איסוף יומנים של Cloudflare

גרסת המנתח: 24.0

נתמך ב:

במסמך הזה מוסבר איך להטמיע יומני Cloudflare ב-Google Security Operations באמצעות Webhook (יעד HTTP) או Google Cloud Storage. ‫Cloudflare מייצרת נתונים תפעוליים בצורת יומנים של DNS, בקשות HTTP, אירועי חומת אש, ביקורת, Zero Trust ו-CASB. השילוב הזה מאפשר לכם לשלוח את היומנים האלה ל-Google SecOps לצורך ניתוח ומעקב.

לפני שמתחילים

חשוב לוודא שיש לכם את הדברים הבאים:

  • מופע של Google SecOps.
  • חשבון Cloudflare Enterprise עם Logpush מופעל.
  • לשיטת Webhook: גישה עם הרשאות למסוף Google Cloud.
  • בשיטת GCS: גישה עם הרשאות ל-Google Cloud Storage.

שיטה 1: הגדרת ייצוא של יומני Cloudflare באמצעות Webhook (יעד HTTP)

בשיטה הזו אתם יכולים להעביר בסטרימינג את היומנים של Cloudflare ישירות ל-Google Security Operations בלי אחסון ביניים, וכך להוזיל את העלויות ולפשט את ההגדרה.

הגדרת פיד Webhook ב-Google SecOps

  1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  2. לוחצים על הוספת פיד חדש.
  3. לוחצים על הגדרת פיד יחיד.
  4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Cloudflare Webhook).
  5. בוחרים באפשרות Webhook בתור סוג המקור.
  6. בוחרים באפשרות Cloudflare בתור Log type.
  7. לוחצים על הבא.
  8. מציינים ערכים לפרמטרים הבאים של הקלט:
    • תו מפריד לפיצול: \n.
    • מרחב השמות של הנכס: מרחב השמות של הנכס.
    • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה.
  9. לוחצים על הבא.
  10. בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.
  11. לוחצים על יצירת מפתח סודי כדי ליצור מפתח סודי לאימות הפיד הזה.
  12. מעתיקים ושומרים את המפתח הסודי, כי לא תוכלו לראות אותו שוב.
  13. עוברים לכרטיסייה פרטים.
  14. מעתיקים את כתובת ה-URL של נקודת הקצה של הפיד מהשדה Endpoint Information (פרטי נקודת הקצה).
  15. לוחצים על סיום.

יצירת מפתח API לפיד ה-Webhook

  1. נכנסים לדף Credentials במסוף Google Cloud.
  2. בוחרים את הפרויקט (הפרויקט שמשויך למכונה של Google SecOps).
  3. לוחצים על Create credentials‏ > מפתח API.
  4. לוחצים על Edit API key.
  5. בקטע API restrictions, בוחרים באפשרות Restrict key.
  6. בתפריט הנפתח Select APIs, מחפשים את Chronicle API ובוחרים אותו.
  7. לוחצים על Save.
  8. מעתיקים את הערך של מפתח ה-API.

הגדרת יעד HTTP של Cloudflare Logpush

  1. מתחברים למרכז הבקרה של Cloudflare.
  2. בוחרים את החשבון הארגוני או את הדומיין שרוצים להשתמש בהם עם Logpush.
  3. עוברים אל Analytics & Logs (ניתוח נתונים ויומנים) > Logs (יומנים).
  4. לוחצים על Create a Logpush job.
  5. בקטע Select a destination, בוחרים באפשרות HTTP destination.

  6. מזינים את כתובת ה-URL של נקודת הקצה (endpoint) בפרוטוקול HTTP עם פרמטרים של אימות:

    <ENDPOINT_URL>?header_X-goog-api-key=<API_KEY>&header_X-Webhook-Access-Key=<SECRET_KEY>

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫<ENDPOINT_URL>: כתובת ה-URL של נקודת הקצה של הפיד מ-Google SecOps.
    • ‫<API_KEY>: מפתח ה-API ממסוף Google Cloud (בקידוד כתובת URL אם הוא מכיל תווים מיוחדים).
    • ‫<SECRET_KEY>: המפתח הסודי מהפיד של ה-Webhook (בקידוד כתובת URL אם הוא מכיל תווים מיוחדים).

  7. לוחצים על Continue.

  8. בוחרים את מערך הנתונים שרוצים להעביר (לדוגמה, בקשות HTTP, יומני DNS, אירועי חומת אש, יומני ביקורת, יומני Zero Trust, ממצאי CASB).

  9. מגדירים את משימת Logpush:

    • מזינים את שם המשימה.
    • בקטע If logs match, מגדירים מסננים (אופציונלי).
    • בקטע שליחת השדות הבאים, בוחרים את השדות שרוצים לכלול.
    • בוחרים את הפורמט של חותמת הזמן:
      • ‫RFC 3339 (מומלץ ל-Google SecOps)
      • ‫Unix (שניות מאז ראשית זמן יוניקס)
      • ‫UnixNano (ננו-שניות מאז ראשית הזמן)
    • אם צריך, מגדירים את תדירות הדגימה.

  10. לוחצים על Submit כדי ליצור את משימת Logpush.

אימות השילוב של Webhook

אחרי ההגדרה, היומנים אמורים להופיע ב-Google SecOps תוך כמה דקות. כדי לבצע אימות:

  1. עוברים אל חקירה > חיפוש ב-SIEM.
  2. מחפשים יומנים עם תווית ההטמעה שהגדרתם.
  3. מוודאים שהיומנים של Cloudflare מנותחים בצורה נכונה.

שיטה 2: הגדרת ייצוא של יומני Cloudflare באמצעות Google Cloud Storage

יצירת קטגוריה של Google Cloud Storage

  1. נכנסים למסוף Google Cloud.
  2. נכנסים לדף Cloud Storage > Buckets.
  3. לוחצים על יצירה.
  4. בדף Create a bucket מזינים את פרטי הקטגוריה:
    • ‫Name: מזינים שם ייחודי שעומד בדרישות לשמות של קטגוריות (לדוגמה, cloudflare-data).
    • סוג המיקום: בוחרים את סוג המיקום והאזור.
    • כדי להפעיל מרחב שמות היררכי, לוחצים על החץ להרחבה של Optimize for file oriented and data-intensive workloads, ואז בוחרים באפשרות Enable Hierarchical namespace on this bucket.
  5. לוחצים על יצירה.

מתן הרשאות Cloudflare לקטגוריה

  1. במסוף Cloud Storage, בוחרים את הקטגוריה ב-GCS (לדוגמה, cloudflare-data).
  2. לוחצים על הכרטיסייה Permissions.
  3. לוחצים על הענקת גישה.
  4. בשדה Add principals, מזינים logpush@cloudflare-data.iam.gserviceaccount.com.
  5. בתפריט הנפתח Assign roles, בוחרים באפשרות Storage Object Admin.
  6. לוחצים על Save.

הגדרת Cloudflare Logpush ל-Cloud Storage

  1. מתחברים למרכז הבקרה של Cloudflare.
  2. בוחרים את החשבון הארגוני או את הדומיין שרוצים להשתמש בהם עם Logpush.
  3. עוברים אל Analytics & Logs (ניתוח נתונים ויומנים) > Logs (יומנים).
  4. לוחצים על Create a Logpush job.
  5. בקטע בחירת יעד, בוחרים באפשרות Google Cloud Storage.
  6. מזינים את הנתיב לקטגוריית GCS (לדוגמה, cloudflare-data/logs/).

  7. לוחצים על Continue.

  8. מזינים את אסימון הבעלות ולוחצים על המשך.

  9. בוחרים את מערך הנתונים שרוצים להעביר לאחסון.

  10. מגדירים את משימת Logpush:

    • מזינים את שם המשימה.
    • בקטע אם היומנים תואמים, אתם יכולים לבחור את האירועים שייכללו ביומנים או יוסרו מהם.
    • בקטע שליחת השדות הבאים, בוחרים את השדות שרוצים לשלוח.
    • בוחרים את הפורמט של חותמת הזמן:
      • ‫RFC 3339 (מומלץ ל-Google SecOps)
      • ‫Unix (שניות מאז ראשית זמן יוניקס)
      • ‫UnixNano (ננו-שניות מאז ראשית הזמן)
    • אם צריך, מגדירים את תדירות הדגימה.

  11. לוחצים על שליחה.

הגדרת פיד ב-Google SecOps כדי להטמיע יומני Cloudflare מ-GCS

  1. עוברים אל הגדרות > ניהול נתונים > פידים. אם אתם משתמשים בפלטפורמה של SIEM בלבד, עוברים אל הגדרות > פידים.
  2. לוחצים על הוספת פיד חדש.
  3. לוחצים על הגדרת פיד יחיד.
  4. בשדה שם הפיד, מזינים שם לפיד (לדוגמה, Cloudflare GCS Logs).
  5. בוחרים באפשרות Google Cloud Storage V2 בתור סוג המקור.
  6. בוחרים באפשרות Cloudflare בתור Log type.
  7. לוחצים על Get Service Account (קבלת חשבון שירות).
  8. לוחצים על הבא.

  9. מציינים ערכים לפרמטרים הבאים של הקלט:

    • Storage Bucket URI: כתובת ה-URL של קטגוריית Google Cloud Storage בפורמט gs://my-bucket/<value>/.

    • אפשרות מחיקת מקור: בוחרים את אפשרות המחיקה המועדפת:

      • Never: אף פעם לא למחוק קבצים אחרי העברות (מומלץ לבדיקה).
      • מחיקת קבצים שהועברו: מחיקת קבצים אחרי שהם הועברו בהצלחה.
      • מחיקת קבצים שהועברו וספריות ריקות: מחיקת קבצים וספריות ריקות אחרי שההעברה מסתיימת.

    • גיל הקובץ המקסימלי: כולל קבצים ששונו במספר הימים האחרונים. ברירת המחדל היא 180 ימים.

    • מרחב השמות של הנכס: מרחב השמות של הנכס.

    • תוויות הטמעה: התווית שתתווסף לאירועים מהפיד הזה.

  10. לוחצים על הבא.

  11. בודקים את הגדרות הפיד החדש במסך סיום ולוחצים על שליחה.

מתן הרשאות IAM לחשבון השירות של Google SecOps

  1. עוברים אל Cloud Storage > Buckets.
  2. לוחצים על שם הקטגוריה (לדוגמה, cloudflare-data).
  3. עוברים לכרטיסייה Permissions.
  4. לוחצים על הענקת גישה.
  5. בשדה Add principals, מדביקים את כתובת האימייל של חשבון השירות של Google SecOps.
  6. בתפריט הנפתח Assign roles, בוחרים באפשרות Storage Object Viewer.
  7. לוחצים על Save.

טבלת מיפוי UDM

שדה ביומן מיפוי UDM Logic (פונקציה לוגית)
ClientIP read_only_udm.principal.asset.ip, read_only_udm.principal.ip הערך נלקח מהשדה ClientIP.
ClientRequestHost read_only_udm.target.asset.hostname, read_only_udm.target.hostname הערך נלקח מהשדה ClientRequestHost.
ClientRequestMethod read_only_udm.network.http.method הערך נלקח מהשדה ClientRequestMethod.
ClientRequestURI read_only_udm.target.url הערך נלקח מהשדה ClientRequestURI. אם השדה ClientRequestHost לא ריק, הערך משורשר עם השדה ClientRequestHost.
ClientSrcPort read_only_udm.principal.port הערך נלקח מהשדה ClientSrcPort.
ClientRequestUserAgent read_only_udm.network.http.user_agent הערך נלקח מהשדה ClientRequestUserAgent.
ClientSSLCipher read_only_udm.network.tls.cipher הערך נלקח מהשדה ClientSSLCipher.
ClientSSLProtocol read_only_udm.network.tls.version הערך נלקח מהשדה ClientSSLProtocol.
Country read_only_udm.target.location.country_or_region הערך נלקח מהשדה "מדינה".
CreatedAt read_only_udm.metadata.event_timestamp הערך נלקח מהשדה CreatedAt.
Datetime read_only_udm.metadata.event_timestamp הערך נלקח מהשדה Datetime.
DestinationIP read_only_udm.target.asset.ip, read_only_udm.target.ip הערך נלקח מהשדה DestinationIP.
DestinationPort read_only_udm.target.port הערך נלקח מהשדה DestinationPort.
DeviceID read_only_udm.principal.asset_id הערך נלקח מהשדה DeviceID, והתחילית שלו היא "Cloudflare:‎".
DeviceName read_only_udm.principal.asset.hostname, read_only_udm.principal.hostname הערך נלקח מהשדה DeviceName.
DstIP read_only_udm.target.asset.ip, read_only_udm.target.ip הערך נלקח מהשדה DstIP.
DstPort read_only_udm.target.port הערך נלקח מהשדה DstPort.
EdgeResponseBytes read_only_udm.network.received_bytes הערך נלקח מהשדה EdgeResponseBytes.
EdgeResponseStatus read_only_udm.network.http.response_code הערך נלקח מהשדה EdgeResponseStatus.
EdgeServerIP read_only_udm.target.asset.ip, read_only_udm.target.ip הערך נלקח מהשדה EdgeServerIP.
Email read_only_udm.principal.user.email_addresses, read_only_udm.target.user.email_addresses הערך נלקח מהשדה "אימייל".
FirewallMatchesActions read_only_udm.security_result.action הערך מוגדר כ-"ALLOW" אם השדה FirewallMatchesAction הוא "allow",‏ "Allow",‏ "ALLOW",‏ "skip",‏ "SKIP" או "Skip", כ-"ALLOW_WITH_MODIFICATION" אם השדה FirewallMatchesAction הוא "challengeSolved" או "jschallengeSolved", כ-"BLOCK" אם השדה FirewallMatchesAction הוא "drop" או "block", וכ-"UNKNOWN_ACTION" אם השדה FirewallMatchesAction לא ריק.
FirewallMatchesRuleIDs read_only_udm.security_result.rule_id הערך נלקח מהשדה FirewallMatchesRuleIDs.
FirewallMatchesSources read_only_udm.security_result.rule_name הערך נלקח מהשדה FirewallMatchesSources.
HTTPMethod read_only_udm.network.http.method הערך נלקח מהשדה HTTPMethod.
HTTPHost read_only_udm.target.hostname הערך נלקח מהשדה HTTPHost.
HTTPVersion read_only_udm.network.application_protocol הערך נלקח מהשדה HTTPVersion. אם הערך מכיל את המילה "HTTP", הוא מוחלף ב-"HTTP".
IPAddress read_only_udm.target.asset.ip, read_only_udm.target.ip הערך נלקח מהשדה IPAddress.
IsIsolated read_only_udm.about.labels, read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה IsIsolated ומומר למחרוזת.
Location read_only_udm.principal.location.name הערך נלקח מהשדה "מיקום".
OriginIP read_only_udm.intermediary.ip, read_only_udm.target.asset.ip, read_only_udm.target.ip הערך נלקח מהשדה OriginIP.
OriginPort read_only_udm.target.port הערך נלקח מהשדה OriginPort.
OwnerID read_only_udm.target.user.product_object_id הערך נלקח מהשדה OwnerID.
Policy read_only_udm.security_result.rule_name הערך נלקח מהשדה "מדיניות".
PolicyID read_only_udm.security_result.rule_id הערך נלקח מהשדה PolicyID.
PolicyName read_only_udm.security_result.rule_name הערך נלקח מהשדה PolicyName.
Protocol read_only_udm.network.ip_protocol הערך נלקח מהשדה "פרוטוקול" ומומר לאותיות רישיות.
QueryCategoryIDs read_only_udm.security_result.about.labels, read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה QueryCategoryIDs.
QueryName read_only_udm.network.dns.questions.name הערך נלקח מהשדה QueryName.
QueryNameReversed read_only_udm.network.dns.questions.name הערך נלקח מהשדה QueryNameReversed.
QuerySize read_only_udm.network.sent_bytes הערך נלקח מהשדה QuerySize.
QueryType read_only_udm.network.dns.questions.type הערך נלקח מהשדה QueryType. אם הערך הוא אחד מסוגי רשומות ה-DNS המוכרים, הוא ממופה לערך המספרי התואם שלו. אחרת, הערך מומר למחרוזת.
RData read_only_udm.network.dns.answers הערך נלקח מהשדה RData. שדה הסוג מומר למספר שלם ללא סימן.
RayID read_only_udm.metadata.product_log_id הערך נלקח מהשדה RayID.
Referer read_only_udm.network.http.referral_url הערך נלקח מהשדה Referer.
RequestID read_only_udm.metadata.product_log_id הערך נלקח מהשדה RequestID.
ResolverDecision read_only_udm.security_result.summary הערך נלקח מהשדה ResolverDecision.
ResourceID read_only_udm.target.resource.id, read_only_udm.target.resource.product_object_id הערך נלקח מהשדה ResourceID.
ResourceType read_only_udm.target.resource.resource_subtype הערך נלקח מהשדה ResourceType.
SNI read_only_udm.network.tls.client.server_name הערך נלקח מהשדה SNI.
SecurityAction read_only_udm.security_result.action הערך מוגדר כ-"ALLOW" אם השדה SecurityAction ריק או שהשדה sec_action ריק, כ-"ALLOW_WITH_MODIFICATION" אם השדה SecurityAction הוא "challengeSolved" או "jschallengeSolved", וכ-"BLOCK" אם השדה SecurityAction הוא "drop" או "block".
SecurityLevel read_only_udm.security_result.severity הערך נלקח מהשדה SecurityLevel וממופה לערך החומרה התואם ב-UDM.
SessionID read_only_udm.network.session_id הערך נלקח מהשדה SessionID.
SessionStartTime read_only_udm.metadata.event_timestamp הערך נלקח מהשדה SessionStartTime.
SourceIP read_only_udm.principal.asset.ip,‏ read_only_udm.principal.ip,‏ read_only_udm.src.asset.ip,‏ read_only_udm.src.ip הערך נלקח מהשדה SourceIP.
SourcePort read_only_udm.principal.port, read_only_udm.src.port הערך נלקח מהשדה SourcePort.
SrcIP read_only_udm.principal.asset.ip, read_only_udm.principal.ip הערך נלקח מהשדה SrcIP.
SrcPort read_only_udm.principal.port הערך נלקח מהשדה SrcPort.
TemporaryAccessDuration read_only_udm.network.session_duration.seconds הערך נלקח מהשדה TemporaryAccessDuration.
Timestamp read_only_udm.metadata.event_timestamp הערך נלקח מהשדה Timestamp.
Transport read_only_udm.network.ip_protocol הערך נלקח מהשדה Transport ומומר לאותיות רישיות.
URL read_only_udm.target.url הערך נלקח מהשדה של כתובת ה-URL.
UserAgent read_only_udm.network.http.user_agent הערך נלקח מהשדה UserAgent.
UserID read_only_udm.principal.user.product_object_id הערך נלקח מהשדה UserID.
UserUID read_only_udm.target.user.product_object_id הערך נלקח מהשדה UserUID.
VirtualNetworkID read_only_udm.principal.resource.product_object_id הערך נלקח מהשדה VirtualNetworkID.
WAFAction read_only_udm.security_result.about.labels, read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה WAFAction.
WAFAttackScore read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה WAFAttackScore.
WAFFlags read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה WAFFlags.
WAFProfile read_only_udm.security_result.about.labels, read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה WAFProfile.
WAFRCEAttackScore read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה WAFRCEAttackScore.
WAFRuleID read_only_udm.security_result.about.labels, read_only_udm.security_result.about.resource.attribute.labels, read_only_udm.security_result.threat_id הערך נלקח מהשדה WAFRuleID.
WAFRuleMessage read_only_udm.security_result.rule_name, read_only_udm.security_result.threat_name הערך נלקח מהשדה WAFRuleMessage.
WAFSQLiAttackScore read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה WAFSQLiAttackScore.
WAFXSSAttackScore read_only_udm.security_result.about.resource.attribute.labels הערך נלקח מהשדה WAFXSSAttackScore.
ZoneID read_only_udm.additional.fields הערך נלקח מהשדה ZoneID.
read_only_udm.metadata.log_type הערך מוגדר כ-"CLOUDFLARE".
read_only_udm.metadata.product_name הערך מוגדר כ-"Cloudflare Gateway DNS" אם היומן הוא יומן DNS, כ-"Cloudflare Gateway HTTP" אם היומן הוא יומן Gateway HTTP, כ-"Cloudflare Audit" אם היומן הוא יומן ביקורת, או כ-"Web Application Firewall" אחרת.
read_only_udm.metadata.vendor_name הערך מוגדר כ-"Cloudflare".
read_only_udm.network.application_protocol הערך מוגדר כ-"DNS" אם היומן הוא יומן DNS, כ-"HTTP" אם השדה HTTPVersion מכיל את הערך "HTTP", או כערך של שדה פרוטוקול באותיות רישיות אם שדה פרוטוקול לא ריק והוא לא "tls" או "TLS".
read_only_udm.network.direction הערך מוגדר כ-"OUTBOUND" אם השדה EgressIP לא ריק.
read_only_udm.network.http.parsed_user_agent הערך נלקח מהשדה UserAgent או ClientRequestUserAgent ומנותח באמצעות המסנן parseduseragent.
read_only_udm.extensions.auth.type הערך מוגדר כ-"MACHINE" אם השדה "פעולה" הוא "כניסה" או "יציאה".
read_only_udm.metadata.event_type הערך מוגדר כ-"NETWORK_DNS" אם היומן הוא יומן DNS, כ-"NETWORK_CONNECTION" אם היומן הוא יומן HTTP של שער, כ-"USER_RESOURCE_ACCESS" אם היומן הוא יומן ביקורת והשדות ActorIP ו-ActorEmail ריקים, כ-"USER_RESOURCE_UPDATE_CONTENT" אם היומן הוא יומן ביקורת והשדות ResourceType ו-newvalue לא ריקים, כ-"USER_LOGIN" אם השדה Action הוא "login", כ-"USER_LOGOUT" אם השדה Action הוא "logout", כ-"USER_RESOURCE_ACCESS" אם השדה Email לא ריק ותואם לפורמט של כתובת האימייל, או כ-"NETWORK_CONNECTION" אם השדות EgressIP ו-SourceIP לא ריקים או שהשדות OriginIP ו-SourceIP לא ריקים.
read_only_udm.target.file.mime_type הערך נלקח מהשדה EdgeResponseContentType.
read_only_udm.target.location.country_or_region הערך נלקח מהשדה "מדינה".
read_only_udm.target.resource.id הערך נלקח מהשדה AccountID או מהשדה ResourceID.
read_only_udm.target.resource.product_object_id הערך נלקח מהשדה AccountID, מהשדה AppUUID או מהשדה ResourceID.
read_only_udm.target.user.product_object_id הערך נלקח מהשדה OwnerID או מהשדה UserUID.
ConnectionCloseReason event.idm.read_only_udm.security_result.action_details מופה מיומן השינויים
BytesReceived event.idm.read_only_udm.network.received_bytes מופה מיומן השינויים
VirtualNetworkID event.idm.read_only_udm.principal.resource.product_object_id מופה מיומן השינויים
VirtualNetworkName event.idm.read_only_udm.principal.resource.name מופה מיומן השינויים
ApplicationIDs event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ApplicationStatuses event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ApplicationNames event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ApplicationName_index event.idm.read_only_udm.additional.fields מופה מיומן השינויים
CategoryIDs event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ForensicCopyStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Quarantined event.idm.read_only_udm.additional.fields מופה מיומן השינויים
UntrustedCertificateAction event.idm.read_only_udm.additional.fields מופה מיומן השינויים
RegistrationID event.idm.read_only_udm.additional.fields מופה מיומן השינויים
HTTPVersion event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ApplicationNames event.idm.read_only_udm.target.application מופה מיומן השינויים
BlockedFileReason event.idm.read_only_udm.security_result.summary מופה מיומן השינויים
CategoryNames event.idm.read_only_udm.security_result.category_details מופה מיומן השינויים
DestinationIPCountryCode event.idm.read_only_udm.target.location.country_or_region מופה מיומן השינויים
SourceIPCountryCode event.idm.read_only_udm.principal.location.country_or_region מופה מיומן השינויים
HTTPStatusCode event.idm.read_only_udm.network.http.response_code מופה מיומן השינויים
SourceIPContinentCode event.idm.read_only_udm.principal.resource.attribute.labels מופה מיומן השינויים
DestinationIPContinentCode event.idm.read_only_udm.target.resource.attribute.labels מופה מיומן השינויים
SourceInternalIP event.idm.read_only_udm.principal.ip וגם event.idm.read_only_udm.principal.asset.ip מופה מיומן השינויים
ActionInfo event.idm.read_only_udm.security_result.summary מופה מיומן השינויים
ActorType event.idm.read_only_udm.principal.user.attribute.labels מופה מיומן השינויים
ActorEmail event.idm.read_only_udm.principal.user.userid מופה מיומן השינויים
CacheReserveUsed event.idm.read_only_udm.additional.fields מופה מיומן השינויים
CacheTieredFill event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EdgeCFConnectingO2O event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EdgePathingOp event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EdgePathingSrc event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EdgePathingStatus event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EdgeResponseBodyBytes event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EdgeResponseCompressionRatio event.idm.read_only_udm.additional.fields מופה מיומן השינויים
OriginResponseDurationMs event.idm.read_only_udm.additional.fields מופה מיומן השינויים
OriginResponseHeaderReceiveDurationMs event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ClientRequestScheme event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ClientASN event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Ref event.idm.read_only_udm.additional.fields מופה מיומן השינויים
Source event.idm.read_only_udm.additional.fields מופה מיומן השינויים
EdgeColoCode event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ClientASNDescription event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ClientIPClass event.idm.read_only_udm.additional.fields מופה מיומן השינויים
ClientRequestHost event.idm.read_only_udm.src.hostname מופה מיומן השינויים
ClientRequestPath event.idm.read_only_udm.src.file.full_path מופה מיומן השינויים
ClientUserAgent event.idm.read_only_udm.network.http.user_agent מופה מיומן השינויים
Description event.idm.read_only_udm.security_result.description מופה מיומן השינויים
Kind event.idm.read_only_udm.principal.application מופה מיומן השינויים
RayID event.idm.read_only_udm.network.session_id מופה מיומן השינויים
client_request_proto event.idm.read_only_udm.network.application_protocol מופה מיומן השינויים
version event.idm.read_only_udm.network.application_protocol_version מופה מיומן השינויים
log.Application", "log.ClientAsn", "log.ColoCode", "log.OriginProto", "log.Status" and "log.ProxyProtocol additional.fields מופה מיומן השינויים
log.ClientBytes network.sent_bytes מופה מיומן השינויים
log.ClientCountry principal.location.country_or_region מופה מיומן השינויים
log.ClientIP principal.ip and principal.asset.ip מופה מיומן השינויים
log.ClientMatchedIpFirewall security_result.detection_fields מופה מיומן השינויים
log.ClientPort principal.port מופה מיומן השינויים
log.ClientProto network.ip_protocol מופה מיומן השינויים
log.Event security_result.detection_fields מופה מיומן השינויים
log.OriginBytes security_result.detection_fields מופה מיומן השינויים
log.OriginIP intermediary.ip מופה מיומן השינויים
log.OriginPort intermediary.port מופה מיומן השינויים
log.IpFirewall security_result.detection_fields מופה מיומן השינויים
log.Timestamp metadata.event_timestamp מופה מיומן השינויים
log.ConnectTimestamp security_result.detection_fields מופה מיומן השינויים
log.DisconnectTimestamp security_result.detection_fields מופה מיומן השינויים
AppDomain target.administrative_domain מופה מיומן השינויים
Connection target.resource.attribute.labels מופה מיומן השינויים
metadata.event_type USER_UNCATEGORIZED מופה מיומן השינויים
IPSourceAddress principal.ip מופה מיומן השינויים
IPDestinationAddress target.ip מופה מיומן השינויים
IPProtocol network.ip_protocol מופה מיומן השינויים
IPDestinationSubnet", "DestinationASNNAME", "DestinationASN", and "DestinationGeoHash target.resource.attribute.labels מופה מיומן השינויים
IPSourceSubnet", "SourceASNNAME", "SourceASN", and "SourceGeoHash principal.resource.attribute.labels מופה מיומן השינויים
SourceCountry principal.location.country_or_region מופה מיומן השינויים
DestinationCountry target.location.country_or_region מופה מיומן השינויים
ColoCity", "ColoCode", "ColoCountry", "ColoGeoHash", "ColoName", "GREChecksum", "GREEtherType", "GREHeaderLength", "GREKey", "GRESequenceNumber", and "GREVersion additional.fields מופה מיומן השינויים
ICMPChecksum", "ICMPType", "ICMPCode", "IPProtocol", "ProtocolState", "IPTTL", "IPTTLBuckets", "IPTotalLength", "IPTotalLengthBuckets", "IPv4Checksum", "IPv4DSCP", "IPv4DontFragment", "IPv4ECN", "IPv4Identification", "IPv6DSCP", "IPv6ECN", "IPv6FlowLabel", and "IPv6Identification additional.fields מופה מיומן השינויים
MitigationScope", "MitigationSystem", "SampleInterval", "TCPAcknowledgementNumber", "TCPChecksum", "TCPDataOffset", "TCPFlags", "TCPFlagsString", "TCPMSS", "TCPSACKPermitted", "TCPSequenceNumber", "TCPTimestampECR", "TCPTimestampValue", "TCPUrgentPointer", "TCPWindowScale", "TCPWindowSize", "UDPChecksum", "UDPPayloadLength", and "Verdict additional.fields מופה מיומן השינויים
AttackCampaignID", "AttackID", and "AttackVector additional.fields מופה מיומן השינויים
RuleName security_result.rule_name מופה מיומן השינויים
RulesetID" and "RulesetOverrideID security_result_detection_fields מופה מיומן השינויים
ClientVersion metadata.product_version מופה מיומן השינויים
DeviceManufacturer principal.asset.hardware מופה מיומן השינויים
DeviceModel principal.asset.hardware מופה מיומן השינויים
DeviceName principal.asset.attribute.labels מופה מיומן השינויים
DeviceSerialNumber principal.resource.attribute.labels מופה מיומן השינויים
DeviceType principal.resource.name מופה מיומן השינויים
OSVersion principal.platform_version מופה מיומן השינויים
PostureCheckName additional.fields מופה מיומן השינויים
PostureCheckType additional.fields מופה מיומן השינויים
PostureEvaluatedResult additional.fields מופה מיומן השינויים
PostureExpectedJSON.os security_result.detection_fields מופה מיומן השינויים
PostureExpectedJSON.operator security_result.detection_fields מופה מיומן השינויים
PostureExpectedJSON.connection_id security_result.detection_fields מופה מיומן השינויים
PostureReceivedJSON.os security_result.detection_fields מופה מיומן השינויים
PostureReceivedJSON.overall security_result.detection_fields מופה מיומן השינויים
PostureReceivedJSON.version security_result.detection_fields מופה מיומן השינויים
PostureReceivedJSON.state security_result.detection_fields מופה מיומן השינויים
PostureReceivedJSON.last_seen date מופה מיומן השינויים
ClientRequestSource additional.fields מופה מיומן השינויים
SecurityActions", "SecurityRuleIDs", and "SecuritySources additional.fields מופה מיומן השינויים
SecurityAction", "SecurityRuleID security_result.about.resource.attribute.labels מופה מיומן השינויים
SecurityRuleID security_result.threat_id מופה מיומן השינויים
SecurityRuleDescription security_result.threat_name מופה מיומן השינויים
metadata.event_type GENERIC_EVENT מופה מיומן השינויים
ClientRequestURI target.uri מופה מיומן השינויים
BotScore security_result.detection_fields מופה מיומן השינויים
WAFRCEAttackScore", "WAFSQLiAttackScore", "WAFXSSAttackScore", "WAFAttackScore", "WAFFlags security_result.about.resource.attribute.labels מופה מיומן השינויים
AssetExternalID principal.asset_id מופה מיומן השינויים
AssetDisplayName principal.asset.attribute.labels מופה מיומן השינויים
AssetLink principal.url מופה מיומן השינויים
AssetMetadata.userKey principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.clientId principal.user.userid מופה מיומן השינויים
AssetMetadata.anonymous security_result.detection_fields מופה מיומן השינויים
AssetMetadata.nativeApp security_result.detection_fields מופה מיומן השינויים
DetectedTimestamp metadata.event_timestamp מופה מיומן השינויים
FindingTypeDisplayName security_result.description מופה מיומן השינויים
FindingTypeID security_result.rule_id מופה מיומן השינויים
FindingTypeSeverity security_result.severity מופה מיומן השינויים
InstanceID principal.resource.product_object_id מופה מיומן השינויים
IntegrationDisplayName additional.fields מופה מיומן השינויים
IntegrationID metadata.product_deployment_id מופה מיומן השינויים
IntegrationPolicyVendor additional.fields מופה מיומן השינויים
AssetMetadata.customerId principal.user.userid מופה מיומן השינויים
AssetMetadata.primaryEmail principal.user.email_addresses מופה מיומן השינויים
AssetMetadata.agreedToTerms principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.ipWhitelisted principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.lastLoginTime principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.isEnforcedIn2Sv principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.isEnrolledIn2Sv principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.isDelegatedAdmin principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.changePasswordAtNextLogin principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.includeInGlobalAddressList principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.isAdmin principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.suspended principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.url principal.url מופה מיומן השינויים
AssetMetadata.site_admin principal.user.attribute.labels מופה מיומן השינויים
AssetMetadata.login principal.user.userid מופה מיומן השינויים
AssetMetadata.owner.id principal.user.userid מופה מיומן השינויים
AssetMetadata.name.fullName principal.user.user_display_name מופה מיומן השינויים
AssetMetadata.name.givenName principal.user.first_name מופה מיומן השינויים
AssetMetadata.name.familyName principal.user.last_name מופה מיומן השינויים
Allowed security_result.action מופה מיומן השינויים
BytesReceived network.received_bytes מופה מיומן השינויים
BytesSent network.sent_bytes מופה מיומן השינויים
ClientTCPHandshakeDurationMs additional.fields מופה מיומן השינויים
ClientTLSCipher network.tls.cipher מופה מיומן השינויים
ClientTLSHandshakeDurationMs additional.fields מופה מיומן השינויים
ClientTLSVersion network.tls.version מופה מיומן השינויים
ConnectionCloseReason additional.fields מופה מיומן השינויים
ConnectionReuse additional.fields מופה מיומן השינויים
DestinationTunnelID additional.fields מופה מיומן השינויים
EgressPort principal.port מופה מיומן השינויים
EgressRuleID additional.fields מופה מיומן השינויים
EgressRuleName additional.fields מופה מיומן השינויים
IngressColoName additional.fields מופה מיומן השינויים
Offramp additional.fields מופה מיומן השינויים
OriginTLSCertificateIssuer additional.fields מופה מיומן השינויים
OriginTLSCertificateValidationResult additional.fields מופה מיומן השינויים
OriginTLSCipher additional.fields מופה מיומן השינויים
OriginTLSHandshakeDurationMs additional.fields מופה מיומן השינויים
OriginTLSVersion additional.fields מופה מיומן השינויים
RuleEvaluationDurationMs additional.fields מופה מיומן השינויים
SessionEndTime additional.fields מופה מיומן השינויים

יומן שינויים

הצגת יומן השינויים של המנתח הזה

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.