Mengumpulkan log Aruba ClearPass

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara menyerap log Aruba ClearPass ke Google Security Operations menggunakan agen Bindplane.

Aruba ClearPass Policy Manager menghasilkan pesan syslog untuk autentikasi RADIUS, TACACS+, autentikasi web, postur endpoint, akses tamu, data audit, dan peristiwa sistem. Parser memetakan kolom yang diekstrak ke Model Data Terpadu (UDM).

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

• Instance Google SecOps
• Windows Server 2016 atau yang lebih baru, atau host Linux dengan systemd
• Konektivitas jaringan antara agen Bindplane dan Pengelola Kebijakan ClearPass
• Jika beroperasi dari balik proxy, pastikan port firewall terbuka sesuai dengan persyaratan agen Bindplane
• Akses istimewa ke konsol ClearPass Policy Manager

Mendapatkan kredensial Google SecOps untuk agen Bindplane

Untuk mengautentikasi agen Bindplane ke Google SecOps, pilih salah satu metode berikut:

• Deployment baru: Gunakan Chronicle API (Opsi 1).
• Deployment lama: Terus gunakan file autentikasi penyerapan (Opsi 2) hingga Ingestion API dihentikan pada 20 Juli 2027.

Opsi 1: Membuat akun layanan untuk Chronicle API (direkomendasikan)

1. Login ke konsolGoogle Cloud dan pilih project Google Cloud yang ditautkan ke instance Google SecOps Anda.
2. Buka IAM & Admin > Service Accounts.
3. Klik Create service account.
4. Berikan detail konfigurasi berikut:
   • Service account name: Masukkan nama akun (misalnya, bindplane-ingest).
   • Service account description: Masukkan deskripsi (misalnya, Bindplane agent log ingestion).
5. Klik Create and continue.
6. Di bagian Grant this service account access to project, klik Select a role, lalu pilih Chronicle Editor.
7. Klik Continue lalu klik Done.
8. Klik akun layanan yang Anda buat, lalu buka tab Keys.
9. Klik Add key > Create new key.
10. Pilih JSON dan klik Create. File kunci akan didownload ke komputer Anda.
11. Simpan file kunci sebagai ingestion-auth.json di direktori kolektor Bindplane (/opt/observiq-otel-collector/ingestion-auth.json di Linux atau C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json di Windows), atau perbarui creds_file_path di config.yaml agar sesuai dengan jalur tempat Anda menyimpannya.
12. Buka IAM & Admin > Settings dan salin Project number. Anda akan memerlukannya untuk konfigurasi pengekspor.

Catatan: Kunci JSON adalah kredensial. Batasi akses ke file di host Bindplane dan rotasikan kunci sesuai dengan kebijakan organisasi Anda.

Opsi 2: Mendownload file autentikasi penyerapan (lama)

1. Login ke konsol Google SecOps.
2. Buka Settings > Data Management > Collection Agents. Jika Anda menggunakan platform khusus SIEM, buka Settings > Collection Agents.
3. Download file autentikasi penyerapan.
4. Simpan file dengan aman di sistem tempat agen Bindplane akan diinstal.

Catatan: File ini mengautentikasi agen ke Ingestion API lama (malachiteingestion-pa.googleapis.com), yang telah dijadwalkan Google untuk dihentikan pada 20 Juli 2027. Rencanakan untuk beralih ke Opsi 1 sebelum tanggal tersebut.

Mendapatkan ID pelanggan Google SecOps

1. Login ke konsol Google SecOps.
2. Buka Setelan > Administrasi > Profil. Jika Anda menggunakan platform khusus SIEM, buka Settings > Profile.

3. Salin dan simpan ID Pelanggan dari bagian Detail Organisasi.

   Catatan: ID pelanggan diperlukan untuk mengonfigurasi pengekspor agen Bindplane.

Menginstal agen Bindplane

Instal agen Bindplane di sistem operasi Windows atau Linux Anda sesuai dengan petunjuk berikut.

Penginstalan Windows

1. Buka Command Prompt atau PowerShell sebagai administrator.

2. Jalankan perintah berikut:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sc query observiq-otel-collector
   

   Layanan akan ditampilkan sebagai RUNNING.

Penginstalan Linux

1. Buka terminal dengan hak istimewa root atau sudo.

2. Jalankan perintah berikut:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

3. Tunggu hingga penginstalan selesai.

4. Verifikasi penginstalan dengan menjalankan:

   sudo systemctl status observiq-otel-collector
   

   Layanan akan ditampilkan sebagai active (running).

Referensi penginstalan tambahan

Untuk opsi pemasangan dan pemecahan masalah tambahan, lihat Panduan pemasangan agen Bindplane.

Catatan: Konfigurasi pengekspor Chronicle API memerlukan kolektor Bindplane v1.106.0 atau yang lebih baru. Perintah sebelumnya akan menginstal rilis terbaru. Jika Anda mengupdate penginstalan yang ada, upgrade kolektor sebelum mengubah konfigurasi.

Mengonfigurasi agen Bindplane untuk menyerap syslog dan mengirimkannya ke Google SecOps

Menemukan file konfigurasi

• Linux:

  sudo nano /opt/observiq-otel-collector/config.yaml
  

• Windows:

  notepad "C:\Program Files\observIQ OpenTelemetry Collector\config.yaml"
  

Mengedit file konfigurasi

• Ganti seluruh konten config.yaml dengan konfigurasi berikut:

  receivers:
    udplog:
      listen_address: "0.0.0.0:514"
  
  exporters:
    chronicle/clearpass:
      protocol: https
      # Region of your instance, for example us, europe, asia-southeast1
      location: <LOCATION>
      # Project number of the Google Cloud project linked to the instance
      project: '<PROJECT_NUMBER>'
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: chronicle.googleapis.com
      log_type: CLEARPASS
      raw_log_field: body
  
  service:
    pipelines:
      logs/clearpass_to_chronicle:
        receivers:
          - udplog
        exporters:
          - chronicle/clearpass
  

Parameter konfigurasi

Ganti placeholder berikut:

• Konfigurasi penerima:

  • listen_address: Alamat IP dan port untuk diproses:
    • 0.0.0.0 untuk memproses semua antarmuka (direkomendasikan)
    • Port 514 adalah port syslog standar (memerlukan root di Linux; gunakan 1514 untuk non-root)

• Konfigurasi pengekspor:

  • creds_file_path: Jalur lengkap ke file kunci JSON akun layanan (Opsi 1):
    • Linux: /opt/observiq-otel-collector/ingestion-auth.json
    • Windows: C:\Program Files\observIQ OpenTelemetry Collector\ingestion-auth.json
  • customer_id: ID Pelanggan yang disalin dari konsol Google SecOps
  • location: Ganti <LOCATION> dengan region instance Google SecOps Anda (misalnya, us, europe, atau asia-southeast1). Pengekspor mengawali chronicle.googleapis.com dengan nilai ini. Lihat Endpoint Regional untuk mengetahui daftar lengkapnya.
  • project: Ganti <PROJECT_NUMBER> dengan nomor project dari IAM & Admin > Settings.
  • endpoint: Tetap tetapkan ke chronicle.googleapis.com.

Pengekspor API penyerapan lama

• Jika Anda menggunakan file autentikasi penyerapan dari Opsi 2, ganti blok exporters dengan kode berikut. Tetapkan creds_file_path ke jalur ke file autentikasi penyerapan, dan jika instance Anda berada di luar AS, ganti malachiteingestion-pa.googleapis.com dengan endpoint regional Anda (misalnya, europe-malachiteingestion-pa.googleapis.com).

  exporters:
    chronicle/clearpass:
      compression: gzip
      creds_file_path: '/opt/observiq-otel-collector/ingestion-auth.json'
      customer_id: '<customer_id>'
      endpoint: malachiteingestion-pa.googleapis.com
      log_type: CLEARPASS
      raw_log_field: body
  

Catatan: Pengekspor ini akan berhenti berfungsi saat Ingestion API dihentikan pada 20 Juli 2027.

Simpan file konfigurasi

• Setelah mengedit, simpan file:
  • Linux: Tekan Ctrl+O, lalu Enter, lalu Ctrl+X
  • Windows: Klik File > Save

Mulai ulang agen Bindplane untuk menerapkan perubahan

• Untuk memulai ulang agen Bindplane di Linux, jalankan perintah berikut:

  sudo systemctl restart observiq-otel-collector
  

  1. Pastikan layanan sedang berjalan:

     sudo systemctl status observiq-otel-collector
     

  2. Periksa log untuk mengetahui error:

     sudo journalctl -u observiq-otel-collector -f
     

• Untuk memulai ulang agen Bindplane di Windows, pilih salah satu opsi berikut:

  • Command Prompt atau PowerShell sebagai administrator:

    net stop observiq-otel-collector && net start observiq-otel-collector
    

  • Konsol Services:

    1. Tekan Win+R, ketik services.msc, lalu tekan Enter.
    2. Cari observIQ OpenTelemetry Collector.
    3. Klik kanan, lalu pilih Restart.

    4. Pastikan layanan sedang berjalan:

       sc query observiq-otel-collector
       

    5. Periksa log untuk mengetahui error:

       type "C:\Program Files\observIQ OpenTelemetry Collector\log\collector.log"
       

Mengonfigurasi server syslog Aruba ClearPass

1. Login ke konsol ClearPass Policy Manager.
2. Pilih Administration > External servers > Syslog targets.
3. Klik Tambahkan.
4. Di jendela Add syslog target yang muncul, tentukan detail berikut:
   • Host address: masukkan alamat IP Bindplane.
   • Server port: masukkan nomor port Bindplane.
   • Protocol: pilih UDP (Anda juga dapat memilih TCP, bergantung pada konfigurasi Bindplane Anda).
5. Klik Simpan.

Mengonfigurasi filter ekspor syslog

1. Buka Administration > External servers > Syslog export filters.
2. Klik Tambahkan.
3. Di jendela Add Syslog Filters yang muncul, tentukan hal berikut di tab General:
   • Name: masukkan nama filter ekspor syslog berdasarkan tabel di Export template items.
   • Template ekspor: pilih template ekspor yang sesuai berdasarkan tabel di Item template ekspor.
   • Jenis format peristiwa ekspor: pilih Standar.
   • Syslog servers: pilih alamat IP Bindplane.
4. Dalam daftar Export template, saat Anda memilih template ekspor Session atau Insight, tab Filter and columns akan diaktifkan. Selesaikan langkah-langkah berikut:
   • Klik tab Filter dan kolom.
   • Filter data: pastikan nilai default Semua permintaan dipilih.
   • Pemilihan kolom: pilih grup kolom yang telah ditentukan berdasarkan tabel di Mengekspor item template.
   • Selected columns: pastikan kolom yang diisi otomatis cocok dengan tabel di Export template items.
   • Klik tab Ringkasan.
   • Klik Simpan.
5. Dalam daftar Export template, saat Anda memilih template ekspor System events dan Audit records, tab Filter and columns tidak diaktifkan. Lanjutkan ke tab Ringkasan, lalu klik Simpan.
6. Ulangi langkah-langkah untuk menambahkan filter ekspor syslog untuk semua template ekspor Session, Insight, Audit records, dan System events berdasarkan detail dari tabel di Item template ekspor.

Mengekspor item template

Tabel berikut menjelaskan item yang perlu Anda konfigurasi untuk setiap template ekspor. Kolom default yang tercantum di Kolom yang Dipilih didukung untuk penguraian peristiwa. Pastikan semua kolom yang disebutkan dalam tabel di bagian Kolom yang dipilih (default) ada dan dalam urutan yang sama. Pastikan untuk membuat template filter ekspor syslog persis seperti yang disediakan dalam tabel, termasuk nama filter yang peka huruf besar/kecil.

Catatan: Anda dapat menambahkan lebih banyak kolom dari Kolom yang Tersedia, tetapi kolom ini tidak didukung untuk penguraian peristiwa dan tersedia di log mentah.

Nama filter ekspor syslog (peka huruf besar/kecil)	Ekspor template	Grup kolom bawaan	Kolom yang dipilih (default)
ACPPM_radauth	Log Insight	Autentikasi Radius	Auth.Username, Auth.Host-MAC-Address, Auth.Protocol, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_radfailedauth	Log Insight	Autentikasi Radius Gagal	Auth.Username, Auth.Host-MAC-Address, Auth.NAS-IP-Address, CppmNode.CPPM-Node, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_radacct	Log Insight	Pencatatan RADIUS	Radius.Username, Radius.Calling-Station-Id, Radius.Framed-IP-Address, Radius.NAS-IP-Address, Radius.Start-Time, Radius.End-Time, Radius.Duration, Radius.Input-bytes, Radius.Output-bytes
ACPPM_tacauth	Log Insight	Autentikasi tacacs	tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, tacacs.Auth-Source, tacacs.Roles, tacacs.Enforcement-Profiles, tacacs.Privilege-Level
ACPPM_tacfailedauth	Log Insight	Autentikasi Gagal tacacs	tacacs.Username, tacacs.Remote-Address, tacacs.Request-Type, tacacs.NAS-IP-Address, tacacs.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_webauth	Log Insight	WEBAUTH	Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_webfailedauth	Log Insight	Autentikasi Gagal WEBAUTH	Auth.Username, Auth.Host-MAC-Address, Auth.Host-IP-Address, Auth.Protocol, Auth.System-Posture-Token, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_appauth	Log Insight	Autentikasi Aplikasi	Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, Auth.Source, Auth.Roles, Auth.Enforcement-Profiles
ACPPM_failedappauth	Log Insight	Autentikasi Aplikasi Gagal	Auth.Username, Auth.Host-IP-Address, Auth.Protocol, CppmNode.CPPM-Node, Auth.Login-Status, Auth.Service, CppmErrorCode.Error-Code-Details, CppmAlert.Alerts
ACPPM_endpoints	Log Insight	Endpoint	Endpoint.MAC-Address, Endpoint.MAC-Vendor, Endpoint.IP-Address, Endpoint.Username, Endpoint.Device-Category, Endpoint.Device-Family, Endpoint.Device-Name, Endpoint.Conflict, Endpoint.Status, Endpoint.Added-At, Endpoint.Updated-At
ACPPM_cpguest	Log Insight	Clearpass Guest	Guest.Username, Guest.MAC-Address, Guest.Visitor-Name, Guest.Visitor-Company, Guest.Role-Name, Guest.Enabled, Guest.Created-At, Guest.Starts-At, Guest.Expires-At
ACPPM_onbenroll	Log Insight	Pendaftaran Onboard	OnboardEnrollment.Username, OnboardEnrollment.Device-Name, OnboardEnrollment.MAC-Address, OnboardEnrollment.Device-Product, OnboardEnrollment.Device-Version, OnboardEnrollment.Added-At, OnboardEnrollment.Updated-At
ACPPM_onbcert	Log Insight	Sertifikat Onboard	OnboardCert.Username, OnboardCert.Mac-Address, OnboardCert.Subject, OnboardCert.Issuer, OnboardCert.Valid-From, OnboardCert.Valid-To, OnboardCert.Revoked-At
ACPPM_onboscp	Log Insight	OCSP Onboard	OnboardOCSP.Remote-Address, OnboardOCSP.Response-Status-Name, OnboardOCSP.Timestamp
ACPPM_cpsysevent	Log Insight	Peristiwa Sistem Clearpass	CppmNode.CPPM-Node, CppmSystemEvent.Source, CppmSystemEvent.Level, CppmSystemEvent.Category, CppmSystemEvent.Action, CppmSystemEvent.Timestamp
ACPPM_cpconfaudit	Log Insight	Audit Konfigurasi Clearpass	CppmConfigAudit.Name, CppmConfigAudit.Action, CppmConfigAudit.Category, CppmConfigAudit.Updated-By, CppmConfigAudit.Updated-At
ACPPM_possummary	Log Insight	Ringkasan Postur	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Posture-Healthy, Endpoint.Posture-Unhealthy
ACPPM_posfwsummary	Log Insight	Ringkasan Firewall Postur	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Firewall-APT, Endpoint.Firewall-Input, Endpoint.Firewall-Output
ACPPM_poavsummary	Log Insight	Ringkasan Antivirus Postur	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antivirus-APT, Endpoint.Antivirus-Input, Endpoint.Antivirus-Output
ACPPM_posassummary	Log Insight	Ringkasan Antispyware Postur	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.Antispyware-APT, Endpoint.Antispyware-Input, Endpoint.Antispyware-Output
ACPPM_posdskencrpsummary	Log Insight	Ringkasan DiskEncryption Postur	Endpoint.MAC-Address, Endpoint.IP-Address, Endpoint.Hostname, Endpoint.Usermame, Endpoint.System-Agent-Type, Endpoint.System-Agent-Version, Endpoint.System-Client-OS, Endpoint.System-Posture-Token, Endpoint.DiskEncryption-APT, Endpoint.DiskEncryption-Input, Endpoint.DiskEncryption-Output
ACPPM_loggedusers	Log Sesi	Pengguna yang Login	Common.Username, Common.Service, Common.Roles, Common.Host-MAC-Address, RADIUS.Acct-Framed-IP-Address, Common.NAS-IP-Address, Common.Request-Timestamp
ACPPM_failedauth	Log Sesi	Autentikasi Gagal	Common.Username, Common.Service, Common.Roles, RADIUS.Auth-Source, RADIUS.Auth-Method, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Host-MAC-Address, Common.NAS-IP-Address, Common.Error-Code, Common.Alerts, Common.Request-Timestamp
ACPPM_radacctsession	Log Sesi	Pencatatan RADIUS	RADIUS.Acct-Username, RADIUS.Acct-NAS-IP-Address, RADIUS.Acct-NAS-Port, RADIUS.Acct-NAS-Port-Type, RADIUS.Acct-Calling-Station-Id, RADIUS.Acct-Framed-IP-Address, RADIUS.Acct-Session-Id, RADIUS.Acct-Session-Time, RADIUS.Acct-Output-Pkts, RADIUS.Acct-Input-Pkts, RADIUS.Acct-Output-Octets, RADIUS.Acct-Input.Octets, RADIUS.Acct-Service-Name, RADIUS.Acct-Timestamp
ACPPM_tacadmin	Log Sesi	Administrasi tacacs+	Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_tacacct	Log Sesi	tacacs+ Accounting	Common.Username, Common.Service, tacacs.Remote-Address, tacacs.Acct-Flags, tacacs.Privilege.Level, Common.Request-Timestamp
ACPPM_webauthsession	Log Sesi	Autentikasi Web	Common.Username, Common.Host-MAC-Address, WEBAUTH.Host-IP-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_guestacc	Log Sesi	Akses Tamu	Common.Username, RADIUS.Auth-Method, Common.Host-MAC-Address, Common.Roles, Common.System-Posture-Token, Common.Enforcement-Profiles, Common.Request-Timestamp
ACPPM_auditrecords	Data Audit	Tidak Berlaku	Tidak Berlaku
ACPPM_systemevents	Peristiwa Sistem	Tidak Berlaku	Tidak Berlaku

Tabel pemetaan UDM

Kolom log	pemetaan UDM	Logika
Action	security_result.action	Nilai dipetakan dari kolom 'Action' jika nilainya adalah 'ALLOW' atau 'BLOCK'
Auth.Enforcement-Profiles	security_result.detection_fields.value	Nilai dipetakan dari kolom 'Auth.Enforcement-Profiles'
Auth.Host-MAC-Address	principal.mac	Nilai dipetakan dari kolom 'Auth.Host-MAC-Address' setelah mengonversinya ke format alamat MAC yang dipisahkan titik dua
Auth.Login-Status	security_result.detection_fields.value	Nilai dipetakan dari kolom 'Auth.Login-Status'
Auth.NAS-IP-Address	target.ip	Nilai dipetakan dari kolom 'Auth.NAS-IP-Address'
Auth.Protocol	intermediary.application	Nilai dipetakan dari kolom 'Auth.Protocol'
Auth.Service	security_result.detection_fields.value	Nilai dipetakan dari kolom 'Auth.Service'
Auth.Source	principal.hostname	Nilai dipetakan dari kolom 'Auth.Source' setelah menghapus karakter alfanumerik dan spasi di awal
Auth.Username	principal.user.user_display_name	Nilai dipetakan dari kolom 'Auth.Username'
Category	metadata.event_type	Jika nilainya adalah 'sedang login', kolom UDM ditetapkan ke 'USER_LOGIN'. Jika nilainya adalah 'Logged out', kolom UDM ditetapkan ke 'USER_LOGOUT'
Common.Alerts	security_result.description	Nilai dipetakan dari kolom 'Common.Alerts'
Common.Enforcement-Profiles	security_result.detection_fields.value	Nilai dipetakan dari kolom 'Common.Enforcement-Profiles'
Common.Login-Status	security_result.detection_fields.value	Nilai dipetakan dari kolom 'Common.Login-Status'
Common.NAS-IP-Address	target.ip	Nilai dipetakan dari kolom 'Common.NAS-IP-Address'
Common.Roles	principal.user.group_identifiers	Nilai dipetakan dari kolom 'Common.Roles'
Common.Service	security_result.detection_fields.value	Nilai dipetakan dari kolom 'Common.Service'
Common.Username	principal.user.userid	Nilai dipetakan dari kolom 'Common.Username'
Component	intermediary.application	Nilai dipetakan dari kolom 'Component'
Description	metadata.description	Nilai dipetakan dari kolom 'Description' setelah mengganti karakter baris baru dengan simbol pipa. Jika kolom 'Description' berisi 'User', 'Address', dan 'Role', kolom tersebut akan diurai sebagai key-value pair dan dipetakan ke kolom UDM yang sesuai. Jika kolom 'Description' berisi 'Unable connection with', nama host target akan diekstrak dan dipetakan ke 'target.hostname'
EntityName	principal.hostname	Nilai dipetakan dari kolom 'EntityName'
InterIP	target.ip	Nilai dipetakan dari kolom 'InterIP'
Level	security_result.severity	Jika nilainya adalah 'ERROR' atau 'FATAL', kolom UDM ditetapkan ke 'HIGH'. Jika nilainya 'WARN', kolom UDM ditetapkan ke 'MEDIUM'. Jika nilainya adalah 'INFO' atau 'DEBUG', kolom UDM ditetapkan ke 'LOW'
LogNumber	metadata.product_log_id	Nilai dipetakan dari kolom 'LogNumber'
RADIUS.Acct-Framed-IP-Address	principal.ip	Nilai dipetakan dari kolom 'RADIUS.Acct-Framed-IP-Address'
Timestamp	metadata.event_timestamp	Nilai dipetakan dari kolom 'Timestamp' setelah mengonversinya ke UTC dan mengurainya sebagai stempel waktu
User	principal.user.userid	Nilai dipetakan dari kolom 'User'
agent_ip	principal.ip,, principal.asset.ip	Nilai dipetakan dari kolom 'agent_ip'
community	additional.fields.value.string_value	Nilai dipetakan dari kolom 'community'
descr	metadata.description	Nilai dipetakan dari kolom 'descr'
enterprise	additional.fields.value.string_value	Nilai dipetakan dari kolom 'enterprise'
eventDescription	metadata.description	Nilai dipetakan dari kolom 'eventDescription' setelah menghapus tanda petik
generic_num	additional.fields.value.string_value	Nilai dipetakan dari kolom 'generic_num'
prin_mac	principal.mac	Nilai dipetakan dari kolom 'prin_mac' setelah mengonversinya ke format alamat MAC yang dipisahkan titik dua
prin_port	principal.port	Nilai dipetakan dari kolom 'prin_port' dan dikonversi menjadi bilangan bulat
specificTrap_name	additional.fields.value.string_value	Nilai dipetakan dari kolom 'specificTrap_name'
specificTrap_num	additional.fields.value.string_value	Nilai dipetakan dari kolom 'specificTrap_num'
uptime	additional.fields.value.string_value	Nilai dipetakan dari kolom 'uptime'
version	metadata.product_version	Nilai dipetakan dari kolom 'version'
	extensions.auth.type	Nilai ditetapkan ke 'SSO'
	metadata.event_type	Nilai ditentukan berdasarkan berbagai kolom log dan logika parser. Lihat kode parser untuk mengetahui detailnya
	metadata.log_type	Nilai ditetapkan ke 'CLEARPASS'
	metadata.product_name	Nilai ditetapkan ke 'ClearPass'
	metadata.vendor_name	Nilai ditetapkan ke 'ArubaNetworks'
deviceProcessName	event.idm.read_only_udm.intermediary.application	Dipetakan dari log perubahan
msg	event.idm.read_only_udm.security_result.description	Dipetakan dari log perubahan
NAD	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
user_name	event.idm.read_only_udm.principal.user.userid	Dipetakan dari log perubahan
nas_ip	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
dst	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
service_name	event.idm.read_only_udm.target.application	Dipetakan dari log perubahan
roles	event.idm.read_only_udm.principal.user.attribute.roles	Dipetakan dari log perubahan
timestamp	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
rt	event.idm.read_only_udm.metadata.event_timestamp	Dipetakan dari log perubahan
rt	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cs1	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cs2	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cs3	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cs4	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cs5	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cs6	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
tags	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cribl_pipe	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
organization.id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
my_timestamp	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
VAR_TOPIC_ID	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
syslog_pri	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cef_version	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cef_vendor	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cef_product	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cef_product_version	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cef_signature_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
syslog_timestamp	event.idm.read_only_udm.metadata.collected_timestamp	Dipetakan dari log perubahan
dvc	event.idm.read_only_udm.intermediary.ip	Dipetakan dari log perubahan
syslog_host_ip	event.idm.read_only_udm.intermediary.ip	Dipetakan dari log perubahan
cs1	event.idm.read_only_udm.target.ip dan event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
cef_name	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
src	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
src	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
organization.name	event.idm.read_only_udm.principal.group.group_display_name	Dipetakan dari log perubahan
cat	event.idm.read_only_udm.security_result.category_details	Dipetakan dari log perubahan
kafkaTopic	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
evnt.created	event.idm.read_only_udm.security_result.first_discovered_time	Dipetakan dari log perubahan
cef_severity	event.idm.read_only_udm.security_result.severity	Dipetakan dari log perubahan
dpriv	event.idm.read_only_udm.target.user.attribute.roles	Dipetakan dari log perubahan
duser	event.idm.read_only_udm.target.user.user_display_name	Dipetakan dari log perubahan
ts	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
monitor_mode	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
audit_apt	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
spt	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
end_host_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
request_status	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cpu_usage	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
res_mem_usage	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
virt_mem_usage	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
roles	event.idm.read_only_udm.principal.user.group_identifiers	Dipetakan dari log perubahan
enf_profiles	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
auth_source	event.idm.read_only_udm.principal.resource.attribute.labels	Dipetakan dari log perubahan
process_id	event.idm.read_only_udm.principal.process.product_specific_process_id	Dipetakan dari log perubahan
service_name	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
LogNumber	event.idm.read_only_udm.principal.process.pid	Dipetakan dari log perubahan
user_name	event.idm.read_only_udm.principal.user.user_display_name	Dipetakan dari log perubahan
nas_port	event.idm.read_only_udm.target.port	Dipetakan dari log perubahan
nas_port_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
seq_num	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
acct_authentic	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
acct_sessionId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
acct_status_type	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
called_station_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
calling_station_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
acct_delaytimestamp	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
acct_delay_time	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Auth.Username	event.idm.read_only_udm.principal.user.user_display_name	Dipetakan dari log perubahan
Auth.Host-MAC-Address	event.idm.read_only_udm.principal.mac	Dipetakan dari log perubahan
Auth.Roles	event.idm.read_only_udm.principal.user.group_identifiers	Dipetakan dari log perubahan
Auth.Protocol	event.idm.read_only_udm.intermediary.application	Dipetakan dari log perubahan
Auth.NAS-IP-Address	event.idm.read_only_udm.target.ip	Dipetakan dari log perubahan
Auth.NAS-IP-Address	event.idm.read_only_udm.target.asset.ip	Dipetakan dari log perubahan
Auth.Service	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
Auth.Login-Status	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
Common.Connection-Status	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
source_ip1	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
identifier	event.idm.read_only_udm.principal.asset.asset_id	Dipetakan dari log perubahan
log_type	event.idm.read_only_udm.metadata.product_event_type	Dipetakan dari log perubahan
id	event.idm.read_only_udm.metadata.product_log_id	Dipetakan dari log perubahan
val1	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
val2	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
swap_memory_avail	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
system_memory_avail	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cpu_raw_user	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cpu_raw_system	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cpu_raw_idle	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
cpu_raw_nice	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
mgmt_inf_status	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
data_inf_status	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
swap_size_used	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
slash_size_used	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ingest_timestamp	event.idm.read_only_udm.metadata.collected_timestamp	Dipetakan dari log perubahan
source_ip2	event.idm.read_only_udm.observer.ip	Dipetakan dari log perubahan
vd	event.idm.read_only_udm.observer.resource.attribute.labels	Dipetakan dari log perubahan
ui	event.idm.read_only_udm.network.application_protocol	Dipetakan dari log perubahan
ui	event.idm.read_only_udm.principal.ip, event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
ExporterName	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Category	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
Action	event.idm.read_only_udm.security_result.action	Dipetakan dari log perubahan
Action	event.idm.read_only_udm.security_result.action_details	Dipetakan dari log perubahan
Remote_IP_Address	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
Remote_IP_Address	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
port	event.idm.read_only_udm.principal.port	Dipetakan dari log perubahan
InterIP	event.idm.read_only_udm.intermediary.ip	Dipetakan dari log perubahan
InterIP	event.idm.read_only_udm.intermediary.asset.ip	Dipetakan dari log perubahan
sdescription	event.idm.read_only_udm.security_result.description	Dipetakan dari log perubahan
code	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
ip	event.idm.read_only_udm.principal.ip	Dipetakan dari log perubahan
ip	event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
server	event.idm.read_only_udm_principal.application	Dipetakan dari log perubahan
swVersion	event.idm.read_only_udm.metadata.product_version	Dipetakan dari log perubahan
enterpriseId	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
software	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
ip	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
CppmNode.CPPM-Node	event.idm.read_only_udm.principal.ip dan event.idm.read_only_udm.principal.asset.ip	Dipetakan dari log perubahan
CppmNode.CPPM-Node	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
messagedetail	event.idm.read_only_udm.security_result.description	Dipetakan dari log perubahan
Thread_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
servicename	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Req_id	event.idm.read_only_udm.additional.fields	Dipetakan dari log perubahan
Internalserviceid	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
InternalChallengeID	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
Entityid	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
handlervalue	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
instanceid	event.idm.read_only_udm.security_result.detection_fields	Dipetakan dari log perubahan
threadrequestinfo	event.idm.read_only_udm.metadata.description	Dipetakan dari log perubahan
Acct-NAS-IP-Address	principal.ip	Dipetakan dari log perubahan
Acct-Username	principal.user.userid	Dipetakan dari log perubahan
Acct-Calling-Station-Id	principal.user.product_object_id	Dipetakan dari log perubahan
descr" and "eventDescription	metadata.description	Dipetakan dari log perubahan
specificTrap_name", "uptime", "enterprise", "generic_num", "specificTrap_num", and "community	additional.fields	Dipetakan dari log perubahan
Common.Service", "Common.Enforcement-Profiles", and "Common.Login-Status	security_result.detection_fields	Dipetakan dari log perubahan
metadata.event_type	STATUS_UPDATE	Dipetakan dari log perubahan

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.