Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Cisco Catalyst SD-WAN Manager のログを収集する

パーサーのバージョン: 7.0

以下でサポートされています。

Google SecOps SIEM

このドキュメントでは、Google Cloud Storage を使用して Cisco Catalyst SD-WAN Manager（以前の vManage）ログを Google Security Operations に取り込む方法について説明します。Cisco Catalyst SD-WAN Manager は、SD-WAN ファブリックの可視性と制御を提供する一元化されたネットワーク管理システムです。これにより、管理者は分散型エンタープライズネットワーク全体でネットワークパフォーマンスのモニタリング、ポリシーの構成、セキュリティの管理を行うことができます。

始める前に

次の前提条件を満たしていることを確認します。

Google SecOps インスタンス
Cloud Storage API が有効になっている GCP プロジェクト
GCS バケットを作成および管理する権限
GCS バケットの IAM ポリシーを管理する権限
Cloud Run サービス、Pub/Sub トピック、Cloud Scheduler ジョブを作成する権限
Cisco Catalyst SD-WAN Manager 管理コンソールへの特権アクセス
API アクセス権限を持つ Cisco Catalyst SD-WAN Manager ユーザーアカウント

Google Cloud Storage バケットを作成する

Google Cloud コンソールに移動します。
プロジェクトを選択するか、新しいプロジェクトを作成します。
ナビゲーションメニューで、[Cloud Storage > バケット] に移動します。
[バケットを作成] をクリックします。

次の構成情報を提供してください。

設定	値
バケットに名前を付ける	グローバルに一意の名前（`cisco-sdwan-logs-bucket` など）を入力します。
ロケーションタイプ	ニーズに応じて選択します（リージョン、デュアルリージョン、マルチリージョン）。
ロケーション	場所を選択します（例: `us-central1`）。
ストレージクラス	Standard（アクセス頻度の高いログにおすすめ）
アクセス制御	均一（推奨）
保護ツール	省略可: オブジェクトのバージョニングまたは保持ポリシーを有効にする

[作成] をクリックします。

Cisco Catalyst SD-WAN Manager API 認証情報を収集する

API ユーザーアカウントを作成する

Cisco Catalyst SD-WAN Manager コンソールにログインします。
メニューから、[Administration> Manage Users] に移動します。
[ユーザーを追加] をクリックします。
次の構成情報を指定します。
- ユーザー名: API アクセス用のユーザー名を入力します（例: chronicle-api）。
- パスワード: 安全なパスワードを入力します。
- パスワードを確認: パスワードを再入力します。
- ユーザーグループ: 適切な権限を持つユーザーグループを選択します（次のセクションを参照）。
[追加] をクリックします。
次の詳細情報をコピーして安全な場所に保存します。
- ユーザー名: Catalyst SD-WAN Manager のユーザー名。
- Password: Catalyst SD-WAN Manager のパスワード。
- Catalyst SD-WAN Manager のベース URL: Catalyst SD-WAN Manager サーバーのベース URL（https://sdwan-manager.example.com:8443 など）。
注: これらの認証情報は、Cloud Run functions が Cisco Catalyst SD-WAN Manager API に対して認証を行うために使用されます。

ユーザー権限を構成する

API ユーザーアカウントには、監査ログ、アラーム、イベントにアクセスするための特定の権限が必要です。

Cisco Catalyst SD-WAN Manager コンソールで、メニューから [Administration] > [Manage Users] > [User Groups] に移動します。
API ユーザーに割り当てられているユーザーグループを選択します（または、[ユーザーグループを追加] をクリックして新しいグループを作成します）。
[編集] をクリックします。
[機能] セクションで、次の権限が有効になっていることを確認します。
- 監査ログ: [読み取り] 権限を選択します。
- アラーム: [読み取り] 権限を選択します。
- イベント: [読み取り] 権限を選択します。
[更新] をクリックします。

API アクセスを確認する

統合に進む前に、認証情報をテストします。

ターミナルまたはコマンドプロンプトを開きます。

次のコマンドを実行して認証をテストします。

# Replace with your actual credentials
SDWAN_HOST="https://sdwan-manager.example.com:8443"
SDWAN_USERNAME="chronicle-api"
SDWAN_PASSWORD="your-password"

# Test authentication using session-based login (returns JSESSIONID cookie)
curl -c cookies.txt -X POST \
  "${SDWAN_HOST}/j_security_check" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "j_username=${SDWAN_USERNAME}&j_password=${SDWAN_PASSWORD}"

# Get CSRF token (X-XSRF-TOKEN)
curl -b cookies.txt \
  "${SDWAN_HOST}/dataservice/client/token"

認証に成功すると、2 番目のコマンドは CSRF トークン文字列を返します。

Cloud Run functions のサービスアカウントを作成する

Cloud Run functions には、GCS バケットへの書き込み権限があり、Pub/Sub によって呼び出されるサービスアカウントが必要です。

サービスアカウントの作成

GCP コンソールで、[IAM と管理>サービスアカウント] に移動します。
[サービスアカウントを作成] をクリックします。
次の構成情報を指定します。
- サービスアカウント名: 「cisco-sdwan-collector-sa」と入力します。
- サービスアカウントの説明: 「Service account for Cloud Run function to collect Cisco Catalyst SD-WAN Manager logs」と入力します。
[作成して続行] をクリックします。
[このサービスアカウントにプロジェクトへのアクセスを許可する] セクションで、次のロールを追加します。
1. [ロールを選択] をクリックします。
2. [ストレージオブジェクト管理者] を検索して選択します。
3. [+ 別のロールを追加] をクリックします。
4. [Cloud Run 起動元] を検索して選択します。
5. [+ 別のロールを追加] をクリックします。
6. [Cloud Functions 起動元] を検索して選択します。
[続行] をクリックします。
[完了] をクリックします。

これらのロールは、次の操作に必要です。

Storage オブジェクト管理者: ログを GCS バケットに書き込み、状態ファイルを管理する
Cloud Run 起動元: Pub/Sub が関数を呼び出すことを許可します。
Cloud Functions 起動元: 関数の呼び出しを許可する

GCS バケットに対する IAM 権限を付与する

GCS バケットに対する書き込み権限をサービスアカウントに付与します。

[Cloud Storage] > [バケット] に移動します。
バケット名をクリックします。
[権限] タブに移動します。
[アクセス権を付与] をクリックします。
次の構成情報を指定します。
- プリンシパルを追加: サービスアカウントのメールアドレス（例: cisco-sdwan-collector-sa@PROJECT_ID.iam.gserviceaccount.com）を入力します。
- ロールを割り当てる: [ストレージオブジェクト管理者] を選択します。
[保存] をクリックします。

Pub/Sub トピックの作成

Cloud Scheduler がパブリッシュし、Cloud Run 関数がサブスクライブする Pub/Sub トピックを作成します。

GCP Console で、[Pub/Sub> トピック] に移動します。
[トピックを作成] をクリックします。
次の構成情報を指定します。
- トピック ID: 「cisco-sdwan-trigger」と入力します。
- その他の設定はデフォルトのままにします。
[作成] をクリックします。

ログを収集する Cloud Run 関数を作成する

Cloud Run 関数は、Cloud Scheduler からの Pub/Sub メッセージによってトリガーされ、Cisco Catalyst SD-WAN Manager API からログを取得して GCS に書き込みます。

GCP Console で、[Cloud Run] に移動します。
[サービスを作成] をクリックします。
[関数] を選択します（インラインエディタを使用して関数を作成します）。

[構成] セクションで、次の構成の詳細を指定します。

設定	値
サービス名	`cisco-sdwan-log-collector`
リージョン	GCS バケットと一致するリージョンを選択します（例: `us-central1`）。
ランタイム	[Python 3.12] 以降を選択します。

[トリガー（省略可）] セクションで、次の操作を行います。
1. [+ トリガーを追加] をクリックします。
2. [Cloud Pub/Sub] を選択します。
3. [Cloud Pub/Sub トピックを選択してください] で、トピック（cisco-sdwan-trigger）を選択します。
4. [保存] をクリックします。
[認証] セクションで、次の操作を行います。
1. [認証が必要] を選択します。
2. Identity and Access Management（IAM）を確認します。
注: Pub/Sub は、関数を呼び出すときに認証を自動的に処理します。
下にスクロールして、[コンテナ、ネットワーキング、セキュリティ] を開きます。
[セキュリティ] タブに移動します。
- サービスアカウント: サービスアカウント（cisco-sdwan-collector-sa）を選択します。

[コンテナ] タブに移動します。

[変数とシークレット] をクリックします。
環境変数ごとに [+ 変数を追加] をクリックします。

変数名	値の例
`GCS_BUCKET`	`cisco-sdwan-logs-bucket`
`GCS_PREFIX`	`cisco-sdwan`
`STATE_KEY`	`cisco-sdwan/state.json`
`SDWAN_HOST`	`https://sdwan-manager.example.com:8443`
`SDWAN_USERNAME`	`chronicle-api`
`SDWAN_PASSWORD`	`your-sdwan-password`
`LOOKBACK_HOURS`	`1`

[変数とシークレット] タブで [リクエスト] まで下にスクロールします。
- リクエストのタイムアウト: 600 秒（10 分）を入力します。
[コンテナ] の [設定] タブに移動します。
- [リソース] セクションで次の操作を行います。
  - メモリ: 512 MiB 以上を選択します。
  - CPU: [1] を選択します。
[リビジョンスケーリング] セクションで、次の操作を行います。
- [インスタンスの最小数] に「0」と入力します。
- インスタンスの最大数: 100 と入力します（または、想定される負荷に基づいて調整します）。
[作成] をクリックします。
サービスが作成されるまで待ちます（1 ～ 2 分）。
サービスを作成すると、インラインコードエディタが自動的に開きます。

関数コードを追加する

[エントリポイント] フィールドに「main」と入力します。

インラインコードエディタで、次の 2 つのファイルを作成します。

main.py:

import functions_framework
from google.cloud import storage
import json
import os
import urllib3
import urllib.parse
from datetime import datetime, timezone, timedelta
import time

# Disable SSL warnings for self-signed certificates (testing only)
urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=10.0, read=60.0),
    cert_reqs='CERT_NONE',
    retries=urllib3.Retry(total=3, backoff_factor=1)
)

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
SDWAN_HOST = os.environ.get('SDWAN_HOST', '').rstrip('/')
SDWAN_USERNAME = os.environ.get('SDWAN_USERNAME', '')
SDWAN_PASSWORD = os.environ.get('SDWAN_PASSWORD', '')
GCS_BUCKET = os.environ.get('GCS_BUCKET', '')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'cisco-sdwan')
STATE_KEY = os.environ.get('STATE_KEY', 'cisco-sdwan/state.json')
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '1'))

class CatalystSDWANAPI:
    """Client for Cisco Catalyst SD-WAN Manager API (formerly vManage)."""

    def __init__(self, host, username, password):
        self.host = host
        self.username = username
        self.password = password
        self.jsessionid = None
        self.xsrf_token = None

    def authenticate(self):
        """Authenticate using session-based login (j_security_check)."""
        try:
            login_url = f"{self.host}/j_security_check"
            login_data = urllib.parse.urlencode({
                'j_username': self.username,
                'j_password': self.password
            }).encode('utf-8')

            response = http.request(
                'POST',
                login_url,
                body=login_data,
                headers={'Content-Type': 'application/x-www-form-urlencoded'},
            )

            if b'<html>' in response.data or response.status != 200:
                print(f"Authentication failed: HTTP {response.status}")
                return False

            # Extract JSESSIONID from Set-Cookie header
            cookie_header = response.headers.get('Set-Cookie', '')
            for part in cookie_header.split(','):
                if 'JSESSIONID=' in part:
                    self.jsessionid = part.split('JSESSIONID=')[1].split(';')[0]
                    break

            if not self.jsessionid:
                print("Failed to extract JSESSIONID from response")
                return False

            # Get XSRF token
            token_url = f"{self.host}/dataservice/client/token"
            headers = {
                'Content-Type': 'application/json',
                'Cookie': f"JSESSIONID={self.jsessionid}"
            }
            response = http.request('GET', token_url, headers=headers)

            if response.status == 200:
                self.xsrf_token = response.data.decode('utf-8').strip()
                print("Successfully authenticated with Catalyst SD-WAN Manager")
                return True
            else:
                print(f"Failed to get XSRF token: HTTP {response.status}")
                return False

        except Exception as e:
            print(f"Authentication error: {e}")
            return False

    def _get_headers(self):
        """Build headers for authenticated API requests."""
        return {
            'Content-Type': 'application/json',
            'Accept': 'application/json',
            'Cookie': f"JSESSIONID={self.jsessionid}",
            'X-XSRF-TOKEN': self.xsrf_token
        }

    def _build_query(self, last_epoch_ms=None):
        """Build a query payload with entry_time filter."""
        query = {
            "query": {
                "condition": "AND",
                "rules": []
            },
            "size": 10000
        }
        if last_epoch_ms:
            query["query"]["rules"].append({
                "value": [str(last_epoch_ms)],
                "field": "entry_time",
                "type": "date",
                "operator": "greater"
            })
        else:
            query["query"]["rules"].append({
                "value": [str(LOOKBACK_HOURS)],
                "field": "entry_time",
                "type": "date",
                "operator": "last_n_hours"
            })
        return query

    def fetch_data(self, endpoint, last_epoch_ms=None):
        """Fetch data from a /dataservice endpoint using POST with query body."""
        url = f"{self.host}/dataservice/{endpoint}"
        headers = self._get_headers()
        query = self._build_query(last_epoch_ms)

        try:
            response = http.request(
                'POST',
                url,
                body=json.dumps(query),
                headers=headers,
            )

            if response.status == 200:
                return json.loads(response.data.decode('utf-8'))
            else:
                print(f"Failed to get {endpoint}: HTTP {response.status}")
                return None

        except Exception as e:
            print(f"Error fetching {endpoint}: {e}")
            return None

def load_state(bucket):
    """Load the last run timestamp (epoch ms) from GCS state file."""
    try:
        blob = bucket.blob(STATE_KEY)
        if blob.exists():
            state_data = json.loads(blob.download_as_text())
            return state_data.get('last_run_time')
    except Exception as e:
        print(f"Warning: Could not load state: {e}")
    return None

def save_state(bucket, epoch_ms):
    """Save the current run timestamp (epoch ms) to GCS state file."""
    try:
        state_data = {
            'last_run_time': epoch_ms,
            'updated_at': datetime.now(timezone.utc).isoformat()
        }
        blob = bucket.blob(STATE_KEY)
        blob.upload_from_string(
            json.dumps(state_data),
            content_type='application/json'
        )
        print(f"Saved state: last_run_time={epoch_ms}")
    except Exception as e:
        print(f"Warning: Could not save state: {e}")

def upload_to_gcs(bucket, records, log_type):
    """Upload log records to GCS as NDJSON."""
    if not records:
        print(f"No {log_type} records to upload")
        return 0

    dt = datetime.now(timezone.utc)
    object_key = (
        f"{GCS_PREFIX}/{log_type}/"
        f"{dt.strftime('%Y/%m/%d')}/"
        f"{log_type}_{dt.strftime('%Y%m%d_%H%M%S')}.ndjson"
    )

    ndjson = '\n'.join(
        json.dumps(record, ensure_ascii=False) for record in records
    ) + '\n'

    blob = bucket.blob(object_key)
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')
    print(f"Uploaded {len(records)} {log_type} records to gs://{GCS_BUCKET}/{object_key}")
    return len(records)

@functions_framework.cloud_event
def main(cloud_event):
    """
    Cloud Run function triggered by Pub/Sub.
    Fetches audit logs, alarms, and events from Cisco Catalyst SD-WAN Manager
    API and writes them to GCS as NDJSON files.

    Args:
        cloud_event: CloudEvent object containing Pub/Sub message
    """
    print(f"Starting Cisco Catalyst SD-WAN Manager log collection at {datetime.now(timezone.utc).isoformat()}")

    if not all([SDWAN_HOST, SDWAN_USERNAME, SDWAN_PASSWORD, GCS_BUCKET]):
        print("Error: Missing required environment variables")
        return

    try:
        bucket = storage_client.bucket(GCS_BUCKET)

        # Load last run timestamp
        last_run_time = load_state(bucket)
        if last_run_time:
            print(f"Resuming from last_run_time={last_run_time}")
        else:
            print(f"No previous state found, collecting last {LOOKBACK_HOURS} hour(s) of logs")

        # Authenticate
        api = CatalystSDWANAPI(SDWAN_HOST, SDWAN_USERNAME, SDWAN_PASSWORD)
        if not api.authenticate():
            print("Failed to authenticate with Catalyst SD-WAN Manager")
            return

        # Current timestamp for state tracking (epoch milliseconds)
        current_time = int(datetime.now(timezone.utc).timestamp() * 1000)

        # Collect audit logs, alarms, and events
        endpoints = [
            ('audit_logs', 'auditlog'),
            ('alarms', 'alarms'),
            ('events', 'events'),
        ]

        total_records = 0
        for log_type, endpoint in endpoints:
            try:
                print(f"Collecting {log_type} from /dataservice/{endpoint}...")
                response_data = api.fetch_data(endpoint, last_run_time)
                if response_data and 'data' in response_data:
                    count = upload_to_gcs(bucket, response_data['data'], log_type)
                    total_records += count
                else:
                    print(f"No {log_type} data returned")
            except Exception as e:
                print(f"Error processing {log_type}: {e}")
                continue

        # Update state
        save_state(bucket, current_time)

        print(f"Collection completed. Total records processed: {total_records}")

    except Exception as e:
        print(f"Function execution error: {e}")
        raise

requirements.txt:

functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

[デプロイ] をクリックして、関数を保存してデプロイします。
デプロイが完了するまで待ちます（2 ～ 3 分）。

注: Pub/Sub トリガー構成では、必要なサブスクリプションと権限が自動的に作成されます。

Cloud Scheduler ジョブの作成

Cloud Scheduler は、定期的に Pub/Sub トピックにメッセージをパブリッシュし、Cloud Run functions の関数をトリガーします。

GCP Console で、[Cloud Scheduler] に移動します。
[ジョブを作成] をクリックします。

次の構成情報を提供してください。

設定	値
名前	`cisco-sdwan-log-collector-hourly`
リージョン	Cloud Run functions と同じリージョンを選択する
周波数	`0 * * * *`（1 時間ごと、毎正時）
タイムゾーン	タイムゾーンを選択（UTC を推奨）
ターゲットタイプ	Pub/Sub
トピック	トピックを選択する（`cisco-sdwan-trigger`）
メッセージ本文	`{}`（空の JSON オブジェクト）

[作成] をクリックします。

スケジュールの頻度オプション

ログの量とレイテンシの要件に基づいて頻度を選択します。

頻度	CRON 式	ユースケース
5 分おき	`/5 * * *`	大容量、低レイテンシ
15 分ごと	`/15 * * *`	検索量が普通
1 時間ごと	`0 * * * *`	標準（推奨）
6 時間ごと	`0 /6 * *`	少量、バッチ処理
毎日	`0 0 * * *`	過去のデータの収集

統合をテストする

Cloud Scheduler コンソールで、ジョブを見つけます。
[強制実行] をクリックして、ジョブを手動でトリガーします。
数秒待ちます。
Cloud Run > [サービス] に移動します。
関数名（cisco-sdwan-log-collector）をクリックします。
[ログ] タブをクリックします。

関数が正常に実行されたことを確認します。以下のものを探します。

Starting Cisco Catalyst SD-WAN Manager log collection at ...
Successfully authenticated with Catalyst SD-WAN Manager
Collecting audit_logs from /dataservice/auditlog...
Uploaded N audit_logs records to gs://...
Collection completed. Total records processed: N

[Cloud Storage] > [バケット] に移動します。
バケット名をクリックします。
接頭辞フォルダ（cisco-sdwan/）に移動します。
新しい .ndjson ファイルが現在のタイムスタンプで作成されたことを確認します。

ログにエラーが表示された場合:

HTTP 401: 環境変数で API 認証情報を確認する
HTTP 403: ユーザーアカウントに監査ログ、アラーム、イベントに必要な読み取り権限があることを確認します。
認証に失敗しました: Catalyst SD-WAN Manager のベース URL に正しいポート（デフォルトは 8443）が含まれていることを確認します。
環境変数が不足している: 必要な変数がすべて設定されていることを確認します。

Cisco Catalyst SD-WAN Manager のログを取り込むように Google SecOps でフィードを構成する

[SIEM 設定] > [フィード] に移動します。
[Add New Feed] をクリックします。
[単一フィードを設定] をクリックします。
[フィード名] フィールドに、フィードの名前を入力します（例: Cisco Catalyst SD-WAN Manager logs）。
[ソースタイプ] として [Google Cloud Storage V2] を選択します。
[Log type] として [Cisco SD-WAN] を選択します。
[サービスアカウントを取得する] をクリックします。一意のサービスアカウントのメールアドレスが表示されます（例:）。
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
このメールアドレスをコピーして、次のステップで使用します。

注: 各 Google SecOps インスタンスには一意のサービスアカウントがあります。他のドキュメントや例のサービスアカウントは使用しないでください。
[次へ] をクリックします。
次の入力パラメータの値を指定します。
- ストレージバケットの URL: 接頭辞パスを含む GCS バケット URI を入力します。
```
gs://cisco-sdwan-logs-bucket/cisco-sdwan/
```
  - 次のように置き換えます。
    - cisco-sdwan-logs-bucket: GCS バケット名。
    - cisco-sdwan/: ログが保存されるオプションの接頭辞/フォルダパス（ルートの場合は空のままにします）。
注: URI の末尾には常にスラッシュ（/）を含めてください。
- Source deletion option: 必要に応じて削除オプションを選択します。
  - なし: 転送後にファイルを削除しません（テストにおすすめ）。
  - 転送されたファイルを削除する: 転送が完了した後にファイルを削除します。
  - 転送されたファイルと空のディレクトリを削除する: 転送が完了した後にファイルと空のディレクトリを削除します。
  注: 削除オプションを選択する場合は、サービスアカウントに Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者のロールが必要です。必要に応じて IAM 権限を更新します。
- ファイルの最大経過日数: 過去の日数以内に変更されたファイルを含めます（デフォルトは 180 日）。
- アセットの名前空間: アセットの名前空間。
- Ingestion labels: このフィードのイベントに適用されるラベル。
[次へ] をクリックします。
[Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

Google SecOps サービスアカウントに IAM 権限を付与する

Google SecOps サービスアカウントには、GCS バケットに対する Storage オブジェクト閲覧者のロールが必要です。

[Cloud Storage] > [バケット] に移動します。
バケット名をクリックします。
[権限] タブに移動します。
[アクセス権を付与] をクリックします。
次の構成情報を指定します。
- プリンシパルを追加: Google SecOps サービスアカウントのメールアドレスを貼り付けます。
- ロールを割り当てる: [Storage オブジェクト閲覧者] を選択します。
[保存] をクリックします。

注: 削除オプションの [転送されたファイルを削除] または [転送されたファイルと空のディレクトリを削除] を使用する場合は、Storage オブジェクト閲覧者ではなく、Storage オブジェクト管理者ロールを付与します。

UDM マッピングテーブル

ログフィールド	UDM マッピング	ロジック
`Tunnel_id_label`	`additional.fields`	統合済み
`additional_tag`	`additional.fields`	統合済み
`count_label`	`additional.fields`	統合済み
`dst_vrf_label`	`additional.fields`	統合済み
`logfeature_label`	`additional.fields`	統合済み
`logmodule_label`	`additional.fields`	統合済み
`meta_sequenceId_label`	`additional.fields`	統合済み
`msg_label`	`additional.fields`	統合済み
`qfp_label`	`additional.fields`	統合済み
`result_label`	`additional.fields`	統合済み
`rsa_sha256_label`	`additional.fields`	統合済み
`rsa_type_label`	`additional.fields`	統合済み
`sequence_label`	`additional.fields`	統合済み
`src_vrf_label`	`additional.fields`	統合済み
`tenant_vpn_id_label`	`additional.fields`	統合済み
`thread_label`	`additional.fields`	統合済み
`tos_label`	`additional.fields`	統合済み
`unknown_tenant_label`	`additional.fields`	統合済み
`vlan_id_label`	`additional.fields`	統合済み
`vpn_id_label`	`additional.fields`	統合済み
`description_1`	`extensions.auth.type`	マッピング: `(?i)closed` → `AUTHTYPE_UNSPECIFIED`
`msg1`	`extensions.auth.type`	マッピング: `authenticated` → `AUTHTYPE_UNSPECIFIED`
`msgs`	`extensions.auth.type`	マッピング: `(?i)success` → `AUTHTYPE_UNSPECIFIED`
`prod_type`	`extensions.auth.type`	マッピング: `(?i)LOGOUT` → `AUTHTYPE_UNSPECIFIED`
`host_name`	`intermediary.asset.hostname`	直接マッピングされます。
`host_name`	`intermediary.hostname`	直接マッピングされます。
`inter_host`	`intermediary.hostname`	直接マッピングされます。
`logmsg`	`metadata.description`	直接マッピングされます。
`message_value`	`metadata.description`	直接マッピングされます。
`msgs`	`metadata.description`	直接マッピングされます。
`date_time`	`metadata.event_timestamp`	`ISO8601` として解析済み
`time`	`metadata.event_timestamp`	`ISO8601` として解析済み
`time_t`	`metadata.event_timestamp`	`ISO8601` として解析済み
`timestamp`	`metadata.event_timestamp`	`ISO8601` として解析済み
`description_1`	`metadata.event_type`	マッピング: `(?i)closed` → `USER_LOGOUT`
`has_principal`	`metadata.event_type`	マッピング: `true` → `NETWORK_CONNECTION`、`true` → `STATUS_UPDATE`
`has_principal_user`	`metadata.event_type`	マッピング: `true` → `USER_UNCATEGORIZED`
`msg1`	`metadata.event_type`	マッピング: `authenticated` → `USER_LOGIN`
`msgs`	`metadata.event_type`	マッピング: `(?i)success` → `USER_LOGIN`
`prod_type`	`metadata.event_type`	マッピング: `(?i)LOGOUT` → `USER_LOGOUT`
`prod_type`	`metadata.product_event_type`	直接マッピングされます。
`log_id`	`metadata.product_log_id`	直接マッピングされます。
`logid`	`metadata.product_log_id`	直接マッピングされます。
`application_protocol`	`network.application_protocol`	マッピング: `(?i)SSH` → `SSH`
`message`	`network.application_protocol`	マッピング: `(?i)SSH` → `SSH`、`(?i)netconf` → `NETCONF`、`(?i)dhcp` → `DHCP`
`type1`	`network.dhcp.type`	マッピング: `DHCPDISCOVER` → `DISCOVER`
`message`	`network.ip_protocol`	マッピング: `(?i)tcp` → `TCP`
`network_protocol`	`network.ip_protocol`	直接マッピングされます。
`bytes`	`network.sent_bytes`	直接マッピングされます。
`session_id`	`network.session_id`	直接マッピングされます。
`network_host`	`network.tls.cipher`	直接マッピングされます。
`hostname`	`principal.asset.hostname`	直接マッピングされます。
`host`	`principal.asset.ip`	統合済み
`initiator_ip`	`principal.asset.ip`	統合済み
`ip`	`principal.asset.ip`	統合済み
`ipaddress`	`principal.asset.ip`	統合済み
`logusersrcip`	`principal.asset.ip`	統合済み
`peer_ip`	`principal.asset.ip`	統合済み
`principal_ip`	`principal.asset.ip`	統合済み
`principal_ip1`	`principal.asset.ip`	統合済み
`proxy_host`	`principal.asset.ip`	統合済み
`src_ip`	`principal.asset.ip`	統合済み
`system_ip`	`principal.asset.ip`	統合済み
`addr`	`principal.hostname`	直接マッピングされます。
`hostname`	`principal.hostname`	直接マッピングされます。
`host`	`principal.ip`	統合済み
`initiator_ip`	`principal.ip`	統合済み
`ip`	`principal.ip`	統合済み
`ipaddress`	`principal.ip`	統合済み
`logusersrcip`	`principal.ip`	統合済み
`peer_ip`	`principal.ip`	統合済み
`principal_ip`	`principal.ip`	統合済み
`principal_ip1`	`principal.ip`	統合済み
`proxy_host`	`principal.ip`	統合済み
`src_ip`	`principal.ip`	統合済み
`system_ip`	`principal.ip`	統合済み
`initiator_port`	`principal.port`	直接マッピングされます。
`port`	`principal.port`	直接マッピングされます。
`ports`	`principal.port`	直接マッピングされます。
`principal_port`	`principal.port`	直接マッピングされます。
`principal_port1`	`principal.port`	直接マッピングされます。
`src_port`	`principal.port`	直接マッピングされます。
`process_path`	`principal.process.file.full_path`	直接マッピングされます。
`parent_pid`	`principal.process.parent_process.pid`	直接マッピングされます。
`pid`	`principal.process.pid`	直接マッピングされます。
`process_label`	`principal.resource.attribute.labels`	統合済み
`process_name_label`	`principal.resource.attribute.labels`	統合済み
`loguser`	`principal.user.userid`	直接マッピングされます。
`user1`	`principal.user.userid`	直接マッピングされます。
`user_id`	`principal.user.userid`	直接マッピングされます。
`username`	`principal.user.userid`	直接マッピングされます。
`action`	`security_result.action`	統合済み
`message`	`security_result.action`	マッピング: `(?i)(succeeded/accounting start/open/occurred/update/successfully/success)` → `acti...
`classification`	`security_result.category_details`	統合済み
`msg1`	`security_result.description`	直接マッピングされます。
`Malware_label`	`security_result.detection_fields`	統合済み
`direction_label`	`security_result.detection_fields`	統合済み
`egress_interface_label`	`security_result.detection_fields`	統合済み
`ingress_interface_label`	`security_result.detection_fields`	統合済み
`log_prefix_label`	`security_result.detection_fields`	統合済み
`log_reason_label`	`security_result.detection_fields`	統合済み
`packet_label`	`security_result.detection_fields`	統合済み
`policy_label`	`security_result.detection_fields`	統合済み
`port_label`	`security_result.detection_fields`	統合済み
`protocol_label`	`security_result.detection_fields`	統合済み
`proxy_port_label`	`security_result.detection_fields`	統合済み
`sent_bytes_1_label`	`security_result.detection_fields`	統合済み
`sent_bytes_2_label`	`security_result.detection_fields`	統合済み
`tty_label`	`security_result.detection_fields`	統合済み
`type_label`	`security_result.detection_fields`	統合済み
`udp_packets_label`	`security_result.detection_fields`	統合済み
`priority`	`security_result.severity`	マッピング: `1` → `LOW`
`description_1`	`security_result.summary`	直接マッピングされます。
`dst_ip`	`target.asset.ip`	統合済み
`ipadres`	`target.asset.ip`	統合済み
`logdeviceid`	`target.asset.ip`	統合済み
`responder_ip`	`target.asset.ip`	統合済み
`target_ip`	`target.asset.ip`	統合済み
`target_ip1`	`target.asset.ip`	統合済み
`filename`	`target.file.names`	統合済み
`dst_ip`	`target.ip`	統合済み
`ipadres`	`target.ip`	統合済み
`logdeviceid`	`target.ip`	統合済み
`responder_ip`	`target.ip`	統合済み
`target_ip`	`target.ip`	統合済み
`target_ip1`	`target.ip`	統合済み
`dst_port`	`target.port`	直接マッピングされます。
`prts`	`target.port`	直接マッピングされます。
`responder_port`	`target.port`	直接マッピングされます。
`target_port`	`target.port`	直接マッピングされます。
`target_port1`	`target.port`	直接マッピングされます。
`filetype`	`target.process.file.mime_type`	直接マッピングされます。
`parent_identifier_label`	`target.resource.attribute.labels`	統合済み
`specific_identifer_label`	`target.resource.attribute.labels`	統合済み
`target_name`	`target.resource.name`	直接マッピングされます。
`instance_id`	`target.resource.product_object_id`	直接マッピングされます。
`target_username`	`target.user.userid`	直接マッピングされます。
`user`	`target.user.userid`	直接マッピングされます。
なし	`extensions.auth.type`	定数: `AUTHTYPE_UNSPECIFIED`
なし	`metadata.event_type`	定数: `USER_LOGIN`
なし	`network.application_protocol`	定数: `SSH`
なし	`network.dhcp.type`	定数: `DISCOVER`
なし	`network.ip_protocol`	定数: `TCP`
なし	`security_result.severity`	定数: `LOW`
`rsa_type`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`sha_256`	`event.idm.read_only_udm.additional.fields`	変更履歴からマッピング
`NETCONF`	`event.idm.read_only_udm.network.application_protocol`	変更履歴からマッピング
`TCP`	`event.idm.read_only_udm.network.ip_protocol`	変更履歴からマッピング
`DHCP`	`event.idm.read_only_udm.network.application_protocol`	変更履歴からマッピング
`username1`	`target.user.userid`	変更履歴からマッピング
`security_result.action`	`ALLOW`	変更履歴からマッピング
`ip_1`	`principal.ip`	変更履歴からマッピング
`ip_2`	`target.ip`	変更履歴からマッピング
`port_1`	`principal.port`	変更履歴からマッピング
`port_2`	`target.port`	変更履歴からマッピング
`message_1`	`metadata.description`	変更履歴からマッピング
`malware`	`security_result.detection_fields`	変更履歴からマッピング

変更ログ

このパーサーの変更ログを表示する

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。