איסוף יומנים של AWS CloudWatch

גרסת המנתח: 18.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומני AWS CloudWatch ב-Google Security Operations באמצעות Amazon S3.

‫AWS CloudWatch הוא שירות ניטור ותצפית שאוסף נתונים תפעוליים בצורת יומנים, מדדים ואירועים ממשאבים ומאפליקציות של AWS. השילוב הזה משתמש ב-Amazon Data Firehose כדי להעביר בסטרימינג נתוני יומן של CloudWatch לקטגוריית S3, ואז Google SecOps מטמיע אותם באמצעות פיד של Amazon S3 V2.

לפני שמתחילים

  • מכונה של Google SecOps
  • גישה עם הרשאות ניהול ל-AWS Management Console עם הרשאות לניהול:
    • ‫Amazon CloudWatch Logs (קבוצות של יומנים, מסנני מינויים)
    • ‫Amazon Data Firehose (מקורות נתונים להעברה)
    • ‫Amazon S3 (קטגוריות)
    • ‫AWS IAM (תפקידים, כללי מדיניות, משתמשים)

הגדרת קטגוריה של AWS S3

  1. יוצרים קטגוריה של Amazon S3 לפי ההוראות במדריך למשתמש: יצירת קטגוריה.
  2. שומרים את שם הקטגוריה ואת האזור שלה לעיון בעתיד (לדוגמה, cwlogs-to-secops).

הגדרת תפקיד IAM ל-Amazon Data Firehose

Amazon Data Firehose דורש תפקיד IAM כדי לכתוב יומנים לקטגוריית S3.

יצירת מדיניות IAM

  1. ב-AWS Console, עוברים אל IAM > Policies > Create policy.
  2. לוחצים על הכרטיסייה JSON.

  3. מדביקים את המדיניות הבאה (מחליפים את cwlogs-to-secops בשם הקטגוריה שלכם):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Delivery",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::cwlogs-to-secops",
                "arn:aws:s3:::cwlogs-to-secops/*"
            ]
        },
        {
            "Sid": "CloudWatchLogging",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/kinesisfirehose/cwlogs-to-secops:log-stream:*"
        }
    ]
}

  4. לוחצים על הבא.

  5. בשדה Policy name, כותבים FirehoseS3DeliveryPolicy.

  6. לוחצים על יצירת מדיניות.

יצירת תפקיד ב-IAM

  1. עוברים אל IAM > Roles > Create role.
  2. בוחרים באפשרות מדיניות אמון בהתאמה אישית.

  3. מדביקים את מדיניות האמון הבאה:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "firehose.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

  4. לוחצים על הבא.

  5. מחפשים את FirehoseS3DeliveryPolicy ובוחרים בה.

  6. לוחצים על הבא.

  7. בשדה Role name, מזינים את הערך FirehoseToS3Role.

  8. לוחצים על יצירת תפקיד.

יצירת מקור הנתונים של Amazon Data Firehose

  1. פותחים את מסוף Kinesis בכתובת https://console.aws.amazon.com/kinesis.
  2. בחלונית הניווט, בוחרים באפשרות Amazon Data Firehose.
  3. לוחצים על Create Firehose stream (יצירת מקור נתונים של Firehose).
  4. בקטע Choose source and destination, מגדירים את הפרטים הבאים:
    • מקור: בוחרים באפשרות Direct PUT.
    • יעד: בוחרים באפשרות Amazon S3.
  5. בשדה Firehose stream name, מזינים cwlogs-to-secops.

  6. בקטע Transform and convert records, מגדירים את האפשרויות הבאות:

    1. בקטע Transform source records with AWS Lambda, לא בוחרים באפשרות Turn on data transformation.

    2. בקטע Convert record format, לא בוחרים באפשרות Enable record format conversion.

    3. בקטע Decompress source records from Amazon CloudWatch Logs:

      1. לוחצים על הפעלת דחיסה.

      2. לא בוחרים באפשרות הפעלת חילוץ הודעות.

  7. בקטע הגדרות יעד:

    • ‫S3 bucket: בוחרים את הקטגוריה ב-S3‏ cwlogs-to-secops.
    • S3 bucket prefix (אופציונלי): מזינים cloudwatch-logs/.
    • S3 bucket error output prefix (אופציונלי): מזינים firehose-errors/.

  8. בקטע הצעות למאגר נתונים זמני:

    • שטח אחסון זמני: 5MiB (ברירת מחדל).
    • מרווח מאגר נתונים: 300 שניות (ברירת מחדל).

  9. בקטע הגדרות מתקדמות:

    • הצפנה בצד השרת: אופציונלי. צריך להפעיל אם נדרשת הצפנה.
    • רישום שגיאות ביומן: בוחרים באפשרות מופעל (מומלץ).
    • Permissions: בוחרים באפשרות Choose existing IAM role ואז בוחרים את FirehoseToS3Role.

  10. לוחצים על Create Firehose stream (יצירת מקור נתונים של Firehose).

  11. מחכים שהסטטוס של השידור ישתנה לפעיל.

הגדרת תפקיד IAM ליומני CloudWatch

כדי לשלוח נתוני יומנים לסטרימינג של Firehose, צריך תפקיד IAM ב-CloudWatch Logs.

יצירת מדיניות IAM

  1. עוברים אל IAM > Policies > Create policy.
  2. לוחצים על הכרטיסייה JSON.

  3. מדביקים את המדיניות הבאה (מחליפים את <region> ואת <account-id> באזור ובמזהה החשבון שלכם ב-AWS):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "firehose:PutRecord",
                "firehose:PutRecordBatch"
            ],
            "Resource": "arn:aws:firehose:<region>:<account-id>:deliverystream/cwlogs-to-secops"
        }
    ]
}

  4. לוחצים על הבא.

  5. בשדה Policy name, כותבים CWLtoFirehoseWritePolicy.

  6. לוחצים על יצירת מדיניות.

יצירת תפקיד ב-IAM

  1. עוברים אל IAM > Roles > Create role.
  2. בוחרים באפשרות מדיניות אמון בהתאמה אישית.

  3. מדביקים את מדיניות האמון הבאה (מחליפים את <region> באזור שלכם ב-AWS):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.<region>.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

  4. לוחצים על הבא.

  5. מחפשים את CWLtoFirehoseWritePolicy ובוחרים בה.

  6. לוחצים על הבא.

  7. בשדה Role name, מזינים את הערך CWLtoFirehoseRole.

  8. לוחצים על יצירת תפקיד.

יצירת מסנן מינויים ב-CloudWatch Logs

  1. במסוף AWS, נכנסים אל CloudWatch > Logs > Log groups.
  2. בוחרים את קבוצת היומנים שרוצים להעביר בסטרימינג אל Google SecOps.
  3. לוחצים על הכרטיסייה מסנני מינויים.
  4. לוחצים על Create > Create Amazon Data Firehose subscription filter.
  5. ממלאים את פרטי ההגדרה הבאים:
    • יעד: בוחרים את מקור הנתונים של Firehose cwlogs-to-secops.
    • מתן הרשאה: בוחרים את התפקיד CWLtoFirehoseRole.
    • שם המסנן של המינוי: מזינים שם תיאורי (לדוגמה, secops-all-events).
    • פורמט היומן: בוחרים באפשרות אחר.
    • תבנית סינון של מינויים: משאירים את השדה ריק כדי לשלוח את כל האירועים, או מזינים תבנית סינון כדי לשלוח רק אירועים ספציפיים.

  6. לוחצים על התחלת השידור.

הגדרת משתמש IAM ל-Google SecOps

כדי להטמיע את היומנים שהועברו, Google SecOps צריך משתמש IAM עם גישה לקטגוריית S3.

  1. יוצרים משתמש לפי המדריך למשתמש: יצירת משתמש IAM.
  2. בוחרים את המשתמש שנוצר.
  3. לוחצים על הכרטיסייה פרטי כניסה מאובטחים.
  4. לוחצים על Create Access Key בקטע Access Keys.
  5. בקטע Use case, בוחרים באפשרות Third-party service.
  6. לוחצים על הבא.
  7. אופציונלי: מוסיפים תג תיאור.
  8. לוחצים על יצירת מפתח גישה.
  9. לוחצים על Download .csv file כדי לשמור את Access Key ואת Secret Access Key לשימוש עתידי.
  10. לוחצים על סיום.
  11. לוחצים על הכרטיסייה הרשאות.
  12. לוחצים על הוספת הרשאות בקטע כללי מדיניות בנושא הרשאות.
  13. לוחצים על הוספת הרשאות.
  14. בוחרים באפשרות Attach policies directly.
  15. מחפשים את המדיניות AmazonS3FullAccess.
  16. בוחרים את המדיניות.
  17. לוחצים על הבא.
  18. לוחצים על הוספת הרשאות.

הגדרת פיד ב-Google SecOps כדי להטמיע יומנים של AWS CloudWatch

  1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. מזינים שם ייחודי בשדה שם הפיד.
  5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
  6. בוחרים באפשרות AWS CloudWatch בתור Log type.
  7. לוחצים על הבא ואז על שליחה.
  8. מציינים ערכים בשדות הבאים:
    • S3 URI: s3://cwlogs-to-secops/cloudwatch-logs/
    • אפשרות למחיקת המקור: בוחרים את אפשרות המחיקה הרצויה.
    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים (ברירת המחדל היא 180 ימים).
    • מזהה מפתח הגישה: מפתח גישה של משתמש עם גישה לקטגוריית S3.
    • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
    • מרחב השמות של הנכס: מרחב השמות של הנכס.
    • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה.
  9. לוחצים על הבא ואז על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM לוגיקה
account principal.user.userid הערך של account מהיומן הגולמי ממופה לשדה principal.user.userid.
account_id principal.user.userid הערך של account_id מהיומן הגולמי ממופה לשדה principal.user.userid.
AlertId metadata.product_log_id הערך של AlertId מהיומן הגולמי ממופה לשדה metadata.product_log_id.
arrivalTimestamp metadata.event_timestamp הערך של arrivalTimestamp מהיומן הגולמי מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
attemptsMade additional.fields הערך של attemptsMade מהיומן הגולמי מומר למחרוזת ומתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "Attempts Made".
awsAccountId principal.asset_id הערך של awsAccountId מהיומן הגולמי מתווסף בתחילת השדה principal.asset_id עם הכיתוב "AWS Account id: ".
billed_duration additional.fields הערך של billed_duration מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "billed_duration".
BytesIn network.received_bytes הערך של BytesIn מהיומן הגולמי מומר למספר שלם לא חתום וממופה לשדה network.received_bytes.
cipher network.tls.cipher הערך של cipher מהיומן הגולמי ממופה לשדה network.tls.cipher.
Ciphers network.tls.client.supported_ciphers הערך של Ciphers מהיומן הגולמי מפוצל באמצעות פסיקים, וכל ערך מתווסף למערך network.tls.client.supported_ciphers.
cloudwatchLog security_result.description הערך של cloudwatchLog מהיומן הגולמי ממופה לשדה security_result.description.
CloudAccountId metadata.product_deployment_id הערך של CloudAccountId מהיומן הגולמי ממופה לשדה metadata.product_deployment_id.
CloudType target.resource.attribute.cloud.environment הערך של CloudType מהיומן הגולמי קובע את הערך של target.resource.attribute.cloud.environment. אם הערך של CloudType הוא "gcp", הערך הוא "GOOGLE_CLOUD_PLATFORM". אם הערך של CloudType הוא aws, הערך הוא AMAZON_WEB_SERVICES. אם הערך של CloudType הוא "azure", הערך הוא "MICROSOFT_AZURE".
Context.Execution.Id target.resource.attribute.labels הערך של Context.Execution.Id מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "Context Id".
Context.Execution.Name target.resource.attribute.labels הערך של Context.Execution.Name מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "Context Name".
Context.Execution.RoleArn target.resource.product_object_id הערך של Context.Execution.RoleArn מהיומן הגולמי ממופה לשדה target.resource.product_object_id.
descr metadata.description הערך של descr מהיומן הגולמי, אחרי הסרת רווחים לבנים מיותרים, ממופה לשדה metadata.description, אלא אם הוא "-". אם descr ריק, המערכת משתמשת בערך של log במקום זאת.
destination.name target.location.country_or_region הערך של destination.name מהיומן הגולמי ממופה לשדה target.location.country_or_region.
destination.properties.prefix target.resource.attribute.labels הערך של destination.properties.prefix מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "Destination properties prefix".
detail.additionalEventData.configRuleArn security_result.rule_id הערך של detail.additionalEventData.configRuleArn מהיומן הגולמי ממופה לשדה security_result.rule_id.
detail.additionalEventData.configRuleName security_result.rule_name הערך של detail.additionalEventData.configRuleName מהיומן הגולמי ממופה לשדה security_result.rule_name.
detail.additionalEventData.managedRuleIdentifier additional.fields הערך של detail.additionalEventData.managedRuleIdentifier מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח managedRuleIdentifier.
detail.additionalEventData.notificationJobType additional.fields הערך של detail.additionalEventData.notificationJobType מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח "notificationJobType".
detail.awsAccountId principal.asset_id הערך של detail.awsAccountId מהיומן הגולמי מתווסף בתחילת השדה principal.asset_id עם הכיתוב "AWS Account id: ".
detail.awsRegion principal.location.name הערך של detail.awsRegion מהיומן הגולמי ממופה לשדה principal.location.name.
detail.configRuleArn security_result.rule_id הערך של detail.configRuleArn מהיומן הגולמי ממופה לשדה security_result.rule_id.
detail.configRuleName security_result.rule_name הערך של detail.configRuleName מהיומן הגולמי ממופה לשדה security_result.rule_name.
detail.configurationItem.awsAccountId principal.user.userid הערך של detail.configurationItem.awsAccountId מהיומן הגולמי ממופה לשדה principal.user.userid.
detail.configurationItem.awsRegion target.location.country_or_region הערך של detail.configurationItem.awsRegion מהיומן הגולמי ממופה לשדה target.location.country_or_region.
detail.configurationItem.configuration.complianceType security_result.summary הערך של detail.configurationItem.configuration.complianceType מהיומן הגולמי ממופה לשדה security_result.summary.
detail.configurationItem.configuration.targetResourceId target.resource.attribute.labels הערך של detail.configurationItem.configuration.targetResourceId מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "configurationItem configuration targetResourceId".
detail.configurationItem.configuration.targetResourceType target.resource.attribute.labels הערך של detail.configurationItem.configuration.targetResourceType מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "configurationItem configuration targetResourceType".
detail.configurationItem.configurationItemCaptureTime _target.asset.attribute.creation_time הערך של detail.configurationItem.configurationItemCaptureTime מהיומן הגולמי מומר לחותמת זמן וממופה לשדה _target.asset.attribute.creation_time.
detail.configurationItem.configurationItemStatus target.resource.attribute.labels הערך של detail.configurationItem.configurationItemStatus מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח configurationItem configurationItemStatus.
detail.configurationItem.configurationStateId target.resource.attribute.labels הערך של detail.configurationItem.configurationStateId מהיומן הגולמי מומר למחרוזת ומתווסף כצמד מפתח/ערך ל-target.resource.attribute.labels עם המפתח configurationItem configurationStateId.
detail.configurationItem.resourceId target.resource.id הערך של detail.configurationItem.resourceId מהיומן הגולמי ממופה לשדה target.resource.id.
detail.configurationItem.resourceType target.resource.resource_subtype הערך של detail.configurationItem.resourceType מהיומן הגולמי ממופה לשדה target.resource.resource_subtype.
detail.configurationItemDiff.changedProperties.Configuration.configRuleList.1.updatedValue.configRuleArn security_result.rule_id הערך של detail.configurationItemDiff.changedProperties.Configuration.configRuleList.1.updatedValue.configRuleArn מהיומן הגולמי ממופה לשדה security_result.rule_id.
detail.eventCategory security_result.category_details הערך של detail.eventCategory מהיומן הגולמי ממופה לשדה security_result.category_details.
detail.eventID metadata.product_log_id הערך של detail.eventID מהיומן הגולמי ממופה לשדה metadata.product_log_id.
detail.eventName additional.fields הערך של detail.eventName מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "שם האירוע".
detail.eventSource target.application הערך של detail.eventSource מהיומן הגולמי ממופה לשדה target.application.
detail.eventType additional.fields הערך של detail.eventType מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "Event Type".
detail.eventVersion metadata.product_version הערך של detail.eventVersion מהיומן הגולמי ממופה לשדה metadata.product_version.
detail.managementEvent additional.fields הערך של detail.managementEvent מהיומן הגולמי מומר למחרוזת ומתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "detail managementEvent".
detail.messageType target.resource.attribute.labels הערך של detail.messageType מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "Message Type".
detail.newEvaluationResult.complianceType security_result.summary הערך של detail.newEvaluationResult.complianceType מהיומן הגולמי ממופה לשדה security_result.summary.
detail.newEvaluationResult.configRuleInvokedTime additional.fields הערך של detail.newEvaluationResult.configRuleInvokedTime מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח "newEvaluationResult_configRuleInvokedTime".
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName additional.fields הערך של detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "newEvaluationResult_configRuleName".
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId additional.fields הערך של detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "newEvaluationResult_resourceId".
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType additional.fields הערך של detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "newEvaluationResult_resourceType".
detail.newEvaluationResult.resultRecordedTime additional.fields הערך של detail.newEvaluationResult.resultRecordedTime מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח "newEvaluationResult_resultRecordedTime".
detail.oldEvaluationResult.configRuleInvokedTime additional.fields הערך של detail.oldEvaluationResult.configRuleInvokedTime מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "oldEvaluationResult_configRuleInvokedTime".
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName additional.fields הערך של detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "oldEvaluationResult_configRuleName".
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId additional.fields הערך של detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "oldEvaluationResult_resourceId".
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType additional.fields הערך של detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "oldEvaluationResult_resourceType".
detail.oldEvaluationResult.resultRecordedTime additional.fields הערך של detail.oldEvaluationResult.resultRecordedTime מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "oldEvaluationResult_resultRecordedTime".
detail.readOnly additional.fields הערך של detail.readOnly מהיומן הגולמי מומר למחרוזת ומתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "detail readOnly".
detail.recipientAccountId target.resource.attribute.labels הערך של detail.recipientAccountId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-target.resource.attribute.labels עם המפתח "Recipient Account Id".
detail.recordVersion metadata.product_version הערך של detail.recordVersion מהיומן הגולמי ממופה לשדה metadata.product_version.
detail.requestID target.resource.attribute.labels הערך של detail.requestID מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "Detail Request ID".
detail.resourceType target.resource.resource_subtype הערך של detail.resourceType מהיומן הגולמי ממופה לשדה target.resource.resource_subtype.
detail.s3Bucket about.resource.name הערך של detail.s3Bucket מהיומן הגולמי ממופה לשדה about.resource.name.
detail.s3ObjectKey target.resource.attribute.labels הערך של detail.s3ObjectKey מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-target.resource.attribute.labels עם המפתח "s3ObjectKey".
detail.userAgent network.http.user_agent הערך של detail.userAgent מהיומן הגולמי ממופה לשדה network.http.user_agent.
detail.userIdentity.accessKeyId target.user.userid הערך של detail.userIdentity.accessKeyId מהיומן הגולמי ממופה לשדה target.user.userid.
detail.userIdentity.accountId metadata.product_deployment_id הערך של detail.userIdentity.accountId מהיומן הגולמי ממופה לשדה metadata.product_deployment_id.
detail.userIdentity.arn target.user.userid הערך של detail.userIdentity.arn מהיומן הגולמי ממופה לשדה target.user.userid.
detail.userIdentity.principalId principal.user.product_object_id הערך של detail.userIdentity.principalId מהיומן הגולמי ממופה לשדה principal.user.product_object_id.
detail.userIdentity.sessionContext.attributes.mfaAuthenticated principal.user.attribute.labels הערך של detail.userIdentity.sessionContext.attributes.mfaAuthenticated מהיומן הגולמי מתווסף כצמד מפתח/ערך אל principal.user.attribute.labels עם המפתח "mfaAuthenticated".
detail.userIdentity.sessionContext.sessionIssuer.userName target.user.user_display_name הערך של detail.userIdentity.sessionContext.sessionIssuer.userName מהיומן הגולמי ממופה לשדה target.user.user_display_name.
detail.userIdentity.type principal.resource.type הערך של detail.userIdentity.type מהיומן הגולמי ממופה לשדה principal.resource.type.
detail-type metadata.product_event_type הערך של detail-type מהיומן הגולמי ממופה לשדה metadata.product_event_type.
device principal.asset.product_object_id הערך של device מהיומן הגולמי ממופה לשדה principal.asset.product_object_id.
digestPublicKeyFingerprint target.file.sha1 הערך של digestPublicKeyFingerprint מהיומן הגולמי ממופה לשדה target.file.sha1.
digestS3Bucket principal.resource.name הערך של digestS3Bucket מהיומן הגולמי ממופה לשדה principal.resource.name.
digestS3Object principal.asset.asset_id הערך של digestS3Object מהיומן הגולמי מקבל את הקידומת "S3 Object:‎" וממופה לשדה principal.asset.asset_id.
digestSignatureAlgorithm network.tls.cipher הערך של digestSignatureAlgorithm מהיומן הגולמי ממופה לשדה network.tls.cipher.
digestStartTime metadata.event_timestamp הערך של digestStartTime מהיומן הגולמי מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
dimensions.VolumeId additional.fields הערך של dimensions.VolumeId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח VolumeId.
duration additional.fields הערך של duration מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח duration.
errorCode security_result.rule_name הערך של errorCode מהיומן הגולמי ממופה לשדה security_result.rule_name.
errorMessage security_result.summary הערך של errorMessage מהיומן הגולמי ממופה לשדה security_result.summary.
executionId principal.process.pid הערך של executionId מהיומן הגולמי ממופה לשדה principal.process.pid.
host principal.hostname, principal.ip הערך של host מהיומן הגולמי, כשהמקפים מוחלפים בנקודות, מנותח ככתובת IP וממופה לשדה principal.ip אם הניתוח מצליח. אחרת, הוא ממופה לשדה principal.hostname.
http_verb network.http.method הערך של http_verb מהיומן הגולמי מומר לאותיות רישיות וממופה לשדה network.http.method.
kubernetes.container_hash additional.fields הערך של kubernetes.container_hash מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח container_hash.
kubernetes.container_image additional.fields הערך של kubernetes.container_image מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח container_image.
kubernetes.container_name additional.fields הערך של kubernetes.container_name מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח container_name.
kubernetes.docker_id principal.asset_id הערך של kubernetes.docker_id מהיומן הגולמי מתווסף בתחילת השדה principal.asset_id עם הקידומת "id: ".
kubernetes.host principal.hostname, principal.ip הערך של kubernetes.host מהיומן הגולמי, כשהמקפים מוחלפים בנקודות, מנותח ככתובת IP וממופה לשדה principal.ip אם הניתוח מצליח. אחרת, הוא ממופה לשדה principal.hostname.
kubernetes.namespace principal.namespace הערך של kubernetes.namespace מהיומן הגולמי ממופה לשדה principal.namespace.
kubernetes.namespace_name principal.namespace הערך של kubernetes.namespace_name מהיומן הגולמי ממופה לשדה principal.namespace.
kubernetes.pod_id principal.asset.asset_id הערך של kubernetes.pod_id מהיומן הגולמי מקבל את הקידומת "pod_id:‎" וממופה לשדה principal.asset.asset_id.
kubernetes.pod_name additional.fields הערך של kubernetes.pod_name מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "pod name".
lambdaArn principal.hostname הערך של lambdaArn מהיומן הגולמי ממופה לשדה principal.hostname.
level security_result.severity הערך של level מהיומן הגולמי קובע את הערך של security_result.severity. אם הערך של level הוא "Info", הערך הוא "INFORMATIONAL". אם הערך של level הוא "Error", הערך הוא "ERROR". אם הערך של level הוא "אזהרה", הערך הוא "בינוני".
log metadata.description הערך של log מהיומן הגולמי ממופה לשדה metadata.description אם descr ריק.
logFiles about לכל רכיב במערך logFiles מהיומן הגולמי, נוצר אובייקט about שבו file.full_path מוגדר ל-s3Object, asset.hostname מוגדר ל-s3Bucket ו-file.sha256 מוגדר ל-hashValue.
log_processed.cause security_result.summary הערך של log_processed.cause מהיומן הגולמי ממופה לשדה security_result.summary.
log_processed.ids intermediary.hostname לכל רכיב במערך log_processed.ids מהיומן הגולמי, נוצר אובייקט intermediary עם hostname שמוגדר לערך של הרכיב.
log_processed.level security_result.severity הערך של log_processed.level מהיומן הגולמי ממופה לשדה security_result.severity.
log_processed.msg metadata.description הערך של log_processed.msg מהיומן הגולמי ממופה לשדה metadata.description.
log_processed.ts metadata.event_timestamp הערך של log_processed.ts מהיומן הגולמי מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
log_type metadata.log_type הערך של log_type מהיומן הגולמי ממופה לשדה metadata.log_type. זהו שדה בהתאמה אישית שנוסף כדי לספק הקשר.
logevent.message security_result.description הערך של logevent.message מהיומן הגולמי ממופה לשדה security_result.description. הוא גם מנותח באמצעות grok כדי לחלץ שדות נוספים.
logGroup security_result.about.resource.name הערך של logGroup מהיומן הגולמי ממופה לשדה security_result.about.resource.name.
logStream security_result.about.resource.attribute.labels הערך של logStream מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-security_result.about.resource.attribute.labels עם המפתח "logStream".
memory_used additional.fields הערך של memory_used מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "memory_used".
metric_name additional.fields הערך של metric_name מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח metric_name.
metric_stream_name additional.fields הערך של metric_stream_name מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח metric_stream_name.
namespace principal.namespace הערך של namespace מהיומן הגולמי ממופה לשדה principal.namespace.
owner principal.user.userid הערך של owner מהיומן הגולמי ממופה לשדה principal.user.userid.
parameters additional.fields הערך של parameters מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח Parameters.
Path principal.process.file.full_path הערך של Path מהיומן הגולמי ממופה לשדה principal.process.file.full_path.
pid principal.process.pid הערך של pid מהיומן הגולמי ממופה לשדה principal.process.pid.
PolicyName security_result.rule_name הערך של PolicyName מהיומן הגולמי ממופה לשדה security_result.rule_name.
prin_host principal.hostname הערך של prin_host מהיומן הגולמי ממופה לשדה principal.hostname.
principal_hostname principal.hostname הערך של principal_hostname מהיומן הגולמי ממופה לשדה principal.hostname.
process principal.application הערך של process מהיומן הגולמי ממופה לשדה principal.application.
rawData additional.fields הערך של rawData מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח "נתונים גולמיים".
Recommendation security_result.detection_fields הערך של Recommendation מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-security_result.detection_fields עם המפתח "Recommendation".
referral_url network.http.referral_url הערך של referral_url מהיומן הגולמי ממופה לשדה network.http.referral_url.
region principal.location.name הערך של region מהיומן הגולמי ממופה לשדה principal.location.name.
resp_code network.http.response_code הערך של resp_code מהיומן הגולמי מומר למספר שלם וממופה לשדה network.http.response_code.
resource_url network.http.referral_url הערך של resource_url מהיומן הגולמי ממופה לשדה network.http.referral_url.
ResourceType target.resource.resource_subtype הערך של ResourceType מהיומן הגולמי ממופה לשדה target.resource.resource_subtype.
response_body additional.fields הערך של response_body מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "גוף התגובה".
Role target.resource.product_object_id הערך של Role מהיומן הגולמי ממופה לשדה target.resource.product_object_id.
s3_bucket_path target.file.full_path הערך של s3_bucket_path מהיומן הגולמי ממופה לשדה target.file.full_path.
sec_result.category security_result.category הערך של sec_result.category נגזר מהלוגיקה של המנתח. אם descr מכיל את הביטוי "authentication is required", הערך הוא "AUTH_VIOLATION".
sec_result.description security_result.description הערך של sec_result.description נגזר מהלוגיקה של המנתח. הוא מוגדר לערך של cloudwatchLog אם הוא קיים.
sec_result.severity security_result.severity הערך של sec_result.severity נגזר מהלוגיקה של המנתח. הוא מוגדר על סמך הערך של severity או level.
sec_result.summary security_result.summary הערך של sec_result.summary נגזר מהלוגיקה של המנתח. הוא מוגדר לערך של log_processed.cause או errorMessage אם הוא קיים.
security_result security_result האובייקט security_result נוצר משדות שונים ומלוגיקת מנתח.
serverId additional.fields הערך של serverId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח server_id.
severity security_result.severity הערך של severity מהיומן הגולמי, שהומר לאותיות רישיות ועבר נרמול, ממופה לשדה security_result.severity.
Source principal.hostname הערך של Source מהיומן הגולמי ממופה לשדה principal.hostname.
source principal.hostname הערך של source מהיומן הגולמי ממופה לשדה principal.hostname.
SourceIP principal.ip הערך של SourceIP מהיומן הגולמי ממופה לשדה principal.ip.
src_port principal.port אם הערך של src_port הוא "80", הוא מומר למספר שלם וממופה לשדה principal.port, והערך של network.application_protocol מוגדר כ-"HTTP".
stream additional.fields הערך של stream מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "stream".
subscriptionFilters security_result.about.resource.attribute.labels לכל רכיב במערך subscriptionFilters מהיומן הגולמי, צמד מפתח/ערך מתווסף ל-security_result.about.resource.attribute.labels עם המפתח "subscriptionFilter" והערך מהמערך.
support_contact target.resource.attribute.labels הערך של support_contact מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח "Support Contact".
t_ip target.ip הערך של t_ip מהיומן הגולמי, אחרי הסרת המקפים, מנותח ככתובת IP וממופה לשדה target.ip אם הניתוח מצליח.
time metadata.event_timestamp הערך של time מהיומן הגולמי מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
timestamp metadata.event_timestamp הערך של timestamp מהיומן הגולמי מומר לחותמת זמן באמצעות פורמטים שונים וממופה לשדה metadata.event_timestamp.
tls network.tls.version הערך של tls מהיומן הגולמי ממופה לשדה network.tls.version.
transferDetails.serverId additional.fields הערך של transferDetails.serverId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח server_id.
transferDetails.sessionId network.session_id הערך של transferDetails.sessionId מהיומן הגולמי ממופה לשדה network.session_id.
transferDetails.username principal.user.user_display_name הערך של transferDetails.username מהיומן הגולמי ממופה לשדה principal.user.user_display_name.
ts metadata.event_timestamp הערך של ts מהיומן הגולמי, בשילוב עם אזור הזמן אם הוא זמין, מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
type metadata.product_event_type הערך של type מהיומן הגולמי ממופה לשדה metadata.product_event_type.
unit additional.fields הערך של unit מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "unit".
url target.url הערך של url מהיומן הגולמי ממופה לשדה target.url.
url_back_to_product metadata.url_back_to_product הערך של url_back_to_product מהיומן הגולמי ממופה לשדה metadata.url_back_to_product.
User principal.user.userid הערך של User מהיומן הגולמי ממופה לשדה principal.user.userid.
user target.user.userid, metadata.event_type, extensions.auth.mechanism אם user קיים, metadata.event_type מוגדר כ-"USER_LOGIN", ‏extensions.auth.mechanism מוגדר כ-"NETWORK" והערך של user ממופה ל-target.user.userid.
value.count additional.fields הערך של value.count מהיומן הגולמי מומר למחרוזת ומתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח count.
value.max additional.fields הערך של value.max מהיומן הגולמי מומר למחרוזת ומתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "max".
value.min additional.fields הערך של value.min מהיומן הגולמי מומר למחרוזת ומתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "min".
value.sum additional.fields הערך של value.sum מהיומן הגולמי מומר למחרוזת ומתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח "sum".
workflowId additional.fields הערך של workflowId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח workflowId.
aws_account event.idm.read_only_udm.principal.asset_id מופה מיומן השינויים
phoneNumber_country event.idm.read_only_udm.target.location.country_or_region מופה מיומן השינויים
aws_log_stream event.idm.read_only_udm.additional.fields מופה מיומן השינויים
aws_message_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
lambda_request_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
phoneNumber_countryCallingCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
phoneNumber_countryCallingCodeSource event.idm.read_only_udm.additional.fields מופה מיומן השינויים
max_memory_used event.idm.read_only_udm.additional.fields מופה מיומן השינויים
gridInquiryId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
phoneCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
dateOfBirth event.idm.read_only_udm.additional.fields מופה מיומן השינויים
gender event.idm.read_only_udm.additional.fields מופה מיומן השינויים
countryOfBirth event.idm.read_only_udm.additional.fields מופה מיומן השינויים
nationality event.idm.read_only_udm.additional.fields מופה מיומן השינויים
nationalities event.idm.read_only_udm.additional.fields מופה מיומן השינויים
postalCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
street event.idm.read_only_udm.additional.fields מופה מיומן השינויים
block event.idm.read_only_udm.additional.fields מופה מיומן השינויים
building event.idm.read_only_udm.additional.fields מופה מיומן השינויים
floor event.idm.read_only_udm.additional.fields מופה מיומן השינויים
unit event.idm.read_only_udm.additional.fields מופה מיומן השינויים
addressLine event.idm.read_only_udm.additional.fields מופה מיומן השינויים
expirationDate event.idm.read_only_udm.additional.fields מופה מיומן השינויים
annualIncome_max event.idm.read_only_udm.additional.fields מופה מיומן השינויים
annualIncome_min event.idm.read_only_udm.additional.fields מופה מיומן השינויים
savings_max event.idm.read_only_udm.additional.fields מופה מיומן השינויים
savings_min event.idm.read_only_udm.additional.fields מופה מיומן השינויים
customerAgreement event.idm.read_only_udm.additional.fields מופה מיומן השינויים
orderHandling event.idm.read_only_udm.additional.fields מופה מיומן השינויים
privacyPolicy event.idm.read_only_udm.additional.fields מופה מיומן השינויים
riskDisclosure event.idm.read_only_udm.additional.fields מופה מיומן השינויים
employmentStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
typeOfBusiness event.idm.read_only_udm.additional.fields מופה מיומן השינויים
createdAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
updatedAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
industryLabel event.idm.read_only_udm.additional.fields מופה מיומן השינויים
industryCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
occupationCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
occupationLabel event.idm.read_only_udm.additional.fields מופה מיומן השינויים
primary event.idm.read_only_udm.additional.fields מופה מיומן השינויים
expiredAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
signedAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
selectedTaxResidency event.idm.read_only_udm.additional.fields מופה מיומן השינויים
type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
diplomaOrHigher event.idm.read_only_udm.additional.fields מופה מיומן השינויים
qualifiedFinancePro event.idm.read_only_udm.additional.fields מופה מיומן השינויים
workedPast10Years event.idm.read_only_udm.additional.fields מופה מיומן השינויים
workedPast3Years event.idm.read_only_udm.additional.fields מופה מיומן השינויים
none event.idm.read_only_udm.additional.fields מופה מיומן השינויים
dataConfirmed event.idm.read_only_udm.additional.fields מופה מיומן השינויים
isDeactivated event.idm.read_only_udm.additional.fields מופה מיומן השינויים
kycStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
pepCheckStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cfd event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Billed_Duration event.idm.read_only_udm.additional.fields מופה מיומן השינויים
countryCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
additional event.idm.read_only_udm.additional.fields מופה מיומן השינויים
timestamp_iso event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
log_id event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
lambda_level event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
source_region event.idm.read_only_udm.principal.location.country_or_region מופה מיומן השינויים
awsRegion event.idm.read_only_udm.principal.location.country_or_region מופה מיומן השינויים
functionName event.idm.read_only_udm.principal.resource.name מופה מיומן השינויים
functionVersion event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
environment event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
authProvider event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
dataProvider event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
igApplicationId event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
igClientId event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
ibkrUserId event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
sourceOfFunds event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
phoneNumber_nationalNumber event.idm.read_only_udm.target.user.phone_numbers מופה מיומן השינויים
phoneNumber_number event.idm.read_only_udm.principal.user.phone_numbers מופה מיומן השינויים
phoneNumber event.idm.read_only_udm.principal.user.phone_numbers מופה מיומן השינויים
externalUserId event.idm.read_only_udm.target.user.userid מופה מיומן השינויים
report_request_id event.idm.read_only_udm.target.user.userid מופה מיומן השינויים
memory_size event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
http_verb event.idm.read_only_udm.network.http.method מופה מיומן השינויים
referral_url event.idm.read_only_udm.target.url מופה מיומן השינויים
resp_code event.idm.read_only_udm.network.http.response_code מופה מיומן השינויים
userId event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
source_account event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
email event.idm.read_only_udm.principal.user.email_addresses מופה מיומן השינויים
lastName event.idm.read_only_udm.principal.user.last_name מופה מיומן השינויים
firstName event.idm.read_only_udm.principal.user.first_name מופה מיומן השינויים
city event.idm.read_only_udm.principal.location.city מופה מיומן השינויים
nric event.idm.read_only_udm.principal.user.employee_id מופה מיומן השינויים
principalName event.idm.read_only_udm.principal.user.user_display_name מופה מיומן השינויים
Protocol event.idm.read_only_udm.network.ip_protocol מופה מיומן השינויים
Cat event.idm.read_only_udm.security_result.category_details מופה מיומן השינויים
Hostname event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname מופה מיומן השינויים
IP event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
LocalIp event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
Path event.idm.read_only_udm.principal.process.file.full_path מופה מיומן השינויים
Hash event.idm.read_only_udm.principal.process.file.md5 מופה מיומן השינויים
Pid event.idm.read_only_udm.principal.process.pid מופה מיומן השינויים
LocalPort event.idm.read_only_udm.target.port מופה מיומן השינויים
ValidSig event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Company event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ImageType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
MWName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
DriveType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Times event.idm.read_only_udm.additional.fields מופה מיומן השינויים
SocketOpFlags event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ALProtocolExpected event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ALProtocolDetected event.idm.read_only_udm.additional.fields מופה מיומן השינויים
CipherType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ConnectionState event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ProxyConnection event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ContentEncoding event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Broken event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ExeType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Prevalence event.idm.read_only_udm.additional.fields מופה מיומן השינויים
PrevLastDay event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.firewall_name event.idm.read_only_udm.intermediary.hostname מופה מיומן השינויים
logevent.message.firewall_name event.idm.read_only_udm.intermediary.asset.hostname מופה מיומן השינויים
logevent.message.availability_zone event.idm.read_only_udm.principal.location.name מופה מיומן השינויים
logevent.message.event.src_ip event.idm.read_only_udm.principal.ip מופה מיומן השינויים
logevent.message.event.src_ip event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
logevent.message.event.src_port event.idm.read_only_udm.principal.port מופה מיומן השינויים
logevent.message.event.dest_ip event.idm.read_only_udm.target.ip מופה מיומן השינויים
logevent.message.event.dest_ip event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
logevent.message.event.dest_port event.idm.read_only_udm.target.port מופה מיומן השינויים
logevent.message.event.alert.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
logevent.message.event.verdict.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
logevent.message.event.alert.signature event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.icmp_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.icmp_code event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.app_proto event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.signature_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.rev event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.severity event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
logevent.message.event.flow_id event.idm.read_only_udm.network.session_id מופה מיומן השינויים
logevent.message.event.direction event.idm.read_only_udm.network.direction מופה מיומן השינויים
logevent.message.event.alert.signature (key: Signature) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.icmp_type (key: Icmp_Type) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.icmp_code (key: Icmp_Code) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.app_proto (key: App_Proto) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.signature_id (key: Signature_ID) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.rev (key: Rev) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.pkt_src (key: Pkt_Src) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.timestamp event.idm.read_only_udm.metadata.collected_timestamp מופה מיומן השינויים
origin-role event.idm.read_only_udm.principal.user.attribute.roles מופה מיומן השינויים
action_detail event.idm.read_only_udm.security_result.description מופה מיומן השינויים
service event.idm.read_only_udm.security_result.summary מופה מיומן השינויים
application event.idm.read_only_udm.target.application מופה מיומן השינויים
host event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname מופה מיומן השינויים
url-requested event.idm.read_only_udm.target.url מופה מיומן השינויים
active-role event.idm.read_only_udm.target.user.attribute.roles מופה מיומן השינויים
client_ip event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
http-request-origin-ip event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
ip event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
realmId event.idm.read_only_udm.target.resource.product_object_id מופה מיומן השינויים
realmName event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
clientId event.idm.read_only_udm.target.application מופה מיומן השינויים
userId event.idm.read_only_udm.target.user.userid מופה מיומן השינויים
sessionId event.idm.read_only_udm.network.session_id מופה מיומן השינויים
redirect_uri event.idm.read_only_udm.target.url מופה מיומן השינויים
username event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
ipAddress event.idm.read_only_udm.principal.ip מופה מיומן השינויים
ipAddress event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
time_value_log event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
auth_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Authentication_Type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
thread_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Thread_ID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
response_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Response_Type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
consent event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Consent event.idm.read_only_udm.additional.fields מופה מיומן השינויים
code_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Code_ID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
response_mode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Response_Mode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
authSessionParentId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Auth_Session_Parent_ID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
authSessionTabId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Auth_Session_Tab_ID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
_p event.idm.read_only_udm.additional.fields מופה מיומן השינויים
raw_p_value event.idm.read_only_udm.additional.fields מופה מיומן השינויים
key_event event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Key_Event event.idm.read_only_udm.additional.fields מופה מיומן השינויים
auth_method event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
Auth_Method event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.AwsAccountId event.idm.read_only_udm.principal.asset_id מופה מיומן השינויים
finding.UpdatedAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.Title event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.FirstObservedAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Version event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Remediation event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Release event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.PackageManager event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Name event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.FixedInVersion event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Epoch event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Architecture event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.SchemaVersion event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerability.RelatedVulnerabilities event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerability.ReferenceUrls event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerability.EpssScore event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.AwsAccountName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.CompanyName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.GeneratorId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.RecordState event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Details.AwsEc2Instance.ImageId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Details.AwsEc2Instance.SubnetId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Details.AwsEc2Instance.Type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductFields.aws/inspector/FindingStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductFields.aws/inspector/inspectorScore event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductFields.aws/inspector/instanceId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductFields.aws/inspector/resources/1/resourceDetails/awsEc2InstanceDetails/platform event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.Application event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.BuildBy event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.Environment event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.FacultyName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.Lifecycle event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.Support event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.ams:rt:ams-managed event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.CreatedAt event.idm.read_only_udm.metadata.collected_timestamp מופה מיומן השינויים
finding.Description event.idm.read_only_udm.security_result.description מופה מיומן השינויים
finding.FindingProviderFields.Severity.Label event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
finding.FindingProviderFields.Severity.Normalized event.idm.read_only_udm.security_result.severity_details מופה מיומן השינויים
finding.FindingProviderFields.Types event.idm.read_only_udm.security_result.rule_name מופה מיומן השינויים
vulnerability.LastKnownExploitAt event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
vulnerability.ExploitAvailable event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
vulnerability.FixAvailable event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.LastObservedAt event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.ProcessedAt event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.ProductArn event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.Region event.idm.read_only_udm.target.location.country_or_region מופה מיומן השינויים
finding.Remediation.Recommendation.Text event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
resource.Details.AwsEc2Instance.IpV4Addresses event.idm.read_only_udm.target.ip מופה מיומן השינויים
resource.Details.AwsEc2Instance.LaunchedAt event.idm.read_only_udm.target.asset.attribute.creation_time מופה מיומן השינויים
resource.Details.AwsEc2Instance.VpcId event.idm.read_only_udm.target.asset.attribute.cloud.vpc.id מופה מיומן השינויים
finding.ProductFields.aws/inspector/ProductVersion event.idm.read_only_udm.metadata.product_version מופה מיומן השינויים
vulnerability.Cvss event.idm.read_only_udm.security_result.about.asset.vulnerabilities מופה מיומן השינויים
logevent.id event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
logevent.timestamp event.idm.read_only_udm.metadata.collected_timestamp מופה מיומן השינויים
record.owner event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
msgs.availability_zone event.idm.read_only_udm.principal.location.name מופה מיומן השינויים
logevent.message.event_data.dest_ip event.idm.read_only_udm.target.ip מופה מיומן השינויים
msgs.event.dest_ip event.idm.read_only_udm.target.ip מופה מיומן השינויים
logevent.message.event_data.dest_ip event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
logevent.message.event_data.dest_port event.idm.read_only_udm.target.port מופה מיומן השינויים
msgs.event.dest_port event.idm.read_only_udm.target.port מופה מיומן השינויים
logevent.message.event_data.src_ip event.idm.read_only_udm.principal.ip מופה מיומן השינויים
logevent.message.event_data.src_ip event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
msgs.firewall_name event.idm.read_only_udm.intermediary.hostname מופה מיומן השינויים
logevent.message.event_data.alert.rev event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event_data.alert.signature event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event_data.alert.signature_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event_data.pkt_src event.idm.read_only_udm.additional.fields מופה מיומן השינויים
msgs.event.alert.rev event.idm.read_only_udm.additional.fields מופה מיומן השינויים
msgs.event.alert.signature event.idm.read_only_udm.additional.fields מופה מיומן השינויים
msgs.event.alert.signature_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
msgs.event.pkt_src event.idm.read_only_udm.additional.fields מופה מיומן השינויים
record.messageType event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
record.logGroup event.idm.read_only_udm.security_result.about.resource.name מופה מיומן השינויים
record.logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels מופה מיומן השינויים
record.subscriptionFilters event.idm.read_only_udm.security_result.about.resource.attribute.labels מופה מיומן השינויים
logevent.message.event_data.alert.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
logevent.message.event_data.verdict.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
msgs.event.alert.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
msgs.event.verdict.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
logevent.message.event_data.alert.severity event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
msgs.event.alert.severity event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
logevent.message.event_data.direction event.idm.read_only_udm.network.direction מופה מיומן השינויים
msgs.event.direction event.idm.read_only_udm.network.direction מופה מיומן השינויים
logevent.message.event_data.proto event.idm.read_only_udm.network.ip_protocol מופה מיומן השינויים
msgs.event.proto event.idm.read_only_udm.network.ip_protocol מופה מיומן השינויים
accountID event.idm.read_only_udm.target.user.product_object_id מופה מיומן השינויים
file event.idm.read_only_udm.target.file.full_path מופה מיומן השינויים
func event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
pointsToLaunchpadArn event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
result event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.Arn event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.DataProtectionStatus event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.InheritedProperties event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.KmsKeyId event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.LogGroupClass event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.MetricFilterCount event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.RetentionInDays event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.StoredBytes event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
level event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
logGroupArn event.idm.read_only_udm.target.resource.product_object_id מופה מיומן השינויים
logGroupName event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
msg event.idm.read_only_udm.security_result.description מופה מיומן השינויים
requestID event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
time event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
owner event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
logGroup event.idm.read_only_udm.security_result.about.resource.name מופה מיומן השינויים
logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels מופה מיומן השינויים
logevent.message event.idm.read_only_udm.security_result.description מופה מיומן השינויים
act_det event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
src_ip event.idm.read_only_udm.principal.ip מופה מיומן השינויים
tar_ip event.idm.read_only_udm.target.ip מופה מיומן השינויים
tar_host event.idm.read_only_udm.target.hostname מופה מיומן השינויים
tar_port event.idm.read_only_udm.target.port מופה מיומן השינויים
rec_bytes event.idm.read_only_udm.network.received_bytes מופה מיומן השינויים
meth event.idm.read_only_udm.network.http.method מופה מיומן השינויים
subscriptionFilter event.idm.read_only_udm.security_result.about.resource.attribute.labels מופה מיומן השינויים
log_processed_control_data_sampling_interval", "log_processed_cpus_per_sock_avg", "log_processed_cpus_per_sock_max", "log_processed_cpus_per_sock_min", "flow_aggregation_result" fields, "flows_after", "flows_before", "level", "message", "sock_add_result" fields, "sock_cache_len", "sock_delta_result" fields, "sock_eviction_result" fields, "sock_nat_result" fields, "container_hash", "container_image additional.fields מופה מיומן השינויים
kubernetes_host_details principal.hostname מופה מיומן השינויים
prin_ip principal.ip מופה מיומן השינויים
kubernetes_pod_id principal.product_object_id מופה מיומן השינויים
kubernetes_pod_name principal.namespace מופה מיומן השינויים
log_processed_level sec_result.severity מופה מיומן השינויים
connectionTesterClassName principal.hostname מופה מיומן השינויים
identityToken principal.user.userid מופה מיומן השינויים
jdbcUrl target.url מופה מיומן השינויים
driverClass target.application מופה מיומן השינויים
uid metadata.product_log_id מופה מיומן השינויים
ResourceRegion target.location.country_or_region מופה מיומן השינויים
PolicyName","detail.additionalEventData.configRuleName security_result.rule_name מופה מיומן השינויים
region","detail.awsRegion principal.location.name מופה מיומן השינויים
detail.user.arn target.user.userid מופה מיומן השינויים
detail.user.sessionContext.sessionIssuer.userName target.user.user_display_name מופה מיומן השינויים
detail.user.mfaAuthenticated principal.user.attribute.labels מופה מיומן השינויים
detail.managementEvent", "detail.eventType", "detail.readOnly", "detail.eventName", "detail.additionalEventData.notificationJobType", "detail.additionalEventData.managedRuleIdentifier", "duration", "billed_duration", "memory_used additional.fields מופה מיומן השינויים
request_id target.resource.attribute.labels מופה מיומן השינויים
package event.idm.read_only_udm.principal.process.command_line מופה מיומן השינויים
session_id event.idm.read_only_udm.network.session_id מופה מיומן השינויים
network_dir event.idm.read_only_udm.network.direction מופה מיומן השינויים
port event.idm.read_only_udm.target.port מופה מיומן השינויים
digestPublicKeyFingerprint" from "additional.fields event.idm.read_only_udm.target.file.sha1 מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.