windows, haz lo siguiente:

1. Elige una de las siguientes opciones:

   • Símbolo del sistema o PowerShell como administrador:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Consola de Services:
     1. Presiona Win+R, escribe services.msc y presiona Intro.
     2. Busca observIQ OpenTelemetry Collector.
     3. Haz clic con el botón derecho y selecciona Reiniciar.

2. Verifica que el servicio esté en ejecución:

   sc query observiq-otel-collector
   

3. Revisa los registros en busca de errores:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configura auditd para reenviar registros a través de syslog

El complemento audisp syslog reenvía los eventos de auditoría a syslog, que luego los envía al agente de Bindplane. Este es el método recomendado para reenviar registros de auditd.

Nota: En RHEL/CentOS 8 y distribuciones modernas que usan audit 3.x, el directorio de complementos de audisp es /etc/audit/plugins.d/. En las distribuciones más antiguas (RHEL/CentOS 7 y versiones anteriores), el directorio es /etc/audisp/plugins.d/. En los pasos que se indican a continuación, se usa la ruta moderna. Ajusta la ruta de acceso si ejecutas una distribución anterior.

Instala el complemento audisp syslog

1. Accede al host de Linux que ejecuta auditd con privilegios de raíz o sudo.

2. Instala el paquete audispd-plugins:

   • RHEL/CentOS/Fedora:

   sudo yum install audispd-plugins
   

   • Debian/Ubuntu:

   sudo apt install audispd-plugins
   

Configura el complemento de syslog

1. Edita el archivo de configuración del complemento de syslog:

   sudo nano /etc/audit/plugins.d/syslog.conf
   

   Nota: En RHEL/CentOS 7 y versiones anteriores, el archivo se encuentra en /etc/audisp/plugins.d/syslog.conf.

2. Establece los siguientes valores en el archivo:

   active = yes
   direction = out
   path = /sbin/audisp-syslog
   type = always
   args = LOG_LOCAL6
   format = string
   

   • active: Se establece en yes para habilitar el complemento.
   • path: Es la ruta de acceso al objeto binario audisp-syslog.
   • type: Se establece en always para ejecutar el complemento como un programa externo.
   • args: Es la instalación de Syslog que se usará. Se recomienda LOG_LOCAL6 para separar los registros de auditoría de otros mensajes de syslog.
   • format: Se establece en string para pasar eventos en un formato de texto adecuado para syslog.

Configura reglas de auditoría (opcional)

1. Edita el archivo de reglas de auditoría para definir qué eventos capturar:

   sudo nano /etc/audit/rules.d/audit.rules
   

2. Agrega reglas según tus requisitos de supervisión. Por ejemplo:

   ## Delete all existing rules
   -D
   
   ## Set buffer size (increase for high-volume systems)
   -b 8192
   
   ## Set failure mode (1 = printk, 2 = panic)
   -f 1
   
   ## Monitor authentication-related files
   -w /etc/passwd -p wa -k identity
   -w /etc/group -p wa -k identity
   -w /etc/shadow -p wa -k identity
   -w /etc/sudoers -p wa -k sudoers
   
   ## Monitor login events
   -w /var/log/faillog -p wa -k logins
   -w /var/log/lastlog -p wa -k logins
   
   ## Monitor process execution
   -a always,exit -F arch=b64 -S execve -k exec
   
   ## Monitor network configuration changes
   -a always,exit -F arch=b64 -S sethostname -S setdomainname -k network
   
   ## Make the configuration immutable (must be the last rule)
   -e 2
   

   Nota: La regla -e 2 hace que la configuración de auditoría sea inmutable. Después de establecer esta regla, se requiere reiniciar el sistema para cambiar la configuración.

3. Carga las nuevas reglas de auditoría:

   sudo augenrules --load
   

Cómo reiniciar auditd

1. Reinicia el servicio auditd para aplicar los cambios en el complemento y las reglas:

   sudo service auditd restart
   

   Nota: En los sistemas que usan la auditoría 3.x, también puedes usar sudo systemctl restart auditd. En sistemas más antiguos, usa sudo service auditd restart porque auditd administra su propio ciclo de vida de servicio de forma independiente de systemd.

Configura rsyslog para reenviar registros de auditoría a BindPlane

1. Crea un archivo de configuración de rsyslog nuevo para el reenvío de registros de auditoría:

   sudo nano /etc/rsyslog.d/audit-forward.conf
   

2. Agrega la siguiente línea para reenviar registros a través de UDP al agente de Bindplane:

   local6.* @<BINDPLANE_IP>:514
   

   Nota: Usa @@ en lugar de @ para el reenvío de TCP. Reemplaza <BINDPLANE_IP> por la dirección IP del host del agente de Bindplane.

3. Reinicia rsyslog para aplicar los cambios:

   sudo systemctl restart rsyslog
   

Verifica el reenvío de registros

1. En el host de Linux de origen, genera un evento de auditoría de prueba:

   sudo auditctl -w /tmp/test_audit -p wa -k test_chronicle
   

2. Activa la observación tocando el archivo:

   touch /tmp/test_audit
   

3. En el host del agente de BindPlane, verifica que se reciban los registros:

   sudo journalctl -u observiq-otel-collector -f
   

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
acct	target.user.userid	Valor tomado del campo acct.
addr	principal.ip	Valor tomado del campo addr si es una dirección IP válida.
arch	additional.fields	Se agrega como un par clave-valor con la clave "arch".
auid	principal.user.userid	Valor tomado del campo auid. Se usa como el ID de usuario de auditoría.
comm	target.process.command_line	Valor tomado del campo comm.
cwd	additional.fields	Se agrega como un par clave-valor con la clave "cwd".
exe	target.process.file.full_path	Valor tomado del campo exe.
exit	additional.fields	Se agrega como un par clave-valor con la clave "exit".
gid	principal.user.group_identifiers	Valor tomado del campo gid.
hostname	principal.hostname	Valor tomado del campo hostname.
key	security_result.detection_fields	Se agrega como un par clave-valor con la clave "audit_key".
msg	metadata.description	Se analiza a partir del campo msg. Contiene el mensaje del evento de auditoría.
name	target.file.full_path	Valor tomado del campo name cuando corresponda.
node	principal.hostname	El valor se toma del campo node si hostname no está presente.
op	metadata.product_event_type	Valor tomado del campo op (tipo de operación).
pid	principal.process.pid	Valor tomado del campo pid.
ppid	principal.process.parent_process.pid	Valor tomado del campo ppid.
res	security_result.action	Se establece en "ALLOW" si res es "success" o "1". Establece el valor en "BLOCK" si res es "failed" o "0".
ses	network.session_id	Valor tomado del campo ses (ID de sesión).
subj	principal.process.file.full_path	Valor tomado del campo subj (contexto del sujeto de SELinux).
syscall	additional.fields	Se agrega como un par clave-valor con la clave "syscall".
terminal	additional.fields	Se agrega como un par clave-valor con la clave "terminal".
type	metadata.product_event_type	Valor tomado del campo type (tipo de registro de auditoría, p.ej., SYSCALL, USER_LOGIN, EXECVE).
uid	principal.user.userid	Valor tomado del campo uid.
	metadata.event_type	Se deriva del tipo de registro de auditoría. Se establece en "USER_LOGIN" para los eventos de acceso, "USER_LOGOUT" para los eventos de salida, "PROCESS_LAUNCH" para los eventos de ejecución y "FILE_MODIFICATION" para los eventos de archivo. El valor predeterminado es “GENERIC_EVENT”.
	metadata.product_name	Establece en "auditd".
	metadata.vendor_name	Establece el valor en "Linux".
home	event.idm.read_only_udm.additional.fields	Asignado desde el registro de cambios
shell	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
name	event.idm.read_only_udm.target.user.userid	Se asignó desde el registro de cambios
name	event.idm.read_only_udm.target.group.group_display_name	Se asignó desde el registro de cambios
UID	event.idm.read_only_udm.target.user.product_object_id	Se asignó desde el registro de cambios
GID	event.idm.read_only_udm.target.user.group_identifiers	Se asignó desde el registro de cambios
GID	event.idm.read_only_udm.target.group.product_object_id	Se asignó desde el registro de cambios
key_type	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
hash	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
key_fingerprint	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
user	event.idm.read_only_udm.target.user.userid	Se asignó desde el registro de cambios
error_detail1	event.idm.read_only_udm.security_result.summary	Se asignó desde el registro de cambios
service_name	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
ssh_disconnect_code	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
labels.bp_csoc	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
labels.bp_env_id	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
labels.log.file.name	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
resource.labels.node_id	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
intermediary_host	event.idm.read_only_udm.intermediary.hostname	Se asignó desde el registro de cambios
PWD	event.idm.read_only_udm.target.file.full_path	Se asignó desde el registro de cambios
log_details	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
indicator.SUID	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
indicator.UID	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
indicator.AUID	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
type_crypto_props.msg	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
usr	event.idm.read_only_udm.principal.user.userid	Se asignó desde el registro de cambios
pi	event.idm.read_only_udm.principal.process.pid	Se asignó desde el registro de cambios
cmnd	event.idm.read_only_udm.target.process.command_line	Se asignó desde el registro de cambios
proctitle_value	event.idm.read_only_udm.principal.process.file.full_path	Se asignó desde el registro de cambios
filename	event.idm.read_only_udm.principal.process.file.names	Se asignó desde el registro de cambios
filepath	event.idm.read_only_udm.target.file.full_path	Se asignó desde el registro de cambios
uid	event.idm.read_only_udm.principal.user.userid	Se asignó desde el registro de cambios
acct	event.idm.read_only_udm.principal.user.user_display_name	Se asignó desde el registro de cambios
exe	event.idm.read_only_udm.target.process.file.full_path	Se asignó desde el registro de cambios
pid	event.idm.read_only_udm.principal.process.pid	Se asignó desde el registro de cambios
auid	event.idm.read_only_udm.about.user.userid	Se asignó desde el registro de cambios
ses	event.idm.read_only_udm.network.session_id	Asignado desde el registro de cambios
addr	event.idm.read_only_udm.principal.ip y event.idm.read_only_udm.principal.asset.ip	Asignado desde el registro de cambios
subj	event.idm.read_only_udm.additional.fields	Se asignó desde el registro de cambios
res	event.idm.read_only_udm.security_result.summary	Se asignó desde el registro de cambios
op	event.idm.read_only_udm.security_result.summary	Se asignó desde el registro de cambios
msg_value	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
grantors_value	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
indicator.msg	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
indicator.grantors	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
terminal	event.idm.read_only_udm.principal.application	Se asignó desde el registro de cambios
sec_result	event.idm.read_only_udm.security_result	Se asignó desde el registro de cambios
hostname	event.idm.read_only_udm.principal.hostname	Se asignó desde el registro de cambios
indicator.mode	event.idm.read_only_udm.src.user.attribute.permissions	Se asignó desde el registro de cambios
indicator.nametype	event.idm.read_only_udm.security_result.rule_name	Se asignó desde el registro de cambios
indicator.cap_frootid	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
indicator.cap_fver	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
indicator.cap_fi	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
indicator.cap_fp	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
indicator.cap_fe	event.idm.read_only_udm.security_result.detection_fields	Se asignó desde el registro de cambios
OUID	event.idm.read_only_udm.principal.user.userid	Se asignó desde el registro de cambios
OGID	event.idm.read_only_udm.principal.group.group_display_name	Se asignó desde el registro de cambios
action_data	event.idm.read_only_udm.security_result.action_details	Se asignó desde el registro de cambios
target_email	event.idm.ready_only_udm.target.user.email_addresses	Se asignó desde el registro de cambios
target_port	event.idm.ready_only_udm.target.port	Se asignó desde el registro de cambios
status	event.idm.ready_only_udm.security_result.action_details	Se asignó desde el registro de cambios
to_email	event.idm.ready_only_udm.network.email.to	Se asignó desde el registro de cambios
target_hostname	event.idm.ready_only_udm.target.hostname	Se asignó desde el registro de cambios
"relay_data"	event.idm.ready_only_udm.additional.fields	Se asignó desde el registro de cambios
"delays_data"	event.idm.ready_only_udm.additional.fields	Se asignó desde el registro de cambios
"delay_data"	event.idm.ready_only_udm.additional.fields	Se asignó desde el registro de cambios
and "dns_data"	event.idm.ready_only_udm.additional.fields	Se asignó desde el registro de cambios
bytes_sent	event.idm.ready_only_udm.network.sent_bytes	Se asignó desde el registro de cambios
bytes_received	event.idm.ready_only_udm.network.received_bytes	Se asignó desde el registro de cambios
response_code	event.idm.ready_only_udm.network.http.response_code	Se asignó desde el registro de cambios
principal_user_name	principal.user.userid	Se asignó desde el registro de cambios
remote	principal.ip	Se asignó desde el registro de cambios
method	network.http.method	Se asignó desde el registro de cambios
path	principal.file.full_path	Se asignó desde el registro de cambios
code	additional.fields	Se asignó desde el registro de cambios
size	principal.file.size	Se asignó desde el registro de cambios
agent	network.http.user_agent	Se asignó desde el registro de cambios
az	principal.location.name	Se asignó desde el registro de cambios
ec2_instance_id	principal.asset.product_object_id	Se asignó desde el registro de cambios
private_ip	principal.ip	Se asignó desde el registro de cambios
ProviderName	additional.fields	Se asignó desde el registro de cambios
Version	additional.fields	Se asignó desde el registro de cambios
Task	additional.fields	Se asignó desde el registro de cambios
EventRecordID	additional.fields	Se asignó desde el registro de cambios
ThreadID	additional.fields	Se asignó desde el registro de cambios
messageType	target.resource.attribute.labels	Se asignó desde el registro de cambios
owner	principal.user.userid	Se asignó desde el registro de cambios
logevent.id	metadata.product_log_id	Se asignó desde el registro de cambios
logGroup	secu_result.about.resource.name	Se asignó desde el registro de cambios
logStream	secu_result.about.resource.attribute.labels	Se asignó desde el registro de cambios
ip_addr	principal.ip	Se asignó desde el registro de cambios
gd	secu_result.description	Se asignó desde el registro de cambios
process	target.application	Se asignó desde el registro de cambios
pid	target.process.pid	Se asignó desde el registro de cambios
status_code	network.http.response_code	Se asignó desde el registro de cambios
url	network.http.referral_url	Se asignó desde el registro de cambios
useragent	network.http.user_agent	Se asignó desde el registro de cambios
request	additional.fields	Se asignó desde el registro de cambios
tls_version	network.tls.version	Se asignó desde el registro de cambios
hostname_is	principal.hostname	Se asignó desde el registro de cambios
referrer	network.http.referral_url	Se asignó desde el registro de cambios
metadata.event_type	USER_LOGIN	Se asignó desde el registro de cambios
metadata.event_type	PROCESS_UNCATEGORIZED	Se asignó desde el registro de cambios
srcIP	principal.ip	Se asignó desde el registro de cambios
username	principal.user.user_display_name	Se asignó desde el registro de cambios
type_syscall_props.msg	additional.fields	Se asignó desde el registro de cambios
sw", "sw_type", and "subj	security_result.detection_fields	Se asignó desde el registro de cambios
indicator.SYSCALL	security_result.detection_fields	Se asignó desde el registro de cambios
exe	principal.process.file.full_path	Se asignó desde el registro de cambios
target.user.userid	principal.user.userid	Se asignó desde el registro de cambios
target_user_name	target.user.userid	Se asignó desde el registro de cambios
field	field33	Se asignó desde el registro de cambios
fp	network.tls.client.certificate.sha256	Se asignó desde el registro de cambios
pid	principal.process.pid	Se asignó desde el registro de cambios
syslog-tag	security_result.detection_fields	Se asignó desde el registro de cambios
inter_ip	intermediary.ip	Se asignó desde el registro de cambios
inter_hostname	intermediary.hostname	Se asignó desde el registro de cambios
grp	target.group.group_display_name	Se asignó desde el registro de cambios
id	about.user.userid	Se asignó desde el registro de cambios
acct	target.user.user_display_name	Se asignó desde el registro de cambios
uid	principal.user.userid	Se asignó desde el registro de cambios
auid	about.user.userid	Se asignó desde el registro de cambios
auid	target.user.userid	Se asignó desde el registro de cambios
op" and "id	security_result.summary	Se asignó desde el registro de cambios
op" and "acct	security_result.summary	Se asignó desde el registro de cambios
labels.compute.googleapis.com/resource_name","jsonPayload._HOSTNAME" , "CollectorHostName", "HOSTNAME", and "Computer	principal.hostname	Se asignó desde el registro de cambios
HostIP	principal.ip	Se asignó desde el registro de cambios
ProcessID" and "jsonPayload._PID	principal.process.pid	Se asignó desde el registro de cambios
SyslogMessage	metadata.description	Se asignó desde el registro de cambios
TenantId", "_ItemId", "_Internal_WorkspaceResourceId", "_ResourceId", and "Facility	additional.fields	Se asignó desde el registro de cambios
SeverityLevel	security_result.severity	Se asignó desde el registro de cambios
SourceSystem	principal.platform	Se asignó desde el registro de cambios
jsonPayload._COMM	principal.application	Se asignó desde el registro de cambios
jsonPayload._EXE	target.process.file.full_path	Se asignó desde el registro de cambios
jsonPayload._AUDIT_FIELD_FILE	target.file.full_path	Se asignó desde el registro de cambios
jsonPayload._AUDIT_FIELD_HASH	target.file.hash	Se asignó desde el registro de cambios
jsonPayload._AUDIT_SESSION	network.session_id	Se asignó desde el registro de cambios
jsonPayload._PPID	principal.process.parent_process.pid	Se asignó desde el registro de cambios
jsonPayload._AUDIT_FIELD_A0", "jsonPayload._AUDIT_FIELD_A1", "jsonPayload._AUDIT_FIELD_A2", "jsonPayload._AUDIT_FIELD_A3", "jsonPayload._BOOT_ID", and "jsonPayload._AUDIT_FIELD_EXIT	security_result.detection_fields	Se asignó desde el registro de cambios
id	target.user.userid	Se asignó desde el registro de cambios
ID	target.user.user_display_name	Se asignó desde el registro de cambios
user_name	principal.user.userid	Se asignó desde el registro de cambios
principal_user_userid	principal.user.userid	Se asignó desde el registro de cambios
vendor_name	Linux	Se asignó desde el registro de cambios
product_name	AuditD	Se asignó desde el registro de cambios
ip	target.ip	Se asignó desde el registro de cambios
success	security_result.summary	Se asignó desde el registro de cambios
syscall", "exit", "tty", "a0", "a1", "a2", "a3	security_result.about.labels	Asignado desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.