Mengumpulkan log BeyondTrust BeyondInsight

Versi Parser: 7.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log BeyondTrust BeyondInsight ke Google Security Operations menggunakan agen Bindplane.

BeyondTrust BeyondInsight adalah platform pengelolaan akses istimewa yang menghasilkan pesan syslog untuk peristiwa keamanan, autentikasi, dan aktivitas administratif. Parser menormalisasi kolom dan memetakannya ke Unified Data Model (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan instance BeyondTrust BeyondInsight
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke instance BeyondTrust BeyondInsight

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen BindPlane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Berencana beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka SIEM Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen BindPlane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan Bindplane collector v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Edit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/beyondtrust_beyondinsight:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: BEYONDTRUST_BEYONDINSIGHT
      raw_log_field: body
  
  service:
    pipelines:
      logs/beyondtrust_beyondinsight_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/beyondtrust_beyondinsight
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port yang akan diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/beyondtrust_beyondinsight:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: BEYONDTRUST_BEYONDINSIGHT
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Menyimpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Simpan

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol Services:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Mulai ulang.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi penerusan peristiwa syslog di BeyondTrust BeyondInsight

1. Login ke UI web BeyondTrust.
2. Buka Appliance > Security > Appliance Administration.
3. Buka bagian Syslog.
4. Klik Tambahkan server baru.
5. Berikan detail konfigurasi berikut:
   • Hostname: Masukkan alamat IP agen Bindplane.
   • Format: Pilih RFC 5424.
   • Port: Defaultnya adalah UDP:514.
6. Klik Simpan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
AgentDesc_label	additional.fields	Digabung
AgentID_label	additional.fields	Digabung
AgentVer_label	additional.fields	Digabung
Approver_label	additional.fields	Digabung
AuditID_label	additional.fields	Digabung
Base_address_label	additional.fields	Digabung
Category_label	additional.fields	Digabung
CertIssuer_label	additional.fields	Digabung
CertSerial_label	additional.fields	Digabung
Entry_address_label	additional.fields	Digabung
EventDesc_label	additional.fields	Digabung
EventName_label	additional.fields	Digabung
EventSubject_label	additional.fields	Digabung
Failed_label	additional.fields	Digabung
Image_size_label	additional.fields	Digabung
LogID_label	additional.fields	Digabung
LogTime_label	additional.fields	Digabung
ObjectID_label	additional.fields	Digabung
ObjectTypeID_label	additional.fields	Digabung
ObjectType_label	additional.fields	Digabung
Operation_label	additional.fields	Digabung
Reason_label	additional.fields	Digabung
RefType_label	additional.fields	Digabung
ReleaseRequestId_label	additional.fields	Digabung
RoleUsed_label	additional.fields	Digabung
Server_date_label	additional.fields	Digabung
Signer_label	additional.fields	Digabung
Start_time_label	additional.fields	Digabung
TicketNumber_label	additional.fields	Digabung
TicketSystem_label	additional.fields	Digabung
Type_label	additional.fields	Digabung
Version_label	additional.fields	Digabung
WorkgroupDesc_label	additional.fields	Digabung
WorkgroupID_label	additional.fields	Digabung
WorkgroupLocation_label	additional.fields	Digabung
accountdisabled01003_label	additional.fields	Digabung
accountname_label	additional.fields	Digabung
accountnameformat_label	additional.fields	Digabung
action_type_label	additional.fields	Digabung
actiontype_label	additional.fields	Digabung
address_label	additional.fields	Digabung
agentdesc_label	additional.fields	Digabung
agentid_label	additional.fields	Digabung
agentver_label	additional.fields	Digabung
alias_label	additional.fields	Digabung
app_user_id_label	additional.fields	Digabung
approver_label	additional.fields	Digabung
appuserid_label	additional.fields	Digabung
auditid_label	additional.fields	Digabung
authenticationtype_label	additional.fields	Digabung
automanagementflag_label	additional.fields	Digabung
badpwcount01008_label	additional.fields	Digabung
badpwcount0101_label	additional.fields	Digabung
browserinfo_label	additional.fields	Digabung
bt_Category_label	additional.fields	Digabung
btcategory_label	additional.fields	Digabung
btuser_label	additional.fields	Digabung
can_manage_ownership_label	additional.fields	Digabung
can_share_secret_label	additional.fields	Digabung
category_label	additional.fields	Digabung
changeafterrelease_label	additional.fields	Digabung
changepasswordfrequency_label	additional.fields	Digabung
changepasswordtime_label	additional.fields	Digabung
changereasoncd_label	additional.fields	Digabung
checkpassword_label	additional.fields	Digabung
clarityactive_label	additional.fields	Digabung
code_label	additional.fields	Digabung
countrycode01011_label	additional.fields	Digabung
countrycode0101_label	additional.fields	Digabung
createdate_label	additional.fields	Digabung
details_label	additional.fields	Digabung
deviceExternalId_label	additional.fields	Digabung
dllversion_label	additional.fields	Digabung
dnsname_label	additional.fields	Digabung
dsskeyruleid_label	additional.fields	Digabung
dump_label	additional.fields	Digabung
elevationcommand_label	additional.fields	Digabung
endpointprivilegemanagementactive_label	additional.fields	Digabung
endpointprivilegemanagementformacactive_label	additional.fields	Digabung
endpointprivilegemanagementformacsettings_label	additional.fields	Digabung
endpointprivilegemanagementformacvulnerabilitiesactive_label	additional.fields	Digabung
endpointprivilegemanagementforunixlinuxactive_label	additional.fields	Digabung
endpointprivilegemanagementforunixlinuxsettings_label	additional.fields	Digabung
endpointprivilegemanagementsettings_label	additional.fields	Digabung
endpointprivilegemanagementvulnerabilitiesactive_label	additional.fields	Digabung
endpointprotectionplatformattackeventsactive_label	additional.fields	Digabung
endpointprotectionplatformmalwareeventsactive_label	additional.fields	Digabung
endpointprotectionplatformvulnerabilitiesactive_label	additional.fields	Digabung
eventType_label	additional.fields	Digabung
eventdesc_label	additional.fields	Digabung
eventseverity_label	additional.fields	Digabung
eventsubject_label	additional.fields	Digabung
eventtype_label	additional.fields	Digabung
evtdatatype_label	additional.fields	Digabung
evtsrcipbi_label	additional.fields	Digabung
evtstatus_label	additional.fields	Digabung
evtsubjbi_label	additional.fields	Digabung
expires01006_label	additional.fields	Digabung
expires0101_label	additional.fields	Digabung
facility_label	additional.fields	Digabung
failed_label	additional.fields	Digabung
fallback_label	additional.fields	Digabung
fallbackcode_label	additional.fields	Digabung
fileintegritymonitoringactive_label	additional.fields	Digabung
folder_id_label	additional.fields	Digabung
folder_label	additional.fields	Digabung
formatVersion_label	additional.fields	Digabung
fullname0101_label	additional.fields	Digabung
functionalaccountid_label	additional.fields	Digabung
groupid_label	additional.fields	Digabung
isactive_label	additional.fields	Digabung
isareleaseduration_label	additional.fields	Digabung
isautomanagementenabled_label	additional.fields	Digabung
isdynamicsystem_label	additional.fields	Digabung
lastlogoff01005_label	additional.fields	Digabung
lastlogoff0101_label	additional.fields	Digabung
lastlogon01004_label	additional.fields	Digabung
lastlogon0101_label	additional.fields	Digabung
linked_label	additional.fields	Digabung
linkedaccount_label	additional.fields	Digabung
log_type_status_label	additional.fields	Digabung
logid_label	additional.fields	Digabung
logonserver0101_label	additional.fields	Digabung
managedaccountid_label	additional.fields	Digabung
managedentitytype_label	additional.fields	Digabung
managedsystemid_label	additional.fields	Digabung
managedsystemname_label	additional.fields	Digabung
maxreleaseduration_label	additional.fields	Digabung
maxstorage01007_label	additional.fields	Digabung
maxstorage0101_label	additional.fields	Digabung
memberofgroup01001_label	additional.fields	Digabung
memberofgroup0101_label	additional.fields	Digabung
netbiosname_label	additional.fields	Digabung
notes_label	additional.fields	Digabung
numberoflogons01009_label	additional.fields	Digabung
numberoflogons0101_label	additional.fields	Digabung
nvps_active_label	additional.fields	Digabung
nvps_areaname_label	additional.fields	Digabung
nvps_beyondinsightapplicationauditenabled_label	additional.fields	Digabung
nvps_context_label	additional.fields	Digabung
nvps_genericappliancehealthseverity_label	additional.fields	Digabung
nvps_hostname_label	additional.fields	Digabung
nvps_name_label	additional.fields	Digabung
nvps_outputpipeline_label	additional.fields	Digabung
nvps_port_label	additional.fields	Digabung
objectid_label	additional.fields	Digabung
objecttype_label	additional.fields	Digabung
objecttypeid_label	additional.fields	Digabung
operation_label	additional.fields	Digabung
os_label	additional.fields	Digabung
ownerid_label	additional.fields	Digabung
password_label	additional.fields	Digabung
passwordage0101_label	additional.fields	Digabung
passwordexpired01013_label	additional.fields	Digabung
passwordexpired0101_label	additional.fields	Digabung
passwordruleid_label	additional.fields	Digabung
platformid_label	additional.fields	Digabung
platformname_label	additional.fields	Digabung
priority_label	additional.fields	Digabung
privilege01002_label	additional.fields	Digabung
privilege0101_label	additional.fields	Digabung
referenceid_label	additional.fields	Digabung
releaseduration_label	additional.fields	Digabung
releaseid_label	additional.fields	Digabung
resetonmimatch_label	additional.fields	Digabung
result_label	additional.fields	Digabung
rid01012_label	additional.fields	Digabung
rid0101_label	additional.fields	Digabung
roleadded_label	additional.fields	Digabung
roleused_label	additional.fields	Digabung
samaccountname_label	additional.fields	Digabung
secret_type_label	additional.fields	Digabung
smartruletitle_label	additional.fields	Digabung
source01014_label	additional.fields	Digabung
source0101_label	additional.fields	Digabung
sshkeyenforcementmode_label	additional.fields	Digabung
subjectdescription_label	additional.fields	Digabung
ticketnumber_label	additional.fields	Digabung
timeout_label	additional.fields	Digabung
title_label	additional.fields	Digabung
transactiongroup_label	additional.fields	Digabung
userID_label	additional.fields	Digabung
userid_label	additional.fields	Digabung
version_label	additional.fields	Digabung
workgroupdesc_label	additional.fields	Digabung
workgroupid_label	additional.fields	Digabung
workgrouplocation_label	additional.fields	Digabung
agentid	extensions.auth.type	Dipetakan: generic_appliance_health → MACHINE
category	extensions.auth.type	Dipetakan: Login → MACHINE, Logout → MACHINE
eventdesc	extensions.auth.type	Dipetakan: successfully logged on → MACHINE
nvps.clienthost	intermediary.asset.hostname	Dipetakan secara langsung
nvps.hostname	intermediary.asset.hostname	Dipetakan secara langsung
nvps.source	intermediary.asset.hostname	Dipetakan secara langsung
hostname	intermediary.asset.ip	Digabung
inter_ip	intermediary.asset.ip	Digabung
sourceip	intermediary.asset.ip	Digabung
inter	intermediary.hostname	Dipetakan secara langsung
nvps.clienthost	intermediary.hostname	Dipetakan secara langsung
nvps.hostname	intermediary.hostname	Dipetakan secara langsung
nvps.source	intermediary.hostname	Dipetakan secara langsung
hostname	intermediary.ip	Digabung
inter_ip	intermediary.ip	Digabung
sourceip	intermediary.ip	Digabung
Category	metadata.description	Dipetakan secara langsung
devTime	metadata.event_timestamp	Diuraikan sebagai MMM dd yyyy HH:mm:ss
eventdate	metadata.event_timestamp	Diurai sebagai yyyy-MM-dd HH:mm:ss
rt	metadata.event_timestamp	Diurai sebagai MMM dd yyyy HH:mm:ss
time	metadata.event_timestamp	Diuraikan sebagai MMM dd HH:mm:ss
ts	metadata.event_timestamp	Diurai sebagai yyyy-MM-ddTHH:mm:ss
agentid	metadata.event_type	Dipetakan: generic_appliance_health → USER_LOGIN, generic_appliance_health → USER_LOGOUT
category	metadata.event_type	Dipetakan: Login → USER_LOGIN, Logout → USER_LOGOUT
eventdesc	metadata.event_type	Dipetakan: successfully logged on → USER_LOGIN
has_principal	metadata.event_type	Dipetakan: true → NETWORK_CONNECTION, true → STATUS_UPDATE
has_user	metadata.event_type	Dipetakan: true → USER_UNCATEGORIZED
eventid	metadata.product_event_type	Dipetakan secara langsung
product_event	metadata.product_event_type	Dipetakan secara langsung
nvps.id	metadata.product_log_id	Dipetakan secara langsung
Product	metadata.product_name	Dipetakan secara langsung
appname	metadata.product_name	Dipetakan secara langsung
product	metadata.product_name	Dipetakan secara langsung
version	metadata.product_version	Dipetakan secara langsung
vendor	metadata.vendor_name	Dipetakan secara langsung
nvps.domainname	principal.administrative_domain	Dipetakan secara langsung
shost	principal.asset.hostname	Dipetakan secara langsung
sourcehost	principal.asset.hostname	Dipetakan secara langsung
src_host	principal.asset.hostname	Dipetakan secara langsung
ip	principal.asset.ip	Digabung
src	principal.asset.ip	Digabung
src_ip	principal.asset.ip	Digabung
nvps.workgroupname	principal.group.group_display_name	Dipetakan secara langsung
shost	principal.hostname	Dipetakan secara langsung
sourcehost	principal.hostname	Dipetakan secara langsung
src_host	principal.hostname	Dipetakan secara langsung
ip	principal.ip	Digabung
souirceip	principal.ip	Digabung
src	principal.ip	Digabung
src_ip	principal.ip	Digabung
OS	principal.platform	Dipetakan: Windows → WINDOWS, Linux → LINUX
Os	principal.platform	Dipetakan: Windows → WINDOWS, Linux → LINUX
OS	principal.platform_version	Dipetakan secara langsung
Os	principal.platform_version	Dipetakan secara langsung
Filename	principal.process.file.full_path	Dipetakan secara langsung
MD5	principal.process.file.md5	Dipetakan secara langsung
SHA1	principal.process.file.sha1	Dipetakan secara langsung
ParentProcessID	principal.process.parent_pid	Dipetakan secara langsung
ProcessID	principal.process.pid	Dipetakan secara langsung
resource	principal.resource.id	Dipetakan secara langsung
Company_name	principal.user.company_name	Dipetakan secara langsung
username	principal.user.email_addresses	Dipetakan: ^.+@.+$ → username
UserID	principal.user.product_object_id	Dipetakan secara langsung
userId	principal.user.product_object_id	Dipetakan secara langsung
Name	principal.user.user_display_name	Dipetakan secara langsung
UserName	principal.user.user_display_name	Dipetakan secara langsung
usrName	principal.user.user_display_name	Dipetakan secara langsung
BeyondTrustBeyondInsightUser	principal.user.userid	Dipetakan secara langsung
src_user	principal.user.userid	Dipetakan secara langsung
user	principal.user.userid	Dipetakan secara langsung
nvps.sid0101	principal.user.windows_sid	Dipetakan secara langsung
sid01015	principal.user.windows_sid	Dipetakan secara langsung
Category	security_result.category_details	Digabung
Description	security_result.description	Dipetakan secara langsung
nvps.description	security_result.description	Dipetakan secara langsung
nvps.message	security_result.description	Dipetakan secara langsung
nvps.reason	security_result.description	Dipetakan secara langsung
changedt_label	security_result.detection_fields	Digabung
createdate_label	security_result.detection_fields	Digabung
eventdate_label	security_result.detection_fields	Digabung
evtdate_label	security_result.detection_fields	Digabung
lastupdatedate_label	security_result.detection_fields	Digabung
logtime_label	security_result.detection_fields	Digabung
nextchangedate_label	security_result.detection_fields	Digabung
removerole_label	security_result.detection_fields	Digabung
smartruleid_label	security_result.detection_fields	Digabung
systemname_label	security_result.detection_fields	Digabung
token_label	security_result.detection_fields	Digabung
BeyondTrustBeyondInsightEventSeverity	security_result.severity	Dipetakan: 0 → INFORMATIONAL, 3 → LOW, 6 → MEDIUM, 9 → HIGH
eventseverity	security_result.severity	Dipetakan: 0 → INFORMATIONAL, 3 → LOW, 6 → MEDIUM
severity	security_result.severity	Dipetakan: 0 → INFORMATIONAL
eventname	security_result.summary	Dipetakan secara langsung
agentid	target.application	Dipetakan: AppAudit → BeyondInsight Application GUI, generic_appliance_health → `BeyondIn...
ManagedSystem	target.asset.hostname	Dipetakan secara langsung
dst	target.asset.ip	Digabung
ips	target.asset.ip	Digabung
nvps.folderpath	target.file.full_path	Dipetakan secara langsung
nvps.filename	target.file.names	Digabung
nvps.filehash	target.file.sha256	Dipetakan secara langsung
ManagedSystem	target.hostname	Dipetakan secara langsung
dst_host	target.hostname	Dipetakan secara langsung
dst	target.ip	Digabung
ips	target.ip	Digabung
SecretId	target.resource.id	Dipetakan secara langsung
nvps.target	target.resource.name	Dipetakan secara langsung
nvps.title	target.resource.name	Dipetakan secara langsung
nvps.secretid	target.resource.product_object_id	Dipetakan secara langsung
nvps.secrettype	target.resource.resource_subtype	Dipetakan secara langsung
URL	target.url	Dipetakan secara langsung
nvps.email	target.user.email_addresses	Digabung
nvps.ownersdisplay	target.user.user_display_name	Dipetakan secara langsung
ManagedAccount	target.user.userid	Dipetakan secara langsung
dst_user	target.user.userid	Dipetakan secara langsung
nvps.owner	target.user.userid	Dipetakan secara langsung
nvps.username	target.user.userid	Dipetakan secara langsung
T/A	extensions.auth.type	Konstanta: MACHINE
T/A	metadata.event_type	Konstanta: NETWORK_CONNECTION
T/A	principal.platform	Konstanta: WINDOWS
T/A	security_result.severity	Konstanta: INFORMATIONAL
T/A	target.application	Konstanta: BeyondInsight Application GUI
nvps.filehash	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
filehash	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
sourceip	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
nvps.xforwardedfor	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
nvps.userid	event.idm.read_only_udm.principal.user.product_object_id	Dipetakan dari log perubahan
eventid	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
nvps.email	event.idm.read_only_udm.target.user.email_addresses	Dipetakan dari log perubahan
nvps.ownersdisplay	event.idm.read_only_udm.target.user.user_display_name	Dipetakan dari log perubahan
nvps.filename	event.idm.read_only_udm.target.file.names	Dipetakan dari log perubahan
nvps.filehash	event.idm.read_only_udm.target.file.sha256	Dipetakan dari log perubahan
nvps.secretid	event.idm.read_only_udm.target.resource.product_object_id	Dipetakan dari log perubahan
nvps.secrettype	event.idm.read_only_udm.target.resource.resource_subtype	Dipetakan dari log perubahan
nvps.folderpath	event.idm.read_only_udm.target.file.full_path	Dipetakan dari log perubahan
nvps.notes	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
notes	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
nvps.ticketnumber	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ticketnumber	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
nvps.approver	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
approver	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
nvps.ownerid	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ownerid	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.