Mengumpulkan log Check Point EDR

Versi Parser: 20.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Check Point EDR (SandBlast) ke Google Security Operations menggunakan agen Bindplane.

Check Point EDR membuat log untuk deteksi ancaman endpoint, aktivitas proses, peristiwa file, dan koneksi jaringan. Parser mengekstrak kolom CEF dan nilai kunci, lalu memetakannya ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan perangkat Check Point
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke Check Point Appliance dengan SandBlast

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus menggunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Deskripsi akun layanan: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON, lalu klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori pengumpul Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar cocok dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan ganti kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Agen Pengumpulan.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan SIEM > Profil.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai aktif (berjalan).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan pengumpul Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

  Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/checkpoint_edr:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: CHECKPOINT_EDR
      raw_log_field: body
  
  service:
    pipelines:
      logs/checkpoint_edr_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/checkpoint_edr
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port untuk diproses:
    • 0.0.0.0 untuk mendengarkan di semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap disetel ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur file autentikasi penyerapan, dan jika instance Anda berada di luar Amerika Serikat, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/checkpoint_edr:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CHECKPOINT_EDR
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol layanan:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi syslog di Check Point 1500 Appliance Series

1. Login ke Checkpoint Appliance.
2. Buka Logs & Monitoring > Log Servers > Syslog Servers.
3. Klik Configure.
4. Berikan detail konfigurasi berikut:
   • Protocol: Pilih UDP.
   • Name: Masukkan nama deskriptif.
   • Alamat IP: Masukkan alamat IP agen Bindplane.
   • Port: Masukkan nomor port agen Bindplane.
   • Pilih Enable log server.
   • Pilih log yang akan diteruskan: Log sistem dan keamanan.
5. Klik Terapkan.

Tabel pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
action	event.idm.read_only_udm.security_result.action	Dipetakan langsung dari kolom CEF action.
action_comment	event.idm.read_only_udm.additional.fields[<N>].key: action_comment event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai action_comment	Dipetakan langsung dari kolom action_comment.
action_details	event.idm.read_only_udm.security_result.action_details	Dipetakan langsung dari kolom CEF action_details.
additional_info	event.idm.read_only_udm.additional.fields[<N>].key: additional_info event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai additional_info	Dipetakan langsung dari kolom additional_info.
am_update_proxy	event.idm.read_only_udm.intermediary.domain.name	Dipetakan langsung dari kolom am_update_proxy.
am_update_source	event.idm.read_only_udm.target.url	Dipetakan langsung dari kolom am_update_source.
client_version	event.idm.read_only_udm.metadata.product_version	Dipetakan langsung dari kolom client_version.
cn1	event.idm.read_only_udm.security_result.severity	Dipetakan dari kolom CEF cn1 dan dikonversi ke nilai tingkat keparahan UDM (CRITICAL, HIGH, MEDIUM, LOW, INFO).
cs1	event.idm.read_only_udm.additional.fields[<N>].key: Connectivity State event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai cs1	Dipetakan langsung dari kolom cs1.
description	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom CEF description.
deviceDirection	event.idm.read_only_udm.network.direction	Dipetakan dari kolom deviceDirection. Nilai 0 dipetakan ke INBOUND, nilai lainnya tidak dipetakan.
deviceFacility	event.idm.read_only_udm.additional.fields[<N>].key: deviceFacility event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai deviceFacility	Dipetakan langsung dari kolom deviceFacility.
dst	event.idm.read_only_udm.network.target.ip	Dipetakan langsung dari kolom dst saat event_type adalah Firewall.
engine_ver	event.idm.read_only_udm.additional.fields[<N>].key: engine_ver event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai engine_ver	Dipetakan langsung dari kolom engine_ver.
ep_rule_id	event.idm.read_only_udm.firewall.firewall_rule_id	Dipetakan langsung dari kolom ep_rule_id saat event_type adalah Firewall.
event_type	event.idm.read_only_udm.metadata.product_event_type	Dipetakan langsung dari kolom CEF event_type.
failed_updates	event.idm.read_only_udm.additional.fields[<N>].key: failed_updates event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai failed_updates	Dipetakan langsung dari kolom failed_updates.
file_md5	event.idm.read_only_udm.source_file.hash_md5	Dipetakan langsung dari kolom file_md5 saat event_type adalah TE Event.
file_name	event.idm.read_only_udm.source_file.file_name	Dipetakan langsung dari kolom file_name saat event_type adalah TE Event.
file_sha1	event.idm.read_only_udm.source_file.hash_sha1	Dipetakan langsung dari kolom file_sha1 saat event_type adalah TE Event.
file_sha256	event.idm.read_only_udm.source_file.hash_sha256	Dipetakan langsung dari kolom file_sha256 saat event_type adalah TE Event.
host_type	event.idm.read_only_udm.principal.asset.type	Dipetakan dari kolom host_type. Desktop dikonversi menjadi WORKSTATION, lalu nilainya diubah menjadi huruf besar.
ifdir	event.idm.read_only_udm.network.direction	Dipetakan langsung dari kolom ifdir dan menggunakan huruf besar jika event_type adalah Firewall.
installed_products	event.idm.read_only_udm.principal.asset.software.name	Dipetakan langsung dari kolom installed_products.
is_scanned	sec_res.detection_fields[<N>].key: is_scanned sec_res.detection_fields[<N>].value: Nilai is_scanned	Dipetakan langsung dari kolom is_scanned.
local_time	event.idm.read_only_udm.additional.fields[<N>].key: local_time event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai local_time	Dipetakan langsung dari kolom local_time.
log_type	event.idm.read_only_udm.metadata.log_type	Dipetakan langsung dari kolom log_type.
loguid	event.idm.read_only_udm.metadata.product_log_id	Dipetakan langsung dari kolom loguid.
machine_guid	event.idm.read_only_udm.principal.asset.product_object_id	Dipetakan langsung dari kolom machine_guid.
media_authorized	event.idm.read_only_udm.additional.fields[<N>].key: media_authorized event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai media_authorized	Dipetakan langsung dari kolom media_authorized.
media_class_id	event.idm.read_only_udm.additional.fields[<N>].key: media_class_id event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai media_class_id	Dipetakan langsung dari kolom media_class_id.
media_description	event.idm.read_only_udm.additional.fields[<N>].key: media_description event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai media_description	Dipetakan langsung dari kolom media_description.
media_encrypted	event.idm.read_only_udm.additional.fields[<N>].key: media_encrypted event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai media_encrypted	Dipetakan langsung dari kolom media_encrypted.
media_manufacturer	event.idm.read_only_udm.additional.fields[<N>].key: media_manufacturer event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai media_manufacturer	Dipetakan langsung dari kolom media_manufacturer.
media_type	event.idm.read_only_udm.additional.fields[<N>].key: media_type event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai media_type	Dipetakan langsung dari kolom media_type.
msg	event.idm.read_only_udm.metadata.description	Dipetakan langsung dari kolom CEF msg.
origin	event.idm.read_only_udm.about.ip	Dipetakan langsung dari kolom CEF origin.
os_name	event.idm.read_only_udm.additional.fields[<N>].key: os_name event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai os_name	Dipetakan langsung dari kolom os_name.
os_version	event.idm.read_only_udm.principal.asset.platform_software.platform_version	Dipetakan langsung dari kolom os_version.
policy_date	event.idm.read_only_udm.additional.fields[<N>].key: policy_date event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai policy_date	Dipetakan langsung dari kolom policy_date.
policy_guid	event.idm.read_only_udm.principal.resource.product_object_id	Dipetakan langsung dari kolom policy_guid.
policy_name	event.idm.read_only_udm.principal.resource.name	Dipetakan langsung dari kolom policy_name.
policy_number	event.idm.read_only_udm.principal.resource.product_object_id	Dipetakan langsung dari kolom policy_number.
policy_type	event.idm.read_only_udm.additional.fields[<N>].key: policy_type event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai policy_type	Dipetakan langsung dari kolom policy_type.
policy_version	event.idm.read_only_udm.additional.fields[<N>].key: policy_version event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai policy_version	Dipetakan langsung dari kolom policy_version.
product	event.idm.read_only_udm.metadata.product_name	Dipetakan langsung dari kolom CEF product.
proto	event.idm.read_only_udm.network.protocol	Dipetakan langsung dari kolom proto saat event_type adalah Firewall.
reading_data_access	event.idm.read_only_udm.additional.fields[<N>].key: reading_data_access event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai reading_data_access	Dipetakan langsung dari kolom reading_data_access.
requestClientApplication	event.idm.read_only_udm.network.http.user_agent	Dipetakan langsung dari kolom requestClientApplication.
result	event.idm.read_only_udm.security_result.summary	Dipetakan langsung dari kolom result.
rt	event.idm.read_only_udm.metadata.event_timestamp.seconds	Dipetakan dari kolom rt, dibagi 1.000, dan bagian bilangan bulatnya diambil sebagai detik.
rule_name	event.idm.read_only_udm.firewall.firewall_rule	Dipetakan langsung dari kolom rule_name saat event_type adalah Firewall.
s_port	event.idm.read_only_udm.network.client.port	Dipetakan langsung dari kolom s_port saat event_type adalah Firewall.
sequencenum	event.idm.read_only_udm.additional.fields[<N>].key: sequencenum event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai sequencenum	Dipetakan langsung dari kolom sequencenum.
service	event.idm.read_only_udm.network.target.port	Dipetakan langsung dari kolom service saat event_type adalah Firewall.
severity	event.idm.read_only_udm.security_result.severity	Dipetakan dari kolom severity dan dikonversi ke nilai tingkat keparahan UDM (CRITICAL, HIGH, MEDIUM, LOW, INFO).
shost	event.idm.read_only_udm.principal.hostname	Dipetakan langsung dari kolom CEF shost.
sig_ver	event.idm.read_only_udm.additional.fields[<N>].key: sig_ver event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai sig_ver	Dipetakan langsung dari kolom sig_ver.
src	event.idm.read_only_udm.principal.ip	Dipetakan langsung dari kolom CEF src.
src_machine_name	event.idm.read_only_udm.principal.hostname	Dipetakan langsung dari kolom src_machine_name saat event_type kosong.
subject	event.idm.read_only_udm.task.task_name	Dipetakan langsung dari kolom subject saat event_type kosong.
suser	event.idm.read_only_udm.principal.user.user_display_name	Dipetakan langsung dari kolom CEF suser.
time	event.idm.read_only_udm.metadata.event_timestamp.seconds	Dipetakan langsung dari kolom time dan dikonversi ke detik epoch Unix.
user_name	event.idm.read_only_udm.principal.user.email_addresses	Dipetakan langsung dari kolom CEF user_name.
user_sid	event.idm.read_only_udm.principal.user.windows_sid	Dipetakan langsung dari kolom user_sid.
version	event.idm.read_only_udm.additional.fields[<N>].key: version event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai version	Dipetakan langsung dari kolom version.
writing_data_access	event.idm.read_only_udm.additional.fields[<N>].key: writing_data_access event.idm.read_only_udm.additional.fields[<N>].value.string_value: Nilai writing_data_access	Dipetakan langsung dari kolom writing_data_access.
T/A	event.idm.read_only_udm.metadata.event_type	Tetapkan ke GENERIC_EVENT jika tidak ada principal.ip, principal.hostname, atau principal.mac dalam log mentah, jika tidak, tetapkan ke STATUS_UPDATE.
T/A	event.idm.read_only_udm.metadata.vendor_name	Nilai konstanta: Check Point.
T/A	event.idm.read_only_udm.metadata.log_type	Nilai konstanta: CHECKPOINT_EDR.
T/A	event.idm.read_only_udm.principal.asset.platform_software.platform	Setel ke WINDOWS jika os_name berisi WINDOWS atau Windows.
T/A	event.idm.read_only_udm.network.http.user_agent	Tetapkan ke Check Point Endpoint Security Client jika requestClientApplication ada.
T/A	event.edr.data_source	Nilai konstanta: CHECKPOINT_SANDBLAST jika message tidak berisi CEF.
operation	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
administrator	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
client_ip	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
objectname	event.idm.read_only_udm.target.resource.name	Dipetakan dari log perubahan
objecttype	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
Name	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
guid1	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
guid2	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
guid3	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
guid4	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
exclusionName1	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
exclusionName4	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
action	event.idm.read_only_udm.security_result_action	Dipetakan dari log perubahan
session_uid	event.idm.read_only_udm.network.session_id	Dipetakan dari log perubahan
origin	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
Icon	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
flags	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
originsicname	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
advanced_changes	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
sendtotrackerasadvancedauditlog	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ExclusionName	event.idm.read_only_udm.principal.file.full_path	Dipetakan dari log perubahan
id	event.idm.read_only_udm.about.resource.product_object_id	Dipetakan dari log perubahan
program_file	event.idm.read_only_udm.about.file.full_path	Dipetakan dari log perubahan
exclusionName2	event.idm.read_only_udm.security_result.about.url	Dipetakan dari log perubahan
exclusionName3	event.idm.read_only_udm.security_result.about.file.full_path	Dipetakan dari log perubahan
auth	event.idm.read_only_udm.about.url	Dipetakan dari log perubahan
uid	event.idm.read_only_udm.target.resource.product_object_id	Dipetakan dari log perubahan
src_machine_name	event.idm.read_only_udm.principal.hostname dan event.idm.read_only_udm.principal.asset.hostname	Dipetakan dari log perubahan
src_user_name	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
src	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
dst	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
process_exe_path	event.idm.read_only_udm.principal.process.file.full_path	Dipetakan dari log perubahan
appi_name	event.idm.read_only_udm.target.hostname dan event.idm.read_only_udm.target.asset.hostname	Dipetakan dari log perubahan
matched_category	event.idm.read_only_udm.security_result.category_details	Dipetakan dari log perubahan
reason	event.idm.read_only_udm.security_result.summary	Dipetakan dari log perubahan
protection_name	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
protection_type	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
usercheck_incident_uid	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
tenant_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
exclusion_engine_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
exclusion_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
virtual_groups	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
client_name	event.idm.read_only_udm.target.resource.attribute.labels	Dipetakan dari log perubahan
client_ip	event.edr.network.target_ip	Dipetakan dari log perubahan
origin	event.edr.network.target_ip	Dipetakan dari log perubahan
subject	event.edr.task.task_name	Dipetakan dari log perubahan
host_name	event.edr.client.hostname	Dipetakan dari log perubahan
ifdir	event.edr.network.direction	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.