איסוף יומנים של Linux Audit Daemon

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Linux Audit Daemon ‏ (auditd) ב-Google Security Operations באמצעות Bindplane.

הדימון (daemon) של הביקורת ב-Linux הוא רכיב מרחב המשתמשים של מערכת הביקורת ב-Linux. הוא מתעד אירועים שקשורים לאבטחה במערכת, כולל גישה לקבצים, קריאות למערכת, אירועי אימות ודחיות של SELinux. יומני Auditd חיוניים למעקב אחרי תאימות, לזיהוי פריצות ולניתוח משפטי במארחי Linux.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

• מכונה של Google SecOps.
• ‫Windows Server 2016 ואילך, או מארח Linux עם systemd.
• אם אתם מפעילים את הסוכן מאחורי שרת proxy, ודאו שהיציאות של חומת האש פתוחות בהתאם לדרישות של סוכן Bindplane.
• גישת Root או sudo במארח Linux שבו פועל auditd.
• החבילה auditd מותקנת ופועלת במארח המקור של Linux.
• חבילת audispd-plugins מותקנת במארח Linux של המקור (מספקת את הפלאגין audisp-syslog).

קבלת פרטי כניסה ל-Google SecOps עבור סוכן Bindplane

כדי לאמת את סוכן Bindplane ב-Google SecOps, בוחרים באחת מהשיטות הבאות:

• פריסות חדשות: משתמשים ב-Chronicle API (אפשרות 1).
• פריסות קודמות: ממשיכים להשתמש בקובץ האימות להטמעת נתונים (אפשרות 2) עד שה-Ingestion API יופסק ב-20 ביולי 2027.

אפשרות 1: יצירת חשבון שירות עבור Chronicle API (מומלץ)

1. נכנסים למסוףGoogle Cloud ובוחרים את הפרויקט ב- Google Cloud שמקושר למכונה של Google SecOps.
2. נכנסים לדף IAM & Admin > Service Accounts.
3. לוחצים על יצירת חשבון שירות.
4. מזינים את פרטי ההגדרה הבאים:
   • שם חשבון השירות: מזינים שם לחשבון (לדוגמה, bindplane-ingest).
   • תיאור חשבון השירות: מזינים תיאור (לדוגמה, Bindplane agent log ingestion).
5. לוחצים על Create and continue.
6. בקטע Grant this service account access to project לוחצים על Select a role ובוחרים באפשרות Chronicle Editor.
7. לוחצים על המשך ואז על סיום.
8. לוחצים על חשבון השירות שיצרתם ואז עוברים לכרטיסייה Keys.
9. לוחצים על Add key > Create new key.
10. בוחרים באפשרות JSON ולוחצים על Create. קובץ המפתח יורד למחשב.
11. שומרים את קובץ המפתח בשם ingestion-auth.json בספריית Bindplane Collector (/opt/observiq-otel-collector/ingestion-auth.json ב-Linux או C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json ב-Windows), או מעדכנים את creds_file_path ב-config.yaml כך שיתאים לנתיב שבו שומרים את הקובץ.
12. עוברים אל IAM & Admin > Settings ומעתיקים את הערך של Project number. תצטרכו אותו כדי להגדיר את הייצוא.

הערה: מפתח JSON הוא פרטי כניסה. מגבילים את הגישה לקובץ במארח של Bindplane ומחליפים את המפתח בהתאם למדיניות של הארגון.

אפשרות 2: הורדה של קובץ האימות להטמעת נתונים (מדור קודם)

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Collection Agents (הגדרות SIEM > סוכני איסוף).
3. מורידים את קובץ האימות להטמעת נתונים.
4. שומרים את הקובץ בצורה מאובטחת במערכת שבה יותקן הסוכן של Bindplane.

הערה: הקובץ הזה מאמת את הסוכן ב-Ingestion API מדור קודם (malachiteingestion-pa.googleapis.com), שיוצא משימוש ב-20 ביולי 2027. כדאי לתכנן מעבר לאפשרות 1 לפני התאריך הזה.

איך מוצאים את מספר הלקוח ב-Google SecOps

1. נכנסים למסוף Google SecOps.
2. עוברים אל SIEM Settings > Profile.
3. מעתיקים את מספר הלקוח מהקטע פרטי הארגון ושומרים אותו.

התקנת הסוכן של Bindplane

מתקינים את סוכן Bindplane במערכת ההפעלה Windows או Linux לפי ההוראות הבאות.

התקנת חלונות

1. פותחים את שורת הפקודה או את PowerShell כאדמין.

2. מריצים את הפקודה הבאה:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

התקנה ב-Linux

1. פותחים טרמינל עם הרשאות root או sudo.

2. מריצים את הפקודה הבאה:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

מקורות מידע נוספים להתקנה

לאפשרויות התקנה נוספות, קראו את מדריך ההתקנה של סוכן Bindplane.

הערה: כדי להגדיר את הייצוא של Chronicle API, צריך את Bindplane collector בגרסה 1.106.0 ואילך. הפקודות הקודמות מתקינות את הגרסה האחרונה. אם מעדכנים התקנה קיימת, צריך לשדרג את ה-collector לפני שמשנים את ההגדרות.

הגדרת סוכן Bindplane להטמעת syslog ושליחה אל Google SecOps

1. ניגשים לקובץ התצורה:

   • Linux: /opt/observiq-otel-collector/config.yaml
   • ‫Windows: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

2. עורכים את הקובץ config.yaml באופן הבא:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: '<your_customer_id>'
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'AUDITD'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

• מחליפים את היציאה ואת כתובת ה-IP לפי הצורך בתשתית.
• מחליפים את <LOCATION> באזור של מכונת Google SecOps (לדוגמה, us,‏ europe או asia-southeast1). הערך הזה יתווסף לתחילת השם של קובץ הייצוא chronicle.googleapis.com.
• מחליפים את <PROJECT_NUMBER> במספר הפרויקט שמופיע בקטע IAM & Admin > Settings.
• מחליפים את <your_customer_id> במספר הלקוח בפועל.
• מעדכנים את /path/to/ingestion-authentication-file.json לנתיב הקובץ שבו נשמר קובץ המפתח של חשבון השירות (אפשרות 1) בקטע קבלת פרטי הכניסה ל-Google SecOps עבור סוכן Bindplane.

כלי לייצוא נתונים מ-Legacy ingestion API

• אם משתמשים בקובץ האימות של ההעלאה מאפשרות 2, מחליפים את הבלוק exporters בבלוק הבא. מגדירים את creds_file_path לנתיב של קובץ האימות להטמעת נתונים. אם המכונה נמצאת מחוץ לארה"ב, מחליפים את malachiteingestion-pa.googleapis.com בנקודת הקצה האזורית (לדוגמה, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: '<your_customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'AUDITD'
      raw_log_field: body
      ingestion_labels:
  

הערה: הייצוא הזה יפסיק לפעול כשה-Ingestion API יבוטל ב-20 ביולי 2027.

מפעילים מחדש את סוכן Bindplane כדי להחיל את השינויים.

כדי להפעיל מחדש את הסוכן של Bindplane ב-Linux:

1. מריצים את הפקודה הבאה:

   sudo systemctl restart observiq-otel-collector
   

2. מוודאים שהשירות פועל:

   sudo systemctl status observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   sudo journalctl -u observiq-otel-collector -f
   

כדי להפעיל מחדש את סוכן Bindplane ב-Windows:

1. בוחרים אחת מהאפשרויות האלה:

   • שורת פקודה או PowerShell כאדמין:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • מסוף השירותים:
     1. לוחצים על Win+R, מקלידים services.msc ולוחצים על Enter.
     2. מאתרים את observIQ OpenTelemetry Collector.
     3. לוחצים לחיצה ימנית ובוחרים באפשרות הפעלה מחדש.

2. מוודאים שהשירות פועל:

   sc query observiq-otel-collector
   

3. בודקים אם יש שגיאות ביומנים:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

הגדרת auditd להעברת יומנים באמצעות syslog

הפלאגין audisp syslog מעביר אירועי ביקורת ל-syslog, ששולח אותם לסוכן Bindplane. זו השיטה המומלצת להעברת יומנים של auditd.

הערה: ב-RHEL/CentOS 8 ומעלה ובהפצות מודרניות שמשתמשות ב-audit 3.x, ספריית הפלאגינים של audisp היא /etc/audit/plugins.d/. בהפצות ישנות יותר (RHEL/CentOS 7 וגרסאות קודמות), הספרייה היא /etc/audisp/plugins.d/. השלבים שבהמשך מתייחסים לגרסה העדכנית. אם אתם מריצים הפצה ישנה יותר, צריך לשנות את הנתיב.

התקנת הפלאגין audisp syslog

1. נכנסים למארח Linux שבו פועל auditd עם הרשאות root או sudo.

2. מתקינים את החבילה audispd-plugins:

   • RHEL/CentOS/Fedora:

   sudo yum install audispd-plugins
   

   • Debian/Ubuntu:

   sudo apt install audispd-plugins
   

הגדרת הפלאגין של syslog

1. עורכים את קובץ התצורה של הפלאגין של syslog:

   ‫

   sudo nano /etc/audit/plugins.d/syslog.conf
   

   הערה: ב-RHEL/CentOS 7 ובגרסאות קודמות, הקובץ נמצא ב-/etc/audisp/plugins.d/syslog.conf.

2. מגדירים את הערכים הבאים בקובץ:

   active = yes
   direction = out
   path = /sbin/audisp-syslog
   type = always
   args = LOG_LOCAL6
   format = string
   

   • active: מגדירים את הערך yes כדי להפעיל את הפלאגין.
   • ‫path: הנתיב לקובץ הבינארי של audisp-syslog.
   • ‫type: צריך להגדיר את הערך always כדי להריץ את הפלאגין כתוכנה חיצונית.
   • ‫args: מתקן ה-syslog שבו משתמשים. LOG_LOCAL6 מומלץ להפריד בין יומני ביקורת לבין הודעות אחרות של syslog.
   • ‫format: מגדירים את הערך string כדי להעביר אירועים בפורמט טקסט שמתאים ל-syslog.

הגדרת כללי ביקורת (אופציונלי)

1. עורכים את קובץ כללי הביקורת כדי להגדיר אילו אירועים לתעד:

   sudo nano /etc/audit/rules.d/audit.rules
   

2. מוסיפים כללים בהתאם לדרישות המעקב. לדוגמה:

   ## Delete all existing rules
   -D
   
   ## Set buffer size (increase for high-volume systems)
   -b 8192
   
   ## Set failure mode (1 = printk, 2 = panic)
   -f 1
   
   ## Monitor authentication-related files
   -w /etc/passwd -p wa -k identity
   -w /etc/group -p wa -k identity
   -w /etc/shadow -p wa -k identity
   -w /etc/sudoers -p wa -k sudoers
   
   ## Monitor login events
   -w /var/log/faillog -p wa -k logins
   -w /var/log/lastlog -p wa -k logins
   
   ## Monitor process execution
   -a always,exit -F arch=b64 -S execve -k exec
   
   ## Monitor network configuration changes
   -a always,exit -F arch=b64 -S sethostname -S setdomainname -k network
   
   ## Make the configuration immutable (must be the last rule)
   -e 2
   

   הערה: הכלל -e 2 הופך את הגדרת הביקורת לבלתי ניתנת לשינוי. אחרי שמגדירים את הכלל הזה, צריך להפעיל מחדש את המערכת כדי לשנות את ההגדרות.

3. טוענים את כללי הביקורת החדשים:

   sudo augenrules --load
   

הפעלה מחדש של auditd

1. מפעילים מחדש את שירות auditd כדי להחיל את השינויים בתוסף ובכללים:

   sudo service auditd restart
   

   הערה: במערכות שבהן נעשה שימוש ב-audit 3.x, אפשר להשתמש גם ב-sudo systemctl restart auditd. במערכות ישנות יותר, משתמשים ב-sudo service auditd restart כי auditd מנהל את מחזור החיים של השירות שלו באופן עצמאי מ-systemd.

הגדרת rsyslog להעברת יומני ביקורת ל-Bindplane

1. יוצרים קובץ תצורה חדש של rsyslog להעברת יומני ביקורת:

   sudo nano /etc/rsyslog.d/audit-forward.conf
   

2. מוסיפים את השורה הבאה כדי להעביר את היומנים באמצעות UDP לסוכן Bindplane:

   local6.* @<BINDPLANE_IP>:514
   

   הערה: צריך להשתמש ב-@@ במקום ב-@ להעברת TCP. מחליפים את <BINDPLANE_IP> בכתובת ה-IP של המארח של סוכן Bindplane.

3. מפעילים מחדש את rsyslog כדי שהשינויים ייכנסו לתוקף:

   sudo systemctl restart rsyslog
   

אימות העברת היומנים

1. במארח המקור של Linux, יוצרים אירוע ביקורת לבדיקה:

   sudo auditctl -w /tmp/test_audit -p wa -k test_chronicle
   

2. מפעילים את השעון על ידי הקשה על הקובץ:

   touch /tmp/test_audit
   

3. במארח של סוכן Bindplane, מוודאים שהיומנים מתקבלים:

   sudo journalctl -u observiq-otel-collector -f
   

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
acct	target.user.userid	הערך נלקח מהשדה acct.
addr	principal.ip	הערך נלקח מהשדה addr אם הוא כתובת IP תקינה.
arch	additional.fields	נוסף כצמד מפתח/ערך עם המפתח "arch".
auid	principal.user.userid	הערך נלקח מהשדה auid. משמש כמזהה המשתמש לביקורת.
comm	target.process.command_line	הערך נלקח מהשדה comm.
cwd	additional.fields	התווסף כצמד מפתח/ערך עם המפתח cwd.
exe	target.process.file.full_path	הערך נלקח מהשדה exe.
exit	additional.fields	הערך מתווסף כצמד מפתח/ערך עם המפתח exit.
gid	principal.user.group_identifiers	הערך נלקח מהשדה gid.
hostname	principal.hostname	הערך נלקח מהשדה hostname.
key	security_result.detection_fields	הערך מתווסף כצמד מפתח/ערך עם המפתח audit_key.
msg	metadata.description	מנותח מהשדה msg. מכיל את ההודעה של אירוע הביקורת.
name	target.file.full_path	הערך נלקח מהשדה name כשהוא רלוונטי.
node	principal.hostname	הערך נלקח מהשדה node אם השדה hostname לא קיים.
op	metadata.product_event_type	הערך נלקח מהשדה op (סוג הפעולה).
pid	principal.process.pid	הערך נלקח מהשדה pid.
ppid	principal.process.parent_process.pid	הערך נלקח מהשדה ppid.
res	security_result.action	צריך להגדיר את הערך "ALLOW" אם הערך של res הוא "success" או "1". הערך צריך להיות BLOCK אם res הוא failed או 0.
ses	network.session_id	הערך נלקח מהשדה ses (מזהה הסשן).
subj	principal.process.file.full_path	הערך נלקח מהשדה subj (הקשר הנושא של SELinux).
syscall	additional.fields	התווסף כצמד מפתח/ערך עם המפתח syscall.
terminal	additional.fields	התווסף כצמד מפתח/ערך עם המפתח terminal.
type	metadata.product_event_type	הערך נלקח מהשדה type (סוג רשומת הביקורת, למשל SYSCALL,‏ USER_LOGIN,‏ EXECVE).
uid	principal.user.userid	הערך נלקח מהשדה uid.
	metadata.event_type	הערך נגזר מסוג רשומת הביקורת. צריך להגדיר את הערך "USER_LOGIN" לאירועי התחברות, "USER_LOGOUT" לאירועי התנתקות, "PROCESS_LAUNCH" לאירועי exec ו-"FILE_MODIFICATION" לאירועי קבצים. ערך ברירת המחדל הוא "GENERIC_EVENT".
	metadata.product_name	צריך להגדיר את הערך "auditd".
	metadata.vendor_name	מגדירים את האפשרות "Linux".
home	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
shell	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
name	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
name	event.idm.read_only_udm.target.group.group_display_name	מופה מיומן השינויים
UID	event.idm.read_only_udm.target.user.product_object_id	מופה מיומן השינויים
GID	event.idm.read_only_udm.target.user.group_identifiers	מופה מיומן השינויים
GID	event.idm.read_only_udm.target.group.product_object_id	מופה מיומן השינויים
key_type	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
hash	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
key_fingerprint	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
user	event.idm.read_only_udm.target.user.userid	מופה מיומן השינויים
error_detail1	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
service_name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
ssh_disconnect_code	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
labels.bp_csoc	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
labels.bp_env_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
labels.log.file.name	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
resource.labels.node_id	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
intermediary_host	event.idm.read_only_udm.intermediary.hostname	מופה מיומן השינויים
PWD	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
log_details	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
indicator.SUID	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
indicator.UID	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
indicator.AUID	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
type_crypto_props.msg	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
usr	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
pi	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
cmnd	event.idm.read_only_udm.target.process.command_line	מופה מיומן השינויים
proctitle_value	event.idm.read_only_udm.principal.process.file.full_path	מופה מיומן השינויים
filename	event.idm.read_only_udm.principal.process.file.names	מופה מיומן השינויים
filepath	event.idm.read_only_udm.target.file.full_path	מופה מיומן השינויים
uid	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
acct	event.idm.read_only_udm.principal.user.user_display_name	מופה מיומן השינויים
exe	event.idm.read_only_udm.target.process.file.full_path	מופה מיומן השינויים
pid	event.idm.read_only_udm.principal.process.pid	מופה מיומן השינויים
auid	event.idm.read_only_udm.about.user.userid	מופה מיומן השינויים
ses	event.idm.read_only_udm.network.session_id	מופה מיומן השינויים
addr	event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip	מופה מיומן השינויים
subj	event.idm.read_only_udm.additional.fields	מופה מיומן השינויים
res	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
op	event.idm.read_only_udm.security_result.summary	מופה מיומן השינויים
msg_value	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
grantors_value	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
indicator.msg	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
indicator.grantors	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
terminal	event.idm.read_only_udm.principal.application	מופה מיומן השינויים
sec_result	event.idm.read_only_udm.security_result	מופה מיומן השינויים
hostname	event.idm.read_only_udm.principal.hostname	מופה מיומן השינויים
indicator.mode	event.idm.read_only_udm.src.user.attribute.permissions	מופה מיומן השינויים
indicator.nametype	event.idm.read_only_udm.security_result.rule_name	מופה מיומן השינויים
indicator.cap_frootid	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
indicator.cap_fver	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
indicator.cap_fi	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
indicator.cap_fp	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
indicator.cap_fe	event.idm.read_only_udm.security_result.detection_fields	מופה מיומן השינויים
OUID	event.idm.read_only_udm.principal.user.userid	מופה מיומן השינויים
OGID	event.idm.read_only_udm.principal.group.group_display_name	מופה מיומן השינויים
action_data	event.idm.read_only_udm.security_result.action_details	מופה מיומן השינויים
target_email	event.idm.ready_only_udm.target.user.email_addresses	מופה מיומן השינויים
target_port	event.idm.ready_only_udm.target.port	מופה מיומן השינויים
status	event.idm.ready_only_udm.security_result.action_details	מופה מיומן השינויים
to_email	event.idm.ready_only_udm.network.email.to	מופה מיומן השינויים
target_hostname	event.idm.ready_only_udm.target.hostname	מופה מיומן השינויים
"relay_data"	event.idm.ready_only_udm.additional.fields	מופה מיומן השינויים
"delays_data"	event.idm.ready_only_udm.additional.fields	מופה מיומן השינויים
"delay_data"	event.idm.ready_only_udm.additional.fields	מופה מיומן השינויים
and "dns_data"	event.idm.ready_only_udm.additional.fields	מופה מיומן השינויים
bytes_sent	event.idm.ready_only_udm.network.sent_bytes	מופה מיומן השינויים
bytes_received	event.idm.ready_only_udm.network.received_bytes	מופה מיומן השינויים
response_code	event.idm.ready_only_udm.network.http.response_code	מופה מיומן השינויים
principal_user_name	principal.user.userid	מופה מיומן השינויים
remote	principal.ip	מופה מיומן השינויים
method	network.http.method	מופה מיומן השינויים
path	principal.file.full_path	מופה מיומן השינויים
code	additional.fields	מופה מיומן השינויים
size	principal.file.size	מופה מיומן השינויים
agent	network.http.user_agent	מופה מיומן השינויים
az	principal.location.name	מופה מיומן השינויים
ec2_instance_id	principal.asset.product_object_id	מופה מיומן השינויים
private_ip	principal.ip	מופה מיומן השינויים
ProviderName	additional.fields	מופה מיומן השינויים
Version	additional.fields	מופה מיומן השינויים
Task	additional.fields	מופה מיומן השינויים
EventRecordID	additional.fields	מופה מיומן השינויים
ThreadID	additional.fields	מופה מיומן השינויים
messageType	target.resource.attribute.labels	מופה מיומן השינויים
owner	principal.user.userid	מופה מיומן השינויים
logevent.id	metadata.product_log_id	מופה מיומן השינויים
logGroup	secu_result.about.resource.name	מופה מיומן השינויים
logStream	secu_result.about.resource.attribute.labels	מופה מיומן השינויים
ip_addr	principal.ip	מופה מיומן השינויים
gd	secu_result.description	מופה מיומן השינויים
process	target.application	מופה מיומן השינויים
pid	target.process.pid	מופה מיומן השינויים
status_code	network.http.response_code	מופה מיומן השינויים
url	network.http.referral_url	מופה מיומן השינויים
useragent	network.http.user_agent	מופה מיומן השינויים
request	additional.fields	מופה מיומן השינויים
tls_version	network.tls.version	מופה מיומן השינויים
hostname_is	principal.hostname	מופה מיומן השינויים
referrer	network.http.referral_url	מופה מיומן השינויים
metadata.event_type	USER_LOGIN	מופה מיומן השינויים
metadata.event_type	PROCESS_UNCATEGORIZED	מופה מיומן השינויים
srcIP	principal.ip	מופה מיומן השינויים
username	principal.user.user_display_name	מופה מיומן השינויים
type_syscall_props.msg	additional.fields	מופה מיומן השינויים
sw", "sw_type", and "subj	security_result.detection_fields	מופה מיומן השינויים
indicator.SYSCALL	security_result.detection_fields	מופה מיומן השינויים
exe	principal.process.file.full_path	מופה מיומן השינויים
target.user.userid	principal.user.userid	מופה מיומן השינויים
target_user_name	target.user.userid	מופה מיומן השינויים
field	field33	מופה מיומן השינויים
fp	network.tls.client.certificate.sha256	מופה מיומן השינויים
pid	principal.process.pid	מופה מיומן השינויים
syslog-tag	security_result.detection_fields	מופה מיומן השינויים
inter_ip	intermediary.ip	מופה מיומן השינויים
inter_hostname	intermediary.hostname	מופה מיומן השינויים
grp	target.group.group_display_name	מופה מיומן השינויים
id	about.user.userid	מופה מיומן השינויים
acct	target.user.user_display_name	מופה מיומן השינויים
uid	principal.user.userid	מופה מיומן השינויים
auid	about.user.userid	מופה מיומן השינויים
auid	target.user.userid	מופה מיומן השינויים
op" and "id	security_result.summary	מופה מיומן השינויים
op" and "acct	security_result.summary	מופה מיומן השינויים
labels.compute.googleapis.com/resource_name","jsonPayload._HOSTNAME" , "CollectorHostName", "HOSTNAME", and "Computer	principal.hostname	מופה מיומן השינויים
HostIP	principal.ip	מופה מיומן השינויים
ProcessID" and "jsonPayload._PID	principal.process.pid	מופה מיומן השינויים
SyslogMessage	metadata.description	מופה מיומן השינויים
TenantId", "_ItemId", "_Internal_WorkspaceResourceId", "_ResourceId", and "Facility	additional.fields	מופה מיומן השינויים
SeverityLevel	security_result.severity	מופה מיומן השינויים
SourceSystem	principal.platform	מופה מיומן השינויים
jsonPayload._COMM	principal.application	מופה מיומן השינויים
jsonPayload._EXE	target.process.file.full_path	מופה מיומן השינויים
jsonPayload._AUDIT_FIELD_FILE	target.file.full_path	מופה מיומן השינויים
jsonPayload._AUDIT_FIELD_HASH	target.file.hash	מופה מיומן השינויים
jsonPayload._AUDIT_SESSION	network.session_id	מופה מיומן השינויים
jsonPayload._PPID	principal.process.parent_process.pid	מופה מיומן השינויים
jsonPayload._AUDIT_FIELD_A0", "jsonPayload._AUDIT_FIELD_A1", "jsonPayload._AUDIT_FIELD_A2", "jsonPayload._AUDIT_FIELD_A3", "jsonPayload._BOOT_ID", and "jsonPayload._AUDIT_FIELD_EXIT	security_result.detection_fields	מופה מיומן השינויים
id	target.user.userid	מופה מיומן השינויים
ID	target.user.user_display_name	מופה מיומן השינויים
user_name	principal.user.userid	מופה מיומן השינויים
principal_user_userid	principal.user.userid	מופה מיומן השינויים
vendor_name	Linux	מופה מיומן השינויים
product_name	AuditD	מופה מיומן השינויים
ip	target.ip	מופה מיומן השינויים
success	security_result.summary	מופה מיומן השינויים
syscall", "exit", "tty", "a0", "a1", "a2", "a3	security_result.about.labels	מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של כלי הניתוח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.