Coletar registros do AWS CloudWatch

Versão do analisador:18.0

Compatível com:

Este documento explica como ingerir registros do AWS CloudWatch no Google Security Operations usando o Amazon S3.

O AWS CloudWatch é um serviço de monitoramento e observabilidade que coleta dados operacionais na forma de registros, métricas e eventos de recursos e aplicativos da AWS. Essa integração usa o Amazon Data Firehose para transmitir dados de registros do CloudWatch para um bucket do S3, que o Google SecOps ingere usando um feed do Amazon S3 V2.

Antes de começar

  • Uma instância do Google SecOps
  • Acesso privilegiado ao AWS Management Console com permissões para gerenciar:
    • Registros do Amazon CloudWatch (grupos de registros, filtros de assinatura)
    • Amazon Data Firehose (fluxos de entrega)
    • Amazon S3 (buckets)
    • IAM da AWS (papéis, políticas, usuários)

Configurar o bucket do AWS S3

  1. Crie um bucket do Amazon S3 seguindo este guia do usuário: Como criar um bucket.
  2. Salve o Nome e a Região do bucket para referência futura (por exemplo, cwlogs-to-secops).

Configurar a função do IAM para o Amazon Data Firehose

O Amazon Data Firehose exige uma função do IAM para gravar registros no bucket do S3.

Criar a política do IAM

  1. No console da AWS, acesse IAM > Políticas > Criar política.
  2. Selecione a guia JSON.

  3. Cole a seguinte política (substitua cwlogs-to-secops pelo nome real do bucket):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "S3Delivery",
            "Effect": "Allow",
            "Action": [
                "s3:AbortMultipartUpload",
                "s3:GetBucketLocation",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:ListBucketMultipartUploads",
                "s3:PutObject"
            ],
            "Resource": [
                "arn:aws:s3:::cwlogs-to-secops",
                "arn:aws:s3:::cwlogs-to-secops/*"
            ]
        },
        {
            "Sid": "CloudWatchLogging",
            "Effect": "Allow",
            "Action": [
                "logs:PutLogEvents"
            ],
            "Resource": "arn:aws:logs:*:*:log-group:/aws/kinesisfirehose/cwlogs-to-secops:log-stream:*"
        }
    ]
}

  4. Clique em Próxima.

  5. No campo Nome da política, digite FirehoseS3DeliveryPolicy.

  6. Clique em Criar política.

Criar a função do IAM

  1. Acesse IAM > Papéis > Criar papel.
  2. Selecione Política de confiança personalizada.

  3. Cole a seguinte política de confiança:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "firehose.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

  4. Clique em Próxima.

  5. Pesquise e selecione FirehoseS3DeliveryPolicy.

  6. Clique em Próxima.

  7. No campo Nome da função, insira FirehoseToS3Role.

  8. Clique em Criar papel.

Criar o fluxo do Amazon Data Firehose

  1. Abra o console do Kinesis em https://console.aws.amazon.com/kinesis.
  2. No painel de navegação, selecione Amazon Data Firehose.
  3. Clique em Criar stream do Firehose.
  4. Em Escolher origem e destino, forneça a seguinte configuração:
    • Origem: selecione PUT direto.
    • Destino: selecione Amazon S3.
  5. No campo Nome do fluxo do Firehose, insira cwlogs-to-secops.

  6. Em Transformar registros, na seção Descompactar registros de origem dos registros do Amazon CloudWatch:

    1. Selecione Ativar a descompactação.
    2. Não selecione Ativar a extração de mensagens.

  7. Em Configurações de destino:

    • Bucket do S3: selecione o bucket do S3 cwlogs-to-secops.
    • Prefixo do bucket do S3 (opcional): insira cloudwatch-logs/.
    • Prefixo de saída de erro do bucket do S3 (opcional): insira firehose-errors/.

  8. Em Dicas de buffer:

    • Tamanho do buffer: 5 MiB (padrão).
    • Intervalo de buffer: 300 segundos (padrão).

  9. Em Configurações avançadas:

    • Criptografia do lado do servidor: opcional. Ative se a criptografia for necessária.
    • Registro de erros: selecione Ativado (recomendado).
    • Permissões: selecione Escolher papel do IAM atual e escolha FirehoseToS3Role.

  10. Clique em Criar stream do Firehose.

  11. Aguarde até que o Status do fluxo mostre Ativo.

Configurar a função do IAM para o CloudWatch Logs

O CloudWatch Logs exige uma função do IAM para enviar dados de registro ao fluxo do Firehose.

Criar a política do IAM

  1. Acesse IAM > Políticas > Criar política.
  2. Selecione a guia JSON.

  3. Cole a seguinte política (substitua <region> e <account-id> pela região da AWS e pelo ID da conta):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "firehose:PutRecord",
                "firehose:PutRecordBatch"
            ],
            "Resource": "arn:aws:firehose:<region>:<account-id>:deliverystream/cwlogs-to-secops"
        }
    ]
}

  4. Clique em Próxima.

  5. No campo Nome da política, digite CWLtoFirehoseWritePolicy.

  6. Clique em Criar política.

Criar a função do IAM

  1. Acesse IAM > Papéis > Criar papel.
  2. Selecione Política de confiança personalizada.

  3. Cole a seguinte política de confiança (substitua <region> pela sua região da AWS):

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "logs.<region>.amazonaws.com"
            },
            "Action": "sts:AssumeRole"
        }
    ]
}

  4. Clique em Próxima.

  5. Pesquise e selecione CWLtoFirehoseWritePolicy.

  6. Clique em Próxima.

  7. No campo Nome da função, insira CWLtoFirehoseRole.

  8. Clique em Criar papel.

Criar um filtro de assinatura do CloudWatch Logs

  1. No console da AWS, acesse CloudWatch > Registros > Grupos de registros.
  2. Selecione o grupo de registros de destino que você quer transmitir para o Google SecOps.
  3. Selecione a guia Filtros de assinatura.
  4. Clique em Criar > Criar filtro de assinatura do Amazon Data Firehose.
  5. Informe os seguintes detalhes de configuração:
    • Destino: selecione o fluxo do Firehose cwlogs-to-secops.
    • Conceder permissão: selecione a função CWLtoFirehoseRole.
    • Nome do filtro de assinatura: insira um nome descritivo (por exemplo, secops-all-events).
    • Formato do registro: selecione Outro.
    • Padrão de filtro de assinatura: deixe em branco para enviar todos os eventos ou insira um padrão de filtro para enviar apenas eventos específicos.

  6. Clique em Iniciar transmissão.

Configurar usuário do IAM para o Google SecOps

O Google SecOps precisa de um usuário do IAM com acesso ao bucket do S3 para ingerir os registros entregues.

  1. Crie um usuário seguindo este guia: Criar um usuário do IAM.
  2. Selecione o usuário criado.
  3. Selecione a guia Credenciais de segurança.
  4. Clique em Criar chave de acesso na seção Chaves de acesso.
  5. Selecione Serviço de terceiros como Caso de uso.
  6. Clique em Próxima.
  7. Opcional: adicione uma tag de descrição.
  8. Clique em Criar chave de acesso.
  9. Clique em Baixar arquivo .csv para salvar a Chave de acesso e a Chave de acesso secreta para referência futura.
  10. Clique em Concluído.
  11. Selecione a guia Permissões.
  12. Clique em Adicionar permissões na seção Políticas de permissões.
  13. Selecione Adicionar permissões.
  14. Selecione Anexar políticas diretamente.
  15. Pesquise a política AmazonS3FullAccess.
  16. Selecione a política.
  17. Clique em Próxima.
  18. Clique em Adicionar permissões

Configurar um feed no Google SecOps para ingerir registros do AWS CloudWatch

  1. Acesse Configurações do SIEM > Feeds.
  2. Clique em Adicionar novo feed.
  3. Na próxima página, clique em Configurar um único feed.
  4. Insira um nome exclusivo para o Nome do feed.
  5. Selecione Amazon S3 V2 como o Tipo de origem.
  6. Selecione AWS CloudWatch como o Tipo de registro.
  7. Clique em Próxima e depois em Enviar.
  8. Especifique valores para os seguintes campos:
    • URI do S3: s3://cwlogs-to-secops/cloudwatch-logs/
    • Opção de exclusão da fonte: selecione a opção de exclusão de acordo com sua preferência.
    • Idade máxima do arquivo: inclua arquivos modificados no último número de dias (o padrão é 180 dias).
    • ID da chave de acesso: chave de acesso do usuário com acesso ao bucket do S3.
    • Chave de acesso secreta: chave secreta do usuário com acesso ao bucket do S3.
    • Namespace do recurso: o namespace do recurso.
    • Rótulos de ingestão: o rótulo a ser aplicado aos eventos deste feed.
  9. Clique em Próxima e depois em Enviar.

Tabela de mapeamento de UDM

Campo de registro Mapeamento do UDM Lógica
account principal.user.userid O valor de account do registro bruto é mapeado para o campo principal.user.userid.
account_id principal.user.userid O valor de account_id do registro bruto é mapeado para o campo principal.user.userid.
AlertId metadata.product_log_id O valor de AlertId do registro bruto é mapeado para o campo metadata.product_log_id.
arrivalTimestamp metadata.event_timestamp O valor de arrivalTimestamp do registro bruto é convertido em um carimbo de data/hora e mapeado para o campo metadata.event_timestamp.
attemptsMade additional.fields O valor de attemptsMade do registro bruto é convertido em uma string e adicionado como um par de chave-valor ao additional.fields com a chave "Attempts Made".
awsAccountId principal.asset_id O valor de awsAccountId do registro bruto é precedido por "ID da conta da AWS: " e mapeado para o campo principal.asset_id.
billed_duration additional.fields O valor de billed_duration do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "billed_duration".
BytesIn network.received_bytes O valor de BytesIn do registro bruto é convertido em um número inteiro sem sinal e mapeado para o campo network.received_bytes.
cipher network.tls.cipher O valor de cipher do registro bruto é mapeado para o campo network.tls.cipher.
Ciphers network.tls.client.supported_ciphers O valor de Ciphers do registro bruto é dividido por vírgulas, e cada valor é adicionado à matriz network.tls.client.supported_ciphers.
cloudwatchLog security_result.description O valor de cloudwatchLog do registro bruto é mapeado para o campo security_result.description.
CloudAccountId metadata.product_deployment_id O valor de CloudAccountId do registro bruto é mapeado para o campo metadata.product_deployment_id.
CloudType target.resource.attribute.cloud.environment O valor de CloudType do registro bruto determina o valor de target.resource.attribute.cloud.environment. Se CloudType for "gcp", o valor será "GOOGLE_CLOUD_PLATFORM". Se CloudType for "aws", o valor será "AMAZON_WEB_SERVICES". Se CloudType for "azure", o valor será "MICROSOFT_AZURE".
Context.Execution.Id target.resource.attribute.labels O valor de Context.Execution.Id do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "Context Id".
Context.Execution.Name target.resource.attribute.labels O valor de Context.Execution.Name do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "Nome do contexto".
Context.Execution.RoleArn target.resource.product_object_id O valor de Context.Execution.RoleArn do registro bruto é mapeado para o campo target.resource.product_object_id.
descr metadata.description O valor de descr do registro bruto, depois de remover espaços em branco extras, é mapeado para o campo metadata.description, a menos que seja "-". Se descr estiver vazio, o valor de log será usado.
destination.name target.location.country_or_region O valor de destination.name do registro bruto é mapeado para o campo target.location.country_or_region.
destination.properties.prefix target.resource.attribute.labels O valor de destination.properties.prefix do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "Prefixo das propriedades de destino".
detail.additionalEventData.configRuleArn security_result.rule_id O valor de detail.additionalEventData.configRuleArn do registro bruto é mapeado para o campo security_result.rule_id.
detail.additionalEventData.configRuleName security_result.rule_name O valor de detail.additionalEventData.configRuleName do registro bruto é mapeado para o campo security_result.rule_name.
detail.additionalEventData.managedRuleIdentifier additional.fields O valor de detail.additionalEventData.managedRuleIdentifier do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "managedRuleIdentifier".
detail.additionalEventData.notificationJobType additional.fields O valor de detail.additionalEventData.notificationJobType do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "notificationJobType".
detail.awsAccountId principal.asset_id O valor de detail.awsAccountId do registro bruto é precedido por "ID da conta da AWS: " e mapeado para o campo principal.asset_id.
detail.awsRegion principal.location.name O valor de detail.awsRegion do registro bruto é mapeado para o campo principal.location.name.
detail.configRuleArn security_result.rule_id O valor de detail.configRuleArn do registro bruto é mapeado para o campo security_result.rule_id.
detail.configRuleName security_result.rule_name O valor de detail.configRuleName do registro bruto é mapeado para o campo security_result.rule_name.
detail.configurationItem.awsAccountId principal.user.userid O valor de detail.configurationItem.awsAccountId do registro bruto é mapeado para o campo principal.user.userid.
detail.configurationItem.awsRegion target.location.country_or_region O valor de detail.configurationItem.awsRegion do registro bruto é mapeado para o campo target.location.country_or_region.
detail.configurationItem.configuration.complianceType security_result.summary O valor de detail.configurationItem.configuration.complianceType do registro bruto é mapeado para o campo security_result.summary.
detail.configurationItem.configuration.targetResourceId target.resource.attribute.labels O valor de detail.configurationItem.configuration.targetResourceId do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "configurationItem configuration targetResourceId".
detail.configurationItem.configuration.targetResourceType target.resource.attribute.labels O valor de detail.configurationItem.configuration.targetResourceType do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "configurationItem configuration targetResourceType".
detail.configurationItem.configurationItemCaptureTime _target.asset.attribute.creation_time O valor de detail.configurationItem.configurationItemCaptureTime do registro bruto é convertido em um carimbo de data/hora e mapeado para o campo _target.asset.attribute.creation_time.
detail.configurationItem.configurationItemStatus target.resource.attribute.labels O valor de detail.configurationItem.configurationItemStatus do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "configurationItem configurationItemStatus".
detail.configurationItem.configurationStateId target.resource.attribute.labels O valor de detail.configurationItem.configurationStateId do registro bruto é convertido em uma string e adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "configurationItem configurationStateId".
detail.configurationItem.resourceId target.resource.id O valor de detail.configurationItem.resourceId do registro bruto é mapeado para o campo target.resource.id.
detail.configurationItem.resourceType target.resource.resource_subtype O valor de detail.configurationItem.resourceType do registro bruto é mapeado para o campo target.resource.resource_subtype.
detail.configurationItemDiff.changedProperties.Configuration.configRuleList.1.updatedValue.configRuleArn security_result.rule_id O valor de detail.configurationItemDiff.changedProperties.Configuration.configRuleList.1.updatedValue.configRuleArn do registro bruto é mapeado para o campo security_result.rule_id.
detail.eventCategory security_result.category_details O valor de detail.eventCategory do registro bruto é mapeado para o campo security_result.category_details.
detail.eventID metadata.product_log_id O valor de detail.eventID do registro bruto é mapeado para o campo metadata.product_log_id.
detail.eventName additional.fields O valor de detail.eventName do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "Nome do evento".
detail.eventSource target.application O valor de detail.eventSource do registro bruto é mapeado para o campo target.application.
detail.eventType additional.fields O valor de detail.eventType do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "Tipo de evento".
detail.eventVersion metadata.product_version O valor de detail.eventVersion do registro bruto é mapeado para o campo metadata.product_version.
detail.managementEvent additional.fields O valor de detail.managementEvent do registro bruto é convertido em uma string e adicionado como um par de chave-valor ao additional.fields com a chave "detail managementEvent".
detail.messageType target.resource.attribute.labels O valor de detail.messageType do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "Message Type".
detail.newEvaluationResult.complianceType security_result.summary O valor de detail.newEvaluationResult.complianceType do registro bruto é mapeado para o campo security_result.summary.
detail.newEvaluationResult.configRuleInvokedTime additional.fields O valor de detail.newEvaluationResult.configRuleInvokedTime do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "newEvaluationResult_configRuleInvokedTime".
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName additional.fields O valor de detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "newEvaluationResult_configRuleName".
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId additional.fields O valor de detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "newEvaluationResult_resourceId".
detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType additional.fields O valor de detail.newEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "newEvaluationResult_resourceType".
detail.newEvaluationResult.resultRecordedTime additional.fields O valor de detail.newEvaluationResult.resultRecordedTime do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "newEvaluationResult_resultRecordedTime".
detail.oldEvaluationResult.configRuleInvokedTime additional.fields O valor de detail.oldEvaluationResult.configRuleInvokedTime do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "oldEvaluationResult_configRuleInvokedTime".
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName additional.fields O valor de detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.configRuleName do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "oldEvaluationResult_configRuleName".
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId additional.fields O valor de detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceId do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "oldEvaluationResult_resourceId".
detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType additional.fields O valor de detail.oldEvaluationResult.evaluationResultIdentifier.evaluationResultQualifier.resourceType do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "oldEvaluationResult_resourceType".
detail.oldEvaluationResult.resultRecordedTime additional.fields O valor de detail.oldEvaluationResult.resultRecordedTime do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "oldEvaluationResult_resultRecordedTime".
detail.readOnly additional.fields O valor de detail.readOnly do registro bruto é convertido em uma string e adicionado como um par de chave-valor ao additional.fields com a chave "detail readOnly".
detail.recipientAccountId target.resource.attribute.labels O valor de detail.recipientAccountId do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "Recipient Account Id".
detail.recordVersion metadata.product_version O valor de detail.recordVersion do registro bruto é mapeado para o campo metadata.product_version.
detail.requestID target.resource.attribute.labels O valor de detail.requestID do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "ID da solicitação de detalhes".
detail.resourceType target.resource.resource_subtype O valor de detail.resourceType do registro bruto é mapeado para o campo target.resource.resource_subtype.
detail.s3Bucket about.resource.name O valor de detail.s3Bucket do registro bruto é mapeado para o campo about.resource.name.
detail.s3ObjectKey target.resource.attribute.labels O valor de detail.s3ObjectKey do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "s3ObjectKey".
detail.userAgent network.http.user_agent O valor de detail.userAgent do registro bruto é mapeado para o campo network.http.user_agent.
detail.userIdentity.accessKeyId target.user.userid O valor de detail.userIdentity.accessKeyId do registro bruto é mapeado para o campo target.user.userid.
detail.userIdentity.accountId metadata.product_deployment_id O valor de detail.userIdentity.accountId do registro bruto é mapeado para o campo metadata.product_deployment_id.
detail.userIdentity.arn target.user.userid O valor de detail.userIdentity.arn do registro bruto é mapeado para o campo target.user.userid.
detail.userIdentity.principalId principal.user.product_object_id O valor de detail.userIdentity.principalId do registro bruto é mapeado para o campo principal.user.product_object_id.
detail.userIdentity.sessionContext.attributes.mfaAuthenticated principal.user.attribute.labels O valor de detail.userIdentity.sessionContext.attributes.mfaAuthenticated do registro bruto é adicionado como um par de chave-valor ao principal.user.attribute.labels com a chave "mfaAuthenticated".
detail.userIdentity.sessionContext.sessionIssuer.userName target.user.user_display_name O valor de detail.userIdentity.sessionContext.sessionIssuer.userName do registro bruto é mapeado para o campo target.user.user_display_name.
detail.userIdentity.type principal.resource.type O valor de detail.userIdentity.type do registro bruto é mapeado para o campo principal.resource.type.
detail-type metadata.product_event_type O valor de detail-type do registro bruto é mapeado para o campo metadata.product_event_type.
device principal.asset.product_object_id O valor de device do registro bruto é mapeado para o campo principal.asset.product_object_id.
digestPublicKeyFingerprint target.file.sha1 O valor de digestPublicKeyFingerprint do registro bruto é mapeado para o campo target.file.sha1.
digestS3Bucket principal.resource.name O valor de digestS3Bucket do registro bruto é mapeado para o campo principal.resource.name.
digestS3Object principal.asset.asset_id O valor de digestS3Object do registro bruto é precedido por "S3 Object: " e mapeado para o campo principal.asset.asset_id.
digestSignatureAlgorithm network.tls.cipher O valor de digestSignatureAlgorithm do registro bruto é mapeado para o campo network.tls.cipher.
digestStartTime metadata.event_timestamp O valor de digestStartTime do registro bruto é convertido em um carimbo de data/hora e mapeado para o campo metadata.event_timestamp.
dimensions.VolumeId additional.fields O valor de dimensions.VolumeId do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "VolumeId".
duration additional.fields O valor de duration do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "duration".
errorCode security_result.rule_name O valor de errorCode do registro bruto é mapeado para o campo security_result.rule_name.
errorMessage security_result.summary O valor de errorMessage do registro bruto é mapeado para o campo security_result.summary.
executionId principal.process.pid O valor de executionId do registro bruto é mapeado para o campo principal.process.pid.
host principal.hostname, principal.ip O valor de host do registro bruto, com hífens substituídos por pontos, é analisado como um endereço IP e mapeado para o campo principal.ip se a operação for bem-sucedida. Caso contrário, ele será mapeado para o campo principal.hostname.
http_verb network.http.method O valor de http_verb do registro bruto é convertido em letras maiúsculas e mapeado para o campo network.http.method.
kubernetes.container_hash additional.fields O valor de kubernetes.container_hash do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "container_hash".
kubernetes.container_image additional.fields O valor de kubernetes.container_image do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "container_image".
kubernetes.container_name additional.fields O valor de kubernetes.container_name do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "container_name".
kubernetes.docker_id principal.asset_id O valor de kubernetes.docker_id do registro bruto é precedido por "id: " e mapeado para o campo principal.asset_id.
kubernetes.host principal.hostname, principal.ip O valor de kubernetes.host do registro bruto, com hífens substituídos por pontos, é analisado como um endereço IP e mapeado para o campo principal.ip se a operação for bem-sucedida. Caso contrário, ele será mapeado para o campo principal.hostname.
kubernetes.namespace principal.namespace O valor de kubernetes.namespace do registro bruto é mapeado para o campo principal.namespace.
kubernetes.namespace_name principal.namespace O valor de kubernetes.namespace_name do registro bruto é mapeado para o campo principal.namespace.
kubernetes.pod_id principal.asset.asset_id O valor de kubernetes.pod_id do registro bruto é precedido por "pod_id: " e mapeado para o campo principal.asset.asset_id.
kubernetes.pod_name additional.fields O valor de kubernetes.pod_name do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "nome do pod".
lambdaArn principal.hostname O valor de lambdaArn do registro bruto é mapeado para o campo principal.hostname.
level security_result.severity O valor de level do registro bruto determina o valor de security_result.severity. Se level for "Info", o valor será "INFORMATIONAL". Se level for "Error", o valor será "ERROR". Se level for "Warning", o valor será "MEDIUM".
log metadata.description O valor de log do registro bruto é mapeado para o campo metadata.description se descr estiver vazio.
logFiles about Para cada elemento na matriz logFiles do registro bruto, um objeto about é criado com file.full_path definido como s3Object, asset.hostname definido como s3Bucket e file.sha256 definido como hashValue.
log_processed.cause security_result.summary O valor de log_processed.cause do registro bruto é mapeado para o campo security_result.summary.
log_processed.ids intermediary.hostname Para cada elemento na matriz log_processed.ids do registro bruto, um objeto intermediary é criado com hostname definido como o valor do elemento.
log_processed.level security_result.severity O valor de log_processed.level do registro bruto é mapeado para o campo security_result.severity.
log_processed.msg metadata.description O valor de log_processed.msg do registro bruto é mapeado para o campo metadata.description.
log_processed.ts metadata.event_timestamp O valor de log_processed.ts do registro bruto é convertido em um carimbo de data/hora e mapeado para o campo metadata.event_timestamp.
log_type metadata.log_type O valor de log_type do registro bruto é mapeado para o campo metadata.log_type. Este é um campo personalizado adicionado para contexto.
logevent.message security_result.description O valor de logevent.message do registro bruto é mapeado para o campo security_result.description. Ele também é analisado usando grok para extrair outros campos.
logGroup security_result.about.resource.name O valor de logGroup do registro bruto é mapeado para o campo security_result.about.resource.name.
logStream security_result.about.resource.attribute.labels O valor de logStream do registro bruto é adicionado como um par de chave-valor ao security_result.about.resource.attribute.labels com a chave "logStream".
memory_used additional.fields O valor de memory_used do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "memory_used".
metric_name additional.fields O valor de metric_name do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "metric_name".
metric_stream_name additional.fields O valor de metric_stream_name do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "metric_stream_name".
namespace principal.namespace O valor de namespace do registro bruto é mapeado para o campo principal.namespace.
owner principal.user.userid O valor de owner do registro bruto é mapeado para o campo principal.user.userid.
parameters additional.fields O valor de parameters do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "Parameters".
Path principal.process.file.full_path O valor de Path do registro bruto é mapeado para o campo principal.process.file.full_path.
pid principal.process.pid O valor de pid do registro bruto é mapeado para o campo principal.process.pid.
PolicyName security_result.rule_name O valor de PolicyName do registro bruto é mapeado para o campo security_result.rule_name.
prin_host principal.hostname O valor de prin_host do registro bruto é mapeado para o campo principal.hostname.
principal_hostname principal.hostname O valor de principal_hostname do registro bruto é mapeado para o campo principal.hostname.
process principal.application O valor de process do registro bruto é mapeado para o campo principal.application.
rawData additional.fields O valor de rawData do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "Dados brutos".
Recommendation security_result.detection_fields O valor de Recommendation do registro bruto é adicionado como um par de chave-valor ao security_result.detection_fields com a chave "Recommendation".
referral_url network.http.referral_url O valor de referral_url do registro bruto é mapeado para o campo network.http.referral_url.
region principal.location.name O valor de region do registro bruto é mapeado para o campo principal.location.name.
resp_code network.http.response_code O valor de resp_code do registro bruto é convertido em um número inteiro e mapeado para o campo network.http.response_code.
resource_url network.http.referral_url O valor de resource_url do registro bruto é mapeado para o campo network.http.referral_url.
ResourceType target.resource.resource_subtype O valor de ResourceType do registro bruto é mapeado para o campo target.resource.resource_subtype.
response_body additional.fields O valor de response_body do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "Corpo da resposta".
Role target.resource.product_object_id O valor de Role do registro bruto é mapeado para o campo target.resource.product_object_id.
s3_bucket_path target.file.full_path O valor de s3_bucket_path do registro bruto é mapeado para o campo target.file.full_path.
sec_result.category security_result.category O valor de sec_result.category é derivado da lógica do analisador. Se descr contiver "authentication is required", o valor será "AUTH_VIOLATION".
sec_result.description security_result.description O valor de sec_result.description é derivado da lógica do analisador. Ele é definido como o valor de cloudwatchLog, se estiver presente.
sec_result.severity security_result.severity O valor de sec_result.severity é derivado da lógica do analisador. Ele é definido com base no valor de severity ou level.
sec_result.summary security_result.summary O valor de sec_result.summary é derivado da lógica do analisador. Ele é definido como o valor de log_processed.cause ou errorMessage, se estiver presente.
security_result security_result O objeto security_result é construído com base em vários campos e lógica de análise.
serverId additional.fields O valor de serverId do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "server_id".
severity security_result.severity O valor de severity do registro bruto, convertido para maiúsculas e normalizado, é mapeado para o campo security_result.severity.
Source principal.hostname O valor de Source do registro bruto é mapeado para o campo principal.hostname.
source principal.hostname O valor de source do registro bruto é mapeado para o campo principal.hostname.
SourceIP principal.ip O valor de SourceIP do registro bruto é mapeado para o campo principal.ip.
src_port principal.port Se src_port for "80", ele será convertido em um número inteiro e mapeado para o campo principal.port, e network.application_protocol será definido como "HTTP".
stream additional.fields O valor de stream do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "stream".
subscriptionFilters security_result.about.resource.attribute.labels Para cada elemento na matriz subscriptionFilters do registro bruto, um par de chave-valor é adicionado ao security_result.about.resource.attribute.labels com a chave "subscriptionFilter" e o valor da matriz.
support_contact target.resource.attribute.labels O valor de support_contact do registro bruto é adicionado como um par de chave-valor ao target.resource.attribute.labels com a chave "Contato de suporte".
t_ip target.ip O valor de t_ip do registro bruto, depois de remover os hífens, é analisado como um endereço IP e mapeado para o campo target.ip se for bem-sucedido.
time metadata.event_timestamp O valor de time do registro bruto é convertido em um carimbo de data/hora e mapeado para o campo metadata.event_timestamp.
timestamp metadata.event_timestamp O valor de timestamp do registro bruto é convertido em um carimbo de data/hora usando vários formatos e mapeado para o campo metadata.event_timestamp.
tls network.tls.version O valor de tls do registro bruto é mapeado para o campo network.tls.version.
transferDetails.serverId additional.fields O valor de transferDetails.serverId do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "server_id".
transferDetails.sessionId network.session_id O valor de transferDetails.sessionId do registro bruto é mapeado para o campo network.session_id.
transferDetails.username principal.user.user_display_name O valor de transferDetails.username do registro bruto é mapeado para o campo principal.user.user_display_name.
ts metadata.event_timestamp O valor de ts do registro bruto, combinado com o fuso horário, se disponível, é convertido em um carimbo de data/hora e mapeado para o campo metadata.event_timestamp.
type metadata.product_event_type O valor de type do registro bruto é mapeado para o campo metadata.product_event_type.
unit additional.fields O valor de unit do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "unit".
url target.url O valor de url do registro bruto é mapeado para o campo target.url.
url_back_to_product metadata.url_back_to_product O valor de url_back_to_product do registro bruto é mapeado para o campo metadata.url_back_to_product.
User principal.user.userid O valor de User do registro bruto é mapeado para o campo principal.user.userid.
user target.user.userid, metadata.event_type, extensions.auth.mechanism Se user estiver presente, metadata.event_type será definido como "USER_LOGIN", extensions.auth.mechanism será definido como "NETWORK", e o valor de user será mapeado para target.user.userid.
value.count additional.fields O valor de value.count do registro bruto é convertido em uma string e adicionado como um par de chave-valor ao additional.fields com a chave "count".
value.max additional.fields O valor de value.max do registro bruto é convertido em uma string e adicionado como um par de chave-valor ao additional.fields com a chave "max".
value.min additional.fields O valor de value.min do registro bruto é convertido em uma string e adicionado como um par de chave-valor ao additional.fields com a chave "min".
value.sum additional.fields O valor de value.sum do registro bruto é convertido em uma string e adicionado como um par de chave-valor ao additional.fields com a chave "sum".
workflowId additional.fields O valor de workflowId do registro bruto é adicionado como um par de chave-valor ao additional.fields com a chave "workflowId".
aws_account event.idm.read_only_udm.principal.asset_id Mapeado do registro de mudanças
phoneNumber_country event.idm.read_only_udm.target.location.country_or_region Mapeado do registro de mudanças
aws_log_stream event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
aws_message_type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
lambda_request_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
phoneNumber_countryCallingCode event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
phoneNumber_countryCallingCodeSource event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
max_memory_used event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
gridInquiryId event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
phoneCode event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
dateOfBirth event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
gender event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
countryOfBirth event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
nationality event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
nationalities event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
postalCode event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
street event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
block event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
building event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
floor event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
unit event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
addressLine event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
expirationDate event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
annualIncome_max event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
annualIncome_min event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
savings_max event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
savings_min event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
customerAgreement event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
orderHandling event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
privacyPolicy event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
riskDisclosure event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
employmentStatus event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
typeOfBusiness event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
createdAt event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
updatedAt event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
industryLabel event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
industryCode event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
occupationCode event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
occupationLabel event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
primary event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
expiredAt event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
signedAt event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
selectedTaxResidency event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
diplomaOrHigher event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
qualifiedFinancePro event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
workedPast10Years event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
workedPast3Years event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
none event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
dataConfirmed event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
isDeactivated event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
kycStatus event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
pepCheckStatus event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
cfd event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Billed_Duration event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
countryCode event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
additional event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
timestamp_iso event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de mudanças
log_id event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
lambda_level event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
source_region event.idm.read_only_udm.principal.location.country_or_region Mapeado do registro de mudanças
awsRegion event.idm.read_only_udm.principal.location.country_or_region Mapeado do registro de mudanças
functionName event.idm.read_only_udm.principal.resource.name Mapeado do registro de mudanças
functionVersion event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
environment event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
authProvider event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
dataProvider event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
igApplicationId event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
igClientId event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
ibkrUserId event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
sourceOfFunds event.idm.read_only_udm.principal.resource.attribute.labels Mapeado do registro de mudanças
phoneNumber_nationalNumber event.idm.read_only_udm.target.user.phone_numbers Mapeado do registro de mudanças
phoneNumber_number event.idm.read_only_udm.principal.user.phone_numbers Mapeado do registro de mudanças
phoneNumber event.idm.read_only_udm.principal.user.phone_numbers Mapeado do registro de mudanças
externalUserId event.idm.read_only_udm.target.user.userid Mapeado do registro de mudanças
report_request_id event.idm.read_only_udm.target.user.userid Mapeado do registro de mudanças
memory_size event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
http_verb event.idm.read_only_udm.network.http.method Mapeado do registro de mudanças
referral_url event.idm.read_only_udm.target.url Mapeado do registro de mudanças
resp_code event.idm.read_only_udm.network.http.response_code Mapeado do registro de mudanças
userId event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
source_account event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
email event.idm.read_only_udm.principal.user.email_addresses Mapeado do registro de mudanças
lastName event.idm.read_only_udm.principal.user.last_name Mapeado do registro de mudanças
firstName event.idm.read_only_udm.principal.user.first_name Mapeado do registro de mudanças
city event.idm.read_only_udm.principal.location.city Mapeado do registro de mudanças
nric event.idm.read_only_udm.principal.user.employee_id Mapeado do registro de mudanças
principalName event.idm.read_only_udm.principal.user.user_display_name Mapeado do registro de mudanças
Protocol event.idm.read_only_udm.network.ip_protocol Mapeado do registro de mudanças
Cat event.idm.read_only_udm.security_result.category_details Mapeado do registro de mudanças
Hostname event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de mudanças
IP event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
LocalIp event.idm.read_only_udm.target.ip e event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
Path event.idm.read_only_udm.principal.process.file.full_path Mapeado do registro de mudanças
Hash event.idm.read_only_udm.principal.process.file.md5 Mapeado do registro de mudanças
Pid event.idm.read_only_udm.principal.process.pid Mapeado do registro de mudanças
LocalPort event.idm.read_only_udm.target.port Mapeado do registro de mudanças
ValidSig event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Company event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ImageType event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
MWName event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
DriveType event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Times event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
SocketOpFlags event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ALProtocolExpected event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ALProtocolDetected event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
CipherType event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ConnectionState event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ProxyConnection event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ContentEncoding event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Broken event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
ExeType event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Prevalence event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
PrevLastDay event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.firewall_name event.idm.read_only_udm.intermediary.hostname Mapeado do registro de mudanças
logevent.message.firewall_name event.idm.read_only_udm.intermediary.asset.hostname Mapeado do registro de mudanças
logevent.message.availability_zone event.idm.read_only_udm.principal.location.name Mapeado do registro de mudanças
logevent.message.event.src_ip event.idm.read_only_udm.principal.ip Mapeado do registro de mudanças
logevent.message.event.src_ip event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
logevent.message.event.src_port event.idm.read_only_udm.principal.port Mapeado do registro de mudanças
logevent.message.event.dest_ip event.idm.read_only_udm.target.ip Mapeado do registro de mudanças
logevent.message.event.dest_ip event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
logevent.message.event.dest_port event.idm.read_only_udm.target.port Mapeado do registro de mudanças
logevent.message.event.alert.action event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
logevent.message.event.verdict.action event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
logevent.message.event.alert.signature event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.icmp_type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.icmp_code event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.app_proto event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.alert.signature_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.alert.rev event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.alert.severity event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
logevent.message.event.flow_id event.idm.read_only_udm.network.session_id Mapeado do registro de mudanças
logevent.message.event.direction event.idm.read_only_udm.network.direction Mapeado do registro de mudanças
logevent.message.event.alert.signature (key: Signature) event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.icmp_type (key: Icmp_Type) event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.icmp_code (key: Icmp_Code) event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.app_proto (key: App_Proto) event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.alert.signature_id (key: Signature_ID) event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.alert.rev (key: Rev) event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.pkt_src (key: Pkt_Src) event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event.timestamp event.idm.read_only_udm.metadata.collected_timestamp Mapeado do registro de mudanças
origin-role event.idm.read_only_udm.principal.user.attribute.roles Mapeado do registro de mudanças
action_detail event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
service event.idm.read_only_udm.security_result.summary Mapeado do registro de mudanças
application event.idm.read_only_udm.target.application Mapeado do registro de mudanças
host event.idm.read_only_udm.target.hostname e event.idm.read_only_udm.target.asset.hostname Mapeado do registro de mudanças
url-requested event.idm.read_only_udm.target.url Mapeado do registro de mudanças
active-role event.idm.read_only_udm.target.user.attribute.roles Mapeado do registro de mudanças
client_ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
http-request-origin-ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
ip event.idm.read_only_udm.principal.ip e event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
realmId event.idm.read_only_udm.target.resource.product_object_id Mapeado do registro de mudanças
realmName event.idm.read_only_udm.target.resource.name Mapeado do registro de mudanças
clientId event.idm.read_only_udm.target.application Mapeado do registro de mudanças
userId event.idm.read_only_udm.target.user.userid Mapeado do registro de mudanças
sessionId event.idm.read_only_udm.network.session_id Mapeado do registro de mudanças
redirect_uri event.idm.read_only_udm.target.url Mapeado do registro de mudanças
username event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
ipAddress event.idm.read_only_udm.principal.ip Mapeado do registro de mudanças
ipAddress event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
time_value_log event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de mudanças
auth_type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Authentication_Type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
thread_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Thread_ID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
response_type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Response_Type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
consent event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Consent event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
code_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Code_ID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
response_mode event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Response_Mode event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
authSessionParentId event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Auth_Session_Parent_ID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
authSessionTabId event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Auth_Session_Tab_ID event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
_p event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
raw_p_value event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
key_event event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
Key_Event event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
auth_method event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
Auth_Method event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
finding.AwsAccountId event.idm.read_only_udm.principal.asset_id Mapeado do registro de mudanças
finding.UpdatedAt event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.Title event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.FirstObservedAt event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerabilityvalue.Version event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerabilityvalue.Remediation event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerabilityvalue.Release event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerabilityvalue.PackageManager event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerabilityvalue.Name event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerabilityvalue.FixedInVersion event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerabilityvalue.Epoch event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerabilityvalue.Architecture event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.SchemaVersion event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerability.RelatedVulnerabilities event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerability.ReferenceUrls event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
vulnerability.EpssScore event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.AwsAccountName event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.CompanyName event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.GeneratorId event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.ProductName event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.RecordState event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Details.AwsEc2Instance.ImageId event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Details.AwsEc2Instance.SubnetId event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Details.AwsEc2Instance.Type event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.ProductFields.aws/inspector/FindingStatus event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.ProductFields.aws/inspector/inspectorScore event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.ProductFields.aws/inspector/instanceId event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.ProductFields.aws/inspector/resources/1/resourceDetails/awsEc2InstanceDetails/platform event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Tags.Application event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Tags.BuildBy event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Tags.Environment event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Tags.FacultyName event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Tags.Lifecycle event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Tags.Support event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
resource.Tags.ams:rt:ams-managed event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
finding.CreatedAt event.idm.read_only_udm.metadata.collected_timestamp Mapeado do registro de mudanças
finding.Description event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
finding.FindingProviderFields.Severity.Label event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
finding.FindingProviderFields.Severity.Normalized event.idm.read_only_udm.security_result.severity_details Mapeado do registro de mudanças
finding.FindingProviderFields.Types event.idm.read_only_udm.security_result.rule_name Mapeado do registro de mudanças
vulnerability.LastKnownExploitAt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
vulnerability.ExploitAvailable event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
vulnerability.FixAvailable event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
finding.LastObservedAt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
finding.ProcessedAt event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
finding.ProductArn event.idm.read_only_udm.security_result.detection_fields Mapeado do registro de mudanças
finding.Region event.idm.read_only_udm.target.location.country_or_region Mapeado do registro de mudanças
finding.Remediation.Recommendation.Text event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
resource.Details.AwsEc2Instance.IpV4Addresses event.idm.read_only_udm.target.ip Mapeado do registro de mudanças
resource.Details.AwsEc2Instance.LaunchedAt event.idm.read_only_udm.target.asset.attribute.creation_time Mapeado do registro de mudanças
resource.Details.AwsEc2Instance.VpcId event.idm.read_only_udm.target.asset.attribute.cloud.vpc.id Mapeado do registro de mudanças
finding.ProductFields.aws/inspector/ProductVersion event.idm.read_only_udm.metadata.product_version Mapeado do registro de mudanças
vulnerability.Cvss event.idm.read_only_udm.security_result.about.asset.vulnerabilities Mapeado do registro de mudanças
logevent.id event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
logevent.timestamp event.idm.read_only_udm.metadata.collected_timestamp Mapeado do registro de mudanças
record.owner event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
msgs.availability_zone event.idm.read_only_udm.principal.location.name Mapeado do registro de mudanças
logevent.message.event_data.dest_ip event.idm.read_only_udm.target.ip Mapeado do registro de mudanças
msgs.event.dest_ip event.idm.read_only_udm.target.ip Mapeado do registro de mudanças
logevent.message.event_data.dest_ip event.idm.read_only_udm.target.asset.ip Mapeado do registro de mudanças
logevent.message.event_data.dest_port event.idm.read_only_udm.target.port Mapeado do registro de mudanças
msgs.event.dest_port event.idm.read_only_udm.target.port Mapeado do registro de mudanças
logevent.message.event_data.src_ip event.idm.read_only_udm.principal.ip Mapeado do registro de mudanças
logevent.message.event_data.src_ip event.idm.read_only_udm.principal.asset.ip Mapeado do registro de mudanças
msgs.firewall_name event.idm.read_only_udm.intermediary.hostname Mapeado do registro de mudanças
logevent.message.event_data.alert.rev event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event_data.alert.signature event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event_data.alert.signature_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
logevent.message.event_data.pkt_src event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
msgs.event.alert.rev event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
msgs.event.alert.signature event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
msgs.event.alert.signature_id event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
msgs.event.pkt_src event.idm.read_only_udm.additional.fields Mapeado do registro de mudanças
record.messageType event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
record.logGroup event.idm.read_only_udm.security_result.about.resource.name Mapeado do registro de mudanças
record.logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels Mapeado do registro de mudanças
record.subscriptionFilters event.idm.read_only_udm.security_result.about.resource.attribute.labels Mapeado do registro de mudanças
logevent.message.event_data.alert.action event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
logevent.message.event_data.verdict.action event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
msgs.event.alert.action event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
msgs.event.verdict.action event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
logevent.message.event_data.alert.severity event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
msgs.event.alert.severity event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
logevent.message.event_data.direction event.idm.read_only_udm.network.direction Mapeado do registro de mudanças
msgs.event.direction event.idm.read_only_udm.network.direction Mapeado do registro de mudanças
logevent.message.event_data.proto event.idm.read_only_udm.network.ip_protocol Mapeado do registro de mudanças
msgs.event.proto event.idm.read_only_udm.network.ip_protocol Mapeado do registro de mudanças
accountID event.idm.read_only_udm.target.user.product_object_id Mapeado do registro de mudanças
file event.idm.read_only_udm.target.file.full_path Mapeado do registro de mudanças
func event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
pointsToLaunchpadArn event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
result event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
logGroup.Arn event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
logGroup.DataProtectionStatus event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
logGroup.InheritedProperties event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
logGroup.KmsKeyId event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
logGroup.LogGroupClass event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
logGroup.MetricFilterCount event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
logGroup.RetentionInDays event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
logGroup.StoredBytes event.idm.read_only_udm.target.resource.attribute.labels Mapeado do registro de mudanças
level event.idm.read_only_udm.security_result.severity Mapeado do registro de mudanças
logGroupArn event.idm.read_only_udm.target.resource.product_object_id Mapeado do registro de mudanças
logGroupName event.idm.read_only_udm.target.resource.name Mapeado do registro de mudanças
msg event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
requestID event.idm.read_only_udm.metadata.product_log_id Mapeado do registro de mudanças
time event.idm.read_only_udm.metadata.event_timestamp Mapeado do registro de mudanças
owner event.idm.read_only_udm.principal.user.userid Mapeado do registro de mudanças
logGroup event.idm.read_only_udm.security_result.about.resource.name Mapeado do registro de mudanças
logStream event.idm.read_only_udm.security_result.about.resource.attribute.labels Mapeado do registro de mudanças
logevent.message event.idm.read_only_udm.security_result.description Mapeado do registro de mudanças
act_det event.idm.read_only_udm.security_result.action_details Mapeado do registro de mudanças
src_ip event.idm.read_only_udm.principal.ip Mapeado do registro de mudanças
tar_ip event.idm.read_only_udm.target.ip Mapeado do registro de mudanças
tar_host event.idm.read_only_udm.target.hostname Mapeado do registro de mudanças
tar_port event.idm.read_only_udm.target.port Mapeado do registro de mudanças
rec_bytes event.idm.read_only_udm.network.received_bytes Mapeado do registro de mudanças
meth event.idm.read_only_udm.network.http.method Mapeado do registro de mudanças
subscriptionFilter event.idm.read_only_udm.security_result.about.resource.attribute.labels Mapeado do registro de mudanças
log_processed_control_data_sampling_interval", "log_processed_cpus_per_sock_avg", "log_processed_cpus_per_sock_max", "log_processed_cpus_per_sock_min", "flow_aggregation_result" fields, "flows_after", "flows_before", "level", "message", "sock_add_result" fields, "sock_cache_len", "sock_delta_result" fields, "sock_eviction_result" fields, "sock_nat_result" fields, "container_hash", "container_image additional.fields Mapeado do registro de mudanças
kubernetes_host_details principal.hostname Mapeado do registro de mudanças
prin_ip principal.ip Mapeado do registro de mudanças
kubernetes_pod_id principal.product_object_id Mapeado do registro de mudanças
kubernetes_pod_name principal.namespace Mapeado do registro de mudanças
log_processed_level sec_result.severity Mapeado do registro de mudanças
connectionTesterClassName principal.hostname Mapeado do registro de mudanças
identityToken principal.user.userid Mapeado do registro de mudanças
jdbcUrl target.url Mapeado do registro de mudanças
driverClass target.application Mapeado do registro de mudanças
uid metadata.product_log_id Mapeado do registro de mudanças
ResourceRegion target.location.country_or_region Mapeado do registro de mudanças
PolicyName","detail.additionalEventData.configRuleName security_result.rule_name Mapeado do registro de mudanças
region","detail.awsRegion principal.location.name Mapeado do registro de mudanças
detail.user.arn target.user.userid Mapeado do registro de mudanças
detail.user.sessionContext.sessionIssuer.userName target.user.user_display_name Mapeado do registro de mudanças
detail.user.mfaAuthenticated principal.user.attribute.labels Mapeado do registro de mudanças
detail.managementEvent", "detail.eventType", "detail.readOnly", "detail.eventName", "detail.additionalEventData.notificationJobType", "detail.additionalEventData.managedRuleIdentifier", "duration", "billed_duration", "memory_used additional.fields Mapeado do registro de mudanças
request_id target.resource.attribute.labels Mapeado do registro de mudanças
package event.idm.read_only_udm.principal.process.command_line Mapeado do registro de mudanças
session_id event.idm.read_only_udm.network.session_id Mapeado do registro de mudanças
network_dir event.idm.read_only_udm.network.direction Mapeado do registro de mudanças
port event.idm.read_only_udm.target.port Mapeado do registro de mudanças
digestPublicKeyFingerprint" from "additional.fields event.idm.read_only_udm.target.file.sha1 Mapeado do registro de mudanças

Registro de alterações

Ver o registro de alterações deste analisador

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.