‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

איסוף יומנים של Citrix Analytics

גרסת כלי הניתוח: 1.0

נתמך ב:

Google SecOps SIEM

במאמר הזה מוסבר איך להטמיע יומנים של Citrix Analytics ב-Google Security Operations באמצעות Google Cloud Storage. ‫Citrix Analytics for Performance (Cloud Software Group) מספק נתוני ביצועים נצברים מסביבות Citrix Virtual Apps ו-Desktops, ומאפשר לכם לאחזר נתונים של סשנים, מכונות ומשתמשים באמצעות OData API. ‫Citrix Analytics for Security מספק תובנות לגבי סיכונים ואירועים ממקורות נתונים שאפשר לייצא באמצעות שילוב SIEM מבוסס-Kafka.

לפני שמתחילים

חשוב לוודא שמתקיימות הדרישות המוקדמות הבאות:

מופע של Google SecOps
פרויקט ב-GCP עם Cloud Storage API מופעל
הרשאות ליצירה ולניהול של מאגרי GCS
הרשאות ליצירת שירותי Cloud Run, נושאי Pub/Sub ומשימות Cloud Scheduler
גישה עם הרשאות לדייר ב-Citrix Analytics for Performance
פרטי כניסה ל-Citrix Cloud API (מזהה לקוח, סוד לקוח, מזהה לקוח)

איסוף פרטי הכניסה ל-Citrix Analytics API

קבלת פרטי כניסה ל-Citrix Cloud API

נכנסים ל-Citrix Cloud Console.
לוחצים על סמל התפריט בפינה הימנית העליונה של המסך.
בתפריט, בוחרים באפשרות ניהול זהויות וגישה.
בוחרים בכרטיסייה גישת API.
לוחצים על Create Client.
מעתיקים ושומרים את הפרטים הבאים במקום מאובטח:
- Client ID
- סוד לקוח
- מזהה הלקוח (נמצא בכתובת ה-URL של Citrix Cloud או בדף IAM)

קביעת כתובת ה-URL הבסיסית של ה-API

כתובת ה-URL הבסיסית של OData API תלויה באזור של Citrix Cloud:

אזור	כתובת URL בסיסית של ה-API
ארצות הברית	`https://api.cloud.com/casodata`
האיחוד האירופי	`https://api.eu.cloud.com/casodata`
אסיה פסיפיק דרום	`https://api.ap-s.cloud.com/casodata`

אימות ההרשאות

כדי לוודא שיש לחשבון את ההרשאות הנדרשות:

נכנסים ל-Citrix Cloud.
עוברים אל ניהול הזהויות והרשאות הגישה > אדמינים.
מוודאים שלחשבון שמשמש ליצירת פרטי הכניסה ל-API יש גישה מלאה או גישה בהתאמה אישית עם הרשאות מופעלות ל-Citrix Analytics for Performance.
אם אתם לא רואים את ההרשאות הנדרשות, פנו לאדמין של Citrix Cloud כדי לקבל גישה.

בדיקת הגישה ל-API

לפני שממשיכים בשילוב, חשוב לבדוק את פרטי הכניסה:

CITRIX_CUSTOMER_ID="your-customer-id"
CITRIX_CLIENT_ID="your-client-id"
CITRIX_CLIENT_SECRET="your-client-secret"

# Get bearer token
TOKEN=$(curl -s -X POST \
  "https://api.cloud.com/cctrustoauth2/${CITRIX_CUSTOMER_ID}/tokens/clients" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=client_credentials&client_id=${CITRIX_CLIENT_ID}&client_secret=${CITRIX_CLIENT_SECRET}" \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['access_token'])")

# Test OData API access
curl -v -H "Authorization: CwsAuth bearer=${TOKEN}" \
  -H "Citrix-CustomerId: ${CITRIX_CUSTOMER_ID}" \
  -H "Accept: application/json" \
  "https://api.cloud.com/casodata/sessions?\$top=1"

יצירת קטגוריה של Google Cloud Storage

נכנסים אל מסוף Google Cloud.
בוחרים פרויקט או יוצרים פרויקט חדש.
בתפריט הניווט, עוברים אל Cloud Storage > Buckets.
לוחצים על Create bucket.

מספקים את פרטי ההגדרה הבאים:

הגדרה	ערך
Name your bucket (שם הקטגוריה)	מזינים שם ייחודי גלובלית (לדוגמה, `citrix-analytics-logs`)
סוג המיקום	בוחרים לפי הצרכים (אזור, שני אזורים, מספר אזורים)
Location	בוחרים את המיקום (לדוגמה, `us-central1`).
סוג אחסון (storage class)	רגיל (מומלץ ליומנים שמתבצעת אליהם גישה לעיתים קרובות)
בקרת גישה	אחיד (מומלץ)
כלים להגנה	אופציונלי: הפעלת ניהול גרסאות של אובייקטים או מדיניות שמירת נתונים

לוחצים על יצירה.

יצירת חשבון שירות לפונקציית Cloud Run

פונקציית Cloud Run צריכה חשבון שירות עם הרשאות כתיבה לקטגוריה של GCS והרשאה להפעלה על ידי Pub/Sub.

יצירת חשבון שירות

במסוף GCP, עוברים אל IAM & Admin > Service Accounts.
לוחצים על יצירת חשבון שירות.
מספקים את פרטי ההגדרה הבאים:
- שם חשבון השירות: מזינים citrix-analytics-collector-sa
- תיאור חשבון השירות: מזינים Service account for Cloud Run function to collect Citrix Analytics logs
לוחצים על יצירה והמשך.
בקטע Grant this service account access to project (מתן גישה של חשבון השירות הזה לפרויקט), מוסיפים את התפקידים הבאים:
1. לוחצים על בחירת תפקיד.
2. מחפשים את Storage Object Admin ולוחצים עליו.
3. לוחצים על + הוספת תפקיד נוסף.
4. מחפשים את האפשרות Cloud Run Invoker (הפעלת שירותים ב-Cloud Run) ולוחצים עליה.
5. לוחצים על + הוספת תפקיד נוסף.
6. מחפשים את האפשרות Cloud Functions Invoker (הפעלת פונקציות של Cloud Functions) ולוחצים עליה.
לוחצים על Continue.
לוחצים על סיום.

התפקידים האלה נדרשים כדי:

אדמין של אובייקט אחסון: כתיבת יומנים לקטגוריית GCS וניהול קבצי מצב
‫Cloud Run Invoker: מתן הרשאה ל-Pub/Sub להפעיל את הפונקציה
Cloud Functions Invoker: מאפשר הפעלה של פונקציות

מתן הרשאות IAM בקטגוריית GCS

נותנים לחשבון השירות הרשאות כתיבה בקטגוריית GCS:

עוברים אל Cloud Storage > Buckets (קטגוריות).
לוחצים על שם הקטגוריה.
עוברים לכרטיסייה Permissions.
לוחצים על הענקת גישה.
מספקים את פרטי ההגדרה הבאים:
- Add principals (הוספת ישויות מורשות): מזינים את כתובת האימייל בחשבון של חשבון השירות (לדוגמה, citrix-analytics-collector-sa@PROJECT_ID.iam.gserviceaccount.com).
- הקצאת תפקידים: בוחרים באפשרות אדמין של אובייקטים באחסון.
לוחצים על Save.

יצירת נושא Pub/Sub

יוצרים נושא Pub/Sub ש-Cloud Scheduler יפרסם בו ופונקציית Cloud Run תירשם אליו.

במסוף GCP, עוברים אל Pub/Sub > Topics.
לוחצים על יצירת נושא.
מספקים את פרטי ההגדרה הבאים:
- מזהה הנושא: מזינים citrix-analytics-trigger
- השארת ההגדרות האחרות כברירת מחדל
לוחצים על יצירה.

יצירת פונקציית Cloud Run לאיסוף יומנים

הפונקציה Cloud Run תופעל על ידי הודעות Pub/Sub מ-Cloud Scheduler כדי לאחזר יומנים מ-Citrix Analytics OData API ולכתוב אותם ב-GCS.

במסוף GCP, עוברים אל Cloud Run.
לוחצים על יצירת שירות.
בוחרים באפשרות Function (שימוש בעורך ישיר ליצירת פונקציה).

בקטע Configure (הגדרה), מזינים את פרטי ההגדרה הבאים:

הגדרה	ערך
שם השירות	`citrix-analytics-collector`
אזור	בוחרים אזור שתואם ל-GCS Bucket (לדוגמה, `us-central1`)
זמן ריצה	בוחרים באפשרות Python 3.12 ואילך.

בקטע טריגר (אופציונלי):
1. לוחצים על + הוספת טריגר.
2. בוחרים באפשרות Cloud Pub/Sub.
3. בקטע Select a Cloud Pub/Sub topic, בוחרים את הנושא citrix-analytics-trigger.
4. לוחצים על Save.
בקטע Authentication:
1. בוחרים באפשרות דרישת אימות.
2. בודקים את ניהול זהויות והרשאות גישה (IAM).
הערה: מערכת Pub/Sub תטפל באימות באופן אוטומטי כשתפעיל את הפונקציה.
גוללים למטה ומרחיבים את Containers, Networking, Security (מאגרי תגים, רשתות, אבטחה).
עוברים לכרטיסייה אבטחה:
- חשבון שירות: בוחרים את חשבון השירות citrix-analytics-collector-sa

עוברים לכרטיסייה מאגרי תגים:

לוחצים על Variables & Secrets (משתנים וסודות).
לוחצים על + הוספת משתנה לכל משתנה סביבתי:

שם המשתנה	ערך לדוגמה	תיאור
`GCS_BUCKET`	`citrix-analytics-logs`	שם קטגוריית GCS
`GCS_PREFIX`	`citrix_analytics`	קידומת לקובצי יומן
`STATE_KEY`	`citrix_analytics/state.json`	נתיב קובץ תמונת מצב
`CITRIX_CLIENT_ID`	`your-client-id`	מזהה לקוח Citrix Cloud
`CITRIX_CLIENT_SECRET`	`your-client-secret`	סוד לקוח של Citrix Cloud
`CITRIX_CUSTOMER_ID`	`your-customer-id`	מספר לקוח ב-Citrix Cloud
`API_BASE`	`https://api.cloud.com/casodata`	כתובת ה-URL הבסיסית של OData API
`ENTITIES`	`sessions,machines,users`	סוגי הישויות לאיסוף
`TOP_N`	`1000`	רשומות בכל דף
`LOOKBACK_MINUTES`	`75`	תקופת המבט לאחור הראשונית

גוללים למטה בקטע Variables & Secrets אל Requests:
- זמן קצוב לתפוגת בקשה: מזינים 600 שניות (10 דקות)
עוברים לכרטיסייה הגדרות:
- בקטע Resources (מקורות מידע):
  - זיכרון: בוחרים באפשרות 512MiB או יותר
  - ‫CPU: בוחרים באפשרות 1
בקטע שינוי קנה מידה של העריכה:
- מספר מינימלי של מופעים: מזינים 0
- מספר מקסימלי של מופעים: מזינים 100 (או משנים בהתאם לעומס הצפוי)
לוחצים על יצירה.
ממתינים ליצירת השירות (1-2 דקות).
אחרי שיוצרים את השירות, עורך הקוד המוטבע נפתח באופן אוטומטי.

הוספת קוד פונקציה

מזינים main בשדה Entry point.

בעורך הקוד המוטבע, יוצרים שני קבצים:

main.py:

import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timedelta, timezone
import urllib.parse
import time

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=5.0, read=30.0),
    retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

CITRIX_TOKEN_URL_TMPL = "https://api.cloud.com/cctrustoauth2/{customerid}/tokens/clients"
DEFAULT_API_BASE = "https://api.cloud.com/casodata"

@functions_framework.cloud_event
def main(cloud_event):
    """
    Cloud Run function triggered by Pub/Sub to fetch logs
    from Citrix Analytics OData API and write to GCS.

    Args:
        cloud_event: CloudEvent object containing Pub/Sub message
    """

    # Get environment variables
    bucket_name = os.environ.get('GCS_BUCKET')
    prefix = os.environ.get('GCS_PREFIX', 'citrix_analytics').strip('/')
    state_key = os.environ.get('STATE_KEY') or f"{prefix}/state.json"
    customer_id = os.environ.get('CITRIX_CUSTOMER_ID')
    client_id = os.environ.get('CITRIX_CLIENT_ID')
    client_secret = os.environ.get('CITRIX_CLIENT_SECRET')
    api_base = os.environ.get('API_BASE', DEFAULT_API_BASE)
    entities = [e.strip() for e in os.environ.get('ENTITIES', 'sessions,machines,users').split(',') if e.strip()]
    top_n = int(os.environ.get('TOP_N', '1000'))
    lookback_minutes = int(os.environ.get('LOOKBACK_MINUTES', '75'))

    if not all([bucket_name, customer_id, client_id, client_secret]):
        print('Error: Missing required environment variables')
        return

    try:
        # Get GCS bucket
        bucket = storage_client.bucket(bucket_name)

        # Determine target hour to collect
        now = datetime.now(timezone.utc)
        fallback_target = (now - timedelta(minutes=lookback_minutes)).replace(minute=0, second=0, microsecond=0)

        # Load state (last processed timestamp)
        state = load_state(bucket, state_key)
        last_processed_str = state.get('last_hour_utc')

        if last_processed_str:
            last_processed = datetime.fromisoformat(last_processed_str.replace('Z', '+00:00')).replace(tzinfo=None)
            target_hour = last_processed + timedelta(hours=1)
        else:
            target_hour = fallback_target

        print(f'Processing logs for hour: {target_hour.isoformat()}Z')

        # Get authentication token
        token = get_citrix_token(customer_id, client_id, client_secret)
        headers = {
            'Authorization': f'CwsAuth bearer={token}',
            'Citrix-CustomerId': customer_id,
            'Accept': 'application/json',
            'Content-Type': 'application/json',
        }

        total_records = 0

        # Process each entity type
        for entity in entities:
            records = []
            for row in fetch_odata_entity(entity, target_hour, top_n, headers, api_base):
                enriched_record = {
                    'citrix_entity': entity,
                    'citrix_hour_utc': target_hour.isoformat() + 'Z',
                    'collection_timestamp': datetime.now(timezone.utc).isoformat() + 'Z',
                    'raw': row
                }
                records.append(enriched_record)

                # Write in batches to avoid memory issues
                if len(records) >= 1000:
                    blob_name = f"{prefix}/{entity}/year={target_hour.year:04d}/month={target_hour.month:02d}/day={target_hour.day:02d}/hour={target_hour.hour:02d}/part-{datetime.now(timezone.utc).strftime('%Y%m%d%H%M%S%f')}.ndjson"
                    write_ndjson_to_gcs(bucket, blob_name, records)
                    total_records += len(records)
                    records = []

            # Write remaining records
            if records:
                blob_name = f"{prefix}/{entity}/year={target_hour.year:04d}/month={target_hour.month:02d}/day={target_hour.day:02d}/hour={target_hour.hour:02d}/part-{datetime.now(timezone.utc).strftime('%Y%m%d%H%M%S%f')}.ndjson"
                write_ndjson_to_gcs(bucket, blob_name, records)
                total_records += len(records)

        # Update state file
        save_state(bucket, state_key, {'last_hour_utc': target_hour.isoformat() + 'Z'})

        print(f'Successfully processed {total_records} records for hour {target_hour.isoformat()}Z')

    except Exception as e:
        print(f'Error processing logs: {str(e)}')
        raise

def get_citrix_token(customer_id, client_id, client_secret):
    """Get Citrix Cloud authentication token."""
    url = CITRIX_TOKEN_URL_TMPL.format(customerid=customer_id)
    payload = {
        'grant_type': 'client_credentials',
        'client_id': client_id,
        'client_secret': client_secret,
    }
    data = urllib.parse.urlencode(payload).encode('utf-8')

    response = http.request(
        'POST',
        url,
        body=data,
        headers={
            'Accept': 'application/json',
            'Content-Type': 'application/x-www-form-urlencoded',
        }
    )

    if response.status != 200:
        print(f'Token request failed with status {response.status}')
        print(f'Response: {response.data.decode("utf-8")}')
        raise Exception(f'Failed to get Citrix token: HTTP {response.status}')

    token_response = json.loads(response.data.decode('utf-8'))
    return token_response['access_token']

def fetch_odata_entity(entity, when_utc, top, headers, api_base):
    """Fetch data from Citrix Analytics OData API with pagination and rate limiting."""
    year = when_utc.year
    month = when_utc.month
    day = when_utc.day
    hour = when_utc.hour

    base_url = f"{api_base.rstrip('/')}/{entity}?year={year:04d}&month={month:02d}&day={day:02d}&hour={hour:02d}"
    skip = 0
    backoff = 1.0

    while True:
        url = f"{base_url}&$top={top}&$skip={skip}"

        response = http.request('GET', url, headers=headers)

        # Handle rate limiting with exponential backoff
        if response.status == 429:
            retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
            print(f'Rate limited (429). Retrying after {retry_after}s...')
            time.sleep(retry_after)
            backoff = min(backoff * 2, 30.0)
            continue

        backoff = 1.0

        if response.status != 200:
            print(f'HTTP Error: {response.status}')
            response_text = response.data.decode('utf-8')
            print(f'Response body: {response_text}')
            return

        data = json.loads(response.data.decode('utf-8'))
        items = data.get('value', [])

        if not items:
            break

        for item in items:
            yield item

        if len(items) < top:
            break

        skip += top

def load_state(bucket, key):
    """Load state from GCS."""
    try:
        blob = bucket.blob(key)
        if blob.exists():
            state_data = blob.download_as_text()
            return json.loads(state_data)
    except Exception as e:
        print(f'Warning: Could not load state: {str(e)}')
    return {}

def save_state(bucket, key, state):
    """Save state to GCS."""
    try:
        blob = bucket.blob(key)
        blob.upload_from_string(
            json.dumps(state, separators=(',', ':')),
            content_type='application/json'
        )
    except Exception as e:
        print(f'Warning: Could not save state: {str(e)}')

def write_ndjson_to_gcs(bucket, key, records):
    """Write records as NDJSON to GCS."""
    body_lines = []
    for record in records:
        json_line = json.dumps(record, separators=(',', ':'), ensure_ascii=False)
        body_lines.append(json_line)

    body = ('\n'.join(body_lines) + '\n').encode('utf-8')

    blob = bucket.blob(key)
    blob.upload_from_string(body, content_type='application/x-ndjson')

requirements.txt:

functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

לוחצים על Deploy כדי לשמור ולפרוס את הפונקציה.
ממתינים לסיום הפריסה (2-3 דקות).

הערה: הסקריפט הזה מסופק כדוגמה ואין לו תמיכה רשמית. נשמח לקבל משוב שיעזור לנו לשפר את התכונה. כדי לשלוח משוב, לוחצים על שליחת משוב > משוב על מוצר האבטחה של Google SecOps בדף הזה.

יצירת משימה ב-Cloud Scheduler

‫Cloud Scheduler יפרסם הודעות בנושא Pub/Sub במרווחי זמן קבועים, ויפעיל את הפונקציה של Cloud Run.

במסוף GCP, עוברים אל Cloud Scheduler.
לוחצים על Create Job (יצירת משימה).

מספקים את פרטי ההגדרה הבאים:

הגדרה	ערך
שם	`citrix-analytics-collector-hourly`
אזור	בחירה באותו אזור כמו פונקציית Cloud Run
תדירות	‫`0 * * * *` (כל שעה, בדיוק בשעה)
אזור זמן	בחירת אזור זמן (מומלץ לבחור UTC)
סוג הטירגוט	Pub/Sub
נושא	בחירת הנושא `citrix-analytics-trigger`
גוף ההודעה	‫`{}` (אובייקט JSON ריק)

לוחצים על יצירה.

אפשרויות לתדירות התזמון

בחירת התדירות בהתאם לנפח היומן ולדרישות זמן האחזור:

תדירות	ביטוי Cron	תרחיש לדוגמה
כל שעה	`0 * * * *`	רגיל (מומלץ)
כל שעתיים	`0 /2 * *`	החלשת עוצמת הקול
כל 6 שעות	`0 /6 * *`	נפח נמוך, עיבוד באצווה

בדיקת השילוב

במסוף Cloud Scheduler, מוצאים את העבודה.
לוחצים על הפעלת המשימה בכוח כדי להפעיל את המשימה באופן ידני.
מחכים כמה שניות.
עוברים אל Cloud Run > Services.
לוחצים על שם הפונקציה citrix-analytics-collector.
לוחצים על הכרטיסייה Logs (יומנים).

מוודאים שהפונקציה בוצעה בהצלחה. מחפשים:

Processing logs for hour: YYYY-MM-DDTHH:00:00Z
Successfully processed X records for hour YYYY-MM-DDTHH:00:00Z

עוברים אל Cloud Storage > Buckets (קטגוריות).
לוחצים על שם הקטגוריה.
עוברים לתיקייה עם הקידומת citrix_analytics/.
מוודאים שנוצרו קובצי .ndjson חדשים עם חותמת הזמן הנוכחית.

אם מופיעות שגיאות ביומנים:

‫HTTP 401: בדיקת פרטי הכניסה ל-API במשתני הסביבה
HTTP 403: מוודאים שיש לחשבון את ההרשאות הנדרשות ב-Citrix Cloud
‫HTTP 429: הגבלת קצב – הפונקציה תנסה שוב באופן אוטומטי עם השהיה לפני ניסיון חוזר (backoff)
חסרים משתני סביבה: צריך לוודא שכל המשתנים הנדרשים מוגדרים

הגדרה של פיד ב-Google SecOps להטמעה של יומני Citrix Analytics

עוברים אל SIEM Settings > Feeds (הגדרות SIEM > פידים).
לוחצים על הוספת פיד חדש.
לוחצים על Configure a single feed (הגדרת פיד יחיד).
בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Citrix Analytics logs).
בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
בוחרים באפשרות Citrix Analytics בתור סוג היומן.
לוחצים על קבלת חשבון שירות. תוצג כתובת האימייל בחשבון שירות ייחודי, לדוגמה:
```
chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com
```
מעתיקים את כתובת האימייל הזו לשימוש בשלב הבא.

הערה: לכל מופע של Google SecOps יש חשבון שירות ייחודי. אל תשתמשו בחשבונות שירות ממסמכים או מדוגמאות אחרים.
לוחצים על הבא.
מציינים ערכים לפרמטרים הבאים של הקלט:
- כתובת ה-URL של קטגוריית האחסון: מזינים את ה-URI של קטגוריית GCS עם נתיב הקידומת:
```
gs://citrix-analytics-logs/citrix_analytics/
```
  - מחליפים את:
    - ‫citrix-analytics-logs: השם של קטגוריית GCS.
    - ‫citrix_analytics: קידומת אופציונלית או נתיב לתיקייה שבה מאוחסנים היומנים (אם לא מציינים כלום, היומנים מאוחסנים בתיקיית הבסיס).
הערה: תמיד צריך לכלול את התו '/' בסוף ה-URI.
- אפשרות למחיקת המקור: בוחרים את אפשרות המחיקה לפי ההעדפה שלכם:
  - אף פעם: לא נמחקים קבצים אחרי ההעברה (מומלץ לבדיקות).
  - מחיקת קבצים שהועברו: הקבצים נמחקים אחרי שההעברה מסתיימת.
  - מחיקת קבצים שהועברו וספריות ריקות: מחיקת קבצים וספריות ריקות אחרי שההעברה מסתיימת בהצלחה.
  הערה: אם בוחרים באפשרות מחיקה, לחשבון השירות צריך להיות התפקיד Storage Object Admin ולא התפקיד Storage Object Viewer. מעדכנים את ההרשאות ב-IAM בהתאם.
- הגיל המקסימלי של הקובץ: כולל קבצים ששונו במספר הימים האחרון (ברירת המחדל היא 180 ימים)
- מרחב השמות של הנכס: מרחב השמות של הנכס
- תוויות להוספה: התווית שתתווסף לאירועים מהפיד הזה
לוחצים על הבא.
בודקים את ההגדרות של הפיד החדש במסך סיום ולוחצים על שליחה.

הענקת הרשאות IAM לחשבון השירות של Google SecOps

לחשבון השירות של Google SecOps צריך להיות התפקיד צפייה באובייקט אחסון בקטגוריה של GCS.

עוברים אל Cloud Storage > Buckets (קטגוריות).
לוחצים על שם הקטגוריה.
עוברים לכרטיסייה Permissions.
לוחצים על הענקת גישה.
מספקים את פרטי ההגדרה הבאים:
- Add principals (הוספת ישויות מורשות): מדביקים את כתובת האימייל בחשבון של חשבון השירות של Google SecOps
- הקצאת תפקידים: בוחרים באפשרות צפייה באובייקטים באחסון.
לוחצים על Save.

הערה: אם אתם מתכננים להשתמש באפשרות המחיקה 'מחיקת קבצים שהועברו' או 'מחיקת קבצים שהועברו וספריות ריקות', צריך להעניק את התפקיד Storage Object Admin במקום Storage Object Viewer.

טבלת מיפוי UDM

שדה ביומן	מיפוי UDM	היגיון
`occurrence_event_type`	`extensions.auth.type`	מיפוי: `Session.Logon` ← `AUTHTYPE_UNSPECIFIED`, ‏ `Session.End` ← `AUTHTYPE_UNSPECIFIED`
`server_name`	`intermediary.asset.hostname`	מיפוי ישיר
`server_name`	`intermediary.hostname`	מיפוי ישיר
`event_type`	`metadata.description`	מיפוי ישיר
`timestamp`	`metadata.event_timestamp`	ניתוח הכתובות שברשימה: `ISO8601`
`udm_event_type`	`metadata.event_type`	מיפוי: `"USER_LOGIN", "USER_LOGOUT"` → `GENERIC_EVENT`
`tenant_id`	`metadata.product_deployment_id`	מיפוי ישיר
`occurrence_event_type`	`metadata.product_event_type`	מיפוי ישיר
`event_id`	`metadata.product_log_id`	מיפוי ישיר
`product`	`metadata.product_name`	מיפוי ישיר
`product_version`	`metadata.product_version`	מיפוי ישיר
`ui_link`	`metadata.url_back_to_product`	מיפוי ישיר
`session_key`	`network.session_id`	מיפוי ישיר
`domain`	`principal.administrative_domain`	מיפוי ישיר
`device_id`	`principal.asset.hostname`	מיפוי ישיר
`client_ip`	`principal.asset.ip`	ממוזג
`vulnerability`	`principal.asset.vulnerabilities`	ממוזג
`device_id`	`principal.hostname`	מיפוי ישיר
`client_ip`	`principal.ip`	ממוזג
`os_name`	`principal.platform`	ערכים ממופים (6 סה"כ, למשל `(?i)windows` ← `WINDOWS`, ‏ `(?i)windows` ← `MAC`, ‏ `(?i)windows`...
`os_extra_info`	`principal.platform_patch_level`	מיפוי ישיר
`os_version`	`principal.platform_version`	מיפוי ישיר
`entity_id`	`principal.user.email_addresses`	מיפוי: `^.+@.+$` → `entity_id`
`entity_type`	`principal.user.email_addresses`	מיפוי: `user` → `entity_id`
`session_user_name`	`principal.user.user_display_name`	מיפוי ישיר
`entity_id`	`principal.user.userid`	מיפוי ישיר
`session_user_name`	`principal.user.userid`	מיפוי ישיר
`alert_message`	`security_result.action_details`	מיפוי ישיר
`analytic`	`security_result.analytics_metadata`	ממוזג
`category`	`security_result.category`	ממוזג
`indicator_category`	`security_result.category`	מיפוי: `Data exfiltration` → `category`
`indicator_name`	`security_result.description`	מיפוי ישיר
`label`	`security_result.detection_fields`	ממוזג
`label`	`security_result.outcomes`	ממוזג
`severity`	`security_result.severity`	מיפוי ישיר
`app_name`	`target.application`	מיפוי ישיר
`app_name`	`target.process.file.names`	ממוזג
`printer_name`	`target.resource.name`	מיפוי ישיר
`entity_id`	`target.user.email_addresses`	מיפוי: `^.+@.+$` → `entity_id`
`entity_type`	`target.user.email_addresses`	מיפוי: `user` → `entity_id`
`session_user_name`	`target.user.user_display_name`	מיפוי ישיר
`entity_id`	`target.user.userid`	מיפוי ישיר
`session_user_name`	`target.user.userid`	מיפוי ישיר
לא רלוונטי	`extensions.auth.type`	קבוע: `AUTHTYPE_UNSPECIFIED`
לא רלוונטי	`metadata.event_type`	קבוע: `GENERIC_EVENT`
לא רלוונטי	`metadata.vendor_name`	קבוע: `CITRIX_ANALYTICS`
לא רלוונטי	`principal.platform`	קבוע: `WINDOWS`
לא רלוונטי	`security_result.confidence_score`	קבוע: `risk_probability`
לא רלוונטי	`security_result.risk_score`	קבוע: `cur_riskscore`

יומן שינויים

צפייה ביומן השינויים של מנתח התוכן הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.