Google utiliza tecnología de IA para traducir contenido a tu idioma preferido. Las traducciones realizadas con IA pueden contener errores.

Recopila registros de CipherTrust Manager

Versión del analizador: 18.0

Se admite en los siguientes sistemas operativos:

Google SecOps SIEM

En este documento, se explica cómo transferir registros de CipherTrust Manager a Google Security Operations con el agente de Bindplane.

Antes de comenzar

Asegúrate de cumplir con los siguientes requisitos previos:

Una instancia de Google SecOps
Windows Server 2016 o versiones posteriores, o host de Linux con systemd
Conectividad de red entre el agente de Bindplane y CipherTrust Manager
Si se ejecuta detrás de un proxy, asegúrate de que los puertos de firewall estén abiertos según los requisitos del agente de Bindplane.
Acceso con privilegios a la consola web de CipherTrust Manager

Obtén el archivo de autenticación de transferencia de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Agentes de recopilación.
Descarga el archivo de autenticación de transferencia.
Guarda el archivo de forma segura en el sistema en el que se instalará el agente de Bindplane.

Nota: Este archivo JSON contiene credenciales para autenticar el agente de Bindplane en Google SecOps.

Obtén el ID de cliente de Google SecOps

Accede a la consola de Google SecOps.
Ve a Configuración de SIEM > Perfil.
Copia y guarda el ID de cliente de la sección Detalles de la organización.

Nota: Se requiere el ID del cliente para configurar el exportador del agente de Bindplane.

Instala el agente de Bindplane

Instala el agente de Bindplane en tu sistema operativo Windows o Linux según las siguientes instrucciones.

Instalación en Windows

Abre el símbolo del sistema o PowerShell como administrador.

Ejecuta el comando siguiente:

msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sc query observiq-otel-collector
```
El servicio debe mostrarse como RUNNING.

Instalación en Linux

Abre una terminal con privilegios de raíz o sudo.

Ejecuta el comando siguiente:

sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh

Espera a que se complete la instalación.
Ejecuta el siguiente comando para verificar la instalación:
```
sudo systemctl status observiq-otel-collector
```
El servicio debería mostrarse como activo (en ejecución).

Recursos de instalación adicionales

Para obtener más opciones de instalación y solucionar problemas, consulta la guía de instalación del agente de Bindplane.

Configura el agente de BindPlane para transferir el registro del sistema y enviarlo a Google SecOps

Ubica el archivo de configuración

Linux:

sudo nano /etc/bindplane-agent/config.yaml

Windows:

notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"

Edita el archivo de configuración

Reemplaza todo el contenido de config.yaml por la siguiente configuración:

receivers:
    udplog:
        listen_address: "0.0.0.0:514"

exporters:
    chronicle/ciphertrust_manager:
        compression: gzip
        creds_file_path: '/etc/bindplane-agent/ingestion-auth.json'
        customer_id: '<customer_id>'
        endpoint: malachiteingestion-pa.googleapis.com
        log_type: CIPHERTRUST_MANAGER
        raw_log_field: body

service:
    pipelines:
        logs/ciphertrust_manager_to_chronicle:
            receivers:
                - udplog
            exporters:
                - chronicle/ciphertrust_manager

Parámetros de configuración

Reemplaza los marcadores de posición que se indican más abajo:

Configuración del receptor:
- listen_address: Dirección IP y puerto para escuchar:
  - 0.0.0.0 para escuchar en todas las interfaces (recomendado)
  - El puerto 514 es el puerto estándar de syslog (requiere acceso raíz en Linux; usa 1514 para acceso no raíz).
Configuración del exportador:
- creds_file_path: Ruta de acceso completa al archivo de autenticación de la transferencia:
  - Linux: /etc/bindplane-agent/ingestion-auth.json
  - Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
- customer_id: ID de cliente copiado de la consola de Google SecOps
- endpoint: URL del endpoint regional:
  - EE.UU.: malachiteingestion-pa.googleapis.com
  - Europa: europe-malachiteingestion-pa.googleapis.com
  - Asia: asia-southeast1-malachiteingestion-pa.googleapis.com
  - Consulta Extremos regionales para obtener la lista completa.

Cómo guardar el archivo de configuración

Después de editarlo, guarda el archivo:
- Linux: Presiona Ctrl+O, luego Enter y, después, Ctrl+X.
- Windows: Haz clic en Archivo > Guardar.

Reinicia el agente de Bindplane para aplicar los cambios

Para reiniciar el agente de Bindplane en Linux, ejecuta el siguiente comando:
```
sudo systemctl restart observiq-otel-collector
```
1. Verifica que el servicio esté en ejecución:
```
sudo systemctl status observiq-otel-collector
```
2. Revisa los registros en busca de errores:
```
sudo journalctl -u observiq-otel-collector -f
```
Para reiniciar el agente de Bindplane en Windows, elige una de las siguientes opciones:
- Símbolo del sistema o PowerShell como administrador:
```
net stop observiq-otel-collector && net start observiq-otel-collector
```
- Consola de Servicios:
  1. Presiona Win+R, escribe services.msc y presiona Intro.
  2. Busca observIQ OpenTelemetry Collector.
  3. Haz clic con el botón derecho y selecciona Reiniciar.
  4. Verifica que el servicio esté en ejecución:
```
sc query observiq-otel-collector
```
  5. Revisa los registros en busca de errores:
```
type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
```

Configura syslog para CipherTrust Manager

Accede a la consola web de CipherTrust Manager.
Ve a Configuración del administrador > Notificaciones > Syslog.
Haz clic en New Syslog Server.
Proporciona los siguientes detalles de configuración:
- Host: Ingresa la dirección IP del agente de Bindplane.
- Puerto: Ingresa el número de puerto del agente de Bindplane (el valor predeterminado es 514).
- Formato de registro: Selecciona RFC 5424.
- Transporte: Selecciona UDP.
Haz clic en Guardar.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
`message`	`about`	Asignado: `CEF` → `about`
`deviceNtDomain`	`about.administrative_domain`	Se cambió el nombre o se asignó
`deviceExternalId`	`about.asset.asset_id`	Asignada directamente
`device_product`	`about.asset.asset_id`	Asignada directamente
`device_vendor`	`about.asset.asset_id`	Asignada directamente
`fileHash`	`about.file.full_path`	Asignada directamente
`filePath`	`about.file.full_path`	Se cambió el nombre o se asignó
`_hash`	`about.file.sha256`	Se cambió el nombre o se asignó
`fileHash`	`about.file.sha256`	Se cambió el nombre o se asignó
`fsize`	`about.file.size`	Se cambió el nombre o se asignó
`dvchost`	`about.hostname`	Se cambió el nombre o se asignó
`ips`	`about.ip`	Combinado
`message`	`about.ip`	Asignado: `CEF` → `ips`
`dvc_mac`	`about.mac`	Asignado: `slot` → `mac_address`
`dvcmac`	`about.mac`	Combinado
`mac_address`	`about.mac`	Combinado
`message`	`about.mac`	Asignado: `CEF` → `mac_address`, `CEF` → `dvcmac`
`deviceTranslatedAddress`	`about.nat_ip`	Combinado
`message`	`about.nat_ip`	Asignado: `CEF` → `deviceTranslatedAddress`
`Emne`	`about.process.command_line`	Asignada directamente
`Path`	`about.process.command_line`	Asignada directamente
`Subject`	`about.process.command_line`	Asignada directamente
`deviceProcessName`	`about.process.command_line`	Se cambió el nombre o se asignó
`dvcpid`	`about.process.pid`	Se cambió el nombre o se asignó
`message`	`about.resource.attribute.permissions`	Asignado: `CEF` → `permissions`
`permissions`	`about.resource.attribute.permissions`	Combinado
`Internal_label`	`additional.fields`	Combinado
`additional_alias_alias_field`	`additional.fields`	Combinado
`additional_alias_index_field`	`additional.fields`	Combinado
`additional_alias_type_field`	`additional.fields`	Combinado
`additional_cfp1`	`additional.fields`	Combinado
`additional_cfp2`	`additional.fields`	Combinado
`additional_cfp3`	`additional.fields`	Combinado
`additional_cfp4`	`additional.fields`	Combinado
`additional_cn1`	`additional.fields`	Combinado
`additional_cn2`	`additional.fields`	Combinado
`additional_cn3`	`additional.fields`	Combinado
`additional_cs1`	`additional.fields`	Combinado
`additional_cs2`	`additional.fields`	Combinado
`additional_cs3`	`additional.fields`	Combinado
`additional_cs4`	`additional.fields`	Combinado
`additional_cs5`	`additional.fields`	Combinado
`additional_cs6`	`additional.fields`	Combinado
`additional_cs7`	`additional.fields`	Combinado
`additional_devicePayloadId`	`additional.fields`	Combinado
`additional_eventId`	`additional.fields`	Combinado
`additional_flexString1`	`additional.fields`	Combinado
`additional_fname`	`additional.fields`	Combinado
`algorithm_label`	`additional.fields`	Combinado
`app_connector_type_label`	`additional.fields`	Combinado
`assignSelfAsOwner_label`	`additional.fields`	Combinado
`auth_domain_label`	`additional.fields`	Combinado
`client_name_label`	`additional.fields`	Combinado
`client_type_label`	`additional.fields`	Combinado
`codeDesc_label`	`additional.fields`	Combinado
`code_label`	`additional.fields`	Combinado
`createdAt_label`	`additional.fields`	Combinado
`cs2`	`additional.fields`	Asignado: `arc_test` → `additional_cs2`
`cs5_label`	`additional.fields`	Combinado
`customAttributes_label`	`additional.fields`	Combinado
`deatils_domain_id_label`	`additional.fields`	Combinado
`details_user_metadata_current_domain_id_label`	`additional.fields`	Combinado
`details_user_metadata_current_persistedData_label`	`additional.fields`	Combinado
`details_user_metadata_current_persistedData_paging_label`	`additional.fields`	Combinado
`domain_id_label`	`additional.fields`	Combinado
`domain_label`	`additional.fields`	Combinado
`emptyMaterial_label`	`additional.fields`	Combinado
`feature_label`	`additional.fields`	Combinado
`format_label`	`additional.fields`	Combinado
`generateKeyId_label`	`additional.fields`	Combinado
`idType_label`	`additional.fields`	Combinado
`id_label`	`additional.fields`	Combinado
`identifier_label`	`additional.fields`	Combinado
`interfaceName_label`	`additional.fields`	Combinado
`interfaceType_label`	`additional.fields`	Combinado
`label_label`	`additional.fields`	Combinado
`message`	`additional.fields`	Valores asignados (71 en total, p.ej., `CEF` → `additional_eventId`, `CEF` → `additional_devicePayloa...
`messageFormat_label`	`additional.fields`	Combinado
`meta_label`	`additional.fields`	Combinado
`objectType_label`	`additional.fields`	Combinado
`ownerId_label`	`additional.fields`	Combinado
`padded_label`	`additional.fields`	Combinado
`permissions_label`	`additional.fields`	Combinado
`record_type_id_label`	`additional.fields`	Combinado
`refresh_token_counts_label`	`additional.fields`	Combinado
`refresh_token_counts_no_label`	`additional.fields`	Combinado
`refresh_token_counts_total_label`	`additional.fields`	Combinado
`refresh_token_id_label`	`additional.fields`	Combinado
`renew_refresh_token_label`	`additional.fields`	Combinado
`requestId_label`	`additional.fields`	Combinado
`requestIdentifierType_label`	`additional.fields`	Combinado
`requestIdentifier_label`	`additional.fields`	Combinado
`scope_label`	`additional.fields`	Combinado
`service_label`	`additional.fields`	Combinado
`switch_domain_id_label`	`additional.fields`	Combinado
`undeletable_label`	`additional.fields`	Combinado
`unexportable_label`	`additional.fields`	Combinado
`version_label`	`additional.fields`	Combinado
`xts_label`	`additional.fields`	Combinado
`zone_id_label`	`additional.fields`	Combinado
`details_grant_type`	`extensions.auth.auth_details`	Asignada directamente
`logon_type_temp`	`extensions.auth.mechanism`	Combinado
`message`	`extensions.auth.mechanism`	Asignado: `CEF` → `logon_type_temp`, `Get User` → `logon_type_temp`
`message`	`intermediary`	Asignado: `CEF` → `intermediary`
`proxy_ip`	`intermediary.ip`	Combinado
`msg`	`metadata.description`	Se cambió el nombre o se asignó
`Generated`	`metadata.event_timestamp`	Se analizó como `yyyy-MM-ddTHH:mm:ss`
`Received`	`metadata.event_timestamp`	Se analizó como `yyyy-MM-ddTHH:mm:ss`
`event_time`	`metadata.event_timestamp`	Se analizó como `ISO8601`
`rt`	`metadata.event_timestamp`	Se analizó como `yyyy-MM-ddTHH:mm:ssZ`
`syslog_timestamp`	`metadata.event_timestamp`	Se analizó como `MMM dd HH:mm:ss`
`syslog_timestamp_with_year`	`metadata.event_timestamp`	Se analizó como `MMM dd HH:mm:ss yyyy`
`cef_message`	`metadata.event_type`	Asignado: `(Use Key/Update Key/Export Key)` → `USER_RESOURCE_UPDATE_CONTENT`
`event_name`	`metadata.event_type`	Asignado: `"LogSpyware","LogPredictiveMachineLearning"` → `SCAN_UNCATEGORIZED`
`has_principal`	`metadata.event_type`	Asignado: `true` → `NETWORK_CONNECTION`
`has_user`	`metadata.event_type`	Asignado: `true` → `USER_UNCATEGORIZED`
`message`	`metadata.event_type`	Valores asignados (12 en total, p. ej., `CEF` → `PROCESS_UNCATEGORIZED`, `CEF` → `SCAN_UNCATEGORIZED`,…)
`device_event_class_id`	`metadata.product_event_type`	Asignada directamente
`event_name`	`metadata.product_event_type`	Asignada directamente
`externalId`	`metadata.product_log_id`	Asignada directamente
`id`	`metadata.product_log_id`	Asignada directamente
`uid`	`metadata.product_log_id`	Asignada directamente
`device_product`	`metadata.product_name`	Asignada directamente
`product`	`metadata.product_name`	Asignada directamente
`product_name`	`metadata.product_name`	Asignada directamente
`device_version`	`metadata.product_version`	Asignada directamente
`device_vendor`	`metadata.vendor_name`	Se cambió el nombre o se asignó
`app_protocol_output`	`network.application_protocol`	Asignada directamente
`deviceDirection`	`network.direction`	Asignado: `0` → `INBOUND`, `1` → `OUTBOUND`
`message`	`network.direction`	Asignado: `CEF` → `INBOUND`, `CEF` → `OUTBOUND`
`requestMethod`	`network.http.method`	Se cambió el nombre o se asignó
`requestClientApplication`	`network.http.user_agent`	Se cambió el nombre o se asignó
`ip_protocol_out`	`network.ip_protocol`	Asignada directamente
`in`	`network.received_bytes`	Se cambió el nombre o se asignó
`out`	`network.sent_bytes`	Se cambió el nombre o se asignó
`sntdom`	`principal.administrative_domain`	Se cambió el nombre o se asignó
`sourceServiceName`	`principal.application`	Se cambió el nombre o se asignó
`syslog_host`	`principal.asset.hostname`	Asignada directamente
`details_user_metadata_current_domain_name`	`principal.domain.name`	Asignada directamente
`Group_name`	`principal.group.group_display_name`	Asignada directamente
`Gruppenavn`	`principal.group.group_display_name`	Asignada directamente
`Device_name`	`principal.hostname`	Asignada directamente
`Enhetsnavn`	`principal.hostname`	Asignada directamente
`shost`	`principal.hostname`	Se cambió el nombre o se asignó
`syslog_host`	`principal.hostname`	Asignada directamente
`client_ip`	`principal.ip`	Combinado
`message`	`principal.ip`	Asignado: `CEF` → `principal_ip`, `CEF` → `shost`, `CEF` → `client_ip`, `(Error en el protocolo de enlace SSL…
`principal_ip`	`principal.ip`	Combinado
`shost`	`principal.ip`	Combinado
`mac`	`principal.mac`	Combinado
`message`	`principal.mac`	Asignado: `CEF` → `mac`
`message`	`principal.nat_ip`	Asignado: `CEF` → `sourceTranslatedAddress`
`sourceTranslatedAddress`	`principal.nat_ip`	Combinado
`sourceTranslatedPort`	`principal.nat_port`	Se cambió el nombre o se asignó
`spt`	`principal.port`	Se cambió el nombre o se asignó
`sproc`	`principal.process.command_line`	Se cambió el nombre o se asignó
`spid`	`principal.process.pid`	Se cambió el nombre o se asignó
`acc_label`	`principal.resource.attribute.labels`	Combinado
`acct_label`	`principal.resource.attribute.labels`	Combinado
`iss_label`	`principal.resource.attribute.labels`	Combinado
`jti_label`	`principal.resource.attribute.labels`	Combinado
`message`	`principal.resource.attribute.labels`	Valores asignados (5 en total, p.ej., `CEF` → `acct_label`, `CEF` → `acc_label`, `CEF` → `iss_label`)
`sub_label`	`principal.resource.attribute.labels`	Combinado
`message`	`principal.user.attribute.roles`	Asignado: `CEF` → `principal_role`
`principal_role`	`principal.user.attribute.roles`	Combinado
`details_username`	`principal.user.user_display_name`	Asignada directamente
`suser`	`principal.user.user_display_name`	Asignada directamente
`username`	`principal.user.user_display_name`	Asignada directamente
`details_user_id`	`principal.user.userid`	Asignada directamente
`details_userid`	`principal.user.userid`	Asignada directamente
`suid`	`principal.user.userid`	Se cambió el nombre o se asignó
`user_id`	`principal.user.userid`	Asignada directamente
`username`	`principal.user.userid`	Asignada directamente
`_security_result`	`security_result`	Combinado
`message`	`security_result`	Asignado: `CEF` → `security_result`
`_action`	`security_result.action`	Combinado
`act`	`security_result.action`	Asignado: `accept` → `_action`, `deny` → `_action`
`message`	`security_result.action`	Asignado: `CEF` → `_action`
`Action_Taken`	`security_result.action_details`	Asignada directamente
`act`	`security_result.action_details`	Asignada directamente
`details_errorMessage`	`security_result.action_details`	Asignada directamente
`cat`	`security_result.category_details`	Combinado
`message`	`security_result.category_details`	Asignado: `CEF` → `cat`
`Scan_Type`	`security_result.description`	Asignada directamente
`Type`	`security_result.description`	Asignada directamente
`message`	`security_result.description`	Asignada directamente
`msg_data_2`	`security_result.description`	Asignada directamente
`infection_channel_label`	`security_result.detection_fields`	Combinado
`message`	`security_result.detection_fields`	Valores asignados (7 en total, p. ej., `CEF` → `operation_label`, `CEF` → `operasjon_label`, `CEF` → "…
`operasjon_label`	`security_result.detection_fields`	Combinado
`operation_label`	`security_result.detection_fields`	Combinado
`permission_label`	`security_result.detection_fields`	Combinado
`spyware_Grayware_Type_label`	`security_result.detection_fields`	Combinado
`threat_probability_label`	`security_result.detection_fields`	Combinado
`tillatelse_label`	`security_result.detection_fields`	Combinado
`mwProfile`	`security_result.rule_name`	Asignada directamente
`message`	`security_result.severity`	Asignado: `CEF` → `LOW`, `CEF` → `MEDIUM`, `CEF` → `HIGH`, `CEF` → `CRITICAL`
`severity`	`security_result.severity`	Asignado: `"0", "1", "2", "3", "LOW"` → `LOW`, "4", "5", "6", "MEDIUM", "SUBSTANTIAL", "INFO"…
`Result`	`security_result.summary`	Asignada directamente
`appcategory`	`security_result.summary`	Asignada directamente
`reason`	`security_result.summary`	Se cambió el nombre o se asignó
`success`	`security_result.summary`	Asignada directamente
`Spyware`	`security_result.threat_name`	Asignada directamente
`Unknown_Threat`	`security_result.threat_name`	Asignada directamente
`Virus_Malware_Name`	`security_result.threat_name`	Asignada directamente
`oldFilePath`	`src.file.full_path`	Se cambió el nombre o se asignó
`oldFileSize`	`src.file.size`	Se cambió el nombre o se asignó
`client_ip`	`src.ip`	Combinado
`message`	`src.ip`	Asignado: `CEF` → `client_ip`
`message`	`src.resource.attribute.permissions`	Asignado: `CEF` → `old_permissions`
`old_permissions`	`src.resource.attribute.permissions`	Combinado
`cust_client_id`	`src.user.product_object_id`	Asignada directamente
`details_client_id`	`src.user.product_object_id`	Asignada directamente
`dntdom`	`target.administrative_domain`	Se cambió el nombre o se asignó
`destinationServiceName`	`target.application`	Se cambió el nombre o se asignó
`service`	`target.application`	Asignada directamente
`service_name`	`target.application`	Asignada directamente
`application`	`target.domain.name`	Asignada directamente
`details.size`	`target.file.size`	Se cambió el nombre o se asignó
`details.host`	`target.hostname`	Asignada directamente
`target_hostname`	`target.hostname`	Asignada directamente
`temp_dhost`	`target.hostname`	Asignada directamente
`IPv6_Address`	`target.ip`	Combinado
`dst_ip`	`target.ip`	Combinado
`ipv6`	`target.ip`	Asignado: `-` → `IPv6_Address`
`message`	`target.ip`	Asignado: `CEF` → `dst_ip`, `CEF` → `IPv6_Address`
`mac_address`	`target.mac`	Combinado
`message`	`target.mac`	Asignado: `CEF` → `mac_address`
`destination_translated_address`	`target.nat_ip`	Combinado
`message`	`target.nat_ip`	Asignado: `CEF` → `destination_translated_address`
`destinationTranslatedPort`	`target.nat_port`	Se cambió el nombre o se asignó
`details.port`	`target.port`	Se cambió el nombre o se asignó
`dpt`	`target.port`	Se cambió el nombre o se asignó
`dproc`	`target.process.command_line`	Se cambió el nombre o se asignó
`File_name`	`target.process.file.full_path`	Asignada directamente
`Infected_Resource`	`target.process.file.full_path`	Asignada directamente
`Object`	`target.process.file.full_path`	Asignada directamente
`Objekt`	`target.process.file.full_path`	Asignada directamente
`dpid`	`target.process.pid`	Se cambió el nombre o se asignó
`account_label`	`target.resource.attribute.labels`	Combinado
`connection_label`	`target.resource.attribute.labels`	Combinado
`message`	`target.resource.attribute.labels`	Valores asignados (6 en total, p. ej., `CEF` → `resource_Type_label`, `CEF` → `name_label`, `CEF` → "u…
`name_label`	`target.resource.attribute.labels`	Combinado
`resource_Type_label`	`target.resource.attribute.labels`	Combinado
`uri_label`	`target.resource.attribute.labels`	Combinado
`usageMask_label`	`target.resource.attribute.labels`	Combinado
`source`	`target.resource.name`	Asignada directamente
`request`	`target.url`	Asignada directamente
`message`	`target.user.attribute.roles`	Asignado: `CEF` → `target_role`
`target_role`	`target.user.attribute.roles`	Combinado
`CustomerName`	`target.user.user_display_name`	Asignada directamente
`temp_duser`	`target.user.user_display_name`	Asignada directamente
`Bruker`	`target.user.userid`	Asignada directamente
`User_value`	`target.user.userid`	Asignada directamente
`temp_duid`	`target.user.userid`	Asignada directamente
N/A	`metadata.event_type`	Constante: `GENERIC_EVENT`
N/A	`network.direction`	Constante: `INBOUND`
N/A	`network.ip_protocol`	Constante: `UDP`
N/A	`security_result.severity`	Constante: `LOW`
`details.host`	`event.idm.read_only_udm.target.hostname`	Se asignó desde el registro de cambios
`details.messageFormat`	`event.idm.read_only_udm.additional.fields`	Se asignó desde el registro de cambios
`details.transport`	`event.idm.read_only_udm.network.ip_protocol`	Se asignó desde el registro de cambios
`syslog_timestamp`	`event.idm.read_only_udm.metadata.collected_timestamp`	Se asignó desde el registro de cambios
`syslog_host`	`event.idm.read_only_udm.principal.hostname` y `event.idm.read_only_udm.principal.asset.hostname`	Se asignó desde el registro de cambios
`product`	`event.idm.read_only_udm.metadata.product_name`	Se asignó desde el registro de cambios
`details.errorMessage`	`event.idm.read_only_udm.security_result.action_details`	Se asignó desde el registro de cambios
`sev`	`event.idm.read_only_udm.security_result.detection_fields`	Se asignó desde el registro de cambios

Registro de cambios

Consulta el registro de cambios de este analizador

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.