Coletar registros do daemon de auditoria do Linux

Compatível com:

Google SecOps SIEM

Este documento explica como ingerir registros do daemon de auditoria do Linux (auditd) no Google Security Operations usando o Bindplane.

O daemon de auditoria do Linux é o componente do espaço do usuário do sistema de auditoria do Linux. Ele registra eventos relevantes para a segurança no sistema, incluindo acesso a arquivos, chamadas de sistema, eventos de autenticação e negações do SELinux. Os registros do Auditd são essenciais para o monitoramento de compliance, a detecção de intrusões e a análise forense em hosts Linux.

Antes de começar

Verifique se você tem os pré-requisitos a seguir:

• Uma instância do Google SecOps.
• Windows Server 2016 ou mais recente ou host Linux com systemd.
• Se você estiver executando um proxy, verifique se as portas do firewall estão abertas de acordo com os requisitos do agente do Bindplane.
• Acesso root ou sudo no host Linux que executa o auditd.
• O pacote auditd instalado e em execução no host Linux de origem.
• O pacote audispd-plugins instalado no host Linux de origem (fornece o plug-in audisp-syslog).

Receber credenciais do Google SecOps para o agente do BindPlane

Para autenticar o agente do Bindplane no Google SecOps, escolha um dos seguintes métodos:

• Novas implantações: use a API Chronicle (opção 1).
• Implantações legadas: continue usando o arquivo de autenticação de ingestão (opção 2) até que a API Ingestion seja descontinuada em 20 de julho de 2027.

Opção 1: criar uma conta de serviço para a API Chronicle (recomendado)

1. Faça login no console doGoogle Cloud e selecione o projeto do Google Cloud vinculado à sua instância do Google SecOps.
2. Acesse IAM e administrador > Contas de serviço.
3. Clique em Criar conta de serviço.
4. Informe os seguintes detalhes de configuração:
   • Nome da conta de serviço: insira um nome para a conta (por exemplo, bindplane-ingest).
   • Descrição da conta de serviço: insira uma descrição (por exemplo, Bindplane agent log ingestion).
5. Clique em Criar e continuar.
6. Na seção Conceder a essa conta de serviço acesso ao projeto, clique em Selecionar um papel e escolha Editor do Chronicle.
7. Clique em Continuar e depois em Concluído.
8. Clique na conta de serviço que você criou e acesse a guia Chaves.
9. Clique em Adicionar chave > Criar nova chave.
10. Selecione JSON e clique em Criar. O download do arquivo de chave é feito no seu computador.
11. Salve o arquivo de chave como ingestion-auth.json no diretório do coletor do BindPlane (/opt/observiq-otel-collector/ingestion-auth.json no Linux ou C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json no Windows) ou atualize creds_file_path em config.yaml para corresponder ao caminho em que você o salvou.
12. Acesse IAM e administrador > Configurações e copie o número do projeto. Você vai precisar dele para configurar o exportador.

Observação :a chave JSON é uma credencial. Restrinja o acesso ao arquivo no host do BindPlane e alterne a chave de acordo com a política da sua organização.

Opção 2: fazer o download do arquivo de autenticação de ingestão (legado)

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Agentes de coleta.
3. Faça o download do arquivo de autenticação de ingestão.
4. Salve o arquivo com segurança no sistema em que o agente do Bindplane será instalado.

Observação: esse arquivo autentica o agente na API Ingestion legada (malachiteingestion-pa.googleapis.com), que o Google programou para ser desativada em 20 de julho de 2027. Planeje migrar para a opção 1 antes dessa data.

Receber o ID de cliente do Google SecOps

1. Faça login no console do Google SecOps.
2. Acesse Configurações do SIEM > Perfil.
3. Copie e salve o ID de cliente na seção Detalhes da organização.

Instalar o agente do Bindplane

Instale o agente do Bindplane no seu sistema operacional Windows ou Linux de acordo com as instruções a seguir.

Instalação do Windows

1. Abra o Prompt de comando ou o PowerShell como administrador.

2. Execute este comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalação do Linux

1. Abra um terminal com privilégios de raiz ou sudo.

2. Execute este comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Outros recursos de instalação

Para mais opções de instalação, consulte o guia de instalação do agente do Bindplane.

Observação: a configuração do exportador da API Chronicle requer o coletor Bindplane v1.106.0 ou mais recente. Os comandos anteriores instalam a versão mais recente. Se você estiver atualizando uma instalação atual, faça upgrade do coletor antes de mudar a configuração.

Configurar o agente do Bindplane para ingerir syslog e enviar ao Google SecOps

1. Acesse o arquivo de configuração:

   • Linux: /opt/observiq-otel-collector/config.yaml
   • Windows: C:\Program Files\observIQ OpenTelemetry Collector\config.yaml

2. Edite o arquivo config.yaml da seguinte forma:

   receivers:
     udplog:
       # Replace the port and IP address as required
       listen_address: "0.0.0.0:514"
   
   exporters:
     chronicle/chronicle_w_labels:
       protocol: https
       # Region of your instance, for example us, europe, asia-southeast1
       location: <LOCATION>
       # Project number of the Google Cloud project linked to the instance
       project: '<PROJECT_NUMBER>'
       compression: gzip
       # Adjust the path to the credentials file you downloaded in Step 1
       creds_file_path: '/path/to/ingestion-authentication-file.json'
       # Replace with your actual customer ID from Step 2
       customer_id: '<your_customer_id>'
       endpoint: chronicle.googleapis.com
       # Add optional ingestion labels for better organization
       log_type: 'AUDITD'
       raw_log_field: body
       ingestion_labels:
   
   service:
     pipelines:
       logs/source0__chronicle_w_labels-0:
         receivers:
           - udplog
         exporters:
           - chronicle/chronicle_w_labels
   

• Substitua a porta e o endereço IP conforme necessário na sua infraestrutura.
• Substitua <LOCATION> pela região da sua instância do Google SecOps (por exemplo, us, europe ou asia-southeast1). O exportador prefixa chronicle.googleapis.com com esse valor.
• Substitua <PROJECT_NUMBER> pelo número do projeto em IAM e administrador > Configurações.
• Substitua <your_customer_id> pelo ID de cliente real.
• Atualize /path/to/ingestion-authentication-file.json para o caminho do arquivo em que o arquivo de chave da conta de serviço (Opção 1) foi salvo na seção Receber credenciais do Google SecOps para o agente do Bindplane.

Exportador da API de ingestão legada

• Se você usar o arquivo de autenticação de ingestão da opção 2, substitua o bloco exporters pelo seguinte. Defina creds_file_path como o caminho para o arquivo de autenticação de ingestão e, se a instância estiver fora dos EUA, substitua malachiteingestion-pa.googleapis.com pelo endpoint regional (por exemplo, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/chronicle_w_labels:
      compression: gzip
      # Adjust the path to the credentials file you downloaded in Step 1
      creds_file_path: '/path/to/ingestion-authentication-file.json'
      # Replace with your actual customer ID from Step 2
      customer_id: '<your_customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      # Add optional ingestion labels for better organization
      log_type: 'AUDITD'
      raw_log_field: body
      ingestion_labels:
  

Observação: esse exportador vai parar de funcionar quando a API Ingestion for descontinuada em 20 de julho de 2027.

Reinicie o agente do Bindplane para aplicar as mudanças.

Para reiniciar o agente do Bindplane no Linux:

1. Execute este comando:

   sudo systemctl restart observiq-otel-collector
   

2. Verifique se o serviço está em execução:

   sudo systemctl status observiq-otel-collector
   

3. Verifique se há erros nos registros:

   sudo journalctl -u observiq-otel-collector -f
   

Para reiniciar o agente do Bindplane em Windows:

1. Escolha uma das seguintes opções:

   • Prompt de comando ou PowerShell como administrador:

   net stop observiq-otel-collector && net start observiq-otel-collector
   

   • Console de serviços:
     1. Pressione Win+R, digite services.msc e pressione Enter.
     2. Localize o Coletor do OpenTelemetry da observIQ.
     3. Clique com o botão direito do mouse e selecione Reiniciar.

2. Verifique se o serviço está em execução:

   sc query observiq-otel-collector
   

3. Verifique se há erros nos registros:

   type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
   

Configurar o auditd para encaminhar registros pelo syslog

O plug-in audisp syslog encaminha eventos de auditoria para o syslog, que os envia ao agente do Bindplane. Esse é o método recomendado para encaminhar registros do auditd.

Observação :no RHEL/CentOS 8+ e em distribuições modernas que usam a auditoria 3.x, o diretório de plug-ins do audisp é /etc/audit/plugins.d/. Em distribuições mais antigas (RHEL/CentOS 7 e anteriores), o diretório é /etc/audisp/plugins.d/. As etapas abaixo usam o caminho moderno. Ajuste o caminho se estiver executando uma distribuição mais antiga.

Instalar o plug-in syslog do audisp

1. Faça login no host Linux que executa o auditd com privilégios de root ou sudo.

2. Instale o pacote audispd-plugins:

   • RHEL/CentOS/Fedora:

   sudo yum install audispd-plugins
   

   • Debian/Ubuntu:

   sudo apt install audispd-plugins
   

Configurar o plug-in do syslog

1. Edite o arquivo de configuração do plug-in syslog:

   sudo nano /etc/audit/plugins.d/syslog.conf
   

   Observação: no RHEL/CentOS 7 e versões anteriores, o arquivo está localizado em /etc/audisp/plugins.d/syslog.conf.

2. Defina os seguintes valores no arquivo:

   active = yes
   direction = out
   path = /sbin/audisp-syslog
   type = always
   args = LOG_LOCAL6
   format = string
   

   • active: defina como yes para ativar o plug-in.
   • path: o caminho para o binário audisp-syslog.
   • type: defina como always para executar o plug-in como um programa externo.
   • args: a facilidade do syslog a ser usada. LOG_LOCAL6 é recomendado para separar os registros de auditoria de outras mensagens do syslog.
   • format: defina como string para transmitir eventos em um formato de texto adequado para o syslog.

Configurar regras de auditoria (opcional)

1. Edite o arquivo de regras de auditoria para definir quais eventos serão capturados:

   sudo nano /etc/audit/rules.d/audit.rules
   

2. Adicione regras com base nos seus requisitos de monitoramento. Exemplo:

   ## Delete all existing rules
   -D
   
   ## Set buffer size (increase for high-volume systems)
   -b 8192
   
   ## Set failure mode (1 = printk, 2 = panic)
   -f 1
   
   ## Monitor authentication-related files
   -w /etc/passwd -p wa -k identity
   -w /etc/group -p wa -k identity
   -w /etc/shadow -p wa -k identity
   -w /etc/sudoers -p wa -k sudoers
   
   ## Monitor login events
   -w /var/log/faillog -p wa -k logins
   -w /var/log/lastlog -p wa -k logins
   
   ## Monitor process execution
   -a always,exit -F arch=b64 -S execve -k exec
   
   ## Monitor network configuration changes
   -a always,exit -F arch=b64 -S sethostname -S setdomainname -k network
   
   ## Make the configuration immutable (must be the last rule)
   -e 2
   

   Observação :a regra -e 2 torna a configuração de auditoria imutável. Depois de definir essa regra, é necessário reiniciar o sistema para mudar a configuração.

3. Carregue as novas regras de auditoria:

   sudo augenrules --load
   

Reiniciar o auditd

1. Reinicie o serviço auditd para aplicar as mudanças no plug-in e nas regras:

   sudo service auditd restart
   

   Observação: em sistemas que usam a auditoria 3.x, também é possível usar sudo systemctl restart auditd. Em sistemas mais antigos, use sudo service auditd restart porque o auditd gerencia o próprio ciclo de vida do serviço de forma independente do systemd.

Configurar o rsyslog para encaminhar registros de auditoria para o Bindplane

1. Crie um novo arquivo de configuração do rsyslog para o encaminhamento de registro de auditoria:

   sudo nano /etc/rsyslog.d/audit-forward.conf
   

2. Adicione a seguinte linha para encaminhar os registros via UDP ao agente do Bindplane:

   local6.* @<BINDPLANE_IP>:514
   

   Observação :use @@ em vez de @ para o encaminhamento de TCP. Substitua <BINDPLANE_IP> pelo endereço IP do host do agente do BindPlane.

3. Reinicie o rsyslog para aplicar as mudanças:

   sudo systemctl restart rsyslog
   

Verificar o encaminhamento de registros

1. No host Linux de origem, gere um evento de auditoria de teste:

   sudo auditctl -w /tmp/test_audit -p wa -k test_chronicle
   

2. Toque no arquivo para ativar a observação:

   touch /tmp/test_audit
   

3. No host do agente do Bindplane, verifique se os registros estão sendo recebidos:

   sudo journalctl -u observiq-otel-collector -f
   

Tabela de mapeamento de UDM

Campo de registro	Mapeamento de UDM	Lógica
acct	target.user.userid	Valor extraído do campo acct.
addr	principal.ip	Valor extraído do campo addr se for um endereço IP válido.
arch	additional.fields	Adicionado como um par de chave-valor com a chave "arch".
auid	principal.user.userid	Valor extraído do campo auid. Usado como o ID do usuário de auditoria.
comm	target.process.command_line	Valor extraído do campo comm.
cwd	additional.fields	Adicionado como um par de chave-valor com a chave "cwd".
exe	target.process.file.full_path	Valor extraído do campo exe.
exit	additional.fields	Adicionado como um par de chave-valor com a chave "exit".
gid	principal.user.group_identifiers	Valor extraído do campo gid.
hostname	principal.hostname	Valor extraído do campo hostname.
key	security_result.detection_fields	Adicionado como um par de chave-valor com a chave "audit_key".
msg	metadata.description	Analisado do campo msg. Contém a mensagem do evento de auditoria.
name	target.file.full_path	Valor retirado do campo name, quando aplicável.
node	principal.hostname	Valor retirado do campo node se hostname não estiver presente.
op	metadata.product_event_type	Valor retirado do campo op (tipo de operação).
pid	principal.process.pid	Valor extraído do campo pid.
ppid	principal.process.parent_process.pid	Valor extraído do campo ppid.
res	security_result.action	Defina como "ALLOW" se res for "success" ou "1". Defina como "BLOCK" se res for "failed" ou "0".
ses	network.session_id	Valor extraído do campo ses (ID da sessão).
subj	principal.process.file.full_path	Valor extraído do campo subj (contexto do assunto SELinux).
syscall	additional.fields	Adicionado como um par de chave-valor com a chave "syscall".
terminal	additional.fields	Adicionado como um par de chave-valor com a chave "terminal".
type	metadata.product_event_type	Valor retirado do campo type (tipo de registro de auditoria, por exemplo, SYSCALL, USER_LOGIN, EXECVE).
uid	principal.user.userid	Valor extraído do campo uid.
	metadata.event_type	Derivado do tipo de registro de auditoria. Defina como "USER_LOGIN" para eventos de login, "USER_LOGOUT" para eventos de logout, "PROCESS_LAUNCH" para eventos de execução e "FILE_MODIFICATION" para eventos de arquivo. O padrão é "GENERIC_EVENT".
	metadata.product_name	Defina como "auditd".
	metadata.vendor_name	Defina como "Linux".
home	event.idm.read_only_udm.additional.fields	Mapeado do registro de mudanças
shell	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
name	event.idm.read_only_udm.target.user.userid	Mapeado do registro de alterações
name	event.idm.read_only_udm.target.group.group_display_name	Mapeado do registro de alterações
UID	event.idm.read_only_udm.target.user.product_object_id	Mapeado do registro de alterações
GID	event.idm.read_only_udm.target.user.group_identifiers	Mapeado do registro de alterações
GID	event.idm.read_only_udm.target.group.product_object_id	Mapeado do registro de alterações
key_type	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
hash	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
key_fingerprint	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
user	event.idm.read_only_udm.target.user.userid	Mapeado do registro de alterações
error_detail1	event.idm.read_only_udm.security_result.summary	Mapeado do registro de alterações
service_name	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
ssh_disconnect_code	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
labels.bp_csoc	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
labels.bp_env_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
labels.log.file.name	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
resource.labels.node_id	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
intermediary_host	event.idm.read_only_udm.intermediary.hostname	Mapeado do registro de alterações
PWD	event.idm.read_only_udm.target.file.full_path	Mapeado do registro de alterações
log_details	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
indicator.SUID	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
indicator.UID	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
indicator.AUID	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
type_crypto_props.msg	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
usr	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
pi	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
cmnd	event.idm.read_only_udm.target.process.command_line	Mapeado do registro de alterações
proctitle_value	event.idm.read_only_udm.principal.process.file.full_path	Mapeado do registro de alterações
filename	event.idm.read_only_udm.principal.process.file.names	Mapeado do registro de alterações
filepath	event.idm.read_only_udm.target.file.full_path	Mapeado do registro de alterações
uid	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
acct	event.idm.read_only_udm.principal.user.user_display_name	Mapeado do registro de alterações
exe	event.idm.read_only_udm.target.process.file.full_path	Mapeado do registro de alterações
pid	event.idm.read_only_udm.principal.process.pid	Mapeado do registro de alterações
auid	event.idm.read_only_udm.about.user.userid	Mapeado do registro de alterações
ses	event.idm.read_only_udm.network.session_id	Mapeado do registro de alterações
addr	event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip	Mapeado do registro de mudanças
subj	event.idm.read_only_udm.additional.fields	Mapeado do registro de alterações
res	event.idm.read_only_udm.security_result.summary	Mapeado do registro de alterações
op	event.idm.read_only_udm.security_result.summary	Mapeado do registro de alterações
msg_value	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
grantors_value	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
indicator.msg	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
indicator.grantors	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
terminal	event.idm.read_only_udm.principal.application	Mapeado do registro de alterações
sec_result	event.idm.read_only_udm.security_result	Mapeado do registro de alterações
hostname	event.idm.read_only_udm.principal.hostname	Mapeado do registro de alterações
indicator.mode	event.idm.read_only_udm.src.user.attribute.permissions	Mapeado do registro de alterações
indicator.nametype	event.idm.read_only_udm.security_result.rule_name	Mapeado do registro de alterações
indicator.cap_frootid	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
indicator.cap_fver	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
indicator.cap_fi	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
indicator.cap_fp	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
indicator.cap_fe	event.idm.read_only_udm.security_result.detection_fields	Mapeado do registro de alterações
OUID	event.idm.read_only_udm.principal.user.userid	Mapeado do registro de alterações
OGID	event.idm.read_only_udm.principal.group.group_display_name	Mapeado do registro de alterações
action_data	event.idm.read_only_udm.security_result.action_details	Mapeado do registro de alterações
target_email	event.idm.ready_only_udm.target.user.email_addresses	Mapeado do registro de alterações
target_port	event.idm.ready_only_udm.target.port	Mapeado do registro de alterações
status	event.idm.ready_only_udm.security_result.action_details	Mapeado do registro de alterações
to_email	event.idm.ready_only_udm.network.email.to	Mapeado do registro de alterações
target_hostname	event.idm.ready_only_udm.target.hostname	Mapeado do registro de alterações
"relay_data"	event.idm.ready_only_udm.additional.fields	Mapeado do registro de alterações
"delays_data"	event.idm.ready_only_udm.additional.fields	Mapeado do registro de alterações
"delay_data"	event.idm.ready_only_udm.additional.fields	Mapeado do registro de alterações
and "dns_data"	event.idm.ready_only_udm.additional.fields	Mapeado do registro de alterações
bytes_sent	event.idm.ready_only_udm.network.sent_bytes	Mapeado do registro de alterações
bytes_received	event.idm.ready_only_udm.network.received_bytes	Mapeado do registro de alterações
response_code	event.idm.ready_only_udm.network.http.response_code	Mapeado do registro de alterações
principal_user_name	principal.user.userid	Mapeado do registro de alterações
remote	principal.ip	Mapeado do registro de alterações
method	network.http.method	Mapeado do registro de alterações
path	principal.file.full_path	Mapeado do registro de alterações
code	additional.fields	Mapeado do registro de alterações
size	principal.file.size	Mapeado do registro de alterações
agent	network.http.user_agent	Mapeado do registro de alterações
az	principal.location.name	Mapeado do registro de alterações
ec2_instance_id	principal.asset.product_object_id	Mapeado do registro de alterações
private_ip	principal.ip	Mapeado do registro de alterações
ProviderName	additional.fields	Mapeado do registro de alterações
Version	additional.fields	Mapeado do registro de alterações
Task	additional.fields	Mapeado do registro de alterações
EventRecordID	additional.fields	Mapeado do registro de alterações
ThreadID	additional.fields	Mapeado do registro de alterações
messageType	target.resource.attribute.labels	Mapeado do registro de alterações
owner	principal.user.userid	Mapeado do registro de alterações
logevent.id	metadata.product_log_id	Mapeado do registro de alterações
logGroup	secu_result.about.resource.name	Mapeado do registro de alterações
logStream	secu_result.about.resource.attribute.labels	Mapeado do registro de alterações
ip_addr	principal.ip	Mapeado do registro de alterações
gd	secu_result.description	Mapeado do registro de alterações
process	target.application	Mapeado do registro de alterações
pid	target.process.pid	Mapeado do registro de alterações
status_code	network.http.response_code	Mapeado do registro de alterações
url	network.http.referral_url	Mapeado do registro de alterações
useragent	network.http.user_agent	Mapeado do registro de alterações
request	additional.fields	Mapeado do registro de alterações
tls_version	network.tls.version	Mapeado do registro de alterações
hostname_is	principal.hostname	Mapeado do registro de alterações
referrer	network.http.referral_url	Mapeado do registro de alterações
metadata.event_type	USER_LOGIN	Mapeado do registro de alterações
metadata.event_type	PROCESS_UNCATEGORIZED	Mapeado do registro de alterações
srcIP	principal.ip	Mapeado do registro de alterações
username	principal.user.user_display_name	Mapeado do registro de alterações
type_syscall_props.msg	additional.fields	Mapeado do registro de alterações
sw", "sw_type", and "subj	security_result.detection_fields	Mapeado do registro de alterações
indicator.SYSCALL	security_result.detection_fields	Mapeado do registro de alterações
exe	principal.process.file.full_path	Mapeado do registro de alterações
target.user.userid	principal.user.userid	Mapeado do registro de alterações
target_user_name	target.user.userid	Mapeado do registro de alterações
field	field33	Mapeado do registro de alterações
fp	network.tls.client.certificate.sha256	Mapeado do registro de alterações
pid	principal.process.pid	Mapeado do registro de alterações
syslog-tag	security_result.detection_fields	Mapeado do registro de alterações
inter_ip	intermediary.ip	Mapeado do registro de alterações
inter_hostname	intermediary.hostname	Mapeado do registro de alterações
grp	target.group.group_display_name	Mapeado do registro de alterações
id	about.user.userid	Mapeado do registro de alterações
acct	target.user.user_display_name	Mapeado do registro de alterações
uid	principal.user.userid	Mapeado do registro de alterações
auid	about.user.userid	Mapeado do registro de alterações
auid	target.user.userid	Mapeado do registro de alterações
op" and "id	security_result.summary	Mapeado do registro de alterações
op" and "acct	security_result.summary	Mapeado do registro de alterações
labels.compute.googleapis.com/resource_name","jsonPayload._HOSTNAME" , "CollectorHostName", "HOSTNAME", and "Computer	principal.hostname	Mapeado do registro de alterações
HostIP	principal.ip	Mapeado do registro de alterações
ProcessID" and "jsonPayload._PID	principal.process.pid	Mapeado do registro de alterações
SyslogMessage	metadata.description	Mapeado do registro de alterações
TenantId", "_ItemId", "_Internal_WorkspaceResourceId", "_ResourceId", and "Facility	additional.fields	Mapeado do registro de alterações
SeverityLevel	security_result.severity	Mapeado do registro de alterações
SourceSystem	principal.platform	Mapeado do registro de alterações
jsonPayload._COMM	principal.application	Mapeado do registro de alterações
jsonPayload._EXE	target.process.file.full_path	Mapeado do registro de alterações
jsonPayload._AUDIT_FIELD_FILE	target.file.full_path	Mapeado do registro de alterações
jsonPayload._AUDIT_FIELD_HASH	target.file.hash	Mapeado do registro de alterações
jsonPayload._AUDIT_SESSION	network.session_id	Mapeado do registro de alterações
jsonPayload._PPID	principal.process.parent_process.pid	Mapeado do registro de alterações
jsonPayload._AUDIT_FIELD_A0", "jsonPayload._AUDIT_FIELD_A1", "jsonPayload._AUDIT_FIELD_A2", "jsonPayload._AUDIT_FIELD_A3", "jsonPayload._BOOT_ID", and "jsonPayload._AUDIT_FIELD_EXIT	security_result.detection_fields	Mapeado do registro de alterações
id	target.user.userid	Mapeado do registro de alterações
ID	target.user.user_display_name	Mapeado do registro de alterações
user_name	principal.user.userid	Mapeado do registro de alterações
principal_user_userid	principal.user.userid	Mapeado do registro de alterações
vendor_name	Linux	Mapeado do registro de alterações
product_name	AuditD	Mapeado do registro de alterações
ip	target.ip	Mapeado do registro de alterações
success	security_result.summary	Mapeado do registro de alterações
syscall", "exit", "tty", "a0", "a1", "a2", "a3	security_result.about.labels	Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.