איסוף יומנים של AWS CloudWatch

גרסת כלי הניתוח: 18.0

נתמך ב:

במאמר הזה מוסבר איך להטמיע יומנים של AWS CloudWatch ב-Google Security Operations באמצעות Amazon S3.

‫AWS CloudWatch הוא שירות ניטור ותצפית שאוסף נתונים תפעוליים בצורה של יומנים, מדדים ואירועים ממשאבים ומאפליקציות של AWS. השילוב הזה משתמש ב-Amazon Data Firehose כדי להזרים נתוני יומן של CloudWatch לקטגוריית S3, ש-Google SecOps מעכלת באמצעות פיד Amazon S3 V2.

לפני שמתחילים

  • מופע של Google SecOps
  • גישה עם הרשאות מיוחדות ל-AWS Management Console עם הרשאות לניהול:
    • ‫Amazon CloudWatch Logs (קבוצות יומנים, מסנני מינוי)
    • ‫Amazon Data Firehose (מקורות נתונים)
    • ‫Amazon S3 (קטגוריות)
    • ‫AWS IAM (תפקידים, מדיניות, משתמשים)

הגדרת קטגוריה של AWS S3

  1. יוצרים קטגוריה ב-Amazon S3 לפי המדריך למשתמש בנושא יצירת קטגוריה.
  2. שומרים את השם והאזור של הקטגוריה לעיון בהמשך (לדוגמה, cwlogs-to-secops).

הגדרת תפקיד IAM ל-Amazon Data Firehose

Amazon Data Firehose דורש תפקיד IAM כדי לכתוב יומנים לקטגוריית S3.

יצירת מדיניות IAM

  1. ב-AWS Console, עוברים אל IAM > Policies > Create policy.
  2. בוחרים בכרטיסייה JSON.

  3. מדביקים את המדיניות הבאה (מחליפים את cwlogs-to-secops בשם הקטגוריה בפועל):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Delivery",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::cwlogs-to-secops",
                "arn:aws:s3:::cwlogs-to-secops/*"
            ]
        },
        {
            "Sid": "CloudWatchLogging",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/kinesisfirehose/cwlogs-to-secops:log-stream:*"
        }
    ]
}

  4. לוחצים על הבא.

  5. בשדה Policy name, מזינים FirehoseS3DeliveryPolicy.

  6. לוחצים על יצירת מדיניות.

יצירת תפקיד IAM

  1. עוברים אל IAM > Roles > Create role (ניהול הרשאות גישה > תפקידים > יצירת תפקיד).
  2. בוחרים באפשרות מדיניות אמון בהתאמה אישית.

  3. מדביקים את מדיניות ההרשאות הבאה:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "firehose.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

  4. לוחצים על הבא.

  5. מחפשים את FirehoseS3DeliveryPolicy ובוחרים בו.

  6. לוחצים על הבא.

  7. בשדה שם התפקיד, מזינים FirehoseToS3Role.

  8. לוחצים על יצירת תפקיד.

יצירת הזרם של Amazon Data Firehose

  1. פותחים את Kinesis console בכתובת https://console.aws.amazon.com/kinesis.
  2. בחלונית הניווט, בוחרים באפשרות Amazon Data Firehose.
  3. לוחצים על יצירת מקור נתונים מסוג Firehose.
  4. בקטע Choose source and destination (בחירת מקור ויעד), מציינים את ההגדרות הבאות:
    • מקור: בוחרים באפשרות העלאה ישירה.
    • יעד: בוחרים באפשרות Amazon S3.
  5. בשדה Firehose stream name, מזינים cwlogs-to-secops.

  6. בקטע Transform records (שינוי רשומות), בקטע Decompress source records from Amazon CloudWatch Logs (ביטול הדחיסה של רשומות המקור מ-Amazon CloudWatch Logs):

    1. בוחרים באפשרות הפעלת ביטול הדחיסה.
    2. לא בוחרים באפשרות הפעלת חילוץ הודעות.
    .

  7. בקטע הגדרות יעד:

    • S3 bucket: בוחרים את קטגוריית S3‏ cwlogs-to-secops.
    • תחילית של מאגר S3 (אופציונלי): מזינים cloudwatch-logs/.
    • קידומת פלט של שגיאות בקטגוריית S3 (אופציונלי): מזינים firehose-errors/.

  8. בקטע הצעות להוספת הפסקה בין פגישות:

    • שטח אחסון זמני: 5 MiB (ברירת מחדל).
    • הפסקה בין פגישות: 300 שניות (ברירת מחדל).

  9. בקטע הגדרות מתקדמות:

    • הצפנה בצד השרת: אופציונלי. מפעילים אם נדרשת הצפנה.
    • רישום שגיאות ביומן: בוחרים באפשרות הפעלה (מומלץ).
    • הרשאות: בוחרים באפשרות בחירת תפקיד IAM קיים ואז בוחרים את FirehoseToS3Role.

  10. לוחצים על יצירת מקור נתונים מסוג Firehose.

  11. מחכים עד שהסטטוס של השידור Status יהיה Active.

הגדרת תפקיד IAM ל-CloudWatch Logs

כדי לשלוח נתוני יומן לזרם Firehose, צריך להקצות תפקיד IAM ל-CloudWatch Logs.

יצירת מדיניות IAM

  1. עוברים אל IAM > מדיניות > יצירת מדיניות.
  2. בוחרים בכרטיסייה JSON.

  3. מדביקים את המדיניות הבאה (מחליפים את <region> ואת <account-id> באזור ובמזהה החשבון שלכם ב-AWS):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "firehose:PutRecord",
                "firehose:PutRecordBatch"
            ],
            "Resource": "arn:aws:firehose:<region>:<account-id>:deliverystream/cwlogs-to-secops"
        }
    ]
}

  4. לוחצים על הבא.

  5. בשדה Policy name, מזינים CWLtoFirehoseWritePolicy.

  6. לוחצים על יצירת מדיניות.

יצירת תפקיד IAM

  1. עוברים אל IAM > Roles > Create role (ניהול הרשאות גישה > תפקידים > יצירת תפקיד).
  2. בוחרים באפשרות מדיניות אמון בהתאמה אישית.

  3. מדביקים את מדיניות ההרשאות הבאה (מחליפים את <region> באזור AWS שלכם):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.<region>.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

  4. לוחצים על הבא.

  5. מחפשים את CWLtoFirehoseWritePolicy ובוחרים בו.

  6. לוחצים על הבא.

  7. בשדה שם התפקיד, מזינים CWLtoFirehoseRole.

  8. לוחצים על יצירת תפקיד.

יצירת מסנן מינוי ב-CloudWatch Logs

  1. ב-AWS Console, עוברים אל CloudWatch > Logs > Log groups.
  2. בוחרים את קבוצת היומנים של היעד שאליה רוצים להעביר סטרימינג אל Google SecOps.
  3. לוחצים על הכרטיסייה Subscription filters (מסנני מינויים).
  4. לוחצים על יצירה > יצירת מסנן מינוי ל-Amazon Data Firehose.
  5. מספקים את פרטי ההגדרה הבאים:
    • יעד: בוחרים את מקור הנתונים של Firehose cwlogs-to-secops.
    • Grant permission (הענקת הרשאה): בוחרים את התפקיד CWLtoFirehoseRole.
    • שם המסנן של המינוי: מזינים שם תיאורי (לדוגמה, secops-all-events).
    • פורמט יומן: בוחרים באפשרות אחר.
    • תבנית של מסנן מינויים: משאירים ריק כדי לשלוח את כל האירועים, או מזינים תבנית של מסנן כדי לשלוח רק אירועים ספציפיים.

  6. לוחצים על התחלת השידור.

הגדרת משתמש IAM ל-Google SecOps

ל-Google SecOps דרוש משתמש IAM עם גישה ל-S3 bucket כדי להטמיע את היומנים שנמסרו.

  1. יוצרים משתמש לפי מדריך המשתמש הזה: יצירת משתמש IAM.
  2. בוחרים את המשתמש שנוצר.
  3. לוחצים על הכרטיסייה פרטי כניסה לאבטחה.
  4. בקטע מפתחות גישה, לוחצים על יצירת מפתח גישה.
  5. בוחרים באפשרות שירות של צד שלישי בתור תרחיש שימוש.
  6. לוחצים על הבא.
  7. אופציונלי: מוסיפים תג תיאור.
  8. לוחצים על Create access key (יצירת מפתח גישה).
  9. לוחצים על הורדת קובץ CSV כדי לשמור את מפתח הגישה ואת מפתח הגישה הסודי לעיון עתידי.
  10. לוחצים על סיום.
  11. לוחצים על הכרטיסייה הרשאות.
  12. בקטע Permissions policies, לוחצים על Add permissions.
  13. לוחצים על הוספת הרשאות.
  14. בוחרים באפשרות צירוף מדיניות ישירות.
  15. מחפשים את המדיניות AmazonS3FullAccess.
  16. בוחרים את המדיניות.
  17. לוחצים על הבא.
  18. לוחצים על הוספת הרשאות.

הגדרת פיד ב-Google SecOps להטמעה של יומני AWS CloudWatch

  1. עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
  2. לוחצים על הוספת פיד חדש.
  3. בדף הבא, לוחצים על הגדרת פיד יחיד.
  4. מזינים שם ייחודי בשם הפיד.
  5. בוחרים באפשרות Amazon S3 V2 בתור סוג המקור.
  6. בוחרים באפשרות AWS CloudWatch כסוג היומן.
  7. לוחצים על הבא ואז על שליחה.
  8. מציינים ערכים בשדות הבאים:
    • S3 URI: s3://cwlogs-to-secops/cloudwatch-logs/
    • אפשרות למחיקת מקור: בוחרים את אפשרות המחיקה הרצויה.
    • הגיל המקסימלי של הקובץ: כולל קבצים ששונו במספר הימים האחרון (ברירת המחדל היא 180 ימים).
    • מזהה מפתח הגישה: מפתח הגישה של המשתמש עם גישה לקטגוריית S3.
    • מפתח גישה סודי: מפתח סודי של משתמש עם גישה לקטגוריית S3.
    • מרחב השמות של הנכס: מרחב השמות של הנכס.
    • תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה.
  9. לוחצים על הבא ואז על שליחה.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM היגיון
account principal.user.userid הערך של account מיומן הגולמי ממופה לשדה principal.user.userid.
account_id principal.user.userid הערך של account_id מיומן הגולמי ממופה לשדה principal.user.userid.
AlertId metadata.product_log_id הערך של AlertId מיומן הגולמי ממופה לשדה metadata.product_log_id.
arrivalTimestamp metadata.event_timestamp הערך של arrivalTimestamp מיומן הגולמי מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
attemptsMade additional.fields הערך של attemptsMade מהיומן הגולמי מומר למחרוזת ומוסף כצמד מפתח/ערך ל-additional.fields עם המפתח 'Attempts Made'.
awsAccountId principal.asset_id הערך של awsAccountId מיומן הגולמי מתווסף לפני המחרוזת 'מזהה חשבון AWS: ' וממופה לשדה principal.asset_id.
billed_duration additional.fields הערך של billed_duration מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח billed_duration.
BytesIn network.received_bytes הערך של BytesIn מיומן הגולמי מומר למספר שלם לא חתום וממופה לשדה network.received_bytes.
cipher network.tls.cipher הערך של cipher מיומן הגולמי ממופה לשדה network.tls.cipher.
Ciphers network.tls.client.supported_ciphers הערך של Ciphers מיומן הגולמי מחולק באמצעות פסיקים, וכל ערך מתווסף למערך network.tls.client.supported_ciphers.
cloudwatchLog security_result.description הערך של cloudwatchLog מיומן הגולמי ממופה לשדה security_result.description.
CloudAccountId metadata.product_deployment_id הערך של CloudAccountId מיומן הגולמי ממופה לשדה metadata.product_deployment_id.
CloudType target.resource.attribute.cloud.environment הערך של CloudType מיומן הגולמי קובע את הערך של target.resource.attribute.cloud.environment. אם הערך של CloudType הוא gcp, הערך הוא GOOGLE_CLOUD_PLATFORM. אם CloudType הוא aws, הערך הוא AMAZON_WEB_SERVICES. אם הערך של CloudType הוא azure, הערך הוא MICROSOFT_AZURE.
Context.Execution.Id target.resource.attribute.labels הערך של Context.Execution.Id מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-target.resource.attribute.labels עם המפתח Context Id.
Context.Execution.Name target.resource.attribute.labels הערך של Context.Execution.Name מיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח 'שם ההקשר'.
Context.Execution.RoleArn target.resource.product_object_id הערך של Context.Execution.RoleArn מיומן הגולמי ממופה לשדה target.resource.product_object_id.
descr metadata.description הערך של descr מיומן הגולמי, אחרי הסרת רווחים לבנים מיותרים, ממופה לשדה metadata.description אלא אם הוא '-'. אם descr ריק, המערכת משתמשת בערך של log במקום זאת.
destination.name target.location.country_or_region הערך של destination.name מיומן הגולמי ממופה לשדה target.location.country_or_region.
destination.properties.prefix target.resource.attribute.labels הערך של destination.properties.prefix מיומן הגולמי מתווסף כצמד מפתח/ערך ל-target.resource.attribute.labels עם המפתח Destination properties prefix (קידומת של מאפייני יעד).
detail.additionalEventData.configRuleArn security_result.rule_id הערך של detail.additionalEventData.configRuleArn מיומן הגולמי ממופה לשדה security_result.rule_id.
detail.additionalEventData.configRuleName security_result.rule_name הערך של detail.additionalEventData.configRuleName מיומן הגולמי ממופה לשדה security_result.rule_name.
detail.additionalEventData.managedRuleIdentifier additional.fields הערך של detail.additionalEventData.managedRuleIdentifier מיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח managedRuleIdentifier.
detail.additionalEventData.notificationJobType additional.fields הערך של detail.additionalEventData.notificationJobType מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח notificationJobType.
detail.awsAccountId principal.asset_id הערך של detail.awsAccountId מיומן הגולמי מתווסף עם 'מזהה חשבון AWS: ' וממופה לשדה principal.asset_id.
detail.awsRegion principal.location.name הערך של detail.awsRegion מיומן הגולמי ממופה לשדה principal.location.name.
detail.configRuleArn security_result.rule_id הערך של detail.configRuleArn מיומן הגולמי ממופה לשדה security_result.rule_id.
detail.configRuleName security_result.rule_name הערך של detail.configRuleName מיומן הגולמי ממופה לשדה security_result.rule_name.
detail.configurationItem.awsAccountId principal.user.userid הערך של detail.configurationItem.awsAccountId מיומן הגולמי ממופה לשדה principal.user.userid.
detail.configurationItem.awsRegion target.location.country_or_region הערך של detail.configurationItem.awsRegion מיומן הגולמי ממופה לשדה target.location.country_or_region.
detail.configurationItem.configuration.complianceType security_result.summary הערך של detail.configurationItem.configuration.complianceType מיומן הגולמי ממופה לשדה security_result.summary.
detail.configurationItem.configuration.targetResourceId target.resource.attribute.labels הערך של detail.configurationItem.configuration.targetResourceId מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח configurationItem configuration targetResourceId.
detail.configurationItem.configuration.targetResourceType target.resource.attribute.labels הערך של detail.configurationItem.configuration.targetResourceType מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח configurationItem configuration targetResourceType.
detail.configurationItem.configurationItemCaptureTime _target.asset.attribute.creation_time הערך של detail.configurationItem.configurationItemCaptureTime מיומן הגולמי מומר לחותמת זמן וממופה לשדה _target.asset.attribute.creation_time.
detail.configurationItem.configurationItemStatus target.resource.attribute.labels הערך של detail.configurationItem.configurationItemStatus מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח 'configurationItem configurationItemStatus'.
detail.configurationItem.configurationStateId target.resource.attribute.labels הערך של detail.configurationItem.configurationStateId מיומן הגולמי מומר למחרוזת ומוסף כצמד מפתח/ערך ל-target.resource.attribute.labels עם המפתח configurationItem configurationStateId.
detail.configurationItem.resourceId target.resource.id הערך של detail.configurationItem.resourceId מיומן הגולמי ממופה לשדה target.resource.id.
detail.configurationItem.resourceType target.resource.resource_subtype הערך של detail.configurationItem.resourceType מיומן הגולמי ממופה לשדה target.resource.resource_subtype.
detail.configurationItemDiff.changedProperties.Configuration.configRuleList.1.updatedValue.configRuleArn security_result.rule_id הערך של detail.configurationItemDiff.changedProperties.Configuration.configRuleList.1.updatedValue.configRuleArn מיומן הגולמי ממופה לשדה security_result.rule_id.
detail.eventCategory security_result.category_details הערך של detail.eventCategory מיומן הגולמי ממופה לשדה security_result.category_details.
detail.eventID metadata.product_log_id הערך של detail.eventID מיומן הגולמי ממופה לשדה metadata.product_log_id.
detail.eventName additional.fields הערך של detail.eventName מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח Event Name (שם האירוע).
detail.eventSource target.application הערך של detail.eventSource מיומן הגולמי ממופה לשדה target.application.
detail.eventType additional.fields הערך של detail.eventType מיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח Event Type.
detail.eventVersion metadata.product_version הערך של detail.eventVersion מיומן הגולמי ממופה לשדה metadata.product_version.
detail.managementEvent additional.fields הערך של detail.managementEvent מיומן הגולמי מומר למחרוזת ומוסף כצמד מפתח/ערך ל-additional.fields עם המפתח 'detail managementEvent'.
detail.messageType target.resource.attribute.labels הערך של detail.messageType מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח 'סוג ההודעה'.
detail.newEvaluationResult.complianceType security_result.summary הערך של detail.newEvaluationResult.complianceType מיומן הגולמי ממופה לשדה security_result.summary.
detail.newEvaluationResult.configRuleInvokedTime additional.fields הערך של detail.newEvaluationResult.configRuleInvokedTime מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח newEvaluationResult_configRuleInvokedTime.
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName additional.fields הערך של detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח newEvaluationResult_configRuleName.
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId additional.fields הערך של detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח newEvaluationResult_resourceId.
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType additional.fields הערך של detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType מיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח newEvaluationResult_resourceType.
detail.newEvaluationResult.resultRecordedTime additional.fields הערך של detail.newEvaluationResult.resultRecordedTime מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח newEvaluationResult_resultRecordedTime.
detail.oldEvaluationResult.configRuleInvokedTime additional.fields הערך של detail.oldEvaluationResult.configRuleInvokedTime מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח oldEvaluationResult_configRuleInvokedTime.
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName additional.fields הערך של detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח oldEvaluationResult_configRuleName.
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId additional.fields הערך של detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח oldEvaluationResult_resourceId.
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType additional.fields הערך של detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח oldEvaluationResult_resourceType.
detail.oldEvaluationResult.resultRecordedTime additional.fields הערך של detail.oldEvaluationResult.resultRecordedTime מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח oldEvaluationResult_resultRecordedTime.
detail.readOnly additional.fields הערך של detail.readOnly מהיומן הגולמי מומר למחרוזת ומוסף כצמד מפתח/ערך ל-additional.fields עם המפתח 'detail readOnly'.
detail.recipientAccountId target.resource.attribute.labels הערך של detail.recipientAccountId מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח 'מזהה חשבון הנמען'.
detail.recordVersion metadata.product_version הערך של detail.recordVersion מיומן הגולמי ממופה לשדה metadata.product_version.
detail.requestID target.resource.attribute.labels הערך של detail.requestID מיומן הגולמי מתווסף כצמד מפתח/ערך ל-target.resource.attribute.labels עם המפתח Detail Request ID.
detail.resourceType target.resource.resource_subtype הערך של detail.resourceType מיומן הגולמי ממופה לשדה target.resource.resource_subtype.
detail.s3Bucket about.resource.name הערך של detail.s3Bucket מיומן הגולמי ממופה לשדה about.resource.name.
detail.s3ObjectKey target.resource.attribute.labels הערך של detail.s3ObjectKey מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח s3ObjectKey.
detail.userAgent network.http.user_agent הערך של detail.userAgent מיומן הגולמי ממופה לשדה network.http.user_agent.
detail.userIdentity.accessKeyId target.user.userid הערך של detail.userIdentity.accessKeyId מיומן הגולמי ממופה לשדה target.user.userid.
detail.userIdentity.accountId metadata.product_deployment_id הערך של detail.userIdentity.accountId מיומן הגולמי ממופה לשדה metadata.product_deployment_id.
detail.userIdentity.arn target.user.userid הערך של detail.userIdentity.arn מיומן הגולמי ממופה לשדה target.user.userid.
detail.userIdentity.principalId principal.user.product_object_id הערך של detail.userIdentity.principalId מיומן הגולמי ממופה לשדה principal.user.product_object_id.
detail.userIdentity.sessionContext.attributes.mfaAuthenticated principal.user.attribute.labels הערך של detail.userIdentity.sessionContext.attributes.mfaAuthenticated מהיומן הגולמי מתווסף כצמד מפתח/ערך אל principal.user.attribute.labels עם המפתח mfaAuthenticated.
detail.userIdentity.sessionContext.sessionIssuer.userName target.user.user_display_name הערך של detail.userIdentity.sessionContext.sessionIssuer.userName מיומן הגולמי ממופה לשדה target.user.user_display_name.
detail.userIdentity.type principal.resource.type הערך של detail.userIdentity.type מיומן הגולמי ממופה לשדה principal.resource.type.
detail-type metadata.product_event_type הערך של detail-type מיומן הגולמי ממופה לשדה metadata.product_event_type.
device principal.asset.product_object_id הערך של device מיומן הגולמי ממופה לשדה principal.asset.product_object_id.
digestPublicKeyFingerprint target.file.sha1 הערך של digestPublicKeyFingerprint מיומן הגולמי ממופה לשדה target.file.sha1.
digestS3Bucket principal.resource.name הערך של digestS3Bucket מיומן הגולמי ממופה לשדה principal.resource.name.
digestS3Object principal.asset.asset_id הערך של digestS3Object מיומן הגולמי מתווסף עם 'S3 Object: ' ומופה לשדה principal.asset.asset_id.
digestSignatureAlgorithm network.tls.cipher הערך של digestSignatureAlgorithm מיומן הגולמי ממופה לשדה network.tls.cipher.
digestStartTime metadata.event_timestamp הערך של digestStartTime מיומן הגולמי מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
dimensions.VolumeId additional.fields הערך של dimensions.VolumeId מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח VolumeId.
duration additional.fields הערך של duration מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח 'משך'.
errorCode security_result.rule_name הערך של errorCode מיומן הגולמי ממופה לשדה security_result.rule_name.
errorMessage security_result.summary הערך של errorMessage מיומן הגולמי ממופה לשדה security_result.summary.
executionId principal.process.pid הערך של executionId מיומן הגולמי ממופה לשדה principal.process.pid.
host principal.hostname, principal.ip הערך של host מהיומן הגולמי, עם מקפים שהוחלפו בנקודות, מנותח ככתובת IP וממופה לשדה principal.ip אם הפעולה מצליחה. אחרת, הוא ממופה לשדה principal.hostname.
http_verb network.http.method הערך של http_verb מיומן הגולמי מומר לאותיות רישיות וממופה לשדה network.http.method.
kubernetes.container_hash additional.fields הערך של kubernetes.container_hash מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח container_hash.
kubernetes.container_image additional.fields הערך של kubernetes.container_image מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח container_image.
kubernetes.container_name additional.fields הערך של kubernetes.container_name מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח container_name.
kubernetes.docker_id principal.asset_id הערך של kubernetes.docker_id מיומן הגולמי מתווסף עם הקידומת id:‎ וממופה לשדה principal.asset_id.
kubernetes.host principal.hostname, principal.ip הערך של kubernetes.host מהיומן הגולמי, עם מקפים שהוחלפו בנקודות, מנותח ככתובת IP וממופה לשדה principal.ip אם הפעולה מצליחה. אחרת, הוא ממופה לשדה principal.hostname.
kubernetes.namespace principal.namespace הערך של kubernetes.namespace מיומן הגולמי ממופה לשדה principal.namespace.
kubernetes.namespace_name principal.namespace הערך של kubernetes.namespace_name מיומן הגולמי ממופה לשדה principal.namespace.
kubernetes.pod_id principal.asset.asset_id הערך של kubernetes.pod_id מיומן הגולמי מתווסף לפני המחרוזת pod_id: וממופה לשדה principal.asset.asset_id.
kubernetes.pod_name additional.fields הערך של kubernetes.pod_name מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח pod name.
lambdaArn principal.hostname הערך של lambdaArn מיומן הגולמי ממופה לשדה principal.hostname.
level security_result.severity הערך של level מיומן הגולמי קובע את הערך של security_result.severity. אם הערך של level הוא Info, הערך הוא INFORMATIONAL. אם הערך של level הוא 'Error', הערך הוא 'ERROR'. אם level הוא 'אזהרה', הערך הוא 'בינוני'.
log metadata.description הערך של log מיומן הגולמי ממופה לשדה metadata.description אם descr ריק.
logFiles about לכל רכיב במערך logFiles מיומן הגולמי, נוצר אובייקט about עם file.full_path שמוגדר ל-s3Object, asset.hostname שמוגדר ל-s3Bucket ו-file.sha256 שמוגדר ל-hashValue.
log_processed.cause security_result.summary הערך של log_processed.cause מיומן הגולמי ממופה לשדה security_result.summary.
log_processed.ids intermediary.hostname לכל רכיב במערך log_processed.ids מיומן הגולמי, נוצר אובייקט intermediary עם הערך של הרכיב שמוגדר כ-hostname.
log_processed.level security_result.severity הערך של log_processed.level מיומן הגולמי ממופה לשדה security_result.severity.
log_processed.msg metadata.description הערך של log_processed.msg מיומן הגולמי ממופה לשדה metadata.description.
log_processed.ts metadata.event_timestamp הערך של log_processed.ts מיומן הגולמי מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
log_type metadata.log_type הערך של log_type מיומן הגולמי ממופה לשדה metadata.log_type. זהו שדה בהתאמה אישית שנוסף להקשר.
logevent.message security_result.description הערך של logevent.message מיומן הגולמי ממופה לשדה security_result.description. הוא גם מנותח באמצעות grok כדי לחלץ שדות נוספים.
logGroup security_result.about.resource.name הערך של logGroup מיומן הגולמי ממופה לשדה security_result.about.resource.name.
logStream security_result.about.resource.attribute.labels הערך של logStream מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-security_result.about.resource.attribute.labels עם המפתח logStream.
memory_used additional.fields הערך של memory_used מיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח memory_used.
metric_name additional.fields הערך של metric_name מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח metric_name.
metric_stream_name additional.fields הערך של metric_stream_name מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח metric_stream_name.
namespace principal.namespace הערך של namespace מיומן הגולמי ממופה לשדה principal.namespace.
owner principal.user.userid הערך של owner מיומן הגולמי ממופה לשדה principal.user.userid.
parameters additional.fields הערך של parameters מיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח Parameters.
Path principal.process.file.full_path הערך של Path מיומן הגולמי ממופה לשדה principal.process.file.full_path.
pid principal.process.pid הערך של pid מיומן הגולמי ממופה לשדה principal.process.pid.
PolicyName security_result.rule_name הערך של PolicyName מיומן הגולמי ממופה לשדה security_result.rule_name.
prin_host principal.hostname הערך של prin_host מיומן הגולמי ממופה לשדה principal.hostname.
principal_hostname principal.hostname הערך של principal_hostname מיומן הגולמי ממופה לשדה principal.hostname.
process principal.application הערך של process מיומן הגולמי ממופה לשדה principal.application.
rawData additional.fields הערך של rawData מיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח Raw Data.
Recommendation security_result.detection_fields הערך של Recommendation מיומן הגולמי מתווסף כצמד מפתח/ערך אל security_result.detection_fields עם המפתח 'המלצה'.
referral_url network.http.referral_url הערך של referral_url מיומן הגולמי ממופה לשדה network.http.referral_url.
region principal.location.name הערך של region מיומן הגולמי ממופה לשדה principal.location.name.
resp_code network.http.response_code הערך של resp_code מיומן הגולמי מומר למספר שלם וממופה לשדה network.http.response_code.
resource_url network.http.referral_url הערך של resource_url מיומן הגולמי ממופה לשדה network.http.referral_url.
ResourceType target.resource.resource_subtype הערך של ResourceType מיומן הגולמי ממופה לשדה target.resource.resource_subtype.
response_body additional.fields הערך של response_body מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח Response body.
Role target.resource.product_object_id הערך של Role מיומן הגולמי ממופה לשדה target.resource.product_object_id.
s3_bucket_path target.file.full_path הערך של s3_bucket_path מיומן הגולמי ממופה לשדה target.file.full_path.
sec_result.category security_result.category הערך של sec_result.category נגזר מהלוגיקה של מנתח התוכן. אם descr מכיל את המחרוזת 'נדרש אימות', הערך הוא AUTH_VIOLATION.
sec_result.description security_result.description הערך של sec_result.description נגזר מהלוגיקה של מנתח התוכן. הערך שלו מוגדר לערך של cloudwatchLog אם הוא קיים.
sec_result.severity security_result.severity הערך של sec_result.severity נגזר מהלוגיקה של מנתח התוכן. הערך מוגדר על סמך הערך של severity או level.
sec_result.summary security_result.summary הערך של sec_result.summary נגזר מהלוגיקה של מנתח התוכן. אם הפרמטר קיים, הערך שלו הוא log_processed.cause או errorMessage.
security_result security_result אובייקט security_result בנוי משדות שונים ומלוגיקה של מנתח.
serverId additional.fields הערך של serverId מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח server_id.
severity security_result.severity הערך של severity מיומן הגולמי, אחרי המרה לאותיות רישיות ונרמול, ממופה לשדה security_result.severity.
Source principal.hostname הערך של Source מיומן הגולמי ממופה לשדה principal.hostname.
source principal.hostname הערך של source מיומן הגולמי ממופה לשדה principal.hostname.
SourceIP principal.ip הערך של SourceIP מיומן הגולמי ממופה לשדה principal.ip.
src_port principal.port אם הערך של src_port הוא 80, הוא מומר למספר שלם וממופה לשדה principal.port, והערך של network.application_protocol מוגדר כ-HTTP.
stream additional.fields הערך של stream מהיומן הגולמי מתווסף כצמד מפתח/ערך ל-additional.fields עם המפתח stream.
subscriptionFilters security_result.about.resource.attribute.labels לכל רכיב במערך subscriptionFilters מיומן הגולמי, מתווסף צמד מפתח/ערך למערך security_result.about.resource.attribute.labels עם המפתח subscriptionFilter והערך מהמערך.
support_contact target.resource.attribute.labels הערך של support_contact מהיומן הגולמי מתווסף כצמד מפתח/ערך אל target.resource.attribute.labels עם המפתח Support Contact.
t_ip target.ip הערך של t_ip מיומן הגולמי, אחרי הסרת המקפים, מנותח ככתובת IP וממופה לשדה target.ip אם הפעולה מצליחה.
time metadata.event_timestamp הערך של time מיומן הגולמי מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
timestamp metadata.event_timestamp הערך של timestamp מיומן הגולמי מומר לחותמת זמן באמצעות פורמטים שונים וממופה לשדה metadata.event_timestamp.
tls network.tls.version הערך של tls מיומן הגולמי ממופה לשדה network.tls.version.
transferDetails.serverId additional.fields הערך של transferDetails.serverId מיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח server_id.
transferDetails.sessionId network.session_id הערך של transferDetails.sessionId מיומן הגולמי ממופה לשדה network.session_id.
transferDetails.username principal.user.user_display_name הערך של transferDetails.username מיומן הגולמי ממופה לשדה principal.user.user_display_name.
ts metadata.event_timestamp הערך של ts מיומן הגולמי, בשילוב עם אזור הזמן אם הוא זמין, מומר לחותמת זמן וממופה לשדה metadata.event_timestamp.
type metadata.product_event_type הערך של type מיומן הגולמי ממופה לשדה metadata.product_event_type.
unit additional.fields הערך של unit מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח unit.
url target.url הערך של url מיומן הגולמי ממופה לשדה target.url.
url_back_to_product metadata.url_back_to_product הערך של url_back_to_product מיומן הגולמי ממופה לשדה metadata.url_back_to_product.
User principal.user.userid הערך של User מיומן הגולמי ממופה לשדה principal.user.userid.
user target.user.userid, metadata.event_type, extensions.auth.mechanism אם הפרמטר user קיים, הפרמטר metadata.event_type מוגדר כ-USER_LOGIN, הפרמטר extensions.auth.mechanism מוגדר כ-NETWORK והערך של הפרמטר user ממופה לפרמטר target.user.userid.
value.count additional.fields הערך של value.count מהיומן הגולמי מומר למחרוזת ומוסף כצמד מפתח/ערך ל-additional.fields עם המפתח count.
value.max additional.fields הערך של value.max מיומן הגולמי מומר למחרוזת ומוסף כצמד מפתח/ערך ל-additional.fields עם המפתח max.
value.min additional.fields הערך של value.min מיומן הגולמי מומר למחרוזת ומוסף כצמד מפתח/ערך ל-additional.fields עם המפתח min.
value.sum additional.fields הערך של value.sum מיומן הגולמי מומר למחרוזת ומוסף כצמד מפתח/ערך ל-additional.fields עם המפתח 'sum'.
workflowId additional.fields הערך של workflowId מהיומן הגולמי מתווסף כצמד מפתח/ערך אל additional.fields עם המפתח workflowId.
aws_account event.idm.read_only_udm.principal.asset_id מופה מיומן השינויים
phoneNumber_country event.idm.read_only_udm.target.location.country_or_region מופה מיומן השינויים
aws_log_stream event.idm.read_only_udm.additional.fields מופה מיומן השינויים
aws_message_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
lambda_request_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
phoneNumber_countryCallingCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
phoneNumber_countryCallingCodeSource event.idm.read_only_udm.additional.fields מופה מיומן השינויים
max_memory_used event.idm.read_only_udm.additional.fields מופה מיומן השינויים
gridInquiryId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
phoneCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
dateOfBirth event.idm.read_only_udm.additional.fields מופה מיומן השינויים
gender event.idm.read_only_udm.additional.fields מופה מיומן השינויים
countryOfBirth event.idm.read_only_udm.additional.fields מופה מיומן השינויים
nationality event.idm.read_only_udm.additional.fields מופה מיומן השינויים
nationalities event.idm.read_only_udm.additional.fields מופה מיומן השינויים
postalCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
street event.idm.read_only_udm.additional.fields מופה מיומן השינויים
block event.idm.read_only_udm.additional.fields מופה מיומן השינויים
building event.idm.read_only_udm.additional.fields מופה מיומן השינויים
floor event.idm.read_only_udm.additional.fields מופה מיומן השינויים
unit event.idm.read_only_udm.additional.fields מופה מיומן השינויים
addressLine event.idm.read_only_udm.additional.fields מופה מיומן השינויים
expirationDate event.idm.read_only_udm.additional.fields מופה מיומן השינויים
annualIncome_max event.idm.read_only_udm.additional.fields מופה מיומן השינויים
annualIncome_min event.idm.read_only_udm.additional.fields מופה מיומן השינויים
savings_max event.idm.read_only_udm.additional.fields מופה מיומן השינויים
savings_min event.idm.read_only_udm.additional.fields מופה מיומן השינויים
customerAgreement event.idm.read_only_udm.additional.fields מופה מיומן השינויים
orderHandling event.idm.read_only_udm.additional.fields מופה מיומן השינויים
privacyPolicy event.idm.read_only_udm.additional.fields מופה מיומן השינויים
riskDisclosure event.idm.read_only_udm.additional.fields מופה מיומן השינויים
employmentStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
typeOfBusiness event.idm.read_only_udm.additional.fields מופה מיומן השינויים
createdAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
updatedAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
industryLabel event.idm.read_only_udm.additional.fields מופה מיומן השינויים
industryCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
occupationCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
occupationLabel event.idm.read_only_udm.additional.fields מופה מיומן השינויים
primary event.idm.read_only_udm.additional.fields מופה מיומן השינויים
expiredAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
signedAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
selectedTaxResidency event.idm.read_only_udm.additional.fields מופה מיומן השינויים
type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
diplomaOrHigher event.idm.read_only_udm.additional.fields מופה מיומן השינויים
qualifiedFinancePro event.idm.read_only_udm.additional.fields מופה מיומן השינויים
workedPast10Years event.idm.read_only_udm.additional.fields מופה מיומן השינויים
workedPast3Years event.idm.read_only_udm.additional.fields מופה מיומן השינויים
none event.idm.read_only_udm.additional.fields מופה מיומן השינויים
dataConfirmed event.idm.read_only_udm.additional.fields מופה מיומן השינויים
isDeactivated event.idm.read_only_udm.additional.fields מופה מיומן השינויים
kycStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
pepCheckStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
cfd event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Billed_Duration event.idm.read_only_udm.additional.fields מופה מיומן השינויים
countryCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
additional event.idm.read_only_udm.additional.fields מופה מיומן השינויים
timestamp_iso event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
log_id event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
lambda_level event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
source_region event.idm.read_only_udm.principal.location.country_or_region מופה מיומן השינויים
awsRegion event.idm.read_only_udm.principal.location.country_or_region מופה מיומן השינויים
functionName event.idm.read_only_udm.principal.resource.name מופה מיומן השינויים
functionVersion event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
environment event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
authProvider event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
dataProvider event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
igApplicationId event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
igClientId event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
ibkrUserId event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
sourceOfFunds event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
phoneNumber_nationalNumber event.idm.read_only_udm.target.user.phone_numbers מופה מיומן השינויים
phoneNumber_number event.idm.read_only_udm.principal.user.phone_numbers מופה מיומן השינויים
phoneNumber event.idm.read_only_udm.principal.user.phone_numbers מופה מיומן השינויים
externalUserId event.idm.read_only_udm.target.user.userid מופה מיומן השינויים
report_request_id event.idm.read_only_udm.target.user.userid מופה מיומן השינויים
memory_size event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
http_verb event.idm.read_only_udm.network.http.method מופה מיומן השינויים
referral_url event.idm.read_only_udm.target.url מופה מיומן השינויים
resp_code event.idm.read_only_udm.network.http.response_code מופה מיומן השינויים
userId event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
source_account event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
email event.idm.read_only_udm.principal.user.email_addresses מופה מיומן השינויים
lastName event.idm.read_only_udm.principal.user.last_name מופה מיומן השינויים
firstName event.idm.read_only_udm.principal.user.first_name מופה מיומן השינויים
city event.idm.read_only_udm.principal.location.city מופה מיומן השינויים
nric event.idm.read_only_udm.principal.user.employee_id מופה מיומן השינויים
principalName event.idm.read_only_udm.principal.user.user_display_name מופה מיומן השינויים
Protocol event.idm.read_only_udm.network.ip_protocol מופה מיומן השינויים
Cat event.idm.read_only_udm.security_result.category_details מופה מיומן השינויים
Hostname event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname מופה מיומן השינויים
IP event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
LocalIp event.idm.read_only_udm.target.ip וגם event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
Path event.idm.read_only_udm.principal.process.file.full_path מופה מיומן השינויים
Hash event.idm.read_only_udm.principal.process.file.md5 מופה מיומן השינויים
Pid event.idm.read_only_udm.principal.process.pid מופה מיומן השינויים
LocalPort event.idm.read_only_udm.target.port מופה מיומן השינויים
ValidSig event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Company event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ImageType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
MWName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
DriveType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Times event.idm.read_only_udm.additional.fields מופה מיומן השינויים
SocketOpFlags event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ALProtocolExpected event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ALProtocolDetected event.idm.read_only_udm.additional.fields מופה מיומן השינויים
CipherType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ConnectionState event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ProxyConnection event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ContentEncoding event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Broken event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ExeType event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Prevalence event.idm.read_only_udm.additional.fields מופה מיומן השינויים
PrevLastDay event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.firewall_name event.idm.read_only_udm.intermediary.hostname מופה מיומן השינויים
logevent.message.firewall_name event.idm.read_only_udm.intermediary.asset.hostname מופה מיומן השינויים
logevent.message.availability_zone event.idm.read_only_udm.principal.location.name מופה מיומן השינויים
logevent.message.event.src_ip event.idm.read_only_udm.principal.ip מופה מיומן השינויים
logevent.message.event.src_ip event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
logevent.message.event.src_port event.idm.read_only_udm.principal.port מופה מיומן השינויים
logevent.message.event.dest_ip event.idm.read_only_udm.target.ip מופה מיומן השינויים
logevent.message.event.dest_ip event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
logevent.message.event.dest_port event.idm.read_only_udm.target.port מופה מיומן השינויים
logevent.message.event.alert.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
logevent.message.event.verdict.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
logevent.message.event.alert.signature event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.icmp_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.icmp_code event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.app_proto event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.signature_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.rev event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.severity event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
logevent.message.event.flow_id event.idm.read_only_udm.network.session_id מופה מיומן השינויים
logevent.message.event.direction event.idm.read_only_udm.network.direction מופה מיומן השינויים
logevent.message.event.alert.signature (key: Signature) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.icmp_type (key: Icmp_Type) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.icmp_code (key: Icmp_Code) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.app_proto (key: App_Proto) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.signature_id (key: Signature_ID) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.alert.rev (key: Rev) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.pkt_src (key: Pkt_Src) event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event.timestamp event.idm.read_only_udm.metadata.collected_timestamp מופה מיומן השינויים
origin-role event.idm.read_only_udm.principal.user.attribute.roles מופה מיומן השינויים
action_detail event.idm.read_only_udm.security_result.description מופה מיומן השינויים
service event.idm.read_only_udm.security_result.summary מופה מיומן השינויים
application event.idm.read_only_udm.target.application מופה מיומן השינויים
host event.idm.read_only_udm.target.hostname וגם event.idm.read_only_udm.target.asset.hostname מופה מיומן השינויים
url-requested event.idm.read_only_udm.target.url מופה מיומן השינויים
active-role event.idm.read_only_udm.target.user.attribute.roles מופה מיומן השינויים
client_ip event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
http-request-origin-ip event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
ip event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
realmId event.idm.read_only_udm.target.resource.product_object_id מופה מיומן השינויים
realmName event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
clientId event.idm.read_only_udm.target.application מופה מיומן השינויים
userId event.idm.read_only_udm.target.user.userid מופה מיומן השינויים
sessionId event.idm.read_only_udm.network.session_id מופה מיומן השינויים
redirect_uri event.idm.read_only_udm.target.url מופה מיומן השינויים
username event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
ipAddress event.idm.read_only_udm.principal.ip מופה מיומן השינויים
ipAddress event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
time_value_log event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
auth_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Authentication_Type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
thread_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Thread_ID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
response_type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Response_Type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
consent event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Consent event.idm.read_only_udm.additional.fields מופה מיומן השינויים
code_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Code_ID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
response_mode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Response_Mode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
authSessionParentId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Auth_Session_Parent_ID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
authSessionTabId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Auth_Session_Tab_ID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
_p event.idm.read_only_udm.additional.fields מופה מיומן השינויים
raw_p_value event.idm.read_only_udm.additional.fields מופה מיומן השינויים
key_event event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Key_Event event.idm.read_only_udm.additional.fields מופה מיומן השינויים
auth_method event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
Auth_Method event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.AwsAccountId event.idm.read_only_udm.principal.asset_id מופה מיומן השינויים
finding.UpdatedAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.Title event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.FirstObservedAt event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Version event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Remediation event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Release event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.PackageManager event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Name event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.FixedInVersion event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Epoch event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerabilityvalue.Architecture event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.SchemaVersion event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerability.RelatedVulnerabilities event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerability.ReferenceUrls event.idm.read_only_udm.additional.fields מופה מיומן השינויים
vulnerability.EpssScore event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.AwsAccountName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.CompanyName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.GeneratorId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.RecordState event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Details.AwsEc2Instance.ImageId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Details.AwsEc2Instance.SubnetId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Details.AwsEc2Instance.Type event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductFields.aws/inspector/FindingStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductFields.aws/inspector/inspectorScore event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductFields.aws/inspector/instanceId event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.ProductFields.aws/inspector/resources/1/resourceDetails/awsEc2InstanceDetails/platform event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.Application event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.BuildBy event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.Environment event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.FacultyName event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.Lifecycle event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.Support event.idm.read_only_udm.additional.fields מופה מיומן השינויים
resource.Tags.ams:rt:ams-managed event.idm.read_only_udm.additional.fields מופה מיומן השינויים
finding.CreatedAt event.idm.read_only_udm.metadata.collected_timestamp מופה מיומן השינויים
finding.Description event.idm.read_only_udm.security_result.description מופה מיומן השינויים
finding.FindingProviderFields.Severity.Label event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
finding.FindingProviderFields.Severity.Normalized event.idm.read_only_udm.security_result.severity_details מופה מיומן השינויים
finding.FindingProviderFields.Types event.idm.read_only_udm.security_result.rule_name מופה מיומן השינויים
vulnerability.LastKnownExploitAt event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
vulnerability.ExploitAvailable event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
vulnerability.FixAvailable event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.LastObservedAt event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.ProcessedAt event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.ProductArn event.idm.read_only_udm.security_result.detection_fields מופה מיומן השינויים
finding.Region event.idm.read_only_udm.target.location.country_or_region מופה מיומן השינויים
finding.Remediation.Recommendation.Text event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
resource.Details.AwsEc2Instance.IpV4Addresses event.idm.read_only_udm.target.ip מופה מיומן השינויים
resource.Details.AwsEc2Instance.LaunchedAt event.idm.read_only_udm.target.asset.attribute.creation_time מופה מיומן השינויים
resource.Details.AwsEc2Instance.VpcId event.idm.read_only_udm.target.asset.attribute.cloud.vpc.id מופה מיומן השינויים
finding.ProductFields.aws/inspector/ProductVersion event.idm.read_only_udm.metadata.product_version מופה מיומן השינויים
vulnerability.Cvss event.idm.read_only_udm.security_result.about.asset.vulnerabilities מופה מיומן השינויים
logevent.id event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
logevent.timestamp event.idm.read_only_udm.metadata.collected_timestamp מופה מיומן השינויים
record.owner event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
msgs.availability_zone event.idm.read_only_udm.principal.location.name מופה מיומן השינויים
logevent.message.event_data.dest_ip event.idm.read_only_udm.target.ip מופה מיומן השינויים
msgs.event.dest_ip event.idm.read_only_udm.target.ip מופה מיומן השינויים
logevent.message.event_data.dest_ip event.idm.read_only_udm.target.asset.ip מופה מיומן השינויים
logevent.message.event_data.dest_port event.idm.read_only_udm.target.port מופה מיומן השינויים
msgs.event.dest_port event.idm.read_only_udm.target.port מופה מיומן השינויים
logevent.message.event_data.src_ip event.idm.read_only_udm.principal.ip מופה מיומן השינויים
logevent.message.event_data.src_ip event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
msgs.firewall_name event.idm.read_only_udm.intermediary.hostname מופה מיומן השינויים
logevent.message.event_data.alert.rev event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event_data.alert.signature event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event_data.alert.signature_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
logevent.message.event_data.pkt_src event.idm.read_only_udm.additional.fields מופה מיומן השינויים
msgs.event.alert.rev event.idm.read_only_udm.additional.fields מופה מיומן השינויים
msgs.event.alert.signature event.idm.read_only_udm.additional.fields מופה מיומן השינויים
msgs.event.alert.signature_id event.idm.read_only_udm.additional.fields מופה מיומן השינויים
msgs.event.pkt_src event.idm.read_only_udm.additional.fields מופה מיומן השינויים
record.messageType event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
record.logGroup event.idm.read_only_udm.security_result.about.resource.name מופה מיומן השינויים
record.logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels מופה מיומן השינויים
record.subscriptionFilters event.idm.read_only_udm.security_result.about.resource.attribute.labels מופה מיומן השינויים
logevent.message.event_data.alert.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
logevent.message.event_data.verdict.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
msgs.event.alert.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
msgs.event.verdict.action event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
logevent.message.event_data.alert.severity event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
msgs.event.alert.severity event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
logevent.message.event_data.direction event.idm.read_only_udm.network.direction מופה מיומן השינויים
msgs.event.direction event.idm.read_only_udm.network.direction מופה מיומן השינויים
logevent.message.event_data.proto event.idm.read_only_udm.network.ip_protocol מופה מיומן השינויים
msgs.event.proto event.idm.read_only_udm.network.ip_protocol מופה מיומן השינויים
accountID event.idm.read_only_udm.target.user.product_object_id מופה מיומן השינויים
file event.idm.read_only_udm.target.file.full_path מופה מיומן השינויים
func event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
pointsToLaunchpadArn event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
result event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.Arn event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.DataProtectionStatus event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.InheritedProperties event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.KmsKeyId event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.LogGroupClass event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.MetricFilterCount event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.RetentionInDays event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
logGroup.StoredBytes event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
level event.idm.read_only_udm.security_result.severity מופה מיומן השינויים
logGroupArn event.idm.read_only_udm.target.resource.product_object_id מופה מיומן השינויים
logGroupName event.idm.read_only_udm.target.resource.name מופה מיומן השינויים
msg event.idm.read_only_udm.security_result.description מופה מיומן השינויים
requestID event.idm.read_only_udm.metadata.product_log_id מופה מיומן השינויים
time event.idm.read_only_udm.metadata.event_timestamp מופה מיומן השינויים
owner event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
logGroup event.idm.read_only_udm.security_result.about.resource.name מופה מיומן השינויים
logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels מופה מיומן השינויים
logevent.message event.idm.read_only_udm.security_result.description מופה מיומן השינויים
act_det event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
src_ip event.idm.read_only_udm.principal.ip מופה מיומן השינויים
tar_ip event.idm.read_only_udm.target.ip מופה מיומן השינויים
tar_host event.idm.read_only_udm.target.hostname מופה מיומן השינויים
tar_port event.idm.read_only_udm.target.port מופה מיומן השינויים
rec_bytes event.idm.read_only_udm.network.received_bytes מופה מיומן השינויים
meth event.idm.read_only_udm.network.http.method מופה מיומן השינויים
subscriptionFilter event.idm.read_only_udm.security_result.about.resource.attribute.labels מופה מיומן השינויים
log_processed_control_data_sampling_interval", "log_processed_cpus_per_sock_avg", "log_processed_cpus_per_sock_max", "log_processed_cpus_per_sock_min", "flow_aggregation_result" fields, "flows_after", "flows_before", "level", "message", "sock_add_result" fields, "sock_cache_len", "sock_delta_result" fields, "sock_eviction_result" fields, "sock_nat_result" fields, "container_hash", "container_image additional.fields מופה מיומן השינויים
kubernetes_host_details principal.hostname מופה מיומן השינויים
prin_ip principal.ip מופה מיומן השינויים
kubernetes_pod_id principal.product_object_id מופה מיומן השינויים
kubernetes_pod_name principal.namespace מופה מיומן השינויים
log_processed_level sec_result.severity מופה מיומן השינויים
connectionTesterClassName principal.hostname מופה מיומן השינויים
identityToken principal.user.userid מופה מיומן השינויים
jdbcUrl target.url מופה מיומן השינויים
driverClass target.application מופה מיומן השינויים
uid metadata.product_log_id מופה מיומן השינויים
ResourceRegion target.location.country_or_region מופה מיומן השינויים
PolicyName","detail.additionalEventData.configRuleName security_result.rule_name מופה מיומן השינויים
region","detail.awsRegion principal.location.name מופה מיומן השינויים
detail.user.arn target.user.userid מופה מיומן השינויים
detail.user.sessionContext.sessionIssuer.userName target.user.user_display_name מופה מיומן השינויים
detail.user.mfaAuthenticated principal.user.attribute.labels מופה מיומן השינויים
detail.managementEvent", "detail.eventType", "detail.readOnly", "detail.eventName", "detail.additionalEventData.notificationJobType", "detail.additionalEventData.managedRuleIdentifier", "duration", "billed_duration", "memory_used additional.fields מופה מיומן השינויים
request_id target.resource.attribute.labels מופה מיומן השינויים
package event.idm.read_only_udm.principal.process.command_line מופה מיומן השינויים
session_id event.idm.read_only_udm.network.session_id מופה מיומן השינויים
network_dir event.idm.read_only_udm.network.direction מופה מיומן השינויים
port event.idm.read_only_udm.target.port מופה מיומן השינויים
digestPublicKeyFingerprint" from "additional.fields event.idm.read_only_udm.target.file.sha1 מופה מיומן השינויים

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.